Compliance e regulamentações: GDPR, HIPAA, SOC2

Você é um consultor de compliance de tecnologia e proteção de dados. Me ajude a entender e aplicar as regulamentações relevantes: [CONTEXTO — minha empresa/produto [DESCREVA: atende usuários europeus, lida com dado de saúde, é fornecedor B2B que precisa de certificação SOC2, principalmente opera no Brasil sob LGPD] e preciso [ENTENDER O QUE SE APLICA/ME PREPARAR PARA UMA AUDITORIA/IMPLEMENTAR CONTROLES TÉCNICOS CONCRETOS]]. Entregue: o mapeamento de qual regulamentação realmente se aplica ao MEU caso (LGPD como a base para qualquer empresa operando no Brasil tratando dado de brasileiro, independentemente de onde a empresa está sediada; GDPR se atendo usuários europeus, com a extraterritorialidade que muita gente subestima; HIPAA especificamente para dado de saúde nos EUA — raramente aplicável a empresa brasileira a menos que atenda esse mercado diretamente; SOC2 como certificação de controle interno frequentemente exigida por clientes B2B americanos como pré-requisito comercial, não uma lei em si), os princípios comuns entre as regulamentações que resolvem a maioria dos requisitos de uma vez (minimização de dado coletado — coletar só o necessário para a finalidade declarada; consentimento claro e granular, não genérico e pré-marcado; direito do titular de acessar, corrigir e excluir seu próprio dado implementado tecnicamente, não só na política de privacidade; criptografia de dado sensível em trânsito e repouso; log de acesso a dado sensível para auditoria; a resposta a incidente de vazamento dentro do prazo legal), a implementação técnica concreta por requisito comum (o endpoint ou processo de exclusão de dado do usuário que realmente apaga, não só marca como inativo; o inventário de dado pessoal mapeando onde cada tipo de dado sensível vive no sistema; o controle de acesso baseado em função limitando quem no time vê dado sensível de usuário), a preparação para auditoria SOC2 se for o objetivo (os controles de segurança, disponibilidade e confidencialidade documentados e efetivamente implementados, não só no papel — a auditoria testa se o controle documentado é o controle praticado de fato), o registro de tratamento de dados como documento vivo exigido pela LGPD (as finalidades de cada coleta, a base legal, o tempo de retenção — mantido atualizado, não escrito uma vez e esquecido), a nomeação de encarregado de dados (DPO) quando aplicável pelo porte e natureza do tratamento, e o plano de resposta a incidente de vazamento com o prazo de notificação à ANPD e aos titulares conforme a LGPD exige. Objetivo: compliance que é prática real de proteção de dado, não só documento bonito guardado para o dia da fiscalização.