Data Mapping LGPD

Inventário canônico de todas as atividades de tratamento de dados pessoais no projeto. É o pré-requisito para ROPA (Art. 37), RIPD (Art. 38), retenção e DSAR.

Workflow

Para greenfield

Liste atividades por feature/módulo do produto antes de codar. Cada feature que toca dado pessoal = uma atividade.

Para legacy (reverse-engineering)

1. Schemas de banco: leia prisma/schema.prisma (ou equivalente). Toda tabela com referência a usuário = candidato.
2. APIs: leia rotas REST/tRPC/GraphQL. Endpoints recebendo PII = atividade.
3. SDKs de terceiros: grep por nomes (Sentry, Datadog, Mixpanel, Amplitude, Segment, Stripe, Discord SDK, Firebase, OneSignal). Cada um é compartilhamento.
4. Logs: cuidado — logs podem vazar PII inadvertidamente (audit também).
5. Cookies e localStorage em frontends.
6. Coletas mobile: device ID, geolocation, push tokens, biometria, contatos, fotos.