Conteúdo sobre LGPD e acessibilidade: o que avaliar antes de contratar um site

Você contrataria um site que vaza dados de pacientes ou é inacessível para alunos com deficiência? Se a resposta for não, comece aqui: este artigo entrega um roadmap prático para profissionais de saúde e educação em São Paulo decidirem com segurança. O tema é proteção de dados sensíveis e acessibilidade digital: por que importa e qual a primeira ação - peça a prova técnica de conformidade antes de fechar qualquer contrato.

Checklist inicial - dados sensíveis e obrigações

Primeiro passo: identifique que tipo de dado será coletado pelo site. Em saúde e educação isso frequentemente inclui informações que a ANPD classifica como sensíveis - prontuários, diagnósticos, laudos, histórico acadêmico e comportamento. O erro mais comum é aceitar uma proposta técnica vaga que nomeia "segurança" sem detalhar armazenamento, criptografia, ou fluxos de dados entre formulários, CRM e sistemas de gestão.

O que exigir já na proposta comercial:

• Descrição clara dos tipos de dados coletados e finalidades.
• Onde os dados ficarão armazenados - cidade/país do servidor e medidas de proteção.
• Fluxograma de tratamento de dados - quem tem acesso, por que e quando.
• Mecanismos de consentimento e revogação no site.
• Política de retenção e eliminação de dados.

Um conselho direto: sem essas respostas por escrito, o projeto não começa. Ponto final.

Arquitetura de privacidade e itens contratuais

Não aceite termos genéricos: a arquitetura de privacidade é prática e técnica. Exija no escopo do projeto, e no contrato, cláusulas que especifiquem responsabilidades entre controlador - normalmente você - e operador - quem desenvolve e hospeda o site.

Itens mínimos que devem constar no contrato

• Descrição do papel de cada parte (controlador x operador) e obrigações sob a LGPD.
• Provas de medidas técnicas: criptografia em trânsito (TLS) e em repouso, logs de acesso, segregação de ambientes.
• Regras de subcontratação e auditoria de fornecedores.
• Planos de resposta a incidente e comunicação à ANPD - prazos e responsáveis.
• Cláusula de responsabilidade e indenização proporcional ao tratamento de dados sensíveis.

Esses itens reduzem risco jurídico e operacional. A ANPD e o Ministério da Saúde têm reforçado fiscalização - não é teoria, é prática: contratos fracos significam exposição. Exija provas, não promessas.

Acessibilidade WCAG - critérios não negociáveis

O guia do Governo sobre boas práticas de acessibilidade digital (atualizado em 2025-2026) deixou claro o padrão: adotar critérios WCAG é obrigatório para serviços que atendem o público geral. Para escolas e clínicas, isso não é só bom senso - é uma exigência de inclusão e, em muitos casos, de conformidade administrativa.

Critérios práticos a verificar antes de contratar

• Contratação com metas WCAG 2.1 AA ou superior explicitadas.
• Checklist de acessibilidade entregue no final do projeto com itens verificáveis.
• Testes com usuários reais quando aplicável - pessoas com baixa visão, navegação por teclado e leitores de tela.
• Entrega de relatórios de auditoria automatizada e manual, com correções priorizadas por impacto.

Não caia no mito de que "ajustar depois" resolve: corrigir acessibilidade após o site entrar em operação é sempre mais caro e frequentemente parcial. Se a empresa diz que fará acessibilidade apenas após o lançamento, desconfie - isso é sinal de amadorismo.

Testes e evidências para validar o site

Documento técnico sem evidência é teatro. Exija entregáveis testáveis:

1. Relatório de pen test ou análise de vulnerabilidades com escopo definido e mitigação de alto risco.
2. Logs de backup e política de retenção por escrito.
3. Relatórios WCAG: resultados de scanners, checagens manuais e testes com pessoas reais.
4. Provas de processos de consentimento funcionando - captura de consentimento, registro e opção de revogação.
5. Planos de continuidade e recuperação - RTO e RPO mínimos definidos no SLA.

Na prática, é comum observar propostas com relatórios genéricos. Um erro frequente é aceitar certificados ou prints sem o contexto do escopo do teste. Peça evidência estruturada e assine apenas com garantias específicas.

Contrato, SLA e manutenção contínua

Contratar um site é começar um serviço contínuo. Se o contrato fala apenas de entrega e pagamento final, prepare-se para problemas: atualizações de segurança, incidentes e evolução de acessibilidade e funcionalidades demandam SLA e processo de mudança.

Checklist de SLA e manutenção

• Tempo de resposta para incidentes de segurança e disponibilidade.
• Plano de atualizações e testes periódicos de acessibilidade e segurança.
• Relatórios trimestrais de auditoria e logs de acesso para controle.
• Processo de reversão e backup testado.
• Termos claros sobre propriedade de código, dados e exportabilidade.

Prova prática: muitos clientes que vejo atrasam ou negligenciam manutenção e só lembram quando há um incidente. Contratos que cobrem somente a entrega deixam a instituição expondo dados e imagem. Não repita esse erro.

Roadmap final - passos que você deve seguir agora

1. Solicite à proposta o inventário de dados e o fluxograma de tratamento.
2. Exija demonstração técnica - acesso controlado a ambiente de teste ou evidências de auditorias.
3. Inclua no contrato cláusulas específicas de LGPD e requisitos de WCAG (nível mínimo).
4. Valide com testes: auditoria de segurança, scanner WCAG e sessão com usuário com deficiência.
5. Feche o SLA de manutenção e crie calendário de revisões obrigatórias (segurança e acessibilidade).

Conclusão direta: parar de terceirizar responsabilidade. Profissional de saúde ou gestor escolar que contrata um site precisa agir como controlador sério: exigir provas técnicas, contratos robustos e manutenção contínua. O tempo do amadorismo acabou - se você não pedir, ninguém fará por você.

Referências e sinais recentes confirmam a urgência: o Mapa de Temas Prioritários da ANPD 2026 e publicações do Ministério da Saúde reforçam foco em dados sensíveis; o Guia de Boas Práticas para Acessibilidade Digital orienta práticas que já são exigíveis. Use essas referências como checklist de argumentos ao negociar seu contrato.

Na prática, se não houver uma prova técnica concreta até a etapa de homologação, interrompa o pagamento final. Essa postura força qualidade, protege seus titulares de dados e garante acesso universal aos serviços que você presta.