LGPD para apps hechas con IA con usuarios en Brasil: lo mínimo
Si su app trata datos personales de personas en Brasil, necesita cinco cosas antes de lanzar: saber qué datos recolecta y por qué, una base legal para cada uso, una política de privacidad fiel a la app, un canal para los titulares y un plan para incidentes. Una filtración con riesgo relevante se comunica a la ANPD en tres días hábiles.
Recomendación de Heartscale: antes de escribir la política, revise tabla por tabla qué recolecta la app y dónde se guarda cada dato. Con datos sensibles, de niños o usuarios reales, pida una revisión técnica antes de lanzar y lleve la parte legal a un abogado habilitado en Brasil.
Este texto es orientación práctica, no asesoría legal. Sigue la Ley 13.709/2018 (LGPD) de Brasil y las normas de la ANPD, la autoridad brasileña de protección de datos, revisadas en octubre de 2026. Para su caso concreto, consulte a un abogado habilitado en Brasil.
¿La LGPD aplica a su app?
El art. 3 dice que la ley aplica a cualquier tratamiento, en cualquier medio, cuando ocurre en Brasil, cuando busca ofrecer bienes o servicios a personas en Brasil o cuando los datos fueron recolectados en el país. No importa dónde estén la empresa ni el servidor.
Dato personal es toda información relacionada con una persona natural identificada o identificable (art. 5, I). Nombre, correo, teléfono, CPF (el número de contribuyente brasileño) y foto de perfil son ejemplos comunes en apps.
Tampoco importa si la app se hizo con Lovable, Bolt, Base44 o Replit. Quien decide qué hacer con los datos es usted, el controlador (art. 5, VI). Los servicios que guardan y procesan los datos en su nombre, como la base de datos y el hosting, suelen actuar como operadores (art. 5, VII).
Microempresas, startups y personas físicas tienen reglas simplificadas por la Resolución CD/ANPD nº 2/2022. La propia resolución dice que el resto de la ley sigue vigente. Sus definiciones siguen la ley de empresas brasileña, así que una startup extranjera debe confirmar con un abogado si califica.
Paso 1: liste los datos que recolecta la app
Abra la app y anote todo lo que pide o registra:
- campos de registro, formularios y perfil;
- las tablas de la base de datos (en Supabase, el Table Editor muestra todas);
- archivos subidos por los usuarios;
- herramientas de analítica, píxeles de anuncios y chat de soporte;
- datos enviados a APIs de terceros, incluidas APIs de IA que reciben texto escrito por el usuario.
Para cada ítem, escriba para qué sirve, dónde se guarda y quién más tiene acceso. Esa lista es la base del registro de operaciones de tratamiento que exige el art. 37. Los agentes de pequeño porte pueden llevar ese registro de forma simplificada (Resolución nº 2/2022, art. 9).
En nuestras revisiones, cruzamos esta lista con la base de datos y el código. Buscamos columnas que ninguna pantalla usa, archivos en buckets públicos y llamadas que envían datos a servicios externos.
Paso 2: recolecte solo lo necesario
El principio de necesidad limita el tratamiento al mínimo para su finalidad (art. 6, III). El de finalidad exige propósitos legítimos, específicos, explícitos e informados al titular (art. 6, I).
En la práctica:
- no pida CPF, fecha de nacimiento ni dirección si la app no los usa;
- no guarde el documento completo cuando basta saber que fue verificado;
- defina cuánto tiempo se guarda cada dato y elimínelo cuando termine la finalidad (arts. 15 y 16), salvo obligación legal de conservarlo.
Los generadores de apps suelen crear campos y tablas de más. Revise lo que creó la IA antes de abrir el registro al público.
Paso 3: elija la base legal de cada uso
El art. 7 enumera diez bases legales. Las que más aparecen en apps:
| Uso de los datos | Base legal habitual | Artículo |
|---|---|---|
| Crear la cuenta y prestar el servicio contratado | Ejecución de contrato | art. 7, V |
| Guardar datos que la ley obliga a conservar, como los fiscales | Obligación legal o regulatoria | art. 7, II |
| Prevenir fraude y proteger la cuenta | Interés legítimo | art. 7, IX |
| Newsletter, marketing y funciones opcionales | Consentimiento | art. 7, I |
El interés legítimo no vale cuando prevalecen los derechos fundamentales del titular, y el art. 37 pide especial cuidado al registrar esos casos.
Dos grupos tienen reglas más estrictas:
- Datos sensibles, como salud, origen racial, religión, biometría y vida sexual (art. 5, II). El art. 11 restringe las bases legales y exige consentimiento específico y destacado en la mayoría de los casos.
- Niños. El art. 14 exige consentimiento específico de al menos uno de los padres o del responsable legal.
Si su app trata alguno de estos datos, busque asesoría legal antes de lanzar.
Paso 4: pida consentimiento cuando sea la base
Según el art. 8, el consentimiento debe:
- darse por escrito o por otro medio que demuestre la voluntad del titular;
- referirse a finalidades determinadas, porque las autorizaciones genéricas son nulas;
- poder revocarse en cualquier momento.
La carga de probar el consentimiento es del controlador. En la app, eso significa una opción separada de los términos de uso, que la persona marca por su cuenta, y un registro en la base de datos con la fecha y la versión del texto aceptado. Ofrezca también una forma simple de revocarlo, por ejemplo en la configuración de la cuenta.
Paso 5: publique una política de privacidad fiel a la app
El art. 9 dice que la información al titular debe darse de forma clara, adecuada y ostensiva. La política necesita, como mínimo:
- la finalidad de cada tratamiento;
- la forma y la duración del tratamiento;
- quién es el controlador y cómo contactarlo;
- con quién se comparten los datos y para qué;
- los derechos del titular y cómo ejercerlos;
- el contacto del encargado o del canal de atención.
Una plantilla generada por IA ayuda a empezar, pero revise cada línea contra la lista del paso 1. Una política que describe otra app no informa a nadie. Para usuarios en Brasil, recomendamos una versión en portugués.
Paso 6: sepa dónde están los datos y proteja el acceso
Anote en qué región están la base de datos, los archivos y los backups. Si los datos salen de Brasil, el art. 33 y la Resolución CD/ANPD nº 19/2024 regulan la transferencia internacional. Consulte con su proveedor qué garantías contractuales ofrece e indíquelo en la política.
El art. 46 exige medidas técnicas y administrativas contra el acceso indebido. En apps con Supabase, eso empieza por:
- RLS activo en todas las tablas, con políticas por operación. Vea Configurar RLS en Supabase y probar su app;
- la clave secreta fuera del navegador y del repositorio. Vea Clave de Supabase expuesta: ¿cuál puede ir en el navegador?;
- acceso al panel limitado a pocas personas y con inicio de sesión protegido.
Paso 7: prepare la atención a los derechos del titular
El art. 18 garantiza al titular, entre otros derechos: confirmar que existe tratamiento, acceder a los datos, corregirlos, pedir anonimización, bloqueo o eliminación de lo innecesario, pedir portabilidad, saber con quién se compartieron los datos y revocar el consentimiento.
Según el art. 19, la confirmación y el acceso se dan de inmediato en formato simplificado, o en hasta 15 días en una declaración completa. Los agentes de pequeño porte tienen plazo doble para atender estas solicitudes, según la regulación aplicable (Resolución nº 2/2022, art. 14).
Antes de lanzar, tenga listas dos cosas: una forma de exportar los datos de un usuario y un flujo para eliminar la cuenta y los datos vinculados a ella.
Paso 8: nombre un encargado o abra un canal
El art. 41 obliga al controlador a nombrar un encargado y publicar su identidad y contacto, de preferencia en el sitio. El encargado recibe reclamos de los titulares y comunicaciones de la ANPD.
Los agentes de pequeño porte están exentos de nombrar encargado (Resolución nº 2/2022, art. 11), pero deben mantener un canal de comunicación con el titular. La exención no cubre el tratamiento de alto riesgo ni a quien supera los límites de facturación de la norma (art. 3). Un correo dedicado, publicado en la política, es la forma más simple de ofrecer ese canal.
Paso 9: tenga un plan para incidentes de seguridad
La Resolución CD/ANPD nº 15/2024 regula la comunicación prevista en el art. 48 de la LGPD. Los puntos clave:
- Qué comunicar: un incidente confirmado, con datos personales, que pueda causar riesgo o daño relevante. Pesan, entre otros, los datos sensibles, de niños, adolescentes o adultos mayores, financieros, de autenticación y en gran escala (art. 5).
- Plazo: tres días hábiles para la ANPD y para los titulares, contados desde que el controlador sabe que el incidente afectó datos personales (arts. 6 y 9).
- Cómo: por la presentación electrónica en SEI!ANPD, con el formulario de comunicación. La información faltante puede completarse en hasta 20 días hábiles.
- A los titulares: lenguaje simple, de forma directa e individual siempre que sea posible, por correo, SMS u otro canal que la app ya use.
- Registro: todo incidente, incluso el no comunicado, queda registrado por al menos cinco años (art. 10).
La Resolución nº 2/2022 también prevé plazo doble para agentes de pequeño porte en esta comunicación, con excepciones. Revise el texto vigente cuando lo necesite.
Escriba el plan antes de lanzar: quién decide, quién tiene acceso a los logs, cómo rotar claves y contraseñas y qué mensaje recibirán los usuarios. Tres días hábiles pasan rápido.
Qué pasa si no lo hace
El art. 52 prevé, entre otras sanciones, advertencia, bloqueo o eliminación de los datos y multa simple de hasta el 2% de la facturación, limitada a R$ 50 millones por infracción. El art. 42 obliga a reparar los daños causados a los titulares.
Para una revisión técnica de seguridad, vea la página de seguridad de apps hechas con IA.
¿Hacerlo usted mismo o contratar?
Una app pequeña, con pocos datos, puede cumplir buena parte de esta guía sin ayuda. La tabla separa la parte técnica de la legal.
| Situación | Camino |
|---|---|
| Registro simple (nombre y correo), sin datos sensibles, y usted conoce las tablas de la base | Siga los pasos 1 a 9 y publique una política fiel a la app |
| La app la generó una IA y usted no sabe qué tablas, campos y servicios externos reciben datos | Pida una revisión técnica de lo que la app recolecta y dónde lo guarda |
| Hay datos sensibles, de niños o transferencia fuera de Brasil | Consulte a un abogado habilitado en Brasil antes de lanzar; la revisión técnica entra como complemento |
| La app ya tiene usuarios reales y no tiene exportación ni eliminación de cuenta | Solicite el diagnóstico de Heartscale para mapear datos, accesos y flujos |
Solicite un diagnóstico de Heartscale
Nuestro equipo levanta los datos que recolecta su app, dónde están y quién tiene acceso, y revisa RLS, claves y los flujos de exportación y eliminación de cuenta. Usted recibe la lista de lo que debe ajustar en la app y en la política antes de lanzar. No emitimos asesoría legal; la revisión técnica reduce el riesgo, pero no lo elimina.
El diagnóstico, a precio de lanzamiento, cuesta US$ 19 (antes US$ 79) y se descuenta si contrata la corrección. Solo trabajamos en apps de quien demuestra ser su dueño.