Sim. A LGPD se aplica a quem trata dados pessoais, independente do porte ou setor, com as exceções do art. 4º (como o uso estritamente pessoal). OSCs que coletam dados de atendidos, voluntários, doadores e parceiros devem observar a lei. A lei não prevê exceção para organizações sem fins lucrativos.

A LGPD prevê multas de até 2% do faturamento da organização, limitadas a R$ 50 milhões por infração, além de advertências, bloqueio ou eliminação de dados, e suspensão de atividades de banco de dados. Para OSCs sem faturamento, a multa pode ser baseada em receitas ou patrimônio.

Não. O Nexus Social é uma ferramenta que facilita a conformidade, mas não substitui a figura do DPO (Encarregado). Para OSCs de grande porte ou que tratam dados sensíveis, é recomendado ter um DPO dedicado. O sistema automatiza aspectos técnicos, mas a responsabilidade legal permanece com a organização.

O tempo varia conforme o porte da organização e a maturidade dos processos, e não há prazo único. O Nexus Social oferece controles técnicos, como criptografia de campos selecionados, trilha de auditoria e controle de acesso, mas a adequação também depende de documentos, processos e decisões da própria organização.

Sim. A LGPD não faz distinção entre organizações com e sem fins lucrativos. Multas são aplicadas a qualquer entidade que descumprir a lei. Para OSCs sem faturamento, a ANPD pode considerar receitas, doações ou patrimônio para cálculo de penalidades.

Sim. Dados de menores de 12 anos requerem consentimento específico de pelo menos um dos pais ou responsável legal. Para menores entre 12 e 18 anos, pode ser necessário consentimento do próprio menor, dependendo da sensibilidade do dado. OSCs que atendem crianças e adolescentes devem ter processos específicos.

Sim, mas com condições. O compartilhamento deve ter base legal válida (geralmente consentimento ou execução de contrato) e ser informado ao titular. Contratos com parceiros devem incluir cláusulas de proteção de dados. O Nexus Social permite rastrear compartilhamentos e manter registro de todas as operações.

Em caso de incidente de segurança, sua OSC deve: (1) conter o vazamento imediatamente, (2) documentar o incidente, (3) comunicar a ANPD e os titulares em até 3 dias úteis a partir do conhecimento do incidente, quando ele puder acarretar risco ou dano relevante (Resolução CD/ANPD nº 15/2024; confira o texto vigente), (4) notificar os titulares afetados se houver risco relevante, (5) tomar medidas para prevenir novos incidentes. O Nexus Social registra alterações e acessos sensíveis nos fluxos cobertos pela trilha de auditoria, o que pode ajudar na apuração.

A LGPD exige DPO para: (1) organizações que tratam dados em grande escala, (2) organizações que tratam dados sensíveis (saúde, biometria, etc.), (3) organizações cuja atividade principal é tratamento de dados. Para OSCs pequenas que não se encaixam nesses critérios, o DPO não é obrigatório, mas ainda é recomendável ter alguém responsável pela proteção de dados.