Por que MMN é caso especial de proteção de dados
Uma operação de multinível guarda o retrato completo de milhares de pessoas: documento, endereço, banco, e — a parte singular — as relações entre elas. A genealogia é um grafo social com dinheiro em cima. E há o fator que outros negócios não têm: milhares de "vendedores" independentes com acesso parcial ao sistema. É esse acesso distribuído que faz da LGPD, no MMN, um problema de arquitetura — não de política no rodapé.
Os papéis: quem responde pelo quê
- A empresa é a controladora dos dados da rede e dos clientes: decide finalidade e responde perante a lei e os titulares;
- A plataforma de software é a operadora: trata os dados por conta e ordem da empresa — o contrato com ela precisa dizer isso com todas as letras (cláusula de tratamento de dados, dever de segurança, devolução/exclusão ao fim do contrato);
- E o distribuidor? É o ponto cinzento que a operação precisa disciplinar: ao acessar dados da própria rede (nomes, contatos, volumes), ele os trata em nome da operação. O contrato de distribuidor deve limitar o uso ao trabalho na rede — proibindo exportar, revender ou usar a base fora da operação (a cláusula entra no pacote jurídico que montamos em CNAE, contrato e jurídico).
Visibilidade segmentada: a regra de arquitetura nº 1
O princípio da necessidade, traduzido para MMN: cada distribuidor enxerga a própria downline — e nada além. Nome e indicadores de atividade dos seus times, sim; documento, banco e contato completo de terceiros, não. E nunca, em hipótese alguma, a base inteira da empresa. Parece óbvio — mas sistemas improvisados vazam isso o tempo todo (relatório aberto demais, busca global de CPF, exportação sem controle). O dado que o distribuidor não vê é o dado que ele não vaza.
O ciclo de vida na prática
- Coleta com finalidade: o cadastro público pede o mínimo e diz para quê — e o aceite dos termos fica registrado com versão, data e origem (o mesmo aceite auditado do contrato de adesão);
- Uso com trilha: ações sensíveis — alteração de conta bancária, troca de patrocinador, exportações — ficam logadas: quem, quando, o quê. A trilha é a resposta da empresa a qualquer incidente;
- Saída com dignidade: distribuidor que sai tem direito à exclusão dos dados pessoais — MAS o histórico financeiro e fiscal fica pelo prazo legal, e a posição na árvore não some (a rede dos outros não pode desmontar). A resposta técnica é a anonimização: a posição vira um nó sem identidade, os documentos ficam no cofre fiscal, o CPF sai de circulação. Quem promete "apagamos tudo" não entendeu nem a LGPD nem o MMN.
Consentimento e comunicação
E-mail e WhatsApp para a rede e para clientes: base legal pensada (execução de contrato para o operacional; consentimento para marketing), descadastro que funciona, e — o erro clássico do setor — nenhum distribuidor disparando pela lista da empresa. Ferramenta de comunicação é da operação; o distribuidor fala com a rede DELE, pelos canais dele, com as regras de conduta do contrato.
Checklist de conformidade mínima
- Política de privacidade específica da operação (não um modelo genérico de loja);
- Aceite versionado no cadastro + contrato de distribuidor com cláusula de dados;
- Acesso segmentado por posição na rede + logs de ações sensíveis;
- Processo de exclusão/anonimização documentado e testado;
- Contrato de operadora com a plataforma — e a pergunta direta a ela: "como vocês isolam o que cada distribuidor vê?"
Proteção de dados em MMN é, no fim, um critério de escolha de plataforma — entra na mesma lista de critérios que publicamos aqui. Na demonstração do MMNWEB dá para ver a segmentação funcionando: entre como distribuidor e repare no que você não consegue ver. É assim que deve ser.