Compliance de Apps na AL: Guia do ISV pra Vender em 5 Países

Este guia percorre os cinco maiores mercados da América Latina e monta a matriz de compliance que todo ISV (Independent Software Vendor, empresa de software que vende seu produto para outras empresas) precisa resolver antes de vender: proteção de dados, faturamento eletrônico, entidade local e certificações no Brasil, México, Argentina, Colômbia e Chile.

Pré-requisitos: o que o ISV precisa ter antes de começar

A estrutura de compliance de um app na América Latina não começa do zero. Três bases precisam estar definidas antes de qualquer passo regulatório.

A primeira base é contratual. O ISV precisa de Termos de Serviço e uma Política de Privacidade que cubram o tratamento de dados pessoais de titulares brasileiros, mexicanos, argentinos, colombianos e chilenos. Não adianta traduzir o documento em inglês. Cada país exige informações específicas: a finalidade do tratamento, a base legal, o compartilhamento com terceiros, o prazo de retenção e o canal de contato do encarregado de proteção de dados.

A segunda base é técnica. O app precisa ter capacidade de aplicar controles de acesso por perfil, manter logs de auditoria de todas as operações com dados pessoais, e suportar a exportação e eliminação seletiva de dados de um titular. Sem isso, responder a uma solicitação de acesso no prazo de 15 dias corridos que a LGPD exige no Brasil é impraticável.

A terceira base é fiscal. O ISV precisa decidir se vai operar com entidade local própria em cada país ou se vai usar um intermediário que emita nota fiscal em moeda local e recolha os tributos na fonte. Essa decisão define o cronograma inteiro de compliance.

Passo 1: estruturar a proteção de dados em cada país

A proteção de dados pessoais é o requisito com o maior alcance transversal. Nenhum dos cinco países exige que o servidor esteja dentro do território nacional, mas todos impõem condições para a transferência internacional de dados.

Brasil: LGPD (Lei 13.709/2018)

A Lei Geral de Proteção de Dados brasileira tem alcance extraterritorial expresso. O artigo 3º da LGPD estabelece que a lei se aplica a qualquer operação de tratamento que ocorra no território nacional, que tenha por objetivo a oferta de bens ou serviços a indivíduos no Brasil, ou cujos dados tenham sido coletados no país. Um ISV que vende SaaS para empresas brasileiras está sujeito à LGPD mesmo sem ter escritório em São Paulo.

Quatro obrigações merecem atenção imediata do ISV.

Nomeação de encarregado. O artigo 41 da LGPD exige que todo controlador designe um Encarregado de proteção de dados (DPO) e divulgue publicamente sua identidade e canal de contato. A Resolução CD/ANPD 2/2022 simplifica o requisito para pequenas empresas, mas a obrigação de manter um canal acessível ao titular e à ANPD permanece.

Registro das operações de tratamento. O artigo 37 exige que controladores e operadores mantenham registros documentados de cada atividade de tratamento: categorias de dados, finalidades, bases legais, destinatários e prazos de retenção. A ANPD pode solicitar esses registros a qualquer momento.

Cláusulas contratuais para transferência internacional. A Resolução CD/ANPD 19/2024 estabeleceu as cláusulas-padrão para transferências internacionais de dados. Um ISV que processa dados de usuários brasileiros em servidores fora do Brasil precisa incorporar essas cláusulas ao contrato com o cliente e com os suboperadores (provedores de nuvem, ferramentas de analytics, plataformas de suporte).

Notificação de incidentes. A Resolução CD/ANPD 4/2023 fixou o prazo de 2 dias úteis para comunicar à ANPD incidentes de segurança que possam causar risco relevante aos titulares. O relógio começa no momento em que o controlador toma ciência do incidente, não na data da violação.

A análise regulatória para México, Argentina, Colômbia e Chile é baseada em pesquisa pública e não substitui assessoria jurídica local. Consulte o Distribution Counsel para verificação independente dos regimes antes de tomar decisões contratuais ou fiscais.

México: LFPDPPP 2025

O México aprovou em março de 2025 uma nova Lei Federal de Proteção de Dados Pessoais em Posse dos Particulares, que substituiu a lei de 2010 e dissolveu o INAI, transferindo a supervisão para a Secretaría Anticorrupción y Buen Gobierno.

O ISV precisa de três coisas no México.

Aviso de privacidade em espanhol. O aviso de privacidade mexicano é o documento central da relação com o titular. Ele precisa descrever as finalidades do tratamento, distinguir quais atividades dependem de consentimento e quais são facultativas, e informar os direitos ARCO (acesso, retificação, cancelamento, oposição). O prazo de resposta para solicitações ARCO é de 20 dias úteis.

Consentimento para dados sensíveis. Dados sensíveis exigem consentimento expresso e por escrito, com assinatura autógrafa ou eletrônica. O padrão de consentimento foi endurecido pela lei de 2025: consentimento obtido por práticas enganosas, caixas pré-selecionadas ou autorizações agregadas é inválido.

Transferências internacionais baseadas em consentimento. O regime mexicano não possui um mecanismo de adequacy decision ou cláusulas-padrão como o brasileiro. A transferência internacional opera no modelo de consentimento prévio do titular. O ISV precisa obter esse consentimento de forma específica e documentada.

Argentina: Lei 25.326

A Argentina opera com a Lei de Proteção de Dados Pessoais 25.326, de 2000, que a Comissão Europeia reconheceu como de nível adequado de proteção. Três projetos de reforma tramitam no Congresso em 2026 (S-0644/2025, 1948-D-2025 e 0904-D-2025), mas nenhum foi sancionado até julho de 2026.

Três obrigações práticas para o ISV.

Registro de bases de dados na AAIP. Toda base de dados pessoais deve ser registrada na Agência de Acesso à Informação Pública, com renovação anual. O custo estimado por base é de USD 50 a 200.

Consentimento expresso e documentável. A coleta de dados exige consentimento informado, expresso e revogável, com trilha de auditoria. Checkboxes não pré-marcados, texto claro e logging do momento e da forma do consentimento são requisitos de implementação técnica.

Acordo com suboperadores. Todo fornecedor que receba dados pessoais (AWS, Stripe, ferramentas de e-mail marketing) precisa de um Data Processing Agreement que fixe os limites do tratamento. Sem DPA, o ISV responde sozinho por qualquer vazamento do suboperador.

Colômbia: Lei 1581 de 2012

A Colômbia regula a proteção de dados pessoais pela Lei Estatutária 1581 de 2012, complementada pelos Decretos 1377 de 2013 e 886 de 2014. A Superintendência de Indústria e Comércio (SIC) é a autoridade de fiscalização.

O ISV precisa de quatro itens na Colômbia.

Política de privacidade e aviso. Toda empresa que trata dados pessoais na Colômbia deve manter uma política de privacidade acessível ao titular e um procedimento interno para responder consultas e reclamações.

Registro no Registro Nacional de Bases de Dados. Empresas com ativos superiores a 100.000 UVT (aproximadamente USD 1,3 milhão) precisam registrar as bases de dados no RNBD e renovar o registro anualmente entre 2 de janeiro e 31 de março.

Cláusulas contratuais modelo para transferências internacionais. A SIC publicou em dezembro de 2025 a Circular Externa 003/2025, que introduz cláusulas contratuais modelo para transferências e transmissões internacionais de dados. O uso é facultativo, mas a adesão torna as obrigações vinculantes.

Acordo com encarregados. O ISV que contrata processadores de dados na Colômbia precisa firmar contratos específicos que definam as obrigações de segurança, confidencialidade e limitação de finalidade.

Chile: Lei 21.719 (vigência em 1º de dezembro de 2026)

O Chile aprovou em dezembro de 2024 uma nova lei de proteção de dados, a Lei 21.719, que substitui a Lei 19.628 de 1999 e cria a Agência de Proteção de Dados Pessoais. A vigência plena começa em 1º de dezembro de 2026.

O período de transição de 24 meses termina neste ano. Para um ISV que planeja vender no Chile em 2026, o momento de se preparar é agora. Cinco pontos merecem atenção.

Avaliação de impacto. A lei exige uma Avaliação de Impacto na Proteção de Dados Pessoais (DPIA) sempre que o tratamento apresentar alto risco para os direitos dos titulares. Isso inclui processamento em larga escala de dados sensíveis, profiling e decisões automatizadas.

Notificação de violações. Incidentes de segurança que representem risco aos direitos dos titulares devem ser reportados à Agência sem de[mor](/blog/merchant-of-record-brasil-guia-completo-saas)a injustificada, com registro descritivo da natureza da violação.

Portabilidade de dados. O titular tem direito a receber uma cópia dos dados em formato eletrônico estruturado e a transferi-los a outro controlador.

Medidas de segurança. O controlador deve adotar medidas técnicas e organizacionais apropriadas ao risco, considerando o estado da técnica e os custos de aplicação.

Sanções. Multas de até 20.000 UTM (aproximadamente USD 1,5 milhão) para infrações gravíssimas, podendo chegar a 2% ou 4% da receita anual em vendas e serviços no Chile para infrações reiteradas.

Passo 2: resolver a conformidade fiscal e o faturamento eletrônico

Cada país da América Latina tem seu próprio sistema de faturamento eletrônico com validação em tempo real pela autoridade fiscal. O ISV não emite uma nota fiscal tradicional: ele gera um documento digital assinado, transmite para o fisco, recebe uma autorização e só então entrega ao cliente.

Brasil: NF-e e NFS-e

O Brasil opera dois sistemas de faturamento eletrônico. A Nota Fiscal Eletrônica (NF-e) cobre bens e operações interestaduais. A Nota Fiscal de Serviços Eletrônica (NFS-e) cobre serviços, incluindo SaaS. Cada município tem regras próprias de ISS, o que cria mais de 5.000 regimes potenciais.

O ISV que vende SaaS para empresas brasileiras precisa emitir NFS-e com retenção dos tributos na fonte: ISS (2% a 5%, dependendo do município), PIS (1,65%) e COFINS (7,6%) no regime não cumulativo. Uma distinção fiscal relevante para o ISV: a CIDE (10%) incide sobre SaaS e serviços técnicos. A isenção do §1°-A, art. 2° da Lei 10.168/2000 aplica-se exclusivamente a licenças puras de software sem transferência de tecnologia, categoria distinta de SaaS. A partir da Reforma Tributária (LC 214/2025), PIS e COFINS são extintos em 2027 e substituídos pela CBS. O ISS será gradualmente substituído pelo IBS entre 2029 e 2032, com extinção total em 2033. O ISV que opera via Nexforce Marketplace recebe uma nota fiscal doméstica da Nexforce em reais, sem precisar se cadastrar como emissor de NFS-e.

México: CFDI 4.0

O Comprobante Fiscal Digital por Internet (CFDI) é obrigatório para todas as transações. Desde janeiro de 2026, a Reforma Tributária mexicana exige que os CFDI reflitam operações reais e verdadeiras, sob pena de presunção de falsidade. O SAT pode verificar a realidade da transação e, se considerar o CFDI falso, publicar o nome do emissor no Diário Oficial.

A partir de maio de 2026, plataformas tecnológicas que operam no México devem permitir acesso online permanente do SAT às informações fiscais e operacionais, organização por transação individual, disponibilidade em até um dia útil após a operação e arquivamento por cinco anos.

O ISV sem entidade local no México precisa de um representante fiscal ou de um intermediário habilitado para emitir CFDI com validação perante o SAT.

Argentina: Factura Electrónica ARCA

A Argentina opera o sistema de facturación eletrônica via WebService wsfev1 da ARCA (ex AFIP), conforme a Resolução Geral 4.291. A partir de setembro de 2026, o campo CondicionIVAReceptorId se torna obrigatório para todas as faturas, e não será mais possível emitir comprovantes sem informar a condição de IVA do receptor.

O ISV precisa de CUIT (Cadastro Único de Identificación Tributaria) e certificado digital para emitir faturas eletrônicas argentinas. Sem entidade local, o caminho é um intermediário fiscal autorizado.

Colômbia: Factura Electrónica DIAN

A DIAN exige a Factura Electrónica de Venda com validação prévia em tempo real, conforme a Resolução 00165 de 2023 (versão 1.9 do Anexo Técnico). Cada fatura precisa conter o CUFE (Código Único de Facturación Electrónica), gerado após validação pela DIAN, e QR code.

Para ser emissor, o ISV precisa de NIT colombiano, certificado de firma digital, e habilitação no ambiente de testes da DIAN com envio de 2 faturas, 1 nota débito e 1 nota crédito. O ISV sem entidade local precisa de um Proveedor Tecnológico autorizado pela DIAN ou de um intermediário que emita em seu nome.

Chile: DTE SII

O Documento Tributario Electrónico chileno é um sistema de clearance: cada fatura é enviada ao SII, validada contra o schema XML, e recebe um Timbre Electrónico SII (TED) que funciona como carimbo fiscal. O formato é único, com 60 linhas máximas de itens por documento.

O ISV precisa de RUT (Rol Único Tributário) chileno, certificado digital adquirido de provedor credenciado pelo SII, e certificação de software no ambiente Set de Pruebas do SII. A alíquota de IVA é de 19%. O ISV estrangeiro sem estabelecimento permanente pode se registrar no portal simplificado do SII para serviços digitais, mas precisa de representante legal no Chile para interagir com o fisco.

Passo 3: decidir sobre entidade local versus plataforma de distribuição

A decisão sobre entidade local é a mais estruturante do cronograma de compliance. Abrir uma filial ou subsidiária em cada um dos cinco países custa, entre honorários contábeis, jurídicos e registros fiscais, entre USD 15 mil e 50 mil por país no primeiro ano, mais custos recorrentes de mantenimiento contábil e fiscal.

O Nexforce Marketplace elimina a necessidade de entidade local nos cinco países. O ISV que distribui seu SaaS pelo Marketplace recebe os pagamentos em reais (BRL) no Brasil, sem precisar de CUIT argentino, RUT chileno, NIT colombiano, RFC mexicano ou CNPJ brasileiro próprio para faturamento. A Nexforce emite a nota fiscal doméstica em moeda local para o cliente final, recolhe os tributos na fonte e gerencia a conformidade fiscal de cada país.

O que o Marketplace não cobre: proteção de dados, termos de uso localizados e certificações de segurança. Esses requisitos são de responsabilidade do ISV, independentemente do canal de distribuição.

Passo 4: implementar certificações de segurança e compliance

Os clientes empresariais latino-americanos estão incorporando requisitos de segurança nos processos de procurement de software. Um ISV que não consegue responder a um questionário de segurança perde contratos antes de começar a negociar preço.

Três certificações são relevantes na região.

ISO 27001. É a certificação mais reconhecida. A DIAN colombiana exige ISO 27001 ou compromisso de obtê-la em até 18 meses para provedores tecnológicos habilitados. Clientes brasileiros de médio e grande porte a incluem como critério eliminatório em licitações de software.

SOC 2. Empresas que vendem para o setor financeiro brasileiro e mexicano enfrentam exigência de relatório SOC 2 Tipo II, especialmente quando processam dados financeiros ou informações de cartão de crédito.

LGPD readiness. A ANPD brasileira considera, no cálculo de multas, a existência de programa de compliance documentado como atenuante (artigo 52, §1º, VII). Um programa de LGPD bem estruturado reduz a exposição a multas de até BRL 50 milhões por infração.

Verificação: como confirmar que o compliance está completo

A tabela abaixo resume os requisitos centrais de cada país, organizados por tipo de compliance. O ISV pode usar essa matriz como checklist de entrada.

Seis perguntas que o ISV deve responder antes de ativar o primeiro cliente em cada país.

1. O aviso de privacidade está publicado em português brasileiro, espanhol mexicano, espanhol argentino, espanhol colombiano e espanhol chileno, com as informações exigidas por cada lei local?
2. O canal de contato do encarregado de proteção de dados está acessível e alguém monitora as solicitações dos titulares?
3. Os contratos com clientes incluem cláusulas de tratamento de dados (DPA) e as cláusulas-padrão para transferência internacional onde exigidas?
4. O sistema de faturamento emite os documentos fiscais eletrônicos no formato exigido por cada país, com validação em tempo real pela autoridade local?
5. A empresa tem representante legal ou intermediário autorizado para interagir com as autoridades fiscais nos países onde não tem entidade própria?
6. O plano de resposta a incidentes cobre o prazo de notificação de cada jurisdição (2 dias úteis no Brasil, reporte imediato no Chile, prazo razoável na Argentina)?

Erros comuns na expansão para a América Latina

Três erros se repetem em praticamente todos os processos de entrada na região.

Traduzir a política de privacidade do GDPR para o português e achar que cobre a LGPD. A LGPD tem 10 bases legais contra 6 do GDPR, exige encarregado sem exceção de porte e impõe prazo de 15 dias corridos para resposta ao titular. Uma política copiada da Europa deixa o ISV exposto desde o primeiro cliente.

Abrir entidade local em cada país antes de validar o produto. O custo de abertura e manutenção de cinco entidades no primeiro ano passa de USD 75 mil a 250 mil. Para [[[[[ISVs](/blog/aws-marketplace-guia-isvs)](/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](/blog/aws-marketplace-saas-guia-pratico-isvs)](/blog/aws-marketplace-guia-isvs)](/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud) com tíquete médio abaixo de USD 50 mil por cliente, a estrutura não se paga antes do terceiro ano. O Nexforce Marketplace elimina esse custo e permite que o ISV valide o produto antes de decidir se e onde vai se estabelecer.

Ignorar as atualizações normativas. O México publicou a LFPDPPP 2025 em março, reformulou a autoridade de proteção de dados e ainda não publicou o regulamento. A Colômbia emitiu cláusulas contratuais modelo em dezembro de 2025. O Chile entra em vigor em dezembro de 2026. A região não é estática. O compliance não é um projeto com data de entrega, é um processo contínuo.

Perguntas frequentes

O ISV precisa de servidor local em cada país? Não. Nenhum dos cinco países exige residência dos dados dentro do território nacional. Todos, porém, regulam a transferência internacional e exigem cláusulas contratuais ou consentimento específico para envio de dados ao exterior.

Qual certificação de segurança é obrigatória para vender na região? Nenhuma é obrigatória em lei para a venda de SaaS, mas a ISO 27001 é exigida por clientes corporativos brasileiros e o SOC 2 é requisito de facto no setor financeiro mexicano e brasileiro.

O Nexforce Marketplace elimina a necessidade de consultoria jurídica local? Não. O Marketplace resolve a parte fiscal e de entidade local. O ISV ainda precisa de assessoria jurídica local para termos de uso, políticas de privacidade e contratos de DPA adaptados a cada jurisdição.

Quanto tempo leva para estruturar o compliance nos cinco países? Entre 4 e 8 meses, dependendo da maturidade contratual e técnica do ISV. O prazo mais longo é a obtenção de certificações de segurança, que pode levar de 6 a 12 meses.

O ISV pode vender para clientes governamentais na América Latina? Sim, mas o processo de licitação pública em cada país exige cadastro prévio no SICAF (Brasil), registro no CompraNet (México) ou equivalente local, além das certificações de segurança correspondentes.

Referências e Leitura Complementar

• [LGPD no Brasil: guia de importação de software para [[[[[ISVs](/blog/aws-marketplace-guia-isvs)](/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](/blog/aws-marketplace-saas-guia-pratico-isvs)](/blog/aws-marketplace-guia-isvs)](/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](https://nexforce.ai/blog/importacao-software-guia-completo) (lado comprador)
• [Guia de cloud marketplace para [[[[[ISVs](/blog/aws-marketplace-guia-isvs)](/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](/blog/aws-marketplace-saas-guia-pratico-isvs)](/blog/aws-marketplace-guia-isvs)](/blog/cloud-marketplace-isvs-guia-aws-azure-google-cloud)](https://nexforce.ai/blog/cloud-marketplace-isvs) (canal de distribuição)
• Lei 13.709/2018 (LGPD Brasil) e Resolução CD/ANPD 19/2024
• Lei Federal de Proteção de Datos Personales en Posesión de los Particulares (México, DOF 20-mar-2025)
• Lei 25.326 (Argentina) e Decreto 1558/2001
• Lei Estatutária 1581 de 2012 (Colômbia)
• Lei 21.719 (Chile, DOF 13-dez-2024, vigência 1º-dez-2026)
• Resolução DIAN 00165 de 2023 (Colômbia, factura eletrônica)
• Resolução Geral ARCA 4.291 (Argentina, factura eletrônica)
• SII, Documentos Tributarios Electrónicos, Manual de Certificación (Chile)