Canvas LGPD

Um quadro, não outro cadastro

O Canvas é uma forma visual de trabalhar a mesma atividade de tratamento: blocos como dados pessoais, base legal e segurança, preenchidos com notas. Ele grava na mesma tabela do formulário — não é um registro paralelo, é outra superfície sobre o mesmo dado.

O motor de regras

Sobre a atividade rodam regras de conformidade que apontam achados — retenção não definida, ausência de medidas de segurança, dado sensível sem criptografia registrada, legítimo interesse sem LIA. A avaliação pode ser disparada para a organização inteira, não só ao salvar um canvas.

Esse detalhe é o que fez a diferença entre um módulo que informa e um que engana: enquanto a avaliação só acontecia no salvamento do canvas, atividades criadas pelo formulário nunca eram avaliadas e apareciam limpas.

O que a regra pode afirmar sobre uma atividade sem notas

Quando a atividade não tem nota alguma, as regras são avaliadas contra os campos do formulário. Isso funciona bem para presença e categoria — se há dado pessoal, se ele é sensível — porque são informações equivalentes nos dois vocabulários.

Mas nem tudo volta. O formulário guarda texto livre onde o canvas guarda escolhas estruturadas, então uma regra que pergunta por uma medida específica sobre um campo preenchido em texto livre é reportada como não avaliada — nunca respondida por dedução. A única exceção não é chute: bloco vazio não pode conter nada, então "sem criptografia registrada" é fato quando nada foi registrado.

Quando a atividade tem notas, elas ganham do formulário. A razão é simples: o canvas é o registro mais rico, e quem esvaziou um bloco quis esvaziá-lo.