/ops-compliance-tracking

Se encontrar placeholders desconhecidos ou precisar verificar quais ferramentas estão conectadas, consulte CONNECTORS.md.

Rastreia requisitos de compliance, prepara para auditorias e mantém prontidão regulatória. Foco primário em LGPD para operação brasileira da Evolution API.

Agente

Lex — jurídico, compliance, contratos, LGPD.

Frameworks Relevantes

Framework	Foco	Relevância para Evolution
LGPD	Privacidade de dados (Brasil)	CRÍTICO — operação 100% brasileira, lida com dados de usuários e mensagens WhatsApp
SOC 2	Organizações de serviço	Relevante para clientes enterprise e parcerias como HostGator
ISO 27001	Segurança da informação	Desejável para credibilidade no mercado B2B
GDPR	Privacidade de dados (UE)	Aplicável se houver clientes europeus do Evo AI
PCI DSS	Dados de cartão de pagamento	Aplicável ao pipeline de pagamentos via Stripe
Marco Civil da Internet	Direito digital brasileiro	Aplicável a logs e registros de acesso

LGPD — Checklist Primário

Bases Legais (Art. 7 e 11 LGPD)

Para cada tipo de dado pessoal processado pela Evolution API:

Dado	Base Legal	Documentado?	Revisão
Número de telefone WhatsApp	Contrato / Legítimo interesse	[ ]	[Data]
Mensagens de usuários	Execução de contrato	[ ]	[Data]
Dados de pagamento (Stripe)	Contrato	[ ]	[Data]
Dados de analytics	Legítimo interesse / Consentimento	[ ]	[Data]
Email de usuários (Evo AI)	Contrato	[ ]	[Data]

Direitos dos Titulares (Art. 18 LGPD)

• Procedimento documentado para acesso a dados (prazo: 15 dias)
• Procedimento para retificação de dados
• Procedimento para exclusão / portabilidade
• Canal de atendimento ao titular identificado
• Responsável (DPO ou encarregado) designado

Segurança e Incidentes (Art. 46 e 48 LGPD)

• Medidas técnicas de segurança documentadas
• Processo de resposta a incidentes definido
• Prazo de notificação à ANPD (72h para incidentes graves)
• Registro de incidentes mantido
• Avaliação de impacto (DPIA) para tratamentos de alto risco

Contratos com Terceiros (Operadores LGPD)

• Cláusula de proteção de dados em contratos de fornecedores
• DPA (Data Processing Agreement) com vendors que processam dados pessoais
• Inventário de terceiros com acesso a dados pessoais

Política de Privacidade

• Política de privacidade publicada e acessível
• Linguagem clara, sem juridiquês
• Atualizada (data visível)
• Cobre todos os tratamentos de dados realizados

Componentes de Rastreamento de Compliance

Inventário de Controles

• Mapear controles para requisitos do framework
• Documentar donos de controle e evidências
• Rastrear efetividade do controle

Calendário de Auditoria

• Datas de auditoria e deadlines futuros
• Timelines de coleta de evidências
• Deadlines de remediação

Gestão de Evidências

• Quais evidências são necessárias para cada controle
• Onde as evidências estão armazenadas (Notion, arquivos locais)
• Quando a evidência foi coletada pela última vez

Análise de Gap

• Requisitos vs. estado atual
• Plano de remediação priorizado
• Timeline para compliance

Output

## Status de Compliance: [Framework] — [Data]
**Escopo:** [O que foi avaliado] | **Avaliado por:** [Nome]

### Dashboard de Status

| Framework | Status | Controles OK | Gaps | Críticos |
|-----------|--------|-------------|------|---------|
| LGPD | 🟢/🟡/🔴 | [X/Total] | [X] | [X] |
| [Outro] | 🟢/🟡/🔴 | [X/Total] | [X] | [X] |

### Análise de Gap — LGPD

| Requisito | Status | Evidência Existente | Ação Necessária | Responsável | Deadline |
|-----------|--------|--------------------|-----------------|-----------|---------|
| Base legal documentada | 🟡 Parcial | [Onde está] | [O que falta] | [Nome] | [Data] |
| Política de privacidade | 🔴 Ausente | — | Criar e publicar | [Nome] | [Data] |
| Canal DPO/Encarregado | 🟢 OK | [Link] | — | — | — |

### Itens Críticos (Ação Imediata)

1. **[Item crítico]**
   - Risco: [O que pode acontecer se não for resolvido]
   - Ação: [O que fazer]
   - Responsável: [Quem]
   - Deadline: [Data]

### Plano de Remediação

| Prioridade | Item | Esforço | Responsável | ETA |
|-----------|------|---------|------------|-----|
| Alta | [Item] | [Baixo/Médio/Alto] | [Nome] | [Data] |

### Calendário de Compliance

| Evento | Data | Responsável | Status |
|--------|------|------------|--------|
| Revisão anual LGPD | [Data] | Lex / Vitor | [ ] |
| Renovação de DPA com vendors | [Data] | Thaís | [ ] |
| Atualização da Política de Privacidade | [Data] | Davidson | [ ] |

### Próxima Revisão
**Data:** [Data] | **Responsável:** [Nome]

Se Conectores Disponíveis

Se Notion MCP estiver conectado:

• Buscar documentação de compliance existente para atualizar em vez de duplicar
• Publicar checklist e plano de remediação na wiki do Notion
• Criar database de controles com status e evidências

Se Google Calendar MCP estiver conectado:

• Agendar revisões periódicas de compliance
• Criar lembretes para deadlines de auditoria e renovação

Se Gmail MCP estiver conectado:

• Rascunhar comunicações com ANPD ou titulares de dados quando necessário

Contatos-Chave

Papel	Pessoa	Contexto
Jurídico Etus	Vitor Lacerda	Questões legais LGPD
Jurídico Brius/Etus	Thaís Menezes	Contratos com cláusulas LGPD
Financeiro	Samara Ângela	NFs e contratos de vendors

Dicas

1. LGPD primeiro — Para a Evolution, LGPD é o framework mais urgente e de maior risco imediato.
2. Evidências documentadas — "Fazemos isso" não conta para auditoria. "Fazemos isso e aqui está o registro" conta.
3. Revisão periódica — Compliance não é um projeto, é um processo. Revisar trimestralmente no mínimo.
4. Envolver jurídico — Para decisões de base legal e contratos, sempre validar com Vitor ou Thaís.