LGPD nas franquias: prepare os dados antes de expandir

Transformar um negócio em franquia exige decidir quem poderá acessar os dados de clientes, candidatos e funcionários. Uma planilha compartilhada sem controle pode funcionar na loja original, mas criar riscos quando chega a empresários independentes. Antes de expandir sua comunidade de franquias, organize como as informações serão coletadas, utilizadas, protegidas e eliminadas — e traduza essas decisões em configurações de sistemas e responsabilidades claras.

1. Mapeie os dados que circularão entre as empresas

Comece pelas atividades reais do negócio, não por um modelo genérico de política de privacidade. Acompanhe uma venda, um cadastro, uma campanha promocional e um atendimento pós-venda. Em cada etapa, registre quais dados pessoais aparecem e para onde seguem.

Monte uma tabela com estas informações:

• Atividade: agendamento, entrega, programa de fidelidade ou outra finalidade específica.
• Dados utilizados: nome, telefone, endereço, histórico de compras e demais informações necessárias.
• Participantes: unidade franqueada, franqueadora e fornecedores de tecnologia.
• Acessos: quem consulta, altera, exporta ou apaga os registros.
• Conservação: por quanto tempo os dados são necessários e qual justificativa sustenta sua retenção.

Inclua ferramentas informais, como aplicativos de mensagens, celulares pessoais e cópias de planilhas. Esses caminhos frequentemente ficam fora do planejamento, embora concentrem informações importantes.

Não replique automaticamente tudo o que a matriz coleta. Se um relatório de desempenho pode usar números agregados, a franqueadora talvez não precise receber nomes e telefones de compradores. Reduzir a circulação de dados diminui a exposição e facilita a gestão.

2. Defina responsabilidades conforme a operação

A Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018 (LGPD), aplica-se ao tratamento de dados pessoais nas condições previstas em seu texto. Ela convive com a Lei nº 13.966/2019, a Lei de Franquias, que disciplina a relação de franquia no Brasil. Cumprir uma não substitui cumprir a outra.

Na LGPD, o controlador toma as decisões referentes ao tratamento; o operador realiza o tratamento em nome do controlador. Esses papéis dependem da atividade efetivamente desempenhada, não apenas do nome dado às empresas no contrato.

Por exemplo: uma unidade pode decidir como tratar os dados de seus próprios empregados, enquanto a franqueadora define as finalidades de um programa centralizado de relacionamento com clientes. O fornecedor de uma plataforma poderá atuar como operador em determinadas atividades, conforme sua atuação concreta.

Por isso, evite declarar que o franqueado será sempre operador da franqueadora. Analise cada fluxo com apoio jurídico e documente:

• quem define a finalidade e os dados necessários;
• qual hipótese legal autoriza o tratamento;
• quem informa o titular e recebe suas solicitações;
• quem acompanha fornecedores e responde a incidentes.

O consentimento não é a única hipótese legal prevista na LGPD, nem deve ser usado como autorização genérica para qualquer finalidade. Cada uso precisa de justificativa adequada. Dados sensíveis, como informações de saúde, exigem análise específica.

3. Configure sistemas para separar e proteger os acessos

Antes de contratar a plataforma da futura comunidade de franquias, verifique se ela permite separar os dados de cada unidade. Um sistema conveniente para várias lojas próprias pode não oferecer os controles necessários para empresas juridicamente independentes.

Peça uma demonstração prática. Crie perfis de atendente, gestor da unidade e equipe da franqueadora. Confira se cada perfil enxerga somente o necessário e se as ações relevantes ficam registradas.

Adote contas individuais, autenticação multifator quando disponível e procedimento para retirar acessos após desligamentos. Senhas compartilhadas dificultam identificar responsáveis e interromper acessos indevidos.

Verifique também:

• possibilidade de restringir exportações de cadastros;
• existência de cópias de segurança e testes de restauração;
• condições de devolução ou eliminação dos dados ao encerrar o serviço;
• contratação de outros prestadores pelo fornecedor;
• eventual transferência internacional de dados e requisitos aplicáveis.

Teste solicitações de titulares antes da expansão. A equipe consegue localizar um cadastro, corrigir uma informação e avaliar um pedido de eliminação? A eliminação não deve ser automática quando houver fundamento legítimo para conservação, como uma obrigação legal. A resposta precisa considerar o caso concreto.

4. Alinhe documentos e prepare a resposta a incidentes

As decisões sobre dados devem aparecer de forma coerente nos contratos, nas orientações operacionais e nos avisos de privacidade. Especifique acessos, compartilhamentos, deveres de segurança, cooperação no atendimento aos titulares e procedimentos após o término da relação.

Quando houver sistemas obrigatórios e cobranças associadas, essas condições também devem ser refletidas adequadamente na Circular de Oferta de Franquia. A Lei nº 13.966/2019 exige informações claras sobre valores periódicos e fornecedores obrigatórios. Na oferta privada usual, a COF deve ser entregue pelo menos dez dias antes da assinatura do contrato ou pré-contrato, ou do pagamento de taxa ao franqueador ou a pessoa ou empresa ligada a ele.

Prepare ainda um roteiro para perda de equipamento, acesso indevido ou envio equivocado de cadastros. Defina contato responsável, preservação de evidências, contenção e avaliação das comunicações legalmente exigidas à ANPD e aos titulares. Nem todo incidente exige comunicação externa, mas todos precisam ser avaliados.

Para colocar em prática: antes de conectar a primeira unidade, valide um mapa de dados, uma matriz de responsabilidades e um teste de acesso. Só compartilhe cadastros quando finalidade, proteção e responsáveis estiverem definidos.