conformidade GDPR análise de visitantes — Guia Completo de Conformidade GDPR para Análise de Visitantes | Vemco Group

A maioria dos projetos de contagem de visitantes que travam na etapa de compliance não trava por causa da tecnologia. Trava porque ninguém consegue responder, por escrito, a uma pergunta simples do DPO: em que momento exato o dado deixa de ser pessoal? Se o fornecedor processa vídeo bruto na nuvem antes de anonimizar, a resposta é desconfortável — e o projeto inteiro passa a exigir base legal, DPIA completa e, possivelmente, sinalização na loja. Se a anonimização acontece no sensor, antes de qualquer transmissão, a conversa muda completamente. Este guia trata dessa diferença e do que ela significa para quem assina o contrato.

Por que "contagem de pessoas" pode ser dado pessoal — ou não

O GDPR (e a LGPD, para operações no Brasil) não regula "análise de visitantes" como categoria. Regula o tratamento de dados que identifiquem ou possam identificar uma pessoa natural. Um número agregado — "1.247 entradas na terça-feira" — não identifica ninguém. Mas o caminho até esse número importa. Sensores estéreo ou de vídeo capturam, por frações de segundo, imagens que tecnicamente contêm dados pessoais. A questão jurídica central é onde e quando essas imagens são descartadas.

Há três arquiteturas comuns no mercado, com implicações regulatórias muito diferentes:

• Processamento na borda (edge): o sensor converte a imagem em contagem localmente e transmite apenas números agregados. Nenhum dado pessoal sai do dispositivo. Este é o cenário mais defensável perante autoridades de proteção de dados.
• Processamento em nuvem com anonimização posterior: vídeo ou frames são enviados para servidores do fornecedor antes da conversão em métricas. Aqui existe tratamento de dados pessoais, ainda que breve, exigindo contrato de operador (art. 28 do GDPR), avaliação de transferência internacional e base legal documentada.
• Sistemas com identificação ou reidentificação: reconhecimento facial, rastreamento por MAC address sem hashing adequado, ou perfis de recorrência individual. Estes exigem análise jurídica pesada e, em vários casos na Europa, foram objeto de multas.

Na Vemco Group, que atende mais de 2.000 clientes em mais de 95 países desde 2005, a contagem de pessoas foi desenhada dentro da primeira categoria: sem identificação pessoal, com exclusão de funcionários e entrega apenas de contagens agregadas. Para o time de compliance, isso significa que a DPIA tende a ser curta em vez de um projeto de três meses.

A DPIA que o seu DPO realmente vai pedir

Mesmo com anonimização na origem, muitas organizações optam por conduzir uma avaliação de impacto simplificada — e fazem bem. Ela serve como prova de diligência caso uma autoridade questione o sistema. Os pontos que a avaliação precisa cobrir, com evidência do fornecedor e não apenas com afirmações comerciais:

• Diagrama de fluxo de dados: o que o sensor captura, o que processa, o que transmite e o que armazena — com confirmação técnica de que imagens não persistem.
• Mecanismo de exclusão de funcionários: como o sistema distingue equipe de visitantes sem criar um perfil identificável do próprio funcionário.
• Residência dos dados e modelo de hospedagem: nuvem hospedada ou nuvem privada, e em qual jurisdição. Soluções que oferecem ambas as opções, como a da Vemco, dão à equipe de TI margem para atender políticas internas de residência sem trocar de fornecedor.
• Períodos de retenção das métricas agregadas — mesmo dados anônimos devem ter política de ciclo de vida definida, ainda que por governança e não por obrigação legal.
• Acesso e autenticação: quem vê os dashboards, como o acesso é revogado, e se a plataforma se integra ao seu diretório corporativo.

O que exigir no processo de compra — e o que verificar, não presumir

Equipes de procurement costumam receber respostas genéricas do tipo "somos 100% compatíveis com GDPR". Isso não é uma resposta; é um slogan. Conformidade é uma propriedade do tratamento, não do produto. Nas RFPs, substitua a pergunta genérica por exigências verificáveis:

• Declaração técnica assinada descrevendo onde ocorre a anonimização e confirmando a não-persistência de imagens.
• Certificações de segurança (SOC 2, ISO 27001) com cópia dos certificados ou relatórios — peça o documento, não a menção no material de vendas.
• Suporte a SSO/SAML e trilhas de auditoria de acesso, confirmados em prova de conceito.
• Lista de suboperadores e localização dos data centers, com obrigação contratual de notificação em caso de mudança.
• Compromisso contratual de precisão. Aqui vale honestidade: um fornecedor sério oferece um mínimo contratual — no caso da Vemco, 96% — e resultados típicos de 98–99% quando iluminação, layout da loja e comportamento dos visitantes permitem. Desconfie de quem garante 99% em qualquer condição; ninguém que já instalou sensores em uma entrada com porta giratória e luz solar direta faria essa promessa.

A armadilha que quase todo implementador já viu

Uma observação de campo: o risco de compliance raramente nasce no sistema de contagem em si. Nasce seis meses depois, quando alguém do marketing pede para cruzar as contagens com dados do Wi-Fi da loja, do programa de fidelidade ou do CFTV — e de repente aquele dado agregado e anônimo vira parte de um pipeline que reidentifica pessoas. A anonimização só protege enquanto o dado permanece isolado de fontes que permitam reidentificação. Documente na política interna quais cruzamentos são permitidos e submeta qualquer nova integração ao DPO antes, não depois. É uma cláusula de uma página que evita um incidente reportável.

Outro ponto prático: a integração com sistemas de TI existentes — ERP, BI, plataformas de workforce management — deve acontecer no nível das métricas agregadas, via API, nunca no nível do sensor. Isso mantém a fronteira de anonimização intacta e simplifica auditorias, porque o auditor examina um único ponto de conversão em vez de rastrear dados por cinco sistemas.

GDPR e LGPD: o que muda para operações no Brasil

Para varejistas com lojas no Brasil e na Europa, a boa notícia é que uma arquitetura desenhada para o GDPR atende, na prática, aos requisitos da LGPD para este caso de uso. As diferenças relevantes estão nos detalhes operacionais: a LGPD reconhece o "legítimo interesse" de forma semelhante, mas a ANPD tem orientações próprias sobre anonimização, e o relatório de impacto (RIPD) tem estrutura ligeiramente distinta da DPIA europeia. Mantenha um único dossiê técnico do fornecedor e produza os dois relatórios a partir dele — retrabalho zero, consistência total entre jurisdições.

O critério final para qualquer decisão de compra nesta categoria é este: se amanhã uma autoridade de proteção de dados pedir para ver o fluxo de dados do seu sistema de contagem, você consegue entregar um diagrama de uma página que termina em "nenhum dado pessoal é armazenado ou transmitido"? Se o fornecedor não consegue ajudá-lo a produzir esse diagrama antes da assinatura do contrato, ele não vai conseguir depois.

Quer avaliar como uma solução de contagem de pessoas com anonimização na origem, exclusão de funcionários e opções de nuvem hospedada ou privada se encaixa nos seus requisitos de GDPR e LGPD? Fale com a equipe da Vemco Group em vemcogroup.com/contact-us e solicite a documentação técnica de fluxo de dados para apoiar a sua DPIA antes mesmo do piloto.