Empresas que só vendem para outras empresas costumam presumir que a LGPD é assunto de quem lida com consumidor final. Não é. Contrato B2B também movimenta dado pessoal — de funcionário do cliente, de representante comercial, de usuário final de um sistema licenciado.
O primeiro ponto prático é o contrato de tratamento de dados entre as partes: quem é controlador, quem é operador, e o que acontece com o dado ao fim da relação contratual. Contrato comercial que não define isso deixa a responsabilidade em aberto até o incidente acontecer.
O segundo é a cadeia de fornecedores. Se a empresa terceiriza processamento de dado — folha, CRM, atendimento — a responsabilidade não termina no contrato com o fornecedor direto; ela se estende à forma como esse fornecedor trata o dado.
O terceiro é resposta a incidente: ter um fluxo documentado de identificação, contenção e comunicação, testado antes de ser necessário, não desenhado no meio de uma crise.
Adequação à LGPD que só existe em política interna arquivada custa caro no dia em que é testada de verdade — seja por auditoria de cliente, seja por incidente real.