O que é dado pessoal na prospecção
Nome, e-mail profissional, telefone, cargo e perfil no LinkedIn de uma pessoa são dados pessoais. Razão social, CNPJ, endereço e telefone geral da empresa não são — pertencem à pessoa jurídica. Na prática, uma lista de prospecção mistura os dois, e a LGPD incide sobre a parte que identifica pessoas. Isso significa que coletar, organizar, importar e usar esses contatos são operações de tratamento de dados, cada uma precisando de finalidade definida e de uma base legal. Não é preciso um consentimento assinado para cada contato, mas é preciso saber por que e com que fundamento cada dado está na sua base.
Bases legais possíveis para o contato profissional
A LGPD lista as hipóteses que autorizam o tratamento (art. 7). Para prospecção B2B, a mais usada é o legítimo interesse (art. 7, IX e art. 10): o contato profissional com um decisor sobre um tema ligado à função dele, quando há expectativa razoável desse contato e o impacto sobre a pessoa é baixo. O consentimento (art. 7, I) se aplica quando a pessoa pediu para ser contatada, por exemplo ao baixar um material e aceitar receber mensagens. A execução de contrato ou de procedimentos preliminares (art. 7, V) cobre conversas com quem já negocia com você. Escolha a base antes de coletar, registre a escolha e use os dados apenas para a finalidade declarada.
Legítimo interesse exige um teste, não uma frase
Invocar legítimo interesse não é escrever a expressão em uma política. É documentar: qual é o interesse (apresentar uma solução relacionada ao cargo da pessoa), por que é legítimo, se o contato é necessário para esse fim, se a pessoa esperaria esse tipo de mensagem no contexto profissional e quais medidas reduzem o impacto — mensagem curta, canal adequado, opção de recusa, dados mínimos. Se o resultado do teste for frágil (contato pessoal, tema sem relação com a função, volume abusivo), a base não se sustenta. Guarde esse registro; ele é o que a Autoridade Nacional de Proteção de Dados (ANPD) espera encontrar se houver questionamento.
Minimização: só o que a abordagem usa
Colete e guarde apenas os dados que a abordagem precisa: nome, empresa, cargo, e-mail profissional e, quando fizer sentido, telefone profissional. Não armazene documentos pessoais, dados de pagamento, informações sensíveis ou observações sobre a vida privada do contato. Na importação de uma lista em CSV, isso se traduz em poucas colunas e nenhuma anotação desnecessária. Menos dados significam menos risco em caso de incidente e menos trabalho para atender pedidos de titulares. Se um campo não muda a abordagem, ele não deveria estar na base.
Origem da lista: própria, pública, comprada
Base própria (clientes, leads de formulário, cartões trocados em evento, conexões que aceitaram contato) é a mais segura, desde que a finalidade seja compatível com a coleta. Dados públicos (site da empresa, LinkedIn) podem ser usados para contato profissional, mas a publicidade do dado não elimina a necessidade de base legal e de finalidade — e as regras da plataforma de origem também valem. Listas compradas são o maior risco: é preciso saber como foram coletadas, com qual base, se há registro de opt-out e se o fornecedor responde por isso contratualmente. Sem essas respostas, evite. Em qualquer caso, registre a origem de cada contato na base.
Transparência e o primeiro contato
A pessoa tem direito de saber quem está falando com ela, por que a contatou e como recusar. Na prática: remetente identificado, empresa clara, motivo do contato na primeira mensagem, forma simples de pedir para não receber mais e link para a política de privacidade quando houver um canal automatizado. Não é obrigatório enviar um aviso jurídico completo em cada e-mail, mas é obrigatório que a informação esteja acessível. Mensagens que escondem o remetente ou fingem resposta a uma conversa inexistente violam o princípio da boa-fé e destroem qualquer argumento de legítimo interesse.
Pedidos de não contato e direitos do titular
Quando alguém pede para não ser contatado, a operação para imediatamente naquele contato e o pedido é registrado — não basta deletar o e-mail da cadência da semana. O titular também pode pedir confirmação de tratamento, acesso, correção, eliminação e informação sobre com quem os dados foram compartilhados (art. 18). Defina um canal para receber esses pedidos, um responsável e um prazo interno de resposta. Mantenha uma lista de supressão consultada antes de qualquer nova sequência, para que um novo sinal de compra não reative um contato que já recusou.
WhatsApp e telefone: cuidado redobrado
Canais diretos têm impacto maior sobre a pessoa e por isso exigem mais critério. Use apenas números profissionais, identifique-se de imediato, envie mensagens curtas e ofereça saída na primeira mensagem. Não insira contatos em grupos, não envie mídia não solicitada e respeite horários comerciais. Os termos de uso das plataformas também se aplicam: uso de listas em ferramentas de disparo pode resultar em bloqueio do número, além do risco legal. Se a base legal for frágil para e-mail, ela será mais frágil ainda para WhatsApp — nesse caso, não use o canal.
Registro e retenção
Mantenha um registro simples das operações de tratamento: origem do dado, base legal, finalidade, data de coleta, data do último contato e situação (ativo, em pausa, suprimido). Defina por quanto tempo um contato sem resposta permanece na base — por exemplo, um ciclo de prospecção mais um período de monitoramento — e elimine o que não tem mais finalidade. Guarde os pedidos de não contato pelo tempo necessário para garantir que serão respeitados. Esse registro é o que permite responder a um titular ou à ANPD com fatos, e não com suposições.
Uma rotina de conformidade que cabe na operação
Conformidade não precisa ser um projeto separado. Antes de importar uma lista: conferir origem, colunas mínimas e base legal. Antes de iniciar uma cadência: consultar a lista de supressão e revisar a mensagem quanto a identificação e saída. Durante: registrar pedidos e respostas. Mensalmente: revisar retenção e eliminar o que perdeu finalidade. Na Sinal Meet, importar uma planilha organiza os contatos em listas privadas vinculadas à sua conta; a importação não envia mensagens nem verifica e-mails, e o uso da base é responsabilidade da empresa que a fornece. Use uma base que você esteja autorizado a utilizar e trate a conformidade como parte da qualidade da prospecção.