Transferência internacional de dados: o lead que sai pelo CRM, pixel e IA

Uma empresa média brasileira raramente tem um servidor fora do país. Mas o lead que preenche o formulário do site costuma atravessar a fronteira várias vezes antes de o comercial ligar para ele: vai para o CRM, alimenta a automação de e-mail, dispara um evento para a plataforma de anúncios, aparece no relatório de analytics e, se puxar conversa, passa pelo WhatsApp e por um chatbot com IA.

Os guias sobre o tema falam de nuvem em bloco e de artigos de lei. Este aqui faz o caminho inverso: percorre a pilha de marketing ferramenta por ferramenta, pergunta para onde vai o dado e mostra qual mecanismo cobre cada envio — e termina com o texto de transparência que vai na política de privacidade.

O que é transferência internacional de dados?

É a operação em que um agente de tratamento transmite, compartilha ou dá acesso a dados pessoais para outro agente localizado em país estrangeiro ou para um organismo internacional. A definição está no Regulamento de Transferência Internacional de Dados da ANPD (Resolução CD/ANPD nº 19/2024), que chama de exportador quem envia e de importador quem recebe.

Repare que a palavra decisiva é "acesso". Não é preciso mandar um arquivo para outro país: basta que a ferramenta hospede o dado lá, ou que uma equipe no exterior consiga consultá-lo. Por isso o assunto alcança quase toda empresa que usa software como serviço, mesmo a que nunca assinou nada em inglês de propósito.

O que a LGPD considera transferência — e o que não é?

O regulamento diz que a transferência se caracteriza quando um exportador passa dados a um importador. Ele também separa uma figura parecida, a coleta internacional: quando o próprio agente localizado no exterior coleta o dado diretamente do titular. Essa coleta não é transferência, mas continua sujeita à LGPD sempre que o serviço é oferecido a pessoas no Brasil ou o dado é coletado aqui.

Para o marketing, a distinção importa em três situações comuns:

• É transferência: sua empresa coleta o lead no site e o envia para um CRM hospedado fora do Brasil. Você é o exportador; o fornecedor, o importador.
• Pode ser coleta internacional: o visitante se cadastra diretamente numa plataforma estrangeira, que é controladora do próprio cadastro. A leitura de cada caso depende de quem decide sobre o dado.
• Zona cinzenta: o pixel instalado no seu site, que faz o navegador do visitante enviar eventos direto para a plataforma de anúncios. Na nossa leitura, a postura prudente é tratar esse fluxo como transferência sua, porque foi você quem instalou o código e escolheu os eventos.

Uma regra vale para todos os casos: a LGPD se aplica à operação realizada no território nacional, à oferta de bens ou serviços a quem está no Brasil e ao dado coletado aqui, independentemente do país de sede da empresa ou de onde os dados estejam. Mudar o servidor de lugar não tira a empresa da lei.

Quando a transferência internacional de dados pode ser realizada?

O art. 33 da LGPD lista nove casos em que a transferência é permitida. O regulamento da ANPD acrescenta uma exigência dupla: além do mecanismo do art. 33, o envio precisa de uma hipótese legal do art. 7º ou do art. 11 e de finalidade legítima, específica e informada ao titular. Para uma empresa privada fazendo marketing, os caminhos realistas são poucos:

Lei nº 13.709/2018, art. 33, e Resolução CD/ANPD nº 19/2024, art. 9º. A coluna da direita é leitura da Alliance Comunicação.

Os demais incisos — cooperação entre órgãos de investigação, proteção da vida, autorização da autoridade, acordo internacional e política pública — dizem respeito ao poder público ou a situações de emergência, e não sustentam uma operação de marketing.

O que mudou com a adequação da União Europeia em 2026?

O texto alcança todos os Estados membros da União Europeia, as instituições do bloco e os três países do Espaço Econômico Europeu que não são da UE: Islândia, Liechtenstein e Noruega. Na prática, se o seu fornecedor hospeda e processa os dados nesses países, o mecanismo está resolvido sem contrato adicional de transferência.

O alcance, porém, é menor do que parece. A adequação vale para o destino, não para a marca do fornecedor: uma ferramenta europeia que guarda dados nos EUA, ou uma americana com servidor na Irlanda e suporte acessando de outro continente, pede análise do fluxo real. E a própria resolução lembra que os outros mecanismos do art. 33 continuam disponíveis para esses mesmos países.

O que são as cláusulas-padrão contratuais para transferência internacional de dados?

São um modelo de contrato, redigido e aprovado pela ANPD no Anexo II da Resolução nº 19/2024, que estabelece as garantias mínimas para enviar dados a um país sem adequação reconhecida. O texto tem versões para os papéis das partes: uma opção para quando ao menos uma delas é controladora e outra para transferências entre operadores.

Como a resolução foi publicada em 23 de agosto de 2024, o prazo para incorporar as cláusulas venceu em agosto de 2025. Quem ainda depende de um contrato antigo, de um modelo europeu ou de uma cláusula genérica de "conformidade com a legislação aplicável" está, hoje, sem o mecanismo que o regulamento exige.

Dois detalhes do art. 16 costumam passar despercebidos. As cláusulas podem entrar como contrato próprio ou como termo aditivo a um contrato maior, mas o resto do contrato não pode excluir, modificar ou contrariar o que elas dizem. E "sem alteração" é literal: trocar uma palavra para acomodar o padrão do fornecedor invalida o mecanismo.

Alguns fornecedores grandes já publicam o texto brasileiro nos próprios termos. O adendo de tratamento de dados do Google para produtos em que ele atua como operador, por exemplo, traz um apêndice específico para a LGPD que remete às cláusulas-padrão brasileiras. Cada produto tem seus próprios termos, então a verificação é ferramenta por ferramenta, e não por empresa.

Para onde vai o dado em cada ferramenta de marketing?

É aqui que a teoria encontra a operação. A figura abaixo resume as seis paradas mais comuns de um lead e a pergunta que resolve cada uma:

1. Formulário do site e hospedagem

É a primeira parada. Se o formulário grava o lead num banco de dados ou serviço de formulários fora do país, a transferência começa ali. A escolha do servidor, e o que o plano de hospedagem não costuma informar, estão no artigo sobre o que o plano de hospedagem de site não diz; aqui basta registrar o país e quem administra.

2. CRM e automação de marketing

É a parada que concentra mais dado: a base inteira, com histórico de interações, etapa do funil e anotações do vendedor. A pergunta não é só onde o fornecedor hospeda, mas também onde ficam o suporte e os subcontratados que podem acessar a conta. O contrato de tratamento de dados (DPA) e a lista de suboperadores respondem as duas.

3. Pixel e API de conversões

O pixel faz o navegador do visitante mandar eventos para a plataforma de anúncios; a API de conversões faz o seu servidor mandar, muitas vezes com e-mail e telefone convertidos em hash. Hash não tira o dado da LGPD — o assunto está explicado em por que o e-mail com hash não é anônimo. Aqui o ponto central é identificar quem é controlador de quê nos termos da plataforma, porque isso define qual opção da cláusula-padrão se aplica.

4. GA4 e gerenciador de tags

O analytics recebe identificadores de navegação e, se a configuração for descuidada, dado que não deveria estar ali (e-mail na URL de agradecimento é o caso clássico). Confira quais termos de tratamento de dados você aceitou no painel do produto e se eles trazem o mecanismo brasileiro, além de revisar o que cada tag envia.

5. WhatsApp Business API

Aqui saem o telefone e a conversa inteira, o que pode incluir dado sensível que o cliente escreve sem ser perguntado. Há dois elos para checar: a plataforma de mensagens e o provedor que integra a API ao seu atendimento, cada um com hospedagem e contrato próprios.

6. Chatbot com IA

É a parada mais nova e a menos documentada nas empresas. Tudo o que o lead digita vai para o modelo de linguagem, e as perguntas são três: onde o processamento acontece, por quanto tempo o texto fica guardado e se ele pode ser usado para treinar o modelo. A responsabilidade quando o robô erra é outro capítulo, tratado em quem responde quando o chatbot com IA erra.

Como saber qual mecanismo cobre cada ferramenta?

Com o mapa em mãos, cada linha passa por duas perguntas. O fluxo abaixo resume a decisão para os casos que importam ao marketing:

1. Confirme o país de hospedagem e de processamento no DPA ou na página de segurança do fornecedor — não na sede da empresa.
2. Se o destino estiver na União Europeia ou no EEE, registre a Resolução nº 32/2026 como mecanismo.
3. Se estiver em outro país, verifique se o contrato traz as cláusulas-padrão da ANPD na íntegra, como contrato próprio ou aditivo.
4. Se o fornecedor não oferecer o texto brasileiro, trate como pendência: negocie o aditivo ou avalie trocar de ferramenta.
5. Registre tudo no inventário de dados, com a hipótese legal de cada tratamento ao lado do mecanismo.

O controlador é quem responde pela verificação, segundo o art. 4º do regulamento, e o operador é obrigado a fornecer as informações de que dispuser. Quando a agência opera as ferramentas em nome do cliente, a divisão de papéis muda o que cada um assina — o tema de controlador e operador na LGPD.

O que deve constar na política de privacidade sobre a transferência?

O mesmo artigo permite que esse documento fique numa página específica ou dentro da política de privacidade, desde que destacado e fácil de achar. E, se o titular pedir, a íntegra das cláusulas usadas deve ser entregue em até 15 dias, ressalvados os segredos comercial e industrial. Um modelo de seção, para adaptar à sua pilha real:

Transferência internacional: usamos fornecedores que armazenam dados fora do Brasil para gestão de contatos (CRM, Estados Unidos), mensuração de anúncios (Estados Unidos) e atendimento automatizado (Irlanda). Esses envios servem apenas para as finalidades descritas nesta política, duram enquanto o serviço estiver contratado e são cobertos pelas cláusulas-padrão da ANPD ou pela decisão de adequação da União Europeia.

Os países do exemplo são ilustrativos: troque pelos do seu mapa. Complete a seção com o canal do encarregado, os direitos do titular e a menção ao direito de peticionar à ANPD. A política que esquece o canal de atendimento é um problema à parte, analisado em o canal que o modelo de política de privacidade esquece.

Quais são os erros mais comuns?

• Olhar a sede, não o servidor. Fornecedor com escritório no Brasil pode hospedar fora, e vice-versa.
• Achar que o contrato europeu basta. As cláusulas da União Europeia não são as da ANPD; equivalência depende de reconhecimento específico da autoridade.
• Editar a cláusula-padrão. O regulamento exige o texto integral e sem alteração. Ajuste vira cláusula específica, que precisa de aprovação.
• Usar o consentimento como coringa. O consentimento do art. 33, VIII, precisa ser específico e em destaque, e pode ser revogado. Não sustenta sozinho um CRM inteiro.
• Esquecer o chatbot e o WhatsApp. São as ferramentas que mais recebem texto livre e as que menos aparecem nos inventários.
• Não avisar o titular. Mecanismo sem a página de transparência deixa a transferência incompleta.

O risco não é teórico. Entre as sanções do art. 52 da LGPD está a multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de advertência e publicização da infração. A primeira providência, porém, costuma ser a mais barata: saber o que está acontecendo.

O que muda por tipo de empresa?

Leitura da Alliance Comunicação a partir da prática com clientes.

Em comum, todos precisam do mesmo ponto de partida: um inventário que liste cada ferramenta, o dado que ela recebe e o país de destino. Quem quiser ajuda para montar esse mapa e alinhar contratos e política encontra o serviço de adequação à LGPD da Alliance; quem quiser primeiro uma visão do marketing inteiro pode começar pelo diagnóstico de marketing gratuito.

Por onde começar hoje

1. Faça o teste da aba Rede no formulário principal do site e liste os domínios de terceiros.
2. Some a eles o CRM, a automação, o WhatsApp e o chatbot, mesmo que não apareçam no navegador.
3. Para cada ferramenta, anote o país de hospedagem e o documento que o comprova.
4. Marque o mecanismo: adequação (UE e EEE) ou cláusula-padrão da ANPD; o que não tiver nenhum vira pendência.
5. Peça o aditivo com as cláusulas-padrão aos fornecedores pendentes, sem aceitar texto modificado.
6. Publique a seção de transferência internacional na política de privacidade e revise o mapa a cada ferramenta nova.

Nada disso exige parar o marketing. Exige saber por onde o lead passa — e é justamente o tipo de informação que, quando falta, a empresa só descobre no dia em que alguém pergunta.