Pense na última vez que alguém precisou de um número da carteira.

O contador pediu a posição para fechar o mês: a analista exportou o arquivo e mandou por e-mail. O advogado precisou dos dados de três inadimplentes para ajuizar: foi no WhatsApp. O corretor queria conferir o saldo devedor de um cliente que pensa em quitar: print da tela, grupo do comercial. O sócio quis ver a posição no fim de semana: cópia no OneDrive pessoal dele.

Em um mês comum, a planilha da sua carteira de financiamento direto se multiplicou em pelo menos quatro cópias que ninguém mais controla. Nenhuma delas tem senha. Todas elas continuam existindo.

E não é uma planilha de números. É um cadastro.

## O que exatamente tem dentro daquele arquivo

Abra a aba "clientes" da sua carteira e conte o que está lá: nome completo, CPF, RG, data de nascimento, estado civil, nome do cônjuge, endereço residencial, telefone, e-mail, profissão, renda declarada, nome do empregador. Em muitos casos, também: a composição de renda do casal, o valor da entrada, o histórico de atraso e — se a construtora contratou prestamista — a declaração pessoal de saúde do titular.

Esse último item merece atenção. Dados de saúde são, pela Lei 13.709/2018, **dado pessoal sensível** (art. 5º, II), com regime jurídico mais rígido: exigem base legal específica, não admitem a maioria das hipóteses de legítimo interesse e elevam bastante o risco de qualquer incidente. CPF e renda não são sensíveis no sentido legal, mas são dados que, combinados, permitem fraude financeira direta contra o seu cliente.

Ou seja: você não tem uma planilha financeira. Você tem uma base de dados pessoais de centenas de famílias, mantida em um arquivo que qualquer pessoa com acesso pode copiar inteiro em dois segundos.

## Por que isso ficou mais caro exatamente agora

Até pouco tempo atrás dava para tratar LGPD como assunto de empresa grande. Em 2026 isso mudou de patamar.

Em **25 de fevereiro de 2026**, foi sancionada a **Lei nº 15.352/2026**, que inseriu a ANPD no rol das agências reguladoras da Lei nº 13.848/2019. A Autoridade passou a ter autonomia funcional, técnica, decisória, administrativa e financeira, ganhou uma carreira pública própria de regulação e fiscalização e foi reorganizada em seis superintendências — entre elas, uma **Superintendência de Fiscalização** dedicada.

Na prática: saiu de um órgão de orientação com equipe pequena para uma agência com estrutura, orçamento e gente para fiscalizar em escala.

O efeito já apareceu. Em **25 de agosto de 2026**, a ANPD aplicou multa de **R$ 153,7 milhões** à ByteDance, controladora do TikTok, por irregularidades no tratamento de dados de crianças e adolescentes — a maior sanção já imposta pela Autoridade.

O teto para a sua construtora não é esse, e é importante não vender pânico: a sanção pecuniária da LGPD é de **até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração** (art. 52). Para uma construtora de porte médio, 2% do faturamento é um número perfeitamente doloroso sem precisar chegar perto do teto. E a multa raramente vem sozinha: o mesmo artigo prevê publicização da infração, bloqueio e até **proibição de uso da base de dados**. Para quem vive de administrar carteira, essa última é a sanção que efetivamente para a operação.

## O prazo de 3 dias úteis que a planilha torna impossível

Aqui está o ponto que quase ninguém no setor calculou.

A **Resolução CD/ANPD nº 15/2024** exige que o controlador comunique incidente de segurança que possa acarretar risco ou dano relevante **à ANPD e aos titulares afetados em 3 dias úteis**, contados do momento em que tomou conhecimento de que o incidente atingiu dados pessoais. Agentes de pequeno porte têm o prazo em dobro.

Agora responda, com a carteira que você tem hoje, em três dias:

- **Quais** dados vazaram? (qual versão do arquivo era, exatamente?)
- **Quantos** titulares foram afetados? (a planilha de junho tinha 380 linhas ou 412?)
- **Quem** eram eles? (para notificar um a um, com nome e contato)
- **Quando** o acesso indevido aconteceu?
- **Quem** acessou?

Se a resposta honesta para "quem acessou a planilha e quando" é *não dá para saber*, você não tem como cumprir o prazo. Não por má-fé — por arquitetura. Um arquivo .xlsx não guarda registro de quem abriu, quem copiou e quem mandou para fora. Ele só guarda a última versão salva.

E o relógio, quando começa a correr, é curto: o custo médio de um vazamento de dados no Brasil chegou a **R$ 7,19 milhões em 2025**, alta de 6,5% no ano, segundo o relatório *Cost of a Data Breach* da IBM — conta que inclui perícia, paralisação, jurídico, gestão de crise e perda comercial, não a multa.

## Os quatro furos estruturais da carteira em planilha

Não é descuido da equipe. É o que o formato permite:

1. **Não existe perfil de acesso.** Quem abre a planilha vê tudo: 400 CPFs, 400 rendas, o contrato do sócio, o contrato do parente do sócio. Não dá para dar ao estagiário do financeiro acesso só à aba de recebimentos.
2. **Não existe trilha de auditoria.** Sem log de leitura, exportação e alteração, você não consegue nem provar inocência: se um dado de cliente aparecer em um golpe, não há como demonstrar que não saiu de você.
3. **A cópia é infinita e silenciosa.** Cada envio cria uma base nova, fora do seu controle, que continua atualizada na cabeça de quem recebeu e desatualizada no arquivo.
4. **Não existe retenção nem descarte.** O cliente que distratou em 2021 continua com CPF, renda e endereço na aba "histórico". A LGPD exige eliminação dos dados ao fim do tratamento (art. 15), ressalvadas as hipóteses de guarda legal. Planilha não elimina nada — ela acumula.

Some a isso o direito do titular de pedir acesso, correção, portabilidade ou eliminação dos seus dados, com resposta em prazo. Com a carteira espalhada em quatro arquivos e três caixas de e-mail, atender um único pedido desses vira um projeto.

## O que muda quando a carteira vira sistema

Nada disso é resolvido com treinamento ou com um termo assinado pela equipe. É resolvido quando o dado para de ser um arquivo e passa a ser um registro em um sistema com controle:

- **Perfis e permissões por função** — o financeiro vê recebimento, o jurídico vê inadimplência, o comercial vê saldo devedor. Ninguém baixa a base inteira porque precisa de um número.
- **Log de tudo** — quem consultou, quem alterou, quem exportou, em que dia e hora. Isso é o que transforma a resposta de "não sei" em um relatório de incidente entregável em 3 dias úteis.
- **Fonte única** — não existe "a versão da Fernanda". Existe a carteira. O contador, o advogado e o sócio consultam o mesmo lugar, com o acesso que cada um deveria ter.
- **Retenção e descarte por regra** — contratos encerrados saem do uso corrente e ficam apenas pelo prazo legal de guarda.
- **Atendimento ao titular** — extrato, saldo e histórico saem do próprio sistema, com registro, em vez de um print no WhatsApp.

Repare que nenhum desses itens é "conformidade". Todos são, antes disso, controle operacional — o mesmo controle que faz você saber quanto tem a receber mês que vem. A adequação à LGPD acaba sendo consequência de ter a carteira organizada, não um projeto separado.

## O teste de cinco perguntas

Faça agora, com a sua equipe:

1. Quantas cópias da carteira existem hoje fora do computador da analista?
2. Quem abriu o arquivo na semana passada?
3. Se um cliente pedir a eliminação dos dados dele amanhã, em quantos lugares você precisa mexer?
4. A planilha tem senha? Ela está compartilhada com alguém que saiu da empresa?
5. Se o notebook for roubado hoje à noite, você consegue dizer à ANPD, até sexta-feira, quantos e quais titulares foram afetados?

Se você não respondeu as cinco com segurança, a exposição não é hipotética. Ela só ainda não foi cobrada.

---

## Organize a carteira e o resto vem junto

O **ERP Vinit** foi construído para construtoras, incorporadoras e loteadoras que fazem financiamento direto: cadastro único de cliente e contrato, perfis de acesso por função, registro das operações, emissão e baixa de boletos, cobrança automática, controle de inadimplência e repasse bancário — tudo em um lugar só, em vez de um arquivo que circula.

Conheça em **[vinit.com.br](https://www.vinit.com.br/)** e veja como fica a sua carteira quando ela deixa de ser um anexo de e-mail.

---

## Fontes

- [Lei nº 15.352, de 25 de fevereiro de 2026 — Portal da Legislação](https://normas.leg.br/?urn=urn%3Alex%3Abr%3Afederal%3Alei%3A2026-02-25%3B15352)
- [ANPD ganha nova estrutura e se consolida como agência reguladora — gov.br/ANPD](https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-ganha-nova-estrutura-e-se-consolida-como-agencia-reguladora)
- [Resolução CD/ANPD nº 15, de 24 de abril de 2024 — Regulamento de Comunicação de Incidente de Segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis)
- [Mapa de sanções da ANPD — casos aplicados até 2026](https://confidata.com.br/blog/mapa-sancoes-anpd-todos-casos-2026)
- [ANPD em 2026: fiscalização em escala e uma agenda mais ampla para o ambiente digital — Daniel Law](https://www.daniel.com.br/pt/client-alert/anpd-em-2026-fiscalizacao-em-escala-e-uma-agenda-mais-ampla-para-o-ambiente-digital/)
- [Custo de vazamento de dados no Brasil chega a R$ 7,19 milhões (IBM, Cost of a Data Breach)](https://imasters.com.br/noticia/cada-vazamento-de-dados-no-brasil-custa-r-719-milhoes-as-empresas)
- [Brasil registra custo recorde por vazamentos de dados](https://sindpd.org.br/2026/02/06/brasil-custo-recorde-vazamento-dados/)
- [Cartilha LGPD para a Incorporação Imobiliária e Construção Civil — Sinduscon-RS](https://sinduscon-rs.com.br/wp-content/uploads/2023/01/Cartilha-LGPD-para-a-Incorporacao-Imobiliaria-e-Construcao-Civil-Martha-Leal-28.11.22.pdf-4.pdf)
- Lei nº 13.709/2018 (LGPD), arts. 5º, 15, 18, 46, 48 e 52