LGPD para infoprodutores: o que fazer com dados de aluno

Você exportou a lista de alunos para mandar um aviso de turma nova. Planilha com nome, e-mail, WhatsApp, às vezes CPF. Abriu no notebook, mandou o arquivo para o editor de vídeo “dar uma olhada” e deixou uma cópia no Drive, com o link aberto para facilitar.

Nada disso parece grave na hora. Mas um aluno pede para ser removido da sua base, outro pergunta por que recebeu mensagem de um parceiro que você nem conhece, e de repente você percebe que não sabe responder onde estão os dados dele.

A LGPD (Lei Geral de Proteção de Dados) existe desde 2018, e infoprodutor lida com dado pessoal todo dia. Não precisa virar advogado. Precisa de meia dúzia de hábitos que cabem na rotina de quem vende sozinho.

O resumo, se você só tem dois minutos:

• Nome, e-mail, telefone e CPF de aluno e de lead já são dado pessoal protegido pela lei.
• Peça só o que precisa: quanto menos dado você guarda, menos risco carrega.
• Toda loja precisa de política de privacidade clara e de um canal para o aluno pedir seus dados.
• Planilha solta no Drive e no WhatsApp é o vazamento mais comum, e o mais evitável.

Por que a LGPD vale para quem vende curso

A lei vale para qualquer pessoa ou empresa que trate dado pessoal, e isso inclui quem tem um curso, uma mentoria ou uma lista de e-mails. Tamanho não isenta. MEI e criador solo estão dentro.

A pena existe: a lei prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de advertência e bloqueio dos dados. Na prática, a fiscalização costuma mirar quem tem volume grande ou incidente sério. Mesmo assim, o risco real para o pequeno é outro: perder a confiança do aluno e ter conta ou anúncio derrubado por reclamação.

Um aviso honesto: este texto é um guia prático, não parecer jurídico. Se você trabalha com dado sensível ou tem uma operação grande, converse com um advogado de proteção de dados.

Que dados você realmente coleta

Antes de qualquer regra, faça o inventário. Pegue papel e liste onde entra informação de pessoa:

• Página de captura e formulário de isca digital.
• Checkout (nome, e-mail, CPF, endereço, telefone).
• Área de membros e comunidade.
• Pixel e cookies do site, que registram comportamento de navegação.
• WhatsApp, Instagram e e-mail de suporte.
• Planilhas, CRM e ferramenta de e-mail marketing.

Para cada ponto, responda: o que eu guardo, para quê, onde fica e quem tem acesso. Se alguma resposta for “não sei”, achou o seu primeiro problema.

Quem usa isca digital para captar contatos já está nessa lista, e o post sobre coletar leads com iscas digitais mostra como montar essa entrada de forma limpa.

Base legal: com que direito você usa esse dado

A LGPD não exige consentimento para tudo. Ela pede uma base legal, ou seja, uma justificativa válida para tratar o dado. As que mais aparecem na rotina de infoproduto:

• Execução de contrato: o aluno comprou, então você precisa do nome e do e-mail para entregar o acesso e emitir a cobrança.
• Cumprimento de obrigação legal: guardar dado fiscal e de venda pelo prazo que a lei manda.
• Consentimento: o lead marcou que quer receber seus e-mails. É a base típica de marketing.
• Legítimo interesse: usado com cuidado, por exemplo para prevenir fraude. Exige uma avaliação que costuma pedir ajuda jurídica.

A confusão mais comum é achar que quem comprou aceitou receber qualquer coisa. Não aceitou. Comprar o curso justifica entregar o curso. Mandar promoção de outro produto é marketing, e o ideal é ter consentimento claro para isso e uma forma fácil de sair da lista.

O que sua loja precisa ter publicado

O mínimo que vale ter no ar:

1. Política de privacidade: explica que dados você coleta, para quê, com quem compartilha e por quanto tempo guarda. Em linguagem normal, sem juridiquês copiado de outro site.
2. Aviso de cookies: se você usa pixel de anúncio ou ferramenta de análise, o visitante precisa saber e poder recusar o que não é essencial. Isso conversa direto com como configurar pixel e rastreamento.
3. Checkbox de consentimento nos formulários de captura, sem caixa pré-marcada.
4. Canal de contato para o titular exercer seus direitos. Um e-mail dedicado resolve.

Copiar a política de uma loja grande é tentador, e é uma má ideia. Ela descreve o que aquela empresa faz, não o que você faz. Se você diz que não compartilha dado e usa cinco ferramentas que recebem o e-mail do aluno, o texto vira prova contra você.

Os direitos do aluno e como responder

A lei dá ao titular uma lista de direitos. Os que mais chegam na caixa de entrada do criador:

• Saber se você tem dados dele e acessar uma cópia.
• Corrigir informação errada.
• Pedir a exclusão de dados tratados com base em consentimento.
• Revogar o consentimento a qualquer momento, o que na prática significa sair da lista de e-mail.

A lei fala em atender o pedido em prazo curto, e a regulamentação da ANPD (a autoridade que fiscaliza o tema) detalha os prazos. Confira os atuais no site do órgão. O que importa na rotina: responda, não ignore, e guarde o registro de que respondeu.

Um detalhe que pega muita gente. Excluir o aluno não significa apagar tudo. Dados de venda e de nota fiscal podem precisar ficar guardados por obrigação legal. Você apaga o que é marketing, mantém o que a lei manda manter, e explica isso ao aluno.

Onde o vazamento acontece de verdade

Quando se pensa em vazamento, vem na cabeça um hacker. Na realidade, o caso típico de infoprodutor é bem mais banal:

• Planilha de alunos compartilhada com link aberto.
• Lista exportada e mandada por WhatsApp para a equipe.
• Notebook sem senha ou sem bloqueio de tela.
• Senha igual em todas as ferramentas, sem verificação em duas etapas.
• Ex-colaborador que ainda tem acesso ao painel.

Corrigir isso é barato. Use acesso por convite em vez de link público, ative a verificação em duas etapas, dê a cada pessoa só o acesso de que ela precisa e revise a lista de acessos de tempos em tempos.

Se um incidente acontecer e puder causar risco ou dano relevante aos titulares, a lei prevê comunicar a ANPD e as pessoas afetadas. Ter o inventário feito antes ajuda muito: você sabe o que vazou e consegue avisar rápido.

Dados de pagamento: o que fica com você

Aqui há uma boa notícia. Número de cartão, em geral, não passa pelo seu computador: quem processa é o gateway ou a plataforma de checkout. Você não deveria pedir cartão por mensagem nem anotar dado de pagamento em planilha.

Isso reforça a escolha da infraestrutura. Plataforma que concentra tudo, esconde a base de clientes e segura o acesso aos seus dados deixa você refém, e o problema pode ficar maior se a conta for bloqueada. Você precisa conseguir exportar a sua lista de compradores quando quiser.

Como a Miblify ajuda nessa rotina

Na Miblify, a base de alunos e de leads fica no seu painel, e você é dono dela. Nada de depender de pedir ao suporte uma lista dos seus próprios clientes. Isso facilita responder ao aluno que pede os dados e manter só o que faz sentido.

A plataforma não substitui a sua política de privacidade nem o seu advogado, e nenhuma ferramenta deveria prometer isso. O que ela entrega é o controle: você sabe onde os dados estão, e o checkout cuida do pagamento sem você lidar com cartão.

Começar custa zero, então dá para organizar a casa antes do primeiro lançamento.

Checklist rápido para esta semana

1. Liste onde entra e onde fica dado de aluno e de lead.
2. Apague planilhas antigas e links públicos do Drive.
3. Ative a verificação em duas etapas em e-mail, painel e redes.
4. Publique ou revise sua política de privacidade e o aviso de cookies.
5. Crie um e-mail para pedidos de titulares e responda sempre.
6. Garanta um link de descadastro em todo e-mail de marketing.

Perguntas frequentes

MEI e criador pequeno precisam seguir a LGPD?

Sim. A lei vale para quem trata dado pessoal, independentemente do tamanho. O que muda é o grau de formalização: um criador solo faz o essencial bem feito, sem montar uma estrutura de empresa grande.

Preciso de consentimento para enviar e-mail para quem comprou?

Para entregar o produto e avisar sobre a compra, não: a base é o contrato. Para mandar promoção e conteúdo de marketing, o recomendado é ter consentimento e sempre oferecer o descadastro.

Posso usar pixel de anúncio sem avisar o visitante?

O ideal é avisar. Pixel e cookies de análise coletam comportamento, e o visitante deve saber e poder recusar o que não é essencial. Um aviso de cookies com opção de recusa resolve a maior parte do caso.

Posso guardar CPF e endereço de aluno?

Só se precisar. Se o dado é necessário para emitir nota ou cumprir obrigação legal, tudo bem, como explicamos em nota fiscal de produto digital. Se não tem uso claro, não colete.

Conclusão

LGPD, para quem vende conteúdo, é arrumação de casa. Saber que dado você tem, justificar por que tem, proteger o acesso e dar ao aluno uma saída fácil. Isso protege a sua reputação e deixa a sua base de clientes mais valiosa, porque é uma base em que as pessoas confiam.

Crie sua conta grátis na Miblify e comece a vender hoje.