Pode ser um funcionário que mandou a planilha de clientes para o contato errado, um celular perdido com pedidos no WhatsApp, uma conta de marketplace invadida ou um sistema atacado. Qualquer que seja a causa, a primeira reação costuma ser pânico ou silêncio. Nenhuma das duas ajuda. O que ajuda é um roteiro: conter, entender, comunicar e corrigir.
Se o seu problema é pessoal, e não da loja, veja vazamento de dados: o que fazer quando suas informações vazam. Aqui o foco é o lojista com dados de clientes.
Nas primeiras horas: contenha
O objetivo é impedir que o problema aumente.
- Troque as senhas dos sistemas envolvidos (ERP, marketplace, e-mail, nuvem), a partir de um aparelho limpo, e ative a verificação em duas etapas.
- Encerre sessões e revogue acessos e integrações suspeitos.
- Desligue ou isole equipamentos que possam estar infectados.
- Remova a exposição: se uma pasta ou planilha estava com link público, restrinja o acesso. Se um e-mail foi enviado por engano, tente recolher a mensagem, quando possível, e peça ao destinatário que apague.
- Preserve evidências: não apague logs, e-mails ou mensagens. Eles ajudam a entender o que aconteceu.
Entenda o que aconteceu
Responda, por escrito, às seguintes perguntas:
- O que foi exposto? Nomes, endereços, CPF, e-mails, telefones, dados de pagamento, senhas?
- De quantas pessoas? Um cliente ou milhares?
- Como ocorreu? Erro humano, conta invadida, dispositivo perdido, falha do fornecedor?
- Quando começou e quando foi descoberto?
- Os dados foram vistos, copiados ou usados? Há indícios de uso?
Anote data, hora e quem fez o quê. Esse registro será útil para clientes, plataformas, advogado e eventual denúncia.
Avise quem precisa saber
Dependendo do caso, comunique:
- Fornecedores e plataformas: ERP, marketplace, gateway de pagamento, hospedagem. Eles podem ajudar a conter e investigar.
- Banco e processador de pagamentos, se houver dados financeiros ou risco de fraude.
- Contador, se envolver dados fiscais ou certificados.
- Seguradora, se houver seguro cibernético.
- Advogado, para avaliar obrigações legais.
Se a invasão foi por conta da plataforma, siga como proteger a conta de vendedor no marketplace.
Comunique os clientes afetados
Quando houver risco para as pessoas, a comunicação transparente reduz o dano. A LGPD prevê comunicação em determinados casos, e o advogado pode orientar prazo e forma. Em geral, uma mensagem clara contém:
- O que aconteceu, em linguagem simples e sem alarmismo.
- Quais dados foram afetados.
- Quando ocorreu e o que você já fez para conter.
- O que o cliente deve fazer: trocar senhas, desconfiar de contatos suspeitos, acompanhar movimentações.
- Canal de contato para dúvidas.
Alerte também para golpes derivados: com dados vazados, golpistas ligam ou escrevem fingindo ser a loja. Avise que a loja nunca pede senha, código ou Pix por mensagem. Conteúdo útil para o cliente está em phishing: o que é e como identificar.
Corrija a causa
Depois da emergência, trate a origem para não repetir:
- Revise permissões: quem tinha acesso e por quê. Veja acessos da equipe e permissões na loja.
- Reforce senhas e segundo fator em todos os sistemas.
- Atualize e proteja os equipamentos.
- Treine a equipe com o caso real, sem caça às bruxas.
- Revise onde os dados ficam e elimine o que não é necessário. Veja como guardar dados e documentos de clientes da loja.
- Documente o incidente e as medidas tomadas.
Obrigações legais
A LGPD estabelece que o controlador, no caso a empresa que decide sobre os dados, deve adotar medidas de segurança e comunicar incidentes relevantes. Pequenos negócios também estão sujeitos à lei, com algumas flexibilizações. Como as regras e orientações da autoridade de proteção de dados podem mudar, consulte um advogado e o site oficial da ANPD para o procedimento atual. Para o básico, leia LGPD para pequenas empresas: por onde começar.
Prepare-se antes do próximo
Um plano de uma página já ajuda muito: quem decide, quem é avisado, qual é o primeiro passo e quais contatos de fornecedores estão à mão. Imprima, deixe na pasta de segurança e revise duas vezes por ano. Na hora do incidente, ter um roteiro vale mais do que qualquer ferramenta.