Versão 0.1, rascunho em revisão jurídica. Os trechos marcados ainda serão preenchidos antes da publicação.
Teste de balanceamento (LIA) — listas mensais de empresas abertas
Controlador: ROCKFORT HUB DE INOVACAO LTDA (ROCKFORT HUB DE INOVACAO LTDA, CNPJ 40.435.866/0001-40). Produto: Abriu Agora. Versão: 0.1, 2026-10-01. Próxima revisão: ao rodar a primeira amostra real (medir % de MEI/EI) e sempre que o escopo da lista mudar.
Tratamento avaliado: extrair dos Dados Abertos do CNPJ (Receita Federal) as empresas abertas no mês anterior em uma microrregião, filtrar por grupos de CNAE, e entregar a planilha a assinantes B2B (escritórios de contabilidade, prestadores locais). Titulares afetados: MEI e empresários individuais, cujo CNPJ e endereço de estabelecimento podem identificar uma pessoa física. Sociedades (LTDA, S/A) não são titulares; seus sócios não aparecem na lista.
Fase 1 — Finalidade
| Pergunta do guia | Resposta |
|---|---|
| Qual é o interesse legítimo? | Interesse econômico do controlador (vender a lista) e de seus clientes (encontrar empresas recém-abertas na região para oferecer contabilidade e serviços de apoio). É interesse lícito, concreto e atual, enquadrado no art. 10, I, da LGPD ("apoio e promoção de atividades do controlador"). |
| Finalidade específica | Permitir que o assinante identifique, no mês seguinte à abertura, as empresas do seu território e ramo, para fazer uma oferta profissional e identificada. Nenhum outro uso: sem crédito, cobrança, perfilamento, publicidade pessoal. |
| Situação concreta | Entrega mensal, até o dia 10, de até 5 cidades e 3 grupos de CNAE por assinante. Dados já publicados pela Receita para transparência cadastral e segurança do comércio; o uso para oferta B2B é compatível com essa finalidade pública (art. 7º, §§ 3º e 7º). |
| Benefício para o titular? | Indireto, mas real: empresa recém-aberta precisa de contador, banco, seguro e fornecedores no primeiro mês; a oferta chega quando ela está procurando. |
Fase 2 — Necessidade
| Pergunta | Resposta |
|---|---|
| Dados estritamente necessários | CNPJ, razão social (só sociedades), nome fantasia, natureza jurídica, porte, CNAE, endereço do estabelecimento, data de abertura, situação. Cada campo serve a uma função: localizar (endereço, cidade), qualificar (CNAE, porte, natureza) e identificar a empresa (CNPJ, nome fantasia). |
| Dados excluídos, apesar de públicos | Nome de pessoa física de MEI/EI, CPF (inteiro ou mascarado), faixa etária, quadro societário, telefone e e-mail cadastrais. Removemos os 11 dígitos de CPF que ainda aparecem na razão social de MEIs antigos. |
| Dá para atingir o fim com menos? | Testado: sem CNPJ ou sem endereço o assinante não consegue localizar nem conferir a empresa na consulta oficial; sem CNAE/porte não consegue filtrar. Os demais campos foram cortados. |
| Retenção | Arquivos brutos da Receita apagados após o processamento; listas entregues guardadas 12 meses; lista de supressão (só CNPJ) por tempo indeterminado. |
Fase 3 — Balanceamento e salvaguardas
Expectativa legítima do titular. Quem abre um CNPJ sabe que o cadastro é público e consultável por qualquer pessoa no site da Receita; MEI e EI usam o CNPJ justamente para atuar no mercado e ser encontrados. Receber uma oferta profissional de contabilidade ou de serviços no primeiro mês está dentro do que se espera ao abrir um negócio. Fica fora da expectativa: publicação em massa, abordagem pessoal fora do contexto do negócio, cruzamento com dados da vida privada, contato insistente.
Impactos e riscos para o titular. (1) Receber contatos comerciais não solicitados de vários assinantes, com incômodo; (2) endereço do MEI coincidir com a residência, revelando onde a pessoa mora; (3) assinante usar a lista de forma abusiva (spam, revenda); (4) dado desatualizado gerar contato indevido. Não há dado sensível, nem de criança, nem decisão automatizada com efeito jurídico. Gravidade: baixa a moderada; probabilidade de (1) e (4): moderada; de (2) e (3): baixa, com as medidas abaixo.
Medidas de mitigação adotadas.
- Transparência: Política de Privacidade pública com fonte, finalidade, base legal, destinatários e este LIA resumido; assinantes obrigados a informar a origem ao contatar.
- Oposição fácil: e-mail privacidade@DOMINIO, sem documento nem justificativa; supressão em 2 dias úteis; o CNPJ sai de todas as entregas futuras e os assinantes que o receberam nos últimos 12 meses são avisados e devem apagar em 5 dias úteis.
- Limites contratuais ao assinante: licença de uso interno, proibição de revenda, de envio em massa sem identificação e descadastro, de cruzamento com CPF ou dados sensíveis; assinante como controlador independente, com rescisão por violação.
- Minimização: campos listados na Fase 2; sem nome de pessoa física; sem contato validado.
- Escala contida: cada assinante recebe só a sua microrregião e seus ramos; não existe base nacional à venda.
- Segurança: acesso restrito, entrega por link expirável ou anexo protegido, registro de operações (art. 37).
- Direitos do art. 18 atendidos em até 15 dias; canal também serve para a ANPD.
Resultado. O interesse é lícito e específico, os dados são os mínimos, o titular pode razoavelmente esperar o uso, os impactos são de baixa gravidade e as salvaguardas são proporcionais. Conclusão: o legítimo interesse (art. 7º, IX, c/c art. 10, I) é base legal adequada para este tratamento, com as medidas acima. RIPD completo não é exigido neste momento, por não se tratar de alto risco; será elaborado se a ANPD solicitar ou se o escopo mudar (por exemplo, inclusão de telefone/e-mail ou de nome de sócios).
Gatilhos de revisão: mudança nos campos entregues; mais de 70% da lista composta por MEI/EI; qualquer reclamação de titular ou notificação da ANPD; mudança na publicação dos dados abertos pela Receita.
Aprovado por: {NOME_RESPONSAVEL}, em {DATA}.