Inventário (ROPA)

O Inventário de Tratamento — também chamado de ROPA, sigla de Registro das Operações de Tratamento (em inglês, Records of Processing Activities) — é o registro de todas as operações em que sua OSC trata dados pessoais. É a espinha dorsal da conformidade.

Cada registro descreve a atividade, os dados pessoais, a base legal e se há transferência internacional.

Assistente de Inventário

Nunca fez um inventário e não sabe por onde começar? Use o ✨ Assistente de Inventário (botão no topo da tela do Inventário). Em vez de encarar um formulário em branco cheio de termos técnicos, você responde perguntas simples e o assistente monta um rascunho do seu ROPA para você revisar.

O assistente pergunta o que a sua organização faz; cada “sim” vira um rascunho de atividade pré-preenchido.

Como funciona, em poucos passos:

1. Perguntas em linguagem leiga — “envia newsletter?”, “recebe doações?”, “cadastra voluntários?”, “vende online?”… A cada sim, o assistente seleciona uma atividade pronta, com finalidade, base legal sugerida, dados coletados e prazo de retenção.
2. Crianças e adolescentes — há uma pergunta no topo: se a sua OSC atende menores de 18, as atividades pertinentes marcam os titulares como “Crianças e adolescentes” e o assistente orienta sobre consentimento parental e RIPD.
3. Vínculo com formulários — para atividades que vêm de formulários do site, você pode escolher qual formulário alimenta a atividade ali mesmo (já deixando a retenção automática configurada). Veja Mapeamento de Formulários e Retenção.
4. Revisão antes de salvar — o assistente mostra os rascunhos para você editar, remover ou confirmar. Base legal e prazo são sugestões a conferir — a definição final é responsabilidade da sua organização. Nada é gravado sem o seu “Criar registros”.
5. Rodar de novo é seguro — o assistente nunca apaga o que você já tem; ao rodar de novo, ele identifica as atividades existentes e cria apenas as novas.

Ao concluir, se você criou atividades com dados de menores, o assistente recomenda elaborar um RIPD (art. 16 da LGPD + ECA) com atalho direto para o módulo.

⚠️ O assistente ajuda a montar o inventário com base em modelos comuns do terceiro setor; ele não substitui a análise da sua organização. Sempre revise as sugestões, especialmente a base legal.

O que registrar em cada atividade

• Atividade — o que sua OSC faz (ex.: “Cadastro de voluntários”, “Newsletter de doadores”).
• Dados Pessoais — quais dados são coletados (nome, CPF, telefone, e-mail…).
• Base Legal — o fundamento que autoriza o tratamento (execução de contrato, consentimento, obrigação legal…). Veja Conceitos.
• Transferência Internacional — se os dados saem do Brasil (ex.: um serviço hospedado no exterior).

💡 Por que isso importa

O inventário é o documento que mais trabalha a seu favor. É dele que sai a resposta a “quais dados você tem sobre mim?”, a justificativa de um tratamento perante a ANPD e o conteúdo automático da Política de Privacidade. Se sua OSC fizer só uma coisa da LGPD, que seja manter o inventário.

Modele por finalidade, não por formulário

Este é o segredo para o inventário não virar um monstro. O ROPA registra atividades de tratamento — definidas pela finalidade —, e não cada formulário, planilha ou tela isoladamente.

💡 Por que isso importa

Uma OSC com 20 formulários no site não precisa de 20 registros no inventário. Vários formulários que coletam os mesmos dados para a mesma finalidade são uma única atividade — logo, um único registro. Isso é, ao mesmo tempo, o jeito correto de fazer o ROPA e o que torna o trabalho viável.

📖 Exemplo (grupo escoteiro)

Atividade no ROPA (1 registro)	Cobre quais formulários	Base legal · retenção
Inscrição em eventos	todos os forms de acampamento/atividade	consentimento ou contrato · prazo curto
Solicitação de reembolso	todos os forms de reembolso	obrigação legal/contrato · ~5 anos
Protocolos administrativos	todos os forms de protocolo	conforme o caso
Pesquisas de satisfação	todas as pesquisas	legítimo interesse · curtíssimo

De ~20 formulários para ~4-6 atividades. Um evento novo? Você só acrescenta o formulário à atividade que já existe — sem criar registro novo.

⚠️ A única regra de fidelidade

Só agrupe formulários que de fato compartilham dados + finalidade + base legal. Se um formulário coletar dado a mais — por exemplo, informação de saúde (dado sensível) num evento —, ele vira uma atividade própria, com base e retenção próprias.

O inventário alimenta as políticas

Quando você usa o Assistente em Políticas, ele puxa as atividades do inventário para montar a Política de Privacidade. Inventário bem feito = política mais fácil e mais fiel à realidade.

Relatório do inventário

O botão Gerar Relatório exporta o inventário em PDF — útil para anexar a prestações de contas ou apresentar a um financiador.

✅ Boas práticas

Construa o inventário aos poucos, uma atividade por vez, e revise quando algo mudar: nova campanha, novo sistema, novo tipo de dado. Inventário desatualizado dá falsa sensação de segurança.

⚠️ Atenção a dados sensíveis

Ao registrar, marque mentalmente as atividades que envolvem dados sensíveis (saúde, religião, etnia, opinião política). Elas exigem bases legais específicas e cuidado redobrado — é onde o risco aos titulares é maior.

Publicar o ROPA (vitrine de transparência)

A LGPD valoriza a transparência: o titular tem direito de saber, de forma clara, o que você trata e por quê (Art. 9). Você pode publicar uma vitrine das suas atividades de tratamento em qualquer página do site com o shortcode:

[v3rlgpd_ropa]

Ele exibe as atividades ativas com os campos seguros para o público: atividade, dados pessoais (categorias), titulares, finalidade, base legal e retenção.

Atributos:

• layout — lista (padrão), grid ou tabela.
• incluir — campos opcionais a mostrar: origem, operadores, transferencia. Ex.: [v3rlgpd_ropa layout="grid" incluir="operadores,transferencia"].
• titulo — sim (padrão) ou nao (oculta o cabeçalho).

Você também define o padrão (layout e campos opcionais) em Configurações → Páginas & Integração; os atributos do shortcode sobrescrevem esse padrão.

⚠️ O que NUNCA vai a público

As medidas de segurança e os dados técnicos de integração nunca são exibidos pelo shortcode — expor isso seria entregar o mapa da mina. Campos como operadores e transferência internacional só aparecem se você optar por incluí-los. E só atividades ativas são publicadas.

✅ Boas práticas

Comece pelo padrão (campos essenciais). Inclua “operadores” e “transferência internacional” só se fizer sentido para a sua transparência — lembrando que esses campos podem revelar seus fornecedores.