Guia prático de proteção de dados na imobiliária (LGPD)
Quando um potencial comprador entra na sua imobiliária pela primeira vez, você já coleta dados que a LGPD considera pessoais — nome, CPF, renda, composição familiar, histórico de crédito. A diferença entre uma imobiliária que dorme tranquila e outra que vive com um nó no estômago não está no tamanho do orçamento, mas nos processos que coloca em prática. Com ferramentas gratuitas, um termo de consentimento bem feito e uma equipe treinada, é possível reduzir em 80% os riscos de vazamento e evitar multas que podem chegar a 2% do faturamento — sem precisar de um departamento jurídico ou de TI milionário.
Por que os dados dos seus clientes exigem cuidado (e o que a LGPD tem a ver com isso)
O erro mais comum entre corretores é achar que a coleta de dados começa apenas na assinatura do contrato. Na prática, ela começa no primeiro contato: na visita ao imóvel, na ficha de interesse preenchida no balcão, no formulário do site. Nesse momento, você já está armazenando informações que a lei considera pessoais — e, em alguns casos, sensíveis.
Dados coletados desde a primeira visita: o que você já está armazenando sem saber
Pense no fluxo típico de uma imobiliária. Um cliente entra em contato pelo WhatsApp perguntando sobre um apartamento. O corretor pede nome, telefone, faixa de renda e composição familiar para verificar se o imóvel é adequado. Depois, envia um link com o tour virtual e anota as preferências do cliente. Na visita presencial, pede o CPF para consultar o histórico de crédito. Tudo isso acontece antes de qualquer contrato ser assinado.
Cada um desses pontos de coleta gera um registro que, se não for tratado com transparência, coloca a imobiliária em risco. A LGPD exige que você informe ao cliente exatamente para que cada dado será usado, obtenha consentimento explícito e, mais importante, só colete o que for realmente necessário. Um corretor que anota "renda familiar" em um papel solto ou salva o CPF em um grupo de WhatsApp já está infringindo a lei.
Alerta prático: Não confie na memória da equipe. Mapeie todos os pontos de coleta da sua imobiliária — desde o formulário do site até a ficha de papel na recepção. Cada um deles precisa de um termo de consentimento específico.
Por que a confiança do cliente vale mais que qualquer multa
A multa máxima prevista pela LGPD é de 2% do faturamento, limitada a R$ 50 milhões por infração. Para uma imobiliária de pequeno porte, isso pode significar alguns milhares de reais. Mas o custo real está na perda de confiança. Um cliente que descobre que seus dados foram vazados não volta a fazer negócio com você — e ainda pode postar uma reclamação nas redes sociais que atinge milhares de pessoas.
Além disso, a ANPD pode aplicar sanções que vão além da multa: advertência pública, bloqueio dos dados até que a situação seja regularizada, e até proibição parcial do tratamento de dados. Para uma imobiliária que depende de consultas de crédito e análise de perfil de clientes, isso pode paralisar as operações por semanas.
O termo de consentimento que realmente funciona (e o que você deve evitar)
O termo de consentimento é o documento mais importante da sua adequação à LGPD. Mas ele só funciona se for específico, claro e adaptado à realidade da sua imobiliária. Um termo genérico é pior do que não ter termo nenhum — porque dá uma falsa sensação de conformidade que não resiste a uma fiscalização.
Como estruturar um termo de consentimento para análise de crédito, ofertas e compartilhamento com bancos
Cada finalidade de uso dos dados exige um consentimento separado. Você não pode pedir autorização para "analisar crédito" e depois usar os mesmos dados para enviar ofertas de imóveis. O cliente tem o direito de aceitar uma finalidade e recusar outra.
Na prática, o termo deve conter:
- A identificação clara da imobiliária (nome, CNPJ, endereço)
- A finalidade específica do tratamento (ex: "analisar seu perfil de crédito para aprovação de locação")
- Os dados que serão coletados (ex: nome, CPF, renda, histórico de crédito)
- O período de armazenamento (ex: "durante a vigência do contrato e por 5 anos após o término, conforme exigência legal")
- A informação de que o cliente pode revogar o consentimento a qualquer momento
- O contato do encarregado de dados (DPO) para exercer os direitos
Um bom modelo pode ser adaptado para cada situação. Por exemplo, para análise de crédito, o termo pode incluir autorização para consultar birôs de crédito. Para ofertas, pode incluir autorização para enviar e-mails e mensagens no WhatsApp. Para compartilhamento com bancos, deve especificar quais instituições e para qual finalidade.
O erro fatal de usar um modelo copiado da internet sem adaptar
Centenas de imobiliárias cometem o mesmo erro: baixam um modelo de termo de consentimento genérico, trocam o nome da empresa e acham que está resolvido. Mas a ANPD tem sido cada vez mais rigorosa na análise desses documentos.
Um termo que diz "autorizo o uso dos meus dados para fins comerciais" é inválido porque não especifica quais fins. Um termo que não informa o prazo de armazenamento também é contestável. E um termo que não oferece a opção de revogação é ilegal.
Limitação honesta: Mesmo um termo bem feito não protege contra todos os riscos. Se um corretor compartilha dados em um grupo de WhatsApp não autorizado, o termo não vai impedir o vazamento. Por isso, o termo é apenas uma peça de um sistema maior que inclui treinamento e ferramentas de segurança.
Exemplo prático de um termo que pode ser usado no CRM
A maioria dos CRMs imobiliários permite configurar campos personalizados para capturar o consentimento. O ideal é que, no momento do cadastro, o cliente marque checkboxes separados para cada finalidade:
- [ ] Autorizo a consulta do meu CPF para análise de crédito
- [ ] Autorizo o envio de ofertas de imóveis por e-mail e WhatsApp
- [ ] Autorizo o compartilhamento dos meus dados com bancos parceiros para análise de financiamento
Cada checkbox deve estar vinculado a um termo de consentimento completo, que o cliente pode ler e baixar. O CRM deve registrar a data e hora do consentimento, além de permitir que o cliente revogue a autorização a qualquer momento, de preferência por um link direto.
Ferramentas gratuitas que já resolvem 80% dos problemas de segurança digital
A maioria dos vazamentos em imobiliárias não acontece por ataques sofisticados de hackers, mas por erros básicos: senhas fracas, arquivos enviados sem criptografia, documentos armazenados em pastas compartilhadas sem controle de acesso. Ferramentas gratuitas resolvem esses problemas de forma simples e eficaz.
Bitwarden: o gerenciador de senhas que sua equipe vai adorar usar
O Bitwarden é um gerenciador de senhas open source que permite armazenar todas as senhas da equipe em um cofre criptografado. Cada corretor acessa o cofre com uma senha mestra, e as senhas dos sistemas (CRM, e-mail, redes sociais) são preenchidas automaticamente.
O grande benefício é que você pode criar senhas fortes e únicas para cada serviço, sem que ninguém precise decorá-las. Além disso, o Bitwarden permite compartilhar senhas de forma segura entre a equipe — por exemplo, a senha do CRM pode ser acessada por todos, mas sem que ninguém veja o texto da senha.
A versão gratuita é suficiente para uso pessoal e compartilhamento limitado. Para equipes maiores, o plano pago custa cerca de R$ 30 por mês para até 10 usuários, com suporte a autenticação em dois fatores e relatórios de segurança.
Cryptomator: criptografia de arquivos sem complicação
Enviar documentos de clientes por e-mail sem criptografia é um dos maiores riscos de vazamento. O Cryptomator resolve isso de forma simples: você cria uma pasta criptografada no seu computador, arrasta os arquivos para dentro dela, e eles são automaticamente protegidos com uma senha. Depois, você pode enviar a pasta por e-mail ou compartilhar por nuvem, e apenas quem tem a senha consegue abrir.
A ferramenta é gratuita e funciona em Windows, Mac, Linux, Android e iOS. Para imobiliárias que precisam compartilhar documentos com clientes, o Cryptomator é uma solução prática que não exige conhecimento técnico.
Backup automático criptografado: como configurar no Google Drive ou OneDrive
Muitas imobiliárias armazenam documentos no Google Drive ou OneDrive sem criptografia adicional. O problema é que, se a conta for invadida, todos os dados ficam expostos. A solução é configurar um backup automático criptografado.
Ferramentas como o Duplicati (gratuita) permitem fazer backup dos arquivos do seu computador para o Google Drive, OneDrive ou Dropbox, com criptografia de ponta a ponta. Você define a frequência do backup (diário, semanal) e a ferramenta cuida do resto. Mesmo que a conta de nuvem seja comprometida, os arquivos permanecem ilegíveis.
Nota importante: Ferramentas gratuitas são ótimas para começar, mas têm limitações. O Bitwarden gratuito não oferece relatórios de segurança avançados. O Cryptomator não permite compartilhamento simultâneo. Para imobiliárias com mais de 10 corretores, vale considerar soluções pagas que oferecem suporte e integração com CRMs.
WhatsApp: o maior vilão da segurança de dados na imobiliária (e como domá-lo)
O WhatsApp é a ferramenta mais usada pelos corretores, e também a mais perigosa para a segurança de dados. Grupos de WhatsApp onde corretores compartilham documentos, fotos de imóveis e informações de clientes são uma bomba-relógio. Mesmo com a criptografia de ponta a ponta, o problema não está na transmissão, mas no destino: qualquer pessoa no grupo pode encaminhar os dados para terceiros sem autorização.
Por que grupos de WhatsApp são um risco para dados de clientes
Imagine um grupo de WhatsApp com 15 corretores. Um deles tira uma foto do contrato de locação e envia no grupo para perguntar sobre uma cláusula. Outro corretor, sem malícia, encaminha a foto para um amigo que está procurando imóvel. Pronto: o CPF, a renda e o endereço do cliente estão expostos a uma pessoa que não deveria ter acesso.
A criptografia do WhatsApp protege os dados durante o envio, mas não controla o que acontece depois que a mensagem chega. O receptor pode fazer print, encaminhar ou salvar a imagem. Para a LGPD, isso é um vazamento de dados, e a imobiliária é responsável.
Política de uso do WhatsApp Business com logs e restrições
A solução não é proibir o WhatsApp — isso seria inviável e contraproducente. O caminho é criar uma política de uso clara e usar o WhatsApp Business, que oferece mais controle.
Com o WhatsApp Business, você pode:
- Criar um perfil profissional separado do pessoal
- Usar etiquetas para organizar conversas por cliente e finalidade
- Configurar respostas automáticas que já incluem o aviso de privacidade
- Ativar logs de conversas (em algumas integrações com CRM)
A política deve proibir expressamente o compartilhamento de documentos de clientes em grupos. Todo envio de documento deve ser feito individualmente, de preferência por um canal criptografado como o Cryptomator. Além disso, a política deve determinar que conversas com clientes sejam mantidas apenas no perfil Business, e não no pessoal.
Alternativas como WATI e Zenvia para centralizar comunicações
Para imobiliárias que lidam com um volume grande de mensagens, ferramentas como WATI e Zenvia permitem centralizar todas as conversas do WhatsApp em um painel único, com registro de histórico e controle de acesso. Isso elimina o risco de um corretor usar o WhatsApp pessoal para falar com clientes e perder o controle dos dados.
O WATI, por exemplo, integra com CRMs como o PipeDrive e permite que vários atendentes acessem a mesma conversa, com logs de quem fez o quê. O custo é a partir de R$ 100 por mês, o que pode valer a pena para imobiliárias com mais de 5 corretores.
Treinamento da equipe: o elo mais fraco (e como transformá-lo no mais forte)
De nada adianta ter as melhores ferramentas se a equipe não sabe usá-las. A maioria dos vazamentos em imobiliárias ocorre por erro humano: um corretor envia um documento para o contato errado, compartilha dados em um grupo não autorizado, ou anota uma senha em um post-it. O treinamento é o investimento mais barato e mais eficaz para reduzir esses riscos.
O que ensinar no treinamento básico de LGPD para corretores
O treinamento não precisa ser um curso jurídico de 40 horas. Basta uma sessão de duas horas, com exemplos práticos do dia a dia, cobrindo:
- O que são dados pessoais e sensíveis (com exemplos do cotidiano da imobiliária)
- Como pedir consentimento (na prática, durante a visita ou no formulário do site)
- Como usar as ferramentas de segurança (Bitwarden, Cryptomator, backup)
- O que fazer em caso de suspeita de vazamento (comunicação imediata ao gestor)
- A política de uso do WhatsApp e de dispositivos pessoais
O treinamento deve ser repetido a cada seis meses, com atualizações sobre novas ferramentas ou mudanças na legislação.
Como lidar com corretores autônomos que usam o próprio celular (BYOD)
Corretores autônomos que usam o próprio celular para contato com clientes são um desafio à parte. A imobiliária não pode controlar o que eles fazem no dispositivo pessoal, mas pode estabelecer regras claras:
- O corretor deve usar o WhatsApp Business no celular pessoal, com um perfil separado
- Documentos de clientes não devem ser armazenados na galeria do celular, mas sim em uma pasta criptografada (Cryptomator)
- O corretor deve ativar a autenticação em dois fatores no WhatsApp e no e-mail
- Em caso de perda ou roubo do celular, o corretor deve comunicar imediatamente para que os acessos sejam revogados
A política de BYOD deve ser assinada por cada corretor, com ciência de que o descumprimento pode resultar em sanções contratuais.
Simulado de resposta a incidentes: o que fazer em caso de vazamento
Um simulado de resposta a incidentes é uma ferramenta poderosa para testar se a equipe sabe o que fazer em caso de vazamento. O gestor cria um cenário fictício (ex: "um corretor enviou um documento para o contato errado no WhatsApp") e a equipe deve seguir o plano de resposta.
O simulado revela falhas no processo que não aparecem no papel. Por exemplo, pode mostrar que ninguém sabe quem é o encarregado de dados, ou que o modelo de comunicação ao cliente não está atualizado. Depois do simulado, o plano é ajustado e a equipe treinada novamente.
Passo a passo do simulado:
- Crie um cenário realista (ex: e-mail com dados de cliente enviado para endereço errado)
- Reúna a equipe e explique o cenário
- Peça que cada um execute o que faria na prática (isolar o vazamento, notificar o gestor, etc.)
- Avalie o tempo de resposta e a correção das ações
- Ajuste o plano de resposta com base nos erros identificados
E se der errado? Plano de resposta a incidentes para imobiliárias
Mesmo com todos os cuidados, um vazamento pode acontecer. A diferença entre uma imobiliária que se recupera rápido e outra que sofre danos irreparáveis está na agilidade e na correção da resposta. A LGPD exige que a empresa tenha um plano de resposta a incidentes, e a ANPD espera que ele seja acionado em até 72 horas após a descoberta do vazamento.
Passo a passo para conter um vazamento de dados
O primeiro passo é conter o vazamento para evitar que mais dados sejam expostos. Isso pode significar:
- Desconectar o sistema afetado da internet
- Revogar acessos de usuários comprometidos
- Bloquear o envio de e-mails do sistema afetado
- Isolar o arquivo ou pasta que foi compartilhado indevidamente
Depois de conter, é preciso avaliar o impacto: quantos clientes foram afetados, quais dados foram expostos, e se há risco de dano material ou moral para os titulares.
Quando e como notificar a ANPD e os clientes afetados
A LGPD determina que a ANPD deve ser notificada em até 72 horas após a descoberta do incidente, se ele representar risco ou dano relevante aos titulares. A notificação deve incluir:
- A natureza dos dados afetados
- O número de titulares envolvidos
- As medidas de contenção adotadas
- As consequências do incidente
- As medidas que serão tomadas para mitigar o dano
Os clientes afetados também devem ser comunicados, com linguagem clara e acessível, informando o que aconteceu, quais dados foram expostos e o que eles podem fazer para se proteger (ex: trocar senhas, monitorar o CPF).
O que a ANPD espera de uma imobiliária em caso de incidente
A ANPD avalia a resposta a incidentes com base em três critérios: agilidade, transparência e efetividade. Uma imobiliária que identifica o vazamento rapidamente, comunica os afetados de forma clara e implementa medidas corretivas imediatas tem mais chances de receber uma sanção mais leve.
Por outro lado, uma imobiliária que demora a agir, tenta esconder o incidente ou não toma medidas para evitar que se repita pode receber multas mais altas e até a proibição parcial de tratar dados.
Nuances que fazem a diferença: imobiliárias de temporada, corretores autônomos e regimes simplificados
Nem toda imobiliária funciona da mesma forma, e a LGPD reconhece isso. Imobiliárias que atuam com locação de temporada, corretores autônomos e empresas com menos de 5 funcionários têm necessidades específicas que exigem adaptações nas políticas de proteção de dados.
Locação de temporada (Airbnb): como lidar com o compartilhamento de dados com plataformas
Imobiliárias que atuam com locação de temporada geralmente usam plataformas como Airbnb, Booking.com e Vrbo. Essas plataformas coletam dados dos hóspedes e compartilham parte deles com o anfitrião (no caso, a imobiliária). A LGPD exige que a imobiliária informe ao hóspede quais dados serão compartilhados e para qual finalidade.
Na prática, o termo de consentimento deve incluir uma cláusula específica sobre o compartilhamento com a plataforma. Além disso, a imobiliária deve verificar se a plataforma está em conformidade com a LGPD — a maioria das grandes plataformas já tem políticas de privacidade adequadas, mas é bom confirmar.
Corretores autônomos com BYOD: políticas que funcionam
Para corretores autônomos, a política de BYOD (Bring Your Own Device) é essencial. O corretor usa o próprio celular para contato, mas a imobiliária precisa garantir que os dados dos clientes não fiquem expostos.
A política deve incluir:
- Obrigação de usar o WhatsApp Business no celular pessoal
- Proibição de armazenar documentos de clientes na galeria do celular
- Uso obrigatório de criptografia (Cryptomator) para arquivos sensíveis
- Ativação de autenticação em dois fatores no WhatsApp e no e-mail
- Comunicação imediata em caso de perda ou roubo do celular
O descumprimento da política deve ter consequências claras, como advertência ou rescisão contratual.
Imobiliárias com menos de 5 funcionários: o regime simplificado da ANPD
A ANPD oferece um regime simplificado para micro e pequenas empresas, incluindo imobiliárias com menos de 5 funcionários. Nesse regime, algumas exigências são reduzidas, mas o básico continua valendo: é preciso ter um termo de consentimento, um encarregado de dados (pode ser o próprio dono) e um plano de resposta a incidentes.
O regime simplificado não é uma licença para ignorar a lei. A ANPD ainda pode fiscalizar e aplicar multas, mas as exigências de documentação e processos são menores. Para imobiliárias muito pequenas, o foco deve estar no termo de consentimento e no treinamento da equipe, que são os pontos mais críticos.
Nota importante: O consentimento pode ser revogado a qualquer momento pelo cliente, e a imobiliária deve ter um processo para excluir os dados em até 15 dias. Isso vale para todos os regimes, inclusive o simplificado. Se um cliente pedir a exclusão dos dados e a imobiliária não atender, pode ser multada.
Resumo e próximos passos
A adequação à LGPD não é um projeto com data de início e fim, mas um processo contínuo. Comece pelo que é mais crítico — o termo de consentimento e o treinamento da equipe — e vá implementando as ferramentas aos poucos. Em três meses, sua imobiliária já estará muito mais protegida do que a maioria dos concorrentes. E, o mais importante, seus clientes vão perceber a diferença.
Para informações oficiais e atualizadas, consulte o site da Autoridade Nacional de Proteção de Dados (ANPD) e a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).
5 ações prioritárias para começar agora
- Mapeie todos os pontos de coleta de dados da sua imobiliária — do formulário do site à ficha de papel na recepção — e identifique a finalidade de cada um.
- Crie termos de consentimento específicos para cada finalidade (análise de crédito, ofertas, compartilhamento com bancos), com linguagem clara e opção de revogação.
- Implemente um gerenciador de senhas (Bitwarden) e ative autenticação em dois fatores em todos os sistemas críticos (e-mail, CRM, redes sociais).
- Criptografe arquivos sensíveis antes de enviar por e-mail ou armazenar em nuvem, usando ferramentas gratuitas como Cryptomator.
- Treine a equipe em uma sessão de duas horas sobre LGPD, uso correto das ferramentas e política de WhatsApp, repetindo a cada seis meses.
