Blog
Para quem já sabe o básico e quer ir fundo. Aqui o assunto é como os modelos funcionam em produção: memória, roteamento, ferramentas, agentes. O lado técnico que pouca gente explica direito.
Art. 7º LGPD na prática: como mapear cada feature do seu sistema para a base legal correta — consentimento, contrato, obrigação legal, legítimo interesse. ROPA (Records of Processing Activities) gerado a partir do código, não do PowerPoint.
Como construir uma Data Protection Impact Assessment (DPIA / Relatório de Impacto LGPD) tecnicamente sólida — fluxos de dados, finalidade, riscos, mitigações. Templates da CNIL e ANPD comparados.
Ferramentas e técnicas para varrer codebase, banco e logs em busca de PII não declarada — Bearer, Privado, Microsoft Presidio. Patterns de regex para CPF/CNPJ/RG/CEP. Falsos positivos e negativos.
TLS 1.3 obrigatório em 2026, mTLS para serviços internos, AES-256-GCM at rest, KMS (AWS KMS, Vault Transit), envelope encryption pattern, key rotation, BYOK/HYOK. O que ANPD espera ver auditado.
LGPD Art. 37 exige registro de operações sobre dados pessoais. Como construir audit log que sobrevive a auditoria — append-only em RDS/DynamoDB, hash chain estilo blockchain leve, WORM (S3 Object Lock), retention policies.
Art. 18 LGPD: usuário pede exclusão. Como deletar de fato? Cascade em RDS, soft vs hard delete, sincronizar com Elasticsearch, S3, backups, BigQuery, Kafka topics, ML training set. O que pode ser anonimização vs deleção real.
LGPD Cap. V: como transferir dados para AWS us-east-1, Vercel, OpenAI legalmente. Resolução CD/ANPD nº 19/2024 (cláusulas-padrão), adequacy decisions, Schrems II GDPR. Architecture patterns para regionalização.
Pre-commit hooks com gitleaks, CI scanning com trufflehog, GitHub Advanced Security secret scanning, AWS Macie para PII em S3. Como reagir quando uma chave vaza no histórico (BFG Repo-Cleaner, force-push).
Vazamento detectado às 23h de sexta. Você tem 72h. Runbook técnico: contenção, evidence collection (chain of custody), notificação ANPD via gov.br, comunicação a titulares, post-mortem regulatório. Casos reais: Marisa, Banco Pan.
Os 7 princípios de Ann Cavoukian aplicados: data minimization (só pegue o essencial), purpose limitation, default privacy, end-to-end protection. Architecture Decision Records (ADRs) com privacy review obrigatório. Differential privacy quando faz sentido.