Você está avaliando fornecedores e tem na mão uma lista com plataformas de funcionalidades parecidas, preços próximos e demos que impressionam. O problema é que quase ninguém faz a pergunta que realmente importa: “Como vocês tratam os dados dos meus respondentes?” Essa, justamente, é a pergunta que deveria abrir qualquer conversa com um fornecedor de plataforma de pesquisa.
Uma plataforma de pesquisa é o sistema onde dados pessoais de clientes, colaboradores e consumidores são coletados, processados e armazenados. Isso transforma o fornecedor, na prática, em um operador de dados com responsabilidades legais previstas pela LGPD. Escolher errado pode gerar multas de até R$ 50 milhões por infração, além de danos reputacionais que nenhum relatório de NPS reverte. Neste artigo você vai ver os critérios para avaliar qualquer fornecedor, do porte de uma PME ao de uma multinacional, com foco em certificações, proteção de dados e políticas internas.
O que é uma plataforma de pesquisa e por que a escolha vai além do preço
Uma plataforma de pesquisa é um software que permite criar, distribuir, coletar e analisar questionários e formulários, seja para medir a satisfação do cliente, o engajamento dos colaboradores ou conduzir investigações de mercado. O que diferencia os fornecedores não é só a interface ou o número de templates disponíveis: é a infraestrutura de segurança que sustenta toda a operação por trás da tela.
Os dados coletados em uma pesquisa podem incluir desde a opinião anônima de um consumidor até informações sensíveis como situação de saúde, percepção de clima organizacional ou dados financeiros. Qualquer vazamento ou uso indevido gera consequências diretas para a sua empresa, e não para o software. Você é o controlador; o fornecedor é o operador. E a lei é clara: ambos compartilham responsabilidades perante a ANPD.
Aqui vai o ponto que muitas empresas ignoram: as penalidades da LGPD se aplicam à cadeia inteira, o que inclui terceiros contratados para processar dados em nome da sua organização. Avaliar um fornecedor de plataforma de pesquisa é, em grande parte, fazer due diligence de parceiro estratégico, não apenas comparar preços de plano ou contar o número de perguntas disponíveis no formulário.
O problema real não é a falta de opções no mercado. É a dificuldade de distinguir fornecedores que realmente investem em segurança daqueles que apenas mencionam as palavras certas no site. Para isso, existem critérios objetivos, e você vai vê-los a seguir.
Segurança de dados: os números que justificam cada critério desta lista
Antes de entrar nos critérios técnicos, vale entender o tamanho do risco. O Brasil não é só um mercado relevante de pesquisa: é também um dos países com maior incidência de violações de dados no mundo. Em 2024, o país registrou um aumento de 24 vezes nas violações de contas em relação ao ano anterior, conforme levantamento publicado no Valor Econômico. Esse cenário torna a escolha do fornecedor uma decisão de gestão de risco, não apenas de TI.
R$ 7,19 milhões
Esse foi o custo médio de uma violação de dados no Brasil em 2025, alta de 6,5% em relação ao ano anterior. O setor de saúde registrou as maiores perdas, com média de R$ 11,43 milhões por incidente.
Fonte: IBM Cost of a Data Breach Report, 2025 (via Veja, 2025)
O que esses números significam para quem contrata uma plataforma de pesquisa? Que o custo de uma escolha equivocada não é apenas financeiro e imediato. Um fornecedor sem práticas robustas de segurança pode ser o elo fraco que expõe toda a sua base de respondentes. Quando o dado é de pesquisa, o impacto vai além do regulatório: afeta a confiança que as pessoas têm em participar de futuras pesquisas da sua empresa.
20%
Das violações de dados têm origem em fornecedores e parceiros da cadeia de suprimentos. Além disso, a Fiesp identificou que em 42% dos ataques cibernéticos bem-sucedidos contra empresas brasileiras, a causa raiz foi falha humana, incluindo colaboradores de parceiros.
Fonte: Fiesp e Veja Economia, 2025
Mas atenção: segurança não é um tema exclusivo de grandes corporações. PMEs estão igualmente expostas, muitas vezes com menos recursos de TI para identificar vulnerabilidades em fornecedores terceirizados. Um fornecedor com certificações reconhecidas e políticas claras resolve boa parte desse problema antes que ele apareça no pior momento possível.
Certificações que todo fornecedor de plataforma de pesquisa precisa ter
As certificações são a forma mais objetiva de verificar se um fornecedor realmente mantém o que promete na apresentação comercial. Elas são concedidas por auditores independentes, com critérios técnicos específicos, e precisam ser renovadas periodicamente. Não aceite apenas a palavra do vendedor: peça o certificado e verifique a data de validade.
Certificações e conformidades essenciais para avaliar
ISO 27001
Padrão internacional para gestão de segurança da informação. Cobre controle de acesso, gerenciamento de incidentes e continuidade de negócio. Auditada por terceiros.
Conformidade com a LGPD
Obrigatória para operação no Brasil. O fornecedor deve oferecer portabilidade de dados, exclusão sob demanda, registros de tratamento e notificação de incidentes.
SOC 2 Type II
Auditoria de controles relacionados à segurança, disponibilidade, integridade de processamento e confidencialidade dos dados. Especialmente relevante para SaaS B2B.
GDPR (conformidade europeia)
Relevante para empresas com operações ou respondentes na União Europeia. Fornecedores que atendem ao GDPR costumam ter práticas de privacidade mais maduras de forma geral.
Section 508 (acessibilidade)
Garante que as pesquisas criadas na plataforma sejam acessíveis a respondentes com diferentes habilidades, incluindo usuários de leitores de tela.
A certificação mais relevante para plataformas de software que processam dados é a ISO 27001. Ela especifica os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI) e cobre desde o controle de acesso e gerenciamento de incidentes até a segurança física dos servidores. Um fornecedor com ISO 27001 passou por auditoria independente que verifica se esses controles existem e funcionam na prática, não apenas no papel.
Continue lendo, porque o próximo critério é onde a maioria das empresas brasileiras falha na avaliação de fornecedores: a verificação real da conformidade com a LGPD.
LGPD na prática: o que exigir do fornecedor antes de assinar
A Lei Geral de Proteção de Dados (LGPD) não se limita ao que a sua empresa faz internamente: ela se estende a todos os parceiros que tratam dados em seu nome. Um fornecedor de plataforma de pesquisa fora de conformidade com a LGPD coloca a sua empresa em risco direto, independentemente do que o contrato diga sobre responsabilidade. A lei olha para quem controla e para quem opera.
80% / 30%
80% das empresas brasileiras consideram a LGPD uma prioridade estratégica. Mas apenas 30% afirmam estar totalmente em conformidade. Essa lacuna representa um risco concreto tanto para controladores quanto para seus fornecedores.
Fonte: Data Privacy Brasil, 2024
O que verificar na prática: o fornecedor precisa demonstrar que oferece recursos para portabilidade de dados (o respondente pode solicitar cópia de seus dados), que mantém registros das atividades de tratamento, que possui mecanismos de exclusão de dados mediante solicitação, e que notifica violações dentro dos prazos previstos pela lei. Se o fornecedor não souber responder essas perguntas com objetividade, é sinal de alerta.
Um momento: conformidade com a LGPD não é uma declaração de marketing na página de segurança do site. É um conjunto de processos operacionais documentados e testados. Peça ao fornecedor a política de privacidade atualizada, o registro das operações de tratamento de dados (art. 37 da LGPD) e, se possível, o Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Fornecedores maduros têm esses documentos disponíveis sem hesitação e sem pedido formal de NDA para compartilhá-los.
Também vale perguntar se o fornecedor tem um Encarregado de Proteção de Dados (DPO) designado, conforme previsto no art. 41 da LGPD, e como é o canal de comunicação com a ANPD em caso de incidente. Essas duas perguntas revelam se a conformidade é estrutural ou apenas declaratória.
Políticas que revelam a maturidade do fornecedor
Além das certificações e da conformidade legal, existem políticas internas que diferenciam fornecedores comprometidos com segurança daqueles que apenas cumprem o mínimo exigido. Avaliar esses documentos com atenção antes de assinar qualquer contrato evita surpresas que costumam aparecer exatamente no pior momento.
| Política | O que verificar | Sinal de maturidade |
|---|---|---|
| Retenção de dados | Por quanto tempo os dados ficam armazenados e o que ocorre após o encerramento do contrato | Períodos definidos por escrito e processo automatizado de exclusão |
| Resposta a incidentes | Quem é notificado, em qual prazo e por qual canal em caso de vazamento | Plano documentado com SLA de notificação inferior a 72 horas |
| Subcontratação | Quais provedores terceiros têm acesso aos dados (ex.: cloud, analytics) | Lista de subprocessadores divulgada publicamente com contratos de DPA |
| Controle de acesso interno | Quem, dentro do fornecedor, acessa os dados coletados nas pesquisas | Acesso baseado em função, 2FA obrigatório e logs de auditoria |
| Backup e continuidade | Como os dados são recuperados em caso de falha ou desastre | RTO e RPO definidos, testes periódicos documentados |
A política de retenção de dados é frequentemente negligenciada na avaliação de fornecedores. Ela define por quanto tempo os dados dos respondentes ficam armazenados e, mais importante, o que acontece com eles após o encerramento do contrato. Empresas que trocaram de fornecedor sem essa clareza descobriram, depois, que os dados de pesquisas passadas continuavam armazenados em servidores de terceiros sem qualquer base legal para isso.
A política de subcontratação também merece atenção redobrada. Muitas plataformas utilizam serviços de terceiros para infraestrutura de nuvem, processamento de linguagem natural ou análise de dados. O fornecedor que não divulga quais subcontratados usa, ou que não exige das suas próprias fornecedoras o mesmo nível de segurança que exige de si, representa um risco em cadeia. Essa é exatamente a origem de 20% das violações de dados registradas no Brasil, conforme levantamento citado na Veja em 2025.
O que isso significa para a sua avaliação: a transparência é, por si só, um indicador de maturidade. Fornecedores que tornam difícil o acesso a esses documentos, ou que pedem assinatura de acordos de confidencialidade antes de mostrar uma política básica de privacidade, estão essencialmente pedindo que você confie sem verificar. Isso não é parceria estratégica.
Como avaliar de acordo com o porte da sua empresa
A boa notícia para PMEs é que os critérios de avaliação são os mesmos, independentemente do porte. A diferença está na profundidade da verificação e nos recursos disponíveis para monitorar o cumprimento ao longo do tempo. Um fornecedor com certificação ISO 27001, conformidade com a LGPD e políticas transparentes é adequado tanto para uma empresa de 50 funcionários quanto para uma operação com 10 mil colaboradores.
O que muda para PMEs é a prioridade de cada critério. Com equipes menores e menos especialistas jurídicos ou de TI internamente, a PME depende mais do fornecedor para garantir que as boas práticas estejam implementadas por padrão, sem exigir configurações avançadas ou integrações personalizadas. Nesse contexto, a facilidade de acesso à documentação de segurança e a clareza das políticas valem quase tanto quanto as certificações em si. Um fornecedor que consegue explicar suas práticas de proteção de dados em linguagem não técnica demonstra que essas práticas fazem parte da cultura da empresa, não apenas do manual de TI.
Para empresas de maior porte, o processo tende a ser mais formal: envolve revisão de contratos por equipes jurídicas, questionários de due diligence de segurança e, em alguns setores regulados como financeiro ou saúde, verificação de conformidade com normas setoriais específicas como as do Banco Central ou do CFM. Nesse cenário, o fornecedor precisa estar preparado para fornecer evidências documentais de cada controle e, idealmente, nomear um ponto de contato técnico para o processo de avaliação. Fornecedores que só têm uma equipe de vendas disponível para responder perguntas técnicas raramente estão preparados para esse nível de parceria.
O que a QuestionPro oferece em segurança, certificações e conformidade
A QuestionPro é uma plataforma de pesquisa com presença global e infraestrutura de segurança auditada por terceiros. Entre as certificações mantidas pela plataforma, a ISO 27001:2013 é a mais relevante para empresas brasileiras: trata-se do padrão internacional para gestão de riscos de segurança da informação, que cobre controles de acesso, gerenciamento de incidentes, segurança física da infraestrutura e continuidade de negócio.
“Segurança de dados não é um produto que vendemos: é a condição que permite que toda a operação de pesquisa dos nossos clientes funcione com confiança. Cada certificação que mantemos é renovada anualmente por auditores independentes, porque acreditamos que a confiança precisa ser verificável, não apenas declarada.”
— QuestionPro Research Team
Em relação à LGPD, a QuestionPro mantém conformidade total com a lei brasileira, incluindo recursos nativos de portabilidade de dados, mecanismos para exclusão de dados de respondentes e controles para que os dados coletados sejam usados estritamente para a finalidade declarada pelo controlador. Isso simplifica o trabalho das equipes jurídicas e de compliance que precisam garantir adequação sem depender de configurações manuais complexas no sistema.
A plataforma também opera em conformidade com o GDPR europeu, o que é relevante para empresas brasileiras com operações ou respondentes na Europa. Além disso, a conformidade com a Section 508, o padrão de acessibilidade do governo americano, garante que as pesquisas criadas sejam acessíveis a respondentes com diferentes habilidades, ampliando o alcance das coletas sem exigir adaptações adicionais. Tem mais: toda essa estrutura está disponível para PMEs e grandes empresas no mesmo conjunto de recursos, sem exigir planos corporativos para acessar os controles básicos de segurança.
Conclusão
Escolher uma plataforma de pesquisa pelo preço ou pela interface é o equivalente a contratar um escritório de contabilidade sem verificar o registro no CRC. Funciona até o momento em que não funciona. Os critérios de segurança, certificações e conformidade são o que separa um fornecedor que vai crescer junto com a sua empresa de um que vai custar muito mais caro no longo prazo, seja em multas, em retrabalho ou em confiança perdida com os respondentes.
A boa notícia é que verificar esses critérios não exige uma equipe especializada de TI ou jurídico dedicada: exige as perguntas certas e saber o que fazer com as respostas. Quer saber como a QuestionPro atende cada um desses critérios para a sua operação? Fale com a nossa equipe e receba uma avaliação personalizada para o porte e o segmento da sua empresa.
Uma plataforma de pesquisa é um software que permite criar, distribuir, coletar e analisar questionários e formulários de pesquisa online e offline. Ela é usada para medir satisfação de clientes, engajamento de colaboradores, realizar pesquisas de mercado e coletar dados para tomada de decisão. O fornecedor da plataforma atua como operador dos dados coletados, o que gera responsabilidades legais compartilhadas com a empresa que a contrata, especialmente sob a LGPD.
As certificações mais relevantes são: ISO 27001 (gestão de segurança da informação, auditada por terceiros), SOC 2 Type II (controles de segurança e disponibilidade para SaaS), conformidade com a LGPD (obrigatória para operação no Brasil) e, para empresas com operações internacionais, conformidade com o GDPR europeu. Peça sempre o certificado original e verifique a data de validade: certificações vencidas indicam que o processo de auditoria não está sendo mantido.
Pela LGPD, o fornecedor da plataforma é classificado como operador de dados, enquanto a empresa que contrata é o controlador. Ambos compartilham responsabilidades legais perante a ANPD. Isso significa que um fornecedor fora de conformidade expõe a sua empresa a multas de até R$ 50 milhões por infração, além de danos reputacionais. Verifique se o fornecedor oferece portabilidade de dados, mecanismos de exclusão, registros de tratamento e notificação de incidentes dentro dos prazos legais.
Sim. Os critérios de avaliação são os mesmos, independentemente do porte da empresa. A diferença está na profundidade do processo de due diligence e nos recursos internos disponíveis para monitoramento. Para PMEs, o foco deve estar em fornecedores que ofereçam conformidade por padrão, sem exigir configurações avançadas, e que disponibilizem documentação clara e acessível sobre suas práticas de segurança e privacidade sem a necessidade de um departamento jurídico para interpretá-la.
Sim. A QuestionPro mantém conformidade total com a LGPD brasileira, incluindo recursos nativos de portabilidade de dados, mecanismos de exclusão de dados de respondentes e controles de finalidade de uso. A plataforma também é certificada ISO 27001:2013 e opera em conformidade com o GDPR europeu e a Section 508 americana. Essas certificações são auditadas por terceiros e renovadas periodicamente, garantindo que os controles de segurança estejam ativos e funcionando na prática.
