{"id":408,"date":"2026-10-05T09:00:00","date_gmt":"2026-10-05T09:00:00","guid":{"rendered":"https:\/\/leiritech.pt\/blog\/pedido-acesso-rgpd-art-15-dados-cliente-erp"},"modified":"2026-10-05T09:00:00","modified_gmt":"2026-10-05T09:00:00","slug":"pedido-acesso-rgpd-art-15-dados-cliente-erp","status":"publish","type":"post","link":"https:\/\/leiritech.pt\/blog\/pedido-acesso-rgpd-art-15-dados-cliente-erp","title":{"rendered":"Pedido de acesso RGPD: juntar os dados do cliente do ERP"},"content":{"rendered":"

"Quero todos os dados que t\u00eam sobre mim": como responder a um pedido de acesso sem perder uma semana<\/h1>\n

O email chega numa ter\u00e7a-feira \u00e0 tarde, de um cliente antigo com quem houve uma discuss\u00e3o por causa de uma fatura: "Ao abrigo do artigo 15.\u00ba do RGPD, solicito c\u00f3pia de todos os dados pessoais que a vossa empresa tem sobre mim."<\/em> L\u00eas duas vezes e a primeira pergunta que te ocorre n\u00e3o \u00e9 jur\u00eddica. \u00c9 pr\u00e1tica: onde \u00e9 que est\u00e3o esses dados todos?<\/strong><\/p>\n

Est\u00e3o na ficha de cliente do ERP. Nas faturas e nas notas de cr\u00e9dito dos \u00faltimos seis anos. Na conta-corrente e nos recebimentos. Nas guias de transporte com a morada de entrega. Nos pedidos de assist\u00eancia t\u00e9cnica, com observa\u00e7\u00f5es escritas por tr\u00eas t\u00e9cnicos diferentes. E tamb\u00e9m na ferramenta de newsletters, no email comercial e, provavelmente, numa folha de Excel que algu\u00e9m fez em 2021 e nunca mais apagou.<\/p>\n

Hoje, numa PME, isto costuma resolver-se assim: algu\u00e9m exporta listagens do ERP, outra pessoa procura no email, cola-se tudo num documento e reza-se para n\u00e3o faltar nada. D\u00e1 um a dois dias de trabalho repartidos por pessoas que tinham outras coisas para fazer. E no fim ningu\u00e9m consegue garantir que a resposta est\u00e1 completa.<\/p>\n

\"Respons\u00e1vel<\/p>\n

Quanto tempo tens, e o que tens de entregar?<\/h2>\n

O prazo \u00e9 um m\u00eas<\/strong> a contar da rece\u00e7\u00e3o do pedido (art. 12.\u00ba, n.\u00ba 3, do RGPD). \u00c9 o "30 dias" de que toda a gente fala, e conv\u00e9m cont\u00e1-lo como m\u00eas de calend\u00e1rio. Pode ser prorrogado por mais dois meses se o pedido for complexo ou se houver muitos pedidos. Mas tens de avisar o titular dentro do primeiro m\u00eas e explicar porqu\u00ea. A primeira c\u00f3pia \u00e9 gratuita.<\/p>\n

E n\u00e3o basta mandar uma listagem. O artigo 15.\u00ba obriga-te a entregar uma c\u00f3pia dos dados e, al\u00e9m disso, a informar:<\/p>\n

    \n
  • para que finalidades os tratas;<\/li>\n
  • que categorias de dados tens;<\/li>\n
  • a quem os comunicaste (contabilista, transportadora, software de fatura\u00e7\u00e3o, etc.);<\/li>\n
  • durante quanto tempo os guardas, ou com que crit\u00e9rio;<\/li>\n
  • que direitos a pessoa tem: retifica\u00e7\u00e3o, apagamento, limita\u00e7\u00e3o, oposi\u00e7\u00e3o e reclama\u00e7\u00e3o \u00e0 CNPD;<\/li>\n
  • de onde vieram os dados, quando n\u00e3o foi a pr\u00f3pria pessoa a fornec\u00ea-los;<\/li>\n
  • se h\u00e1 decis\u00f5es automatizadas sobre ela.<\/li>\n<\/ul>\n

    A maior parte disto \u00e9 texto fixo, que escreves uma vez e reutilizas. A parte dif\u00edcil, a que come os dias, \u00e9 a primeira: a c\u00f3pia completa e correta dos dados<\/strong>, tirada de sistemas que nunca foram pensados para responder a esta pergunta.<\/p>\n

    Porque n\u00e3o usar simplesmente o ChatGPT p\u00fablico?<\/h2>\n

    Porque, para lhe pedir ajuda, terias de colar l\u00e1 dentro precisamente aquilo que est\u00e1s a tentar proteger: o nome, o NIF, a morada e o hist\u00f3rico de compras de um cliente que j\u00e1 est\u00e1 desconfiado de ti. Esses dados saem da empresa e, consoante o plano e a configura\u00e7\u00e3o, podem sair da UE. E n\u00e3o fica registo interno de quem os enviou.<\/p>\n

    H\u00e1 um segundo problema, mais trai\u00e7oeiro. Um modelo de linguagem gen\u00e9rico, quando n\u00e3o tem a informa\u00e7\u00e3o, preenche o vazio. Num resumo de reuni\u00e3o isso incomoda. Numa resposta ao abrigo do RGPD, um dado inventado ou uma omiss\u00e3o que n\u00e3o se v\u00ea \u00e9 exatamente o tipo de erro que transforma um cliente chateado numa queixa \u00e0 CNPD.<\/p>\n

    O que faz um assistente privado ligado ao ERP neste caso?<\/h2>\n

    Faz uma coisa simples e chata, e por isso \u00fatil: percorre, s\u00f3 em modo de leitura, todos os s\u00edtios do ERP onde aquele titular aparece e devolve o que encontrou, linha a linha, com a origem de cada dado.<\/strong><\/p>\n

    Na pr\u00e1tica, a arquitetura tem quatro pe\u00e7as:<\/p>\n

      \n
    1. Um conector s\u00f3 de leitura ao ERP que j\u00e1 tens<\/strong> (PHC, Primavera ou outro). N\u00e3o escreve, n\u00e3o altera, n\u00e3o apaga. N\u00e3o \u00e9 preciso migrar nada.<\/li>\n
    2. Um mapa das tabelas onde h\u00e1 dados pessoais<\/strong>: ficha de cliente, moradas alternativas, contactos, documentos de venda, recebimentos, assist\u00eancias, anexos. Este mapa faz-se uma vez, no arranque, e \u00e9 metade do valor.<\/li>\n
    3. Uma camada que transforma o pedido numa consulta<\/strong> a esse mapa, filtrada pelo identificador do titular (NIF, n\u00famero de cliente, email).<\/li>\n
    4. Um registo de auditoria<\/strong>: quem pediu, sobre que titular, quando, que tabelas foram lidas e o que foi devolvido.<\/li>\n<\/ol>\n

      O modelo de linguagem serve para perceber o pedido em portugu\u00eas e para redigir o resumo. Os n\u00fameros e os registos v\u00eam diretamente da base de dados, nunca da "mem\u00f3ria" do modelo. A arquitetura \u00e9 agn\u00f3stica ao modelo: pode usar um modelo nacional ou um modelo alojado na UE, conforme o caso. Os dados n\u00e3o saem da UE.<\/p>\n

      \"Respons\u00e1vel<\/p>\n

      Como fica isto numa tarde real?<\/h2>\n

      Um exemplo, com dados fict\u00edcios e n\u00fameros meramente ilustrativos<\/strong>, numa distribuidora com cerca de 4.000 clientes:<\/p>\n

      \n

      Pergunta:<\/strong> Pedido de acesso do cliente NIF 2xx xxx xx0. Lista todos os dados pessoais que temos no ERP, por origem.<\/p>\n

      Resposta (exemplo):<\/strong> Encontrei o titular em 6 tabelas. Ficha de cliente: nome, NIF, 2 moradas, 1 telefone, 1 email. Documentos de venda: 41 faturas e 3 notas de cr\u00e9dito (2019\u20132026). Recebimentos: 38 registos. Guias de transporte: 27, com morada de entrega. Assist\u00eancias t\u00e9cnicas: 4 pedidos com observa\u00e7\u00f5es em texto livre. Anexos: 2 PDF. Fonte de cada linha indicada no relat\u00f3rio.<\/p>\n<\/blockquote>\n

      \n

      Pergunta:<\/strong> H\u00e1 observa\u00e7\u00f5es em texto livre que mencionem outras pessoas?<\/p>\n

      Resposta (exemplo):<\/strong> Sim. Em 2 dos 4 pedidos de assist\u00eancia aparece o nome de um t\u00e9cnico e, num deles, o de um vizinho do cliente. Marquei-os para revis\u00e3o antes do envio.<\/p>\n<\/blockquote>\n

      \n

      Pergunta:<\/strong> A quem foram comunicados estes dados?<\/p>\n

      Resposta (exemplo):<\/strong> No ERP h\u00e1 registo de envio para a transportadora (27 guias). N\u00e3o encontrei outros destinat\u00e1rios no ERP. O gabinete de contabilidade e a plataforma de newsletters n\u00e3o est\u00e3o ligados a este assistente e t\u00eam de ser confirmados \u00e0 parte.<\/p>\n<\/blockquote>\n

      Esta \u00faltima resposta \u00e9 a mais importante das tr\u00eas. O assistente diz o que n\u00e3o sabe<\/strong>, em vez de dar a lista por fechada.<\/p>\n

      Um apontamento: o mesmo assistente pode responder no WhatsApp a perguntas do dia a dia, como vendas, stock ou cobran\u00e7as. O dossi\u00ea de um pedido de acesso n\u00e3o deve passar por l\u00e1.<\/strong> Faz-se na consola, com um perfil pr\u00f3prio, e o ficheiro final segue pelo canal seguro que j\u00e1 usas.<\/p>\n

      N\u00e3o \u00e9 arriscado dar a uma IA acesso aos dados pessoais dos clientes?<\/h2>\n

      \u00c9 a obje\u00e7\u00e3o certa, e responde-se com controlos, n\u00e3o com promessas:<\/p>\n

        \n
      • S\u00f3 leitura.<\/strong> O assistente n\u00e3o tem permiss\u00f5es para escrever no ERP. N\u00e3o "corrige" nem apaga nada por iniciativa pr\u00f3pria.<\/li>\n
      • Acesso por perfil (RBAC).<\/strong> A consulta "pedido de acesso", que junta tudo sobre uma pessoa, s\u00f3 est\u00e1 dispon\u00edvel para o perfil do respons\u00e1vel pela prote\u00e7\u00e3o de dados ou de quem fizer esse papel. O comercial que pergunta pelas vendas do m\u00eas n\u00e3o a consegue usar.<\/li>\n
      • Auditoria.<\/strong> Cada pedido fica registado. Isto protege-te duas vezes: sabes se algu\u00e9m andou a consultar dados que n\u00e3o devia, e tens prova de que respondeste dentro do prazo, com o que encontraste e quando. O RGPD chama-lhe responsabilidade (art. 5.\u00ba, n.\u00ba 2). Na pr\u00e1tica, \u00e9 teres o papel guardado.<\/li>\n
      • Dados na UE.<\/strong> Alojamento e processamento na UE, sem treino de modelos com os teus dados.<\/li>\n<\/ul>\n

        H\u00e1 um argumento menos \u00f3bvio: sem assistente, o risco n\u00e3o desaparece. Fica num Excel exportado \u00e0 pressa, guardado no ambiente de trabalho de algu\u00e9m e enviado por email interno. A alternativa a um sistema auditado costuma ser um processo que ningu\u00e9m audita.<\/p>\n

        O que \u00e9 que o assistente n\u00e3o faz?<\/h2>\n

        Conv\u00e9m diz\u00ea-lo sem rodeios:<\/p>\n

          \n
        • N\u00e3o decide o que se entrega.<\/strong> O artigo 15.\u00ba, n.\u00ba 4, diz que a c\u00f3pia n\u00e3o pode prejudicar os direitos de terceiros. Tirar o nome do vizinho ou de um colega das observa\u00e7\u00f5es \u00e9 uma decis\u00e3o humana. O assistente assinala, tu decides.<\/li>\n
        • N\u00e3o verifica a identidade de quem pede.<\/strong> Antes de enviares seja o que for, tens de confirmar que quem escreveu \u00e9 mesmo o titular (art. 12.\u00ba, n.\u00ba 6). Mandar o hist\u00f3rico de um cliente a um impostor \u00e9, em si, uma viola\u00e7\u00e3o de dados.<\/li>\n
        • S\u00f3 v\u00ea o que est\u00e1 ligado.<\/strong> Se os dados tamb\u00e9m vivem no email, na ferramenta de marketing ou numa pasta partilhada, ou ligas essas fontes ou as tratas \u00e0 parte. O assistente deve dizer-te sempre que fontes consultou.<\/li>\n
        • Precisa de dados minimamente arrumados.<\/strong> Se o mesmo cliente existe tr\u00eas vezes com NIF mal escrito, o primeiro trabalho \u00e9 esse. Muitas vezes, o pr\u00f3prio pedido de acesso \u00e9 a primeira vez que algu\u00e9m d\u00e1 por isso.<\/li>\n<\/ul>\n

          \"Dona<\/p>\n

          Vale a pena montar isto para um pedido que chega uma vez por ano?<\/h2>\n

          Se fosse s\u00f3 para o pedido de acesso, provavelmente n\u00e3o. Mas o trabalho que d\u00e1 mais valor, que \u00e9 mapear onde est\u00e3o os dados pessoais no ERP e lig\u00e1-los em modo de leitura com perfis e auditoria, \u00e9 o mesmo que serve para perguntar ao ERP "quanto fatur\u00e1mos ao cliente X este trimestre e o que est\u00e1 por receber?"<\/em>. O pedido de acesso funciona como teste: se o assistente consegue juntar tudo sobre uma pessoa, com fonte e sem inventar, \u00e9 porque conhece bem os teus dados.<\/p>\n

          E h\u00e1 o custo do erro. Um pedido mal respondido ou fora de prazo \u00e9 das queixas mais f\u00e1ceis de fazer \u00e0 CNPD, porque o titular s\u00f3 tem de mostrar o email que enviou e a data.<\/p>\n

          Por onde come\u00e7ar?<\/h2>\n

          Pequeno e medido:<\/p>\n

            \n
          1. Escolhe o ERP e uma \u00e1rea<\/strong>, por exemplo clientes e vendas.<\/li>\n
          2. Faz o mapa das tabelas com dados pessoais.<\/strong> Costuma levar dias, n\u00e3o meses.<\/li>\n
          3. Define os perfis<\/strong>: quem pode fazer a consulta completa de um titular e quem s\u00f3 v\u00ea agregados.<\/li>\n
          4. Simula um pedido de acesso com um cliente interno de teste<\/strong> e compara com o que farias \u00e0 m\u00e3o: tempo gasto, registos encontrados e registos que te escapavam.<\/li>\n
          5. Junta 10 a 20 perguntas frequentes da opera\u00e7\u00e3o<\/strong> e mede as horas poupadas num m\u00eas.<\/li>\n<\/ol>\n

            Somos uma equipa pequena em Leiria. Quem faz o mapa das tuas tabelas \u00e9 a mesma pessoa que escreve o conector, e falas diretamente com ela, sem gestores de conta pelo meio.<\/p>\n

            Queres perguntar ao teu ERP em portugu\u00eas, sem os dados sa\u00edrem da UE? Fala connosco: hello@leiritech.com \u00b7 +351 914 572 595, ou v\u00ea o nosso trabalho em leiritech.pt.<\/p>\n

            Este artigo \u00e9 informativo e n\u00e3o substitui aconselhamento jur\u00eddico sobre o teu caso concreto.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

            Um cliente pede “todos os dados que t\u00eam sobre mim”. Tens um m\u00eas. V\u00ea como um assistente s\u00f3 de leitura junta tudo do ERP numa tarde, com fonte e registo.<\/p>\n","protected":false},"author":1,"featured_media":403,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[557],"tags":[559,506,560,508,507,558],"class_list":["post-408","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-rgpd","tag-artigo-15-rgpd","tag-chatgpt-privado-para-empresas","tag-direito-de-acesso-dados-pessoais","tag-ia-rgpd-pme","tag-ia-sobre-o-erp","tag-pedido-de-acesso-rgpd"],"_links":{"self":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts\/408","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/comments?post=408"}],"version-history":[{"count":0,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts\/408\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/media\/403"}],"wp:attachment":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/media?parent=408"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/categories?post=408"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/tags?post=408"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}