ROPA — Registro de Operações de Tratamento (Art. 37 LGPD)

Art. 37 da LGPD: "O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse."

Pré-requisitos (ordem de pipeline corrigida)

Execute depois de ter concluído:

1. .lgpd/data-map.md (lgpd-data-mapping)
2. .lgpd/legal-basis.md (lgpd-legal-basis)
3. .lgpd/encarregado.md (lgpd-dpo-encarregado — contendo Encarregado formal ou registro de dispensa ATPP de baixo risco com canal obrigatório do Art. 11, § 1º da Res. 2/2022)
4. .lgpd/vendors/, .lgpd/transfers/ e .lgpd/retention.md (quando aplicáveis)

Modelos: Simplificado ATPP vs. Completo

• ATPP (Res. CD/ANPD nº 2/2022, Art. 9º): pode elaborar e manter o registro de forma simplificada, seguindo o modelo orientativo publicado pela ANPD em junho de 2023 (8 blocos essenciais: contato, categorias de titulares, categorias de dados, compartilhamento, medidas de segurança, período de armazenamento, processo/finalidade/base legal e observações).
• Controladores/Operadores fora do regime simplificado (ou ATPP de alto risco): expandir com transferência internacional (adequação Res. 32/2026 ou SCCs Res. 19/2024), papel jurídico de cada terceiro, decisões automatizadas e vínculo com LIA/RIPD.

Template — .lgpd/ROPA.md