LGPD no projeto WMS: dados necessários, acessos e responsabilidades

No projeto WMS, identifique quais dados pessoais entram no sistema, para qual finalidade e quem precisa acessá-los. A LGPD não é atendida apenas escolhendo SaaS, instalando um banner ou acrescentando uma cláusula genérica. A análise deve acompanhar o tratamento concreto, com apoio jurídico e de privacidade.

Mapeie os dados no fluxo

Pedidos podem carregar informações de destinatários, e registros de tarefas podem identificar trabalhadores. Liste campos, origem, destino e finalidade. Diferencie dados necessários para executar a operação de informações copiadas apenas porque estavam disponíveis no ERP. Não duplique dados pessoais sem avaliar a necessidade.

O mapa deve incluir exportações, relatórios, ambientes de teste e chamados de suporte. Um processo pode proteger a tela principal e ainda expor informações em arquivos compartilhados. Pergunte quais pessoas e prestadores recebem esses arquivos e como o acesso é revogado quando deixa de ser necessário.

Defina acesso por função

Crie perfis compatíveis com a tarefa e revise permissões de consulta, exportação e ajuste. Um operador pode precisar localizar um volume sem acessar todo o cadastro do cliente. O nível adequado depende do processo e deve ser testado: restrição excessiva também pode levar a atalhos e compartilhamento de contas.

O papel de controlador ou operador não deve ser atribuído apenas pelo nome comercial do fornecedor. A definição depende das decisões e instruções relativas ao tratamento. Encaminhe contratos e fluxos ao responsável jurídico para análise do caso.

Proteja testes e chamados

Prefira dados sintéticos na homologação. Se uma falha exigir exemplo real, reduza o conjunto ao necessário e use um canal autorizado. Não publique captura de tela com nome, endereço ou outros dados de destinatários em grupos abertos ou repositórios de projeto.

Exemplo ilustrativo: para testar a duplicidade de um pedido, é possível criar identificadores e destinatários fictícios sem reproduzir uma base inteira. O que precisa ser preservado é o comportamento técnico relevante, como quantidade de linhas e estados, não a identidade das pessoas.

Revise o contrato e os prestadores

Peça informações sobre infraestrutura, subcontratados, suporte remoto e transferências de dados quando existirem. Defina responsabilidades por incidentes, solicitações de titulares e encerramento. A adequação das cláusulas e das bases legais precisa de avaliação profissional; este guia não fornece uma base legal única para todos os usos do WMS.

A política de retenção também depende de obrigações e finalidades. Não estabelecemos um prazo universal para logs, pedidos ou cadastros. O projeto deve identificar o que precisa ser guardado, o que pode ser reduzido e como a eliminação será executada sem quebrar vínculos necessários.

Mantenha governança depois da implantação

• Revise acessos em admissão, mudança de função e desligamento.
• Controle contas administrativas e acessos de suporte.
• Registre exportações e compartilhamentos relevantes.
• Atualize o mapa quando houver novo canal ou integração.
• Teste a revogação de acesso e o procedimento de incidente.
• Valide mudanças com o responsável por privacidade.

Um certificado ou declaração do fornecedor pode compor a avaliação, sem substituir o exame do uso real. Não anunciamos conformidade automática de produto nem revisão jurídica individual deste conteúdo. Consulte profissionais habilitados para decisões sobre bases legais, contratos e direitos de titulares.

Valide o perfil com uma conta de teste

Não avalie permissões apenas olhando a configuração administrativa. Acesse como cada perfil e tente consultar, alterar e exportar os dados previstos no roteiro. Verifique também relatórios e anexos, porque o acesso pode ser diferente da tela principal. Registre o resultado sem utilizar credenciais pessoais de outro trabalhador.

Teste a mudança de função e o desligamento de uma conta sintética. A revogação deve alcançar sessões e integrações conforme o desenho aprovado. Uma conta desativada em um sistema pode continuar válida em outro se os mecanismos de acesso forem independentes.

Inclua o suporte do fornecedor na análise. Pergunte como o acesso é autorizado, limitado e registrado. O objetivo é conhecer o fluxo real para que o responsável por privacidade avalie medidas e contratos. Este guia não declara que um controle isolado basta para conformidade; a avaliação depende do conjunto do tratamento e das obrigações aplicáveis.

Perguntas frequentes

WMS sempre trata dados pessoais?

Depende dos campos e dos registros. Informações de destinatários e identificadores de trabalhadores podem tornar o tratamento relevante. Faça o mapa da sua configuração, incluindo logs e integrações, em vez de decidir apenas pela categoria do software.

Consentimento resolve todo tratamento?

Não adote essa premissa. A base legal depende da finalidade e das condições aplicáveis. Encaminhe a análise ao responsável por privacidade. Este roteiro não recomenda obter consentimento indiscriminadamente nem define uma base para todos os dados.

Um banner de cookies basta para o WMS?

Não. Cookies são uma parte possível do tratamento. A análise também envolve cadastros, acessos, exportações, registros e prestadores. O guia da ANPD sobre cookies deve ser usado no contexto adequado, sem substituir o mapeamento do sistema.

Fontes e método

Consulte a LGPD, Lei nº 13.709/2018 e o Guia de Cookies da ANPD. As perguntas operacionais são uma proposta editorial, sem parecer jurídico.

Continue a decisão

• Falhas de implantação WMS: sinais de risco e como interromper a causa
• Inventário e acuracidade no WMS: conte, investigue e reconcilie
• Lote, validade e FEFO no WMS: teste bloqueios e exceções

Aplique as premissas no roteiro de ferramentas e consulte a comparação por modelos antes de consolidar a proposta. Guarde as pendências de informação para a próxima conversa com o fornecedor.