Chegou a hora de falarmos sobre uma das tarefas de maior impacto - tanto para a empresa, como para o visitante dos seus sites; a categorização de Tags. Mas, qual o porquê de tanto impacto? Qual a relevância desta configuração, em que ela pode nos afetar? Justamente por essas dúvidas, tão comuns no atendimento aos nossos clientes, que escrevemos esse artigo com as boas práticas na categorização de tags.

## O que é uma tag?

Para começarmos bem, vamos ajudar com alguns conceitos básicos que vão situar cada um de vocês na AdOpt e no mercado como um todo.

De maneira bastante direta: 1 _Tag_ = Disparador de 1 ou mais Cookies.

Como assim?

Basicamente, a maioria das _Tags_, ou _pixels_ – como também são conhecidos, quando instalados no HTML de um site são eles os responsáveis pelo disparo dos cookies para cada visitante, naquela determinada página. Uma _Tag_ pode executar várias funções como ler cliques em botões, rolagem de página, coletar campos de texto, sempre associando este comportamento àquele navegador visitante.

Uma vez que isso seja possível, a maneira com que a Tag armazena os dados gerados pelo visitante, é:

\- Enviando-os para o seu servidor (servidor do serviço criador da _Tag_) e;

\- Também pode gravar, no seu navegador, as infos todas em os cookies que ela gera e grava na sua máquina.

Por exemplo. quando acessamos um e-commerce e ele reconhece que estamos voltando após um acesso mostrando produtos que são do nosso interesse; acontece graças aos [cookies](https://goadopt.io/blog/cookies-e-lgpd/) e as tags fazendo o seu trabalho. Resumindo então, 1 Tag pode disparar N cookies e realizar N funções.

Enfim, a _Tag_ em si não é algo ruim, tudo depende da sua aplicação.

## O que é a categorização de Tags?

A categorização consiste no trabalho do [Encarregado de Dados – DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), de organizar todas as tags instaladas no(s) site(s) de sua responsabilidade em categorias específicas que representam sua finalidade e propósito de estarem ali.

O mercado já criou “categorias padrão” desde a GPDR, pioneira neste ponto, são elas:

- **Essenciais / _Necessárias_:** Sem elas o seu modelo de negócio, seu site, não funciona, ou, você tem que usá-las por força de lei/sua legislação.  

- **Marketing / _Propaganda_:** Com elas você dispara seu remarketing, popula os pixels de anúncios, automatiza cadências de e-mails, etc.  

- **Estatística / _Analytics_:** Com elas você tem uma análise do que os visitantes fazem, de onde vem, como se comportam no seu site.  

- **_Performance_:** Tags que mantém as funcionalidades do site garantindo seu funcionamento e velocidade de resposta. ex. previnem ataques ao DDos  

- **_Funcionais_:** Tags que operam aspectos de funcionalidade, como lembrar as preferências ou reconhecer que você já está logado no sistema, chatbots.

Ou seja, cada empresa poderá ter um grupo de Tags instaladas no seu site cuja finalidade – descrita e detalhada na Política de Privacidade (ou política de cookies), deverá ser replicada, de igual maneira na comunicação com os visitantes – o aviso de cookies, bem como em todos os processos que façam uso destes dados.

## Por que categorizar as tags?

Muitas empresas fazem uso de aviso de cookies que não organizam as tags, ou cookies em categorias específicas, obrigando o visitante a aceitar todas as Tags sem distinção.

Isso traz um grande risco de [multas](https://goadopt.io/blog/multas-na-lgpd/) para a sua operação, uma vez que diversas legislações exigem que o consentimento deve ser específico e detalhado para determinada finalidade. Na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) por exemplo, o Art. 5º. Inciso, XII é claro:

> #info XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma **finalidade determinada;**

Esse é um dos motivos que AdOpt sempre trabalhou com um [design](https://goadopt.io/blog/o-que-e-privacy-by-design/) que prioriza a liberdade para todos os visitantes navegarem pelas categorias e suas respectivas Tags.

## Como diferenciar a função de cada tag?

Certamente o mercado já antecipa algumas finalidades e respectivas categorias. Contudo, vale lembrar que essa etapa muitas vezes envolve áreas da empresa que vão além daquelas aparentes no site. Pois, uma coleta feita através dos cookies pode ser a base operacional de um departamento inteiro e todos os processos, em alguma empresa.

Isso quer dizer que, apesar do mercado já prever um padrão para a categoria de cada tag, principalmente as mais populares, os encarregados de dados devem ajustar essa diferença dentro da operação da empresa garantindo a realidade dos fatos, e principalmente amparando tal escolha nas bases legais escolhidas.

Logo, por mais que haja um padrão as empresas são livres para ajustar os fatos, e devem estar prontos para responder os fatos com total clareza aos cidadãos.

É por isso que na AdOpt quando é feito o escaneamento das tags, algumas delas já vem com uma pré-classificação. Mas, isso não impede que o Encarregado de Dados de determinada empresa, ajuste essa categorização de acordo com sua [Política de Cookies e Privacidade.](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)

Como plataforma a AdOpt não pode forçar que a configuração siga determinada linha ou princípio. Mas, preza pela liberdade dentro de seus ambientes para que a responsabilidade do Encarregado de Dados seja respeitadas a todo momento.

## O que as legislações falam sobre como classificar cada tipo de tag?

As legislações de privacidade não adentram esse tipo de análise “micro” das categorias de Tags. Pois, seria inviável para as autoridades nacionais emitirem um parecer de classificação para cada nova Tag que surgisse no mercado.

Assim, cabe as empresas garantir que a comunicação seja clara, objetiva e respeite os aspectos de liberdade e finalidade já expostos anteriormente. Logicamente que o mercado se ajusta e então cria-se um padrão e até mesmo nomenclaturas próprias para cada uma delas.

Por exemplo, o nome: Tags Essenciais ou Necessárias não são determinados pela lei. Mas, esse nome ajuda na rápida compreensão de sua finalidade por isso o mercado o adotou, pois quanto menos confusão neste aspecto melhor. Afinal, a subjetividade está em todos os lugares e contextos. Se pudermos evitar esses pontos com um certo “padrão” minimizamos estas variáveis.

## Onde aplicar e, ou replicar essa informação?

Como já foi dito anteriormente a categorização das Tags é um ordenamento que deve refletir a finalidade operacional no uso daquele dado, logo antes de uma aplicação conceitual ela deve ter um uso prático que espelhe essa classificação.

Ainda assim, vale ressaltar que essa classificação é muitas vezes explanada, ou aprofundada nos documentos oficiais da empresa como a Política de Privacidade e a Política de Cookies.

[Qual a Política de Privacidade Ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)

Além disso, um quesito importantíssimo diretamente relacionado à categorização de tags é a configuração do bloqueio de tags de terceiros de acordo com a escolha do visitante. Ou seja, o aviso de cookies só permite que determinada Tag seja executada após o consentimento do visitante.

Como assim?

Cada visitante é livre para escolher se quer ou não consentir com aquele grupo de Tags declarado pela empresa. Logo, a sua vontade é respeitada quando os cookies são de fato gravados somente mediante o consentimento “livre, informado e inequívoco” (sem equívocos, evidente, sem ambiguidade).

**É por isso que a AdOpt orienta que todos os usuários da ferramenta, sem exceção, façam a configuração de bloqueio de tags de terceiros. Pois, somente com essa configuração no ar que o aviso estará completa e propriamente instalado.**

[Aqui um tutorial para você configurar o bloqueio de tags de terceiros no seu site.](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

## Por que alguns sites não fazem o bloqueio de Tags de terceiros?

Não cabe à AdOpt julgar o porquê de determinado site, e até mesmo os seus clientes, optaram pela não realização dessa configuração. Ainda que constantemente reforçada em nossa comunicação e classificada como “essencial”.

Certamente, tal decisão prejudica a imagem de ambos, empresa e até mesmo da AdOpt. Mas, é preciso lembrar que antes deste setup, cada Tag tem uma função única dentro de cada empresa, em seu ambiente e contexto únicos. Um mecanismo imposto tecnologicamente pela AdOpt iria contra a liberdade de escolha dos seus clientes, na interpretação e aplicação da Lei que vale para todos.

Guardadas as devidas proporções e equivalências, como um exemplo. Seria como responsabilizar as fabricantes de veículos pelos carros que tem a capacidade de ultrapassar a velocidade permitida. A montadora pode instalar alertas, reforçar a comunicação de várias maneiras. Mas, nunca poderá impor que um cidadão não dirija segundo a sua liberdade.

## Último ponto, como uma regra de ouro!

### **Sempre alinhe o Uso real dos dados, ao Processos, à documentação e à comunicação.**

**Ao [processo](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/):** Que a coleta de dados declarada para determinada finalidade, seja de fato o mesmo destino e uso dos dados dentro da sua empresa.

**À documentação:** Que os documentos oficiais estejam sempre atualizados, e que de fato reflitam a realidade praticada na empresa.

**À comunicação**: Que a Tag classificada como Necessária, ou as demais classificações, seja de fato. Que a tag não e esteja classificada como “essencial” apenas pelo fato do visitante não poder bloquear. Pois, isso seria uma tentativa de burlar a liberdade dos cidadãos que acessam o seu site.

Pois, o mesmo mercado que cria padrões de classificação para determinadas Tags, também é capaz de julgar a veracidade das intenções e dos fatos, declarados pelo seu aviso de cookies no seu site.

Lembrem-se sempre que: antes das empresas existem as pessoas. A LGPD já foi criada justamente para tentar equalizar melhor a relação entre empresas e cidadãos. Afinal, a privacidade é um direito universal, e não pode ter valor apenas quando perdida.

\---

Sentiu falta de algum ponto ou explanação? Manda a gente no [hey@goadopt.io](mailto:hey@goadopt.io), que será um prazer conversar mais sobre o tema contigo!

[Aqui você pode entender melhor sobre o funcionamento de um aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)


Boas práticas na categorização de tags.

Todos os dias, milhões de usuários geram dados na web, usados por empresas ao redor do globo para aprimorar ofertas, portanto, em 2018, uma lei foi elaborada para regular o uso de dados pessoais pelas empresas, e isso impacta diretamente o marketing digital, estamos falando da LGPD.

## O que é a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)?

LGPD é uma sigla para Lei Geral de Proteção de Dados do Brasil. Ela foi sancionada pelo presidente interino Michel Temer em 14 de agosto de 2018, depois de oito anos de debates. A lei entrou em vigência em setembro de 2020.

O foco da lei é não só garantir a transparência das empresas que captam dados pessoais, como também regular o uso destes, afim de , exaltar o direito à privacidade por todos os seus cidadãos

Segundo ela, o usuário tem o direito de saber o destino e a finalidade do uso de dados como:

- Nome;
- Endereço;
- Localização;
- Número do IP;
- E-mail;
- Telefone.

O titular (como eu e você, cidadãos,  somos nomeados pela Lei)  deve ter a opção de consentir ou não o uso dos seus dados, saber a finalidade para a qual eles serão utilizados e ter o direito de pedir para que eles sejam removidos caso seja o seu desejo.

O [uso de cookies também é regulado pela LGPD](https://goadopt.io/blog/cookies-e-lgpd/), se você usa serviços que utilizem cookies no seu site, fique atento!

A lei define quatro princípios que as empresas devem seguir, sendo os princípios da finalidade, da adequação, da necessidade e da transparência os mais importantes.

Os princípios da finalidade e da adequação determinam que a captação de dados precisa ter uma finalidade específica, ou seja, a empresa não pode usar os dados ao seu bel prazer.

O princípio da necessidade diz respeito a coletar o mínimo necessário de dados para a empresa poder atingir seus objetivos no [marketing digital](https://www.idealmarketing.com.br/blog/marketing-digital/).

O princípio da transparência assegura que os usuários tenham acesso às informações coletadas e saibam para onde elas estão sendo encaminhadas.

## O impacto da LGPD no marketing digital

Primeiramente, a institucionalização da LGPD não quer dizer que as empresas precisam parar de trabalhar com dados.

Em vez disso, é hora de analisar suas estratégias de [Instagram Ads](https://www.idealmarketing.com.br/blog/instagram-ads/), por exemplo, e trabalhar para melhorá-las não só diante da nova lei, mas em relação ao empreendimento no geral.

O foco a partir de agora é valorizar a transparência com todos os cidadãos..

Destacar que o consentimento destes  é fundamental para todas as interações, vai trazer mais segurança para as duas partes e garantir que negócios sejam fechados com mais confiança.

O marketing de conteúdo deve ganhar força. Isso devido ao fato de que as empresas precisam tratar os clientes como pessoas e não meras fontes de dados e métricas.

Apostar na produção de conteúdo relevante e personalizado é uma excelente forma de mostrar que sua marca se importa verdadeiramente com os indivíduos, além de privilegiar a obtenção de dados com consentimento.

Saiba mais sobre como iniciar a adequação  das suas estratégias a essa nova realidade no tópico a seguir.

## Ajustes no marketing digital para LGPD

Como é possível ver, a LGPD cria novos parâmetros de atuação para as empresas de marketing digital. Saber se adequar  a ela é tão importante para suas estratégias quanto saber [como anunciar no Google Ads](https://www.idealmarketing.com.br/blog/como-anunciar-no-google-adwords/).

Existe uma série de ações que você pode empregar sem prejudicar seus negócios. Conheça algumas delas agora:

### Tenha leads captados com o amparo das bases legais

Seus leads precisam ser obtidos com base nos princípios da LGPD. É de extrema importância que toda a equipe esteja a par deles para garantir que o trabalho realizado não infrinja a regulamentação.

Qualquer ação que envolva dados de terceiros (coleta, acesso, uso, armazenamento, reprodução) precisa estar baseada no consentimento do usuário, ou em outra base legal da LGPD,  bem fundamentada, e nas necessidades reais dos dados para as operações da empresa.

Em caso de descumprimento da lei, a empresa pode ter que arcar com [multas de até 50 milhões de reais ou equivalentes a 2% do seu faturamento anual](https://goadopt.io/blog/multas-na-lgpd/).

### Não dificulte a navegação do usuário

Valorizar o consentimento do cliente também envolve permitir que:

1. Ele saia do seu site quando bem entender.
2. Possa navegar consentindo total ou parcialmente de acordo com a sua coleta de dados, e uso de cookies, por exemplo.  
    1 Alguns sites limitam a navegação ao consentimento, não permitindo assim que o visitante acesse áreas restritas sem consentir. Mas, isso é uma decisão específica daquela empresa e não algo obrigatório. Pois o consentimento deve ser livre e não subjetivo, ou viciado.

3. Possa revogar tal consentimento a qualquer momento.
4. Possa consultar os dados que a sua empresa eventualmente tenham sobre ele.
5. Possa solicitar a exclusão de tais dados.

A LGPD busca aprimorar a experiência dos usuários na web e esse também deve ser um dos focos de toda empresa.

Privilegiar uma comunicação espontânea é a melhor forma de garantir mais conversões.

Encher a página do usuário de propagandas invasivas e pop-ups desagradáveis só vai fazer com que ele nunca mais entre em contato com a sua marca.

Para aprofundar os temas de navegação e experiência do usuário de acordo com a LGPD, pesquise mais sobre os conceitos de [privacy by design.](https://goadopt.io/blog/o-que-e-privacy-by-design/)

### Organize suas segmentações

A criação de segmentações a partir de dados pessoais, [como funciona o Facebook Ads](https://www.idealmarketing.com.br/blog/facebook-ads/), precisa seguir alguns parâmetros.

O ponto é não incorrer em práticas consideradas discriminatórias ou invasivas. Isso inclui ser intrusivo na criação de perfis, manipular as expectativas e desejos dos clientes e se aproveitar da vulnerabilidade das pessoas. E, como já dito anteriormente, não utilizar dados pessoais sensíveis e irregulares para a criação de segmentações. (ex. subir listas de e-mails frios)

Por isso, seja sempre respeitoso e profissional na identificação de perfis. Não cruze a linha do bom senso.

É preciso combater a ideia de que a LGPD veio para atrapalhar o marketing digital brasileiroNa verdade, seu objetivo é regulamentar a atividade para garantir que os direitos dos consumidores estão sendo respeitados.

Portanto, as empresas se beneficiam pela maior confiança que os usuários depositam nelas.

E isso somente será possível, quando os próprios profissionais de marketing tiverem essa visão diante de cada decisão dentro dos seus processos e rotinas.

Se quiser continuar neste assunto, separamos um artigo sobre [10 processos de marketing que devem ser repensados com a LGPD.](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)


Como adequar o marketing digital à LGPD?

Desde setembro de 2020 as ações online das empresas em relação aos dados de seus fornecedores, clientes e colaboradores requerem maiores cuidados. Esse foi o marco desde que a Lei Geral de Proteção de Dados entrou em vigor. Logo, a LGPD também tem impacto sobre inbound marketing.

E quem ainda não se adequou deve correr! Desde agosto de 2021 as punições da LGPD já estão em vigor e empresas já foram notificadas.

Ou seja, atualmente quem ainda não atua de acordo com as deliberações da LGPD corre risco de sofrer penalidades que vão desde advertências à suspensão do site, bases de dados, e ao pagamento de multas bem salgadas. Para evitar que isso ocorra com seu site, continue lendo e veja como adequá-lo, junto ao inbound marketing, à LGPD.

## LGPD requer uma revisão do marketing que você promove, entenda

A [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) teve aprovação ainda em 2018, embora somente tenha entrado em vigor no ano passado. Essa norma traz uma série de obrigações que se impõem aos sites, empresas e organizações, em geral. Ela atinge, na verdade, todos os tipos de instituições que tenham acesso e usem dados pessoais, como nome, endereço, CPF, telefone, etc.

Ela tem como objetivo garantir a transparência e a retidão com que uma página com os seus visitantes, por exemplo, utilize seus dados! Afinal, em relação aos dados online, considere que os sites captam informações sobre os usuários que os visitam e, também, dos que utilizam dos seus serviços.

Essa captação de dados se dá de diversas formas. Por exemplo, formulários, cadastro em newsletters, download de conteúdos ricos, sejam eles para um caráter informativo ou comercial mesmo. Ah, e os cookies Igualmente, pelas ferramentas de marketing digital como pelo uso do Google Analytics, também é preciso ter cuidado.

Assim, a LGPD requer que as ações de marketing que visem captar dados sejam revistas. Afinal, segundo a lei agora os usuários devem ser informados dos tipos de dados que o site capta, a medida em que ele os utiliza, os fins para os quais se aplica, o prazo de utilização e -  não menos importante, oferecer um canal para que o cidadão possa solicitar a remoção dos seus dados, sempre que possível.

E tudo isso, é claro, deve se dar perante a adesão e permissão do usuário, para quem utiliza o [Consentimento como Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/), e ou muito bem fundamentada em outras bases legais do seu segmento de atuação, e/ou complementares. Assim, tal conformidade e direcionamento também deve ser expressa para que a página resguarde seus direitos de uso deste dado também, conforme a lei.

> Vale destacar - O uso de dados pessoais não foi proibido, mas, regulado. Com isso, seu uso pede adequação e conformidade com determinados requisitos previstos na lei.

## E onde o inbound marketing entra nisso?

A LGPD trouxe imposições quanto à transparência e à possibilidade de uso de dados por todos, inclusive pelos sites. Portanto, agora a captação dessas informações se dá com maior controle, de forma que todos possam ter noção de como seus dados são utilizados e o limite da utilização.

Por isso, ela atinge diretamente o inbound marketing, ou seja, o marketing de atração. Ele se ilustra por todas as ações que a sua empresa realiza para fins de captação da atenção dos seus potenciais clientes, que então ao se tornarem interessados nos seus conteúdos, serviços ou produtos, se inscrevam ou comprem. Ou seja, para captação de leads.

Por exemplo, quando você possui uma landing page de produto ou serviço. Ou, ainda, quando oferta um conteúdo exclusivo, como vídeo ou e-book, mediante inscrição. Igualmente, nos formulários de contato.

Tudo isso envolve o uso de dados do consumidor, certo? Por isso, também exige que haja clareza quanto ao uso dessas informações e aos cuidados que se aplicam sobre elas para manter a segurança e a privacidade do indivíduo.

Portanto, note que tudo o que conta com a captação de dados deve ser esclarecido para o visitante ou cliente. E isso deve ocorrer a partir de uma [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) clara, que traga todas as informações sobre como as informações são processadas e guardadas. E, caso o seu serviço seja oferecido ali mesmo no ambiente digital, a clareza nos Termos de Uso também são essenciais.

## O que fazer para adaptar o inbound marketing a Lei Geral de Proteção de Dados

Como já dito anteriormente, o prazo para adaptação das páginas e de suas ações em relação aos dados dos usuários, conforme LGPD, já terminou. Portanto, agora todas as que não estiverem de acordo com a lei entram em uma zona de risco. Tal risco não necessariamente será plenamente extinto mas, pode ser controlado e plenamente administrado.

Mas como adaptar as suas ações de inbound marketing de acordo com a LGPD para evitar multas e advertências, bem como suspensões? Isso é o que você confere nos itens abaixo, por isso não deixe de conferir e, principalmente, de colocar essas soluções em prática.

### Certifique-se de que há captação apenas dos dados estritamente necessários

Em primeiro lugar, seu marketing deve se certificar de que somente está captando os dados que realmente são necessários para a realização das ações. Por exemplo, em uma venda você precisará saber dos dados de cartão, CPF, nome completo e endereço.

Por outro lado, não há qualquer sentido em requerer dados específicos como raça, orientação sexual, preferências religiosas ou políticas. Tudo isso é irrelevante para a ação que se pretende fazer, de forma que a captação e uso de dados como esses não se justificam.

Quando a finalidade é a privacidade, menos é mais - literalmente.

### Captação de leads e autorizações específicas para cada fim

Igualmente, saiba que cada lead específico terá autorizações específicas. Mas como assim? Considere que um visitante de uma página se inscreve para receber conteúdos informativos que você produza. Nesse caso, a autorização diz respeito tão somente a esse tipo de envio.

Por isso, nessa hipótese você não pode usar os dados de inscrição para envio de propaganda de produtos e serviços que você tenha, bem como de ofertas que ofereça. Afinal, isso vai além do motivo pelo qual o consumidor concedeu seus dados.

Portanto, considere que sempre que houver inscrição para uma ação, haverá uma autorização específica para esse fim. O consumidor, então, deve dar uma autorização para cada ato em que seus dados são dispostos.

Dessa forma, considere que uma inscrição para fins informativos tem uma autorização que demonstra os fins específicos de uso; outra, para realização de cadastro para ofertas; e outra para cadastro na compra.

Infelizmente, não são poucas as empresas que cadastram e-mail entregues para outras finalidades em suas newsletters. Isso não se faz!

Aqui temos mais um artigo para te ajudar na adequação destes [processos do marketing digital](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/) que vão além do inbound marketing, vale a pena dar uma olhada se você está chegando agora.

### Tenha uma política de privacidade clara quanto ao uso dos dados

Ainda, é essencial que a sua empresa tenha uma política de privacidade clara e objetiva!

Muitas empresas optam por deixá-la junto com os links do [banner de cookies](https://goadopt.io/blog/banner-de-cookies/), mas, isso é uma questão de preferências e gosto. Evite juridiquês, não crie labirintos para os seus leitores e foque primeiramente na veracidade das informações. Afinal, uma política quando aceita tem implicações para ambas as partes, logo cumpra a sua ali disposta.

Aqui temos alguns artigos para te ajudar na revisão e compreensão das políticas de privacidade. Afinal, o [que é uma política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/) e será que [existe uma política ideal para a sua empresa](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)?

### Algumas métricas serão impactadas diretamente.

Uma das principais métricas que são impactadas pela LGPD, mais especificamente pelo uso de um Aviso de Cookies configurado corretamente são as métricas de Analytics. Isto ocorre pois, o banner de cookies, ou CMP deve permitir o disparo dos cookies de cada serviço apenas após o aceite daquele determinado serviço, lá no aviso.

> [Entenda como funciona um aviso de cookies da LGPD.](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

Como a grande maioria dos visitantes os rejeita, ou simplesmente ignora, nem todos os visitantes do seu site dão o consentimento ao Analytics. Com isso, os gráficos vão baixar drasticamente. Estima-se que apenas 1 em cada 5 visitantes deem o consentimento.

Logo, não se desespere pois, isto é previsto e existem outras soluções para analytics que não usam cookies e/ou rastreadores que sejam bloqueados no aviso, respeitando a privacidade. Uma delas é o Cloudflare, que além dos seus serviços de performance, também podem dar estimativas de Analytics.

Logicamente que não será com a mesma qualidade e rastreabilidade de um google analytics mas, você pode a partir dessa diferença encontrada criar um múltiplo para analisar os números descontados com maior precisão.

## Automação de marketing deve estar adequada

Uma vez pontuado acima a importância de usarmos dados pessoais somente para a finalidade que de fato foram coletados/acessados, é preciso destacar que suas ferramentas de automação de marketing devem então refletir estes propósitos. Logo, revise suas automações e não deixe de incluí-las em sua Política de Privacidade, afinal muitas delas além de processar e armazenar dados, também disparam cookies.

Sabendo que muitas empresas utilizam suas ferramentas de automação como CRM, logo, de fato com um repositório dos dados da empresa como um todo, evite armazenar dados que não são necessários ou antigos. Busque sempre fazer uma limpa dos dados inúteis ou "frios", quer dizer, que não tem consentimento ou estão há muito tempo na base.

Lembre-se, de nada vale uma base com milhões de contatos, se ela não está engajada e se foi acessada de maneira, hoje, ilegal. Atenção! Esse número pode ser uma métrica de vaidade, e se o seu uso não está amparado por uma base legal, está errado.

Com isso, o seu esforço deve ser por manter sempre a base ativa e adequada. Uma maneira que pode acelerar isso é vinculando os consentimentos gerados pelo aviso de cookies do seu site, ao cadastro dos dados pessoais dos seus visitantes, lá no CRM.

Vários clientes nossos já fazem isso, o que ajuda até mesmo no momento das respostas para as requisições dos clientes.

Com a ajuda de um programador, acesse os [Call-Backs da AdOpt](https://adopt-help.freshdesk.com/support/solutions/articles/67000400477-callbacks-e-endpoints-do-aviso-de-cookies-adopt) e vincule os dados gerados pela AdOpt aos formulários dos seus sites. Assim, toda vez que alguém preencher o formulário a AdOpt também irá fornecer o AdOptID para um campo oculto e personalizado, do seu formulário, alimentando o CRM com essa informação atrelada ao dado fornecido.

Depois, com campanhas de incentivo às páginas vinculadas, você usa a ferramenta da AdOpt como mais uma camada de segurança, através do consentimento gerado, e agora anexado aquele lead.

Esses foram apenas alguns pontos para quem está buscando iniciar na [adequação do seu marketing à LGPD](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/), por isso, caso fiquem dúvidas, e até mesmo sugestões de mais pontos que possamos listar aqui para ajudar neste processo, mande pra gente!


O impacto da LGPD no Inbound Marketing

João Bruno Soares

## Quer entender o porque deste “aviso de cookies” em tudo o que é site que a gente acessa hoje? Esse artigo é pra você!

Os famosos Cookie Banners, Aviso de Cookies, Aviso LGPD ou Aviso de Privacidade… chame-os como quiser. (Confesso que já ouvi até gente chamando de: “aquele aviso chato de advogado”, mas, isso a gente deixa pra depois.)

Realmente, todos os maiores sites do Brasil e as empresas mais sérias já colocaram no ar seu aviso de cookies, e, isso tem um motivo chamado: Lei Geral de Proteção de Dados Pessoais.

A [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), como já está popularmente conhecida, é uma legislação específica criada em 2018, que tem por objetivo regular a maneira como os nossos dados pessoais: Nome, CPF, E-mail, Telefone, Opção Sexual, Religião, entre outros, são usados pelas empresas.

## A LGPD e o aviso de cookies definitivamente vieram pra ficar!

Por que dos Avisos de cookies e privacidade de acordo com a LGPD? “Todo site agora tem esses avisos de cookies?”

Ela foi inspirada em uma lei europeia a [GDPR, e já temos várias leis de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/), assim como ela sendo criadas por todo o mundo! Acredite, até a Coréia do Norte tem leis de Privacidade! Ou seja, não é modinha, a LGPD veio pra ficar e é coisa séria!

Isso não quer dizer mais burocracia necessariamente, mas – usando uma palavra da moda, um empoderamento de fato. Exatamente, eu e você, cidadãos comuns, temos – graças a essas leis de privacidade, o direito de autorizar, negar ou até retirar o acesso das empresas ao uso dos nossos dados!

## Como assim direito pelos meus próprios dados, eu já não tinha isso??

Calma, eu vou te explicar!

Não é assim tão simples, afinal essa lei tem que se encaixar em harmonia com inúmeras outras que também regem os seus direitos como o Direito do Consumidor, Legislações de Saúde, Marco Civil da Internet, e tantas outras, por exemplo.

Segue comigo que vai valer a pena! Você vai poder falar bonito no próximo final de semana, no almoço da família!

Com o avanço das tecnologias de publicidade atreladas ao [marketing digital ](https://br.sharpspring.com/marketing-digital/)e, crescimento exponencial das redes sociais, cada um de nós tem uma maquininha de gerar e portar dados valiosíssimos em nossas mãos, os nossos celulares. Cada acesso a um site, conta de e-commerce, instagram ou facebook gera uma infinidade de dados que são coletados pelos computadores através dos chamados “cookies de internet”.

Que, nada mais são do que arquivos de texto capazes de armazenar informações geradas nos sites.

## Quer um exemplo prático da tecnologia de [cookies](https://goadopt.io/blog/cookies-e-lgpd/)?

Sabe quando você entra pelo seu navegador em algum site, e ele reconhece que você já havia acessado anteriormente, te dando acesso automático a sua área privada/logada sem pedir a senha de novo?

Então, isso acontece, pois, aquele site colocou um “[Cookie](https://goadopt.io/blog/cookies-e-lgpd/)", ou seja, uma “marca” no seu navegador, como autorizado com aquela informação de acesso.

Essa mesma lógica acontece quando você dá um like em uma foto do instagram, coloca um produto no carrinho do site, pra decidir se compra depois ou não. Todas essas informações são gravadas em cookies de internet e podem ser utilizadas.

## Isso é muito valioso!

Sabia que uma pessoa precisa de, em média, 6 interações com um produto ou serviço para tomar uma decisão de compra?

Não à toa, quando você “esquece aquele produto no carrinho” do site, e ele te persegue até não poder mais, com anúncios por toda a internet, e só então você acaba comprando. Será que é coincidência, ou uma mágica dos dados? Nenhum nem outro, são processos e tecnologias que usam cookies de internet e publicidade.

Se você já passou por isso, quero te dizer, bem-vindo(a)!

É assim mesmo, e é essa roda que move a internet! O uso de dados para a publicidade é o que sustenta a internet e os conteúdos que tanto gostamos de consumir gratuitamente. Afinal, quem você acha que paga aquele vídeo legal e gratuito no Youtube? Pois é, os anunciantes! E, agora você já sabe, eles usam os cookies para te achar lá no seu canal favorito!

Isso não faz dela melhor ou pior, mas, chegou num ponto onde estávamos ficando sem controle (sim, eu e você) a respeito do que os gigantes da internet fazem com os nossos dados. Por isso essas leis de privacidade, como a LGPD, foram criadas!

## Para deixar a relação entre pessoas e empresas mais equilibrada!

Ok, mas, você não ia falar de dados, privacidade e direitos que eu tenho?

Exatamente! Quando a LGPD, criada em 2018, e entrou em vigor em 18/09/2020, ela fez com que as empresas tivessem uma postura diferente diante da infinidade de dados gerados pelos seus negócios, bem como os controlados ou, operados, por cada empresa, nos seus processos e bancos de dados.

Uma dela é a obrigação de comunicar aos seus visitantes e clientes os motivos, ou as chamadas – Finalidades ou Bases Legais, para o uso de dados pessoais!

Cada empresa então, agora deve – por força da LGPD, ter uma comunicação clara e objetiva dos seus interesses para o uso destes dados. Sejam eles online ou off-line é essencial que todo cidadão seja notificado a respeito deste uso e das inúmeras finalidades com que cada empresa pode ter para esses dados.

E a nós titulares, (como a lei nos chama) podemos fazer a nossa “manifestação livre, informada e inequívoca (= certa, sem margem para erros)” de que autorizamos, ou não o uso deles. Ou seja, se consentimos, autorizamos o seu uso segundo os critérios informados.

As infrações neste sentido podem causar sérias consequências as empresas como uma multa que pode ir até [2% do faturamento anual, com o teto de R$50Mi](https://goadopt.io/blog/multas-na-lgpd/). Já pensou ser multado, simplesmente por não ter o tal aviso de cookies, no seu site?

Quer entender a LGPD e ir direto ao ponto, para a sua empresa?
Separei aqui alguns artigos para [LGPD e Empresas](https://goadopt.io/blog/significado-da-lgpd/).

## Mas, então como saber o que eles já fazem, ou farão agora com os meus dados? O aviso de cookies vai mostrar isso?

Ficou curioso né? Eu também ficaria, afinal aquela sensação de que o meu celular tá me escutando (e de fato está) me incomoda um pouco…

Quem de nós já leu uma [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/), ou os Termos de Uso de um site que acessamos?

Calma, não quero pagar de burocrata!

Mas, é justamente nestes documentos oficiais da LGPD, que estão estas informações.

Segundo a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), as empresas devem cumprir com algumas documentações e processos oficiais informando todo o processo e suas finalidades. O tão conhecido pelos advogados: “kit de documentos da LGPD”, cumprem o padrão que toda empresa tem que ter, como: a [Política de Privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/), os Termos de Uso, o Inventário de Dados, [Nomeação do DPO, ou o encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), uma das profissões mais valorizadas hoje, entre outros.

## Agora a notícia boa!

Estes documentos não precisam ser escritos em “Advoguês”, ou melhor, nem deveriam, pois as informações devem ser “claras e acessíveis” segundo a LGPD. Concorda comigo que não tem como você dar o consentimento naquele aviso de cookies, se você nem entendeu o que eles vão fazer com os seus dados?

De que adianta a empresa ser toda legal no seu marketing e comunicação, falar bonito nas propagandas. Se na hora de falar de privacidade, ou transparência, eu falo em código com você? Não faz sentido, concorda?

Enfim, esse artigo tem como objetivo te informar que, juntamente com a LGPD, temos também novos direitos e deveres. Tanto do lado do cidadão como, principalmente, das empresas. E, que esse – quer dizer, “Aviso de Cookies e Privacidade” tem, na verdade, um objetivo bastante nobre!

Mostrar pra gente que as empresas que o utilizam, corretamente, na verdade estão te mostrando que se importam com os seus diretos, e ainda mais com sua liberdade de escolha e privacidade!

## Um [bom aviso de cookies](https://goadopt.io/blog/o-que-e-uma-cmp/) deve te apresentar o universo da LGPD respeitando alguns pontos:

- Informar de maneira clara e objetiva, todas as maneiras com que a empresa coleta seus dados.

- Apontar para os documentos oficiais Politica de Privacidade, Termos de Uso, etc. (lembra do Kit LGPD para empresas que falei acima?)

- Listar as opções que você, como titular, tem, de aceitar total ou parcialmente as regras do jogo com aquela empresa. Assim, então, poder receber os conteúdos daquela empresa e consumir seus produtos e serviços.

- Deixar claro onde você poderia acessar as informações que aquela empresa eventualmente tenha de você. (O chamado Opt-out, ou a opção de retirar os seus dados daquela empresa, estejam eles abertos ou criptografados)

- Sempre de maneira: livre, informada e inequívoca. (lembra destas 3 palavrinhas pra usar no almoço de domingo, vai pagar de intelectual, confia em mim!)

Última, e não por isso menos importante:

- Quando você vir por aí aquele aviso: “Se você continuar navegando, entendemos que você concorda… ” Pois é, a lei entende que isso tá errado e há diversos argumentos pra isso.

O que você me diz?
Será que esse “entendemos” no aviso de cookies, sem as opções detalhadas ao visitante, é de fato um consentimento livre, informado e inequívoco, ou subjetivo? Será que vale a pena arriscar?

Espero ter esclarecido o “porquê deste aviso de cookies”.

Muito em breve todas as empresas o terão instalado em seus sites, é literalmente um caminho sem volta.

Se me permite então, deixo a você 2 convites finais:
1 – Conhece uma empresa que precisa saber mais sobre aviso de cookies?

De novo, TODA E QUALQUER EMPRESA que coleta nome, e-mails e telefone no site, e usa pixel do facebook, google analytics, etc…para trabalhar, precisa deste aviso!

A AdOpt, é especialista em aviso de cookies e pode ajudar elas, ainda hoje! E, melhor ainda, para muitos é [grátis](https://goadopt.io/)! Manda esse artigo pra quem você conhece, e que tá por fora!

Ele(a) vai te agradecer porque se livrou ele uma multa pesada!

2 – Quer se aprofundar no assunto de aviso de cookies?
Separei alguns artigos [aqui](https://goadopt.io/blog/significado-da-lgpd/) para você:


Por que do “Aviso de Cookies” em todo lugar?

O começo de tudo são as chamadas “Bases Legais da LGPD”, ou seja, os motivos e as razões pelas quais as empresas não só podem, como devem ter acesso aos dados dos titulares para bem executarem as suas funções.

Saber qual base sustenta cada tratamento é também o que evita o erro mais comum de quem
usa um [gerador de política de privacidade](https://goadopt.io/blog/gerador-de-politica-de-privacidade/),
que é apoiar tudo em consentimento, inclusive o que é obrigação legal.

Sim, é possível pensarmos que o legitimo interesse da prestação de serviço, ou venda de produtos já seriam um motivo nobre. Como também, a força de contratos ou legislações paralelas que nos obrigam a ter acesso a tais informações para bem executá-los e, de fato o são.

Justamente por isso que a LGPD nos trás 10 Bases Legais, ou seja, 10 motivos que legitimam uso dos dados pessoais tentando enquadrar os mais variados motivos e hipóteses para o uso dos dados. Elas são a base estrutural que sustenta o uso de dados, sem que esta mesma legislação sirva também de subterfúgio para driblar outras normativas tão ou igualmente essenciais.

Seu papel como gestor, ou encarregado dos dados da empresa é de encontrar – dentre estas 10, a que melhor se adeque ao seu modelo de negócio e legislação própria. Isso vale para todos as eventuais etapas do dado dentro da sua empresa/processo, tais como:

- Coleta,

- Armazenamento,

- Tratamento,

- Transferência,

- Compartilhamento dos dados pessoais.

Lembre-se estamos falando de privacidade e dados que não só identificam o cidadão, como o qualificam em suas matrizes de comportamento e demografia.

Segundo a LGPD, dados pessoais sensíveis são:

_Origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa._

A coleta de dados como Nome, RG, CPF e Gênero, independente da etapas de coleta, deve sempre respeitar os princípios de Finalidade e Transparência.

## Com isso em mente, vamos então às 10 Bases Legais, segundo a LGPD.

São elas:

1.  Consentimento do Titular.

2.  Legítimo Interesse.

3.  Obrigação Legal.

4.  Cumprimento de Políticas Públicas.

5.  Órgãos de Pesquisa.

6.  Execução de Contratos.

7.  Exercício de Direitos.

8.  Proteção à Vida.

9.  Tutela da Saúde.

10.  Proteção ao Crédito.

Antes de aprofundarmos cada uma das Bases Legais, eu gostaria de separá-las em 2 grandes grupos. Isolando as 2 primeiras: **Consentimento** e **Legítimo Interesse**. Pois, apesar de serem as mais populares elas pedem cuidados adicionais no seu uso. Enquanto as 8 demais, são mais “claras e seguras” em uma perspectiva jurídica, que legitima o seu enquadramento na sua empresa.

Abaixo então o detalhamento de cada uma delas, para te ajudar nesta compreensão e no porquê desta divisão entre elas.

## 1 - Consentimento do Titular.

Esta talvez seja a Base Legal mais popularmente conhecida em todo o mercado. Pois, já são muitos os sites que usam dela para se adequarem à LGPD, quando exibem aquele aviso tão conhecido por aí: “Este site usa de cookies...” Pois bem, seja no ambiente virtual ou off-line, o consentimento é uma maneira muito ágil de se conseguir a autorização dos titulares para podermos acessar os seus dados, e executarmos os nossos serviços.

Contudo, vale destacar que a Lei especifica que o consentimento deve ser: **por escrito, ou por meio que demonstre a manifestação inequívoca da vontade do titular**. Logo, quando o cidadão se deparar com uma ocasião que peça o seu consentimento este deve ter **clareza**, **facilidade**, e **liberdade** de fazê-lo de maneira autônoma.

Exatamente aqui está um destaque que difere esta base legal das demais.

A mesma facilidade com que o titular pode autorizar o uso dos seus dados, está para a revogação desta autorização. Assim, preza-se que a coleta do consentimento, ou opt-in (na linguagem do mercado) seja ágil e fácil, para ambos os lados. Bem como a revogação, ou opt-out.

Pois, espera-se que o consentimento não gere atrito na relação comercial. Uma prática bastante aconselhada pelos advogados é que, como empresário, você não se apoie apenas nesta modalidade para legitimar o seu uso de dados. Pois, ela tende a ser frágil se olharmos apenas para a interação entre cliente e empresa.

Justamente por isso que a AdOpt preza tanto pela agilidade, rapidez e identificação da sua comunicação, com a identidade visual da empresa em questão. Quando estudamos a GDPR e seus impactos na vida dos grandes Publishers (portais de notícias e conteúdo) vimos que um dos maiores impactos daqueles avisos imensos e feios, que parecem que foi o departamento jurídico que desenhou no Word, é o “bounce rate” ou a chamada taxa de rejeição. Uma métrica de Marketing Digital e UX que demonstra o % de visitantes do seu site que assim que o acessam, já pulam fora por algum motivo qualquer.

Imagine você na sua loja vendo os clientes entrarem e saírem e questão de minutos. Sem se apresentarem, perguntarem por um produto, ou interagirem com um vendedor.

Essa é a analogia do mundo off-line para essa métrica. Então, pense bem no aviso de cookies que você irá colocar no seu site. Ele pode agir como uma barreira gigante para os seus clientes.

Por fim, entenda que o uso do consentimento nos ambientes on e off-line devem ser integrados às demais etapas de uso e tratamento dos dados dentro da sua empresa. Logo, busque sempre desenhar o mapeamento dos dados dentro da sua empresa para que você não realize uma etapa sem a segurança de que a outra está devidamente atrelada a esta.

## 2 - Legítimo Interesse.

Esta é a 2ª. Base Legal mais popular e talvez a mais propagada pois, para muitos, serve de tábua de salvação ou carta na manga caso não consigam enquadrar-se nas demais. Isso não faz dela menos importante ou ilegítima.

Apenas, é preciso destacar que o chamado “Legítimo Interesse” é um tanto subjetivo quando nos colocamos diante das partes: Titular e Operador ou Controlador dos Dados. Afinal, o interesse comercial pode falar mais alto. Mas, não necessariamente irá configurar um interesse _legítimo_ para o uso de tal dado.

Por que? Pois, este pode ferir algum direito individual do titular ou até mesmo outra disposição expressa na LGPD. O art. 10 da LGPD determina que o legítimo interesse do controlador somente poderá servir de fundamento ao tratamento de dados pessoais, para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a: 1) apoio e promoção de atividades do controlador e; 2) proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais.

Portanto, é importante que o uso de dados esteja legitimamente justificado para a prestação do serviço ou venda do produto, sem nenhuma brecha que enfraqueça esta base legal perante outras legislações vigentes.

## 3 - Obrigação Legal.

Como a LGPD é uma lei bastante recente. Não faltam outras leis que obriguem às empresas, por exemplo, a coletarem, tratarem e compartilharem dados pessoais de cidadãos para outras finalidades anteriores. Assim, caso seu modelo de negócio, atividade ou processo tenha alguma legislação vigente que te obrigue à essa atividade, esta legislação já seria o melhor motivo/hipótese para manipular estes dados pessoais.

Um exemplo seriam os dados pessoais que as empresas devem coletar dos seus funcionários ao Ministério do Trabalho, Previdência Social, etc. Assim, os titulares – e neste caso também colaboradores, não poderiam opor-se a este compartilhamento por motivos de obrigação legal a ser cumprida pela empresa contratante.

## 4 - Cumprimento de Políticas Públicas.

Esse talvez seja um dos maiores ganhos que a LGPD deu aos titulares de dados, a todos nós cidadãos, a cada CPF deste país. Os governos também deverão se enquadrar na LGPD. Fazendo então desta uma das maiores – se não a maior, Bases Legal da LGPD.

Hoje o Governo uma das instituições que mais se beneficia dos dados de seus cidadãos, até mesmo de maneira comercial, também deverá andar na linha, mesmo nas suas inúmeras instâncias.

Segundo o paragrafo III do art. 7º da LGPD, órgãos da administração pública precisam se adequar e cumprir a lei ao tratarem e compartilharem dados pessoais para execução de politicas públicas ou respaldadas em contratos, convênios ou instrumentos congêneres, sem a necessidade de consentimento dos titulares.

Por mais que não haja a necessidade de consentimento, ainda assim os titulares têm o direito ao acesso claro e inequívoco das finalidades e processos envolvidos com cada um dos seus respectivos dados. Um último destaque, contudo, é que a administração pública não é passível de penalidade com multas. Mas, está sujeita a advertências, publicação da infração, e porque não, bloqueios ou até mesmo eliminação dos dados.

## 5 - Órgãos de Pesquisa.

A pesquisa e o desenvolvimento científico também têm acesso autorizado pela LGPD aos dados pessoais, pela finalidade dos seus estudos. Recomenda-se contudo, que sejam sempre anonimizados, afim de garantir a privacidade dos titulares evitando assim possíveis vazamentos. Com isso, não só a amostra da população entrevistada pela pesquisa tem sua identidade protegida, com os pesquisadores também ficam mais tranquilos quanto a segurança dos seus métodos científicos.

## 6 - Execução de Contratos.

Uma vez celebrado um contrato as partes têm suas obrigações e direitos ali estabelecidos pelo objeto em questão. Assim, uma vez tendo um dos titulares como integrante direto do contrato, esta será a base legal para o uso dos dados de maneira apropriada.

Neste caso o próprio titular é quem cede os seus dados e legitima a Base Legal, por fazer parte do contrato celebrado. Neste momento é uma situação bastante semelhante à do consentimento, contudo, a revogação por parte do titular não é tão simples, uma vez que o contrato também tem sua força de vigência e suas amarrações legais de outras legislações eventualmente envolvidas no acordo.

## 7 - Exercício de Direitos.

Outra finalidade legal para uso de dados pessoais, à escolha do controlador, é a de exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

Esta Base Legal tem como intuito garantir o direito de produção de provas de uma parte contra a outra em processos judiciais. Permitindo assim que uma das partes não obstrua a outra ao acesso e tratamento dos dados, como mecanismo de defesa durante o processo.

## 8 - Proteção à Vida.

O uso dos dados também tem a proteção e outorga de lei, em casos de proteção à vida ou integridade física dos titulares, ou de terceiros.

Com base no artigo 11 da LGPD, II, os dados sensíveis dos titulares poderão ser tratados sem o fornecimento do consentimento do titular caso sejam indispensáveis para a proteção da vida ou a chamada incolumidade física destes, ou de terceiros.

Como exemplo imaginem o trabalho de socorristas que dão entrada de pessoas inconscientes em casos de emergências. Uma vez identificado o cidadão e até mesmo o prontuário médico em alguma rede médica e hospitalar, tais informações poderão ser compartilhadas entre os médicos pelo bem da pessoa, sem o seu consentimento.

## 9 - Tutela da Saúde.

Assim como no item anterior, a LGPD também fornece uma base legal que autoriza o acesso e tratamento dos dados para a tutela da saúde, desde que realizada por profissional de saúde, serviços de saúde ou autoridade sanitária.

Essa base legal tende a ser bastante discutida e posta à prova, principalmente pelo interesse das informações que podem ser utilizadas em caráter público e comercial. Contudo, a legislação destaca que o compartilhamento dos dados não pode ser feito para prejudicar o titular ou, obter vantagem econômica sobre este.

Como assim? Imagine um cenário onde o acesso a alguma informação de saúde do titular, automaticamente reajuste o seu plano de saúde, por exemplo. Este é um exemplo categoricamente vetado pela LGPD. Ou seja, é vetado às operadoras dos planos de saúde o uso destes dados para seleção de riscos ou acepção de clientes.

## 10 - Proteção ao Crédito.

A 10ª. e última base legal tem por finalidade garantir que em situações de cobrança ou dívidas contraídas, os titulares não usem os mecanismos da LGPD como brecha para escaparem de suas obrigações financeiras.

Um exemplo, seria que o titular solicitasse à instituição financeira credora a exclusão dos seus dados de sua base de dados, ou até mesmo de órgãos como Boa Vista e Serasa, driblando assim a cobrança.

Esta também tende a ser uma Base Legal bastante discutida dadas as proporções polêmicas que o contexto é envolvido.

## Bases legais são apenas a fundamentação!

Por fim, espero ter deixado claro a você leitor – ainda que brevemente, as 10 Bases Legais para que você possa realizar o tratamento de dados, dentro das diretrizes da Lei. Tendo isto em mão, é seguro que possamos avançar para águas mais profundas, discutindo então os próximos passos que servirão de base para o seu caminho de adequação.

Um próximo capítulo pra você continuar nesta compreensão, será: [Qual a política de privacidade ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)


Entenda o que são as Bases Legais da LGPD

Já percebeu que cada vez que você se cadastra em um serviço em busca de informações, ou faz uma inscrição em um site, para compras, precisa dar consentimento? Caso esteja se perguntando por que dar consentimento em todo site que acessa, você encontra a resposta aqui.

Ainda que muitas vezes esse consentimento seja "automático" e se dê sem que você pense sobre ele (o que não deveria ser), ele é muito importante. Afinal, ele é um requisito legal que se aplica ao site e se refere à segurança dos seus dados.

Uma vez que os dados são cada vez mais importantes e que o vazamento deles pode trazer muitos prejuízos, saber a que você dá consentimento e o que isso significa é indispensável. Assim, não perca a oportunidade e conheça mais sobre o assunto!

## Com a LGPD, quem cala não consente

Para você entender como o consentimento se tornou tão importante no que diz respeito à concessão de dados e uso deles no ambiente online, precisamos, antes, voltar a agosto de 2020. Esse foi o mês em que a [LGPD, a Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), entrou em vigor.

Ela veio como uma resposta à necessidade de proteção dos dados que são compartilhados em sites e que são colhidos pelas páginas, bem como processados. Não por acaso, nos últimos anos vazamentos enormes de dados pessoais, como do Facebook, assustaram os usuários.

Portanto, as leis de privacidade como a [GDPR, LGPD, CCPA](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/), consolidaram a noção de consentimento de uso de dados. Isto é, todos os sites que usam cookies e colhem dados dos seus usuários para algum fim (como de marketing, por exemplo) precisam não só avisar, mas também garantir a anuência.

Isso ocorre quando você acessa um site e precisa dar autorizações para os cookies, por exemplo. Ainda que esses sejam apenas um dos tipos de formas de coleta de informações, é um bom exemplo de consentimento.

A mesma coisa acontece quando você acessa uma página em que precisa preencher dados pessoais. Por exemplo, ao se inscrever em uma newsletter e landing pages. Igualmente, ao se cadastrar para uma compra. Nesses casos, sempre há uma caixinha “Concordo com os [termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/) e [políticas de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)”, certo?

Pois saiba que em todos esses casos o consentimento se dá para os usos dos seus dados. Ele se refere às políticas da empresa de segurança e de tratamento das informações, bem como de quais dados são utilizados, quando, como e por qual período.

Logicamente que existem outras [bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/) que também asseguram o uso correto dos dados dos cidadãos. Conduto, para muitos o consentimento acaba sendo o mais rápido e acessível no seu fluxo comercial.

[**### Descubra como adequar seu marketing digital a LGPD.**](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)

## Qual é a importância da política de consentimento para o site e para o visitante?

O consentimento que você já deve estar cansado de dar - mas que não deveria, uma vez que eles dizem respeito à sua segurança - são importantes tanto aos sites quanto a você e aos demais visitantes e usuários dele.

Pois bem. Comecemos pelos visitantes, pois a preferência é da visita! Para estes, então, o consentimento é importante porque é somente a partir dele que as empresas por trás dos sites podem usar os seus dados. Aliás, podem usá-los somente no limite ali estipulado, tanto de tempo quanto de aplicação.

Por isso, se você tem o costume de dar consentimento aos sites sem, antes disso, ler atentamente os termos, está na hora de mudar essa postura! O uso dos seus dados é importante, bem como se refere à sua segurança (inclusive bancária!).

Assim, é importante ter noção do que você está permitindo e de quais são as políticas que a empresa impõe para fins de proteção.

Nesse sentido, é necessário dar atenção a dois documentos em texto diferentes: os Termos do Uso, sobre as regras de responsabilidade de utilização dos serviços e limites de deveres e direitos; também, a Política de Privacidade, que diz respeito justamente à forma de tratamento das informações e detalhes de segurança.

Por outro lado, o consentimento que você dá aos sites também é importante para eles, obviamente. Afinal, somente assim elas realmente podem usar os dados (dentro dos limites informados e consentidos) de forma que estejam de acordo com a LGPD.

Entenda mais sobre o funcionamento de um aviso de cookies!

Aliás, a LGPD impõe grandes [penalidades](https://goadopt.io/blog/multas-na-lgpd/) a quem a desrespeita. Nesse sentido, pode impor advertências, bem como [multas](https://goadopt.io/blog/multas-na-lgpd/) que podem ser bem altas! Além disso, também pode levar à restrição na coleta de dados e banimento da página.

## Quais tipos de páginas precisam obter consentimento do visitante?

A grande maioria dos sites que fazem algum tipo de coleta de dados e disparo de cookies precisam obter o consentimento dos seus usuários. E existem diversos tipos de coletas, que vão desde os cookies até a obtenção voluntária de informações por meio de inscrições nas páginas.

Nesse sentido, todas as páginas que utilizam ferramentas tais de análise de resultados e métricas, como é o Google Analytics, já têm o dever de obter o consentimento dos seus visitantes para isso.

Da mesma forma, landing pages, páginas de contato com concessão de informações sobre o usuário e outros cadastros de dados sempre precisarão ter políticas de anuência quanto à coleta e uso das informações.

Principalmente quando, pelo modelo de negócios da empresa, outras [bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/) são mais frágeis quando ao embasamento para o uso do dado. Assim, o consentimento acaba sendo uma ótima opção.

## Aviso de Cookies

Primeiramente, um dos tipos de obtenção do consentimento é pelo Banner de Cookies, direto na página.

Nesse caso, a abertura da página já deve claramente informar o uso deles e permitir ao visitante configurar suas preferências e dar sua permissão. Somente após o consentimento os cookies podem ser disparados.

[### **Como configurar o bloqueio de cookies de terceiros na AdOpt?**](https://www.youtube.com/watch?v=8jqGLjZZ4UM)

Para isso, seu site pode contar com a AdOpt. Com nossa ferramenta suas políticas de uso de cookies sempre ficam claras ao usuário. Além disso, junto ao aviso você pode configurar o bloqueio dos cookies de terceiros, muilti-idiomas e legislações, customização dos textos, posicionamento, cores e imagens.

[_Já ouviu falar do documento ROPA na LGPD?
Ele é essencial e pode te ajudar muito na sua adequação!_](https://goadopt.io/blog/ropa-lgpd/)

## Avisos de Termos de Uso e Políticas de Privacidade

O outro método de aplicar as políticas de consentimento em um site são justamente nas páginas voltadas aos formulários de contato, landing pages e de cadastro no site. Utilizando aquelas caixinhas "Li e aceito".

Nesse caso, é indispensável que o usuário tenha acesso aos documentos que as revelam, bem como tenha que permitir o uso de tais informações antes de seguir sua ação online.

Por isso, sempre se certifique de que essas notificações travem a continuidade no processo. Dessa forma, somente são coletados dados que realmente tenham anuência do visitante.

Caso você seja um cliente [AdOpt](http://goadopt.io/), nossa tecnologia permite que essa coleta de consentimentos via formulários online seja integrada à plataforma como um todo. Isso faz com que o seu CRM tenha mais um campo alimentado pelo consentimento do visitante.

Quer saber como? Só chamar a gente no chat, ou marcar uma conversa de apresentação [aqui](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo).



Por que dar consentimento em todo site que acesso?

Ter um aviso de cookies no site da sua marca tornou-se indispensável para muitos. Já para os e-commerces acabou se tornando, praticamente, uma obrigação tê-lo. Pois, esse tipo de site possui uma composição tecnológica cujos cookies são parte estrutural. Fluxo de login, itens no carrinho, vitrine de recomendação, remarketing… Todos na sua grande maioria disparam cookies.

Com isso, o uso de cookies é algo essencial para que o comércio online sobreviva. Logo, também os banners de cookies, para evitar multas e outros tipos de penalidades que podem se impor após a entrada da [LGPD (a Lei Geral de Proteção de Dados)](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) em vigor.

Contudo, saibamos que além da simples obrigação por lei, o aviso de cookies mantém uma relação transparente e aberta com o público.

Nossa experiência nos permite antecipar para você algumas "consequências" do aviso de cookies na sua loja virtual. É importante que você entenda cada uma delas para não ser pego de surpresa e conseguir se ajustar a essa nova realidade.

## Aviso de cookies: O que é?

Como o nome dele já indica, o aviso de cookies nada mais é do que um alerta sobre o uso desse tipo de dado pelo seu site. A partir dele, então, o visitante toma conhecimento do fato de que aquela página usa esses arquivos tão importantes para seu funcionamento, bem como para melhorar a experiência do usuário.

Contudo, não é apenas isso. Com a entrada em vigor da LGPD em 2020, o titular dos dados passou a ter poder de autorizar ou não o uso dessas ferramentas durante sua navegação. Ou seja, ele pode aceitar os cookies ou não, a qualquer momento.

Por isso, o aviso de cookies informa o uso deles pelo site e, ao mesmo tempo, solicita a autorização do usuário para usá-los. Este, então, tem o poder de escolha quanto aos tipos de cookies que autorizará.

Assim, todo o gerenciamento dessas variáveis está contido em uma plataforma chamada CMP - _Consent Management Platform_, ou Plataforma de Gestão de Consentimentos.

[Para saber mais o que é uma CMP, separamos este artigo para você.](https://goadopt.io/blog/o-que-e-uma-cmp/)

### ## Algumas dicas para a configuração do aviso de cookies

Conforme o texto da [LGPD o consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.](https://presrepublica.jusbrasil.com.br/legislacao/612902269/lei-13709-18#art-5) Ou seja, abaixo alguns pontos que você deve observar ao construir a coleta de consentimentos para o seu e-commerce.

 - **LIVRE**: Fica proibida a coleta de consentimento em troca de algum benefício. Pois, pode configurar o chamado "vício de consentimento". Assim, o visitante não pode ser forçado ou coagido a aceitar.
 - **INFORMADA**: O cidadão deverá ser informado sobre os detalhes do consentimento. Somente com o livre acesso a estas informações o consentimento poderá ser "celebrado"  entre as partes.
 - **INEQUÍVOCA**: O consentimento deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular, podendo ser demonstrado com registro, data e hora.
 - **FINALIDADE DETERMINADA**: O consentimento deverá ser dado para um uso com finalidade específica e não generalista, genérica.

Somente com os 4 pontos acima listados pode-se desenhar uma série de interpretações para o fluxo de coleta de consentimentos. Neste [artigo](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) separamos uma análise específica sobre cada um dos argumentos de fluxo, design e jurídicos para te ajudar na escolha do seu aviso de cookies.

## A configuração mais ignorada e temida do mercado.

A configuração mais complexa e ignorada do mercado é a de bloqueio de cookies de terceiros, liberando-os apenas após o consentimento. Ou seja, somente após o consentimento do visitante você poderá disparar tags como: Google Analytics, Pixel de Conversão, Remarketing, etc. Com exceção das tags essenciais, logicamente.

Esse é um dos pontos mais importantes que asseguram o direito de escolha dos titulares e sua privacidade, que muitas empresas ainda custam em compreender, aderir e implementar. Afinal, isso impactaria completamente na leitura do site, KPI's de conversão, e infinitas métricas de acompanhamento.

Contudo, vale destacar que essa configuração também é uma das primeiras análises que se faz quando se olha se o site está adequado ou não. Logo, disparar cookies antes do consentimento causam uma péssima impressão e, certamente, é uma red-flag para auditorias e autoridades.

Infelizmente muitas ferramentas de SEO, performance e analytics não valorizam a privacidade. O próprio Google favorece os sites que usam seus serviços e compartilham os dados com ele. Então o mercado todo deverá passar pela adaptação. Uma alternativa interessante para quem procura um serviço de analytics respeitando a privacidade é o [Fathom](https://usefathom.com/)

## Como um aviso de cookies impacta seu e-commerce?

Aprofundando um pouco mais as interferências diretas e indiretas do aviso de cookies no e-commerce, listamos abaixo algumas das principais interferências.

**1. Bounce, cuidado com o tamanho e harmonia de design.**
Todo pop-up, banner ou aviso que aparece na tela tende a causar uma pronta reação e, consigo, rejeição (principalmente no mobile). Para que isso não aconteça, é importante que o Aviso de Cookies tenha um design minimalista e esteja em harmonia com o estilo do seu site. Caso contrário a chance da rejeição/bounce aumentar é muito grande. Procure oportunidades de customização de cores, formatos, fonte, textos e imagens para que a comunicação do aviso seja a mais leve o possível.

**2. Bloqueio de cookies, impacto das métricas. Aviso em formato balão é mais aceito que barra.**
Conforme explanado no item anterior, uma vez implementado o bloqueio de cookies de terceiros as métricas associadas a esse disparo serão diretamente impactadas.

Pela nossa experiência observamos que cerca de 25% dos visitantes do site dão o consentimento. E, os sites que utilizam o aviso de cookies como balão tem 80% mais aceitação que o formato de barra inferior.

**3. Requisições dos titulares criarão um novo fluxo/processo na sua empresa.**
Uma das obrigatoriedades que as leis de privacidade ([LGPD, GDPR, CCPA, PIPEDA](https://goadopt.io), etc) trazem é o livre acesso dos cidadãos aos seus dados, bem como as consultas diretas às empresas. Ou seja, um cidadão poderá a qualquer momento questionar a sua empresa se vocês possuem algum dado relacionado a ele, bem como pedir maiores informações, a portabilidade ou até mesmo exclusão deste.

É por isso que na AdOpt prezamos tanto pelo fluxo de requisições dos titulares. Cada aviso da AdOpt gera também uma página de Opt-out onde, a qualquer momento, as pessoas poderão fazer suas requisições. Isso gera um e-mail que é enviado ao [Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) da empresa e, pela lei deve ser respondido em até 15 dias.

Logo, sua empresa precisará de um processo estruturado para que as requisições e suas respostas sejam plenamente atendidas dentro do prazo. Para isso alguém deverá ser treinado e responsabilizado por este fluxo.

Quer maiores dicas sobre como organizar a casa para melhor atender essas requisições? Separei dois artigos para você:

- Conheça mais sobre o [documento ROPA da LGPD](https://goadopt.io/blog/ropa-lgpd/).
 - [Data Mapping ou Inventário de Dados, o colete salva vidas do DPO.](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)

**4. Alterações das tags, testes de ferramentas terão um fluxo maior.**
Algumas empresas costumam testar muitas ferramentas e tecnologias nos seus sites. Isso não é um problema em si. Contudo, uma vez que muitas destas disparam cookies é essencial que todo o fluxo de comunicação, agora estabelecido pela LGPD seja revisado e, se necessário, atualizado com a entrada de uma nova tecnologia que dispare cookies e, ou colete dados.

Principalmente se nos seus documentos como a Política de Privacidade e, eventualmente, os Termos de Uso você já tenha listado os cookies que utiliza, suas finalidades, prazos, etc.

Assim, caso haja alguma alteração na listagem dos documentos oficiais, é importante que a comunicação também seja toda refeita e atualizada. Vale destacar que sempre que uma nova política de privacidade, ou política de cookies é atualizada todos os consentimento coletados até aquele momento deverão ser atualizados/substituídos. Pois, o consentimento é um acordo entre a empresa e o cidadão, cujos termos estão justamente na política. Logo, se a política muda, a anuência das partes deve ser coletada.

 - [Saiba mais sobre como notificar usuários na atualização dos termos.](https://goadopt.io/blog/notificacao-usuarios-termos-de-uso/)
 - [Dicas importantes sobre a política de privacidade ideal das empresas.](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)

## Aviso de Cookies e CMP são a mesma coisa?

Não, a CMP (_Consent Management Platform_) ou Plataforma de Gestão de Consentimentos é a ferramenta onde, aviso ou banner de cookies é uma funcionalidade integrada a diversas outras.

Essa diferenciação é importante pois algumas pessoas acham que o banner de cookies é só um pop-up com um botão para o site. Contudo, a tecnologia envolvida vai muito além disso.

O banner é capaz de identificar se o visitante está acessando pela primeira vez, ou não. Ao coletar o consentimento do visitante ela dispara esse registro para o banco de dados, e para as demais ferramentas que aguardam o consentimento para também reagir ao acesso. Tudo isso em milésimos de segundo.

Isso é apenas uma das várias funcionalidades. Outras como:

- Bloqueio de cookies de terceiros;
- Esconder após o aceite;
- Reconhecimento do idioma do navegador, para que o aviso seja traduzido para o idioma de prefência;
- Reconhecimento do país do IP que acessou, para que o aviso seja adequado à legislação do país do visitante;
- Redirecionamento para página de Opt-out/direito dos titulares;
- Acionar o DPO quando uma solicitação é feita, unificando as informações do visitante;
- Integração com sistemas via API, call-backs para que os dados alimentem outros bancos de dados.
- entre outras…

- Quer saber mais sobre uma [CMP e como escolher uma para sua empresa, esse link pode te ajudar.](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)

## Por que ter um aviso de cookies?

Em resumo, de acordo com o que vimos até aqui, isso é importante especialmente por dois motivos. Em primeiro lugar, porque a LGPD exige. Segundo a lei, todo e qualquer uso de dados de titulares deve contar com a ciência deles, bem como com a concordância deles. Se você conseguir controlar essa informação no off-line, ou de alguma maneira particular, ótimo! Se precisar dar escala e automação aos fluxos, o aviso de cookies (CMP) é essencial para você

Mas não é só isso. O aviso de cookies também é importante para demonstrar ao seu público como você se importa, ao mesmo tempo, com a experiência dele no seu site e com a transparência na relação entre a página e ele.

Portanto, melhora a confiabilidade da relação. Igualmente, mostra responsabilidade do site perante seu público e a busca dele pela melhor experiência possível sem que isso passe por cima da sua privacidade.

Por isso, é de extrema importância contar com um bom aviso de cookies. Ele deve ser intuitivo, chamar a atenção do público e se integrar ao seu site de forma natural. Abaixo, então, veja como obter um bom banner de informações e gestão de consentimentos.

## Como obter um bom aviso de cookies que ajude na gestão de dados e consentimentos?

Para isso você pode contar com a AdOpt! A nossa plataforma de cookies acompanha não só o aviso deles, mas também uma ferramenta de gestão, isto é, de CMP.

A plataforma, aliás, é adaptável ao seu site de acordo com o seu design, acoplando-se naturalmente. Assim, ao abrir o site ela fica disponível e conta com informações sobre os cookies que são utilizados, bem como apresenta a possibilidade de configuração personalizada sobre aqueles que terão autorização ou não pelo titular de dados.

Igualmente, a AdOpt traz juntamente ao aviso de cookies outros documentos essenciais ao cumprimento da LGPD pela página: os Termos de Uso e a Política de Privacidade. Desse modo, em um só lugar há a organização de todos esses dados.

Para fechar com chave de ouro, então, a AdOpt traz tudo isso combinado com uma ferramenta que atualiza e acompanha em tempo real todas as entradas, saídas e alterações de consentimento. Ao fazê-lo, garante que somente haverá o uso dos dados de acordo com a vontade do titular.

Por isso, não deixe de contar com a AdOpt e conhecer nossos planos. Você vai ver como se adequar à LGPD é muito mais fácil e benéfico do que parece!



O impacto do aviso de cookies no seu e-commerce - LGPD

A **Colorado Consumer Privacy Act (CPA)** entrou em vigor em 1º de julho de 2023, tornando-se um marco na proteção da privacidade dos residentes do Colorado. Para qualquer empresa que opera ou tem clientes nesse estado, entender essas regras é uma excelente oportunidade para demonstrar transparência e fortalecer o relacionamento com o público.

O foco central desta lei é devolver o controle dos dados pessoais aos consumidores, garantindo que a inovação digital caminhe lado a lado com o respeito à privacidade. Mas o que isso muda na prática para o seu negócio, especialmente na gestão de **[cookies](https://goadopt.io/blog/cookies-e-lgpd/ )** do seu site? Vamos descomplicar esse tema de forma leve e direta.

## Provisões principais e definições da CPA

Um dos pontos mais positivos da CPA é a clareza que ela traz para o mercado. A lei exige que as empresas obtenham um consentimento claro dos usuários antes de coletar qualquer dado pessoal. Isso inclui o uso de rastreadores e tecnologias de monitoramento que tornam a experiência na web mais personalizada.

Na prática, os cookies são pequenos fragmentos de dados que ajudam a entender as preferências do seu visitante. Sob a CPA, o uso dessas ferramentas deve ser acompanhado de informação e escolha. Um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/ )** ou um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )** elegante é a maneira mais eficiente de convidar o usuário a participar dessa jornada de dados.

Esse aviso deve ser claro, conciso e oferecer uma forma simples de aceitar ou gerenciar as preferências. Além disso, a CPA garante direitos como o acesso, a exclusão e a possibilidade de optar por não participar do processamento de dados (opt-out). Ter uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/ )** bem estruturada é o que garante que esses direitos sejam respeitados com facilidade.

## Como se manter atualizado sobre a CPA do Colorado

Manter a conformidade com a CPA é um processo contínuo que reflete o compromisso da sua marca com a ética digital. Estar à frente das tendências de privacidade é um diferencial competitivo. Aqui estão algumas dicas para sua empresa brilhar:

1.  **Acompanhe as novidades do setor**: Assinar newsletters sobre privacidade ajuda a entender as melhores práticas e as evoluções do mercado.
2.  **Participe de eventos e webinars**: Esses encontros são ótimos para obter insights práticos sobre como aplicar as leis de privacidade de forma leve.
3.  **Utilize uma CMP (Plataforma de Gestão de Consentimentos)**: Ferramentas como a **[AdOpt](https://goadopt.io )** automatizam o processo, garantindo que seu site esteja sempre alinhado com as regras mais recentes.
4.  **Conte com um Encarregado de Dados (DPO)**: Um **[DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/ )** pode orientar seus esforços de privacidade, garantindo que seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/ )** sejam seguros e eficientes.

## A CPA se aplica ao seu negócio?

O primeiro passo para uma gestão de dados de sucesso é entender se a lei se aplica à sua operação. A CPA foca em empresas que:

- Conduzem negócios no Colorado ou direcionam produtos/serviços para residentes de lá.
- Controlam ou processam dados de 100.000 ou mais residentes anualmente.
- Obtêm receita ou descontos com a venda de dados e processam informações de pelo menos 25.000 residentes.

Existem exceções positivas para organizações sem fins lucrativos e instituições financeiras que já seguem outras normas rigorosas. Para ter certeza do seu cenário, realizar um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/ )** é a melhor forma de visualizar o fluxo de informações na sua empresa.

## A CPA na prática: os três documentos

A adequação à CPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/colorado-cpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/colorado-cpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/colorado-cpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Entenda a CPA e os Cookies

**O que é considerado consentimento claro sob a CPA?**
É a permissão dada pelo usuário de forma livre e informada. No seu site, isso é feito através de uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/ )** que bloqueia cookies não essenciais até que o usuário faça sua escolha.

**Quais cookies precisam de consentimento?**
Cookies funcionais, de performance e de marketing exigem a escolha do usuário. Já os cookies estritamente necessários para o funcionamento do site podem operar normalmente para garantir a melhor experiência.

**Como a AdOpt ajuda na conformidade com a CPA?**
A AdOpt automatiza a exibição do **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )**, gerencia as preferências dos usuários e mantém registros seguros, permitindo que você foque no crescimento do seu negócio.

## Simplifique sua jornada com a AdOpt

Adequar seu site às leis de privacidade é um passo fundamental para construir uma marca forte e confiável. A AdOpt oferece a tecnologia necessária para que você gerencie consentimentos de forma automatizada, elegante e profissional.

**[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria )** e veja como a AdOpt pode ajudar sua empresa a navegar pela CPA e outras leis de privacidade com total tranquilidade.



CPA Colorado e Cookies: Tudo o que você precisa saber

Decifrar se uma nova lei de privacidade de dados se aplica ao seu negócio pode parecer um quebra-cabeça complicado. Mas nós estamos aqui para facilitar a sua vida e proteger a sua **[coleta de dados](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

A Lei de Privacidade de Dados do Consumidor de Montana (MTCDPA) traz regras muito claras e objetivas. Vamos destrinchar exatamente quem precisa estar em conformidade com o uso de um bom **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)**.

Não se desespere com os termos técnicos internacionais. Entender o **[significado da LGPD](https://goadopt.io/blog/significado-da-lgpd/)** no Brasil já ajuda muito a compreender essas novas regulamentações americanas na internet.

## Quem deve cumprir: Os limites para as empresas em Montana

Encare os requisitos da MTCDPA como uma lista de verificação bem simples. Se a sua empresa marcar apenas uma das duas opções a seguir, você precisará adequar as suas **[políticas de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** imediatamente.

A lei americana se aplica a qualquer companhia que faça negócios em Montana ou produza serviços direcionados aos residentes do estado. Para isso, o uso da **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** será essencial.

Você está na mira da lei se:

1. Controla ou processa os dados pessoais de pelo menos 50.000 consumidores.
2. Controla ou processa dados de pelo menos 25.000 consumidores e obtém mais de 25% da sua receita bruta com a venda de dados em seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**.

Vamos definir esses termos rapidamente. Um consumidor aqui é simplesmente um residente de Montana. E um dado pessoal é qualquer informação que identifique uma pessoa capturada pelo seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)**.

Já uma venda não é apenas uma transação financeira direta em dinheiro. A lei entende como venda a troca de dados pessoais por qualquer outro benefício que impacte o **[marketing digital](https://goadopt.io/blog/lgpd-oportunidade-agencia-marketing-digital/)**.

Diferente de outras leis estaduais, a regulamentação de Montana não possui um limite mínimo de faturamento. Por isso, nunca decida **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** baseando-se apenas no tamanho atual da sua empresa.

### Datas importantes: Quando a MTCDPA entra em vigor?

Marque com destaque no seu calendário de adequação. A Lei de Privacidade de Dados do Consumidor de Montana entra em vigor totalmente no dia 1º de outubro de 2024. O ideal é nomear logo o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)**.

Esse é o prazo final e inegociável para que o seu negócio esteja rodando dentro da lei com tranquilidade. Os mecanismos para lidar com os direitos dos consumidores precisam estar operacionais e listados no **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)**.

Existe uma segunda data crucial na sua operação: 1º de janeiro de 2025. A partir desse dia, as empresas deverão reconhecer os sinais universais de opt-out. Saber **[o que é uma CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)** ajuda a resolver esse desafio técnico.

Esse padrão permite aos usuários sinalizarem as suas preferências de privacidade em todos os sites que visitam através do navegador. Fazer essa leitura funcionar exige aplicar o conceito de **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** desde a raiz.

### Isenções: Quem está fora do radar da lei?

Nem todas as organizações são cobertas pela MTCDPA de forma automática e impositiva. A legislação cria isenções inteligentes para evitar burocracia em indústrias que já fazem um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** rigoroso.

Você não precisará **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** com base na MTCDPA se a sua corporação for um órgão governamental, ONG, instituição de ensino superior ou regulada por leis federais como HIPAA e GLBA.

## As Novas Regras para Cookies e Consentimento: O Opt-Out Explicado

A abordagem de Montana muda de forma fundamental a interação com os dados dos visitantes. Diferente do modelo rigoroso da Europa, a MTCDPA usa uma estrutura focada no opt-out gerido pela sua **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)**.

Entender essa pequena diferença técnica é a chave principal para o sucesso e para evitar o temido risco de sofrer **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** ou ações legais no exterior.

### Modelo Opt-Out: O que isso significa para o seu Aviso de Cookies

Em um sistema prático de opt-out, você pode coletar e processar a maioria dos dados por padrão logo no acesso inicial. Porém, deve dar aos consumidores uma maneira visual e fácil de dizer não nos seus **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)**.

Você não precisa implorar por permissão antes de colocar a maioria dos rastreadores de publicidade nas máquinas. Entretanto, garantir o perfeito **[funcionamento do aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)** para quem deseja recusar é obrigatório.

Ele não é mais apenas um alerta passivo no rodapé. Ele é uma ferramenta poderosa e ativa. O seu site precisa fornecer um link totalmente visível na **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** para os usuários recusarem a venda dos dados.

Se o usuário escolher sair da base de captação, a sua tecnologia de retenção precisa desativar os scripts imediatamente. Realizar boas **[práticas na categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)** garante que isso funcione nos bastidores de forma invisível.

### Dados Sensíveis: Quando você precisa absolutamente do Opt-In

A regra liberal do opt-out tem uma exceção que não pode ser contornada: os dados sensíveis. Para essa categoria, você deve obter o consentimento explícito e afirmativo. Ter um bom **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** liderando isso é vital.

Os dados sensíveis sob a MTCDPA incluem: raça, religião, saúde física ou mental, orientação sexual, biometria e localização precisa. Isso exige um controle muito mais refinado através da sua **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)**.

Para essas informações, o silêncio do usuário não significa consentimento em hipótese alguma. Você deve pedir um sim claro. Isso impede que **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)** invasivos sejam ativados sem autorização.

### Proteções Especiais para Menores: Um Padrão Mais Rigoroso

A MTCDPA oferece proteções muito elevadas para os jovens, criando um sistema de dois níveis. Para crianças menores de 13 anos, a lei exige consentimento verificável dos pais antes de alimentar o seu **[ROPA LGPD](https://goadopt.io/blog/ropa-lgpd/)**.

Para menores entre os 13 e 16 anos, existe uma diferença marcante. Você deve obter o próprio opt-in do menor de idade de forma explícita na tela do seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** antes de vender as informações dele.

O grande desafio operacional da tecnologia aqui é descobrir de forma lícita a idade real de quem está navegando. Essa dificuldade enorme reforça a importância de adotar os pilares sólidos do **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**.

### Definindo a Venda de Dados e a Publicidade Direcionada

A publicidade direcionada é a exibição de anúncios com base no histórico rastreado do usuário. É a tecnologia de remarketing que persegue os visitantes e exige atenção para não gerar **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)**.

Já a venda de dados pessoais não significa apenas enviar uma lista fria de e-mails em troca de dinheiro. A nova lei define isso amplamente como a troca constante de dados por qualquer benefício. Avalie bem se vale a pena **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** e seguir com essas práticas.

## O seu plano de ação de 4 passos para a conformidade com a MTCDPA

Alcançar a adequação com uma nova lei de privacidade pode parecer um projeto gigante. Mas ao dividir isso em um plano de ação claro, fatiado e gerenciável, você pode **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** da sua agência em semanas.

### Passo 1: Atualize a sua Política de Privacidade

A sua página de política digital é a base fundamental de toda a sua transparência. Ela deve listar as categorias exatas de dados capturados e informar os direitos plenos do cidadão de forma clara na sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)**.

Reserve um bom bloco de tempo na agenda para revisar meticulosamente esse texto. Criar um documento ideal é sobre honestidade da marca, não apenas sobre emaranhar termos jurídicos complexos que confundem o leitor sobre o **[funcionamento do aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)**.

### Passo 2: Implemente uma Ferramenta de Gestão de Cookies

Uma política escrita é na melhor das hipóteses apenas uma promessa. Para atender com destreza técnica aos requisitos de opt-out impostos, você precisa inevitavelmente de uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** robusta.

Uma tecnologia profissional cuida de todo o ciclo ininterrupto. Ela exibe majestosamente um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** claro, bloqueia rastreadores não autorizados e grava a prova de aceite com segurança.

### Passo 3: Prepare-se para as Requisições dos Consumidores (DSRs)

A regulamentação capacita todos os cidadãos de Montana a assumirem o protagonismo online. A sua equipe precisa treinar para suportar sem erros os pedidos oficiais que devem subir em volume para o **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)**.

Conduzir um trabalho minucioso voltado estritamente para o **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** é o pulo do gato operacional. Sem isso, você não saberá onde os dados estão quando o usuário pedir para apagá-los.

### Passo 4: Realize uma Avaliação de Proteção de Dados

Para certas atividades que apresentam alto risco, a MTCDPA exige que você execute uma Avaliação de Proteção de Dados. Isso documenta internamente os riscos e ações tomadas pela sua equipe ao **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

Se a sua empresa vende dados, processa informações sensíveis ou roda anúncios direcionados, aplicar as diretrizes do **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** ajudará a provar que a sua operação age com total responsabilidade.

## Direitos do Consumidor que você deve honrar sob a MTCDPA

A lei concede aos residentes de Montana direitos específicos e inegociáveis para controlar as suas próprias informações. A sua empresa tem o dever legal e imediato de atender a essas demandas rapidamente.

Garantir que os usuários possam exercer esses direitos sem atritos é tão importante quanto saber escrever uma boa **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)**.

- **Direito de Acesso e Correção:** O consumidor pode exigir uma cópia exata do que você tem salvo sobre ele e pedir a correção de dados errados ou desatualizados.
- **Direito de Exclusão:** O famoso direito de ser esquecido. Quando solicitado, você deve apagar os dados do seu CRM e listas, validando tudo através da sua **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)**.
- **Direito à Portabilidade:** O usuário pode levar os seus dados para a concorrência em um formato estruturado e legível, como um simples arquivo CSV exportável.
- **Direito de Opt-Out:** O usuário pode bloquear o uso dos seus dados para vendas ou anúncios. É exatamente aqui que o seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** entra em ação desativando rastreadores.

## O que acontece se você não cumprir? Fiscalização e Penalidades

Saber as regras é metade da batalha; conhecer as punições é a outra metade. Ignorar as suas obrigações de privacidade não é e nunca será uma estratégia recomendada. As **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** já nos provaram isso.

Ao contrário de outras leis, a MTCDPA não permite que o cidadão processe a sua empresa diretamente. É o Procurador-Geral de Montana quem detém a autoridade exclusiva para fazer toda a fiscalização oficial.

### O Período de Cura (e o seu fim em 2026)

Se o Procurador-Geral determinar que a sua empresa violou as regras, você receberá uma notificação e terá exatos 60 dias para corrigir a falha sem sofrer grandes sanções financeiras.

No entanto, essa colher de chá acaba definitivamente no dia 1º de abril de 2026. Depois dessa data, as autoridades poderão prosseguir diretamente para ações severas contra quem **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** ou leis americanas.

### Existem multas sob a MTCDPA?

Curiosamente, a lei não especifica valores exatos de multas tabeladas como acontece na Europa. Mas isso não significa que não existam consequências gigantescas.

O Procurador-Geral pode exigir penalidades financeiras pesadas através da justiça, obrigando a sua empresa a mudar práticas e assumir processos caros. Utilizar uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** profissional evita esses pesadelos diários.

## A MTCDPA na prática: os três documentos

A adequação à MTCDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/montana-mtcdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/montana-mtcdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/montana-mtcdpa-dsar/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Perguntas Frequentes sobre a MTCDPA

**Quando a Lei de Privacidade de Montana entra em vigor?**
A MTCDPA entra em vigor no dia 1º de outubro de 2024. Há um prazo adicional até 1º de janeiro de 2025 para reconhecer sinais universais de opt-out (GPC) no seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)**.

**A minha empresa precisa cumprir a MTCDPA?**
Sim, se operar em Montana e processar dados de 50.000 consumidores ou processar dados de 25.000 pessoas obtendo mais de 25% da receita através da venda de informações em seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**.

**O que são dados sensíveis sob a lei?**
São informações que exigem alta proteção, como origem racial, crenças religiosas, diagnóstico de saúde, orientação sexual, biometria e localização precisa. Use o **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** para protegê-los.

**Quanto tempo tenho para responder às solicitações dos consumidores?**
A sua equipe e o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** têm exatamente 45 dias para responder a uma solicitação do usuário, podendo prorrogar por mais 45 dias em casos complexos.

**Preciso de consentimento explícito para dados sensíveis?**
Com certeza. A lei exige que você obtenha um consentimento de opt-in afirmativo e claro no seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** antes de coletar qualquer dado dessa categoria especial.

**O que acontece se a minha empresa violar a MTCDPA?**
O Procurador-Geral pode tomar ações legais imediatas. Até abril de 2026, existe um período de cura de 60 dias para resolver a falha. Depois disso, as penalidades financeiras não terão aviso prévio. Não espere pelas **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** ou fora do país.

---

Plataformas intuitivas como a **[AdOpt](https://goadopt.io)** ajudam você a ficar em conformidade rapidamente sem complicar o design ou a velocidade do seu site.

Quer proteger a sua operação e vender com segurança? **[Agende uma ligação](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)** com um dos nossos especialistas agora mesmo!


Montana MTCDPA e Cookies: Tudo o que você precisa saber

Oregon chegou com uma lei de privacidade que tem pelo menos três características que você provavelmente não vai encontrar em nenhuma outra legislação estadual americana.

A Oregon Consumer Privacy Act (OCPA), ORS 646A.570 a 646A.589, entrou em vigor em **1º de julho de 2024**. Foi desenvolvida pelo Attorney General's Consumer Privacy Task Force, com mais de 150 especialistas envolvidos, e sancionada pela governadora Tina Kotek.

No primeiro ano de vigência: 214 reclamações recebidas, 38 investigações abertas. O enforcement é real.

## O que é a OCPA?

A OCPA é a lei estadual de proteção de dados pessoais do Oregon. Ela garante direitos aos residentes do estado e cria obrigações para as empresas que tratam seus dados.

A fiscalização é responsabilidade exclusiva do **Attorney General do Oregon**. Não há direito de ação privada.

## Quando a OCPA entrou em vigor?

Em **1º de julho de 2024**.

Duas mudanças importantes entraram em vigor em **1º de janeiro de 2026**: a obrigação de honrar sinais de opt-out universal como o Global Privacy Control (GPC), e a eliminação do período de cura de 30 dias. A partir dessa data, o Attorney General pode agir sem aviso prévio.

## Quem precisa cumprir a OCPA?

Conforme a Seção 2(1) da lei, ela se aplica a pessoas que conduzem negócios no Oregon ou produzem produtos ou serviços direcionados a residentes do estado e que, durante um ano civil:

Controlam ou processam dados pessoais de pelo menos **100.000 consumidores**, excluindo dados processados exclusivamente para fins de conclusão de uma transação de pagamento.

Ou controlam ou processam dados pessoais de pelo menos **25.000 consumidores** enquanto derivam **25% ou mais** da receita bruta anual da venda de dados pessoais.

Três pontos que diferenciam a OCPA de praticamente todas as outras leis estaduais:

**A exclusão de transações de pagamento do threshold de 100K:** dados processados exclusivamente para completar pagamentos não entram na contagem. Isso é diferente das outras leis que não fazem essa exclusão.

**O threshold de 25% de receita:** a maioria das leis estaduais usa 50% de receita de venda de dados. A OCPA usa 25%, tornando o segundo critério mais fácil de atingir.

**A inclusão de dados derivados no conceito de dado pessoal:** perfis criados a partir dos dados do consumidor também são dados pessoais sob a OCPA. Isso tem impacto direto no escopo das solicitações de acesso e exclusão.

Entender a distinção entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é fundamental para definir as responsabilidades de cada parte.

### Isenções da OCPA

Conforme a Seção 2(2), estão isentos:

Entidades governamentais e corporações públicas do Oregon, incluindo Oregon Health and Science University e Oregon State Bar.

Informações de saúde protegidas processadas por entidades cobertas ou associadas de negócios sob a HIPAA.

Informações usadas exclusivamente para finalidades de saúde pública.

Dados de pesquisa clínica regulada por normas federais.

Dados processados exclusivamente no contexto de emprego, relação contratual com entidade empresarial, ou benefícios de empregadores.

Dados regulados pelo Fair Credit Reporting Act, Gramm-Leach-Bliley Act, FERPA, e Airline Deregulation Act (dentro dos limites de cada lei).

Instituições financeiras e suas afiliadas dedicadas exclusivamente a atividades financeiras.

Seguradoras, produtores de seguros e consultores de seguros.

Organizações sem fins lucrativos criadas para detectar e prevenir fraudes em seguros.

Atividades não comerciais de veículos de imprensa e rádio e TV licenciados.

### Atenção a duas inclusões recentes

A partir de **1º de julho de 2025**, organizações sem fins lucrativos enquadradas na seção 501(c)(3) passaram a estar sujeitas à OCPA.

A partir de **26 de setembro de 2025**, todos os fabricantes de veículos que coletam dados pessoais de consumidores do Oregon estão sujeitos à lei, independentemente dos thresholds.

## O que é dado pessoal sob a OCPA?

Conforme a Seção 1(13), dado pessoal é qualquer dado, **dado derivado** ou identificador único vinculado ou razoavelmente vinculável a um consumidor ou a um dispositivo que identifique, esteja vinculado ou seja razoavelmente vinculável a um ou mais consumidores em um domicílio.

Dados desidentificados e dados legalmente disponíveis em registros governamentais ou mídia de ampla circulação estão excluídos.

A inclusão explícita de dados derivados é um diferencial importante da OCPA. Perfis de marketing, scores de comportamento e classificações de segmento criados a partir dos dados do consumidor são dados pessoais para fins da lei.

## O que são dados sensíveis na OCPA?

Conforme a Seção 1(18), dados sensíveis incluem:

Dados que revelam origem racial ou étnica, nacional, crenças religiosas, condição mental ou física ou diagnóstico, orientação sexual, status como transgênero ou não-binário, status como vítima de crime, ou cidadania ou imigração.

Dados pessoais de crianças menores de 13 anos.

Dados de geolocalização precisa dentro de um raio de **1.750 pés** (aproximadamente 533 metros).

Dados genéticos ou biométricos.

Dados sensíveis não podem ser processados sem consentimento explícito do consumidor, conforme a Seção 5(2)(b) da OCPA.

## Quais são os direitos dos consumidores sob a OCPA?

O Departamento de Justiça do Oregon criou o acrônimo **L.O.C.K.E.D.** para resumir os direitos garantidos pela Seção 3(1) da OCPA:

**L (List):** obter uma lista das entidades específicas para as quais o controlador divulgou seus dados, ou uma lista de qualquer dado pessoal divulgado.

**O (Opt-out):** recusar o processamento de dados para publicidade direcionada, venda de dados pessoais, e perfilamento para decisões com efeitos legais ou de significância similar.

**C (Copy):** obter cópia de todos os dados pessoais que o controlador processou, em formato portável e prontamente utilizável quando tecnicamente viável.

**K (Know):** confirmar se o controlador processa ou processou seus dados e quais categorias estão envolvidas.

**E (Edit):** corrigir imprecisões nos dados pessoais, considerando a natureza e a finalidade do processamento.

**D (Delete):** solicitar a exclusão dos dados pessoais, incluindo dados fornecidos pelo consumidor, obtidos de outras fontes, e dados derivados.

O controlador tem **45 dias** para responder (Seção 4(5)(a)). O prazo pode ser estendido por mais 45 dias quando razoavelmente necessário, com notificação dentro do prazo inicial.

O atendimento é **gratuito uma vez** por período de 12 meses por consumidor. Para solicitações subsequentes, a empresa pode cobrar taxa razoável, exceto quando a solicitação verifica o cumprimento de correção ou exclusão anterior (Seção 4(5)(c)).

### Direito de apelação

A Seção 4(6) exige que o controlador estabeleça processo de apelação. O processo deve ser conspicuamente disponível, similar ao método original, e resultar em resposta escrita dentro de **45 dias** com decisão e justificativa.

Se a apelação for negada, o aviso deve fornecer informações para que o consumidor contate o Attorney General.

## Consentimento: o que a OCPA exige

Conforme a Seção 1(6), consentimento é ato afirmativo pelo qual o consumidor comunica, de forma clara e conspícua, concordância livre, específica, informada e inequívoca. A interface não pode ter mecanismos que obscureçam, subvertam ou prejudiquem a autonomia e a capacidade de decisão do consumidor. E a inação não constitui consentimento.

O padrão correto para cookies: tecnologias não essenciais desligadas por padrão. O usuário escolhe o que ativa, não o que desativa.

## Obrigações do controlador sob a OCPA

Conforme a Seção 5, o controlador precisa:

Especificar no aviso de privacidade as finalidades expressas de coleta e processamento.

Limitar a coleta ao adequado, relevante e razoavelmente necessário para as finalidades declaradas.

Implementar salvaguardas técnicas, administrativas e físicas razoáveis para proteger os dados.

Fornecer mecanismo de revogação de consentimento pelo menos tão fácil quanto o de consentimento. Após a revogação, cessar o processamento **em no máximo 15 dias** (Seção 5(1)(d)).

Não processar dados para finalidades incompatíveis com as declaradas, salvo consentimento.

Não processar dados sensíveis sem consentimento prévio.

Não processar dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento ou venda sem consentimento explícito.

Não discriminar consumidores que exercem seus direitos.

Fornecer aviso de privacidade acessível, claro e significativo com canal de contato ativo e monitorado.

Estabelecer canal para DSARs sem exigência de criação de nova conta.

Conduzir e documentar Data Protection Assessments para atividades de alto risco.

## Proteção especial para adolescentes de 13 a 15 anos

A Seção 5(2)(c) proíbe o processamento de dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento para decisões com efeitos legais ou venda de dados sem o consentimento desses consumidores, quando o controlador tem conhecimento real ou deliberadamente desconsidera essa faixa etária.

A partir de **1º de janeiro de 2026**, a proteção foi ampliada: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada e certos tipos de perfilamento.

## O prazo de 15 dias para revogação de consentimento

A Seção 5(1)(d) exige que o controlador forneça mecanismo efetivo de revogação de consentimento pelo menos tão fácil quanto o mecanismo de consentimento. Após a revogação, o controlador deve cessar o processamento **o mais rápido possível, mas no máximo em 15 dias**.

## Cookies e a OCPA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão diretamente no escopo da OCPA.

O controlador precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, disponibilizar opt-out de publicidade direcionada, bloquear rastreadores não necessários antes que disparem, e honrar as preferências expressas pelo consumidor.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies configuram publicidade direcionada ou venda de dados.

A Seção 1(19) define publicidade direcionada como anúncios selecionados com base em dados coletados das atividades do consumidor ao longo do tempo e em um ou mais sites ou aplicações não afiliados.

A partir de **1º de janeiro de 2026**, a Seção 5(5)(c) exige que os controladores honrem sinais de opt-out universal com o consentimento do consumidor, como o Global Privacy Control (GPC). Um visitante com o GPC ativado equivale a um visitante que clicou no botão de recusar publicidade direcionada.

## Avaliações de proteção de dados

Conforme a Seção 8, o controlador precisa conduzir e documentar Data Protection Assessments para:

Processamento de dados para publicidade direcionada.

Processamento de dados sensíveis.

Venda de dados pessoais.

Perfilamento que apresenta risco previsível de tratamento injusto, dano financeiro, físico ou reputacional, intrusão na privacidade, ou outros danos substanciais.

As avaliações precisam ser mantidas por pelo menos **cinco anos** (Seção 8(6)) e são confidenciais. O Attorney General pode solicitar acesso durante investigações, sem que isso configure renúncia ao privilégio advogado-cliente.

## Fiscalização e penalidades

Conforme a Seção 9, o Attorney General do Oregon tem autoridade exclusiva para fiscalizar a OCPA. Não existe direito de ação privada.

**Até 1º de janeiro de 2026:** o AG precisava notificar o controlador e conceder 30 dias para correção antes de iniciar ação formal.

**A partir de 1º de janeiro de 2026:** o período de cura foi eliminado pela Seção 11. O AG pode iniciar ação diretamente.

Se violações forem identificadas, o AG pode buscar:

Injunção para cessar as violações.

Penalidades civis de até **US$ 7.500 por violação** (Seção 9(4)(a)).

Recuperação de honorários advocatícios e custos de investigação.

O prazo para o AG iniciar ação é de **cinco anos** a partir do último ato que constituiu a violação.

## Como se adequar à OCPA na prática

### 1. Mapeamento de dados
Entenda o que você coleta, incluindo dados derivados, onde estão, como são usados e com quem são compartilhados. O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) é a base de qualquer programa de conformidade.

### 2. Atualize sua política de privacidade
O documento precisa cobrir todos os requisitos da Seção 5(4), incluindo canal de contato ativo e monitorado, e descrição detalhada das categorias de terceiros.

### 3. Implemente um aviso de cookies funcional
Um [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) que bloqueia rastreadores não necessários antes do aceite, registra preferências, oferece opt-out de publicidade direcionada, e honra o GPC a partir de janeiro de 2026.

### 4. Crie canal para DSARs
Pelo menos um mecanismo seguro e confiável para receber solicitações, sem exigência de criação de nova conta.

### 5. Documente as avaliações de proteção de dados
Para cada atividade de alto risco, conduza e documente o assessment conforme a Seção 8. Mantenha por pelo menos 5 anos.

### 6. Ajuste os contratos com operadores
Contratos com prestadores de serviço que processam dados em seu nome precisam atender aos requisitos da Seção 6 da OCPA.

Aplicar [privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/) desde a concepção dos produtos é o que torna a conformidade sustentável a longo prazo.

## Como a AdOpt ajuda com a OCPA

A AdOpt registra cada consentimento, bloqueia rastreadores antes do aceite, honra o GPC a partir de janeiro de 2026, e gera o log auditável que você precisaria apresentar em uma investigação do Attorney General.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados necessário para o aviso de privacidade e as avaliações de proteção de dados. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à OCPA do Oregon? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando OCPA com outras leis de privacidade

| Lei | Estado | Threshold | Revenue % | Cure Period | GPC/Opt-out Signal | Vigência |
|---|---|---|---|---|---|---|
| OCPA | Oregon | 100K (excl. pagamentos) ou 25K + 25% | 25% | Eliminado (jan/2026) | Jan 2026 | Jul 2024 |
| CTDPA | Connecticut | 100K (excl. pagamentos) ou 25K + 25% | 25% | Discricionário (jan/2025) | Jan 2025 | Jul 2023 |
| VCDPA | Virgínia | 100K ou 25K + 50% | 50% | 30 dias garantidos | Não exigido | Jan 2023 |
| CPA | Colorado | 100K ou 25K + 50% | 50% | Discricionário (jul/2025) | Jul 2024 | Jul 2023 |
| CCPA/CPRA | Califórnia | US$ 25M ou 100K | 50% | Discricionário | GPC exigido | Jan 2020/2023 |

Para entender como essas [legislações de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) se comparam em profundidade, nosso guia comparativo aprofunda o tema.

## A OCPA na prática: os três documentos

A adequação à OCPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/oregon-ocpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/oregon-ocpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/oregon-ocpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Oregon OCPA

**1. O que é a OCPA e quando entrou em vigor?**
A Oregon Consumer Privacy Act (ORS 646A.570–646A.589) é a lei estadual de proteção de dados pessoais do Oregon. Entrou em vigor em 1º de julho de 2024. Tem diferenciais específicos em relação a outras leis estaduais: a exclusão de dados de transações de pagamento do threshold de 100K, o threshold de 25% de receita de venda de dados, a inclusão de dados derivados no conceito de dado pessoal, e o prazo expresso de 15 dias para cessação após revogação de consentimento. A partir de janeiro de 2026, passou a exigir o reconhecimento do GPC e eliminou o período de cura de 30 dias.

**2. O que torna o threshold da OCPA diferente das outras leis estaduais?**
A OCPA tem duas particularidades no threshold: exclui explicitamente dados processados exclusivamente para transações de pagamento da contagem de 100K consumidores, e usa 25% de receita de venda de dados como segundo critério (vs. 50% em leis como VCDPA e CPA do Colorado). O threshold de 25% é compartilhado com a CTDPA do Connecticut, mas a exclusão de pagamentos torna as duas leis as mais específicas nesse ponto entre todas as leis estaduais americanas.

**3. O que é o prazo de 15 dias para revogação de consentimento na OCPA?**
A Seção 5(1)(d) exige que, após receber a revogação de um consentimento dado pelo consumidor, o controlador cesse o processamento o mais rápido possível, mas no máximo em 15 dias. Esse prazo é expresso na OCPA e na CTDPA do Connecticut, distinguindo as duas de outras leis estaduais americanas que exigem cessação "sem demora indevida" sem prazo específico.

**4. O que é o Global Privacy Control e por que a OCPA passou a exigi-lo?**
O Global Privacy Control (GPC) é um sinal técnico que o consumidor ativa no navegador para solicitar automaticamente opt-out de venda de dados e publicidade direcionada em todos os sites visitados. A partir de 1º de janeiro de 2026, a Seção 5(5)(c) da OCPA exige que os controladores honrem esse sinal como solicitação válida de opt-out. Um visitante com GPC ativado equivale a um visitante que clicou no botão de recusar publicidade. A OCPA é uma das leis mais recentes a incluir esse requisito explicitamente.

**5. Qual é a penalidade por descumprimento da OCPA?**
O Attorney General pode buscar penalidades civis de até US$ 7.500 por violação, além de injunção e recuperação de honorários e custos de investigação. Até dezembro de 2025, havia um período de cura de 30 dias antes da ação formal. A partir de janeiro de 2026, o AG pode agir diretamente, sem aviso prévio. Não há direito de ação privada (Seção 9).

Tá na AdOpt, tá bem.

[Quer adequar seu site à OCPA do Oregon? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Oregon OCPA e Cookies: Tudo o que você precisa saber

## A Plataforma de Gestão de Consentimentos (CMP)
A escolha de uma **Plataforma de Gestão de Consentimentos (CMP)** é essencial para garantir que seu site esteja em conformidade com a LGPD, quando você opta por usar uma solução como a [AdOpt CMP](https://goadopt.io/), está investindo em uma ferramenta que garante a **transparência e a segurança** no tratamento de dados dos usuários.

Para auxiliar você nessa escolha, é **importante** considerar alguns fatores.

## Como escolher uma CMP (Plataforma de Gestão de Consentimentos)?
Ao escolher uma CMP, busque uma que ofereça recursos robustos e que se adeque às necessidades do seu site, um bom ponto de partida é verificar se a plataforma fornece um **[GUIA ORIENTATIVO](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)** que explique claramente como funciona a gestão de consentimentos.

Além disso, a CMP deve facilitar a implementação de políticas de privacidade e o **[notificacão usuários termos de uso](https://goadopt.io/blog/notificacao-usuarios-termos-de-uso)**, garantindo que os usuários saibam exatamente o que estão aceitando.
Busque uma CMP que traga informações ricas.

Uma boa CMP deve oferecer dados detalhados sobre o consentimento dos usuários. Isso inclui relatórios que permitem **entender melhor** como os visitantes interagem com seu aviso de cookies.

Ao usar a [AdOpt CMP] (https://goadopt.io/), você terá acesso a análises que ajudam a otimizar a experiência do usuário e a **adequação às [bases legais LGPD](https://goadopt.io/blog/bases-legais-da-lgpd)**.

### **Dê preferência à CMP que permita personalização dos consentimentos um a um**.

A personalização dos consentimentos é vital, você deve ter a liberdade de ajustar as **preferências de cookies** de cada visitante, permitindo que eles aceitem ou rejeitem categorias específicas, isso não só melhora a **experiência do usuário**, mas também garante o que chamamos de "consentimento de verdade", com a [AdOpt CMP](https://goadopt.io/), você pode implementar essa granularidade facilmente.

## Pense além do seu país.
Se o seu site atende a um público internacional, é **fundamental** considerar a conformidade com legislações de privacidade em diferentes países, como a [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) na Europa, escolher uma CMP com experiência internacional, como a [AdOpt](https://goadopt.io/), garante que você esteja protegido em diversas jurisdições.

## Saiba qual é o tipo de segurança que a plataforma concede aos dados.
A **segurança dos dados** é um aspecto que não pode ser negligenciado. Certifique-se de que a CMP utiliza tecnologias de [registro e armazenamento criptografado dos seus consentimentos](https://goadopt.io/) para proteger as informações dos usuários de forma eficaz. Isso não apenas ajuda na **conformidade com a LGPD**, mas também constrói a confiança dos usuários em seu site.

## Qual é, então, a melhor plataforma de CMP?
A melhor plataforma de CMP é aquela que combina todas essas características: **personalização, segurança, compliance e usabilidade, a [AdOpt](https://goadopt.io/)** se destaca nesse aspecto, oferecendo uma interface intuitiva e suporte 24/7 para garantir que você esteja **sempre** em conformidade.

## Adequando mais de 40.000 sites pelo mundo
A [AdOpt](https://goadopt.io/) já ajudou mais de **40.000 sites em todo o mundo** a se adequarem às legislações de privacidade, garantindo que cada um deles tenha um aviso de cookies eficiente e elegante, ao optar pela AdOpt, você se junta a uma comunidade que valoriza a transparência e o respeito à privacidade do usuário. Esse alcance ganhou outra escala quando a [AdOpt passou a integrar o grupo Axeptio](https://goadopt.io/blog/axeptio-adopt-brazil/).

## Você não está sozinho na adequação à LGPD
Muitos empresários e gestores de sites podem sentir-se sobrecarregados com a adequação à LGPD, porém, é essencial entender que **você não está sozinho** nessa jornada, a [AdOpt CMP](https://goadopt.io/) está aqui para ajudar, oferecendo suporte contínuo e soluções práticas para tornar a conformidade uma parte natural da operação do seu site.

## Trabalhamos 24/7 pela sua adequação
Na [AdOpt](https://goadopt.io/), temos um **compromisso** com nossos clientes: suporte 24/7, isso significa que, a qualquer momento, você pode contar com nossa equipe para resolver dúvidas ou problemas relacionados à **gestão de consentimentos**, esse nível de suporte é fundamental para que você possa focar no que realmente importa: seu negócio.

## Reconhecida no [G2](https://www.g2.com/products/adopt-adopt/reviews) pela facilidade de uso
Reconhecida como uma das plataformas mais fáceis de usar no G2, a [AdOpt](https://goadopt.io/) se destaca pela sua interface **intuitiva e funcionalidades práticas**, com ela, você pode configurar seu aviso de cookies rapidamente e sem complicações, permitindo que seus usuários tenham uma experiência agradável e transparente.

[Instale agora](https://goadopt.io/) e veja como é fácil garantir a conformidade do seu site com a LGPD.
Tecnologia de ponta trabalhando 24/7 pela melhor comunicação.

A tecnologia por trás da [AdOpt](https://goadopt.io/) é de ponta, garantindo que sua comunicação com os usuários seja sempre **clara e eficiente**, com um sistema que permite o [funcionamento aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies) e o armazenamento seguro de dados, você pode ter a certeza de que está fazendo o melhor para seus visitantes.

## Registro e armazenamento criptografado dos seus consentimentos.
Além de garantir a transparência sobre o uso de cookies, a [AdOpt](https://goadopt.io/) utiliza **registros criptografados**, assegurando que os consentimentos dos usuários sejam armazenados de forma segura e acessível, isso não só é uma exigência da LGPD, mas também uma **prática recomendada** para qualquer site que preze pela segurança dos dados dos seus usuários.

## Aviso multilegislações e idiomas
A AdOpt oferece uma solução robusta que se adapta a diversas legislações, permitindo que os usuários configurem seu aviso de cookies de maneira a atender às exigências locais, um exemplo disso é a integração com o **Google Tag Manager (GTM) e o Google Consent Mode**, que facilitam a implementação do aviso de cookies sem complicações.

Isso garante que o site esteja em conformidade com as diretrizes da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) no Brasil e com a GDPR na Europa.

Além disso, a AdOpt CMP é compatível com o **TCF (Transparency & Consent Framework)**, que padroniza como as empresas devem gerenciar o consentimento dos usuários, este framework é essencial para garantir que os dados sejam tratados de forma transparente e em conformidade com as legislações vigentes, adicionalmente, a implementação do **GPC (Global Privacy Control)** e **GPP (Global Privacy Platform)** permite que os usuários tenham controle total sobre suas preferências de privacidade, tornando a experiência ainda mais segura e ajustada às suas necessidades.

Para aqueles que utilizam plataformas populares como Tray e WordPress, a AdOpt oferece plugins que **simplificam** a integração, com apenas alguns cliques, você pode configurar um aviso de cookies que atende às exigências legais de privacidade, e mais, a utilização de callbacks, **webhooks e APIs** proporciona um nível adicional de personalização e automação, permitindo que você gerencie consentimentos de forma eficaz.

Aviso de Cookies seguro e intuitivo
Personalizar o estilo do seu aviso de cookies é uma das **vantagens** que a AdOpt oferece, com uma interface fácil de usar, você pode criar um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** que não apenas cumpre as exigências legais, mas também se alinha à identidade visual do seu site, isso garante que o aviso não seja um obstáculo, mas uma parte integrante da experiência do usuário.

Identificar as tags do seu site é **fundamental para um gerenciamento** eficaz dos consentimentos, a AdOpt facilita esse processo com ferramentas que permitem escanear e categorizar as tags de forma rápida, isso garante que você esteja sempre em conformidade com as **[boas práticas na categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)**, evitando surpresas desagradáveis.

### **Gerenciar indicadores e métricas é outra característica essencial da AdOpt CMP**.

Com **relatórios detalhados**, você pode acompanhar o desempenho do seu aviso de cookies e entender como os usuários estão interagindo com ele, isso permite que você faça ajustes e melhore continuamente a experiência do usuário.

Por fim, criar um aviso de cookies em **7 passos** é uma tarefa simples com a AdOpt, desde a personalização do design até a configuração das preferências de consentimento, cada etapa é intuitiva e **orientada** para que você possa implementar um aviso eficaz e em conformidade com a legislação, para saber mais sobre como implementar essa solução, consulte nosso **[guia orientativo](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)**.

Por que escolher AdOpt?
Ao optar pela AdOpt, você **garante** um aviso de cookies elegante, seguro e rápido, que respeita a privacidade do usuário e a legislação vigente, com suporte **24/7** e uma interface amigável, você pode personalizar seu aviso de cookies de acordo com as necessidades do seu negócio e de seus usuários.

Pronto para começar? **[Instale agora](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo)** e veja a diferença.

FAQ — Perguntas Frequentes
## 1) O que exatamente é uma CMP e por que eu preciso disso?
É a camada que informa, coleta e registra o consentimento do visitante antes que tags e cookies (não necessários) disparem, além de atender à LGPD, uma CMP bem implementada melhora a experiência, avisos claros, escolha fácil, sem “parede da privacidade”.
### A AdOpt segue as exigências legais de primeiro e segundo nível (aceitar/rejeitar, categorias, granularidade).
## 2) A AdOpt atende só LGPD?
Não. A plataforma é multi-idiomas e multi-legislações (ex.: GDPR/Europa, CCPA/Califórnia, entre outras).
## 3) A AdOpt é validada pelo Google e compatível com TCF?
Sim. A AdOpt tornou-se CMP validada pelo [Google CMP Partner](https://cmppartnerprogram.withgoogle.com/) e TCF 2.2.
## 4) Ela integra com Google Consent Mode?
Sim. Há [guias oficializados](https://goadopt.io/blog/guia-google-consent-mode-basico-avancado/) e integração para enviar os consentimentos ao Google (GA4/Ads), garantindo resposta dos serviços de acordo com a escolha do usuário, disponível em todos os planos.
### 5) Como os consentimentos ficam protegidos?
Todos os consentimentos são registrados em banco criptografado, com infraestrutura replicada.
### 6) Dá para personalizar o banner ao visual do meu site?
Sim: cores, posição, formatos e até a imagem do controlador, o objetivo é um aviso elegante e coerente com a sua marca.
### 7) O usuário consegue escolher por categoria/finalidade?
Sim. A AdOpt escaneia e classifica seus scripts, e o segundo nível do banner permite granularidade por categoria/finalidade (consentimento de verdade).
### 8) E quanto ao LocalStorage (não é cookie, né)?
 A AdOpt identifica e descreve também o LocalStorage, aumentando a transparência no dashboard e no aviso.
### 9) A plataforma bloqueia tags até o usuário consentir?
Sim. O bloqueio de terceiros impede o disparo de cookies antes do consentimento, [inclusive com tutorial](https://www.youtube.com/watch?v=lTuAkEwBvhU&t=6s) para GTM (bloqueio automático).
### 10) Existe Portal do Titular (opt-out, solicitações de direitos)?
Sim. Fornecemos a página para requisições; as demandas chegam com segurança ao e-mail do DPO/encarregado de dados.
### 11) Quais relatórios e métricas vou ter?
Relatórios de consentimentos (opt-ins/opt-outs, aceitações por tag/categoria).
### 12) Posso operar múltiplos sites e equipes?
Sim. Gerencie várias organizações, permissões por usuário e tenha auditoria do que é feito na plataforma.
### 13) Existem boas práticas de UX (ex.: “rejeitar” visível)?
Sim, inclusive com opção de botões “Aceitar” e “Rejeitar” com a mesma ênfase/cor, seguindo o princípio de escolha clara.
### 14) O scanner encontra cookies em áreas logadas?
Sim, com o “escâner autenticado” para mapear páginas que pedem login.
### 15) Qual o nível de suporte?
Suporte humano, em português, por chat/ticket, além de playlist de tutoriais.
### 16) A AdOpt é reconhecida pelo mercado (G2)?
Sim, destaque nas avaliações do G2 pela facilidade e performance percebida.
### 17) Qual o impacto em escala?
Mais de 40.000 empresas já estão seguras com a AdOpt, maturidade de produto e operação global. Em escala de mídia, o [case do Grupo NZN](https://goadopt.io/blog/adopt-nzn-case/) mostra milhões de consentimentos coletados por mês nos portais do grupo.
### 18) Há plano gratuito para começar?
Sim. Entregamos adequação desde o plano grátis e evolui conforme a sua necessidade.
### 19) Como fica a renovação de consentimento/validade?
Você pode ajustar a validade do cookie da AdOpt (ex.: forçar novo consentimento após X dias) útil para novas tags e mudanças frequentes.
### 20) Consigo versionar Política de Privacidade/Termos e auditar mudanças?
Sim. Há controle de versão e seção de Auditoria.

## Mais que um CMP: Um Parceiro de Confiança
A escolha de uma Plataforma de Gestão de Consentimentos vai além de apenas exibir um banner de cookies. Trata-se de construir uma relação de transparência com seus usuários e garantir a tranquilidade jurídica para o seu negócio.
A AdOpt foi desenhada para cuidar de toda a complexidade técnica e legal, permitindo que você foque no que realmente importa: crescer.

Com a confiança de milhares de empresas, validação oficial do Google e o reconhecimento do G2 pela nossa facilidade de uso, sua jornada para a conformidade total está a apenas um clique de distância.

Comece gratuitamente e junte-se aos mais de 40.000 sites que já estão em conformidade.

**[Experimente a AdOpt agora](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo)**



AdOpt CMP: Consent Management Platform

Inteligência Artificial e LGPD: tudo o que você precisa saber

A forma como a privacidade e o uso de cookies são geridos deixou de ser um detalhe técnico ou uma exigência “apenas do jurídico”.

 

Em marketplaces, políticas de privacidade e avisos de cookies passaram a fazer parte da experiência do usuário e da responsabilidade de quem vende pela internet.

 

Plataformas como a **[VTEX](https://vtex.com/pt-br/)** oferecem uma base tecnológica robusta para operar e escalar negócios digitais, mas quando o assunto é **LGPD**, a pergunta que realmente importa não é se a "plataforma é segura", e sim quem controla os dados e quem responde por eles.

 

Pensando em você dono de loja que vende pela internet, gestor de e-commerce ou mesmo DPO de e-commerce, fizemos um resumo do que você precisa saber para estar em conformidade com as leis de privacidade para o seu negócio.

 
 

## O que é Marketplace?

Um marketplace é uma plataforma que conecta compradores e vendedores, permitindo que transações comerciais ocorram de modo mais prático e escalável.
 
Dentro desse contexto, a **LGPD (Lei Geral de Proteção de Dados)** se torna fundamental, pois garante que os dados pessoais dos usuários sejam tratados de modo seguro, transparente e com finalidades legítimas. 
 
Saiba mais sobre a LGPD em nosso guia completo: [O que é LGPD e como ela afeta o e-commerce](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/).
 
A VTEX atende às leis de proteção de dados de diversos países, tomando a **GDPR** como referência global para suas práticas de privacidade. 
 
Veja sobre o [Aviso de Privacidade Geral da VTEX aqui](https://vtexwpprd.wpenginepowered.com/en-us/wp-content/uploads/sites/2/2025/12/VTEX-General_External_Privacy_Notice-PT-V2.pdf).
 
É essencial que e-commerces e marketplaces, como os que operam na VTEX, implementem medidas adequadas para proteger essas informações, respeitando os princípios da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/).

---

## Entenda o modelo Marketplace VTEX

A VTEX é uma plataforma robusta que permite que empresas criem e gerenciem seus e-commerces de forma eficiente, além de oferecer recursos específicos para operação de marketplaces.
 
A plataforma disponibiliza infraestrutura, segurança e ferramentas que auxiliam na criação da sua loja online, mas não assume o papel de controladora dos dados.
 
A VTEX deixa claro em seu **Data Processing Addendum (DPA)** que atua como operadora de dados, processando informações pessoais apenas conforme instruções do lojista.

 

Fonte: [VTEX – Data Processing Addendum (DPA)](https://vtex.com/wp-content/uploads/2022/07/VTEX-Data-Processing-Addendum-DPA-USA-version.docx-1.pdf) – Cláusula 2.3 (iii)

---

## Quem é quem na LGPD: os papéis de proteção de dados em marketplaces

Na LGPD, existem dois papéis centrais no tratamento de dados pessoais: **Controlador** e **Operador**.
 

- **Controlador:** decide como e por que os dados pessoais serão tratados.
 

- **Operador:** realiza o tratamento de dados em nome do controlador, seguindo suas instruções.
 
"No modelo de marketplace da VTEX, o lojista atua como **Controlador**, enquanto a VTEX atua como **Operadora** dos dados."
 

Fonte: [VTEX – Data Processing Addendum (DPA)](https://vtex.com/wp-content/uploads/2022/07/VTEX-Data-Processing-Addendum-DPA-USA-version.docx-1.pdf) – Cláusula 2.1

 

É essencial que ambos compreendam claramente suas responsabilidades para garantir a segurança dos dados e a conformidade legal. 

 

Para aprofundar o tema, veja: [Diferença entre controlador e operador de dados](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd)

---
 

## Modelo de Responsabilidade Compartilhada: onde termina o dever da VTEX e começa o seu?

A responsabilidade compartilhada entre a VTEX e os lojistas é um dos pilares da conformidade com a LGPD.
 
Enquanto a VTEX fornece a infraestrutura e ferramentas necessárias, o lojista é responsável por implementar práticas de privacidade, como a criação de um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies) claro e acessível além das políticas de privacidade e cookies.
 
Isso inclui práticas como:

- definição da base legal
- transparência com o usuário
- gestão de cookies e consentimentos
 
O próprio DPA da VTEX reforça esse ponto:
 
Fonte: [VTEX – Data Processing Addendum (DPA)](https://vtexwpprd.wpenginepowered.com/en-us/wp-content/uploads/sites/2/2025/05/VTEX-Data-Processing-Addendum-DPA-Brazil-version.docx-2.pdf) – Cláusula 2.2
 

**Entender esses limites é fundamental para reduzir riscos jurídicos e proteger os dados dos consumidores.**

 

---

## O papel da VTEX como Operadora: o que a plataforma garante nativamente?

Como operadora, a VTEX garante que os dados pessoais tratados em sua plataforma sejam protegidos por meio de medidas técnicas e organizacionais adequadas.
 
Isso inclui:

- criptografia
- controle de acesso
- proteção da infraestrutura
- disponibilidade e integridade dos dados
 
Além disso, a VTEX oferece recursos de apoio à conformidade, como o **Portal do Titular** e relatórios relacionados ao tratamento de dados.
 
Porém, a VTEX **não fornece nativamente um aviso de cookies configurável ou uma gestão completa de consentimento** para os sites que fazem parte do seu ecossistema.

 

---

## O papel do Lojista (Controlador): suas obrigações de privacidade ao usar VTEX

Se você utiliza a plataforma VTEX, você tem obrigações diretas sob a LGPD.
 
Os lojistas devem garantir que a coleta e o tratamento de dados pessoais ocorram conforme as [bases legais](https://goadopt.io/blog/bases-legais-da-lgpd) previstas em lei.
 
Isso inclui:

- informar claramente o usuário sobre o uso de dados
- disponibilizar uma política de privacidade atualizada
- implementar um aviso de cookies adequado
- respeitar os direitos do titular
 

Para saber mais, consulte o [guia orientativo da ANPD](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)

 

---

## DPA da VTEX explicado: o que diz o Adendo de Processamento de Dados

O **Data Processing Addendum (DPA)** da VTEX define formalmente as responsabilidades da plataforma e dos lojistas em relação à proteção de dados pessoais.
 
Esse documento é essencial para garantir que todos os processos estejam alinhados com a LGPD e outras legisções globais de privacidade.
 
Entre os pontos mais relevantes, o DPA estabelece que a VTEX não utilizará dados pessoais para fins próprios, apenas conforme instruções documentadas do lojista.
 
Fonte: [VTEX – Data Processing Addendum (DPA)](https://vtexwpprd.wpenginepowered.com/en-us/wp-content/uploads/sites/2/2025/05/VTEX-Data-Processing-Addendum-DPA-Brazil-version.docx-2.pdf) – Cláusula 2.3 (iv)_

---

## Passo a passo: como adequar seu Marketplace VTEX à LGPD e gerenciar consentimento

Para garantir a conformidade com a LGPD no seu marketplace VTEX, siga estas etapas:
 

1. **Revise suas políticas de privacidade** 
 - Garanta que estejam atualizadas e claras para o usuário.
 

2. **Configure um aviso de cookies** 
 - Utilize um [aviso de cookies](https://goadopt.io/blog/banner-de-cookies) que informe corretamente e registre o consentimento.
 

3. **Ative o Portal do Titular** 
 - Facilite o exercício dos direitos previstos na LGPD.
 

4. **Eduque sua equipe** 
 - Privacidade também é cultura organizacional.
 

5. **Monitore e audite continuamente** 
 - Revise práticas e ferramentas de forma recorrente.

 

Para entender como escolher a melhor solução para gestão de consentimento, [leia em nosso artigo](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) e para ficar mais fácil e rápido, [agende uma reunião com nosso especialista](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo?utm_source=blog&utm_medium=marktpetplacevtex).

---

Marketplace VTEX e LGPD: Como funciona a adequação e proteção de dados

Monetizar com o Google AdSense exige mais do que apenas gerar tráfego nas suas campanhas de **[marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

Afinal, se não fossem os **criadores de conteúdo**, não teríamos internet, no entanto, o processo não se resume a apenas colar um código e esperar o dinheiro cair.

Para que essa engrenagem rode, ocorre o tratamento de dados pessoais. O Google utiliza tecnologias como **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** de terceiros para coletar informações e mostrar anúncios personalizados. No Brasil e na Europa, essa operação deve obedecer rigorosamente à **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)** e à **GDPR**.

Monetização sem **estrutura de privacidade** é um risco triplo: jurídico, contratual e reputacional. O Google suspende permanentemente contas que violam as suas políticas, e **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** pode gerar **[multas](https://goadopt.io/blog/multas-na-lgpd/)** severas.

A pergunta não é se você **pode** usar o AdSense, a pergunta é: **você está jogando dentro das regras e garantindo noites de sono tranquilas com a sua operação?**

---

## 1. A Responsabilidade é Sua (O Google Exige Isso)

Ao usar o AdSense, você aceita as *Políticas para Editores do Google*. Elas são claras: você é obrigado a ter uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** transparente que divulgue que terceiros podem inserir e ler cookies no navegador dos seus utilizadores.

Perante a lei, ao decidir monetizar o seu site, você assume o papel de **[controlador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)** desses dados. Não adianta terceirizar a culpa ou simplesmente copiar **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)** genéricos da internet. A adequação não é só coisa de advogado, é a base da sua monetização.

---

## 2. O Que Você Não Pode Fazer (Linhas Vermelhas)

Tanto o Google quanto às **[bases legais da LGPD](https://goadopt.io/blog/bases-legais-da-lgpd/)** traçam limites claros. Para manter a sua conta ativa e rodando sem sustos, evite falhas nos seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**:

- **Violar a Privacidade:** Rastrear utilizadores sem **[consentimento](https://goadopt.io/blog/consentimento-site-lgpd/)** explícito.
- **Conteúdo Proibido:** Tentar monetizar páginas com discurso de ódio, pirataria ou conteúdo sexualmente explícito.
- **Gerar Cliques Artificiais:** Clicar nos próprios anúncios ou usar robôs para inflar impressões. Tentar **[apagar cookies](https://goadopt.io/blog/apagar-cookies-cache-navegador)** repetidamente para simular novas visitas resulta em banimento imediato.

---

## 3. O "Banner de Cookies" que Funciona de Verdade

Para estar seguro, o seu site precisa de gestão técnica real, aplicando o conceito de **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**. Ter apenas uma **[política de privacidade ideal](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)** escondida numa página não serve de nada. E não é porque é lei que tem de ser feio, quadrado ou formal.

Para compreender o verdadeiro **[significado da LGPD](https://goadopt.io/blog/significado-da-lgpd/)**, o seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** precisa garantir:

1. **Bloqueio Prévio (Zero Cookies):** Os scripts do AdSense não devem carregar antes do clique de aceite.
2. **Escolha Real:** O utilizador não deve ser forçado. Ele precisa de ter a opção de aceitar ou rejeitar de forma clara num **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** funcional.
3. **Design Equilibrado:** Tentar enganar o utilizador disfarçando o botão de rejeitar é infração grave.

---

## 4. Google Consent Mode v2: A Peça Chave

Muitos *publishers* temem perder receita ao pedir consentimento. É aqui que entra o **Google Consent Mode v2**.

Esta ferramenta ajusta o comportamento das tags consoante a escolha do utilizador. Se o visitante recusa os cookies, o Google utiliza modelagem de dados para recuperar métricas de forma anónima, sem violar a lei.

Para que isto funcione, o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** precisa garantir que a **[categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)** do site está perfeitamente alinhada com o seu **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)**.

---

## 5. Cenários Específicos: Arbitragem e Agências

Diferentes modelos de negócio exigem cuidados específicos com o AdSense:

### Para Arbitragem de Mídia (Compra de Tráfego)
Se você compra tráfego barato para monetizar com AdSense, o cuidado é dobrar! O Google monitoriza ferozmente a qualidade desse tráfego. Sem um banner de consentimento válido, o tráfego pode ser classificado como "inválido", levando à retenção do seu pagamento.

### Para Agências
Se você é uma **[agência de marketing](https://goadopt.io/blog/lgpd-oportunidade-agencia-marketing-digital/)** e gere contas AdSense para terceiros, garantir a conformidade dos sites dos seus clientes é uma responsabilidade sua. Um site bloqueado por falta de adequação mancha a reputação da agência.

---

## 6. Por que usar uma CMP Certificada?

O Google exige que *publishers* que operam em zonas reguladas utilizem uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)** certificada. Seguindo qualquer **[guia orientativo](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)** atual, esta é a única forma de operar com segurança.

Uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** certificada garante:

- Integração nativa com o **Google Consent Mode v2**;
- Bloqueio automático de scripts antes do consentimento;
- Registo legal válido de quem aceitou os termos.

Nós ensinamos a adequar a sua empresa de verdade, não a dar um "jeitinho". Ferramentas gratuitas que não bloqueiam scripts colocam a sua conta em risco de "Ad Serving Limited" (limitação de anúncios).

---

## FAQ: Respostas Rápidas

**1. Preciso de consentimento para usar o AdSense no Brasil?**
**Sim.** A LGPD exige base legal. Como o AdSense usa rastreamento via cookies de terceiros, o consentimento prévio é a via exigida pela lei e pelo Google.
 

**2. O banner pode liberar os anúncios automaticamente se o utilizador rolar a página?**
**Depende.** Em caso de personalização do banner e retargeting, SIM. Logo, o consentimento deve ser uma ação afirmativa e prévia. Liberar scripts antes do "Aceitar" viola frontalmente as regras.

Contudo, se você conseguir amarrar tudo muito bem em sua política de privacidade e no setup do ADSense - que os anúncios veiculados ANTES do aceite não tenham absolutamente NENHUMA segmentação, ou como o mercado chama: "Anúncios de mar aberto", aqui temos uma boa oportunidade para não prejudicar o Publisher atraíndo risco para a sua operação.

Pois, tais anúncios poderiam se embasar na Base Legal do Legítimo interesse e não no consentimento.

O mesmo poderia acontecer em áreas logadas aonde teríamos a base legal da "execução de contratos" (termos de uso) permitindo que a publicidade seja personalizada e veiculada livremente neste ambiente, desde que muito bem amarrada em suas políticas e termos.
 

**3. Posso clicar nos meus próprios anúncios do AdSense?**
**Não.** O sistema do Google é implacável com fraudes. Clicar nos próprios anúncios gera suspensão permanente por tráfego inválido.
 

**4. A falta de consentimento gera bloqueio da conta?**
**Sim.** O Google pode limitar a exibição de anúncios em sites que não apresentam mecanismos de transparência adequados ou suspender a monetização.
 

---

## Transforme Consentimento em Estratégia

Se você usa dados para monetizar, precisa de governança. O consentimento válido não é apenas uma trava burocrática; é o selo de qualidade que garante que o seu inventário de anúncios seja seguro e "premium". O consentimento não é a solução para tudo, mas é um excelente começo.

A AdOpt é uma CMP certificada que ajuda a alinhar monetização, conformidade legal e performance. Você foca em crescer o seu negócio, nós cuidamos dos cookies.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**

Política AdSense: Guia Completo de Conformidade para Editores em 2026

Monetizar com o Google AdSense é um processo inteligente em tempo real que conecta anúncios ao seu conteúdo.

Afinal, se não fossem os **criadores de conteúdo**, não teríamos internet, no entanto, o processo não se resume a apenas **"se tem AdSense vou estar ganhando dinheiro"**.

Para que essa engrenagem rode, ocorre o tratamento de dados pessoais. O Google utiliza tecnologias como **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** e *pixels* da Web para coletar informações.

No Brasil, essa operação deve obedecer rigorosamente à **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)**.

Monetização sem **estrutura de privacidade** é um risco triplo: jurídico, contratual e reputacional.

O Google pode suspender contas que violem suas [políticas](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/), e a LGPD prevê [multas](https://goadopt.io/blog/multas-na-lgpd/) que pode sao de 2% por infracao sobre o faturamento anual da empresa.

A pergunta não é se você **pode** usar o AdSense, a pergunta é: **você está jogando dentro das regras e garantindo noites de sono tranquilas com a sua operação?**

---

## 1. A Responsabilidade é Sua (O Google Exige Isso)

Ao usar o AdSense, você aceita as *Políticas para Editores do Google*. Elas são claras: você é obrigado a ter uma **[Política de Privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** que divulgue que terceiros (como o Google) podem inserir e ler cookies no navegador dos seus usuários.

Pela LGPD, ao decidir monetizar seu site e permitir essa coleta, você assume o papel de **[Controlador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)**. Não adianta terceirizar a culpa para a ferramenta. Se você coleta dados para oferta de bens, serviços ou analisar o comportamento de indivíduos no Brasil, a lei se aplica a você. E lembre-se: a adequação não é só coisa de advogado.

---

## 2. O Que Você Não Pode Fazer (Linhas Vermelhas)

Tanto a lei quanto as políticas do Google traçam limites claros. Para manter sua conta ativa e rodando sem sustos, evite:

- **Violar a Privacidade:** Coletar dados que identifiquem usuários pessoalmente sem aviso e [consentimento](https://goadopt.io/blog/site-precisa-consentimento-lgpd/) explícito.
- **Segmentar Dados Sensíveis:** As políticas do Google proíbem estritamente publicidade personalizada baseada em saúde, raça, religião, afiliação política ou orientação sexual.
- **Gerar Cliques Artificiais:** Clicar nos próprios anúncios ou usar robôs para inflar impressões.

---

## 3. O "[Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/)" que Funciona de Verdade

Para estar seguro, seu site precisa de gestão técnica real. Um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** que só enfeita a tela não serve para nada. Além disso, não é porque é lei que tem que ser feio, quadrado ou formal.

Para ser válido perante o Google e a LGPD sem ferir o design do seu site, o [banner](https://goadopt.io/blog/banner-de-cookies/) precisa ter:

1.  **Escolha Real e Granular:** O usuário não deve ser forçado a "Aceitar Tudo". Ele precisa ter a opção de escolher categorias ([Marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/), Estatística, etc.).
2.  **Bloqueio Prévio (Zero Cookies):** Scripts de publicidade não devem carregar antes do clique de aceite.
3.  **Design Equilibrado:** Botões de "Aceitar" e "Rejeitar" devem ter o mesmo destaque visual. Tentar enganar o usuário (Dark Patterns) é infração.
4.  **Revogação Fácil:** O usuário deve conseguir mudar de ideia a qualquer momento, de forma simples e acessível.

---

## 4. Google Consent Mode v2: A Peça Chave

Muitos *publishers* temem perder receita ao pedir consentimento. É aqui que entra o **Google Consent Mode**.

Essa ferramenta ajusta o comportamento das [tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) do Google (Analytics e Ads) com base no status de consentimento do usuário.

- **Se o usuário aceita:** O AdSense funciona normalmente, com personalização total.
- **Se o usuário recusa:** O Google usa modelagem de dados para recuperar parte das conversões e métricas sem usar cookies invasivos.

Integrar o Consent Mode com uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) Certificada pelo Google** (como a AdOpt) é essencial para manter a inteligência das suas campanhas sem violar a lei.

---

## 5. Cenários Específicos: E-commerce, Arbitragem e Blogs

Diferentes modelos de negócio exigem cuidados específicos com o AdSense:

### Para [E-commerce](https://goadopt.io/blog/impacto-ecommerce-lgpd/)
Lojas virtuais usam AdSense e Remarketing intensamente. A LGPD exige que o consentimento seja obtido *antes* de ativar tags de remarketing. Sem isso, você corre o risco de "sujar" sua base de leads com dados ilegais, o que inviabiliza campanhas futuras.

### Para Arbitragem de Mídia (Compra de Tráfego)
Se você compra tráfego barato para monetizar com AdSense, cuidado redobrado! O Google monitora ferozmente a qualidade desse tráfego. Se o seu site não tiver um banner de consentimento claro e política de privacidade robusta, o Google pode classificar seu tráfego como "inválido" ou de baixa qualidade, levando à retenção de pagamentos ou banimento.

### Newsletters e Captação de Leads
Ao capturar e-mails, o consentimento para marketing deve ser explícito. Não use caixas de seleção pré-marcadas. Alinhe a coleta de leads com sua política de privacidade para manter um bom RPM sem sacrificar a confiança do usuário.

---

## 6. Por que usar uma CMP Certificada?

O Google agora exige que *publishers* que servem anúncios para a Europa (e recomenda fortemente para o Brasil devido à LGPD) usem uma **CMP ([Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)) Certificada**.

Uma CMP Certificada garante:

- Integração nativa com o **Google Consent Mode v2**;
- Transparência nos padrões da IAB (Transparency and Consent Framework);
- Bloqueio automático de scripts antes do consentimento.

Usar plugins gratuitos não certificados é o famoso "jeitinho" que pode colocar sua conta em risco de "Ad Serving Limited" (limitação de anúncios). Nós ensinamos a adequar sua empresa de verdade, não a dar um jeitinho.

---

## FAQ: Respostas Rápidas

**1. Preciso de consentimento para AdSense no Brasil?**
**Sim.** A LGPD exige base legal. Para rastreamento via cookies, o consentimento é a via mais segura, ética e exigida pelo Google.

**2. O banner pode liberar os anúncios automaticamente?**
**Jamais.** O consentimento deve ser prévio. Liberar scripts antes da ação ativa do usuário viola frontalmente a LGPD.

**3. Posso segmentar anúncios por saúde ou religião?**
**Não.** As políticas do Google proíbem estritamente personalização baseada em categorias sensíveis.

**4. A falta de consentimento gera bloqueio?**
**Sim.** O Google pode limitar a exibição de anúncios (limit ad serving) em sites que não apresentam mecanismos de transparência e escolha adequados.

---

## Transforme Consentimento em Estratégia

Se você usa dados para monetizar, precisa de governança. O consentimento válido não é apenas uma trava burocrática; é o selo de qualidade que garante que seu inventário de anúncios seja considerado "premium" e seguro pelos anunciantes. O consentimento não é a solução para tudo, mas é um excelente começo.

A AdOpt é uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) certificada que ajuda você a alinhar monetização, LGPD e performance. Você foca em crescer o seu negócio, nós cuidamos dos cookies.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**



Consentimento ADSense: Guia de Adequação à LGPD e às Políticas do Google

A Florida Digital Bill of Rights (FDBR, §§ 501.701 a 501.721), em vigor desde 1º de julho de 2024, tem exigências específicas para como esses rastreadores operam e o que precisa estar documentado sobre eles.

Esta página cobre uma parte do quadro. Para o escopo completo da FDBR — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da FDBR e cookies](https://goadopt.io/blog/fdbr-florida-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo foca exclusivamente no que a FDBR exige da Política de Cookies: o que o documento precisa conter, como o consentimento de rastreadores precisa funcionar, e o que os direitos específicos da lei implicam para a sua estratégia de cookies.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é o elemento visual de consentimento. É o que o visitante vê ao acessar o site pela primeira vez. Precisa ser claro, oferecer opções reais, bloquear rastreadores não essenciais antes que disparem, e não usar dark patterns.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia que opera no site: o que coleta, para que serve, com quem os dados são compartilhados, e por quanto tempo ficam armazenados.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por meio de um link claro no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a FDBR exige especificamente para cookies

### Finalidade específica para cada categoria

O § 501.71(2)(a) proíbe o processamento de dados para finalidades incompatíveis com as declaradas. E o § 501.711(1)(b) exige que a finalidade do processamento esteja no aviso de privacidade.

Para cookies, isso significa que cada categoria precisa ter uma descrição de finalidade específica, não genérica.

O que não funciona: "cookies para melhorar sua experiência". Não é uma finalidade. É uma descrição vaga que não protege a empresa.

O que funciona:

"Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, duração de sessões e origem do tráfego. Utilizados para identificar oportunidades de melhoria de conteúdo e priorizar correções de usabilidade."

"Cookies de publicidade: coletam dados comportamentais em sites afiliados e não afiliados ao longo do tempo para construir perfis de interesse e exibir anúncios personalizados. Incluem pixels de plataformas como Meta Ads, Google Ads e DSPs programáticas."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores que operam no site com descrição do que cada uma faz. As principais:

**Cookies necessários:** essenciais para funcionamento básico. Autenticação, segurança de sessão. Não precisam de consentimento, mas precisam ser documentados.

**Cookies de analytics:** medem comportamento de navegação. Geralmente precisam de consentimento porque coletam dados que podem identificar o usuário por cruzamento de informações.

**Cookies de publicidade:** alimentam pixels de anúncio, constroem perfis comportamentais, habilitam retargeting. Precisam de consentimento explícito e divulgação específica obrigatória pela FDBR.

**Cookies funcionais:** lembram preferências do usuário. Podem precisar de consentimento dependendo da natureza dos dados.

**Cookies de terceiros:** disparados por serviços externos integrados ao site. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão.

### Publicidade segmentada: a definição mais ampla da FDBR

A FDBR define publicidade segmentada (§ 501.702(33)) como anúncios baseados em dados de atividades do consumidor ao longo do tempo em sites **afiliados ou não afiliados**.

Esse é um ponto de diferença importante. A VCDPA da Virgínia, por exemplo, cobre apenas sites não afiliados. A FDBR inclui os afiliados, o que significa que mesmo rastreadores que operam dentro do ecossistema de empresas do mesmo grupo podem configurar publicidade segmentada sob a FDBR.

O § 501.711(4) exige divulgação clara e conspícua de qualquer venda de dados ou processamento para publicidade segmentada, junto com o mecanismo de opt-out. Isso precisa estar na Política de Cookies.

### Venda de dados: inclui contrapartida não monetária

O § 501.702(29) define venda de dados como compartilhamento, divulgação ou transferência por contrapartida monetária **ou outra contrapartida valiosa**.

Isso é mais amplo do que a VCDPA, que menciona apenas contrapartida monetária. Uma empresa que troca dados de usuários com parceiros em troca de serviços, tecnologia ou outros benefícios pode estar realizando "venda" sob a FDBR. A Política de Cookies precisa avaliar se as integrações do site configuram essa definição.

### Categorias de dados compartilhados com terceiros via cookies

O § 501.711(1)(d) e (e) exigem que o aviso de privacidade informe quais categorias de dados são compartilhadas com terceiros e quais categorias de terceiros as recebem.

Para cookies, isso se traduz em:

Se o Meta Pixel transfere dados comportamentais para a Meta, isso precisa estar documentado.

Se o Google Analytics envia dados de sessão para o Google, precisa estar declarado.

Se ferramentas de CRM recebem dados de navegação, precisam ser identificadas.

Cada fluxo de dados que sai do ambiente do controlador via cookie precisa estar categorizado.

### Período de retenção: o limite de 2 anos

O § 501.719(3) exige a adoção de cronograma de retenção que proíba o uso ou a retenção de dados após a finalidade inicial, o término do contrato, ou **2 anos após a última interação do consumidor**.

Para cookies, a Política precisa documentar:

Por quanto tempo cada categoria de cookie fica ativa no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos sistemas da empresa.

Como e quando os dados são excluídos respeitando o limite de 2 anos.

### O mecanismo de opt-out de dados sensíveis via cookies

A FDBR tem um direito que não existe em outras leis estaduais: o consumidor pode exercer opt-out da **coleta de dados sensíveis** (§ 501.705(2)(f)), incluindo geolocalização precisa.

Se o site coleta dados de geolocalização precisa (dentro de 1.750 pés) via cookies ou scripts de localização, isso é dado sensível sob a FDBR (§ 501.702(31)(d)). O consumidor tem o direito de recusar essa coleta, e o mecanismo de opt-out precisa estar acessível na Política de Cookies.

### O opt-out de reconhecimento de voz e facial

O sétimo direito da FDBR (§ 501.705(2)(g)) garante ao consumidor o opt-out da coleta de dados via recursos de reconhecimento de voz ou facial.

Se o site usa qualquer tecnologia de reconhecimento de voz (chat de voz, comandos por áudio) ou reconhecimento facial (verificação de identidade, filtros de câmera), a Política de Cookies precisa mencionar essas tecnologias, para que servem, e como o consumidor pode exercer o opt-out.

## O que é consentimento válido para cookies sob a FDBR

O § 501.702(7) define consentimento como um ato afirmativo claro que signifique concordância livre, específica, informada e inequívoca.

O padrão correto: cookies não essenciais desligados por padrão. O usuário escolhe o que ativa, não o que desativa.

O que não é consentimento válido:

Aceitar termos gerais que contenham descrições de cookies junto a outras condições.

Passar o mouse sobre ou fechar um banner.

Qualquer concordância obtida por dark patterns.

### Dark patterns proibidos pela FDBR

Dark patterns são definidos no § 501.702(11) como interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, a tomada de decisão ou a escolha do usuário, incluindo qualquer prática que a FTC classifique como dark pattern.

No contexto de cookies, os padrões mais comuns que a FDBR invalida:

Botão de "aceitar tudo" em destaque com o de recusar difícil de encontrar.

Cookies não essenciais ativados por padrão.

Linguagem confusa nas opções de escolha.

Cookie walls bloqueando conteúdo até aceitar todos os cookies.

Banners que reaparecem repetidamente até o usuário aceitar.

## Proteção especial para dados de crianças via cookies

A FDBR define "criança conhecida" como qualquer indivíduo menor de **18 anos** sobre cuja idade o controlador tem conhecimento real ou deliberadamente desconsidera (§ 501.702(17)).

Esse é um limiar muito mais alto do que o de outras leis americanas. Para crianças conhecidas:

Entre 13 e 18 anos: é necessária autorização afirmativa delas para processar dados sensíveis (§ 501.71(2)(d)).

Menores de 13: aplica-se a COPPA.

Se o site pode ter usuários menores de 18 anos que o controlador conhece, a Política de Cookies precisa descrever como esses dados são tratados de forma diferenciada, incluindo a proibição de uso de dark patterns para obter dados além do necessário (§ 501.1735(2)(g) para plataformas online predominantemente acessadas por crianças).

A proibição de dark patterns em contextos infantis é acompanhada de penalidades significativamente mais altas: as multas da FDBR por violações envolvendo crianças conhecidas são **triplicadas** automaticamente (§ 501.72(1)(a)).

## Dois ou mais canais para opt-out: exigência exclusiva da FDBR

O § 501.709 exige que o controlador estabeleça **dois ou mais métodos** para que os consumidores submetam solicitações. Isso inclui solicitações de opt-out.

A Política de Cookies precisa descrever pelo menos dois canais pelos quais o consumidor pode exercer o opt-out de publicidade segmentada, venda de dados, dados sensíveis e reconhecimento de voz/facial.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) integrada ao site pode ser um desses canais. O formulário de DSAR no site pode ser outro.

## Quando atualizar a Política de Cookies

O § 501.711(1) exige atualização **pelo menos anualmente**. Além da revisão anual obrigatória, situações que exigem atualização imediata incluem:

Adição de novo pixel de publicidade.

Nova ferramenta de analytics, heatmap ou gravação de sessão.

Novo plugin de chat, suporte ou engajamento.

Nova integração com CRM ou plataforma de e-mail.

Qualquer tecnologia nova que colete dados de voz, vídeo ou localização.

Parceiros novos que recebam dados comportamentais.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém essa sincronia entre o inventário de ferramentas e a Política de Cookies.

## Fiscalização: penalidades altas e triplicáveis

As violações de requisitos de cookies sob a FDBR são tratadas como prática comercial desleal, com penalidades de até **US$ 50.000 por violação** (§ 501.72).

As penalidades são triplicáveis (chegando a US$ 150.000 por violação) quando:

A violação envolve uma criança floridana conhecida.

A empresa continua a vender ou compartilhar dados após o consumidor exercer o opt-out.

Há falha em excluir dados após solicitação autenticada.

O cure period de 45 dias é discricionário e não se aplica a violações envolvendo crianças.

## Como a AdOpt ajuda com a Política de Cookies sob a FDBR

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opções reais de escolha sem dark patterns, e documenta cada interação para auditoria.

O sistema suporta a configuração dos opt-outs específicos da FDBR, incluindo dados sensíveis e reconhecimento de voz/facial.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a FDBR? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a FDBR

**Link visível** no rodapé e no próprio banner de cookies.

**Listagem de categorias de cookies** com descrição do que cada uma faz.

**Finalidade específica para cada categoria**, sem descrições vagas (§ 501.711(1)(b)).

**Divulgação de publicidade segmentada**, incluindo sites afiliados (§ 501.702(33)), com opt-out acessível (§ 501.711(4)).

**Venda de dados**: declaração se ocorre, incluindo contrapartida não monetária (§ 501.702(29)).

**Aviso de venda de dados sensíveis** se aplicável (§ 501.711(2)).

**Aviso de venda de dados biométricos** se aplicável (§ 501.711(3)).

**Categorias de dados compartilhados com terceiros** via cookies (§ 501.711(1)(d)).

**Categorias de terceiros** que recebem dados via cookies (§ 501.711(1)(e)).

**Opt-out de dados sensíveis e geolocalização** precisamente descritos (§ 501.705(2)(f)).

**Opt-out de reconhecimento de voz e facial** descritos (§ 501.705(2)(g)).

**Período de retenção** de cada categoria, com o limite de 2 anos (§ 501.719(3)).

**Cookies não essenciais desativados por padrão**, sem dark patterns (§ 501.702(11)).

**Proteção especial para crianças conhecidas** menores de 18 anos (§ 501.702(17)).

**Dois ou mais canais** de submissão de solicitações descritos (§ 501.709).

**Idioma acessível**, sem juridiquês.

**Ausência de cookie wall**.

**Atualização pelo menos anual** do documento.

## FAQ: FDBR e Política de Cookies

**1. A FDBR exige um documento separado chamado "Política de Cookies"?**
Não pelo nome. Os requisitos de divulgação de rastreadores estão distribuídos entre o aviso de privacidade (§ 501.711) e as obrigações específicas do controlador (§ 501.71). Uma Política de Cookies dedicada é a forma mais organizada de atender a todos esses requisitos em formato acessível para o usuário.

**2. A definição de publicidade segmentada da FDBR é diferente das outras leis?**
Sim. A FDBR (§ 501.702(33)) inclui anúncios baseados em dados de atividades em sites afiliados ou não afiliados, enquanto a VCDPA, por exemplo, cobre apenas não afiliados. Isso amplia o escopo das práticas de publicidade que requerem divulgação e opt-out. Uma campanha de retargeting dentro do ecossistema de empresas do mesmo grupo pode configurar publicidade segmentada sob a FDBR.

**3. O que muda nos cookies quando o usuário é uma criança conhecida menor de 18 anos?**
Para crianças conhecidas entre 13 e 18 anos, é necessária autorização afirmativa delas para processar dados sensíveis (§ 501.71(2)(d)). Para menores de 13, aplica-se a COPPA. O controlador que deliberadamente desconsidera a idade do usuário é tratado como tendo conhecimento real dela (§ 501.702(17)). As penalidades por violações envolvendo crianças conhecidas são triplicadas automaticamente.

**4. A FDBR exige opt-out de geolocalização via cookies?**
Sim. Dados de geolocalização precisa são dados sensíveis sob a FDBR (§ 501.702(31)(d)). O consumidor tem o direito de opt-out da coleta de dados sensíveis (§ 501.705(2)(f)). Se o site usa scripts de geolocalização que identificam a localização do usuário dentro de um raio de 1.750 pés, o opt-out desse rastreamento precisa estar disponível e descrito na Política de Cookies.

**5. Quais são as penalidades específicas relacionadas a cookies sob a FDBR?**
A FDBR não diferencia tipos de violação para fins de penalidade base: todas as violações podem resultar em até US$ 50.000 por violação (§ 501.72(1)). As penalidades são triplicáveis para violações envolvendo crianças conhecidas, continuação de compartilhamento ou venda de dados após opt-out do consumidor, e falha em excluir dados após solicitação autenticada. Um cookie que continua rastreando após opt-out pode resultar em penalidade triplicada por cada consumidor afetado.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a FDBR? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Florida FDBR: Política de Cookies

O California Consumer Privacy Act (CCPA), conforme emendado pelo California Privacy Rights Act (CPRA) e codificado no Cal. Civ. Code § 1798.100 et seq., exige que o aviso de privacidade seja atualizado a cada 12 meses e contenha listas específicas do que foi coletado, vendido, compartilhado e divulgado no ano anterior.

Esta página cobre uma parte do quadro. Para o escopo completo da CCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CCPA e cookies](https://goadopt.io/blog/ccpa-california-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo foca exclusivamente no que a CCPA/CPRA exige da sua Política de Privacidade, com base no texto oficial da lei.

## A CPRA mudou o que a CCPA exige da Política de Privacidade?

Sim, de forma importante. A CPRA (Proposição 24, vigente desde janeiro de 2023) expandiu as obrigações de transparência do aviso de privacidade em três áreas principais:

Adicionou a obrigação de divulgar a categoria de **informações pessoais sensíveis** quando coletadas.

Adicionou os **dois novos links obrigatórios** no site: "Do Not Sell or Share My Personal Information" e "Limit the Use of My Sensitive Personal Information."

Reforçou os requisitos de **minimização de dados** e **retenção proporcionada**, exigindo que a Política inclua o tempo que a empresa pretende reter cada categoria de dado.

Para entender mais sobre o que a CPRA mudou especificamente, temos um guia dedicado sobre a [CPRA da Califórnia](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber). Este artigo trata da lei vigente consolidada.

## O que precisa estar na Política de Privacidade sob a CCPA/CPRA

### 1. Categorias de informações pessoais coletadas

O aviso de privacidade deve listar as categorias de informações pessoais coletadas sobre consumidores nos **12 meses anteriores** (§ 1798.130(a)(5)(B)).

A CCPA/CPRA estabelece categorias específicas que devem ser usadas para essa descrição, conforme § 1798.140(v):

Identificadores (nome, endereço, IP, e-mail, número de previdência social, etc.).

Informações pessoais descritas na Seção 1798.80 da lei da Califórnia.

Características de classificações protegidas sob lei californiana ou federal.

Informações comerciais (registros de propriedade, histórico de compras).

Informações biométricas.

Atividade em internet ou outras redes eletrônicas (histórico de navegação, busca, interações com anúncios).

Dados de geolocalização.

Informações de áudio, eletrônicas, visuais, térmicas, olfativas ou similares.

Informações profissionais ou de emprego.

Informações de educação.

Inferências derivadas para criar perfis sobre preferências, características, comportamento e aptidões.

Informações pessoais sensíveis.

### 2. Categorias de fontes das informações pessoais

O aviso de privacidade deve identificar as categorias de fontes das quais as informações pessoais dos consumidores são coletadas (§ 1798.130(a)(5)(B)(ii)).

Fontes típicas: o próprio consumidor ao preencher formulários, sistemas de analytics, redes de publicidade, parceiros de dados, mídias sociais, fontes publicamente disponíveis.

### 3. A finalidade comercial ou de negócios para a coleta, venda ou compartilhamento

O aviso deve explicar para quê os dados são coletados, vendidos ou compartilhados (§ 1798.130(a)(5)(B)(iii)).

A CCPA/CPRA define "finalidade de negócios" (§ 1798.140(e)) com categorias específicas: auditoria de contagem de impressões de anúncios, garantia de segurança e integridade, depuração de erros, uso transacional de curto prazo, prestação de serviços em nome da empresa, publicidade e marketing (exceto publicidade comportamental contextual cruzada), pesquisa interna, e atividades de verificação de qualidade.

### 4. Categorias de terceiros com quem os dados são compartilhados

O aviso deve identificar as categorias de terceiros com quem a empresa compartilha dados pessoais dos consumidores (§ 1798.130(a)(5)(B)(iv)).

### 5. Lista de categorias vendidas ou compartilhadas nos 12 meses anteriores

O § 1798.130(a)(5)(C) exige que o aviso de privacidade inclua:

Uma lista das categorias de informações pessoais **vendidas ou compartilhadas** sobre consumidores nos 12 meses anteriores, por categoria; ou declaração de que a empresa não vendeu ou compartilhou informações pessoais nesse período.

Uma lista das categorias de informações pessoais **divulgadas para fins de negócios** nos 12 meses anteriores; ou declaração de que nenhuma divulgação ocorreu.

Essas duas listas devem ser mantidas separadas no aviso de privacidade.

### 6. Os direitos dos consumidores e como exercê-los

O aviso deve descrever os direitos garantidos pela CCPA/CPRA e os métodos designados para submissão de solicitações (§ 1798.130(a)(5)(A)):

Direito de saber e acessar (§ 1798.100, 1798.110, 1798.115).

Direito de exclusão (§ 1798.105).

Direito de correção de dados imprecisos (§ 1798.106).

Direito de opt-out da venda e compartilhamento (§ 1798.120).

Direito de limitar o uso de informações pessoais sensíveis (§ 1798.121).

Direito de não discriminação (§ 1798.125).

E os dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito.

### 7. O período de retenção de cada categoria

O § 1798.100(a)(3) exige que, no ponto de coleta, a empresa informe o período de tempo que pretende reter cada categoria de informações pessoais, incluindo informações pessoais sensíveis, ou os critérios usados para determinar esse período.

A empresa não pode reter as informações pessoais de um consumidor além do razoavelmente necessário para a finalidade declarada.

## Os dois links obrigatórios na página inicial

O § 1798.135 exige que a Política de Privacidade mencione e o site disponibilize, de forma clara e conspícua:

**"Do Not Sell or Share My Personal Information":** link para uma página onde o consumidor pode exercer o opt-out da venda e do compartilhamento dos dados. O compartilhamento, definido como transferência para publicidade comportamental contextual cruzada, está incluído mesmo sem contrapartida monetária.

**"Limit the Use of My Sensitive Personal Information":** link que permite ao consumidor limitar o uso das informações pessoais sensíveis ao que é necessário para fornecer os produtos ou serviços razoavelmente esperados.

A empresa pode usar um único link combinado que permita exercer as duas opções claramente.

Alternativamente, a empresa pode honrar o sinal de preferência de opt-out do **Global Privacy Control (GPC)** quando enviado pelo consumidor, em vez de manter os links. Nesse caso, a Política deve informar que o site respeita o GPC.

## Divulgação de informações pessoais sensíveis

Se a empresa coleta informações pessoais sensíveis, o aviso de privacidade precisa informar expressamente essa prática (§ 1798.100(a)(2)).

Informações pessoais sensíveis sob a CCPA/CPRA (§ 1798.140(ae)) incluem: número de previdência social, carteira de motorista ou passaporte; login e credenciais de acesso a contas financeiras; geolocalização precisa; origem racial ou étnica, status de cidadania, crenças religiosas, filiação sindical; conteúdo de comunicações privadas (exceto quando a empresa é o destinatário); dados genéticos; dados neurais; dados biométricos para identificação; informações de saúde; informações sobre vida sexual ou orientação sexual.

Para cada categoria de informações sensíveis coletadas, a Política precisa explicar:

Para qual finalidade específica são coletadas.

Se são vendidas ou compartilhadas, e com quem.

Como o consumidor pode limitar seu uso (via link "Limit the Use of My Sensitive Personal Information" ou via GPC).

## O lookback de 12 meses

Uma característica específica da CCPA/CPRA é o lookback de 12 meses nas solicitações de acesso.

Quando um consumidor faz uma solicitação de acesso, a resposta deve cobrir o período de 12 meses anteriores ao recebimento da solicitação (§ 1798.130(a)(2)(B)).

Após a adoção de regulamentação específica, o consumidor pode solicitar informações além de 12 meses para dados coletados a partir de 1º de janeiro de 2022, se isso não for impossível ou envolver esforço desproporcional.

A Política de Privacidade deve mencionar esse lookback de 12 meses para deixar claro ao consumidor qual período está coberto pela sua solicitação.

## Métodos de submissão de solicitações: o 0800 é obrigatório

O § 1798.130(a)(1) exige dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um **número de telefone gratuito**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

A empresa deve disponibilizar o site para submissão de solicitações se mantiver um site.

A empresa não pode exigir que o consumidor crie uma nova conta para exercer seus direitos. Pode exigir uso de conta existente.

Os dados coletados para verificação da identidade do consumidor podem ser usados apenas para essa finalidade, não para outros propósitos (§ 1798.130(a)(7)).

## Proteção para menores de 16 anos

Se a empresa pode ter consumidores menores de 16 anos, a Política de Privacidade deve descrever as proteções especiais aplicáveis:

Para consumidores entre 13 e 15 anos: a empresa não pode vender ou compartilhar dados sem autorização afirmativa do próprio consumidor (§ 1798.120(c)).

Para consumidores com menos de 13 anos: é necessária autorização do responsável legal.

A empresa que deliberadamente desconsidera a idade é tratada como tendo conhecimento real dela.

O [encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) deve garantir que o processo de verificação de idade, quando aplicável, esteja operacional e documentado.

## O direito de ação privada e a Política de Privacidade

O § 1798.150 garante ao consumidor o direito de ação privada por violações de segurança, com danos de US$ 100 a US$ 750 por consumidor por incidente.

Antes de iniciar qualquer ação por danos estatutários, o consumidor deve notificar a empresa por escrito com 30 dias de antecedência. Se a empresa corrigir a violação dentro do prazo e fornecer declaração escrita de que não ocorrerão mais violações, nenhuma ação pode ser iniciada.

A Política de Privacidade deve mencionar esse direito e como o consumidor pode exercê-lo.

## A atualização anual obrigatória

O § 1798.130(a)(5) exige que o aviso de privacidade seja atualizado **pelo menos uma vez a cada 12 meses**.

Essa atualização deve refletir o que foi coletado, vendido, compartilhado e divulgado nos 12 meses anteriores. Não é suficiente manter um aviso genérico e desatualizado: a empresa precisa de um processo interno de revisão anual obrigatória.

Situações que exigem atualização imediata, além da revisão anual:

Adição de nova categoria de dados coletados.

Novos terceiros que recebem dados.

Mudança nas práticas de venda ou compartilhamento.

Novas finalidades de uso dos dados.

Qualquer alteração nos links de opt-out ou nos métodos de submissão.

## Fiscalização e penalidades

As violações da CCPA/CPRA são investigadas e aplicadas pela **California Privacy Protection Agency (CPPA)** e pelo **Attorney General da Califórnia**.

A CPPA pode aplicar multas administrativas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores. O Attorney General pode buscar penalidades civis nos mesmos valores.

Não há prazo garantido de correção antes de ações da CPPA. A agência tem discricionariedade para investigar sem obrigação de conceder prazo prévio.

## Como a AdOpt apoia a conformidade com a CCPA/CPRA

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que os mecanismos de opt-out e limitação de uso de dados sensíveis funcionem conforme descrito.

O GPC é respeitado automaticamente quando enviado pelo usuário. O log de cada interação fica documentado.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a CCPA/CPRA

**Link visível e acessível** em todas as páginas do site.

**Atualizada pelo menos uma vez a cada 12 meses** (§ 1798.130(a)(5)).

**Categorias de informações pessoais coletadas** nos 12 meses anteriores (§ 1798.130(a)(5)(B)(i)).

**Categorias de fontes** das informações pessoais (§ 1798.130(a)(5)(B)(ii)).

**Finalidade comercial ou de negócios** para coleta, venda ou compartilhamento (§ 1798.130(a)(5)(B)(iii)).

**Categorias de terceiros** com quem os dados são compartilhados (§ 1798.130(a)(5)(B)(iv)).

**Lista de categorias vendidas ou compartilhadas** nos 12 meses anteriores (§ 1798.130(a)(5)(C)(i)).

**Lista de categorias divulgadas para fins de negócios** nos 12 meses anteriores (§ 1798.130(a)(5)(C)(ii)).

**Direitos dos consumidores** e como exercê-los, com processo e prazos (§ 1798.130(a)(5)(A)).

**Dois ou mais métodos de submissão**, incluindo número de telefone gratuito (§ 1798.130(a)(1)).

**Link "Do Not Sell or Share My Personal Information"** ou declaração de honrar o GPC (§ 1798.135).

**Link "Limit the Use of My Sensitive Personal Information"** quando aplicável (§ 1798.121, 1798.135).

**Categorias de informações pessoais sensíveis** coletadas, quando aplicável (§ 1798.100(a)(2)).

**Período de retenção** de cada categoria de dados (§ 1798.100(a)(3)).

**Lookback de 12 meses** para solicitações de acesso mencionado (§ 1798.130(a)(2)(B)).

**Direito de ação privada** por violações de segurança mencionado (§ 1798.150).

**Proteção para menores** de 13 a 15 anos e menores de 13 (§ 1798.120(c)).

**Política de não discriminação** para consumidores que exercem seus direitos (§ 1798.125).

## FAQ: CCPA/CPRA e Política de Privacidade

**1. Com que frequência a Política de Privacidade precisa ser atualizada pela CCPA/CPRA?**
Pelo menos uma vez a cada 12 meses, conforme § 1798.130(a)(5). Isso é diferente de apenas atualizar quando há mudanças materiais. A empresa precisa de um processo de revisão anual obrigatória, e as listas de categorias vendidas, compartilhadas e divulgadas nos 12 meses anteriores precisam ser atualizadas regularmente.

**2. O que é o "lookback de 12 meses" e como ele afeta a Política de Privacidade?**
O § 1798.130(a)(2)(B) determina que a resposta a uma solicitação de acesso do consumidor deve cobrir os 12 meses anteriores ao recebimento da solicitação. A Política de Privacidade deve mencionar esse período para que o consumidor saiba qual janela temporal está coberta pela sua solicitação.

**3. A Política de Privacidade precisa mencionar o direito de ação privada da CCPA?**
Sim. O § 1798.150 garante ao consumidor o direito de entrar com ação judicial por violações de segurança de dados. A Política deve mencionar esse direito e o processo: o consumidor precisa notificar a empresa por escrito com 30 dias de antecedência antes de iniciar ação por danos estatutários.

**4. O número de telefone gratuito é realmente obrigatório?**
Sim. O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito. A exceção são empresas que operam exclusivamente online com relação direta com o consumidor, que podem se limitar a um endereço de e-mail.

**5. O que a CPRA adicionou que ainda não estava na CCPA original?**
A CPRA adicionou: direito de correção de dados imprecisos (§ 1798.106), direito de limitar o uso de informações pessoais sensíveis (§ 1798.121), link obrigatório "Limit the Use of My Sensitive Personal Information", a distinção entre "venda" e "compartilhamento" para publicidade comportamental, a expansão da definição de informações sensíveis (incluindo dados neurais), e exigências de minimização de dados e retenção proporcionada. Tudo isso precisa estar refletido na Política de Privacidade.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA: Política de Privacidade

VTEX e Google Consent Mode v2: como configurar sem perder dados de campanha

Shopify e LGPD: Garanta que o seu e-commerce esteja em conformidade com as leis de privacidade

Aviso de Cookies na Loja Integrada: Como configurar seu e-commerce que utiliza a Loja Integrada e manter a conformidade com a LGPD

CMP para Site Wix: Como estar em conformidade com a LGPD no seu site

Um residente da Virgínia acessa o seu site, consome seu conteúdo, e em algum momento decide exercer os direitos que a lei garante a ele. Quer saber o que você tem sobre ele. Quer corrigir uma informação. Quer que você pare de usar os dados para anúncios.

Esta página cobre uma parte do quadro. Para o escopo completo da VCDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da VCDPA e cookies](https://goadopt.io/blog/vcdpa-virginia-e-cookies-tudo-o-que-voce-precisa-saber/).

O que acontece a partir daí?

A Virginia Consumer Data Protection Act (VCDPA, Va. Code § 59.1-575 et seq.), em vigor desde 1º de janeiro de 2023, define com precisão o que precisa acontecer: o canal para receber a solicitação, o prazo para responder, o processo de apelação em caso de recusa, e o que acontece quando a empresa não cumpre.

Este artigo cobre tudo isso.

## O que é uma DSAR?

DSAR é a sigla em inglês para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. Na prática, é qualquer pedido formal feito por um consumidor para exercer os direitos que a lei garante sobre os próprios dados.

Isso inclui pedir para ver o que você coletou, corrigir uma informação incorreta, solicitar a exclusão dos dados, pedir uma cópia portátil, recusar o uso dos dados para publicidade segmentada, ou contestar uma decisão sua sobre um pedido anterior.

Se você já conhece a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), o conceito do Portal do Titular é familiar. A VCDPA segue a mesma lógica: o consumidor precisa de um canal funcional para exercer os direitos que a lei garante.

## Quais são os direitos dos consumidores sob a VCDPA?

Conforme Va. Code § 59.1-577 A, os residentes da Virgínia têm cinco direitos principais:

### Direito de acesso e confirmação

O consumidor pode pedir confirmação de que a empresa processa os dados dele e obter uma cópia dos dados pessoais que ela mantém, conforme Va. Code § 59.1-577 A, 1.

A resposta precisa ser fornecida em formato acessível e compreensível.

### Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza dos dados e os propósitos do processamento, conforme Va. Code § 59.1-577 A, 2.

Isso cobre qualquer dado desatualizado, incompleto ou incorreto. A empresa não pode ignorar esse pedido.

### Direito de exclusão

O consumidor pode solicitar a exclusão dos dados que forneceu ou que foram obtidos sobre ele, conforme Va. Code § 59.1-577 A, 3.

Há uma alternativa válida na VCDPA que não existe em outras leis: se a empresa obteve o dado de uma fonte que não o próprio consumidor, pode cumprir o pedido de exclusão de duas formas. Pode excluir o dado de fato, ou pode reter o mínimo necessário para garantir que o dado permanece excluído das bases ativas e não é usado para nenhuma outra finalidade (Va. Code § 59.1-577 B, 5).

### Direito de portabilidade

O consumidor pode obter uma cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável, quando o processamento é feito por meios automatizados, conforme Va. Code § 59.1-577 A, 4.

Isso facilita a transferência dos dados para outro controlador.

### Direito de opt-out

O consumidor pode recusar o processamento dos dados para três finalidades específicas (Va. Code § 59.1-577 A, 5):

Publicidade segmentada (anúncios baseados em atividades em sites não afiliados ao longo do tempo).

Venda de dados pessoais a terceiros.

Perfilamento em apoio a decisões com efeitos legais ou igualmente significativos sobre o consumidor (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

## Direito de apelação

Conforme Va. Code § 59.1-577 C, se a empresa recusar uma solicitação, o consumidor tem o direito de apelar da decisão.

O processo de apelação precisa:

Ser conspicuamente disponível, fácil de encontrar.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta por escrito dentro de **60 dias**, com a decisão e a justificativa.

Se a apelação for negada, a empresa precisa informar ao consumidor como ele pode contatar o Attorney General da Virgínia para registrar uma reclamação. O Va. Code § 59.1-577 C especifica que, se disponível, o mecanismo para contatar o Attorney General deve ser online.

## Quais são os prazos para responder?

A VCDPA é direta nos prazos.

**45 dias** a partir do recebimento da solicitação autenticada (Va. Code § 59.1-577 B, 1).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

**60 dias** para responder a apelações (Va. Code § 59.1-577 C).

Esses prazos começam a contar quando a solicitação é recebida e autenticada. Se for necessário solicitar informações adicionais para verificar a identidade do consumidor, o prazo fica suspenso até que a verificação seja concluída.

## O que conta como "recebimento" da solicitação?

O Va. Code § 59.1-577 B usa o termo "receipt of the request". Para fins de contagem do prazo, a solicitação é recebida quando a empresa tem as informações mínimas para processar o pedido.

O processo de verificação de identidade pode influenciar esse marco. Se a empresa solicita informações adicionais para autenticar o consumidor, o prazo fica interrompido até que a autenticação seja concluída, conforme Va. Code § 59.1-577 B, 4.

Por isso, o processo de verificação precisa ser ágil, proporcional ao tipo de dado envolvido, e descrito claramente no canal de submissão.

## Como deve ser o canal para submissão de solicitações

Conforme Va. Code § 59.1-578 E, o controlador precisa estabelecer e descrever na Política de Privacidade pelo menos um meio seguro e confiável para os consumidores submeterem solicitações.

Esse meio precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir que o controlador autentique a identidade do consumidor.

Não exigir que o consumidor crie uma nova conta. A empresa pode exigir o uso de uma conta existente, mas não pode forçar o cadastro de uma nova conta apenas para exercer um direito garantido por lei.

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (acesso, correção, exclusão, portabilidade, opt-out).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

## Verificação de identidade: como fazer sem criar barreiras

A VCDPA exige que o controlador autentique a identidade do consumidor usando esforços comercialmente razoáveis, conforme Va. Code § 59.1-577 B, 4.

Se não for possível autenticar com esforços razoáveis, a empresa não é obrigada a cumprir a solicitação, mas pode pedir informações adicionais razoavelmente necessárias.

Na prática, isso significa:

Para dados de baixo risco: uma confirmação por e-mail pode ser suficiente.

Para dados sensíveis ou situações com maior risco: um segundo fator de verificação pode ser justificado.

O que nunca é aceitável: exigir documentos físicos para acesso a dados simples de comportamento de navegação, criar processos deliberadamente trabalhosos para desencorajar solicitações, ou negar pedidos com base em autenticação impossível quando métodos mais simples são disponíveis.

## Gratuidade: o que a lei determina

Conforme Va. Code § 59.1-577 B, 3, o atendimento de solicitações é gratuito **até 2 vezes por ano** por consumidor.

Esse é um ponto de diferença importante em relação a outras leis estaduais. A NHDPA, por exemplo, garante gratuidade apenas uma vez por ano. A VCDPA garante duas.

A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar, caso a solicitação seja manifestamente infundada, excessiva ou repetitiva. O ônus de demonstrar o caráter excessivo é da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso

Receba e autentique a identidade do titular.

Localize todos os dados pessoais que a empresa mantém sobre esse consumidor em todos os sistemas.

Prepare uma cópia em formato legível e acessível.

Inclua na resposta: categorias de dados, finalidades do processamento, terceiros com quem os dados foram compartilhados.

Envie dentro do prazo de 45 dias.

Um inventário de dados atualizado é o que torna esse processo viável em larga escala.

### Solicitação de correção

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Corrija nos sistemas primários e, quando aplicável, notifique os terceiros que receberam o dado para que façam a correção do lado deles.

Confirme ao consumidor que a correção foi realizada.

### Solicitação de exclusão

Receba e autentique.

Verifique se existe exceção legal que permita reter o dado (obrigação legal, defesa judicial, finalidade protegida).

Se não houver exceção: exclua dos sistemas ativos. Para dados obtidos de terceiros, há a alternativa de reter o mínimo necessário para garantir a não utilização futura (Va. Code § 59.1-577 B, 5).

Notifique terceiros que receberam os dados para exclusão quando aplicável.

Confirme ao consumidor o que foi excluído e, se houver retenção parcial justificada, explique.

### Solicitação de portabilidade

Receba e autentique.

Gere um arquivo com os dados do consumidor em formato portátil e tecnicamente utilizável, como JSON ou CSV.

Entregue ao consumidor de forma segura dentro do prazo.

### Solicitação de opt-out

O opt-out de publicidade segmentada, venda de dados ou perfilamento com efeitos significativos precisa resultar na cessação efetiva do processamento para essas finalidades.

A VCDPA não especifica um prazo de cessação separado do prazo geral de 45 dias, mas o critério legal é "without undue delay" (sem demora indevida). Na prática, sistemas bem configurados processam opt-outs em tempo real ou em poucas horas.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) integrada aos sistemas da empresa automatiza esse fluxo.

## O que acontece quando a empresa nega um pedido?

A empresa pode negar uma solicitação quando:

Não consegue autenticar a identidade do consumidor com esforços comercialmente razoáveis.

O pedido é manifestamente infundado ou excessivo.

Há exceção legal que justifica a retenção ou o processamento continuado.

Em todos os casos, a recusa precisa ser comunicada ao consumidor dentro do prazo de 45 dias, com:

A justificativa da recusa.

Instruções claras sobre como apelar da decisão (Va. Code § 59.1-577 B, 2).

O processo de apelação precisa resultar em resposta por escrito dentro de 60 dias. Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General da Virgínia.

## Proteção contra discriminação

O Va. Code § 59.1-578 A, 4 proíbe que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção são programas voluntários de fidelidade, recompensas, funcionalidades premium ou descontos que oferecem benefícios em troca do uso de dados, desde que o consumidor participe voluntariamente.

## Proteção especial para crianças e menores

O Va. Code § 59.1-578 F proíbe processar dados de crianças conhecidas menores de 13 anos para publicidade segmentada, venda de dados ou perfilamento com efeitos significativos.

Para plataformas de redes sociais, a partir de janeiro de 2026, a proteção se estende a menores de 16 anos, com limite de 1 hora de uso diário (Va. Code § 59.1-577.1).

Se o seu portal recebe solicitações de usuários nessas faixas etárias, o processo precisa ter tratamento diferenciado.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada (cumprida, recusada, ou alternativa adotada).

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Em caso de apelação: histórico completo e decisão final.

Essa documentação é o que protege a empresa em caso de investigação do Attorney General. Sem registro, não há como demonstrar que os processos foram cumpridos dentro dos prazos.

## O cure period e sua relação com os DSARs

Antes de iniciar qualquer ação, o Attorney General precisa enviar notificação com **30 dias de prazo** para a empresa corrigir a violação (Va. Code § 59.1-584 B). Se a empresa corrigir e fornecer declaração escrita de que as violações foram sanadas, nenhuma ação é iniciada.

Empresas sem processo estruturado para DSARs têm grande dificuldade de corrigir em 30 dias o que deveria ter sido implementado desde o início. O cure period é uma garantia, não uma estratégia de conformidade.

Se a violação continuar, as penalidades podem chegar a **US$ 7.500 por violação**, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade segmentada via Portal do Titular, o sistema atualiza automaticamente os disparadores de cookies e rastreadores.

O log auditável da AdOpt serve como evidência de que os processos foram cumpridos conforme determinado pela VCDPA. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a VCDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a VCDPA

**Canal de submissão de solicitações** sem exigência de criação de nova conta (Va. Code § 59.1-578 E).

**Cobertura dos 5 direitos** garantidos pela VCDPA: acesso, correção, exclusão, portabilidade e opt-out.

**Processo de apelação** conspicuamente disponível e comparável ao canal de submissão original (Va. Code § 59.1-577 C).

**Prazo de 45 dias** para resposta, com extensão de mais 45 com notificação quando necessário (Va. Code § 59.1-577 B, 1).

**Prazo de 60 dias** para resposta a apelações (Va. Code § 59.1-577 C).

**Processo de autenticação de identidade** com esforços comercialmente razoáveis (Va. Code § 59.1-577 B, 4).

**Atendimento gratuito duas vezes por ano** por consumidor (Va. Code § 59.1-577 B, 3).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Informação sobre como contatar o Attorney General** em caso de apelação negada (Va. Code § 59.1-577 C).

**Proteção contra discriminação** de consumidores que exercem seus direitos (Va. Code § 59.1-578 A, 4).

**Tratamento diferenciado** para dados de crianças menores de 13 anos (Va. Code § 59.1-578 F).

**Notificação a terceiros** quando aplicável para exclusão ou correção dos dados compartilhados.

## Comparativo: prazos do Portal do Titular na VCDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, correção, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (publicidade, venda, perfilamento) | 45 dias | +45 dias com notificação |
| Apelação de decisão | 60 dias | Não especificado |
| Cure period para violações | 30 dias garantidos | Não há extensão |

## FAQ: VCDPA e Portal do Titular

**1. A VCDPA exige obrigatoriamente um Portal do Titular dedicado?**
Não pelo nome. O Va. Code § 59.1-578 E exige que o controlador estabeleça e descreva na Política de Privacidade pelo menos um meio seguro e confiável para submissão de solicitações. Um Portal do Titular dedicado é a forma mais organizada de atender a esse requisito, mas um formulário de contato estruturado ou um e-mail monitorado também podem cumprir a exigência, desde que atendam aos critérios de segurança e confiabilidade.

**2. A VCDPA tem um prazo específico para cessar o processamento após opt-out?**
Não da mesma forma que a NHDPA, que especifica 15 dias. A VCDPA usa o critério "without undue delay" (sem demora indevida) para a resposta geral, com prazo máximo de 45 dias (Va. Code § 59.1-577 B, 1). Na prática, para opt-outs de publicidade segmentada, o esperado é que a cessação seja processada com a maior agilidade tecnicamente razoável, dentro do prazo de resposta formal.

**3. Quantas vezes por ano a empresa precisa atender gratuitamente?**
Duas vezes por ano por consumidor, conforme Va. Code § 59.1-577 B, 3. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar se a solicitação for manifestamente infundada, excessiva ou repetitiva. O ônus de provar o caráter excessivo é da empresa.

**4. O que acontece se a empresa não tiver processo para atender DSARs quando receber uma notificação do Attorney General?**
O Attorney General envia notificação com 30 dias de prazo para correção (Va. Code § 59.1-584 B). Se a empresa não implementar o processo dentro do prazo ou descumprir a declaração escrita de correção fornecida, o AG pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser uma violação separada, o que eleva o impacto financeiro rapidamente.

**5. Como a VCDPA trata dados de consumidores obtidos de terceiros no contexto de exclusão?**
O Va. Code § 59.1-577 B, 5 oferece uma alternativa específica para esse caso. A empresa que obteve dados de uma fonte que não o próprio consumidor pode cumprir o pedido de exclusão de duas formas: excluindo o dado de fato, ou retendo o mínimo necessário para garantir que o dado permaneça excluído das bases ativas e não seja usado para nenhuma finalidade além de garantir essa exclusão. Essa alternativa não existe na NHDPA nem em algumas outras leis estaduais americanas.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a VCDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Virginia VCDPA: DSAR Portal do Titular

Montana MTCDPA: DSAR Portal de Privacidade

A Colorado Privacy Act (CPA, C.R.S. § 6-1-1301 et seq.) tem um dos conjuntos mais detalhados de exigências para o aviso de privacidade entre todas as leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da CPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPA e cookies](https://goadopt.io/blog/cpa-colorado-e-cookies-tudo-o-que-voce-precisa-saber/).

Isso acontece porque o Colorado foi além da lei: o Attorney General promulgou as Colorado Privacy Act Rules (4 CCR 904-3), um conjunto completo de regulamentações que especificam com precisão o que cada elemento do aviso de privacidade precisa conter, como deve ser apresentado, em quais idiomas, e quais mudanças exigem atualização imediata.

Este artigo foca exclusivamente no que a CPA e suas regulamentações exigem da Política de Privacidade, com base no texto oficial de ambos os documentos.

## O que a CPA chama de Privacy Notice

A lei usa o termo "privacy notice", aviso de privacidade. Na prática, é a Política de Privacidade.

O C.R.S. § 6-1-1308(1) determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível, claro e significativo".

As regulamentações (4 CCR 904-3, Regra 6.02) expandem esse padrão: o aviso precisa fornecer ao consumidor uma compreensão significativa e expectativas precisas de como seus dados serão processados. Ele precisa ser claro, facilmente acessível, específico, e estar disponível em todos os idiomas que o controlador usa regularmente para interagir com os consumidores.

## O que precisa estar na Política de Privacidade sob a CPA

### 1. Categorias de dados pessoais processados

O aviso deve listar as categorias de dados pessoais coletados ou processados pelo controlador ou por um operador (C.R.S. § 6-1-1308(1)(a)(I)).

As regulamentações (4 CCR 904-3, Regra 6.03(A)(1)(a)) exigem que as categorias sejam descritas com nível de detalhe suficiente para que o consumidor entenda o tipo de dado. Exemplos de categorias com granularidade adequada: "informações de contato", "números de identificação governamentais", "informações de pagamento", "dados de cookies", "dados revelando afiliação religiosa", "dados médicos".

O aviso também precisa indicar especificamente se dados sensíveis ou dados de crianças são processados.

### 2. As finalidades para as quais os dados são processados

O aviso deve explicar para quê os dados de cada categoria são usados (C.R.S. § 6-1-1308(1)(a)(II)).

As regulamentações (4 CCR 904-3, Regra 6.06) exigem que a finalidade seja descrita com nível de detalhe que dê ao consumidor uma compreensão significativa de como os dados são usados. Finalidades vagas são proibidas. Se os dados forem usados para publicidade segmentada, perfilamento ou venda, isso precisa ser declarado explicitamente para cada categoria.

### 3. Como os consumidores exercem os direitos e fazem apelações

O aviso deve descrever como e onde os consumidores podem exercer os direitos garantidos pela CPA, incluindo as informações de contato do controlador e como apelar de uma decisão (C.R.S. § 6-1-1308(1)(a)(III)).

As regulamentações (4 CCR 904-3, Regra 6.03(A)(4)) detalham o que precisa estar no aviso:

Instruções de como usar cada método de submissão disponível.

Instruções de como um agente autorizado pode submeter opt-outs em nome do consumidor.

Um método claro e conspícuo para exercer o opt-out de publicidade segmentada e venda de dados.

A descrição do processo comercialmente razoável de autenticação de identidade.

Efetivo a partir de julho de 2024: explicação de como solicitações via Universal Opt-Out Mechanism serão processadas.

### 4. Categorias de dados compartilhados com terceiros

Se o controlador compartilha dados com terceiros, o aviso deve identificar as categorias de dados compartilhados (C.R.S. § 6-1-1308(1)(a)(IV)).

As regulamentações (4 CCR 904-3, Regra 6.03(A)(1)(d)) exigem que o aviso também indique se os dados de cada categoria serão vendidos, usados para publicidade segmentada, ou para perfilamento com efeitos significativos sobre o consumidor.

### 5. Categorias de terceiros com quem os dados são compartilhados

Além das categorias de dados, o aviso deve identificar as categorias de terceiros que os recebem (C.R.S. § 6-1-1308(1)(a)(V)).

As regulamentações (4 CCR 904-3, Regra 6.03(A)(1)(e)) exigem que as categorias de terceiros sejam descritas com nível de detalhe que dê ao consumidor uma compreensão significativa do tipo de empresa, modelo de negócios ou processamento conduzido por esses terceiros. Exemplos: "empresas de analytics", "data brokers", "anunciantes terceiros", "processadores de pagamento", "credores", "agências governamentais".

### 6. A data da última atualização

As regulamentações (4 CCR 904-3, Regra 6.03(A)(8)) exigem que o aviso inclua a data em que foi atualizado pela última vez.

## O mecanismo de opt-out precisa estar no aviso

O C.R.S. § 6-1-1308(1)(b) exige que se o controlador vende dados ou processa para publicidade segmentada, ele deve divulgar isso de forma clara e conspícua, junto com o método para exercer o opt-out.

As regulamentações (4 CCR 904-3, Regra 4.03(B)) detalham: o método de opt-out precisa estar no aviso de privacidade E em uma localização clara, conspícua e facilmente acessível fora do aviso. Um link direto ao método de opt-out é necessário.

A partir de julho de 2024, o aviso também precisa descrever como as solicitações via Universal Opt-Out Mechanism (incluindo o GPC) serão processadas.

## Dados sensíveis: exigências adicionais

Se o controlador processa dados sensíveis, o aviso precisa refletir isso explicitamente.

Dados sensíveis sob a CPA (C.R.S. § 6-1-1303(24)) incluem: origem racial ou étnica, crenças religiosas, saúde física ou mental, vida sexual ou orientação sexual, status de cidadania, dados genéticos ou biométricos para identificação, e dados de crianças conhecidas.

As regulamentações (4 CCR 904-3, Regra 6.10) adicionam uma nuance importante: inferências feitas pelo controlador que indicam essas categorias sensíveis (chamadas de "Sensitive Data Inferences") também são dados sensíveis e precisam de consentimento para serem processadas, exceto em situações específicas onde podem ser excluídas em 24 horas.

Se o controlador usará essa exceção de 24 horas para inferências sensíveis, o aviso deve descrever as inferências sujeitas a essa disposição e o cronograma de retenção e exclusão.

## O dever de especificação de finalidade

A CPA nomeia explicitamente o **dever de especificação de finalidade** como obrigação autônoma do controlador (C.R.S. § 6-1-1308(2)): o controlador deve especificar as finalidades expressas para as quais os dados pessoais são coletados e processados.

As regulamentações (4 CCR 904-3, Regra 6.06) detalham o que isso significa:

A finalidade deve ser descrita com nível de detalhe que dê ao consumidor uma compreensão significativa de como os dados são usados.

Se os dados são coletados para mais de uma finalidade, cada finalidade não relacionada deve ser especificada separadamente.

Não é permitido identificar uma finalidade ampla para justificar inúmeras atividades de processamento que são apenas remotamente relacionadas.

Não é permitido usar uma finalidade ampla para cobrir atividades de processamento futuras potenciais que são apenas remotamente relacionadas.

## O dever de evitar uso secundário

A CPA também nomeia o **dever de evitar uso secundário** (C.R.S. § 6-1-1308(4)): o controlador não pode processar dados para finalidades que não sejam razoavelmente necessárias ou compatíveis com as finalidades especificadas, salvo com o consentimento do consumidor.

As regulamentações (4 CCR 904-3, Regra 6.08) detalham: se o controlador coletou dados antes de julho de 2023 e a finalidade muda depois dessa data de forma incompatível com a original, precisa obter novo consentimento.

## A renovação de consentimento após 24 meses

Essa é uma exigência exclusiva das regulamentações do Colorado que não existe em outras leis estaduais americanas.

Conforme 4 CCR 904-3, Regra 7.08: quando um consumidor não interagiu com o controlador nos **últimos 24 meses**, o controlador deve **renovar o consentimento** para:

Continuar processando dados sensíveis.

Continuar processando dados pessoais para finalidades secundárias que envolvam perfilamento com efeitos significativos.

A exceção é para casos em que o consumidor tem acesso permanente e capacidade de atualizar suas preferências de opt-out através de uma interface controlada por ele.

A Política de Privacidade deve descrever quando e como esse consentimento será renovado.

## Mudanças materiais: notificação obrigatória

As regulamentações (4 CCR 904-3, Regra 6.04) exigem que o controlador notifique os consumidores de mudanças materiais no aviso de privacidade, comunicadas de forma que o controlador normalmente interage com os consumidores.

Mudanças materiais incluem: categorias de dados processados, finalidades de processamento, identidade do controlador, compartilhamento de dados com terceiros, categorias de terceiros, e métodos para exercer direitos.

Se uma mudança material configura uso secundário, o controlador precisa obter consentimento do consumidor.

## Fiscalização e penalidades

As violações da CPA são tratadas como **práticas comerciais enganosas** sob o Colorado Consumer Protection Act (C.R.S. § 6-1-1311(1)(c)).

A fiscalização é compartilhada entre o **Attorney General** e os **District Attorneys** do Colorado. Não há direito de ação privada (C.R.S. § 6-1-1310).

Antes de 2025, havia garantia de 60 dias para correção. A partir de 2025, o período de cura é discricionário.

## Como a AdOpt apoia a conformidade com a CPA

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o Universal Opt-Out Mechanism é honrado automaticamente e que o mecanismo de consentimento funciona conforme descrito.

O registro de cada interação fica documentado por 24 meses conforme exigido pelas regulamentações.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a CPA

**Link visível e acessível** em todas as páginas do site, usando a palavra "privacy" (4 CCR 904-3, Regra 6.02(E)).

**Disponível em todos os idiomas** que o controlador usa para interagir com os consumidores (4 CCR 904-3, Regra 3.02(A)(3)).

**Acessível para pessoas com deficiência**, seguindo WCAG 2.1 (4 CCR 904-3, Regra 3.02(A)(2)).

**Categorias de dados pessoais processados**, com granularidade suficiente (C.R.S. § 6-1-1308(1)(a)(I)).

**Finalidade para cada categoria**, sem descrições vagas (C.R.S. § 6-1-1308(1)(a)(II)).

**Se dados serão vendidos, usados para publicidade segmentada ou perfilamento** (4 CCR 904-3, Regra 6.03(A)(1)(c)).

**Como exercer todos os direitos** garantidos pela CPA, com processos e prazos (C.R.S. § 6-1-1308(1)(a)(III)).

**Processo de apelação** descrito com prazos de 45+60 dias.

**Categorias de dados compartilhados com terceiros** (C.R.S. § 6-1-1308(1)(a)(IV)).

**Categorias de terceiros** com nível de detalhe sobre tipo/modelo de negócio (C.R.S. § 6-1-1308(1)(a)(V)).

**Método de opt-out** claro e conspícuo dentro e fora do aviso (C.R.S. § 6-1-1308(1)(b)).

**Universal Opt-Out Mechanism** e como será processado (4 CCR 904-3, Regra 6.03(A)(4)(e)).

**Dados sensíveis e inferências sensíveis** identificadas com como o consentimento é obtido.

**Política de renovação de consentimento** após 24 meses de inatividade (4 CCR 904-3, Regra 7.08).

**Data da última atualização** (4 CCR 904-3, Regra 6.03(A)(8)).

**Informações de contato** do controlador.

**Processo de autenticação** descrito.

## FAQ: CPA e Política de Privacidade

**1. A CPA exige um aviso de privacidade específico para o Colorado?**
Não. As regulamentações (4 CCR 904-3, Regra 6.02(B)) confirmam que o controlador não precisa de um aviso separado para o Colorado, desde que o aviso existente atenda a todos os requisitos da CPA e deixe claro que os consumidores do Colorado têm os direitos garantidos pelo C.R.S. § 6-1-1306.

**2. Em quantos idiomas o aviso de privacidade precisa estar disponível?**
O aviso precisa estar disponível em todos os idiomas nos quais o controlador normalmente fornece páginas web, interfaces, contratos, e outras informações aos consumidores (4 CCR 904-3, Regra 3.02(A)(3)). Comunicações enviadas diretamente ao consumidor devem ser no idioma que o consumidor normalmente usa para interagir com o controlador.

**3. O que são "Sensitive Data Inferences" e como elas afetam a Política de Privacidade?**
São inferências feitas pelo controlador com base em dados pessoais que indicam origem racial, crenças religiosas, saúde, vida sexual ou status de cidadania (4 CCR 904-3, Regra 2.02). Assim como os dados sensíveis de origem, essas inferências precisam de consentimento para serem processadas. Se o controlador usa a exceção de exclusão em 24 horas, a Política deve descrever as inferências sujeitas a essa disposição e o cronograma de retenção.

**4. O que é a renovação de consentimento após 24 meses?**
As regulamentações (4 CCR 904-3, Regra 7.08) exigem que quando o consumidor não interagiu com o controlador nos últimos 24 meses, o consentimento para processar dados sensíveis ou para finalidades secundárias que envolvam perfilamento com efeitos significativos precisa ser renovado. Essa exigência é exclusiva do Colorado e não existe em outras leis estaduais americanas.

**5. O que mudou na fiscalização da CPA a partir de 2025?**
Antes de 2025, o C.R.S. § 6-1-1311(1)(d) garantia 60 dias de cura antes de ação judicial. A partir de 1º de janeiro de 2025, esse dispositivo foi revogado. O Attorney General e os District Attorneys têm discricionariedade para investigar e agir sem obrigação de conceder prazo prévio de correção.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Colorado CPA: Política de Privacidade

A Utah Consumer Privacy Act (UCPA, Utah Code § 13-61-101) tem o processo de DSAR mais simples entre as leis estaduais americanas vigentes.

Esta página cobre uma parte do quadro. Para o escopo completo da UCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da UCPA e cookies](https://goadopt.io/blog/ucpa-utah-e-cookies-tudo-o-que-voce-precisa-saber/).

Quatro direitos. Nenhum processo de apelação formal. Sem distinção de autenticação entre opt-out e outros direitos. E o prazo de resposta é o mesmo para todos: 45 dias.

Mas existem particularidades que merecem atenção: o direito de exclusão é mais restrito do que em outras leis, e a UCPA tem regras específicas sobre cobrança de taxa e proteção contra fraude em solicitações.

Este artigo cobre tudo isso.

## O que é uma DSAR sob a UCPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um consumidor residente do Utah para exercer os direitos que a UCPA garante sobre os próprios dados.

Conforme Utah Code § 13-61-202(1), o consumidor exerce seus direitos submetendo uma solicitação ao controlador, pelos meios prescritos pelo controlador, especificando qual direito pretende exercer.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar, mas simplificada. A UCPA não tem processo de apelação formal e o escopo de alguns direitos é mais restrito.

## Quais são os direitos dos consumidores sob a UCPA?

Conforme Utah Code § 13-61-201, os residentes do Utah têm quatro direitos:

### 1. Direito de confirmação e acesso

O consumidor pode confirmar se o controlador está processando seus dados pessoais e acessar esses dados (§ 13-61-201(1)).

A resposta precisa ser fornecida em formato acessível dentro de 45 dias.

### 2. Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais que forneceu ao controlador (§ 13-61-201(2)).

**Atenção ao escopo restrito:** a UCPA limita o direito de exclusão a dados que o consumidor **forneceu** ao controlador. Dados que o controlador obteve de outras fontes, como data brokers, listas de terceiros, ou inferências criadas a partir de outros dados, não precisam ser excluídos por força da UCPA.

Isso é substancialmente diferente de leis como OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte, incluindo dados derivados.

### 3. Direito de portabilidade

O consumidor pode obter uma cópia dos dados pessoais que forneceu ao controlador, em formato portátil quando tecnicamente viável e praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 13-61-201(3)).

O escopo é também limitado a dados que o consumidor forneceu, não a todos os dados que o controlador possui sobre o consumidor.

### 4. Direito de opt-out

O consumidor pode recusar o processamento de seus dados para publicidade direcionada ou venda de dados pessoais (§ 13-61-201(4)).

**O que a UCPA não inclui no opt-out:** perfilamento. A UCPA não garante opt-out de perfilamento para decisões com efeitos legais ou significativos, ao contrário de OCPA, VCDPA e CTDPA. O opt-out cobre apenas publicidade direcionada e venda de dados.

## O que a UCPA não tem: direitos ausentes em comparação com outras leis

Para empresas que já processam DSARs para outras jurisdições, vale destacar o que a UCPA não prevê:

**Sem direito de correção.** A UCPA não garante o direito de corrigir dados imprecisos. Leis como CPRA, OCPA, VCDPA e CTDPA todas incluem esse direito.

**Sem processo de apelação formal.** Quando o controlador nega uma solicitação, a UCPA não exige um processo de apelação estruturado. O consumidor pode registrar reclamação na Division of Consumer Protection.

**Sem opt-out de perfilamento.** A UCPA cobre apenas publicidade direcionada e venda de dados no opt-out, excluindo perfilamento para decisões com efeitos legais.

**Exclusão limitada a dados fornecidos pelo consumidor.** Dados de terceiros e dados derivados não precisam ser excluídos.

## Quais são os prazos para responder?

Conforme Utah Code § 13-61-203:

**45 dias** para responder a partir do recebimento da solicitação (§ 13-61-203(2)(a)).

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor antes do prazo inicial expirar (§ 13-61-203(2)(b)(c)).

Se o controlador suspeitar razoavelmente que a solicitação é fraudulenta e não conseguir autenticar dentro do prazo, o prazo de 45 dias não se aplica até a autenticação ser concluída (§ 13-61-203(2)(d)).

**Gratuito para a primeira solicitação** de cada consumidor por período de 12 meses (§ 13-61-203(4)(a)).

## Quando a empresa pode cobrar taxa ou recusar

Utah Code § 13-61-203(4)(b) permite ao controlador cobrar taxa razoável ou recusar agir se a solicitação:

For excessiva, repetitiva, tecnicamente inviável ou manifestamente infundada.

O controlador razoavelmente acreditar que o objetivo principal de submeter a solicitação é algo diferente de exercer um direito.

A solicitação, individualmente ou como parte de esforço organizado, assediar, interromper ou impor carga indevida sobre os recursos da empresa.

O controlador que cobrar taxa ou recusar agir com base nesses critérios assume o ônus de demonstrar que a solicitação satisfaz um dos critérios listados.

## Autenticação: sem distinção especial para opt-out

Uma diferença importante da UCPA em relação à OCPA: a UCPA não tem regra especial de autenticação para opt-out. Conforme § 13-61-203(5), se o controlador não conseguir autenticar a solicitação usando esforços comercialmente razoáveis, não é obrigado a cumprir, mas pode pedir informações adicionais razoavelmente necessárias para autenticar.

Essa regra se aplica igualmente a todos os tipos de solicitação, incluindo opt-out. Isso difere da OCPA, que proíbe exigir autenticação para opt-out de publicidade direcionada.

## Como deve ser o canal para submissão de solicitações

Conforme Utah Code § 13-61-203(1) e 302(1)(a)(iii), o controlador precisa estabelecer meios pelos quais os consumidores podem submeter solicitações, e descrever esses meios no aviso de privacidade.

O controlador não pode exigir que o consumidor crie uma nova conta apenas para exercer um direito. A lei permite usar conta existente (§ 13-61-202(1) refere ao uso dos "meios prescritos pelo controlador").

Um Portal do Titular bem estruturado para a UCPA inclui:

Formulário com as quatro categorias de direitos.

Processo de verificação de identidade proporcional.

Confirmação de recebimento.

Registro da solicitação, ação tomada, e resposta enviada.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências de opt-out sejam refletidas nos sistemas da empresa.

## Proteção de crianças e adolescentes

Conforme Utah Code § 13-61-202(2), no caso de processamento de dados pessoais de uma criança conhecida, o pai ou responsável legal deve exercer os direitos em nome da criança.

Conforme § 13-61-202(3), no caso de processamento de dados de um consumidor sob tutela, curatela ou outro arranjo de proteção, o tutor ou curador exerce os direitos em nome do consumidor.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 13-61-102(3)), incluindo consentimento parental verificável antes de qualquer coleta de dados.

## O que acontece quando o controlador nega uma solicitação?

Conforme Utah Code § 13-61-203(3), o controlador que decidir não agir sobre uma solicitação deve informar o consumidor dentro de 45 dias, com as razões para não tomar ação.

A UCPA não descreve um processo formal de apelação. Não há prazo específico para apelação, nem obrigação de informar sobre como contatar o regulador em caso de negativa.

O consumidor pode registrar reclamação na Division of Consumer Protection, que poderá investigar e, se encontrar evidências substanciais de violação, encaminhar ao Attorney General.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e confirmação

Receba e autentique com esforços comercialmente razoáveis.

Confirme se os dados do consumidor estão sendo processados.

Localize os dados pessoais do consumidor nos sistemas relevantes.

Prepare resposta em formato acessível dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Verifique se há exceção legal que justifica a retenção.

Exclua os dados identificados dos sistemas relevantes.

**Nota importante:** dados que o controlador obteve de fontes que não o próprio consumidor (data brokers, listas de terceiros, dados derivados) não precisam ser excluídos sob a UCPA.

### Solicitação de portabilidade

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Prepare resposta em formato portátil e utilizável.

Entregue ao consumidor dentro de 45 dias.

### Opt-out de publicidade direcionada e venda

Receba a solicitação pelo canal designado.

Autentique com esforços comercialmente razoáveis.

Cesse o processamento para as finalidades indicadas.

Atualize os sistemas de rastreamento correspondentes.

Informe o consumidor dentro de 45 dias.

## Proteção contra discriminação

Utah Code § 13-61-302(4) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários e situações onde o consumidor optou por sair da publicidade direcionada e a empresa ajustou o preço em consequência (desde que o preço diferente seja razoavelmente relacionado ao valor que os dados representam para a empresa).

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de direito solicitado.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa quando a Division of Consumer Protection investigar reclamações ou quando o caso for encaminhado ao Attorney General.

## O cure period e os DSARs

Antes de iniciar qualquer ação, o Attorney General deve notificar o controlador e conceder **30 dias para correção** (§ 13-61-402(3)). Esse prazo é garantido permanentemente.

Empresas sem processo estruturado para DSARs têm dificuldade de implementar em 30 dias o que deveria estar em vigor desde o início. O cure period é uma garantia, não uma estratégia de conformidade.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade direcionada, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para a Division of Consumer Protection e o Attorney General. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a UCPA

**Canal de submissão de solicitações** descrito no aviso de privacidade (§ 13-61-302(1)(a)(iii)).

**Cobertura dos 4 direitos**: confirmação/acesso, exclusão (dados fornecidos pelo consumidor), portabilidade, opt-out de publicidade direcionada e venda.

**Ausência de exigência de criação de nova conta** para exercer direitos.

**Prazo de 45 dias** para resposta (+45 ext. com notificação) (§ 13-61-203(2)).

**Autenticação com esforços comercialmente razoáveis** para todos os tipos de solicitação (§ 13-61-203(5)).

**Gratuidade** para a primeira solicitação por período de 12 meses (§ 13-61-203(4)(a)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Proteção para crianças**: pais/responsáveis exercem direitos por crianças conhecidas (§ 13-61-202(2)).

**Conformidade com COPPA** para dados de crianças menores de 13 anos (§ 13-61-102(3)).

**Proteção contra discriminação** de consumidores que exercem direitos (§ 13-61-302(4)).

## Comparativo: prazos do Portal do Titular na UCPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (publicidade direcionada e venda) | 45 dias | +45 dias com notificação |
| Apelação de decisão | Não estruturado pela UCPA | Não se aplica |
| Cure period para violações | 30 dias garantidos | Não há extensão |

## FAQ: UCPA e Portal do Titular

**1. Por que o direito de exclusão da UCPA é mais restrito do que em outras leis?**
Utah Code § 13-61-201(2) limita o direito de exclusão a "dados pessoais que o consumidor forneceu ao controlador." Isso exclui dados que o controlador obteve de terceiros, dados inferidos ou derivados a partir de outros dados, e dados obtidos de fontes que não o próprio consumidor. Em contraste, leis como OCPA e CTDPA exigem exclusão de dados obtidos de qualquer fonte. A UCPA reflete a filosofia do legislativo do Utah de proteger consumidores sem criar obrigações excessivamente onerosas para as empresas.

**2. A UCPA tem processo formal de apelação quando o controlador nega uma solicitação?**
Não. Ao contrário da OCPA (45 dias para apelação), CTDPA (60 dias) e VCDPA (60 dias), a UCPA não define um processo de apelação estruturado. Quando o controlador nega uma solicitação, deve informar o consumidor das razões dentro de 45 dias (§ 13-61-203(3)). O consumidor pode então registrar reclamação na Division of Consumer Protection, que poderá investigar e encaminhar ao Attorney General se encontrar evidências substanciais de violação.

**3. A UCPA exige opt-out de perfilamento?**
Não. O direito de opt-out da UCPA cobre apenas publicidade direcionada e venda de dados (§ 13-61-201(4)). Leis como VCDPA, OCPA e CTDPA incluem opt-out de perfilamento para decisões com efeitos legais ou significativos. A UCPA é a única entre as principais leis estaduais americanas que não inclui esse direito.

**4. O Portal do Titular precisa diferir o processo de opt-out do processo de outros direitos?**
Não de forma especial. Ao contrário da OCPA, que proíbe exigir autenticação para opt-out, a UCPA usa o mesmo padrão de autenticação com "esforços comercialmente razoáveis" para todos os tipos de solicitação (§ 13-61-203(5)). O opt-out não precisa de um fluxo de autenticação separado ou mais simples do que o acesso ou a exclusão.

**5. O que acontece se o controlador suspeitar que uma solicitação é fraudulenta?**
Utah Code § 13-61-203(2)(d) estabelece que o prazo de 45 dias não se aplica se o controlador razoavelmente suspeitar que a solicitação é fraudulenta e não conseguir autenticar antes do prazo expirar. O controlador pode solicitar informações adicionais para autenticação (§ 13-61-203(5)(b)). Se a suspeita de fraude for razoável e documentada, o controlador pode cobrar taxa ou recusar agir, assumindo o ônus de demonstrar o caráter fraudulento.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Utah UCPA: DSAR Portal do Titular

A Iowa Consumer Data Protection Act (ICDPA, Iowa Code § 715D) tem requisitos de aviso de privacidade muito similares aos da UCPA do Utah, com uma diferença operacional importante: o prazo de resposta a solicitações é de **90 dias**, não 45.

Esta página cobre uma parte do quadro. Para o escopo completo da ICDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da ICDPA e cookies](https://goadopt.io/blog/iowa-icdpa-e-cookies-tudo-o-que-voce-precisa-saber/).

Para a Política de Privacidade, isso significa que o processo descrito no documento para exercício de direitos precisa refletir esse prazo mais longo. Consumidores do Iowa terão que esperar até três meses para receber uma resposta, e o processo descrito no aviso precisa ser claro sobre isso.

Este artigo foca exclusivamente no que a ICDPA exige da Política de Privacidade.

## O que a ICDPA chama de Privacy Notice

A lei usa o termo "privacy notice", aviso de privacidade. Conforme § 715D.4(5), o controlador deve fornecer um aviso "razoavelmente acessível, claro e significativo".

## O que precisa estar na Política de Privacidade sob a ICDPA

### 1. Categorias de dados pessoais processados

O aviso deve listar as categorias de dados pessoais que o controlador processa (§ 715D.4(5)(a)).

Dados pessoais sob a ICDPA são informações vinculadas ou razoavelmente vinculáveis a uma pessoa natural identificada ou identificável (§ 715D.1(18)). Isso inclui identificadores como nome, e-mail, endereço IP, histórico de navegação, e dados que permitam rastrear uma pessoa.

Dados desidentificados, dados agregados, e informações publicamente disponíveis estão excluídos.

### 2. A finalidade para o processamento

O aviso deve explicar para quê os dados são processados (§ 715D.4(5)(b)).

A lei não especifica que as finalidades precisam ser altamente detalhadas, mas o requisito de que o aviso seja "claro e significativo" implica que generalidades como "melhorar serviços" são insuficientes.

### 3. Como os consumidores exercem seus direitos e como apelar

O aviso deve descrever como os consumidores podem exercer os direitos garantidos pela ICDPA, incluindo como apelar de uma decisão do controlador (§ 715D.4(5)(c)).

Os quatro direitos sob a ICDPA são:

**Confirmação e acesso:** confirmar se o controlador processa dados e acessar esses dados (§ 715D.3(1)(a)).

**Exclusão:** solicitar exclusão de dados que o consumidor forneceu ao controlador (§ 715D.3(1)(b)).

**Portabilidade:** obter cópia dos dados em formato portátil (§ 715D.3(1)(c)).

**Opt-out da venda:** recusar a venda de dados pessoais (§ 715D.3(1)(d)).

**O prazo que precisa estar descrito: 90 dias** para resposta a partir do recebimento da solicitação, com possibilidade de extensão por mais 45 dias com notificação dentro do prazo inicial (§ 715D.3(2)(a)).

**O processo de apelação:** o aviso precisa descrever como o consumidor pode apelar de uma decisão de recusa, com prazo de resposta de 60 dias para a apelação (§ 715D.3(3)). Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General online.

### 4. Categorias de dados compartilhados com terceiros

O aviso deve identificar as categorias de dados pessoais que o controlador compartilha com terceiros, se houver (§ 715D.4(5)(d)).

### 5. Categorias de terceiros com quem os dados são compartilhados

O aviso deve identificar as categorias de terceiros com quem os dados são compartilhados, se houver (§ 715D.4(5)(e)).

A ICDPA não exige o nível de detalhe sobre como cada terceiro pode processar os dados que a OCPA exige. Categorias identificáveis são suficientes.

## Divulgação de publicidade direcionada e venda de dados

Se a empresa vende dados ou realiza publicidade direcionada, § 715D.4(6) exige divulgação clara e conspícua dessa atividade, com descrição do método pelo qual o consumidor pode exercer o opt-out de cada atividade.

Publicidade direcionada, conforme § 715D.1(28), são anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo em sites ou aplicações não afiliados.

Embora o opt-out de publicidade direcionada não seja listado como direito formal em § 715D.3, a obrigação de divulgação em § 715D.4(6) cria o requisito prático de oferecer esse opt-out no aviso de privacidade.

## O canal de submissão de solicitações

Conforme § 715D.4(7), o controlador deve estabelecer meios seguros e confiáveis para os consumidores submeterem solicitações de exercício de direitos, e descrever esses meios no aviso de privacidade.

Esses meios devem:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir autenticação da identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta para exercer seus direitos. Pode exigir uso de conta existente (§ 715D.4(7)).

## Dados sensíveis: aviso e opt-out, não consentimento

Conforme § 715D.4(2), o controlador não pode processar dados sensíveis sem antes apresentar ao consumidor aviso claro e oferecer oportunidade de opt-out.

Dados sensíveis incluem: origem racial ou étnica, crenças religiosas, diagnóstico de saúde mental ou física, orientação sexual, cidadania ou imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e geolocalização precisa.

Esse modelo de opt-out para dados sensíveis é idêntico ao da UCPA. É menos restritivo do que o opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 715D.2(2)(r) e 715D.4(2)).

A Política de Privacidade deve:

Identificar se a empresa processa dados sensíveis.

Descrever como o aviso sobre dados sensíveis é apresentado.

Explicar como o consumidor pode exercer o opt-out de processamento de dados sensíveis.

## O que a ICDPA não exige na Política de Privacidade

Comparando com outras leis:

**Sem período de retenção obrigatório.** A CPRA exige especificar por quanto tempo cada categoria de dado é retida. A ICDPA não tem esse requisito.

**Sem nível de detalhe sobre terceiros.** A OCPA exige descrever como cada terceiro pode processar os dados. A ICDPA exige apenas categorias.

**Sem direito de correção para descrever.** Como a ICDPA não prevê esse direito, o aviso não precisa descrevê-lo.

**O prazo de 90 dias precisa estar claramente descrito.** Consumidores acostumados com a VCDPA, OCPA e CTDPA esperam respostas em 45 dias. Um aviso que deixa claro que o prazo da ICDPA é de 90 dias evita reclamações desnecessárias.

## Não discriminação

Conforme § 715D.4(3), a empresa não pode discriminar consumidores que exercem seus direitos. Isso inclui negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários ou situações onde o consumidor exerceu opt-out de publicidade direcionada e a empresa ajustou preços em consequência.

## O cure period de 90 dias e sua relação com a Política

Antes de iniciar qualquer ação, o Attorney General do Iowa é obrigado a notificar o controlador e conceder **90 dias para correção** (§ 715D.8(2)). Esse é o cure period mais longo de todas as leis estaduais americanas.

Uma Política de Privacidade desatualizada pode ser corrigida dentro de 90 dias com os processos certos. Mas estruturá-la corretamente desde o início é sempre mais eficiente.

## Como a AdOpt apoia a conformidade com a ICDPA

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de opt-out funciona conforme descrito.

O registro de cada interação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a ICDPA

**Link visível e acessível** em todas as páginas do site.

**Categorias de dados pessoais processados** (§ 715D.4(5)(a)).

**Finalidade do processamento** para cada categoria (§ 715D.4(5)(b)).

**Como exercer os 4 direitos** com canal e prazo de **90 dias** (§ 715D.4(5)(c)).

**Processo de apelação** com prazo de **60 dias** para resposta (§ 715D.3(3)).

**Como contatar o Attorney General** se a apelação for negada (§ 715D.3(3)).

**Categorias de dados compartilhados com terceiros** (§ 715D.4(5)(d)).

**Categorias de terceiros** com quem dados são compartilhados (§ 715D.4(5)(e)).

**Divulgação de venda de dados ou publicidade direcionada** com método de opt-out (§ 715D.4(6)).

**Canal de submissão de solicitações** descrito, sem exigência de nova conta (§ 715D.4(7)).

**Tratamento de dados sensíveis**: aviso claro e opt-out antes do processamento (§ 715D.4(2)).

**Conformidade com COPPA** para dados de crianças (§ 715D.4(2)).

**Política de não discriminação** (§ 715D.4(3)).

**Gratuidade para 2 solicitações** por ano por consumidor (§ 715D.3(2)(c)).

## FAQ: ICDPA e Política de Privacidade

**1. Por que a Política de Privacidade da ICDPA precisa deixar claro o prazo de 90 dias?**
A maioria dos consumidores que já interagiram com aviso de privacidade de outras jurisdições espera respostas em 45 dias. A ICDPA estabelece 90 dias como prazo padrão (§ 715D.3(2)(a)), o que é significativamente diferente. Uma Política que descreve claramente esse prazo ajuda a gerenciar expectativas e evita reclamações de consumidores que esperam uma resposta mais rápida. Descrever o prazo correto também demonstra que a empresa conhece suas obrigações legais específicas.

**2. O aviso de privacidade precisa mencionar o processo de apelação da ICDPA?**
Sim. A § 715D.4(5)(c) exige que o aviso descreva como os consumidores podem exercer seus direitos "incluindo como um consumidor pode apelar de uma decisão do controlador com relação à solicitação do consumidor." Isso significa que o processo de apelação, com prazo de 60 dias para resposta (§ 715D.3(3)), precisa estar descrito. Se a apelação for negada, o aviso também deve indicar como o consumidor pode contatar o Attorney General.

**3. A ICDPA exige a mesma gratuidade de solicitações que a UCPA?**
Não exatamente. A ICDPA garante gratuidade para **2 solicitações** por consumidor por período de 12 meses (§ 715D.3(2)(c)). A UCPA garante gratuidade para apenas **1 solicitação** por período de 12 meses. A VCDPA também garante 2 solicitações gratuitas por ano. A Política de Privacidade precisa refletir corretamente esse número, pois informar "1 vez gratuito por ano" quando a lei garante 2 seria uma imprecisão que poderia gerar reclamações.

**4. A ICDPA tem o mesmo modelo de opt-out para dados sensíveis que a UCPA?**
Sim. Tanto a ICDPA (§ 715D.4(2)) quanto a UCPA (§ 13-61-302(3)) exigem apenas aviso claro e oportunidade de opt-out antes de processar dados sensíveis, sem exigir consentimento prévio ativo. Esse modelo é diferente do opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA. Uma empresa que já está adequada à UCPA e à ICDPA nesse ponto precisaria revisar o processo se quisesse também estar adequada às leis que exigem consentimento.

**5. A ICDPA exige descrição de terceiros no mesmo nível de detalhe que a OCPA?**
Não. A OCPA exige que a descrição dos terceiros seja em nível de detalhe que permita ao consumidor entender que tipo de entidade é e como pode processar os dados. A ICDPA (§ 715D.4(5)(d) e (e)) exige apenas as categorias de dados compartilhados com terceiros e as categorias de terceiros, sem o nível de detalhe adicional da OCPA. Categorias como "plataformas de publicidade digital" e "ferramentas de analytics" são suficientes sob a ICDPA.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


IOWA ICDPA: Política de Privacidade

## Trazemos notícias fresquinhas para vocês, caros leitores e leitoras do blog da AdOpt!

Na data de hoje (25/08/2026), a Agência Nacional de Proteção de Dados (ANPD) publicou uma decisão histórica, aplicando multa contra a plataforma TikTok, no valor total de mais de R$ 153 milhões de reais.

Além disso, a decisão ainda determina uma série de providências, como a eliminação dos dados pessoais de adolescentes entre 13 e 18 anos cadastrados na plataforma, caso não seja regularizada a representação ou assistência legal dos menores na plataforma em até 60 dias úteis.

### O motivo?
O descumprimento da [LGPD](https://goadopt.io/blog/ignorar-a-lgpd/) no tratamento de dados pessoais de menores, violando princípios da LGPD (prevenção, prestação de contas e responsabilização) e a falta de base legal que autorize o tratamento de dados pessoais desse público.

#### De acordo com o processo de fiscalização

Não é de hoje que nós, da AdOpt, já estamos alertando que LGPD é coisa séria. Aliás, estamos trabalhando duro nos bastidores, em eventos, ações de mídia e produção de conteúdo especializado, justamente para conscientizar os titulares de **dados pessoais** (nós, cidadãos comuns) sobre seus direitos e, principalmente, as organizações (empresas, agentes públicos e o mercado em geral) com relação às obrigações legais que surgem com a LGPD.

#### **Você pode estar se perguntando: Mas essa decisão só afeta o TikTok, uma Big Tech bilionária, ou o mesmo também pode acontecer com a minha empresa?**

E é aí que mora o perigo: a LGPD se aplica a todos aqueles que realizam o [tratamento de dados pessoais](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/), especialmente negócios que lidam com dados de crianças e adolescentes. [**O ECA Digital (Lei 15.211/2025)**](https://www.gov.br/mj/pt-br/assuntos/sua-protecao/sedigi/eca-digital/eca-digital-1) traz medidas específicas de proteção aos menores e se aplica a todo produto ou serviço de tecnologia da informação direcionado a crianças e a adolescentes, inclusive para os casos de acesso provável.

A decisão da ANPD que aplicou uma multa milionária contra o TikTok nos deixa algumas lições:

1.  A LGPD precisa ser cumprida
A decisão publicada hoje mostra que a ANPD está **monitorando e fiscalizando** o cumprimento da legislação de proteção de dados pessoais.

2. Não basta só “dizer que faz”
Políticas de Privacidade e [Avisos de Cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/) não são apenas documentos, são declarações. Portanto, se sua empresa diz que faz, mas, na prática, não consegue comprovar o que fez, você tem um problema muito parecido com o do TikTok.

A AdOpt é uma empresa especializada em resolver dois problemas enfrentados pelo TikTok e que a sua empresa também pode estar passando. Ajudamos você e sua empresa a: (i) fazer do consentimento uma base legal adequada para o tratamento de dados pessoais realizado via cookies (art. 7º, I, LGPD), inclusive para o tratamento de dados pessoais de crianças (art. 14, § 1º, LGPD) e adolescentes; e (ii) produzir evidências do tratamento regular dos dados pessoais coletados via cookies, dando cumprimento ao princípio da prestação de contas e responsabilização (art. 6º, X, LGPD).

O primeiro passo é se informar e compreender que realizar qualquer atividade de tratamento de dados pessoais já é um movimento de risco, e que traz uma série de **obrigações legais** de acordo com leis como a LGPD e o ECA Digital.

**Por isso, convidamos você a seguir acompanhando o blog AdOpt para se manter sempre atualizado sobre o universo da proteção de dados pessoais.**

#### Agora, resta agir.

[Fale com o nosso time](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?utm_source=ig&utm_medium=social&utm_content=link_in_bio&utm_campaign=28101560-CS+-+E-mail+-+fluxo+-+cliente+base.&utm_term=funcionamento-aviso-de-cookies) e entenda como a AdOpt pode ajudar o seu negócio na jornada de adequação à LGPD.

## **Perguntas frequentes**

### Por que a ANPD multou o TikTok em mais de R$ 153 milhões?

Segundo a decisão abordada neste artigo, a penalidade está relacionada ao tratamento de dados pessoais de crianças e adolescentes em desacordo com as exigências da legislação brasileira de proteção de dados. Entre os pontos destacados estão a ausência de uma base legal adequada para determinados tratamentos e falhas relacionadas aos princípios de prevenção, responsabilização e prestação de contas previstos na LGPD.

#### A multa aplicada ao TikTok significa que outras empresas também podem ser fiscalizadas pela ANPD?

Sim. A LGPD não se aplica apenas às grandes empresas de tecnologia. Qualquer organização que realize tratamento de dados pessoais pode estar sujeita às obrigações previstas na legislação e à fiscalização da ANPD. O nível de risco pode variar conforme a atividade, especialmente quando há tratamento de dados de crianças e adolescentes, que recebem proteção específica na legislação brasileira.

#### Minha empresa precisa de consentimento para coletar dados por cookies?

Depende da finalidade e do tipo de dado tratado. O consentimento é uma das bases legais previstas pela LGPD e pode ser necessário em determinadas situações, especialmente quando a organização utiliza cookies para atividades que dependem da manifestação válida do usuário. Além de solicitar o consentimento quando aplicável, a empresa precisa conseguir demonstrar como essa escolha foi registrada e respeitada.

#### Apenas ter uma Política de Privacidade e um Aviso de Cookies é suficiente para estar em conformidade com a LGPD?

Não. Esses documentos são importantes para dar transparência ao tratamento de dados, mas precisam refletir o que realmente acontece na prática. Se uma empresa informa que respeita determinadas escolhas dos usuários, mas continua coletando ou compartilhando dados de forma incompatível com essas declarações, ela pode enfrentar problemas de conformidade e dificuldade para demonstrar suas práticas.

#### Como minha empresa pode comprovar que respeita as escolhas dos usuários sobre cookies?

A empresa precisa adotar mecanismos capazes de registrar e demonstrar as escolhas realizadas pelos usuários, além de garantir que essas preferências sejam efetivamente aplicadas. Uma plataforma de gestão de consentimento pode ajudar a organizar esse processo, registrando evidências relacionadas ao consentimento e contribuindo para a prestação de contas exigida pela LGPD.

#### O tratamento de dados de adolescentes exige cuidados especiais?

Sim. O tratamento de dados pessoais de crianças e adolescentes exige atenção reforçada às regras previstas na LGPD e em outras normas aplicáveis, como o ECA Digital. Empresas que oferecem produtos, serviços ou experiências digitais acessíveis a esse público precisam avaliar cuidadosamente suas práticas de coleta, uso e compartilhamento de dados, além de garantir mecanismos adequados de proteção e transparência.



TikTok é multado pela ANPD. O que isso tem a ver com a minha empresa?

Dânton Zanetti

Voltamos ao assunto do momento, caros leitores e leitoras do blog da AdOpt.

Em 25 de agosto de 2026, a Autoridade Nacional de Proteção de Dados publicou o Despacho Decisório nº 27/2026 e aplicou ao TikTok multa de R$153.769.671,33. A decisão também determinou a eliminação dos dados de adolescentes entre 13 e 18 anos sem representação legal regularizada em 60 dias úteis, além da comunicação dessa exclusão a todos os terceiros com quem esses dados foram compartilhados.

Já escrevemos por aqui sobre a decisão em si. Agora queremos olhar para ela por um ângulo mais específico: **o de [quem tem uma loja virtual](https://goadopt.io/blog/ecommerce-brasil-e-lgpd-guia-completo-para-se-adequar-e-vender-mais/).**

## **Você pode estar se perguntando:**

Mas a minha loja não é uma rede social, o que o caso TikTok tem a ver com o meu negócio?
A relação não está nos vídeos de dancinhas. Está na forma como se coletam dados de quem apenas navega pelo site, sem se cadastrar, e na [base legal](https://goadopt.io/blog/bases-legais-da-lgpd/) usada para justificar essa coleta. E é aqui que as semelhanças com o caso TikTok começam chamar a atenção.

### **O ponto que liga o TikTok à sua loja virtual**

Boa parte da análise da ANPD recaiu sobre o chamado feed sem cadastro, a experiência oferecida a quem usa o aplicativo sem criar conta. Mesmo sem login, a plataforma coletava interações com os vídeos, configurações do dispositivo, idioma, país e fuso horário.

 

A empresa alegou que não havia identificação dos usuários, apenas cálculos numéricos com dados estatísticos de navegação, usados para recomendar vídeos. A ANPD não aceitou o argumento. Entendeu que essas informações são dados pessoais e que a prática configura, sim, formação de perfil comportamental.

 

Agora o passe de mágica. Substitua feed sem cadastro por visitante não logado. Substitua recomendação de vídeos por vitrine personalizada, remarketing e anúncio. É isso que acontece em praticamente todo e-commerce brasileiro, todos os dias, por meio da [coleta de dados via cookies](https://goadopt.io/blog/cookies-e-lgpd/).

 

A decisão da ANPD não é especificamente sobre cookies, mas sobre o tratamento de dados de crianças e adolescentes. Os [princípios da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) foram apenas aplicados para as atividades do TikTok. Esses mesmos princípios valem para o seu site e é por isso que ela exige atenção de quem vende online.

## Cinco alertas de risco que a decisão traz para o seu e-commerce

### Escolher a base legal no piloto automático
O TikTok entrega conteúdo personalizado a partir da base legal de execução de contrato, o inciso V do artigo 7º da LGPD. A ANPD rejeitou: a hipótese exige que o titular seja parte do contrato e alcance apenas o que é estritamente necessário ao núcleo dele. E quem usa o TikTok sem cadastro não tem um contrato com a plataforma.

 

No e-commerce, o erro equivalente é classificar cookies de publicidade, remarketing e medição de audiência como necessários, ou acomodá-los no legítimo interesse sem estudo prévio e sem documentação que sustente a escolha. Para cookies não necessários, a base adequada é o consentimento, o inciso I do mesmo artigo 7º.

 

Vale lembrar que a LGPD tem dez hipóteses legais e o consentimento é apenas uma delas. A escolha certa para cada finalidade de tratamento é o fundamental para qualquer empresa que pretende estar adequada. Para saber mais, confira o artigo que escrevemos em detalhe sobre as [bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/).

 
 

### Coletar antes de perguntar
Se a coleta acontece no instante em que a página abre, ela já aconteceu antes de qualquer manifestação do titular. E [consentimento](https://goadopt.io/blog/consentimento-site-lgpd/) obtido depois não valida o tratamento de dados feito antes da autorização do titular.

 

Conforme a decisão da ANPD, esse erro vai custar mais de R$ 63 milhões de reais e se refere justamente à violação do princípio da prevenção, o inciso VIII do artigo 6º da LGPD.

Repare no que foi decidido pela ANPD: não basta ter a intenção de respeitar a escolha do visitante. É preciso que o site esteja organizado para que nada desnecessário aconteça antes dela. Prevenção não é promessa, depende de ações práticas.

Quer saber o que a sua loja coleta antes de qualquer clique do visitante? [Converse com a nossa equipe](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria).

 
 

### Não conseguir provar o que foi feito
Outra parte da [multa](https://goadopt.io/blog/multas-na-lgpd/) aplicada, a bagatela de mais de R$ 27 milhões de reais, veio da violação ao princípio da responsabilização e prestação de contas, o inciso X, do artigo 6º da LGPD. A decisão exigiu a apresentação de um relatório técnico com registros de auditoria assinado pelo [Encarregado](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), sob pena de multa diária.

A pergunta que fica é direta: se a ANPD pedir hoje, você consegue demonstrar quem consentiu, quando, para quais finalidades e o que aconteceu a partir disso?

Se a resposta for “não”, ou uma narrativa em vez de um registro, o problema não é jurídico, é de estrutura.

 
 

### O efeito cascata dos terceiros
A ANPD determinou que o TikTok agora deve comunicar a obrigação de exclusão a todos os parceiros com quem compartilhou dados, e que comprove essa comunicação.

Pense na sua empresa por um instante. Sua loja virtual compartilha dados com plataformas de anúncio, ferramentas de análise, CRM, régua de e-mail, canal de venda. Se a base legal cai, é preciso saber quais dados foram compartilhados, com quem foram compartilhados e o mais importante: avisar cada um dos parceiros sobre a necessidade de exclusão de dados.

 

Na prática, sabemos que esse plano de ação dificilmente foi estruturado e está organizado. E não é por desleixo. A operação de uma loja que vende muda toda semana: entra uma campanha, sai um parceiro, alguém instala uma ferramenta nova para testar por quinze dias e esquece de remover... o resultado é que as informações sobre compartilhamento de dados (ou seja, quem recebe dados da sua operação) precisa sair da cabeça do gestor e passar para o papel.

 

Esses [processos internos precisam ser documentados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/).

 

Quem vende também em marketplace conhece a sensação de não saber exatamente onde termina a responsabilidade de um lado e começa a do outro. Já tratamos disso em [marketplace e adequação à LGPD](https://goadopt.io/blog/marketplace-vtex-e-lgpd-como-funciona-adequacao-e-protecao-de-dados/), e a conclusão é sempre a mesma: canal compartilhado não dilui responsabilidade, distribui.

 
 

### Público infantojuvenil e o “acesso provável” à plataforma
O TikTok argumentou que menores de 13 anos não são autorizados pelos seus Termos de Uso. A ANPD entendeu que a simples proibição nos [termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/) da plataforma não impede o acesso de crianças e adolescentes e que o mecanismo de autodeclaração de idade é uma salvaguarda frágil, podendo ser burlada facilmente.

 

Um e-commerce voltado ao público infantojuvenil, como uma loja de brinquedos, games ou de moda infantil, deve ter especial atenção para atender as obrigações legais previstas no ECA Digital (Lei 15.211/2025), que alcança sites, aplicativos que ofertam produtos e serviços nos quais se pode presumir um “acesso provável” por menores de idade.

 

**O critério – note bem – não é apenas para quem você quis vender, mas também deve considerar o público que provavelmente vai chegar até a sua loja virtual.**

 

Quer entender onde a sua loja virtual está nisso hoje? [Fale com o nosso time e comece pelo diagnóstico](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria).

 
 

### **Três lições que ficam**
Aviso de cookies é declaração, e quem declara tem que provar
Como já dissemos por aqui: não basta dizer que faz. O [banner](https://goadopt.io/blog/banner-de-cookies/) é a promessa, é compromisso. O registro do consentimento é a prova de que o usuário do seu site tem conhecimento sobre o tratamento de dados pessoais. Sem registro íntegro e auditável, a sua empresa fica fragilizada perante uma fiscalização da ANPD.

 

É por isso que insistimos numa distinção que o mercado costuma ignorar. Um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) é o que o visitante vê. A infraestrutura de consentimento é o que sustenta aquilo: a varredura que descobre o que roda de verdade no seu domínio, incluindo o que alguém subiu no meio da campanha, o registro legal de cada escolha e a atualização conforme a lei e as exigências das plataformas mudam. Uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) séria é a segunda coisa. A primeira é apenas a janela.

 

### Rejeitar cookies precisa ser tão fácil quanto aceitar
No [Guia Orientativo sobre cookies](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/), publicado em outubro de 2022, a ANPD orienta que o botão para rejeitar cookies não necessários seja de fácil visualização e que a revogação das autorizações dadas pelo titular seja viabilizada de forma gratuita e facilitada.

 

Todo consentimento obtido pelo cansaço não é livre. Portanto, não é autoriza o tratamento de dados pessoais, de acordo com o artigo 5º, XII, da LGPD (que define o consentimento como “manifestação livre, informada e inequívoca”).

 

O design do aviso de cookies é tão importante quanto o seu conteúdo, pois é ali que o titular visualiza e compreende como seus dados serão tratados. E isso traz impactos até mesmo na taxa de interação e aceite dos usuários do seu e-commerce.

 
 

### Transparência genérica traz falsa sensação de proteção
O titular precisa saber a finalidade específica de cada cookie, o prazo de retenção e com quem os dados são compartilhados. Texto genérico não informa. E, sem informação, não existe consentimento informado.

 

Existe uma diferença prática entre informar e avisar. Avisar é dizer que você usa cookies. Informar é dizer para quê, por quanto tempo e com quem compartilha. O primeiro cumpre uma formalidade. O segundo é o que permite ao visitante decidir de verdade, e é só a decisão de verdade que serve como base legal.

 

Vale revisar a sua política de cookies e a sua [política de privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) com uma pergunta simples: esse documento descreve o que o meu site faz de fato, ou descreve o que eu gostaria que ele fizesse?

 
 

## **Todo cookie precisa de consentimento?**
Aqui vem a boa notícia: saber que boa parte do mercado peca pelo excesso.

 

Não, a sua loja não precisa pedir consentimento para todo e qualquer cookie. O Guia Orientativo da ANPD separa as coisas com clareza. Os cookies necessários são aqueles sem os quais a navegação do usuário simplesmente não funciona e que, portanto, não precisam de uma autorização para processamento (ou seja, não precisam de consentimento).

 

No e-commerce essa lista é fácil de reconhecer: o **cookie** que mantém o produto no carrinho quando o visitante muda de página, o que sustenta a sessão de quem fez login, o que garante o funcionamento dos fluxos de pagamento, o que protege contra fraudes no momento do envio de formulários, entre outros.

 

Esses cookies não dependem de consentimento. Existem outras bases legais que justificam o tratamento dos dados. Consequentemente, não é necessário permitir a recusa no aviso de cookies (até porque não faria sentido oferecer ao visitante a chance de desligar o próprio carrinho). O que você deve fazer é informar que eles existem e para que servem.

 

Se isso nunca foi pensado para a sua loja, [agende uma conversa com a AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria) e desenhe esses processos com quem faz isso todos os dias.

 

Já os cookies não essenciais são outra história: publicidade, remarketing, perfilamento, teste de vitrine, mapa de comportamento... esses cookies exigem, em regra, consentimento prévio. E é justamente essa fronteira que a maioria das lojas nunca desenhou com clareza.

Entender essa diferença é o que permite cumprir a LGPD, parar de coletar consentimento para tudo e passar a pedir autorização só para o que importa.

 
 

### O visitante que não compra também é titular
Se você levar só essa lição a partir desse artigo, já ficamos super felizes.

 

Cada visitante da sua loja virtual, mesmo sem se cadastrar ou fazer uma compra também é considerado um titular de dados pessoais se os cookies do seu site fazem o rastreamento da navegação do usuário.

 

Nesse ponto, o TikTok acabou sendo penalizado, pois a ANPD entendeu que a coleta de dados sobre o perfil comportamental de usuários (cadastrados ou não na plataforma) também configuram atos de tratamento de dado pessoal.
Por isso, entender as categorias de cookies, suas finalidades e separar corretamente quem são os titulares que serão impactados por cada tipo de cookie é fundamental para toda e qualquer loja virtual.

 
 

**Informação bônus: segundo pesquisa publicada no portal Voz do Consumidor 2024, da PwC, 90% dos entrevistados no Brasil apontaram a proteção dos seus dados pessoais como um dos fatores mais importantes para confiar em uma empresa.**

 

Seguir a LGPD não é apenas uma preocupação para evitar multas. É parte central da construção de relacionamento com o seu cliente, gerando confiança para o seu negócio.

 
 

## **Perguntas frequentes**

### **A decisão do caso TikTok significa que a ANPD vai multar e-commerces?**
Não é possível afirmar isso. O que a decisão mostra é que a ANPD pode vir a fiscalizar empresas – incluindo e-commerces – por motivos similares aos que levaram à aplicação de multa contra o TikTok, especialmente o tratamento de dados pessoais de crianças e adolescentes sem os cuidados exigidos na LGPD (princípios, bases legais, provas de registro do tratamento de dados).

#### **Minha loja precisa de consentimento para todos os cookies?**
Não. Cookies necessários ao funcionamento, como carrinho, sessão de login e fluxo de pagamento, se apoiam em outra base legal e não aparecem como opção recusável no aviso. Você deve informar que eles existem e para que servem. Cookies não essenciais, especialmente de publicidade e perfilamento, exigem em regra consentimento prévio, conforme o Guia Orientativo da ANPD sobre cookies.

#### **Visitante que não se cadastra e não compra também importa?**
Importa. A decisão do caso TikTok mostra que mesmo sem um login de cadastro, pode haver tratamento de dados pessoais de quem acessa e navega em um site. A ANPD entendeu que dados de navegação, dispositivo, idioma e localização e que o uso deles para formação de perfis comportamentais pode configurar tratamento sujeito à LGPD.

#### **O que a ANPD aceita como prova de consentimento?**
Registro, não descrição. A decisão contra o TikTok exigiu relatório técnico com registros de auditoria assinado pelo Encarregado, sob pena de multa diária. No caso de um e-commerce, o equivalente seria conseguir comprovar quem consentiu, em que data, para quais finalidades e sob qual versão do aviso, de forma íntegra e auditável.

#### **Uso ferramentas de terceiros na minha loja. De quem é a responsabilidade?**
Depende. Quem decide instalar uma ferramenta de terceiros na própria loja virtual, também responde pelo que acontece durante a coleta e tratamento de dados pessoais. O parágrafo 1º, do artigo 42 da LGPD prevê responsabilidade solidária entre agentes de tratamento pelos danos causados ao titular. Terceirizar a ferramenta não afasta responsabilidade.

A AdOpt é especializada em resolver dois problemas que o TikTok enfrentou e que o seu e-commerce também pode estar enfrentando: fazer do consentimento uma base legal adequada para o tratamento realizado via cookies, inclusive quando envolve crianças e adolescentes, e produzir as evidências desse tratamento, dando cumprimento ao princípio da prestação de contas.

Agora resta agir. Fale com o nosso time e entenda como a [AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria) pode ajudar a sua loja na jornada de adequação à LGPD.

Todos artigos