Uma vez que já temos o caminho dos dados dentro da sua empresa, precisamos destacar 2 aspectos da LGPD que vão te ajudar a determinar até onde vai a sua responsabilidade frente a tantos pontos listados na empresa. Estou falando da diferença entre Controlador e Operador de dados.

## Como determinar as diferenças entre as partes?

Um exemplo simples seriam os papéis entre uma empresa e sua agência de marketing. Neste caso a empresa seria o controlador e a agência o operador dos dados, pois, suas funções são distintas na cadeia de serviços e responsabilidades.

### Sempre se coloque no lugar do Titular dos Dados.

Por exemplo, quando ele for até um e-commerce comprar algum produto, na ótica dele, a quem ele está confiando os seus dados pessoais para realizar aquela compra?

Tem como ele saber se a agência recebe o lead e depois cadastra na ferramenta de e-mail marketing? Não. Isso então, faz do e-commerce o _controlador_ e da agência a _operadora_ dos dados. Logicamente cada um tem o seu papel perante a lei, mas, todos são corresponsáveis, em suas funções, para com os cuidados devidos aos dados dos titulares.

Assim sendo, no seu [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/), que falávamos a algumas linhas atrás; qual o seu papel: controlador ou o operador dos dados? Ou até mesmo, dependendo do seu modelo de negócios, os dois dependendo da etapa?

É importante que você destaque isso pois, assim como as suas responsabilidades são diferenciadas de acordo com o papel que você executa, a maneira como você vai conduzir uma solicitação de exclusão e, ou download dos dados é diferente. Pois, pode ser que você tenha os dados em mãos e também tenha e a capacidade para entrega-los aos titulares.

Mas, também pode acontecer que você só possa apontar ao controlador esse poder, afinal, você é apenas um elo na corrente, e não tem acesso aos dados diretamente, mas, a alguma criptografia que te dê apenas a visualização anonimizada destes.

## Mais exemplos entre Controlador e Operador de Dados - LGPD

Outros exemplos comuns onde há papeis diferentes, mas, uma corresponsabilidade clara para com os dados e seu uso,são:

### Empresa <> Contabilidade Terceira. Empresa Imobiliária <> Corretores Terceirizados. Fundo de Investimento <> Agentes Autônomos. E-commerce <> Empresas de Logística e serviços de entrega. Escritórios de Advocacia <> Dados de qualificação dos clientes e seus funcionários.

Enfim, acredito que esteja claro a importância de uma listagem precisa de todos os controladores e operadores de dados dentro do mapeamento da sua empresa. Com isso em mãos, é recomendável que você faça o link de todos os envolvidos no processo de acordo a sua política de privacidade e termos de uso.

Futuramente, podemos falar das obrigatoriedades prescritas na lei.

Mas, isso você também pode consultar diretamente com o seu advogado, ainda mais se você tiver alguma legislação que se sobreponha à LGPD.

Em nosso próximo artigo, adentramos as [responsabilidades do DPO ou Encarregado de Dados.](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) Te espero lá.

As diferenças entre Operador e Controlador dos Dados - LGPD

Texas TDPSA: DSAR Portal da Privacidade e do Titular

João Bruno Soares

New Hampshire NHDPA: DSAR Portal do Titular

## Florida FDBR: Política de Privacidade

Se a Florida Digital Bill of Rights (FDBR) se aplica à sua empresa, você tem obrigações específicas sobre o que precisa estar na Política de Privacidade, como ela deve ser apresentada, e com que frequência precisa ser atualizada.

Esta página cobre uma parte do quadro. Para o escopo completo da FDBR — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da FDBR e cookies](https://goadopt.io/blog/fdbr-florida-e-cookies-tudo-o-que-voce-precisa-saber/).

A FDBR (§§ 501.701 a 501.721), em vigor desde 1º de julho de 2024, tem um requisito que a diferencia das outras leis estaduais americanas: o aviso de privacidade deve ser atualizado **pelo menos anualmente**, não apenas quando houver mudanças materiais nas práticas de processamento.

Este artigo foca exclusivamente no que a FDBR exige da sua Política de Privacidade, ponto a ponto, com base no texto oficial da lei.

## O que a FDBR chama de Privacy Notice

A lei usa o termo "privacy notice", aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem, mas com requisitos de conteúdo e atualização específicos.

O § 501.711 determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível e claro, atualizado pelo menos anualmente", contendo seis categorias de informação obrigatórias.

## O que precisa estar na Política de Privacidade sob a FDBR

### 1. Categorias de dados pessoais processados

O documento precisa listar as categorias de dados pessoais que a empresa processa, incluindo, se aplicável, quaisquer dados sensíveis processados (§ 501.711(1)(a)).

A FDBR é explícita em exigir a menção específica de dados sensíveis quando eles são processados. Isso cria um nível adicional de clareza em relação a outras leis estaduais.

Dados pessoais sob a FDBR (§ 501.702(19)) incluem qualquer informação vinculável a um indivíduo identificado ou identificável, incluindo dados pseudonimizados quando usados em conjunto com informações que vinculem o indivíduo. Dados de geolocalização, identificadores de dispositivos, histórico de navegação e dados biométricos estão dentro desse escopo.

### 2. A finalidade do processamento

O documento precisa explicar para quê os dados são utilizados (§ 501.711(1)(b)).

As finalidades precisam ser específicas e corresponder ao que acontece de fato. O § 501.71(2)(a) proíbe o processamento para finalidades incompatíveis com as declaradas, salvo com consentimento.

O § 501.711(5) vai além: o controlador não pode coletar categorias adicionais de dados nem usar dados coletados para finalidades adicionais sem fornecer aviso ao consumidor previamente. Qualquer expansão do escopo de coleta ou uso precisa ser comunicada.

### 3. Como os consumidores exercem os sete direitos

O documento precisa descrever como os consumidores podem exercer todos os direitos garantidos pela FDBR (§ 501.711(1)(c)), incluindo o processo de apelação.

Diferente da maioria das outras leis estaduais que garantem cinco direitos, a FDBR garante **sete**. A Política de Privacidade precisa descrever como o consumidor pode exercer cada um deles:

O direito de acesso e confirmação.

O direito de correção.

O direito de exclusão.

O direito de portabilidade.

O direito de opt-out de publicidade segmentada, venda de dados e perfilamento com efeitos significativos.

O direito de opt-out da coleta de dados sensíveis, incluindo geolocalização precisa.

O direito de opt-out da coleta via reconhecimento de voz ou reconhecimento facial.

E como funciona o processo de apelação quando uma solicitação é recusada.

O [encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) precisa ter esses fluxos mapeados e operacionalizados antes da publicação do documento.

### 4. Categorias de dados compartilhados com terceiros

Se a empresa compartilha dados com terceiros, o documento precisa informar quais categorias de dados são compartilhadas (§ 501.711(1)(d)).

Isso inclui plataformas de analytics, CRMs, ferramentas de e-mail marketing, redes de anúncios, processadores de pagamento, e qualquer outro serviço que receba dados dos usuários.

Na FDBR, o conceito de "venda" é mais amplo do que em outras leis. O § 501.702(29) inclui compartilhamento por contrapartida não monetária além da monetária. Uma empresa que troca dados com parceiros para receber serviços ou outros benefícios pode estar realizando "venda" sob a definição da FDBR.

### 5. Categorias de terceiros com quem os dados são compartilhados

Além das categorias de dados, a Política precisa informar quais categorias de terceiros os recebem (§ 501.711(1)(e)).

Categorias como "plataformas de anúncios digitais", "ferramentas de analytics", "CRMs" e "processadores de pagamento" são exemplos válidos. As categorias precisam ser identificáveis o suficiente para o consumidor entender quem acessa os dados.

### 6. Descrição dos métodos de submissão de solicitações

O § 501.711(1)(f) exige que a Política descreva os métodos especificados no § 501.709 para que os consumidores submetam solicitações.

Aqui está uma exigência específica da FDBR: o controlador precisa ter **dois ou mais métodos** de submissão de solicitações, conforme § 501.709. Esses métodos precisam ser seguros, confiáveis e claramente acessíveis. A Política de Privacidade precisa descrevê-los.

A empresa também precisa manter um mecanismo no próprio site para submissão de solicitações. Empresas que operam exclusivamente online e têm relação direta com o consumidor podem adicionalmente aceitar solicitações por e-mail.

## Avisos especiais obrigatórios para venda de dados sensíveis e biométricos

A FDBR tem dois avisos específicos que não existem em outras leis estaduais americanas.

Se o controlador vende dados pessoais que são dados sensíveis, deve exibir o seguinte aviso em conformidade com os requisitos do § 501.711(1): **"NOTICE: This website may sell your sensitive personal data."**

Se o controlador vende dados pessoais que são dados biométricos, deve exibir: **"NOTICE: This website may sell your biometric personal data."**

Esses avisos precisam estar posicionados de forma acessível no aviso de privacidade e são obrigatórios sempre que essas práticas ocorrerem.

## Divulgação de publicidade segmentada e venda de dados

Se a empresa vende dados pessoais a terceiros ou os processa para publicidade segmentada, o § 501.711(4) exige divulgação clara e conspícua dessa prática, junto com a forma como o consumidor pode exercer o opt-out.

A FDBR define publicidade segmentada (§ 501.702(33)) de forma mais ampla do que outras leis: inclui anúncios baseados em dados de atividades do consumidor em sites **afiliados ou não afiliados** ao longo do tempo. Isso amplia o escopo em relação a leis como a VCDPA, que cobre apenas não afiliados.

## A atualização anual obrigatória

O § 501.711(1) é explícito: o aviso de privacidade precisa ser atualizado **pelo menos anualmente**. Não basta atualizar apenas quando há mudanças materiais, como é a prática comum em outras leis.

Na prática, isso significa que toda empresa no escopo da FDBR precisa ter um processo interno de revisão anual da Política de Privacidade, mesmo que nada tenha mudado substancialmente nas práticas de processamento.

Situações que exigem atualização imediata (além da revisão anual):

Adição de nova categoria de dados coletados.

Uso de dados existentes para novas finalidades.

Novos parceiros que recebem dados dos consumidores.

Mudanças nas práticas de venda de dados.

Introdução de novas funcionalidades de reconhecimento de voz ou facial.

## Proteção de dados sensíveis: exigências adicionais

Dados sensíveis têm tratamento especial na FDBR. A Política de Privacidade precisa identificar explicitamente se dados sensíveis são coletados e quais categorias.

Conforme § 501.702(31), são dados sensíveis: origem racial ou étnica, crenças religiosas, diagnóstico de saúde física ou mental, orientação sexual, status de cidadania ou imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e dados de geolocalização precisa.

Para cada categoria de dados sensíveis coletados, a Política precisa explicar como o consentimento do consumidor é obtido e como pode ser revogado.

Para crianças conhecidas entre 13 e 18 anos, a FDBR exige autorização afirmativa delas (§ 501.71(2)(d)). Para menores de 13, aplica-se a COPPA.

## A proibição de vigilância por dispositivos

O § 501.705(3) proíbe que dispositivos com recursos de reconhecimento de voz, reconhecimento facial, gravação de vídeo, gravação de áudio, ou outros recursos de coleta de dados sejam usados para vigilância quando não estão em uso ativo pelo consumidor, sem sua autorização expressa.

A Política de Privacidade precisa mencionar essa proibição e descrever como os dispositivos da empresa são configurados para respeitá-la.

## Dados de crianças: "criança" é quem tem menos de 18 anos

A FDBR usa uma definição mais ampla de "criança conhecida" (§ 501.702(17)): qualquer indivíduo menor de **18 anos** sobre cuja idade o controlador tem conhecimento real ou deliberadamente desconsidera.

Isso é diferente da maioria das outras leis americanas, que usam 13 anos como limiar. Se o site pode ter usuários menores de 18 anos e isso é do conhecimento do controlador, as proteções especiais da FDBR se aplicam.

A Política de Privacidade precisa mencionar como os dados de usuários conhecidos menores de 18 anos são tratados de forma diferenciada.

## Avaliações de proteção de dados

O § 501.713 exige que os controladores conduzam e documentem Data Protection Assessments para:

Processamento de dados para publicidade segmentada.

Venda de dados pessoais.

Processamento para perfilamento com risco previsível de dano.

Processamento de dados sensíveis.

Qualquer processamento com risco elevado de dano.

As avaliações precisam identificar e pesar os benefícios do processamento contra os riscos potenciais para os direitos do consumidor. Elas são confidenciais. O Departamento de Assuntos Jurídicos pode solicitar acesso, e a divulgação mediante solicitação não configura renúncia ao privilégio advogado-cliente.

A Política de Privacidade não precisa publicar as avaliações, mas deve comunicar que a empresa realiza avaliações de impacto para atividades de alto risco.

## Retenção de dados: o limite de 2 anos

O § 501.719(3) exige a adoção de um cronograma de retenção que proíba o uso ou a retenção de dados após:

O cumprimento da finalidade inicial da coleta.

O vencimento ou encerramento do contrato.

**2 anos após a última interação do consumidor com o controlador.**

A Política de Privacidade deve mencionar os períodos de retenção adotados para cada categoria de dados e a existência desse limite de 2 anos.

## Fiscalização e penalidades

As violações da FDBR são tratadas como prática comercial desleal e enganosa pelo Departamento de Assuntos Jurídicos, com penalidades de até **US$ 50.000 por violação**.

As penalidades são triplicáveis para violações envolvendo crianças floridanas conhecidas, falha em excluir ou corrigir dados após solicitação, e continuação de venda ou compartilhamento após opt-out do consumidor.

O cure period de 45 dias é discricionário. Não há garantia de que será concedido, e para violações envolvendo crianças, ele não se aplica.

## Como a AdOpt apoia a conformidade com a FDBR

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de consentimento e opt-out funciona conforme descrito, incluindo os direitos adicionais específicos da FDBR.

O registro de cada interação de consentimento fica documentado. Se o Departamento pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a FDBR? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a FDBR

**Link visível e acessível** em todas as páginas do site.

**Atualizada pelo menos anualmente**, mesmo sem mudanças materiais (§ 501.711(1)).

**Categorias de dados pessoais processados**, incluindo dados sensíveis se aplicável (§ 501.711(1)(a)).

**Finalidade do processamento** para cada categoria, sem descrições vagas (§ 501.711(1)(b)).

**Como exercer todos os 7 direitos** garantidos pela FDBR, com processos, canais e prazos (§ 501.711(1)(c)).

**Processo de apelação** descrito com prazo de 60 dias.

**Categorias de dados compartilhados com terceiros** (§ 501.711(1)(d)).

**Categorias de terceiros** que recebem dados (§ 501.711(1)(e)).

**Descrição dos dois ou mais métodos** de submissão de solicitações (§ 501.711(1)(f)).

**Aviso de venda de dados sensíveis** quando aplicável (§ 501.711(2)).

**Aviso de venda de dados biométricos** quando aplicável (§ 501.711(3)).

**Divulgação de publicidade segmentada ou venda de dados** com opt-out acessível (§ 501.711(4)).

**Tratamento diferenciado para crianças conhecidas** menores de 18 anos (§ 501.702(17)).

**Proibição de vigilância por dispositivos** e como ela é implementada (§ 501.705(3)).

**Períodos de retenção** de cada categoria de dados, com o limite de 2 anos (§ 501.719(3)).

**Política de não discriminação** para consumidores que exercem seus direitos.

**Atendimento gratuito pelo menos duas vezes por ano** por consumidor.

## FAQ: FDBR e Política de Privacidade

**1. A FDBR exige que a Política de Privacidade seja atualizada anualmente mesmo sem mudanças?**
Sim. O § 501.711(1) é explícito ao exigir que o aviso de privacidade seja "atualizado pelo menos anualmente". Isso é diferente de outras leis estaduais americanas que exigem atualização apenas quando há mudanças materiais. Empresas no escopo da FDBR precisam ter um processo interno de revisão anual obrigatória.

**2. Quais avisos específicos a FDBR exige que não existem em outras leis?**
A FDBR exige dois avisos específicos. Se o controlador vende dados sensíveis, deve exibir: "NOTICE: This website may sell your sensitive personal data." Se vende dados biométricos: "NOTICE: This website may sell your biometric personal data." Esses avisos são exclusivos da FDBR entre as leis estaduais americanas (§ 501.711(2) e (3)).

**3. Como a FDBR define "criança" de forma diferente das outras leis?**
A FDBR define "criança conhecida" como qualquer indivíduo menor de 18 anos sobre cuja idade o controlador tem conhecimento real ou deliberadamente desconsidera (§ 501.702(17)). A maioria das outras leis estaduais usa 13 anos. Isso significa que empresas no escopo da FDBR precisam ter proteções específicas para usuários até 17 anos, não apenas para menores de 13.

**4. A Política de Privacidade precisa mencionar a proibição de vigilância por dispositivos?**
Sim. O § 501.705(3) proíbe que dispositivos com recursos de voz, vídeo, reconhecimento facial ou outros sensores sejam usados para vigilância quando não estão em uso ativo pelo consumidor, sem autorização expressa. Para empresas que operam dispositivos com essas funcionalidades, a Política de Privacidade deve descrever como a proibição é respeitada na prática.

**5. O que acontece se a Política de Privacidade não for atualizada anualmente?**
A ausência de atualização anual configura violação do § 501.711(1). O Departamento de Assuntos Jurídicos pode conceder um cure period de 45 dias para correção, mas esse prazo é discricionário. Se não corrigido, as penalidades chegam a US$ 50.000 por violação, podendo ser triplicadas em circunstâncias específicas (§ 501.72).

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a FDBR? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Florida FDBR: Política de Privacidade

Como o seu site lida com a LGPD? Quais são as estratégias que ele usa para cumprir a [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)? Já pensou em usar um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) mas não sabe se seu site tem [cookies](https://goadopt.io/blog/cookies-e-lgpd/) ou se é o suficiente? Caso você não saiba responder a essas questões, cuidado! Sua página pode estar exposta a multas e outras sanções.

Abaixo, confira 5 indícios que demonstram que suas estratégias ou não existem, ou não estão funcionando conforme deveria. Por isso, continue lendo e confira para garantir a adequação necessária do seu site aos preceitos da lei que normatiza o consentimento do uso de dados.

## 5 sinais de que você precisa de uma estratégia de consentimento LGPD para ontem

Confira os 5 principais sinais de que o seu site não está de acordo com a LGPD e, depois, veja como começar sua adequação!

## 1 - Você não tem controle sobre os dados que capta e que usa
Esse é um sinal inquestionável sobre a necessidade de rever a forma como você enxerga a LGPD. Afinal, ela dispõe quanto ao uso de dados de terceiros.

Ela exige que haja o respeito à privacidade do usuário, bem como à vontade dele. Portanto, o uso de dados sempre deve ser informado. Não só isso, mas também os fins aos quais se direcionam, à forma de arquivamento e ao prazo de uso.

Assim, considere que se você não sabe quais são os dados que capta, como vai informar ao visitante? Ainda, como vai garantir que o uso dessas informações se dá dentro dos limites impostos pelo titular?

Essas são questões importantes que indicam que algo não está correto no seu site em relação à LGPD e às imposições dela.

LPs criadas sem controle, conteúdos ricos disponíveis para download sem aceite dos termos e política, mailings sendo compartilhados e passando de campanha por campanha… Cuidado!

Separei esse artigo para você, caso esse seja o seu caso:

[Entenda o significado da LGPD para a sua empresa.](https://goadopt.io/blog/significado-da-lgpd/)

## 2 - Não há informação sobre o uso de cookies

Os cookies são outros tipos de dados que, a princípio, deveriam ser informados pelos sites aos seus visitantes. Afinal, eles também captam informações sobre esses titulares e, portanto, entram no conceito de uso de dados do qual a LGPD trata.

O uso de cookies é quase que natural pela maioria dos sites, principalmente se eles vêm de plataformas de ecommerce, por exemplo.

_### Para verificar se seu site dispara cookie,acesse-o pelo computador e - no Google Chrome, clique no cadeado logo à esquerda do endereço. Ele deve mostrar exatamente quais e quantos são._

Contudo, muitas páginas deixam de encarar os cookies como eles realmente são: arquivos de dados e informações pessoais. Por isso, a inexistência dessa comunicação ao visitante do seu site, é perigosa por poder ser uma infração à Lei.

Aliás, não só ela, mas a captação deles sem que, para isso, haja a autorização prévia dos cookies. Sabe aquele pop-up “Nós usamos Cookies”? Pois saiba que ele não está ali à toa.

Ele é uma forma de cumprimento da LGPD na medida em que informa o uso desse tipo de arquivo ao mesmo tempo em que capta a autorização para utilizá-los.

- Neste artigo te ajudo a entender mais sobre o [consentimento como uma Base Legal da LGPD.](https://goadopt.io/blog/bases-legais-da-lgpd/)
- Neste, [como escolher uma CMP - Plataforma de Gestão de Consentimentos adequada para o seu site.](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)

## 3 - Política de Privacidade e Termos de Uso genéricos

Seu site provavelmente tenha documentos tais como Política de Privacidade e Termos de Uso. Eles informam, respectivamente, o uso de dados dos visitantes (e captam autorização para isso) e as normas ali vigentes, direitos e deveres.

Portanto, eles são muito importantes, especialmente em tempos de LGPD! Eles são elementos que se destacam pelo teor informativo de modo a promover a transparência com o titular de dados.

Cabe a este, então, aceitar ou não as condições ali vigentes. Nesse sentido, cabe ressaltar que o site pode suspender o acesso a alguns serviços, por exemplo, por falta de aceite das normas e condições. E isso é natural, na medida que alguns deles somente são possíveis diante da autorização para uso de certos dados.

Seja como for, esses são documentos importantes. Mas eles não devem apenas estar ali. Eles devem ser específicos em relação ao que o site oferece e ao funcionamento dele. Por isso, se você fez seus termos e políticas com base no Ctrl C + Ctrl V, atenção!

Está na hora de rever esses documentos, bem como redigi-los novamente para que eles sejam compatíveis com a realidade do site. Também, para que preencham lacunas e esclareçam o uso de dados. Abaixo, separei mais alguns artigos para você:

- [O que é uma política de privacidade?](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)
- [Qual a Política de Privacidade ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)
[- O que são termos de uso na LGPD?](https://goadopt.io/blog/termos-de-uso-lgpd/)

## 4 - Perda de dados ou Vazamento de Dados

Falou em perda de dados? Então é hora de ligar um alerta. O vazamento de dados é um grande indício de que sua estratégia LGPD precisa de uma correção urgente. De qualquer forma, ela deve ser revista.

Afinal, ela deve se desenvolver com vistas a manter o sigilo dos dados e o uso deles de acordo com o consentimento do titular, ou a [base legal ](https://goadopt.io/blog/bases-legais-da-lgpd/)que tenha sido elegida. Também, para garantir a proteção dessas informações.

Os vazamentos são comprometedores! Eles podem acabar com a imagem da empresa e muitas vezes dos seus clientes e fornecedores. Além disso, esta pode ser responsabilizada por eles e, com isso, arcar com grandes sanções, inclusive com multas milionárias.

[**Entenda aqui a diferença entre Controlador e Operador de Dados na LGPD**](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)

E não é apenas a perda de dados em si. A ausência de um planejamento claro para ações diante do vazamento de informações também é um indício que você precisa urgentemente trabalhar suas estratégias LGPD. Abaixo mais alguns artigos para te ajudar nesta revisão:

- [Mapeamento ou Inventário de Dados na LGPD, o colete salva-vidas do DPO.](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)
- [Como adequar o seu marketing à LGPD](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)
- [10 processos arriscados no seu marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

## 5 - Ausência de estipulação de um Encarregado de Dados

Por fim, o último indício de que o seu site precisa de uma estratégia de LGPD é a ausência da determinação de um Encarregado de Dados ou DPO (Data Protection Officer) para o tratamento de dados do seu site.

Essa figura é uma exigência da LGPD e, conforme a lei, é responsável por controlar e gerenciar o tratamento de dados. Ele executa atribuições determinadas pelo Controlador de Dados.

Também, é ele quem lida com as reclamações dos titulares dos dados pessoais, presta esclarecimentos e se comunica com eles. Da mesma forma, controla a entrada e a saída de consentimentos, de forma que toma as atitudes necessárias para que eles respeitem as autorizações. Neste artigo explico mais sobre [as responsabilidades do Encarregado de Dados ou DPO na LGPD.](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)

## E aí, que tal adequar seu site à LGPD?

Caso você tenha reconhecido que seu site se enquadra em qualquer um dos indícios acima é sinal de que você deve tomar uma atitude para adequá-lo à lei. Em caso contrário, pode sofrer [multas](https://goadopt.io/blog/multas-na-lgpd/) e outras penalidades que podem até mesmo levar à suspensão das atividades da página.

Isso sem falar nos reflexos que a imagem da sua marca passa a ter diante do público, como alguém que poderia se importar mais com a privacidade de dados.

Por isso, é mais do que hora de rever suas estratégias de privacidade diante da LGPD. Para isso, conte com a [AdOpt](https://goadopt.io/), que ajuda você não apenas a organizá-las, mas a controlar a entrada e uso de dados, bem como os consentimentos sobre eles.



5 indícios que o seu site precisa de uma estratégia de consentimentos para LGPD

Você já parou para pensar que a sua agência de marketing pode encontrar na LGPD uma grande oportunidade de negócios? Pois é, diferentemente do que muitos pensam ela traz mudanças que podem acelerar na busca dos serviços dessas empresas.

Afinal, a [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) - como não deveria ser novidade para ninguém - trouxe significativas mudanças para as atuações das empresas em relação aos dados de terceiros. Isso se aplica tanto aos dados tratados pela internet ou não.

E o marketing é uma das áreas que foi diretamente atingida pelas novas regras, pois sua atuação digital depende necessariamente de dados de terceiros, justamente o foco da LGPD.

Assim, que tal saber mais como aproveitar essa nova lei para fins de criação de oportunidades na área do marketing?

Para isso, continue lendo e veja, abaixo, tudo sobre o assunto!

## A LGPD não significa o fim do marketing digital, muito pelo contrário

Da mesma forma que outras novidades, o [surgimento da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) também trouxe muitos rumores, criou lendas e gerou muita apreensão! Afinal, ela muda a forma como os dados até então eram tratados e traz novos deveres.

A [LGPD](https://goadopt.io/blog/significado-da-lgpd/) visa, especialmente, a transparência em relação ao uso de dados, bem como a utilização deles de acordo com o consentimento do titular e nos limites desta autorização.

Por isso, muitos acreditaram que com ela viria o fim da era de ouro do marketing digital. Afinal, ele necessita das informações dos usuários que, por sua vez, necessita do consentimento deles.

Tendo-se em vista que são diversos acessos e ações que ocorrem nas páginas, bem como diversas as impressões e alcances que um marketing visa ter, isso pareceria impossível.

Contudo, não é.

É possível organizar o marketing digital de acordo com a Lei Geral de Proteção de Dados de forma que ele continue gerando leads e atraindo clientes e interessados. Abaixo, separei um artigo que vai te ajudar nessa jornada:

[### DICA: 10 processos de marketing que você deve repensar por conta da LGPD.](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

## Mudanças significativas para o marketing surgiram com a LGPD

O marketing não morreu, mas isso não significa que ele não requeira atualizações nas ferramentas dele e na forma como ele ocorre.

Por exemplo, o consentimento dele sempre estará presente no recolhimento de quaisquer dados que o usuário conceda, direta ou indiretamente. Somente com ele é possível que a empresa use as informações para qualquer fim, inclusive para o marketing.

Certamente outras [bases legais da LGPD ](https://goadopt.io/blog/bases-legais-da-lgpd/)servem de base para a permissão e uso do dado. Mas, de qualquer maneira o consentimento acaba sendo parte de todas, uma vez que em algum momento do fluxo do dado o cidadão consentiu em ceder àquele produto/serviço.

Igualmente, o uso desses dados sempre deve estar claro, independentemente se o usuário conceder suas informações de forma voluntária (como em inscrições de formulários) ou se eles são colhidos automaticamente por meio de cookies e outras ferramentas.

Nesse sentido, é importante ter em mente que o marketing somente obtém sucesso quando tem em mãos dados para direcionar suas ações, dentre eles, agora, a confirmação que comprova que o dado foi coletado regularmente.
Logo, esses dados, então, somente podem ser captados e utilizados após o usuário ser notificado disso e conceder o seu consentimento, ou via outra base legal.

Para obter o consentimento inúmeras ferramentas se apresentam, como veremos na sequência.

[### Conheça mais sobre a adequação do marketing digital à Lei Geral de Proteção de Dados.](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)

## Terceirizar o marketing se mostra uma opção interessante, desde que as agências saibam como lidar

Pois bem, você pode estar se perguntando: Ok, a LGPD trouxe mudanças em relação ao marketing. Mas onde as agências entram nisso?

Muitas empresas optam por fazer ações de marketing por si mesmas ou até mesmo terceirizam grande parte delas. De qualquer maneira, o serviço precisa ser feito e agora, plenamente adequado à LGPD. Isto é, sejam ações ações internas ou, terceiras, conduzidas por especialistas, todas devem se ajustar.

O que acarreta em uma série de novas ações, rotinas e processos diários que alguém terá que ser responsável.

### Será que algumas das novas demandas criadas pela LGPD não podem fazer parte do portfólio de serviços da agência?

Já sabemos que ao simplesmente ignorá-los a empresa pode sofrer com as [multas e sanções pela LGPD ](https://goadopt.io/blog/multas-na-lgpd/)que, por sua vez, podem exigir altas quantias em dinheiro e até levar à suspensão do site ou da base de dados.

Além disso, existe outra questão muito importante para as agências de marketing em relação ao LGPD. Afinal, uma vez que a partir dela os dados captados são apenas os consentidos, ali está um rico terreno para campanhas.

Em outras palavras, a lei obriga que a captação de dados se dê com a autorização do usuário, que os concede de forma voluntária.

Isso, então, significa que o marketing tem em mãos dados que realmente o direcionam para quem já possui interesse nos serviços ou produtos da empresa, bem como estão engajados!

Portanto, a LGPD é uma oportunidade para as agências de marketing na medida em que elas podem se apresentar como especialistas na adaptação das estratégias de divulgação de produtos e captação de clientes, e agora, de maneira adequada à lei!

## Desenvolva uma política de marketing baseada na LGPD
As agências possuem uma série de formas de adaptarem as estratégias de marketing. Por exemplo, veja algumas das ferramentas que devem ser revistas:

- E-mail de marketing;
- Anúncios patrocinados;
- Formulários;
- Landing pages e outros.

Note que todas essas ferramentas captam dados do usuário, seja pelo uso de cookies ou pelo requerimento de dados de contato (entre outros) para o acesso a informações, promoções e produtos.

Portanto, todas elas devem acompanhar o desenvolvimento de uma política que deixe claro ao usuário que esses dados serão utilizados, bem como os limites do uso dos dados.

Uma boa [ferramenta para a LGPD](http://goadopt.io/) é o [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) que pede um "check" antes do envio e concessão dos dados, entre outras coisas.

### [Saiba mais sobre o funcionamento de um aviso de cookies!](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

## Outras adaptações para a LGPD além do marketing digital

Ainda, é importante que também se pense no próprio site, para onde páginas de publicidade podem fazer o tráfego de usuários.

Neste caso, então, é interessante que o site seja instrumentalizado com uma ferramenta que apresente, em um só lugar, todas as políticas da empresa em relação ao uso de dados.

Isto é, os Termos de Uso, a Política de Privacidade e também a Política de Cookies. Neste caso, todas elas trazem informações sobre uso de dados e informações relativas a eles.

[Conheça tudo sobre a Política de Privacidade, como ela funciona e requisitos!](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)

Para isso, conte com a AdOpt! Nossa ferramenta trabalha com a concessão de uma aba como um pop-up que abre no seu site todas as vezes que alguém o acessa.

Ali, então, é possível ter acesso às regras de uso do site, às políticas de uso de dados (em suas diversas formas), e à coleta do consentimento.

[Saiba mais sobre banner de Cookies, suas vantagens e como usá-lo.](https://goadopt.io/blog/banner-de-cookies/)


LGPD: Uma oportunidade para agências de marketing digital!

O [encarregado de dados, ou DPO](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) (_Data Protection Officer_ em inglês) é um cargo novo que surgiu, no Brasil, junto à [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Embora já existisse em outras legislações internacionais, como na [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) da União Europeia, aqui ele ainda é uma novidade que se impõe desde 2020. Com ele também surge a possibilidade de terceirização, o DPOaaS (DPO as a Service).

Por ser uma figura nova e pela importância que seu papel resguarda, muitas empresas e organizações estão optando pela terceirização dessa atividade. Mas será que isso realmente é uma boa? Quais são os riscos e vantagens em fazê-lo?

Confira as respostas para essas perguntas e conheça melhor o encarregado de dados e suas atribuições conforme determinações presentes na LGPD.

## O que é o DPO?

O DPO é uma pessoa física ou jurídica que é estabelecida dentro das Políticas de Proteção de Dados como um dos agentes que atua junto ao tratamento e uso de informações de titulares. Dessa forma, sua atuação é de extrema importância.

Ele pode ser uma pessoa física ou jurídica. Contudo, não pode corresponder a um departamento ou equipe da empresa. Afinal, é preciso que os documentos referentes à captação e tratamento de dados indiquem de forma específica quem se responsabiliza enquanto encarregado.

### ### Saiba mais sobre as funções de controlador e operador de dados da LGPD

As funções do DPO se revelam na intermediação da relação entre os titulares de dados, o agente de tratamento e, também, a Autoridade Nacional de Proteção de Dados (ANPD).

Ele não necessariamente toma decisões em relação aos dados e ao uso deles. Mas, auxilia no seguimento e cumprimento  das diretrizes que são impostas pelo agente de dados e pela Lei Geral de Proteção de Dados. E, aqui, surge outra das atribuições do DPO.

Afinal, ele também tem a responsabilidade de orientar os colaboradores que têm acesso aos dados de terceiros e que os utilizam como devem agir para respeitar as diretrizes da LGPD, bem como os consentimentos que foram concedidos.

_### Seu papel é de educar, organizar e auditar de acordo com as normativas da ANPD._

Dentre as principais atividades que um DPO encontra - sendo ele terceirizado ou não - estão:

- Aceitar reclamações dos titulares de dados, prestar esclarecimentos e adotar as providências necessárias;
- Receber comunicações da ANPD e tomar providências;
- Receber as revogações de consentimento ou as alterações no consentimento e dar as devidas providências;
- Garantir a aplicação dos princípios da LGPD referentes ao tratamento de dados pessoais;
- Monitorar a conformidade das organizações em relação à Lei Geral de Proteção de Dados, etc.

Assim, tem-se que o DPO realiza um serviço de meio de campo, pois ele intermedia relações e, ainda, é um dos agentes que se responsabiliza pelo respeito e adequação das ações à LGPD.

## Quando é possível terceirizar o DPO?

Sempre que a empresa ou organização desejar ela pode terceirizar esses serviços. A lei não exige que o encarregado seja um funcionário interno. Aliás, ela sequer exige que seja uma pessoa física que assuma esse papel.

Portanto, qualquer profissional autônomo ou empresa que preste serviços nessa área pode prestar serviços para outras empresas. Assim, estipula-se um contrato de prestação ou terceirização de serviços.

No caso da contratação de uma pessoa externa como DPO _as a service_, (_DPOaaS_) toma-se um contrato de prestação de serviços diretamente com o profissional.

Por outro lado, quando há contratação de uma empresa, há uma terceirização de DPO. Quem fica determinado como encarregado, dentro das Políticas de Privacidade, é a pessoa jurídica, então.

Ela concede, desse modo, profissionais que irão realizar os serviços típicos de um DPO. Contudo, eles prestam esse serviço a uma empresa em razão da contratação do seu empregador.

## Vantagens do DPO as a service

Para saber se vale a pena apostar na terceirização do DPO LGPD é necessário saber quais são as vantagens que isso oferta. Confira as principais delas abaixo.

Primeiramente, é indispensável para a adequação das empresas, organizações e sites à [LGPD](https://goadopt.io/blog/ignorar-a-lgpd/) que eles tenham a determinação clara de quem é o DPO. Atualmente todas as empresas devem ter um, embora existam indícios de limitação da obrigação no futuro.

### Abaixo algumas vantagens para o DPOaaS

### Agilidade
Nesse sentido, note que nem sempre é fácil contratar alguém que tenha os conhecimentos necessários para essa função ou treiná-lo para que cumpra as atividades do DPO. Por isso, a adequação pode ser mais rápida e fácil pela terceirização de tais serviços.

### Velocidade
Uma vez que se encontre um profissional já qualificado, ou até mesmo uma empresa que concentre o conhecimento multidisciplinar para a função, ganha-se muita velocidade no processo de adequação, já que cada empresa e mercado tem a sua especificidade.

### Treinamento e capacitação
Toda nova área e lei pede muito estudo e está sujeita a diversas mudanças no curto prazo. Logo, terceirizar essa função também designa a terceirização da responsabilidade de estar sempre atualizado e investindo na formação dos profissionais.

### Autonomia
Funções de guarda e auditoria acabam criando certos atritos com as áreas e até mesmo gestores. É essencial que o DPO tenha autonomia no seu trabalho, e até mesmo estabilidade, algo prescrito pela lei. Afinal, ele não pode ser ameaçado de perder o emprego por fiscalizar processos dentro da empresa. Assim, terceirizar essa responsabilidade por tornar as coisas um pouco mais leve no clima organizacional.

### Flexibilidade
Assim como todo prestador de serviço trabalha com um contrato, a sua substituição é muito mais fácil do que no caso de um funcionário CLT. Logo, o DPOaaS como PJ dará muito mais flexibilidade em caso de necessidade de ajustes ou substituições ao longo do tempo.

### Menor Custo
Encargos trabalhistas e previdenciários são muito pesados no Brasil, logo a contratação de um PJ para essa função pode servir de acordo reduzindo custos para a empresa e aumentando a remuneração do prestador de serviços.

**ATENÇÃO**: Vale destacar que todo prestador de serviço, por mais responsável que seja, pela função desempenhada, ainda está embaixo da hierarquia do empregador. Logo, decisões de última instância podem ser levadas à responsabilidade última dos administradores da empresa, mesmo tendo o DPOaaS. Logo, tome cuidado para não se apoiar na terceirização como uma isenção de responsabilidades.

O mesmo acontece quando a empresa não indica um DPO,os administradores assumem automaticamente. Falaremos mais a seguir.

## Se ninguém for nomeado DPO, o que acontece?

Independente da nomeação, os sócios administradores da empresa também já acumulam essa responsabilidade, a não ser que outra pessoa seja de fato designada.

Contudo, em última instância a responsabilidade sempre cairá sob os sócios administradores. Quando nomeado então, o profissional age em nome da empresa e dos seus representantes diante da autoridade nacional.

**### Sabe qual a diferença entre o Mapeamento de Dados e o [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/)?**

## Contrate especialistas no assunto

Outro ponto interessante na terceirização do DPO é que desse modo você pode contar com um especialista no assunto. Como dito acima, veja que não é a sua empresa quem se responsabiliza pela capacitação, mas sim a empresa ou profissional contratado.

Com isso é possível garantir ainda mais segurança às operações para que elas se adequem a LGPD e estejam em mãos de experts.

Melhor ainda quando o profissional faz parte de uma rede ou grupo multidisciplinar que pode auxiliá-lo nas peculiaridades do seu negócio e mercado.

## Quais são as funções do DPO quando há terceirização?

As funções, nesse caso, são as mesmas que um encarregado interno teria. Afinal, a terceirização somente se refere à possibilidade de que as atividades sejam realizadas por um agente externo à empresa.

Como vimos acima, então, esse agente pode ser uma pessoa jurídica ou natural. Seja como for, deverá ocorrer a indicação de quem ele é, de forma específica, dentro da [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e demais documentos referentes ao consentimento, uso e tratamento de dados.

Aliás, qualquer alteração referente a quem é o responsável enquanto encarregado de dados LGPD deve refletir em uma alteração das políticas. Em caso contrário, haverá transgressão à Lei Geral de Proteção de Dados e criação de risco de sanções como [multas e até suspensão das bases de dados.](https://goadopt.io/blog/multas-na-lgpd/)

Quer saber mais sobre as [responsabilidades do Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), separei esse artigo para você!



Terceirizar o DPO (DPOaaS), ou encarregado de dados da empresa é uma boa?

Como lidar com uma profissão que sequer existia até alguns anos atrás e cuja presença se faz obrigatória, hoje, nas empresas? Essa é justamente a pergunta que se apresenta quando pensamos na figura do [Encarregado de Dados ou DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/).

Esse termo, bem como o profissional por trás dele, surgiu com a promulgação das leis de privacidade, no Brasil a [Lei Geral de Proteção de Dados - LGPD.](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) Esta, ocorreu em 2018, e entrou em vigor apenas em 2020. Segundo a lei, então ele é o encarregado por garantir o correto tratamento dos dados que a empresa eventualmente use e que pertençam a terceiros.

E essa responsabilidade que a lei atribui sobre a figura profissional do encarregado pode dar a entender que ele é o único e exclusivo responsável pelos cuidados que se aplicam a tais dados. E aí? É isso ou não? O trabalho do Encarregado de Dados é solitário ou deve ser em equipe? Confira tudo isso na sequência.

## Encarregado de Dados e suas responsabilidades

Sabe aquelas listas em que vemos as “profissões do futuro”? Pois saiba que se por futuro considerássemos 2021, a figura do Encarregado de Dados estaria nessa lista, pois em termos profissionais ela é o que há de mais novo e moderno no mercado.

Afinal, esse cargo sequer existia antes da LGPD, ou da GDPR. A lei criou uma nova profissão. Isso ocorreu a partir do momento em que a Lei Geral de Proteção de Dados estipulou expressamente a existência dessa figura. Ao mesmo tempo, trouxe todas as suas responsabilidades.

O Encarregado de Dados ou DPO (_Data Protection Officer_) é justamente uma figura que deve controlar e gerenciar o tratamento de dados - ou seja, o uso deles - no dia a dia da empresa.

Assim, é ele quem se responsabiliza por garantir que todos os processos, fluxos e ações respeitem os limites amparados pela Base Legal que sustenta o uso daquela dado pela empresa. Assim, em caso de uma consulta da ANPD à empresa, ele é quem deve responder em nome da instituição.

### Saiba mais sobre as Bases Legais da LGPD.

Dentre as responsabilidades do DPO que estão claras na LGPD estão:

- Executar atribuições determinadas pelo Controlador de Dados e nos limites dessa determinação (e, claro, da lei);
- Lidar com as reclamações dos titulares dos dados pessoais;
- Prestar esclarecimentos sobre o uso dos dados aos titulares deles;
- Comunicar-se com os titulares de dados sempre que necessário;
- Tomar as providências para que haja o devido reflexo no uso e captação de dados diante de eventual alteração de consentimento do titular;
- Orientar os demais profissionais que lidem com esses dados e os tratem quanto aos cuidados com a segurança e aos limites de consentimento e aplicação dessas informações.
-
Aliás, note que por responder às diretrizes do [Controlador de Dados](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/), o DPO não se confunde com essa figura. Enquanto o controlador se refere a quem define o modo de tratamento das informações desde a sua entrada até a eliminação delas, o Operador de Dados é quem executa o processo e garante que isso será seguido à risca. Ambos, Controlador e Operador, quando distintos, devem ter os seus DPOs responsáveis.

### [Conheça mais sobre as responsabilidades do Encarregado de Dados e como o trabalho dele impacta as empresas frente à Lei Geral de Proteção de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)

## Todos os clichês de trabalho em equipe se tornam realidade nos cuidados ao tratamento de dados conforme LGPD.

São várias as atribuições que um DPO possui dentro de uma empresa, como vimos acima. E isso não se dá por acaso, afinal os tratamentos de dados impõem limites específicos e requerem atenção e cuidados essenciais.

Nesse sentido, fica claro que o Encarregado de Dados acumula uma série de atividades. Mas, por mais que ele seja capacitado para as suas responsabilidades e esteja em dia com as atividades da empresa que envolvam o tratamento de dados, isso não é suficiente.

_O trabalho isolado do DPO é algo que é impossível de ocorrer. _

Ou melhor, não encontra possibilidades de se desenvolver com a qualidade necessária e com a manutenção da segurança contra vazamentos de dados ou uso deles de forma indevida.

É por isso que quando falamos no trabalho do Encarregado de Dados não podemos entender que suas atividades se dão de forma isolada ou individual. A importância e o número das atribuições fazem com que seu trabalho se dê em equipe.

Para que não haja confusão, entenda: o DPO realmente tem responsabilidade sobre as questões que envolvem o uso de dados. Assim, em caso de acidentes ou problemas que envolvam essas informações, ele estará diretamente envolvido.

Por outro lado, isso não significa, então, que ele deva trabalhar sozinho. Muito pelo contrário! Garantir que os demais colaboradores e equipes se envolvam no cuidado que os tratamentos de dados exigem em razão da LGPD é crucial.

O trabalho do Encarregado de Dados é multidisciplinar. Jurídico, Tecnologia, [Marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/), Segurança da Informação, Gestão de Processos, Relações
Institucionais,etc. Como é muito difícil que uma pessoa domine todas essas áreas, o auxílio de uma equipe/time de suporte é essencial!

Somente assim se torna possível desenvolver um trabalho em sintonia, que ocorra conjuntamente de forma a garantir o uso correto dos dados. Dessa forma, nada de isolar o seu DPO! O trabalho dele deve acontecer perto dos demais colaboradores e com a assistência destes.

## Formação de um comitê de segurança

Uma forma de dar ao Encarregado de Dados o apoio do qual ele precisa para desenvolver suas atividades com sucesso é criar um comitê de segurança de dados. Ele, então, deve ser formado por diversos profissionais que representam as equipes da empresa.

Ainda, que representem os principais interesses que entram em jogo quando estamos diante do vazamento ou mau uso de dados. Por isso, deve ter representantes de Recursos Humanos, do setor Jurídico e de Tecnologia da Informação, no mínimo.

Da mesma forma, podem contar, fixamente ou em situações específicas, com representante do time de marketing, bem como dos departamentos de Comunicação, Comercial, Financeiro…

Com isso o DPO encontra possibilidades de, conjuntamente, traçar estratégias, de forma que os representantes de cada um desses departamentos ajudem na implementação delas, bem como no mapeamento dos principais problemas que o tratamento de dados encontra nos mais diversos processos empresariais.

Cada representante age como um braço direto do DPO no seu(s) departamento(s), assim, é importante que haja um bom conhecimento dos processos e autonomia na investigação dos fluxos e detalhes.

## Conhecimento sobre os processos da empresa que se baseiam em tratamento de dados

Como vimos, o DPO se encarrega por garantir que o uso de dados ocorra de acordo com a [base legal ](https://goadopt.io/blog/bases-legais-da-lgpd/)que ampara o uso de dados dos usuários e com os limites da LGPD. E, também, em fiel seguimento às determinações do Controlador de Dados.

São inúmeros os tipos de atividades que ocorrem simultaneamente, dentro de uma empresa, que envolvem o tratamento de dados. Considere, nesse sentido, uma venda online. Nesse caso, são colhidos dados de endereço, CPF, telefone e nome completo, que deverão ser usados para:

- Cobrança;
- Geração de nota fiscal;
- Comunicação da conclusão da venda com o próprio cliente;
- Logística de separação e encaminhamento do produto;
- Oferecimento de rastreamento;
- Contato para pós-venda.
- …

E essas são apenas algumas das atividades que requerem dados em um processo de venda. Portanto, é necessário que o Encarregado de Dados conheça esses processos, como eles se dão, os dados que usam, como são armazenados, descatados e outras informações do tipo.

Somente dessa maneira se torna possível saber onde a empresa está acertando e errando no tratamento de dados, bem como traçar estratégias de segurança e garantir que o tratamento de dados se dê dentro dos seus limites e normas.

## Estipular limites e regras para o uso dos dados pelas equipes

Ideias e possibilidades não faltam.
Mas, para tentar encerrar esse tópico, uma última dica.

Quando o DPO está em contato com as equipes ele também se torna capaz de orientá-las para que, no seu dia a dia, o tratamento de dados ocorra da maneira correta. Isso pode ser feito de diversas formas, como pelo desenvolvimento de um manual, treinamentos, etc.

É crucial que todos que de alguma forma trabalham com o tratamento de dados tenham acesso a tais normas e que saibam exatamente qual é o limite do uso das informações.

Com isso, o trabalho em equipe do Encarregado de Dados não apenas se torna possível, mas, igualmente, traz melhorias efetivas na empresa e a deixa segura frente às diretrizes da LGPD.

Já ouviu falar do [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/), sabe o que é esse documento?

Aqui falamos um pouco mais dele, para te ajudar nos [processos de adequação](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/).



Encarregado de Dados e LGPD, um trabalho solitário ou em equipe?

A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.

O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:

- **Como é feita a coleta de dados**, seus processos e atividades;
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?

ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais.

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?

A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

### ### Perguntas que o ROPA deverá responder

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?

## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?

## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito!

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?

Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.


ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

A **Colorado Consumer Privacy Act (CPA)** entrou em vigor em 1º de julho de 2023, tornando-se um marco na proteção da privacidade dos residentes do Colorado. Para qualquer empresa que opera ou tem clientes nesse estado, entender essas regras é uma excelente oportunidade para demonstrar transparência e fortalecer o relacionamento com o público.

O foco central desta lei é devolver o controle dos dados pessoais aos consumidores, garantindo que a inovação digital caminhe lado a lado com o respeito à privacidade. Mas o que isso muda na prática para o seu negócio, especialmente na gestão de **[cookies](https://goadopt.io/blog/cookies-e-lgpd/ )** do seu site? Vamos descomplicar esse tema de forma leve e direta.

## Provisões principais e definições da CPA

Um dos pontos mais positivos da CPA é a clareza que ela traz para o mercado. A lei exige que as empresas obtenham um consentimento claro dos usuários antes de coletar qualquer dado pessoal. Isso inclui o uso de rastreadores e tecnologias de monitoramento que tornam a experiência na web mais personalizada.

Na prática, os cookies são pequenos fragmentos de dados que ajudam a entender as preferências do seu visitante. Sob a CPA, o uso dessas ferramentas deve ser acompanhado de informação e escolha. Um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/ )** ou um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )** elegante é a maneira mais eficiente de convidar o usuário a participar dessa jornada de dados.

Esse aviso deve ser claro, conciso e oferecer uma forma simples de aceitar ou gerenciar as preferências. Além disso, a CPA garante direitos como o acesso, a exclusão e a possibilidade de optar por não participar do processamento de dados (opt-out). Ter uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/ )** bem estruturada é o que garante que esses direitos sejam respeitados com facilidade.

## Como se manter atualizado sobre a CPA do Colorado

Manter a conformidade com a CPA é um processo contínuo que reflete o compromisso da sua marca com a ética digital. Estar à frente das tendências de privacidade é um diferencial competitivo. Aqui estão algumas dicas para sua empresa brilhar:

1.  **Acompanhe as novidades do setor**: Assinar newsletters sobre privacidade ajuda a entender as melhores práticas e as evoluções do mercado.
2.  **Participe de eventos e webinars**: Esses encontros são ótimos para obter insights práticos sobre como aplicar as leis de privacidade de forma leve.
3.  **Utilize uma CMP (Plataforma de Gestão de Consentimentos)**: Ferramentas como a **[AdOpt](https://goadopt.io )** automatizam o processo, garantindo que seu site esteja sempre alinhado com as regras mais recentes.
4.  **Conte com um Encarregado de Dados (DPO)**: Um **[DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/ )** pode orientar seus esforços de privacidade, garantindo que seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/ )** sejam seguros e eficientes.

## A CPA se aplica ao seu negócio?

O primeiro passo para uma gestão de dados de sucesso é entender se a lei se aplica à sua operação. A CPA foca em empresas que:

- Conduzem negócios no Colorado ou direcionam produtos/serviços para residentes de lá.
- Controlam ou processam dados de 100.000 ou mais residentes anualmente.
- Obtêm receita ou descontos com a venda de dados e processam informações de pelo menos 25.000 residentes.

Existem exceções positivas para organizações sem fins lucrativos e instituições financeiras que já seguem outras normas rigorosas. Para ter certeza do seu cenário, realizar um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/ )** é a melhor forma de visualizar o fluxo de informações na sua empresa.

## A CPA na prática: os três documentos

A adequação à CPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/colorado-cpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/colorado-cpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/colorado-cpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Entenda a CPA e os Cookies

**O que é considerado consentimento claro sob a CPA?**
É a permissão dada pelo usuário de forma livre e informada. No seu site, isso é feito através de uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/ )** que bloqueia cookies não essenciais até que o usuário faça sua escolha.

**Quais cookies precisam de consentimento?**
Cookies funcionais, de performance e de marketing exigem a escolha do usuário. Já os cookies estritamente necessários para o funcionamento do site podem operar normalmente para garantir a melhor experiência.

**Como a AdOpt ajuda na conformidade com a CPA?**
A AdOpt automatiza a exibição do **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )**, gerencia as preferências dos usuários e mantém registros seguros, permitindo que você foque no crescimento do seu negócio.

## Simplifique sua jornada com a AdOpt

Adequar seu site às leis de privacidade é um passo fundamental para construir uma marca forte e confiável. A AdOpt oferece a tecnologia necessária para que você gerencie consentimentos de forma automatizada, elegante e profissional.

**[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria )** e veja como a AdOpt pode ajudar sua empresa a navegar pela CPA e outras leis de privacidade com total tranquilidade.



CPA Colorado e Cookies: Tudo o que você precisa saber

Toda empresa que coleta dados de residentes da Virginia precisa de um documento público que explique, com clareza e especificidade, o que faz com essas informações.

Esta página cobre uma parte do quadro. Para o escopo completo da VCDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da VCDPA e cookies](https://goadopt.io/blog/vcdpa-virginia-e-cookies-tudo-o-que-voce-precisa-saber/).

Esse documento é a Política de Privacidade.

A Virginia Consumer Data Protection Act (VCDPA, Va. Code § 59.1-575 et seq.), em vigor desde 1º de janeiro de 2023, define o que precisa estar nesse documento, como ele deve ser apresentado, e o que acontece quando está incompleto ou desatualizado.

Este artigo foca exclusivamente nisso: o que a VCDPA exige da sua Política de Privacidade, ponto a ponto, com base no texto oficial da lei.

## O que a VCDPA chama de Privacy Notice

A lei usa o termo privacy notice, aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem.

O Va. Code § 59.1-578 C determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível, claro e significativo". O documento precisa ser fácil de encontrar e de entender.

Diferente da NHDPA, a VCDPA não especifica explicitamente a exigência de acessibilidade para pessoas com deficiência nem obriga a inclusão da data de última atualização no texto da lei. No entanto, o padrão de clareza e acessibilidade razoável exige que o documento seja navegável e compreensível por qualquer usuário.

## O que precisa estar na Política de Privacidade sob a VCDPA

O Va. Code § 59.1-578 C lista cinco categorias de informações que a Política de Privacidade deve conter. Vamos a cada uma.

### 1. Categorias de dados pessoais processados

O documento precisa listar as categorias de dados pessoais que a empresa processa (Va. Code § 59.1-578 C, 1).

Dados pessoais sob a VCDPA é qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável, conforme Va. Code § 59.1-575. Isso inclui nome, e-mail, endereço IP, histórico de navegação, dados de localização e qualquer identificador que permita rastrear uma pessoa.

Dados desidentificados e informações publicamente disponíveis estão excluídos.

### 2. A finalidade do processamento

O documento precisa explicar para quê os dados são utilizados (Va. Code § 59.1-578 C, 2).

As finalidades precisam ser específicas. O Va. Code § 59.1-578 A, 2 proíbe o processamento de dados para finalidades que não sejam razoavelmente necessárias nem compatíveis com as finalidades divulgadas, salvo com consentimento do consumidor.

Descrições vagas como "melhorar serviços" ou "personalizar sua experiência" não atendem à exigência. Finalidades específicas como "dados de comportamento coletados via analytics para identificar páginas com alta taxa de abandono e priorizar melhorias de usabilidade" são o padrão correto.

### 3. Como os consumidores exercem seus direitos

O documento precisa descrever como os consumidores podem exercer os cinco direitos garantidos pela VCDPA e como apelar de uma decisão de recusa (Va. Code § 59.1-578 C, 3).

Não basta listar que os direitos existem. O processo precisa estar descrito: qual canal usar, como funciona a autenticação da identidade do solicitante, qual o prazo de 45 dias para resposta, e como funciona o processo de apelação com prazo de 60 dias.

O [encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) ou responsável pela conformidade precisa ter esse fluxo mapeado e funcionando operacionalmente.

### 4. Categorias de dados compartilhados com terceiros

Se a empresa compartilha dados com terceiros, o documento precisa informar quais categorias de dados são compartilhadas (Va. Code § 59.1-578 C, 4).

Isso abrange ferramentas de e-mail marketing, CRMs, plataformas de analytics, redes de publicidade, processadores de pagamento, e qualquer outro serviço que receba dados dos usuários.

É importante distinguir o que configura compartilhamento de dados sob a VCDPA. Transferências a operadores que processam dados exclusivamente em nome do controlador não constituem "venda de dados". Mas qualquer transferência por contraprestação monetária a terceiros independentes pode configurar venda e precisar de divulgação específica.

### 5. Categorias de terceiros com quem os dados são compartilhados

Além das categorias de dados, a Política precisa informar quais categorias de terceiros os recebem (Va. Code § 59.1-578 C, 5).

Categorias como "plataformas de anúncios digitais", "ferramentas de analytics", "sistemas de CRM" e "processadores de pagamento" são exemplos válidos. Não é necessário listar o nome de cada produto, mas as categorias precisam ser identificáveis e descritivas o suficiente para que o consumidor entenda quem tem acesso aos dados dele.

## Divulgação de publicidade segmentada e venda de dados

Se a empresa vende dados pessoais a terceiros ou os processa para publicidade segmentada, o Va. Code § 59.1-578 D exige divulgação clara e conspícua dessa prática na Política de Privacidade, junto com a forma como o consumidor pode exercer o opt-out.

Publicidade segmentada, conforme definida pela VCDPA, são anúncios baseados em dados coletados das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliadas. Anúncios contextuais baseados na sessão atual do usuário não se enquadram nessa definição.

Se o seu site usa Meta Pixel, Google Ads, TikTok Pixel ou qualquer ferramenta de mídia programática que coleta dados em outros ambientes, você está operando publicidade segmentada e precisa divulgar isso explicitamente.

## O mecanismo para submissão de solicitações

O Va. Code § 59.1-578 E exige que o controlador estabeleça e descreva na Política de Privacidade pelo menos um meio seguro e confiável para os consumidores submeterem solicitações de exercício de direitos.

Esse meio precisa:

Considerar a forma como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável das solicitações.

Permitir que o controlador autentique a identidade do consumidor.

Não exigir que o consumidor crie uma nova conta. A empresa pode exigir o uso de uma conta existente, mas não pode obrigar o usuário a se cadastrar novamente apenas para exercer um direito.

## Dados sensíveis: exigências adicionais

Dados sensíveis têm tratamento especial na VCDPA e precisam ser identificados na Política de Privacidade.

Conforme Va. Code § 59.1-575, são dados sensíveis: origem racial ou étnica, crenças religiosas, diagnóstico de saúde mental ou física, orientação sexual, status de cidadania ou imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas menores de 13 anos, e dados de geolocalização precisa.

Se a empresa coleta qualquer dado dessa categoria, a Política precisa:

Identificar explicitamente que dados sensíveis são coletados.

Descrever a finalidade específica do processamento de cada categoria.

Explicar como o consentimento do consumidor é obtido antes do processamento.

Detalhar como esse consentimento pode ser revogado.

Para dados de crianças, a VCDPA adota uma abordagem específica: empresas que cumprem os requisitos de consentimento parental verificável da COPPA (Children's Online Privacy Protection Act) são consideradas em conformidade com as obrigações de obtenção de consentimento parental da VCDPA (Va. Code § 59.1-576 D).

## Proteção de menores em plataformas de redes sociais

A partir de 1º de janeiro de 2026, o Va. Code § 59.1-577.1 impõe obrigações específicas aos operadores de plataformas de redes sociais relacionadas a menores de 16 anos.

Se a empresa opera uma plataforma de rede social, a Política de Privacidade precisa descrever:

Como a empresa determina se um usuário é menor de 16 anos.

O limite de 1 hora por dia de uso para menores.

Como pais e responsáveis podem dar consentimento verificável para alterar o limite.

Que os dados coletados para determinação de idade são usados apenas para essa finalidade.

## Avaliações de proteção de dados: o que a Política precisa mencionar

O Va. Code § 59.1-580 exige que os controladores conduzam e documentem Data Protection Assessments para atividades de alto risco, incluindo publicidade segmentada, venda de dados, perfilamento com risco previsível de dano, processamento de dados sensíveis, e serviços online direcionados a crianças.

As avaliações não precisam ser publicadas na Política, mas precisam ser documentadas e mantidas disponíveis para o Attorney General mediante solicitação. Elas são confidenciais e isentas de divulgação pública conforme a Virginia Freedom of Information Act (Va. Code § 59.1-580 D).

A Política de Privacidade deve, no entanto, deixar claro que a empresa conduz avaliações de impacto para atividades de alto risco como parte de seu programa de conformidade.

## Direito de não discriminação

O Va. Code § 59.1-578 A, 4 proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior como consequência do exercício de um direito.

A Política de Privacidade precisa mencionar que o consumidor não será discriminado por exercer seus direitos.

Há uma exceção específica: programas de fidelidade, recompensas, funcionalidades premium, descontos ou cartões de clube que oferecem benefícios em troca do uso de dados são permitidos, desde que o consumidor participe voluntariamente.

## O prazo de cure period e sua relação com a Política

Um ponto que impacta a urgência da adequação: antes de iniciar qualquer ação, o Attorney General é obrigado a notificar a empresa e conceder **30 dias para correção** (Va. Code § 59.1-584 B). Esse prazo é garantido por lei.

Se a empresa corrigir a violação dentro do prazo e fornecer declaração escrita de que a violação foi sanada e não se repetirá, nenhuma ação é iniciada.

No entanto, se a empresa continuar em violação após o prazo ou descumprir a declaração fornecida, o Attorney General pode iniciar ação e buscar penalidades de até **US$ 7.500 por violação**, além de recuperação de custos e [honorários advocatícios](https://goadopt.io/blog/multas-na-lgpd/).

Uma Política de Privacidade incompleta é uma das violações mais fáceis de identificar. Adequar o documento antes de receber uma notificação é significativamente mais eficiente do que correr para ajustar em 30 dias.

## Como a AdOpt apoia a conformidade com a VCDPA

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de consentimento e opt-out funciona conforme descrito.

O registro de cada interação de consentimento fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a VCDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a VCDPA

**Link visível e acessível** em todas as páginas do site.

**Categorias de dados pessoais processados**, com descrição específica (Va. Code § 59.1-578 C, 1).

**Finalidade do processamento** para cada categoria, sem descrições vagas (Va. Code § 59.1-578 C, 2).

**Como exercer cada direito** garantido pela VCDPA, com processo, canal e prazo de 45 dias (Va. Code § 59.1-578 C, 3).

**Processo de apelação** descrito com prazo de 60 dias e informação sobre reclamação ao Attorney General.

**Categorias de dados compartilhados com terceiros** (Va. Code § 59.1-578 C, 4).

**Categorias de terceiros** que recebem dados (Va. Code § 59.1-578 C, 5).

**Divulgação de publicidade segmentada ou venda de dados** com opt-out acessível (Va. Code § 59.1-578 D).

**Mecanismo de submissão de solicitações** descrito, sem exigência de nova conta (Va. Code § 59.1-578 E).

**Identificação de dados sensíveis** e como o consentimento prévio é obtido (Va. Code § 59.1-578 A, 5).

**Proteção de menores em redes sociais** para plataformas que operam esses serviços (Va. Code § 59.1-577.1, vigência jan/2026).

**Política de não discriminação** para consumidores que exercem seus direitos (Va. Code § 59.1-578 A, 4).

**Atendimento gratuito duas vezes por ano** por consumidor (Va. Code § 59.1-577 B, 3).

## FAQ: VCDPA e Política de Privacidade

**1. A VCDPA exige um documento chamado especificamente "Política de Privacidade"?**
A lei exige um aviso de privacidade razoavelmente acessível, claro e significativo, conforme Va. Code § 59.1-578 C. Na prática, é a Política de Privacidade que a maioria dos sites já tem. O que a lei define são os cinco elementos obrigatórios de conteúdo que o documento deve cobrir.

**2. A Política de Privacidade precisa mencionar as avaliações de proteção de dados?**
Não precisa publicar o conteúdo das avaliações, que são confidenciais. Mas é recomendável que a Política mencione que a empresa conduz Data Protection Assessments para atividades de alto risco, como parte do compromisso de conformidade. O Attorney General pode solicitar as avaliações via demanda investigativa civil (Va. Code § 59.1-580 D).

**3. Quantas vezes por ano o atendimento de DSARs é gratuito?**
Duas vezes por ano por consumidor, conforme Va. Code § 59.1-577 B, 3. Essa é uma diferença em relação à NHDPA, que garante gratuidade apenas uma vez por ano. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar, demonstrando o caráter repetitivo.

**4. O que acontece se a empresa não cumprir a exigência de canal de submissão de solicitações?**
A ausência de canal funcional para DSARs configura violação da Va. Code § 59.1-578 E. O Attorney General pode emitir notificação com 30 dias para cura. Se não corrigido, as penalidades podem chegar a US$ 7.500 por violação. Cada consumidor que tentou exercer um direito sem canal disponível pode ser contado como violação individual.

**5. Como a VCDPA trata a proteção de dados de adolescentes entre 13 e 15 anos?**
A VCDPA não tem proteção específica para essa faixa etária no fluxo geral da lei, ao contrário da NHDPA. Para crianças menores de 13 anos, aplica-se a COPPA. A proteção para adolescentes de 13 a 15 anos aparece apenas na seção específica para plataformas de redes sociais (Va. Code § 59.1-577.1), onde "menor" é definido como qualquer pessoa com menos de 16 anos, com limite de 1 hora de uso diário e exigência de consentimento parental verificável.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a VCDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Virginia VCDPA: Política de Privacidade

Tennessee TIPA e Cookies: Tudo o que você precisa saber

Inteligência Artificial e LGPD: tudo o que você precisa saber

Se você é um lojista na [Plataforma de E-commerce Tray](https://tray.com.br/) e já buscou informações sobre a Lei Geral de Proteção de Dados [(LGPD)](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), é provável que precise esclarecer pontos específicos e práticos.

1. *A plataforma já resolve este problema por mim?*
2. *O que preciso realmente fazer para não correr riscos?*

A resposta é simples e direta: a Tray ajuda bastante, mas a **responsabilidade final continua a ser inteiramente sua**.

A adequação não é só coisa de advogado, e a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) não é um mero detalhe jurídico para ficar na gaveta.

Veja como a *LGPD* impacta diretamente a sua operação:

- Como coleta dados
- Como utiliza [cookies](https://goadopt.io/blog/cookies-e-lgpd/) no navegador do usuário
- Como faz o seu [marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)
- Como integra aplicativos e ferramentas externas
- Como responde e atende o seu cliente
- Como lida com incidentes e vazamentos de dados

A adequação não tem que ser um obstáculo, nem serve para travar as suas vendas.

É, sim, uma forma de estruturar o crescimento da sua marca com **segurança**.

---

## O que é a LGPD e o impacto real na operação de um e-commerce

A **[Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)** devolve ao usuário o controle sobre as suas próprias informações.

No e-commerce, isso significa que qualquer dado tratado precisa ter:

- Finalidade clara e transparente
- Base legal definida
- Transparência total com o visitante
- Prazo de retenção justificável

Numa loja virtual, os dados circulam continuamente a cada clique:

- Nome e sobrenome
- CNPJ / CPF
- Endereço residencial ou empresarial
- Telefone
- E-mail
- Dados de pagamento e cartões de crédito
- Endereço de IP
- Histórico de navegação e preferências

O detalhe é que esses dados não ficam isolados apenas na sua loja. Eles percorrem um ecossistema complexo:

- A própria plataforma (**Tray**)
- Gateways e processadores de pagamento
- Sistemas de faturamento (ERPs)
- Ferramentas de e-mail marketing e automação
- CRMs
- Pixels de conversão e ferramentas analíticas (como o Google Analytics ou Meta Pixel)

Cada integração dessas representa um novo fluxo de dados.
E cada fluxo precisa estar **mapeado e justificado**.

Além disso, não se esqueça de que a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) atua em conjunto com outras regulamentações:

- Código de Defesa do Consumidor
- Marco Civil da Internet (e outras leis locais aplicáveis)

Ignorar toda essa estrutura não gera apenas o risco de [multas](https://goadopt.io/blog/multas-na-lgpd/) pesadas, gera uma quebra irreparável de confiança.

E, no mundo digital, **a confiança é o que realmente converte**.

---

## Como a plataforma Tray atua e onde está a responsabilidade real

Ao analisar minuciosamente o [contrato de tratamento de dados da Tray](https://lwsa.tech/politicas/), a divisão de papéis é juridicamente inquestionável:

O lojista é o **[Controlador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)** dos dados.
A Tray é a **[Operadora](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)** dos dados.

Na prática diária, isso significa que:

- É a **sua empresa** que decide por quais motivos coleta os dados
- É a **sua empresa** que define a base legal para cada ação
- É a **sua empresa** que tem que responder aos pedidos do titular
- É a **sua empresa** que responde perante a Autoridade Nacional de Proteção de Dados (ANPD)

A Tray apenas *processa os dados* conforme as suas instruções explícitas.

Existem, contudo, situações específicas — como a melhoria contínua do serviço, a prevenção contra fraudes ou o cumprimento de obrigações legais — em que a Tray pode atuar como controladora para as suas finalidades próprias.

Isso é normal e está perfeitamente alinhado com a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/).

Outro ponto de extrema importância:

Em caso de incidente cibernético ou vazamento de dados, a Tray se compromete a notificar o lojista num prazo de até 48 horas.

Mas quem decide (e tem a obrigação de) comunicar oficialmente a autoridade e os titulares afetados é **você**.

A regra de ouro é: **ter a tecnologia terceirizada nunca significa terceirizar a responsabilidade legal**.

---

## Passos práticos para adequar o seu e-commerce na Tray

A adequação não se compra feita; é um processo, e exige uma estrutura sólida.

### 1. [Política de Privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/) personalizada

A sua política deve refletir a realidade exata da sua operação.

Esqueça o "copiar e colar":

- Quais os dados exatos que são coletados
- Para qual finalidade específica os utiliza
- Qual a base legal que sustenta cada tratamento
- Com quem esses dados são compartilhados
- Se existe transferência internacional de dados
- Qual o prazo real de retenção das informações
- O canal de contato direto para os direitos do titular

Uma política genérica não protege ninguém, apenas cria uma **falsa sensação de segurança**.

### 2. Política de Cookies detalhada

O documento sobre cookies precisa ter as seguintes informações:

- Classificar os [cookies](https://goadopt.io/blog/cookies-e-lgpd/) por categorias (essenciais, analíticos, de marketing/publicidade)
- Informar a duração de cada um (de sessão ou persistentes)
- Informar as entidades terceiras envolvidas (Google, Meta, TikTok, etc.)
- Explicar passo a passo como revogar o [consentimento](https://goadopt.io/blog/site-precisa-consentimento-lgpd/)
- Explicar as consequências reais caso o usuário recuse o rastreamento

Lembre-se: [cookies](https://goadopt.io/blog/cookies-e-lgpd/) que não sejam estritamente essenciais **não podem ser ativados antes de o usuário dar o seu aceite**.

### 3. [Aviso de cookies](https://goadopt.io/blog/banner-de-cookies/) com bloqueio de tags

Não basta colocar um aviso no rodapé do site dizendo "utilizamos [cookies](https://goadopt.io/blog/cookies-e-lgpd/)".

Não é porque é lei, que tem que ser feio, quadrado e estragar o design da sua loja, mas tem que funcionar tecnicamente.

É estritamente necessário garantir:

- **Bloqueio prévio real** dos scripts de terceiros
- **Consentimento granular** (permitir que o usuário escolha o que aceita)
- **Registro imutável da escolha** (consent log)
- **Prova documentada** para efeitos de auditoria

O [consentimento](https://goadopt.io/blog/site-precisa-consentimento-lgpd/) precisa ser livre, totalmente informado e inequívoco.

Uma [Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) (CMP) profissional resolve isso para você.

### 4. Canal de atendimento LGPD

Você precisa oferecer aos seus clientes:

- Um e-mail dedicado ou um formulário específico para pedidos de privacidade
- Um processo interno ágil de resposta
- Um procedimento técnico claro para a exclusão, portabilidade ou correção de dados

Se o titular solicitar a exclusão de dados, ter isso de forma fácil e rápida poderá livrar você de grandes problemas.

### 5. [Mapeamento](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) de integrações

Liste absolutamente todos os seus parceiros tecnológicos:

- Gateways de pagamento
- Sistemas de faturamento e ERPs
- Ferramentas de CRM
- Plataformas de automação de marketing
- Aplicativos externos do marketplace

Documente a finalidade de cada um e a base legal de cada fluxo de informação. **Sem mapeamento, não há controle**.

---

## O papel do banner de cookies e os riscos reais

Muitos lojistas acreditam que apenas exibir o aviso de [cookies](https://goadopt.io/blog/cookies-e-lgpd/) resolve o problema da privacidade.

**Não resolve.**

Se o pixel de remarketing dispara e coleta dados antes de o visitante aceitar o [consentimento](https://goadopt.io/blog/site-precisa-consentimento-lgpd/), a sua loja está em risco.

As penalidades financeiras previstas na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) não são uma brincadeira e podem chegar a:

- [Multas](https://goadopt.io/blog/multas-na-lgpd/) de **até 2% do faturamento anual**
- Limitadas ao teto de **50 milhões** por cada infração cometida
- Divulgação pública formal da infração (o que destrói a imagem da marca)
- Suspensão imediata do tratamento de dados

Contudo, o maior risco é sempre o **risco reputacional**. A valorização da privacidade não deve ocorrer apenas após a sua perda.

Quando bem implementada, a privacidade deixa de ser um peso burocrático e transforma-se num diferencial competitivo de excelência e segurança da marca.

---

## Marketplace Tray e LGPD

A plataforma Tray possui excelentes fundações:

- Um contrato bem estruturado
- Uma [política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/) institucional clara
- Uma política de [cookies](https://goadopt.io/blog/cookies-e-lgpd/) transparente
- Medidas de segurança da informação robustas
- Regras bem definidas sobre suboperadores

Não existe nada no ecossistema deles que contradiga a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/).

Porém, nada de tudo isso substitui a sua própria **gestão de consentimentos**.

A [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) não foca em qual é a plataforma de e-commerce que a sua empresa utiliza.

Foca unicamente em **como a sua empresa opera e respeita o cliente**.

Não procure "dar um jeitinho". Ao transformar a conformidade numa experiência visualmente agradável e transparente para o visitante do seu e-commerce, o risco se converte em confiança.

E, no final do dia, **é a confiança que gera conversão**.

---

## FAQ — Perguntas frequentes

## 1. Usar a Tray significa que minha loja já está adequada à LGPD?

**Não.**

A plataforma oferece uma infraestrutura tecnológica e segurança de alto nível, mas a sua loja atua como o **[Controlador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)** dos dados pessoais.

A responsabilidade legal principal perante o consumidor e a lei continua a ser inteiramente sua.

---

## 2. Quem responde em caso de vazamento?

Se o incidente de segurança ocorrer diretamente na infraestrutura tecnológica da Tray, eles têm a obrigação contratual de notificar você num prazo de 48 horas.

No entanto, a **decisão estratégica e a obrigação legal** de comunicar a Autoridade Nacional (ANPD) e os titulares dos dados afetados recai sobre você, o lojista.

---

## 3. Ter um banner de cookies é suficiente?

**Não.**

Se os [cookies](https://goadopt.io/blog/cookies-e-lgpd/) de marketing, publicidade ou *analytics* forem ativados e instalados no navegador do visitante antes de ele dar o seu [consentimento](https://goadopt.io/blog/site-precisa-consentimento-lgpd/) livre e explícito, a sua loja virtual pode estar em séria desconformidade legal.

É absolutamente necessário garantir um **bloqueio prévio real** dos scripts e manter um registro seguro e auditável da escolha do usuário através de uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/).

---

## 4. Preciso criar minha própria Política de Privacidade?

**Sim.**

A política da Tray serve apenas para regular a relação jurídica da plataforma com o seu negócio.

A sua loja precisa imperativamente de uma **[política própria, detalhada e personalizada](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** para regular de forma transparente a relação com os seus clientes finais.

---

## 5. Quais são os maiores riscos para quem usa a Tray?

Os riscos operacionais mais comuns incluem:

- Disparo automático de pixels e tags de rastreamento antes da coleta do [consentimento](https://goadopt.io/blog/site-precisa-consentimento-lgpd/) válido
- Utilização de bases de dados de e-mails para campanhas sem uma base legal fundamentada
- Falta de [mapeamento](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) adequado dos aplicativos e integrações de terceiros
- Ausência de um canal de comunicação claro e eficaz para os direitos do titular

O perigo real reside muito mais na operação diária e nas táticas de marketing do que propriamente na tecnologia base da plataforma.

---

## 6. A LGPD pode prejudicar minhas vendas?

Se for mal implementada, com banners intrusivos que quebram o design e a navegação da loja, pode gerar atrito na jornada do consumidor.

No entanto, se for bem implementada, utilizando as ferramentas certas, **aumenta drasticamente a confiança do cliente**, melhora a percepção de valor da sua marca e fortalece um crescimento saudável e sustentável.

A [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) não trava de forma alguma as vendas. Ela simplesmente organiza o crescimento de quem quer jogar no longo prazo.

---

### Quer adequar a sua loja sem dores de cabeça?

Adequar o seu e-commerce à LGPD não tem que ser um processo difícil, chato e demorado. Se você quer garantir a segurança jurídica da sua loja na Tray, conquistar a confiança dos seus clientes e instalar um aviso de cookies que realmente funciona (com bloqueio prévio de scripts e sem prejudicar o design do seu site), nós podemos ajudar. **[Agende agora mesmo uma reunião com a equipe da AdOpt](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo)** e descubra como implementar a nossa Plataforma de Gestão de Consentimentos (CMP) de forma rápida, prática e segura. Não deixe a adequação para amanhã, proteja as suas vendas hoje!


Marketplace Tray: Como adequar seu e-commerce

A forma como a privacidade e o uso de cookies são geridos deixou de ser um detalhe técnico ou uma exigência “apenas do jurídico”.

 

Em marketplaces, políticas de privacidade e avisos de cookies passaram a fazer parte da experiência do usuário e da responsabilidade de quem vende pela internet.

 

Plataformas como a **[VTEX](https://vtex.com/pt-br/)** oferecem uma base tecnológica robusta para operar e escalar negócios digitais, mas quando o assunto é **LGPD**, a pergunta que realmente importa não é se a "plataforma é segura", e sim quem controla os dados e quem responde por eles.

 

Pensando em você dono de loja que vende pela internet, gestor de e-commerce ou mesmo DPO de e-commerce, fizemos um resumo do que você precisa saber para estar em conformidade com as leis de privacidade para o seu negócio.

 
 

## O que é Marketplace?

Um marketplace é uma plataforma que conecta compradores e vendedores, permitindo que transações comerciais ocorram de modo mais prático e escalável.
 
Dentro desse contexto, a **LGPD (Lei Geral de Proteção de Dados)** se torna fundamental, pois garante que os dados pessoais dos usuários sejam tratados de modo seguro, transparente e com finalidades legítimas. 
 
Saiba mais sobre a LGPD em nosso guia completo: [O que é LGPD e como ela afeta o e-commerce](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/).
 
A VTEX atende às leis de proteção de dados de diversos países, tomando a **GDPR** como referência global para suas práticas de privacidade. 
 
Veja sobre o [Aviso de Privacidade Geral da VTEX aqui](https://vtexwpprd.wpenginepowered.com/en-us/wp-content/uploads/sites/2/2025/12/VTEX-General_External_Privacy_Notice-PT-V2.pdf).
 
É essencial que e-commerces e marketplaces, como os que operam na VTEX, implementem medidas adequadas para proteger essas informações, respeitando os princípios da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/).

---

## Entenda o modelo Marketplace VTEX

A VTEX é uma plataforma robusta que permite que empresas criem e gerenciem seus e-commerces de forma eficiente, além de oferecer recursos específicos para operação de marketplaces.
 
A plataforma disponibiliza infraestrutura, segurança e ferramentas que auxiliam na criação da sua loja online, mas não assume o papel de controladora dos dados.
 
A VTEX deixa claro em seu **Data Processing Addendum (DPA)** que atua como operadora de dados, processando informações pessoais apenas conforme instruções do lojista.

 

Fonte: [VTEX – Data Processing Addendum (DPA)](https://vtex.com/wp-content/uploads/2022/07/VTEX-Data-Processing-Addendum-DPA-USA-version.docx-1.pdf) – Cláusula 2.3 (iii)

---

## Quem é quem na LGPD: os papéis de proteção de dados em marketplaces

Na LGPD, existem dois papéis centrais no tratamento de dados pessoais: **Controlador** e **Operador**.
 

- **Controlador:** decide como e por que os dados pessoais serão tratados.
 

- **Operador:** realiza o tratamento de dados em nome do controlador, seguindo suas instruções.
 
"No modelo de marketplace da VTEX, o lojista atua como **Controlador**, enquanto a VTEX atua como **Operadora** dos dados."
 

Fonte: [VTEX – Data Processing Addendum (DPA)](https://vtex.com/wp-content/uploads/2022/07/VTEX-Data-Processing-Addendum-DPA-USA-version.docx-1.pdf) – Cláusula 2.1

 

É essencial que ambos compreendam claramente suas responsabilidades para garantir a segurança dos dados e a conformidade legal. 

 

Para aprofundar o tema, veja: [Diferença entre controlador e operador de dados](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd)

---
 

## Modelo de Responsabilidade Compartilhada: onde termina o dever da VTEX e começa o seu?

A responsabilidade compartilhada entre a VTEX e os lojistas é um dos pilares da conformidade com a LGPD.
 
Enquanto a VTEX fornece a infraestrutura e ferramentas necessárias, o lojista é responsável por implementar práticas de privacidade, como a criação de um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies) claro e acessível além das políticas de privacidade e cookies.
 
Isso inclui práticas como:

- definição da base legal
- transparência com o usuário
- gestão de cookies e consentimentos
 
O próprio DPA da VTEX reforça esse ponto:
 
Fonte: [VTEX – Data Processing Addendum (DPA)](https://vtexwpprd.wpenginepowered.com/en-us/wp-content/uploads/sites/2/2025/05/VTEX-Data-Processing-Addendum-DPA-Brazil-version.docx-2.pdf) – Cláusula 2.2
 

**Entender esses limites é fundamental para reduzir riscos jurídicos e proteger os dados dos consumidores.**

 

---

## O papel da VTEX como Operadora: o que a plataforma garante nativamente?

Como operadora, a VTEX garante que os dados pessoais tratados em sua plataforma sejam protegidos por meio de medidas técnicas e organizacionais adequadas.
 
Isso inclui:

- criptografia
- controle de acesso
- proteção da infraestrutura
- disponibilidade e integridade dos dados
 
Além disso, a VTEX oferece recursos de apoio à conformidade, como o **Portal do Titular** e relatórios relacionados ao tratamento de dados.
 
Porém, a VTEX **não fornece nativamente um aviso de cookies configurável ou uma gestão completa de consentimento** para os sites que fazem parte do seu ecossistema.

 

---

## O papel do Lojista (Controlador): suas obrigações de privacidade ao usar VTEX

Se você utiliza a plataforma VTEX, você tem obrigações diretas sob a LGPD.
 
Os lojistas devem garantir que a coleta e o tratamento de dados pessoais ocorram conforme as [bases legais](https://goadopt.io/blog/bases-legais-da-lgpd) previstas em lei.
 
Isso inclui:

- informar claramente o usuário sobre o uso de dados
- disponibilizar uma política de privacidade atualizada
- implementar um aviso de cookies adequado
- respeitar os direitos do titular
 

Para saber mais, consulte o [guia orientativo da ANPD](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)

 

---

## DPA da VTEX explicado: o que diz o Adendo de Processamento de Dados

O **Data Processing Addendum (DPA)** da VTEX define formalmente as responsabilidades da plataforma e dos lojistas em relação à proteção de dados pessoais.
 
Esse documento é essencial para garantir que todos os processos estejam alinhados com a LGPD e outras legisções globais de privacidade.
 
Entre os pontos mais relevantes, o DPA estabelece que a VTEX não utilizará dados pessoais para fins próprios, apenas conforme instruções documentadas do lojista.
 
Fonte: [VTEX – Data Processing Addendum (DPA)](https://vtexwpprd.wpenginepowered.com/en-us/wp-content/uploads/sites/2/2025/05/VTEX-Data-Processing-Addendum-DPA-Brazil-version.docx-2.pdf) – Cláusula 2.3 (iv)_

---

## Passo a passo: como adequar seu Marketplace VTEX à LGPD e gerenciar consentimento

Para garantir a conformidade com a LGPD no seu marketplace VTEX, siga estas etapas:
 

1. **Revise suas políticas de privacidade** 
 - Garanta que estejam atualizadas e claras para o usuário.
 

2. **Configure um aviso de cookies** 
 - Utilize um [aviso de cookies](https://goadopt.io/blog/banner-de-cookies) que informe corretamente e registre o consentimento.
 

3. **Ative o Portal do Titular** 
 - Facilite o exercício dos direitos previstos na LGPD.
 

4. **Eduque sua equipe** 
 - Privacidade também é cultura organizacional.
 

5. **Monitore e audite continuamente** 
 - Revise práticas e ferramentas de forma recorrente.

 

Para entender como escolher a melhor solução para gestão de consentimento, [leia em nosso artigo](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) e para ficar mais fácil e rápido, [agende uma reunião com nosso especialista](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo?utm_source=blog&utm_medium=marktpetplacevtex).

---

Marketplace VTEX e LGPD: Como funciona a adequação e proteção de dados

Monetizar com o Google AdSense exige mais do que apenas gerar tráfego nas suas campanhas de **[marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

Afinal, se não fossem os **criadores de conteúdo**, não teríamos internet, no entanto, o processo não se resume a apenas colar um código e esperar o dinheiro cair.

Para que essa engrenagem rode, ocorre o tratamento de dados pessoais. O Google utiliza tecnologias como **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** de terceiros para coletar informações e mostrar anúncios personalizados. No Brasil e na Europa, essa operação deve obedecer rigorosamente à **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)** e à **GDPR**.

Monetização sem **estrutura de privacidade** é um risco triplo: jurídico, contratual e reputacional. O Google suspende permanentemente contas que violam as suas políticas, e **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** pode gerar **[multas](https://goadopt.io/blog/multas-na-lgpd/)** severas.

A pergunta não é se você **pode** usar o AdSense, a pergunta é: **você está jogando dentro das regras e garantindo noites de sono tranquilas com a sua operação?**

---

## 1. A Responsabilidade é Sua (O Google Exige Isso)

Ao usar o AdSense, você aceita as *Políticas para Editores do Google*. Elas são claras: você é obrigado a ter uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** transparente que divulgue que terceiros podem inserir e ler cookies no navegador dos seus utilizadores.

Perante a lei, ao decidir monetizar o seu site, você assume o papel de **[controlador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)** desses dados. Não adianta terceirizar a culpa ou simplesmente copiar **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)** genéricos da internet. A adequação não é só coisa de advogado, é a base da sua monetização.

---

## 2. O Que Você Não Pode Fazer (Linhas Vermelhas)

Tanto o Google quanto às **[bases legais da LGPD](https://goadopt.io/blog/bases-legais-da-lgpd/)** traçam limites claros. Para manter a sua conta ativa e rodando sem sustos, evite falhas nos seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**:

- **Violar a Privacidade:** Rastrear utilizadores sem **[consentimento](https://goadopt.io/blog/consentimento-site-lgpd/)** explícito.
- **Conteúdo Proibido:** Tentar monetizar páginas com discurso de ódio, pirataria ou conteúdo sexualmente explícito.
- **Gerar Cliques Artificiais:** Clicar nos próprios anúncios ou usar robôs para inflar impressões. Tentar **[apagar cookies](https://goadopt.io/blog/apagar-cookies-cache-navegador)** repetidamente para simular novas visitas resulta em banimento imediato.

---

## 3. O "Banner de Cookies" que Funciona de Verdade

Para estar seguro, o seu site precisa de gestão técnica real, aplicando o conceito de **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**. Ter apenas uma **[política de privacidade ideal](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)** escondida numa página não serve de nada. E não é porque é lei que tem de ser feio, quadrado ou formal.

Para compreender o verdadeiro **[significado da LGPD](https://goadopt.io/blog/significado-da-lgpd/)**, o seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** precisa garantir:

1. **Bloqueio Prévio (Zero Cookies):** Os scripts do AdSense não devem carregar antes do clique de aceite.
2. **Escolha Real:** O utilizador não deve ser forçado. Ele precisa de ter a opção de aceitar ou rejeitar de forma clara num **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** funcional.
3. **Design Equilibrado:** Tentar enganar o utilizador disfarçando o botão de rejeitar é infração grave.

---

## 4. Google Consent Mode v2: A Peça Chave

Muitos *publishers* temem perder receita ao pedir consentimento. É aqui que entra o **Google Consent Mode v2**.

Esta ferramenta ajusta o comportamento das tags consoante a escolha do utilizador. Se o visitante recusa os cookies, o Google utiliza modelagem de dados para recuperar métricas de forma anónima, sem violar a lei.

Para que isto funcione, o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** precisa garantir que a **[categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)** do site está perfeitamente alinhada com o seu **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)**.

---

## 5. Cenários Específicos: Arbitragem e Agências

Diferentes modelos de negócio exigem cuidados específicos com o AdSense:

### Para Arbitragem de Mídia (Compra de Tráfego)
Se você compra tráfego barato para monetizar com AdSense, o cuidado é dobrar! O Google monitoriza ferozmente a qualidade desse tráfego. Sem um banner de consentimento válido, o tráfego pode ser classificado como "inválido", levando à retenção do seu pagamento.

### Para Agências
Se você é uma **[agência de marketing](https://goadopt.io/blog/lgpd-oportunidade-agencia-marketing-digital/)** e gere contas AdSense para terceiros, garantir a conformidade dos sites dos seus clientes é uma responsabilidade sua. Um site bloqueado por falta de adequação mancha a reputação da agência.

---

## 6. Por que usar uma CMP Certificada?

O Google exige que *publishers* que operam em zonas reguladas utilizem uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)** certificada. Seguindo qualquer **[guia orientativo](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)** atual, esta é a única forma de operar com segurança.

Uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** certificada garante:

- Integração nativa com o **Google Consent Mode v2**;
- Bloqueio automático de scripts antes do consentimento;
- Registo legal válido de quem aceitou os termos.

Nós ensinamos a adequar a sua empresa de verdade, não a dar um "jeitinho". Ferramentas gratuitas que não bloqueiam scripts colocam a sua conta em risco de "Ad Serving Limited" (limitação de anúncios).

---

## FAQ: Respostas Rápidas

**1. Preciso de consentimento para usar o AdSense no Brasil?**
**Sim.** A LGPD exige base legal. Como o AdSense usa rastreamento via cookies de terceiros, o consentimento prévio é a via exigida pela lei e pelo Google.
 

**2. O banner pode liberar os anúncios automaticamente se o utilizador rolar a página?**
**Depende.** Em caso de personalização do banner e retargeting, SIM. Logo, o consentimento deve ser uma ação afirmativa e prévia. Liberar scripts antes do "Aceitar" viola frontalmente as regras.

Contudo, se você conseguir amarrar tudo muito bem em sua política de privacidade e no setup do ADSense - que os anúncios veiculados ANTES do aceite não tenham absolutamente NENHUMA segmentação, ou como o mercado chama: "Anúncios de mar aberto", aqui temos uma boa oportunidade para não prejudicar o Publisher atraíndo risco para a sua operação.

Pois, tais anúncios poderiam se embasar na Base Legal do Legítimo interesse e não no consentimento.

O mesmo poderia acontecer em áreas logadas aonde teríamos a base legal da "execução de contratos" (termos de uso) permitindo que a publicidade seja personalizada e veiculada livremente neste ambiente, desde que muito bem amarrada em suas políticas e termos.
 

**3. Posso clicar nos meus próprios anúncios do AdSense?**
**Não.** O sistema do Google é implacável com fraudes. Clicar nos próprios anúncios gera suspensão permanente por tráfego inválido.
 

**4. A falta de consentimento gera bloqueio da conta?**
**Sim.** O Google pode limitar a exibição de anúncios em sites que não apresentam mecanismos de transparência adequados ou suspender a monetização.
 

---

## Transforme Consentimento em Estratégia

Se você usa dados para monetizar, precisa de governança. O consentimento válido não é apenas uma trava burocrática; é o selo de qualidade que garante que o seu inventário de anúncios seja seguro e "premium". O consentimento não é a solução para tudo, mas é um excelente começo.

A AdOpt é uma CMP certificada que ajuda a alinhar monetização, conformidade legal e performance. Você foca em crescer o seu negócio, nós cuidamos dos cookies.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**

Política AdSense: Guia Completo de Conformidade para Editores em 2026

Monetizar com o Google AdSense é um processo inteligente em tempo real que conecta anúncios ao seu conteúdo.

Afinal, se não fossem os **criadores de conteúdo**, não teríamos internet, no entanto, o processo não se resume a apenas **"se tem AdSense vou estar ganhando dinheiro"**.

Para que essa engrenagem rode, ocorre o tratamento de dados pessoais. O Google utiliza tecnologias como **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** e *pixels* da Web para coletar informações.

No Brasil, essa operação deve obedecer rigorosamente à **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)**.

Monetização sem **estrutura de privacidade** é um risco triplo: jurídico, contratual e reputacional.

O Google pode suspender contas que violem suas [políticas](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/), e a LGPD prevê [multas](https://goadopt.io/blog/multas-na-lgpd/) que pode sao de 2% por infracao sobre o faturamento anual da empresa.

A pergunta não é se você **pode** usar o AdSense, a pergunta é: **você está jogando dentro das regras e garantindo noites de sono tranquilas com a sua operação?**

---

## 1. A Responsabilidade é Sua (O Google Exige Isso)

Ao usar o AdSense, você aceita as *Políticas para Editores do Google*. Elas são claras: você é obrigado a ter uma **[Política de Privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** que divulgue que terceiros (como o Google) podem inserir e ler cookies no navegador dos seus usuários.

Pela LGPD, ao decidir monetizar seu site e permitir essa coleta, você assume o papel de **[Controlador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)**. Não adianta terceirizar a culpa para a ferramenta. Se você coleta dados para oferta de bens, serviços ou analisar o comportamento de indivíduos no Brasil, a lei se aplica a você. E lembre-se: a adequação não é só coisa de advogado.

---

## 2. O Que Você Não Pode Fazer (Linhas Vermelhas)

Tanto a lei quanto as políticas do Google traçam limites claros. Para manter sua conta ativa e rodando sem sustos, evite:

- **Violar a Privacidade:** Coletar dados que identifiquem usuários pessoalmente sem aviso e [consentimento](https://goadopt.io/blog/site-precisa-consentimento-lgpd/) explícito.
- **Segmentar Dados Sensíveis:** As políticas do Google proíbem estritamente publicidade personalizada baseada em saúde, raça, religião, afiliação política ou orientação sexual.
- **Gerar Cliques Artificiais:** Clicar nos próprios anúncios ou usar robôs para inflar impressões.

---

## 3. O "[Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/)" que Funciona de Verdade

Para estar seguro, seu site precisa de gestão técnica real. Um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** que só enfeita a tela não serve para nada. Além disso, não é porque é lei que tem que ser feio, quadrado ou formal.

Para ser válido perante o Google e a LGPD sem ferir o design do seu site, o [banner](https://goadopt.io/blog/banner-de-cookies/) precisa ter:

1.  **Escolha Real e Granular:** O usuário não deve ser forçado a "Aceitar Tudo". Ele precisa ter a opção de escolher categorias ([Marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/), Estatística, etc.).
2.  **Bloqueio Prévio (Zero Cookies):** Scripts de publicidade não devem carregar antes do clique de aceite.
3.  **Design Equilibrado:** Botões de "Aceitar" e "Rejeitar" devem ter o mesmo destaque visual. Tentar enganar o usuário (Dark Patterns) é infração.
4.  **Revogação Fácil:** O usuário deve conseguir mudar de ideia a qualquer momento, de forma simples e acessível.

---

## 4. Google Consent Mode v2: A Peça Chave

Muitos *publishers* temem perder receita ao pedir consentimento. É aqui que entra o **Google Consent Mode**.

Essa ferramenta ajusta o comportamento das [tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) do Google (Analytics e Ads) com base no status de consentimento do usuário.

- **Se o usuário aceita:** O AdSense funciona normalmente, com personalização total.
- **Se o usuário recusa:** O Google usa modelagem de dados para recuperar parte das conversões e métricas sem usar cookies invasivos.

Integrar o Consent Mode com uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) Certificada pelo Google** (como a AdOpt) é essencial para manter a inteligência das suas campanhas sem violar a lei.

---

## 5. Cenários Específicos: E-commerce, Arbitragem e Blogs

Diferentes modelos de negócio exigem cuidados específicos com o AdSense:

### Para [E-commerce](https://goadopt.io/blog/impacto-ecommerce-lgpd/)
Lojas virtuais usam AdSense e Remarketing intensamente. A LGPD exige que o consentimento seja obtido *antes* de ativar tags de remarketing. Sem isso, você corre o risco de "sujar" sua base de leads com dados ilegais, o que inviabiliza campanhas futuras.

### Para Arbitragem de Mídia (Compra de Tráfego)
Se você compra tráfego barato para monetizar com AdSense, cuidado redobrado! O Google monitora ferozmente a qualidade desse tráfego. Se o seu site não tiver um banner de consentimento claro e política de privacidade robusta, o Google pode classificar seu tráfego como "inválido" ou de baixa qualidade, levando à retenção de pagamentos ou banimento.

### Newsletters e Captação de Leads
Ao capturar e-mails, o consentimento para marketing deve ser explícito. Não use caixas de seleção pré-marcadas. Alinhe a coleta de leads com sua política de privacidade para manter um bom RPM sem sacrificar a confiança do usuário.

---

## 6. Por que usar uma CMP Certificada?

O Google agora exige que *publishers* que servem anúncios para a Europa (e recomenda fortemente para o Brasil devido à LGPD) usem uma **CMP ([Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)) Certificada**.

Uma CMP Certificada garante:

- Integração nativa com o **Google Consent Mode v2**;
- Transparência nos padrões da IAB (Transparency and Consent Framework);
- Bloqueio automático de scripts antes do consentimento.

Usar plugins gratuitos não certificados é o famoso "jeitinho" que pode colocar sua conta em risco de "Ad Serving Limited" (limitação de anúncios). Nós ensinamos a adequar sua empresa de verdade, não a dar um jeitinho.

---

## FAQ: Respostas Rápidas

**1. Preciso de consentimento para AdSense no Brasil?**
**Sim.** A LGPD exige base legal. Para rastreamento via cookies, o consentimento é a via mais segura, ética e exigida pelo Google.

**2. O banner pode liberar os anúncios automaticamente?**
**Jamais.** O consentimento deve ser prévio. Liberar scripts antes da ação ativa do usuário viola frontalmente a LGPD.

**3. Posso segmentar anúncios por saúde ou religião?**
**Não.** As políticas do Google proíbem estritamente personalização baseada em categorias sensíveis.

**4. A falta de consentimento gera bloqueio?**
**Sim.** O Google pode limitar a exibição de anúncios (limit ad serving) em sites que não apresentam mecanismos de transparência e escolha adequados.

---

## Transforme Consentimento em Estratégia

Se você usa dados para monetizar, precisa de governança. O consentimento válido não é apenas uma trava burocrática; é o selo de qualidade que garante que seu inventário de anúncios seja considerado "premium" e seguro pelos anunciantes. O consentimento não é a solução para tudo, mas é um excelente começo.

A AdOpt é uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) certificada que ajuda você a alinhar monetização, LGPD e performance. Você foca em crescer o seu negócio, nós cuidamos dos cookies.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**



Consentimento ADSense: Guia de Adequação à LGPD e às Políticas do Google

VTEX e Google Consent Mode v2: como configurar sem perder dados de campanha

## Ecommerce Brasil: o impacto da LGPD no seu ecommerce

O Brasil tem mais de 87 milhões de consumidores digitais. O ecommerce brasileiro movimentou mais de R$ 185 bilhões em 2023 e esse número cresce todo ano.

É um mercado vibrante, competitivo e cheio de oportunidade.

Mas junto com a oportunidade veio a **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)** e ela não é opcional.

Se você tem um ecommerce no Brasil, trata dados pessoais todos os dias: nome, endereço, CPF, e-mail, telefone, histórico de compras, comportamento de navegação, dados de cartão de crédito.

Cada uma dessas informações é um dado pessoal regulado por lei.

A pergunta que muitos donos de ecommerce ainda relutam em responder com honestidade é simples: **o meu ecommerce está realmente adequado à LGPD?**

Este artigo vai ajudar você a responder isso com clareza e a entender exatamente o que precisa mudar.

---

## 1. O Que a LGPD Exige Especificamente dos Ecommerces

A LGPD não foi escrita para grandes corporações com departamentos jurídicos. Ela se aplica a qualquer pessoa natural ou jurídica que trate dados pessoais incluindo a sua loja virtual, independente do tamanho.

O Art. 3º deixa claro: a lei se aplica a qualquer operação de tratamento realizada em território nacional, ou quando os dados coletados sejam de pessoas localizadas no Brasil.

Isso significa que o dono de uma loja virtual no Shopify com sede nos EUA mas que vende para brasileiros também precisa se adequar.

### 1.1 O Que É "Tratamento de Dados" no Ecommerce

Tratamento é qualquer operação feita com dados pessoais: coleta, armazenamento, uso, compartilhamento, exclusão. No contexto de um ecommerce, isso inclui:

- **Cadastro do cliente:** nome, e-mail, CPF, endereço, telefone.
- **Processamento de pagamento:** dados do cartão (mesmo que via gateway), histórico de compras.
- **Navegação e rastreamento:** páginas visitadas, produtos visualizados, tempo de sessão coletados via **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** e pixels.
- **Comunicação:** envio de e-mails transacionais, newsletters, SMS de remarketing.
- **Logística:** repasse de endereço para transportadora.
- **Atendimento:** registros de tickets, histórico de conversas no chat.

Cada uma dessas operações precisa ter uma **base legal válida** na LGPD.

### 1.2 O Que Muda na Prática Para Quem Vende Online

Antes da LGPD, era comum:

- Cadastrar o e-mail do cliente na newsletter automaticamente no momento da compra.
- Compartilhar dados de clientes com parceiros de marketing sem aviso.
- Manter dados de clientes inativos indefinidamente "por precaução".
- Usar pixels do Facebook e Google sem nenhum controle de consentimento.

Tudo isso viola a LGPD. E a multa pode chegar a **2% do faturamento da empresa**, limitada a R$ 50 milhões por infração.

---

## 2. Dados do Ecommerce e as Bases Legais Corretas

Nem tudo precisa de consentimento explícito. A LGPD tem dez bases legais, e escolher a certa para cada tipo de tratamento é o que torna a adequação inteligente sem tornar a experiência de compra um interrogatório.

### 2.1 Execução de Contrato

Esta é a base legal mais utilizada nos ecommerces para dados essenciais à operação:

- **Endereço de entrega:** você precisa do endereço para entregar. Não precisa de consentimento separado é execução de contrato.
- **CPF para emissão de nota fiscal:** exigência legal e fiscal.
- **E-mail para confirmação do pedido:** comunicação essencial ao contrato.
- **Repasse de dados à transportadora:** necessário para cumprir a entrega contratada.

**Atenção:** essa base legal cobre apenas o que é *necessário* para cumprir o contrato. Usar o endereço do cliente para enviar publicidade não está coberto aqui.

### 2.2 Consentimento

Para tudo que vai além da operação essencial, o consentimento é necessário:

- **Newsletter e e-mail marketing:** o usuário precisa optar ativamente. A caixinha pré-marcada "aceito receber comunicações" não vale.
- **Cookies de marketing e rastreamento:** o **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** precisa estar presente e funcional antes que qualquer pixel carregue.
- **Remarketing e retargeting:** anúncios que perseguem o usuário pelo Google e Facebook dependem de cookies de terceiros — que precisam de consentimento prévio.
- **Personalização de experiência baseada em perfil:** se você usa dados de comportamento para personalizar a vitrine, informe e peça consentimento.

### 2.3 Legítimo Interesse

O legítimo interesse permite algumas operações sem consentimento, desde que documentadas:

- **Prevenção a fraudes:** analisar padrões de comportamento para detectar fraudes em transações.
- **Segurança do sistema:** logs de acesso, monitoramento de tentativas de invasão.
- **Comunicação pós-compra de produtos relacionados** (com critérios bem definidos e possibilidade de opt-out).

### 2.4 Obrigação Legal

Manter dados fiscais pelo tempo exigido pela Receita Federal, responder a requisições judiciais, cumprir obrigações com a SEFAZ tudo isso tem base legal própria e não precisa de consentimento.

---

## 3. O Pixel do Facebook e o Google Ads: O Risco Que Ninguém Fala

Este é o ponto onde a maioria dos ecommerces brasileiros está em situação irregular e nem sabe.

O **Meta Pixel** (antigo Facebook Pixel) e a tag de conversão do **Google Ads** são scripts que rastreiam o comportamento dos visitantes do seu site: o que visualizaram, o que adicionaram ao carrinho, o que compraram. Esses dados vão direto para os servidores do Facebook e do Google.

Isso é **transferência de dados pessoais para terceiros** e precisa de base legal.

### 3.1 O Que Acontece Sem Controle de Consentimento

Quando um usuário acessa seu site sem que você tenha um mecanismo de consentimento funcional:

1. O pixel carrega imediatamente.
2. Dados de comportamento são enviados ao Facebook/Google sem que o usuário saiba ou tenha autorizado.
3. Seu ecommerce viola o Art. 7º da LGPD (tratamento sem base legal).
4. O usuário tem o direito de acionar a ANPD.
5. Você está sujeito a multa e à suspensão do tratamento.

Além do risco legal, o próprio Google exige que publishers e anunciantes em zonas reguladas implementem o **Google Consent Mode v2** caso contrário, a conta pode ter limitações na exibição de anúncios.

### 3.2 A Solução: CMP + Consent Mode

O caminho correto é ter uma **[CMP (Consent Management Platform)](https://goadopt.io/blog/o-que-e-uma-cmp/)** que:

1. Exibe o **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** antes que qualquer pixel carregue.
2. Bloqueia os scripts até que o usuário aceite.
3. Registra o consentimento de forma juridicamente válida.
4. Integra com o Google Consent Mode v2 para manter a performance das campanhas mesmo com usuários que recusaram.

Sem essa estrutura, você está operando em não-conformidade e gastando dinheiro em anúncios que podem ser limitados pelo próprio Google.

---

## 4. Política de Privacidade para Loja Virtual: O Que Precisa Ter

Ter uma **[política de privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)** não é diferencial é obrigação legal. O Art. 9º da LGPD exige que o titular tenha acesso fácil às informações sobre o tratamento de dados.

Mas copiar um template genérico da internet não atende. A política precisa ser específica ao seu negócio e cobrir:

### 4.1 Informações Obrigatórias

- **Quais dados você coleta** e em quais momentos (cadastro, compra, navegação, contato).
- **Para qual finalidade** cada dado é usado.
- **Com quem você compartilha** os dados (gateways de pagamento, transportadoras, plataformas de e-mail marketing, ferramentas de analytics, pixels de publicidade).
- **Por quanto tempo** você mantém cada tipo de dado.
- **Qual a base legal** para cada tratamento.
- **Como o titular pode exercer seus direitos** (acesso, correção, exclusão, portabilidade, revogação de consentimento).
- **Quem é o encarregado de dados** e como contatá-lo.
- **Como você notifica** o titular em caso de vazamento.

### 4.2 Onde Exibir a Política

A política precisa ser facilmente acessível. No ecommerce, isso significa:

- Link no rodapé de todas as páginas.
- Link durante o processo de checkout (antes da finalização da compra).
- Link no formulário de cadastro.
- Mencionada no e-mail de boas-vindas ao novo cadastro.

Uma política escondida em seis cliques não atende ao requisito de transparência.

---

## 5. Os Termos de Uso do Ecommerce e a LGPD

Os **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)** regulam a relação contratual entre você e o cliente.

Eles são diferentes da política de privacidade mas precisam dialogar com ela.

Nos termos de uso, você deve incluir:

- Condições de compra, entrega e devolução.
- Responsabilidades de cada parte.
- Condições de uso do cadastro.
- Referência à política de privacidade.
- Como o usuário pode encerrar o cadastro e solicitar exclusão de dados.

A ANPD tem orientado que os termos de uso não devem ser o lugar onde você esconde condições desfavoráveis em letras miúdas especialmente as relacionadas ao uso de dados pessoais.

---

## 6. Carrinho Abandonado e E-mail Marketing: Como Fazer Certo

O e-mail de carrinho abandonado é uma das ferramentas mais lucrativas do ecommerce e uma das mais problemáticas do ponto de vista da LGPD.

### 6.1 Quando É Legal Enviar o E-mail de Carrinho Abandonado

Cenário 1 — **Cliente cadastrado que fez login:** Ele tem cadastro ativo e iniciou uma compra. O envio pode se basear em legítimo interesse (relação comercial existente) desde que haja opt-out fácil e o e-mail seja sobre o produto do carrinho, não publicidade genérica.

Cenário 2 — **Visitante que digitou o e-mail no checkout mas não finalizou:** Aqui é mais delicado. Se o formulário não teve um checkbox de consentimento para esse uso específico, o envio é questionável.

Cenário 3 — **Visitante identificado apenas por cookie:** Você não pode enviar e-mail se não tem dados de contato com base legal.

### 6.2 Newsletter: A Caixinha Pré-marcada Que Custa Caro

A caixinha "aceito receber promoções e novidades" pré-marcada é prática comum e prática ilegal.

O consentimento para e-mail marketing precisa ser:

- **Ativo:** o usuário precisa marcar a caixa, não desmarcar.
- **Separado:** não pode ser mesclado com a aceitação dos termos de uso.
- **Específico:** "aceito receber e-mails sobre meus pedidos" é diferente de "aceito receber e-mails de marketing".
- **Revogável:** todo e-mail precisa ter link de descadastro funcional.

---

## 7. Logística e Compartilhamento de Dados com Terceiros

Quando você envia o pedido pela Correios, Total Express, Jadlog ou qualquer outra transportadora, está transferindo dados pessoais do cliente para um terceiro.

A LGPD exige que esse compartilhamento seja:

1. **Informado** na política de privacidade.
2. **Coberto por base legal** (neste caso, execução de contrato).
3. **Regulado por contrato** com a transportadora ela assume o papel de operadora dos dados.

O mesmo vale para gateways de pagamento (Cielo, PagSeguro, Mercado Pago, Stripe), plataformas de atendimento (Zendesk, Freshdesk), ferramentas de e-mail marketing (RD Station, Mailchimp, Klaviyo) e qualquer outro parceiro que receba dados dos seus clientes.

O **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** é o instrumento que permite visualizar todo esse fluxo quem recebe o quê, com qual base legal, e por quanto tempo.

---

## 8. Retenção de Dados: Por Quanto Tempo Guardar

Muitos ecommerces mantêm dados de clientes indefinidamente "por precaução". Isso viola o princípio da **necessidade** da LGPD você só pode manter dados pelo tempo necessário para a finalidade declarada.

### 8.1 Prazos Recomendados por Categoria

- **Dados de pedido e nota fiscal:** mínimo 5 anos (obrigação tributária).
- **Dados de cadastro de cliente ativo:** enquanto a relação comercial existir.
- **Dados de cliente inativo:** 2 a 5 anos, dependendo do ciclo de compra do negócio, depois anonimizar ou excluir.
- **Logs de navegação e cookies:** 12 a 24 meses (alinhado com a finalidade de analytics).
- **Dados de consentimento:** pelo menos tão longo quanto o período de uso dos dados para provar que o consentimento existia.

### 8.2 O Direito ao Esquecimento no Ecommerce

O titular tem o direito de solicitar a exclusão dos seus dados. Seu ecommerce precisa ter um processo claro para atender essa solicitação:

1. **Canal de contato** identificado (e-mail do encarregado ou formulário específico).
2. **Prazo de resposta** (a LGPD não define prazo, mas a ANPD recomenda 15 dias úteis).
3. **Processo de exclusão** em todas as bases de dados incluindo sistemas de terceiros (ESP, CRM, analytics).
4. **Exceções documentadas** você pode manter dados que a lei exige manter (fiscais, por exemplo), e precisa comunicar isso ao titular.

---

## 9. O Impacto da Não Conformidade no Ecommerce

As **[multas da LGPD](https://goadopt.io/blog/multas-na-lgpd/)** são sérias, mas a multa financeira não é o único risco. O impacto da não conformidade no ecommerce tem várias dimensões:

### 9.1 Risco Financeiro

- Multa simples: até 2% do faturamento, limitada a R$ 50 milhões por infração.
- Multa diária para cessação da infração.
- Ressarcimento por danos ao titular.

### 9.2 Risco Operacional

- Suspensão ou bloqueio do tratamento de dados o que pode paralisar operações de marketing digital e remarketing.
- Limitação de anúncios pelo Google por não conformidade com o Consent Mode v2.
- Bloqueio de integração com plataformas internacionais (Meta, Google, Shopify) que exigem compliance como condição de uso.

### 9.3 Risco Reputacional

Em um mercado onde a confiança é o ativo mais valioso, um vazamento de dados ou uma notificação pública da ANPD pode destruir anos de construção de marca. O consumidor brasileiro está cada vez mais atento à privacidade e cada vez mais disposto a escolher lojas que respeitam seus dados.

---

## 10. Checklist de Conformidade para Ecommerces

Use esta lista para fazer um diagnóstico rápido da situação da sua loja:

### Documentação Legal
- [ ] Política de privacidade completa e atualizada, acessível no rodapé
- [ ] Termos de uso publicados e linkados no checkout
- [ ] Encarregado de dados identificado e canal de contato publicado

### Consentimento e Cookies
- [ ] CMP instalada com aviso de cookies funcional
- [ ] Pixels do Facebook e Google bloqueados antes do aceite
- [ ] Google Consent Mode v2 implementado
- [ ] Newsletter e e-mail marketing com opt-in ativo (sem caixinha pré-marcada)

### Processos Internos
- [ ] Mapeamento de dados atualizado com todos os tratamentos
- [ ] Contratos de operador assinados com transportadoras, gateways e plataformas de marketing
- [ ] Processo documentado para atender solicitações de titulares (acesso, correção, exclusão)
- [ ] Política de retenção de dados definida

### Segurança
- [ ] Dados de cartão de crédito nunca armazenados diretamente (delegar ao gateway)
- [ ] Acesso ao painel administrativo com autenticação forte (2FA)
- [ ] Plano de resposta a incidentes de segurança documentado
- [ ] Processo de notificação à ANPD em caso de vazamento (prazo: 2 dias úteis)

---

## 11. Adequar Sem Parar as Vendas: Estratégia Inteligente

A maior resistência dos donos de ecommerce é: "se eu pedir consentimento, vou perder conversão". Essa é uma preocupação legítima mas a lógica é inversa ao que parece.

Estudos mostram que usuários que deram consentimento explícito têm taxas de engajamento **maiores** do que usuários rastreados sem permissão. Eles sabem que recebem comunicações porque escolheram e isso muda a relação.

Além disso, o **Google Consent Mode v2** foi criado justamente para minimizar o impacto da recusa de cookies nas métricas de campanha. Com uma CMP certificada e o Consent Mode v2 ativo, você mantém a inteligência dos anúncios mesmo para usuários que recusam cookies.

A **[adequação ao marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** não é o oposto da performance é o caminho para uma performance sustentável e juridicamente segura.

---

## FAQ: LGPD e Ecommerce no Brasil

**1. Todo ecommerce precisa ter aviso de cookies?**

Sim, se o site usa cookies de terceiros (Google Analytics, pixel do Facebook, tags de remarketing, ferramentas de heatmap). A LGPD exige base legal para esse tratamento, e o consentimento via aviso de cookies é a forma mais segura de obtê-la.

**2. Posso usar o CPF do cliente para fins de marketing?**

Não sem base legal específica. O CPF foi coletado para emissão de nota fiscal essa é a finalidade. Usar o CPF para cruzar dados em campanhas de marketing foge da finalidade original e viola o princípio da finalidade da LGPD.

**3. Minha loja está no Shopify ou VTEX. A plataforma cuida da LGPD por mim?**

Não completamente. A plataforma pode oferecer recursos de compliance (como campo de opt-in ou integração com CMP), mas a responsabilidade jurídica pela adequação é sua. Você é o controlador dos dados dos seus clientes.

**4. Preciso do consentimento do cliente para enviar o e-mail de rastreamento do pedido?**

Não. E-mails transacionais (confirmação de pedido, código de rastreamento, nota fiscal) têm base legal na execução do contrato o cliente comprou e precisa da informação. Consentimento é necessário apenas para comunicações de marketing.

**5. Como funciona o processo de exclusão de dados de um cliente?**

O cliente entra em contato pelo canal de comunicação com o encarregado de dados. Você tem o dever de excluir os dados dele de todos os sistemas salvo aqueles que há obrigação legal de manter (dados fiscais, por exemplo). É recomendável responder em até 15 dias úteis e confirmar as exclusões realizadas.

---

## Adequação Não É Custo — É Investimento em Longevidade

Muitos donos de ecommerce ainda enxergam a LGPD como uma obrigação chata, um custo sem retorno. Mas o mercado já mostrou o contrário: lojas adequadas constroem uma base de clientes mais engajada, têm menos risco de sustos regulatórios e estão posicionadas para crescer em um ambiente onde os gigantes do digital (Google, Meta, Apple) estão tornando a privacidade requisito, não opção.

Adequar o seu ecommerce não precisa ser um projeto de meses com consultoria cara. Com as ferramentas certas incluindo uma CMP certificada como a AdOpt é possível implementar a estrutura essencial de forma rápida e sem impactar a experiência de compra.

A AdOpt é uma CMP certificada pelo Google, bem avaliada no G2, e especialista no universo do ecommerce brasileiro. Você foca em vender, nós garantimos que os dados chegam legalmente.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**


Ecommerce Brasil: O impacto da LGPD no seu ecommerce

A Florida Digital Bill of Rights (FDBR) garante sete direitos aos consumidores floridanos. Para cada um desses direitos, existe uma obrigação correspondente do seu lado: um canal para receber a solicitação, um prazo para responder, um processo de apelação estruturado, e documentação de todo o fluxo.

Esta página cobre uma parte do quadro. Para o escopo completo da FDBR — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da FDBR e cookies](https://goadopt.io/blog/fdbr-florida-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo cobre tudo isso: o que é uma DSAR sob a FDBR, quais são os sete direitos garantidos, como processar cada tipo de solicitação, os prazos específicos da lei, e o que acontece quando o processo não funciona como deveria.

## O que é uma DSAR sob a FDBR?

DSAR é a sigla para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. Na prática, é qualquer pedido formal de um consumidor floridano para exercer os direitos que a FDBR (§§ 501.701 a 501.721) garante sobre os próprios dados.

A FDBR garante sete direitos, dois dos quais são exclusivos desta lei. Isso significa que o Portal do Titular de uma empresa no escopo da FDBR precisa cobrir mais cenários do que portais configurados para a maioria das outras leis estaduais americanas.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A lógica é a mesma: o consumidor precisa de um canal funcional para exercer os direitos que a lei garante.

## Quais são os sete direitos dos consumidores sob a FDBR?

Conforme § 501.705(2), os residentes da Flórida têm os seguintes direitos:

### 1. Direito de acesso e confirmação

O consumidor pode confirmar se a empresa processa seus dados e obter uma cópia dos dados pessoais que ela mantém, conforme § 501.705(2)(a).

A resposta precisa ser fornecida em formato acessível.

### 2. Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza dos dados e os propósitos do processamento, conforme § 501.705(2)(b).

A empresa pode, se mantiver um mecanismo de autocorreção funcional, direcionar o consumidor a corrigir os dados por esse sistema. Mas precisa avisar o consumidor dessa opção dentro do prazo de resposta (§ 501.706(3)).

### 3. Direito de exclusão

O consumidor pode solicitar a exclusão de qualquer ou todos os dados fornecidos ou obtidos sobre ele, conforme § 501.705(2)(c).

A FDBR permite duas formas de cumprimento quando os dados foram obtidos de terceiros (§ 501.706(6)):

Excluir os dados, reter apenas o registro da solicitação e o mínimo necessário para garantir que o dado permaneça excluído, sem usar esses dados retidos para nenhuma outra finalidade.

Optar o consumidor para fora do processamento daquele dado para qualquer finalidade não isenta pela lei.

### 4. Direito de portabilidade

O consumidor pode obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável, se os dados estiverem disponíveis em formato digital, conforme § 501.705(2)(d).

### 5. Direito de opt-out de publicidade segmentada, venda de dados e perfilamento

O consumidor pode recusar o processamento de dados para publicidade segmentada, venda de dados, e perfilamento em apoio a decisões com efeitos legais ou igualmente significativos (§ 501.705(2)(e)).

### 6. Direito de opt-out de dados sensíveis e geolocalização

O consumidor pode exercer opt-out da coleta de dados sensíveis, incluindo dados de geolocalização precisa, ou do processamento de dados sensíveis, conforme § 501.705(2)(f).

Esse é um direito exclusivo da FDBR. Dados sensíveis incluem origem racial ou étnica, crenças religiosas, diagnóstico de saúde, orientação sexual, status de imigração, dados genéticos ou biométricos, dados de crianças conhecidas, e geolocalização precisa (§ 501.702(31)).

### 7. Direito de opt-out de reconhecimento de voz e facial

O consumidor pode exercer opt-out da coleta de dados via recursos de reconhecimento de voz ou facial, conforme § 501.705(2)(g).

Esse é o direito mais exclusivo da FDBR. Se a empresa opera tecnologias de reconhecimento de voz (assistentes virtuais, comandos por áudio) ou reconhecimento facial (verificação de identidade, análise de expressões), o consumidor tem o direito de recusar a coleta de dados via esses recursos.

### A proibição de vigilância por dispositivos

O § 501.705(3) vai além dos direitos de opt-out. Dispositivos com recursos de voz, vídeo, reconhecimento facial, áudio, ou outros sensores de coleta de dados não podem usar esses recursos para vigilância quando não estão em uso ativo pelo consumidor, a menos que ele tenha autorizado expressamente.

## Quais são os prazos para responder?

A FDBR tem prazos que diferem das outras leis estaduais americanas.

**45 dias** a partir do recebimento da solicitação autenticada para responder (§ 501.706(2)).

O prazo pode ser estendido **uma vez por 15 dias adicionais** quando razoavelmente necessário, considerando complexidade e número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa. O prazo de extensão da FDBR é de 15 dias, não 45 como em outras leis.

Após cumprir a solicitação, o controlador precisa fornecer **aviso ao consumidor dentro de 60 dias** confirmando o cumprimento (§ 501.706(4)).

**60 dias** para responder a apelações (§ 501.707(3)).

O atendimento é gratuito **pelo menos duas vezes por ano** por consumidor (§ 501.706(5)).

## Dois ou mais canais obrigatórios para submissão

O § 501.709 exige que o controlador estabeleça **dois ou mais métodos** para submissão de solicitações. Essa é uma exigência exclusiva da FDBR entre as leis estaduais americanas.

Os métodos precisam ser:

Seguros e confiáveis.

Claramente e conspicuamente acessíveis.

Adequados para as formas como os consumidores normalmente interagem com o controlador.

Capazes de suportar autenticação da identidade do consumidor.

Além disso, o controlador precisa obrigatoriamente disponibilizar um mecanismo no próprio site para submissão de solicitações (§ 501.709(3)). Empresas que operam exclusivamente online e têm relação direta com o consumidor podem adicionalmente aceitar solicitações por e-mail.

A empresa não pode exigir criação de nova conta para exercício de direitos. Pode exigir uso de conta existente.

## Como deve funcionar o direito de apelação

Conforme § 501.707, o controlador precisa estabelecer um processo de apelação que seja:

Conspicuamente disponível, fácil de encontrar.

Semelhante ao processo de submissão das solicitações originais.

Capaz de resultar em resposta por escrito dentro de **60 dias**, com a decisão e a justificativa.

A FDBR não menciona explicitamente que o consumidor deve ser informado sobre como contatar o Departamento de Assuntos Jurídicos após apelação negada, diferente da VCDPA. Mas a empresa deve informar os canais disponíveis ao consumidor para escalação.

## Verificação de identidade: como fazer sem criar barreiras

A empresa precisa verificar se quem está submetendo a solicitação é o titular dos dados. Mas o processo não pode ser uma barreira desproporcional.

Conforme § 501.706(3), se a empresa não consegue autenticar a solicitação, não é obrigada a cumpri-la, mas deve fazer esforços razoáveis para pedir informações adicionais razoavelmente necessárias.

Na prática:

Para dados de baixo risco: confirmação por e-mail pode ser suficiente.

Para dados sensíveis ou alto risco: segundo fator de verificação pode ser justificado.

O que nunca é aceitável: barreiras desproporcionais ao tipo de dado envolvido, exigência de criação de nova conta, ou solicitação de mais dados pessoais do que o necessário para autenticar.

## Gratuidade: pelo menos duas vezes por ano

O atendimento de solicitações é gratuito **pelo menos duas vezes por ano** por consumidor (§ 501.706(5)). Para solicitações além desse limite, ou que sejam manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável ou recusar. O ônus de demonstrar o caráter excessivo é do controlador.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso

Receba e autentique a identidade do titular.

Localize todos os dados pessoais que a empresa mantém sobre esse consumidor em todos os sistemas.

Prepare cópia em formato legível e acessível.

Inclua: categorias de dados, finalidades, terceiros que receberam os dados, período de retenção.

Envie dentro do prazo de 45 dias.

Envie aviso de cumprimento dentro de 60 dias (§ 501.706(4)).

### Solicitação de correção

Receba e autentique.

Identifique o dado impreciso e em quais sistemas está armazenado.

Corrija nos sistemas primários e, quando aplicável, notifique terceiros que receberam o dado.

Confirme ao consumidor que a correção foi realizada.

Se a empresa mantém mecanismo de autocorreção, pode dirigir o consumidor a ele, mas deve avisar dentro do prazo.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal que permite reter o dado.

Para dados obtidos de terceiros, escolha entre as duas opções do § 501.706(6): excluir de fato ou optar o consumidor para fora do processamento.

Notifique terceiros que receberam os dados quando aplicável.

Confirme ao consumidor.

### Solicitação de portabilidade

Receba e autentique.

Gere arquivo com os dados do consumidor em formato portátil, quando disponível em formato digital.

Entregue ao consumidor de forma segura dentro do prazo.

### Opt-out de publicidade segmentada e venda

Receba e autentique.

Cesse o processamento para publicidade segmentada, venda de dados e perfilamento com efeitos significativos sem demora indevida.

Configure os sistemas para garantir que esse consumidor não seja incluído nessas práticas.

Atenção: a continuação de venda ou compartilhamento de dados após opt-out sujeita a empresa à penalidade **triplicada** (§ 501.72(1)(c)).

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) integrada aos sistemas automatiza boa parte desse fluxo.

### Opt-out de dados sensíveis e geolocalização

Receba e autentique.

Identifique todos os pontos de coleta de dados sensíveis no site ou no produto.

Cesse a coleta de dados sensíveis para esse consumidor conforme solicitado.

Se a geolocalização precisa estava sendo coletada, garanta que essa coleta pare imediatamente.

### Opt-out de reconhecimento de voz e facial

Receba e autentique.

Identifique todos os recursos de coleta via voz e câmera no produto.

Configure o sistema para não coletar dados de reconhecimento de voz ou facial desse consumidor.

Documente a ação tomada.

## O que acontece quando a empresa nega um pedido?

A empresa pode negar uma solicitação quando:

Não consegue autenticar a identidade do consumidor com esforços razoáveis.

O pedido é manifestamente infundado ou excessivo.

Há exceção legal que justifica o processamento continuado.

Em todos os casos, a recusa precisa ser comunicada ao consumidor dentro do prazo de 45 dias (§ 501.706(3)), com:

A justificativa da recusa.

Instruções sobre como apelar da decisão.

O processo de apelação precisa resultar em resposta por escrito dentro de 60 dias.

## Proteção contra discriminação

O § 501.71(2)(c) proíbe que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção: programas de incentivo financeiro, incluindo pagamentos ao consumidor como compensação pelo processamento de dados, são permitidos se o consumidor der consentimento prévio claro sobre os termos, e desde que não sejam injustos, coercitivos ou abusivos.

## Proteção especial: "criança" é menor de 18 anos

A FDBR usa um limiar diferente de outras leis. "Criança conhecida" (§ 501.702(17)) é qualquer indivíduo menor de **18 anos** sobre cuja idade o controlador tem conhecimento real ou que deliberadamente desconsidera.

Um controlador que deliberadamente ignora a idade de um usuário é tratado como tendo conhecimento real dela.

Para solicitações de crianças conhecidas: os pais ou responsáveis legais podem exercer os direitos em nome da criança (§ 501.705(1)).

As penalidades por violações envolvendo crianças conhecidas são **triplicadas** automaticamente pela FDBR (§ 501.72(1)(a)).

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação (incluindo qual dos sete direitos foi exercido).

Processo de autenticação realizado.

Ação tomada.

Data do aviso de cumprimento enviado.

Em caso de recusa: justificativa registrada.

Em caso de apelação: histórico completo e decisão final.

Essa documentação é o que protege a empresa em caso de investigação do Departamento de Assuntos Jurídicos. As penalidades por falha em excluir ou corrigir dados após solicitação autenticada são triplicadas (§ 501.72(1)(b)).

## O cure period da FDBR e os DSARs

O Departamento de Assuntos Jurídicos pode conceder **45 dias para correção** antes de iniciar ação (§ 501.72(2)), mas esse prazo é **discricionário**, não garantido.

E há uma exceção crítica: **violações envolvendo crianças floridanas conhecidas não têm cure period disponível** (§ 501.72(2)). O Departamento pode iniciar ação imediata.

Empresas sem processo estruturado de DSAR quando recebem uma notificação do Departamento enfrentam grande dificuldade de corrigir em 45 dias o que deveria ter sido implementado desde o início.

## Como a AdOpt ajuda com o Portal do Titular sob a FDBR

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade segmentada, dados sensíveis ou reconhecimento de voz/facial via Portal do Titular, o sistema atualiza automaticamente os disparadores correspondentes.

O log auditável da AdOpt serve como evidência de que os processos foram cumpridos conforme determinado pela FDBR. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a FDBR? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a FDBR

**Dois ou mais canais de submissão** seguros e claramente acessíveis (§ 501.709).

**Mecanismo no site** para submissão de solicitações (§ 501.709(3)).

**Cobertura dos 7 direitos** garantidos pela FDBR, incluindo opt-out de dados sensíveis e reconhecimento de voz/facial.

**Processo de apelação** conspicuamente disponível e semelhante ao processo original (§ 501.707).

**Prazo de 45 dias** para resposta, com extensão de mais 15 dias quando necessário (§ 501.706(2)).

**Aviso de cumprimento** enviado ao consumidor dentro de 60 dias (§ 501.706(4)).

**Prazo de 60 dias** para resposta a apelações (§ 501.707(3)).

**Processo de autenticação** com esforços comercialmente razoáveis (§ 501.706(3)).

**Atendimento gratuito pelo menos duas vezes por ano** por consumidor (§ 501.706(5)).

**Registro documentado** de cada solicitação, incluindo o tipo de direito exercido.

**Tratamento diferenciado** para crianças conhecidas menores de 18 anos (§ 501.702(17)).

**Pais e responsáveis** podem exercer direitos em nome de crianças conhecidas (§ 501.705(1)).

**Proteção contra discriminação** de consumidores que exercem seus direitos (§ 501.71(2)(c)).

## Comparativo: prazos do Portal do Titular na FDBR

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Todos os 7 direitos | 45 dias | +15 dias (não +45) |
| Aviso de cumprimento | 60 dias após cumprimento | Não se aplica |
| Apelação de decisão | 60 dias | Não especificado |
| Cure period (violações gerais) | 45 dias (discricionário) | Não há extensão |
| Cure period (violações com crianças) | Não existe | Não há |

## FAQ: FDBR e Portal do Titular

**1. Por que a FDBR exige dois ou mais canais de DSAR enquanto outras leis exigem apenas um?**
O § 501.709 exige explicitamente dois ou mais métodos para submissão de solicitações, sinalizando que o legislador floridano considerou que um único canal pode não ser suficiente para atender a diferentes perfis de consumidores. Os métodos precisam ser seguros, confiáveis e claramente acessíveis, considerando as formas como os consumidores normalmente interagem com o controlador. Uma empresa pode usar, por exemplo, um formulário no site como primeiro canal e um endereço de e-mail dedicado como segundo.

**2. O prazo de extensão da FDBR é realmente apenas 15 dias adicionais?**
Sim. O § 501.706(2) permite extensão de apenas 15 dias adicionais além dos 45 dias iniciais. Outras leis estaduais como a VCDPA e a NHDPA permitem extensão de 45 dias adicionais. Isso significa que o prazo máximo total de resposta na FDBR é de 60 dias, versus até 90 dias em outras leis. As empresas no escopo da FDBR precisam ter processos mais ágeis para garantir conformidade.

**3. A FDBR tem cure period garantido como a VCDPA?**
Não. O cure period de 45 dias da FDBR é discricionário (§ 501.72(2)): o Departamento de Assuntos Jurídicos pode ou não concedê-lo, considerando o número e frequência das violações, a probabilidade substancial de dano ao público, e a segurança de pessoas ou bens. Além disso, violações envolvendo crianças floridanas conhecidas não têm cure period disponível. O AG pode iniciar ação imediata nesses casos.

**4. Como a FDBR trata crianças de forma diferente das outras leis no contexto de DSARs?**
A FDBR usa um limiar de 18 anos para "criança conhecida" (§ 501.702(17)), não 13 como a maioria das leis americanas. Pais e responsáveis podem exercer os sete direitos em nome de crianças conhecidas (§ 501.705(1)). Violações envolvendo crianças conhecidas não têm cure period e as penalidades são triplicadas automaticamente (§ 501.72(1)(a)). O controlador que deliberadamente desconsidera a idade do usuário é tratado como tendo conhecimento real dela.

**5. O que acontece se a empresa continuar vendendo dados após o consumidor exercer o opt-out?**
O § 501.72(1)(c) lista a continuação da venda ou compartilhamento de dados após opt-out do consumidor como uma das violações que resultam em penalidades **triplicadas**. Cada consumidor afetado pode ser contado como violação individual, o que eleva o impacto financeiro rapidamente. A penalidade base chega a US$ 50.000 por violação, triplicável para US$ 150.000. Para empresas com grande base de usuários, isso pode representar exposição financeira significativa.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a FDBR? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Florida FDBR: DSAR Portal do Titular

Montana MTCDPA: Política de Privacidade

Saiba o que é uma DSAR sob a CCPA/CPRA, quais são os direitos garantidos, como estruturar o Portal do Titular, os prazos exatos, e o que acontece quando a empresa não cumpre.

Esta página cobre uma parte do quadro. Para o escopo completo da CCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CCPA e cookies](https://goadopt.io/blog/ccpa-california-e-cookies-tudo-o-que-voce-precisa-saber/).

## O que é uma DSAR sob a CCPA/CPRA?

DSAR é a sigla para Data Subject Access Request, ou Solicitação do Consumidor na linguagem da CCPA. É qualquer pedido formal de um residente da Califórnia para exercer os direitos que a lei garante sobre os próprios dados.

Sob a CCPA/CPRA, o consumidor pode fazer solicitações verificáveis para exercer seis direitos principais, mais o direito de ação privada por violações de segurança, que tem fluxo próprio.

Se você já conhece a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura do Portal do Titular é familiar. A CCPA/CPRA usa o termo "verifiable consumer request" para descrever solicitações autenticadas.

## Quais são os direitos dos consumidores sob a CCPA/CPRA?

### 1. Direito de saber e acessar (§ 1798.110, 1798.115)

O consumidor pode solicitar que a empresa confirme se processa seus dados e divulgue:

As categorias de informações pessoais coletadas.

As categorias de fontes.

A finalidade comercial ou de negócios para coleta, venda ou compartilhamento.

As categorias de terceiros com quem os dados foram compartilhados.

As **peças específicas** de informações pessoais coletadas sobre o consumidor.

A resposta deve cobrir os **12 meses anteriores** ao recebimento da solicitação.

Se a empresa vende ou compartilha dados, a solicitação também cobre:

As categorias de dados vendidos ou compartilhados, por categoria de terceiro.

As categorias de dados divulgados para fins de negócios, separadamente.

### 2. Direito de exclusão (§ 1798.105)

O consumidor pode solicitar a exclusão de qualquer informação pessoal que a empresa coletou sobre ele.

A empresa deve excluir os dados dos próprios registros e **notificar prestadores de serviço, contratistas e terceiros** para também excluirem, a menos que isso seja impossível ou envolva esforço desproporcional.

A empresa pode manter um registro confidencial de solicitações de exclusão apenas para evitar que o dado do consumidor que pediu exclusão seja revendido.

Há exceções que permitem reter os dados mesmo após solicitação de exclusão, incluindo: completar transações em andamento, garantir segurança, depurar erros, exercer liberdade de expressão, cumprir a lei, realizar pesquisa pública aprovada, e cumprir obrigação legal.

### 3. Direito de correção (§ 1798.106)

Adicionado pela CPRA. O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas, considerando a natureza dos dados e os propósitos do processamento.

A empresa deve usar esforços comercialmente razoáveis para corrigir os dados conforme instruído pelo consumidor.

### 4. Direito de opt-out da venda e compartilhamento (§ 1798.120)

O consumidor pode, a qualquer momento, ordenar à empresa que não venda ou compartilhe suas informações pessoais com terceiros.

Após receber a direção do consumidor, a empresa não pode vender ou compartilhar os dados a menos que o consumidor posteriormente forneça consentimento.

A empresa deve aguardar pelo menos **12 meses** antes de solicitar novamente que o consumidor autorize a venda ou compartilhamento (§ 1798.135(c)(4)).

Para consumidores menores de 16 anos que não consentiram com a venda ou compartilhamento, a empresa deve aguardar pelo menos **12 meses** antes de solicitar o consentimento novamente, ou até o consumidor completar 16 anos (§ 1798.135(c)(5)).

### 5. Direito de limitar o uso de informações pessoais sensíveis (§ 1798.121)

Adicionado pela CPRA. O consumidor pode ordenar à empresa que limite o uso das informações pessoais sensíveis ao que é necessário para fornecer os produtos ou serviços razoavelmente esperados.

Após receber a direção do consumidor, a empresa não pode usar as informações sensíveis para outros fins a menos que o consumidor forneça novo consentimento.

### 6. Direito de não discriminação (§ 1798.125)

O consumidor não pode ser discriminado por exercer qualquer direito garantido pela CCPA/CPRA. A empresa não pode negar produtos ou serviços, cobrar preços diferentes, oferecer qualidade inferior, ou sugerir tratamento diferenciado.

A exceção são programas de incentivo financeiro voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam para a empresa.

### O direito de ação privada por violações de segurança (§ 1798.150)

Esse direito tem um fluxo diferente dos demais. O consumidor cujos dados não criptografados e não redigidos forem acessados ou expostos em uma violação de segurança pode entrar com ação judicial para recuperar de **US$ 100 a US$ 750** por consumidor por incidente, ou danos reais quando maiores, além de medidas cautelares.

Antes de iniciar qualquer ação por danos estatutários, o consumidor deve notificar a empresa por escrito com **30 dias de antecedência**, identificando as violações específicas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita de que não ocorrerão mais violações, nenhuma ação pode ser iniciada.

## Quais são os prazos para responder?

A CCPA/CPRA é específica nos prazos.

**45 dias** a partir do recebimento de uma solicitação verificável do consumidor (§ 1798.130(a)(2)(A)).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando a complexidade e o número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa e a razão do atraso (§ 1798.145(h)(1)).

O atendimento é gratuito. A empresa não é obrigada a atender ao mesmo consumidor mais de **duas vezes em um período de 12 meses** (§ 1798.130(b)).

## O que é uma "solicitação verificável do consumidor"?

A CCPA/CPRA usa o termo "verifiable consumer request" (§ 1798.140(ak)) para descrever solicitações que a empresa pode verificar que foram feitas pelo próprio consumidor, por um filho menor, por representante autorizado, ou por detentor de procuração.

A empresa pode autenticar a solicitação usando métodos comercialmente razoáveis. Pode exigir autenticação proporcional à natureza das informações solicitadas, mas não pode exigir que o consumidor crie uma nova conta para fazer a solicitação. Se o consumidor já tem conta, pode exigir o uso dela.

Os dados coletados para verificação de identidade só podem ser usados para essa finalidade, não para outros propósitos (§ 1798.130(a)(7)).

## Como deve ser o canal para submissão de solicitações

O § 1798.130(a)(1) exige dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um **número de telefone gratuito**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

Se a empresa mantém um site, deve disponibilizá-lo como canal de submissão.

A empresa não pode exigir que o consumidor crie uma nova conta, mas pode exigir uso de conta existente.

Um Portal do Titular estruturado oferece:

Formulário de submissão com categorias claras (saber/acessar, excluir, corrigir, opt-out de venda/compartilhamento, limitar uso de dados sensíveis).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento.

Registro de cada solicitação, ação tomada e resposta enviada.

## Solicitações de representantes autorizados

O consumidor pode autorizar outra pessoa a exercer os direitos em seu nome, incluindo por meio do sinal de preferência de opt-out do GPC (§ 1798.135(e)).

Um agente autorizado pode submeter solicitações. A empresa pode exigir prova de que o agente foi devidamente autorizado pelo consumidor.

Pais ou responsáveis podem exercer direitos em nome de filhos menores.

## Gratuidade: o que a lei determina

O atendimento é gratuito (§ 1798.130(a)(2)(A)). Mas a empresa não é obrigada a fornecer as mesmas informações ao mesmo consumidor mais de **duas vezes em um período de 12 meses** (§ 1798.130(b)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar. O ônus de demonstrar o caráter excessivo é da empresa (§ 1798.145(h)(3)).

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e informação

Receba e autentique a identidade do consumidor.

Localize todos os dados pessoais coletados sobre esse consumidor nos 12 meses anteriores em todos os sistemas.

Prepare resposta cobrindo: categorias de dados, categorias de fontes, finalidades, categorias de terceiros, e as peças específicas de informação.

Se a empresa vendeu ou compartilhou dados: liste por categoria de dado e categoria de terceiro (em listas separadas para "vendidos/compartilhados" e "divulgados para fins de negócios").

Entregue em formato prontamente utilizável que permita transmissão de uma entidade para outra sem obstáculos.

Envie dentro do prazo de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal que permita reter os dados.

Se não houver exceção: exclua dos próprios registros e notifique prestadores de serviço, contratistas e terceiros para também excluírem.

Mantenha apenas o registro confidencial da solicitação para evitar futura revenda.

Confirme ao consumidor.

### Solicitação de correção

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Use esforços comercialmente razoáveis para corrigir conforme instruído pelo consumidor.

Confirme a correção.

Se a solicitação for de correção de informações de saúde e a empresa rejeitar por considerar os dados precisos, o consumidor tem o direito de incluir um adendo de até 250 palavras ao registro.

### Solicitação de opt-out de venda e compartilhamento

Receba a solicitação (pode ser via link "Do Not Sell or Share", via GPC, ou via representante autorizado).

Cesse imediatamente a venda e o compartilhamento dos dados desse consumidor.

Não solicite novamente o consentimento por pelo menos 12 meses.

Notifique quaisquer terceiros que receberam os dados recentemente sobre o opt-out.

### Solicitação de limitação de uso de dados sensíveis

Receba via link "Limit the Use of My Sensitive Personal Information" ou outro mecanismo.

Cesse o uso das informações pessoais sensíveis do consumidor para fins além do necessário para fornecer os produtos ou serviços razoavelmente esperados.

Notifique prestadores de serviço sobre a limitação para que também cessem usos não autorizados.

## Proteção contra discriminação

O § 1798.125 proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. A empresa não pode:

Negar produtos ou serviços.

Cobrar preços ou taxas diferentes.

Fornecer qualidade diferente de produtos ou serviços.

Sugerir que o consumidor receberá tratamento diferenciado.

Retaliar funcionários, candidatos a emprego, ou contratistas independentes que exercem seus direitos.

A exceção são programas de incentivos financeiros voluntários. A empresa pode oferecer compensação financeira, descontos ou benefícios em troca do uso dos dados, desde que o consumidor consinta expressamente e os incentivos não sejam injustos, irrazoáveis, coercitivos ou abusivos.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA ou do Attorney General.

## A fiscalização compartilhada: CPPA e Attorney General

A **California Privacy Protection Agency (CPPA)** tem poder administrativo para:

Investigar empresas por conta própria ou com base em reclamações.

Aplicar multas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores.

O **Attorney General da Califórnia** pode buscar penalidades civis nos mesmos valores em ação civil.

Não há prazo garantido de correção antes de ações da CPPA. A agência decide por discricionariedade se e quando inicia uma investigação.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e limitação de uso com timestamp e identificador único. Quando o consumidor exerce o opt-out de venda e compartilhamento, o sistema atualiza automaticamente os rastreadores correspondentes.

O GPC é respeitado automaticamente. O log auditável da AdOpt serve como evidência de conformidade. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CCPA/CPRA

**Dois ou mais métodos de submissão**, incluindo número de telefone gratuito (§ 1798.130(a)(1)).

**Site disponível** como canal de submissão se a empresa mantém um site.

**Cobertura dos 6 direitos** da CCPA/CPRA: acesso/informação, exclusão, correção, opt-out de venda/compartilhamento, limitação de dados sensíveis, e não discriminação.

**Lookback de 12 meses** para solicitações de acesso (§ 1798.130(a)(2)(B)).

**Prazo de 45 dias** para resposta, com extensão de +45 dias com notificação (§ 1798.130(a)(2)(A)).

**Atendimento gratuito** mas limitado a duas vezes por consumidor em 12 meses (§ 1798.130(b)).

**Processo de autenticação** proporcional à natureza dos dados, sem exigência de nova conta.

**Aceitação de solicitações de representantes** autorizados, incluindo pais de menores.

**Link "Do Not Sell or Share My Personal Information"** no site quando há venda ou compartilhamento.

**Link "Limit the Use of My Sensitive Personal Information"** quando aplicável.

**Respeito ao GPC** quando enviado pelo usuário.

**Prazo de 12 meses** antes de solicitar novamente consentimento após opt-out.

**Notificação de terceiros** para exclusão dos dados quando a solicitação de exclusão é atendida.

**Registro confidencial** de solicitações de exclusão para garantir não-revenda.

**Documentação** de cada solicitação, ação e resposta.

## Comparativo: prazos do Portal do Titular na CCPA/CPRA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso/informação, exclusão, correção | 45 dias | +45 dias com notificação |
| Opt-out de venda/compartilhamento | Imediato após recebimento | Não se aplica |
| Limitação de dados sensíveis | Imediato após recebimento | Não se aplica |
| Recontato após opt-out | 12 meses mínimo | Não há extensão |
| Notificação pré-ação privada (segurança) | 30 dias para empresa corrigir | Não há extensão |

## FAQ: CCPA/CPRA e Portal do Titular

**1. A CCPA exige um número de telefone gratuito para o Portal do Titular?**
Sim. O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito. A exceção são empresas que operam exclusivamente online com relação direta com o consumidor, que podem se limitar a um endereço de e-mail. Para a maioria das empresas com um site, o número gratuito é obrigatório.

**2. O que é o "lookback de 12 meses" e como ele afeta as solicitações de acesso?**
O § 1798.130(a)(2)(B) determina que a resposta a uma solicitação de acesso deve cobrir os 12 meses anteriores ao recebimento da solicitação. Isso significa que o Portal do Titular precisa ser capaz de recuperar dados coletados nos 12 meses anteriores à data de cada solicitação, o que exige sistemas de rastreamento e retenção adequados.

**3. Quantas vezes por ano a empresa precisa atender gratuitamente?**
Duas vezes em um período de 12 meses por consumidor, conforme § 1798.130(b). Para solicitações além desse limite, ou que sejam manifestamente infundadas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar, demonstrando o caráter excessivo.

**4. Como funciona o direito de ação privada na CCPA e o que o Portal do Titular tem a ver com isso?**
O § 1798.150 garante ao consumidor o direito de entrar com ação por violações de segurança de dados. Antes de iniciar ação por danos estatutários, o consumidor deve notificar a empresa por escrito com 30 dias de antecedência. O Portal do Titular deve ser o canal por onde essas notificações são recebidas e processadas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita adequada, nenhuma ação pode ser iniciada.

**5. A empresa precisa notificar terceiros quando atende a uma solicitação de exclusão?**
Sim. O § 1798.105(c)(1) exige que a empresa notifique qualquer prestador de serviço ou contratista para excluir os dados, e também notifique todos os terceiros para quem os dados foram vendidos ou compartilhados, a menos que isso seja impossível ou envolva esforço desproporcional. A empresa também pode manter um registro confidencial da solicitação de exclusão apenas para garantir que os dados do consumidor que pediu exclusão não sejam revendidos.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA: DSAR Portal do Titular

A Colorado Privacy Act (CPA) tem um conjunto de regras para o Portal do Titular que vai além da lei. O Attorney General promulgou as Colorado Privacy Act Rules (4 CCR 904-3), que especificam exatamente como cada aspecto do processo de DSAR precisa funcionar, incluindo o conteúdo mínimo do registro de cada solicitação, o prazo de manutenção dos registros, e como lidar com agentes autorizados.

Esta página cobre uma parte do quadro. Para o escopo completo da CPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPA e cookies](https://goadopt.io/blog/cpa-colorado-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo cobre tudo isso: o que é uma DSAR sob a CPA, quais são os cinco direitos garantidos, os prazos específicos da lei, o Universal Opt-Out Mechanism, e o que as regulamentações exigem do processo.

## O que é uma DSAR sob a CPA?

DSAR é a sigla para Data Subject Access Request, ou Solicitação de Direitos de Dados na linguagem da CPA. É qualquer pedido formal de um consumidor do Colorado para exercer os direitos que a lei garante sobre os próprios dados.

Conforme C.R.S. § 6-1-1306(1), o consumidor pode submeter uma solicitação a qualquer momento usando os métodos especificados pelo controlador no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A CPA acrescenta o Universal Opt-Out Mechanism como canal alternativo para exercer o opt-out de publicidade segmentada e venda de dados.

## Quais são os direitos dos consumidores sob a CPA?

Conforme C.R.S. § 6-1-1306(1), os residentes do Colorado têm cinco direitos:

### Direito de opt-out

O consumidor pode recusar o processamento de seus dados para três finalidades (C.R.S. § 6-1-1306(1)(a)):

Publicidade segmentada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou igualmente significativos (acesso a serviços financeiros, habitação, seguros, educação, justiça criminal, emprego, saúde, ou bens essenciais).

O consumidor também pode exercer o opt-out através de agente autorizado, inclusive via UOM (como o GPC), quando o controlador consegue autenticar a identidade do consumidor e a autoridade do agente com esforço comercialmente razoável (C.R.S. § 6-1-1306(1)(a)(II)).

As regulamentações (4 CCR 904-3, Regra 4.03(A)(1)(b)) detalham: se o opt-out for submetido online e o controlador não conseguir identificar o consumidor para cessar o processamento de dados offline conectados, pode pedir informações adicionais. E se um consumidor submeteu múltiplas DSARs, o opt-out deve ser processado primeiro.

### Direito de acesso

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (C.R.S. § 6-1-1306(1)(b)).

As regulamentações (4 CCR 904-3, Regra 4.04(A)(1)) esclarecem que "peças específicas de dados pessoais" incluem decisões finais de perfilamento, inferências, dados derivados, perfis de marketing, e qualquer outro dado pessoal criado pelo controlador vinculado ao consumidor.

A resposta precisa ser fornecida em formato eletrônico comum e acessível, no idioma que o consumidor usa para interagir com o controlador, sem códigos internos incompreensíveis.

O controlador não precisa divulgar, em resposta a uma solicitação de acesso: números de identificação governamental, números de contas financeiras, dados biométricos ou identificadores biométricos. Mas deve informar ao consumidor que tem esses tipos de dados (ex: "Coletamos dados biométricos únicos incluindo digitalização de impressão digital" sem revelar a impressão em si).

### Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (C.R.S. § 6-1-1306(1)(c)).

As regulamentações (4 CCR 904-3, Regra 4.05) detalham:

O controlador corrige nos sistemas ativos, mas pode adiar para sistemas de arquivo ou backup até que sejam restaurados ou acessados.

Se a correção pode ser feita pelo próprio consumidor através das configurações da conta, o controlador pode fornecer instruções, desde que o processo não seja excessivamente trabalhoso.

O controlador pode pedir documentação para verificar a precisão dos dados.

Se o controlador não recebeu o dado diretamente do consumidor e não tem documentação de suporte, a declaração do consumidor sobre a imprecisão é suficiente para estabelecer que o dado é impreciso.

### Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais (C.R.S. § 6-1-1306(1)(d)).

As regulamentações (4 CCR 904-3, Regra 4.06) detalham:

O controlador apaga permanente e completamente dos sistemas ativos, ou desidentifica de forma que não seja razoavelmente associável ao indivíduo.

Também instrui os operadores a excluírem.

Pode adiar para sistemas de arquivo ou backup até que sejam restaurados.

Para dados obtidos de terceiros (não do próprio consumidor), pode cumprir retendo apenas o registro da solicitação e o mínimo necessário para garantir que os dados permaneçam excluídos, ou optando o consumidor para fora do processamento.

Se houver retenção parcial justificada por exceção legal, deve informar ao consumidor quais categorias não foram excluídas e qual exceção se aplica.

### Direito de portabilidade

Quando exercendo o direito de acesso, o consumidor pode obter os dados em formato portátil e tecnicamente utilizável que permita transmissão a outra entidade sem obstáculos (C.R.S. § 6-1-1306(1)(e)).

A portabilidade pode ser exercida **no máximo duas vezes por ano civil**. Isso é diferente de outras leis estaduais americanas que não impõem esse limite ao direito de portabilidade.

O controlador não é obrigado a fornecer os dados de forma que revele segredos comerciais. Mas deve fornecer o máximo possível em formato portátil sem revelar o segredo.

## Quais são os prazos para responder?

Os prazos da CPA têm uma estrutura específica.

**45 dias** a partir do recebimento da solicitação para responder (C.R.S. § 6-1-1306(2)(a)).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando complexidade e número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

Para **apelações**: **45 dias** para responder, extensível por mais **60 dias** em casos de complexidade ou grande número de solicitações (C.R.S. § 6-1-1306(3)(b)).

A primeira solicitação é gratuita. Para solicitações subsequentes no mesmo período de 12 meses, a empresa pode cobrar taxa calculada conforme C.R.S. § 24-72-205(5)(a).

## O apelo: um processo com prazos diferentes

A CPA tem um processo de apelação bem específico (C.R.S. § 6-1-1306(3)):

O controlador deve estabelecer um processo interno de apelação que seja conspicuamente disponível e tão fácil de usar quanto o processo de submissão de solicitações original.

O processo deve ser acionável em período razoável após o consumidor receber a notificação de recusa.

A resposta à apelação deve incluir a decisão e a justificativa por escrito.

Se a apelação for negada, o controlador deve **informar o consumidor sobre a capacidade de contatar o Attorney General** (C.R.S. § 6-1-1306(3)(c)).

## Como deve ser o canal para submissão de solicitações

As regulamentações (4 CCR 904-3, Regra 4.02(B)) detalham os requisitos:

**Empresas exclusivamente online com relação direta com o consumidor:** apenas um endereço de e-mail é suficiente.

**Demais empresas:** dois ou mais métodos designados, sendo que se a empresa mantém site, aplicativo ou presença digital, um dos métodos deve ser através dessa presença digital (formulário web).

**Empresas que interagem presencialmente:** devem considerar um método presencial (formulário impresso, tablet/computador com formulário online, ou telefone para ligação gratuita).

O método precisa:

Levar em conta como os consumidores normalmente interagem com o controlador.

Habilitar o consumidor a submeter a solicitação a qualquer momento.

Usar medidas razoáveis de segurança de dados.

Ser fácil de executar, com número mínimo de etapas.

Não exigir criação de nova conta (mas pode exigir uso de conta existente protegida por senha).

## Autenticação: como fazer certo

As regulamentações (4 CCR 904-3, Regra 4.08) são específicas:

O controlador deve usar método comercialmente razoável para autenticar cada solicitação. Para determinar o que é razoável, considera:

O direito exercido, o tipo, sensibilidade, valor e volume de dados envolvidos.

O nível de possível dano por acesso indevido.

O custo de autenticação para o controlador.

O controlador deve evitar solicitar dados pessoais adicionais se consegue autenticar com os dados que já tem.

O controlador não pode cobrar taxa de autenticação do consumidor. Por exemplo, não pode exigir reconhecimento em cartório sem compensar o consumidor pelo custo.

Se não conseguir autenticar com esforços razoáveis, não é obrigado a cumprir. Mas deve informar ao consumidor que a identidade não pôde ser autenticada e como remediar as deficiências.

## Documentação obrigatória por 24 meses

As regulamentações (4 CCR 904-3, Regra 6.11(A)) exigem que os registros de todas as DSARs sejam mantidos por pelo menos **24 meses**. Cada registro deve incluir no mínimo:

A data da solicitação.

O tipo da solicitação.

A data da resposta do controlador.

A natureza da resposta.

O fundamento para negação se o pedido foi negado total ou parcialmente.

A existência e resolução de qualquer apelação.

Os registros de DSARs com que o controlador já cumpriu também devem ser mantidos por 24 meses e disponibilizados ao novo controlador em caso de fusão, aquisição ou outra transação onde um terceiro assuma o controle dos dados pessoais.

## O Universal Opt-Out Mechanism no Portal do Titular

O UOM (incluindo o GPC) não substitui o Portal do Titular, mas cobre o opt-out de publicidade segmentada e venda de dados.

Quando o consumidor envia um sinal de UOM válido, o controlador deve:

Cessar o processamento para as finalidades indicadas o mais rápido possível, sem demora indevida (4 CCR 904-3, Regra 4.03(A)(1)).

Manter o registro do opt-out (4 CCR 904-3, Regra 4.03(A)(2)).

Continuar tratando o navegador, dispositivo e consumidor como tendo exercido opt-out até que o consumidor consinta novamente (4 CCR 904-3, Regra 5.08(A)(2)).

Se o consumidor quer exercer opt-out de perfilamento com efeitos significativos, isso ainda precisa ser feito via Portal do Titular, pois o UOM cobre apenas publicidade segmentada e venda de dados.

## Proteção contra discriminação

O C.R.S. § 6-1-1308(1)(c)(II) proíbe que o controlador, com base apenas no exercício de um direito e não relacionado à viabilidade ou ao valor de um serviço, aumente o custo ou diminua a disponibilidade do produto ou serviço.

A exceção são programas de fidelidade, recompensas, funcionalidades premium, descontos ou cartões de clube (C.R.S. § 6-1-1308(1)(d)). As regulamentações (4 CCR 904-3, Regra 6.05) detalham extensamente as obrigações relacionadas a programas de fidelidade.

## Fiscalização: AG e District Attorneys

A CPA é fiscalizada pelo **Attorney General** e pelos **District Attorneys** do Colorado (C.R.S. § 6-1-1311). Não há direito de ação privada.

A partir de 1º de janeiro de 2025, o cure period de 60 dias foi revogado. AG e DAs têm discricionariedade para agir sem prazo prévio de correção.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único, mantendo documentação por 24 meses conforme exigido pelas regulamentações.

O GPC e outros UOMs são detectados e honrados automaticamente. Quando o consumidor exerce opt-out via Portal ou via UOM, o sistema atualiza os rastreadores correspondentes. O log auditável serve como evidência para o AG ou District Attorneys.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CPA

**Dois ou mais métodos de submissão** para empresas não exclusivamente online, incluindo canal digital se a empresa mantém presença digital (4 CCR 904-3, Regra 4.02(B)(1)(b)).

**Apenas e-mail** para empresas exclusivamente online com relação direta com o consumidor (4 CCR 904-3, Regra 4.02(B)(1)(a)).

**Cobertura dos 5 direitos**: opt-out, acesso, correção, exclusão, portabilidade.

**Portabilidade limitada a 2x por ano civil** (C.R.S. § 6-1-1306(1)(e)).

**Universal Opt-Out Mechanism** honrado automaticamente a partir de julho de 2024 (C.R.S. § 6-1-1306(1)(a)(IV)(B)).

**Processo de apelação** conspicuamente disponível e tão fácil quanto o processo original.

**Prazos**: 45 dias para resposta (+45 ext.); 45 dias para apelação (+60 ext.).

**Informação ao consumidor** sobre como contatar o AG em caso de apelação negada.

**Autenticação** com esforço comercialmente razoável, sem cobrar taxa, sem solicitar dados desnecessários.

**Registros mantidos por 24 meses** com os 6 campos obrigatórios (4 CCR 904-3, Regra 6.11(A)).

**Gratuidade na primeira solicitação**; segunda pode ser cobrada conforme C.R.S. § 24-72-205(5)(a).

**Renovação de consentimento** configurada para 24 meses de inatividade do consumidor.

**Notificação a operadores** quando uma exclusão ou correção é atendida.

## Comparativo: prazos do Portal do Titular na CPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Opt-out, acesso, correção, exclusão | 45 dias | +45 dias com notificação |
| Portabilidade (máx. 2x/ano) | 45 dias | +45 dias com notificação |
| Apelação de decisão | 45 dias | +60 dias com notificação |
| Cure period (violações gerais) | Discricionário (2025) | Não há garantia |

## FAQ: CPA e Portal do Titular

**1. A CPA exige Portal do Titular dedicado ou um e-mail é suficiente?**
Depende do tipo de empresa. Empresas exclusivamente online com relação direta com o consumidor só precisam de um endereço de e-mail (4 CCR 904-3, Regra 4.02(B)(1)(a)). As demais precisam de dois ou mais métodos, sendo que uma empresa com site deve oferecer uma opção digital (formulário web). Um Portal do Titular dedicado é a forma mais organizada, mas não é o nome que a lei exige.

**2. Como funciona o limite de 2x por ano para portabilidade?**
O direito de portabilidade sob a CPA pode ser exercido no máximo duas vezes por ano civil (C.R.S. § 6-1-1306(1)(e)). Esse é um limite exclusivo da CPA entre as leis estaduais americanas. O direito de acesso (sem formato portátil) não tem esse limite explícito na lei, embora a primeira solicitação seja gratuita e subsequentes possam ser cobradas.

**3. O que o controlador deve fazer quando um consumidor não interagiu por 24 meses?**
As regulamentações (4 CCR 904-3, Regra 7.08) exigem que o controlador renove o consentimento para processamento de dados sensíveis e para finalidades secundárias que envolvam perfilamento com efeitos significativos, quando o consumidor não interagiu nos últimos 24 meses. Isso significa que o Portal do Titular e os sistemas de gestão de consentimento precisam rastrear a última interação do consumidor e disparar fluxos de renovação de consentimento.

**4. O que acontece após apelação negada na CPA?**
O C.R.S. § 6-1-1306(3)(c) exige que o controlador informe o consumidor sobre a capacidade de contatar o Attorney General. Isso é diferente de outras leis que exigem fornecer instruções específicas de como contatar a autoridade. A CPA é mais aberta: o controlador precisa comunicar que essa opção existe. O consumidor pode então submeter reclamação ao AG ou ao District Attorney da jurisdição.

**5. A CPA tem alguma obrigação específica sobre dados encontrados durante uma solicitação de acesso que o controlador não pode divulgar?**
Sim. As regulamentações (4 CCR 904-3, Regra 4.04(D)) listam categorias de dados que o controlador não precisa divulgar na resposta de acesso: números de identificação governamentais, números de contas financeiras, dados de seguros de saúde ou identificação médica, senhas, questões de segurança, dados biométricos e identificadores biométricos. Mas o controlador deve informar ao consumidor que tem esse tipo de dado, com detalhe suficiente (ex: "Coletamos dados biométricos únicos, incluindo digitalização de impressão digital"), sem revelar o dado em si.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Colorado CPA: DSAR Portal do Titular

A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem um requisito específico para o aviso de privacidade que não aparece com essa clareza em outras leis estaduais americanas: o aviso deve incluir um **endereço de e-mail ativo** ou outro mecanismo online que o consumidor pode usar para contatar o controlador.

Esta página cobre uma parte do quadro. Para o escopo completo da CTDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CTDPA e cookies](https://goadopt.io/blog/ctdpa-connecticut-e-cookies-tudo-o-que-voce-precisa-saber/).

Parece simples. Mas é uma exigência explícita que muitas empresas ignoram ao estruturar suas políticas de privacidade para conformidade com outras legislações.

Este artigo foca exclusivamente no que a CTDPA exige da Política de Privacidade, com base no texto oficial da lei.

## O que a CTDPA chama de Privacy Notice

A lei usa o termo "privacy notice", aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem, mas com elementos de conteúdo específicos da CTDPA.

A Seção 6(c) determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível, claro e significativo".

## O que precisa estar na Política de Privacidade sob a CTDPA

### 1. Categorias de dados pessoais processados

O aviso deve listar as categorias de dados pessoais processados pelo controlador (Seção 6(c)(1)).

As categorias precisam ser descritas com clareza suficiente para que o consumidor entenda quais tipos de dados estão sendo coletados. Isso inclui identificadores, dados comportamentais, dados de geolocalização, dados de comunicação, e, especialmente, se houver dados sensíveis na lista.

Dados sensíveis sob a CTDPA (Seção 1(27)) incluem: origem racial ou étnica, crenças religiosas, saúde física ou mental, vida sexual, orientação sexual, cidadania ou status de imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e dados de geolocalização precisa. Se qualquer uma dessas categorias é coletada, precisa estar explicitamente listada.

### 2. A finalidade para o processamento

O aviso deve explicar para quê os dados são utilizados (Seção 6(c)(2)).

A finalidade precisa ser específica o suficiente para que o consumidor entenda o propósito real. A CTDPA proíbe o processamento para finalidades incompatíveis com as declaradas, salvo com consentimento (Seção 6(a)(2)).

Se os dados forem usados para publicidade segmentada ou venda, a Seção 6(d) exige divulgação clara e conspícua específica sobre esse uso, junto com o método de opt-out. Isso pode estar integrado ao aviso de privacidade ou ser complementado por uma seção específica.

### 3. Como os consumidores exercem os direitos e fazem apelações

O aviso deve descrever como os consumidores podem exercer os cinco direitos garantidos pela CTDPA, incluindo como apelar de uma decisão do controlador (Seção 6(c)(3)).

Os cinco direitos cobertos são: acesso e confirmação, correção, exclusão, portabilidade, e opt-out de publicidade segmentada, venda de dados, e perfilamento exclusivamente automatizado.

Para o exercício dos direitos, a Seção 6(e)(1) exige que o controlador estabeleça um ou mais meios seguros e confiáveis, descritos no aviso de privacidade, que levem em conta:

As formas como os consumidores normalmente interagem com o controlador.

A necessidade de comunicação segura e confiável das solicitações.

A capacidade do controlador de verificar a identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta, mas pode exigir uso de conta existente.

### 4. Categorias de dados compartilhados com terceiros

O aviso deve identificar as categorias de dados pessoais que o controlador compartilha com terceiros (Seção 6(c)(4)).

Isso inclui plataformas de analytics, ferramentas de publicidade, CRMs, processadores de pagamento, e qualquer serviço externo que receba dados dos usuários. "Terceiro" na CTDPA (Seção 1(29)) exclui o próprio consumidor, o controlador, o operador, e os afiliados do controlador ou do operador.

### 5. Categorias de terceiros com quem os dados são compartilhados

Além das categorias de dados, o aviso deve identificar as categorias de terceiros que os recebem (Seção 6(c)(5)).

Categorias como "plataformas de anúncios digitais", "ferramentas de analytics", "CRMs de marketing" e "processadores de pagamento" são exemplos válidos. As categorias precisam ser identificáveis o suficiente para o consumidor entender quem acessa os dados.

### 6. E-mail ativo ou mecanismo online de contato

O aviso deve incluir um endereço de e-mail ativo ou outro mecanismo online que o consumidor pode usar para contatar o controlador (Seção 6(c)(6)).

Essa exigência é explícita e específica da CTDPA. O consumidor precisa ter um meio de contato direto com o controlador disponível no próprio aviso de privacidade. Não basta listar direitos e processos se não há como o consumidor entrar em contato de forma prática.

## Divulgação de publicidade segmentada e venda de dados

Se o controlador vende dados pessoais a terceiros ou os processa para publicidade segmentada, a Seção 6(d) exige divulgação clara e conspícua dessa prática, junto com o método para exercer o opt-out.

Publicidade segmentada na CTDPA (Seção 1(28)) são anúncios baseados em dados de atividades do consumidor ao longo do tempo em sites ou aplicações **não afiliados**. Anúncios contextuais, anúncios baseados no próprio site, e anúncios em resposta a pedido do consumidor não configuram publicidade segmentada.

## O link de opt-out obrigatório no site

Além do aviso de privacidade, a Seção 6(e)(1)(A)(i) exige que o controlador disponibilize um link claro e conspícuo no seu site para uma página que permita ao consumidor exercer o opt-out de publicidade segmentada ou venda de dados.

Esse link precisa ser visível na página, não enterrado em menus ou rodapés obscuros.

## O opt-out preference signal a partir de janeiro de 2025

A Seção 6(e)(1)(A)(ii) exige que a partir de **1º de janeiro de 2025**, o controlador que processa para publicidade segmentada ou vende dados permita opt-out via sinal de opt-out enviado com o consentimento do consumidor.

O mecanismo não pode ser configuração padrão: deve representar escolha afirmativa, livre e inequívoca do consumidor. O Global Privacy Control (GPC) é o mecanismo mais conhecido que atende a esses critérios.

A Política de Privacidade deve informar se o site respeita esses sinais e como funcionam.

## Proteção para dados sensíveis

Dados sensíveis precisam de consentimento antes do processamento. A Política deve identificar explicitamente:

Se alguma categoria de dados sensíveis é coletada.

Para que finalidade específica esses dados sensíveis são usados.

Como o consentimento é obtido e pode ser revogado.

O mecanismo de revogação deve ser pelo menos tão fácil quanto o de fornecimento. E após a revogação, o processamento deve cessar em no máximo **15 dias**.

## Proteção especial para adolescentes de 13 a 15 anos

Se o site pode ter usuários com idades entre 13 e 15 anos, a Política de Privacidade deve descrever como a empresa obtém consentimento antes de processar dados para publicidade segmentada ou venda (Seção 6(a)(7)).

O controlador que tem conhecimento real e deliberadamente desconsidera que um usuário está nessa faixa etária está sujeito às sanções da lei.

## O direito de portabilidade e os segredos comerciais

A CTDPA tem uma cláusula específica para portabilidade (Seção 4(a)(4)): o controlador não é obrigado a revelar segredos comerciais ao fornecer dados em formato portátil. A Política pode mencionar essa limitação para definir expectativas do consumidor.

## O direito de apelação: 60 dias, não 45

O prazo de resposta à apelação na CTDPA é de **60 dias** (Seção 4(d)), não 45 como o prazo inicial para solicitações. A Política de Privacidade deve descrever esse processo de apelação com o prazo correto.

Se a apelação for negada, o controlador deve fornecer ao consumidor mecanismo online ou outro método para contatar o Attorney General e registrar reclamação.

## O dever de não discriminar

A Seção 6(a) proíbe expressamente que o controlador discrimine consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade, recompensas, funcionalidades premium, descontos ou cartão de clube onde o consumidor voluntariamente participa.

## Fiscalização e penalidades

As violações da CTDPA são tratadas como práticas comerciais desleais pelo **Attorney General do Connecticut**. Não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode ou não conceder prazo de correção antes de agir.

## Como a AdOpt apoia a conformidade com a CTDPA

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de consentimento e opt-out funciona conforme descrito, que o GPC é honrado a partir de janeiro de 2025, e que a revogação de consentimento é processada dentro de 15 dias.

O registro de cada interação fica documentado. Se o AG pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a CTDPA

**Link visível e acessível** em todas as páginas do site.

**Categorias de dados pessoais processados**, incluindo dados sensíveis se coletados (Seção 6(c)(1)).

**Finalidade para o processamento** de cada categoria (Seção 6(c)(2)).

**Como exercer todos os 5 direitos** garantidos pela CTDPA, com processos e prazos (Seção 6(c)(3)).

**Processo de apelação** com prazo de **60 dias** (não 45) (Seção 4(d)).

**Categorias de dados compartilhados com terceiros** (Seção 6(c)(4)).

**Categorias de terceiros** que recebem dados (Seção 6(c)(5)).

**Endereço de e-mail ativo ou mecanismo online** de contato com o controlador (Seção 6(c)(6)).

**Divulgação de publicidade segmentada ou venda** com opt-out acessível (Seção 6(d)).

**Link claro e conspícuo** para opt-out de publicidade segmentada/venda no site (Seção 6(e)(1)(A)(i)).

**Opt-out preference signal**: declaração de como o GPC é processado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

**Tratamento de dados sensíveis** com como o consentimento é obtido e revogado.

**Prazo de 15 dias** para honrar revogação de consentimento mencionado (Seção 6(a)(6)).

**Proteção para adolescentes de 13 a 15 anos** descrita (Seção 6(a)(7)).

**Política de não discriminação** para consumidores que exercem direitos (Seção 6(a)).

## FAQ: CTDPA e Política de Privacidade

**1. Por que a CTDPA exige e-mail ativo ou mecanismo online na Política de Privacidade?**
A Seção 6(c)(6) exige especificamente que o aviso de privacidade inclua um endereço de e-mail ativo ou outro mecanismo online que o consumidor pode usar para contatar o controlador. Isso garante que o consumidor tenha um canal de comunicação direta disponível no próprio documento de privacidade, não apenas processos abstratos de exercício de direitos.

**2. Qual é a diferença entre o prazo de resposta a solicitações e a apelações na CTDPA?**
Para solicitações iniciais: 45 dias, extensível por mais 45 (Seção 4(c)(1)). Para apelações: 60 dias, sem extensão mencionada (Seção 4(d)). A Política de Privacidade deve descrever os dois prazos corretamente, pois a maioria das leis usa o mesmo prazo para os dois.

**3. A Política de Privacidade precisa mencionar o prazo de 15 dias para revogação de consentimento?**
Sim. A Seção 6(a)(6) exige que o controlador cesse o processamento no máximo em 15 dias após a revogação do consentimento. Como isso é único entre as leis estaduais americanas, é importante mencionar explicitamente esse prazo na Política para que o consumidor saiba o que esperar.

**4. O que é o opt-out preference signal e quando a CTDPA o exige?**
É um sinal enviado por navegador, extensão ou dispositivo (como o GPC) comunicando a preferência de opt-out. A Seção 6(e)(1)(A)(ii) torna obrigatório que o controlador honre esses sinais a partir de 1º de janeiro de 2025. A Política de Privacidade deve descrever como esses sinais são processados.

**5. A Política de Privacidade precisa mencionar a proteção para adolescentes de 13 a 15 anos?**
Sim, se o site pode ter usuários nessa faixa etária. A Seção 6(a)(7) proíbe o processamento de dados para publicidade segmentada ou venda de consumidores de 13 a 15 anos sem o consentimento deles quando o controlador tem conhecimento real. A Política deve descrever como esse consentimento é obtido para esse grupo específico.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Connecticut CTDPA: Política de Privacidade

A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem dois requisitos específicos para sites que processam dados para publicidade segmentada ou vendem dados pessoais.

Esta página cobre uma parte do quadro. Para o escopo completo da CTDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CTDPA e cookies](https://goadopt.io/blog/ctdpa-connecticut-e-cookies-tudo-o-que-voce-precisa-saber/).

O primeiro é imediato: um link claro e conspícuo no site para uma página de opt-out.

O segundo entrou em vigor em **1º de janeiro de 2025**: a obrigação de honrar sinais de opt-out enviados por plataformas, tecnologias ou mecanismos com o consentimento do consumidor, como o **Global Privacy Control (GPC)**.

Este artigo foca exclusivamente no que a CTDPA exige da Política de Cookies: o que precisa estar no documento, como o consentimento e o opt-out devem funcionar, e o que as exigências específicas da lei implicam para cada rastreador do seu site.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é a interface visual de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados, e como exercer direitos sobre eles.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a CTDPA exige especificamente para cookies

### Finalidade específica para cada categoria

A Seção 6(a)(1) exige que o controlador limite a coleta ao que é adequado, relevante e razoavelmente necessário em relação às finalidades declaradas. E a Seção 6(c)(2) exige que a finalidade esteja no aviso de privacidade.

Para cookies, cada categoria de rastreador precisa de descrição de finalidade específica e não genérica.

O que não funciona: "cookies para melhorar sua experiência".

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos nem usados para publicidade segmentada."

"Cookies de publicidade: coletam identificadores comportamentais que são compartilhados com plataformas de anúncios para publicidade segmentada em sites não afiliados. Incluem pixels de Meta Ads e Google Ads. Os consumidores podem exercer o opt-out pelo link de opt-out nesta página."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores que operam no site:

**Cookies necessários:** essenciais para funcionamento básico. Não configuram publicidade segmentada ou venda. Precisam ser documentados, mas não exigem opt-out.

**Cookies de analytics:** dependem da configuração. Se os dados ficam apenas nos sistemas da empresa, geralmente não configuram publicidade segmentada. Se são enviados a terceiros para targeting em outros sites, podem configurar.

**Cookies de publicidade:** quase sempre configuram "publicidade segmentada" sob a CTDPA, que a define como anúncios baseados em dados "obtidos ou inferidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (Seção 1(28)).

**Cookies funcionais:** lembram preferências. Geralmente não configuram publicidade segmentada ou venda.

**Cookies de terceiros:** disparados por serviços externos. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão.

### Publicidade segmentada: sites não afiliados

A CTDPA define publicidade segmentada (Seção 1(28)) como anúncios baseados em dados obtidos ou inferidos das atividades do consumidor ao longo do tempo em sites ou aplicações **não afiliados**.

O que não configura publicidade segmentada:

Anúncios baseados em atividades dentro dos próprios sites ou aplicações do controlador.

Anúncios baseados no contexto da busca ou visita atual.

Anúncios em resposta a pedido de informação do consumidor.

Processamento de dados apenas para medir ou reportar desempenho, alcance ou frequência de anúncios.

Portanto, campanhas de retargeting que usam dados de comportamento do usuário em outros sites quase sempre configuram publicidade segmentada sob a CTDPA.

### Venda de dados

A CTDPA define venda (Seção 1(26)) como a troca de dados pessoais por contrapartida monetária ou outro valor valioso a terceiros.

Não configura venda: divulgação a operadores, divulgação para produto ou serviço solicitado pelo consumidor, divulgação a afiliados, divulgação dirigida pelo consumidor, informações tornadas publicamente disponíveis pelo consumidor, e transferências em fusões e aquisições.

Se o site compartilha dados com parceiros em troca de serviços ou outros benefícios econômicos, pode configurar venda mesmo sem pagamento direto em dinheiro.

### Categorias de terceiros que recebem dados via cookies

A Política precisa identificar as categorias de terceiros que recebem dados via cookies (Seção 6(c)(5)).

Isso inclui plataformas de anúncios digitais, ferramentas de analytics, redes de publicidade programática, plataformas de e-mail marketing que recebem dados comportamentais, e qualquer outro parceiro que receba identificadores ou comportamentos do usuário coletados via cookie.

### Período de retenção

A obrigação de limitar a coleta ao necessário (Seção 6(a)(1)) implica que os dados também devem ser retidos apenas pelo tempo necessário. A Política de Cookies deve documentar por quanto tempo cada categoria de cookie fica ativa e por quanto tempo os dados são retidos nos sistemas.

## O link de opt-out obrigatório

A Seção 6(e)(1)(A)(i) exige um link claro e conspícuo no site do controlador para uma página que permita ao consumidor ou a um agente exercer o opt-out de publicidade segmentada ou venda de dados pessoais.

Esse link precisa estar visível na página, não em locais obscuros. A Política de Cookies deve identificar esse link e descrever como o opt-out funciona.

## O opt-out preference signal a partir de janeiro de 2025

A Seção 6(e)(1)(A)(ii) exige que a partir de **1º de janeiro de 2025**, o controlador permita opt-out via sinal enviado por plataforma, tecnologia ou mecanismo com consentimento do consumidor.

Na prática para cookies: quando um usuário acessa o site com o GPC ativado em seu navegador, o site deve interpretar esse sinal como opt-out de publicidade segmentada e venda de dados, e bloquear automaticamente os rastreadores correspondentes.

O mecanismo precisa atender a requisitos específicos da CTDPA (Seção 6(e)(1)(A)(ii)):

Não pode criar desvantagem injusta para outro controlador.

Não pode ser configuração padrão: deve representar escolha afirmativa, livre e inequívoca.

Deve ser amigável e fácil para o consumidor médio.

Deve ser consistente com mecanismos similares exigidos por outras leis.

Deve permitir que o controlador verifique se o consumidor é residente do Connecticut.

Quando o sinal de opt-out conflita com configuração específica ou participação em programa de fidelidade, o controlador deve cumprir o sinal, mas pode notificar o consumidor e oferecer a opção de confirmar a preferência anterior.

A Política de Cookies deve descrever como o site processa esses sinais.

## O que é consentimento válido para cookies sob a CTDPA

A Seção 1(6) define consentimento como um ato afirmativo claro que signifique concordância livre, específica, informada e inequívoca.

O que não é consentimento válido:

Aceitar termos gerais com descrições de processamento misturadas a outras informações.

Passar o mouse sobre, silenciar, pausar ou fechar um conteúdo.

Qualquer concordância obtida por dark patterns.

Dark patterns são definidos na Seção 1(11) como interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, tomada de decisão ou escolha do usuário, incluindo qualquer prática que a FTC classifique como dark pattern.

O padrão correto para cookies: não essenciais desligados por padrão. O usuário escolhe o que ativa, não o que desativa.

## Revogação de consentimento em 15 dias

Se o usuário concedeu consentimento para cookies não essenciais e depois decide revogar, a Seção 6(a)(6) exige que o controlador:

Forneça mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cesse o processamento no máximo em **15 dias** após receber a revogação.

Esse prazo de 15 dias é exclusivo da CTDPA e significa que a [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) precisa estar configurada para processar revogações de forma ágil, não apenas registrá-las.

## Proteção para adolescentes de 13 a 15 anos via cookies

A Seção 6(a)(7) proíbe processar dados de consumidores de 13 a 15 anos para publicidade segmentada ou venda sem consentimento quando o controlador tem conhecimento real dessa faixa etária.

Se o site pode ter usuários nessa faixa, a Política de Cookies deve descrever como cookies de publicidade são bloqueados para esse público e como o consentimento é obtido quando necessário.

## Quando atualizar a Política de Cookies

A CTDPA não especifica uma frequência mínima de atualização do aviso de privacidade como a CCPA/CPRA. Mas a Seção 6(a)(2) proíbe processar dados para finalidades não declaradas sem consentimento, e a Seção 6(a)(1) exige limitar a coleta ao necessário para as finalidades declaradas.

Na prática, situações que exigem atualização da Política de Cookies:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros.

Novo parceiro que recebe dados comportamentais.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém o inventário de cookies sincronizado com o documento.

## Fiscalização e penalidades

As violações são tratadas como práticas comerciais desleais pelo **Attorney General do Connecticut**. Não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode agir sem garantia de prazo prévio de correção.

## Como a AdOpt ajuda com a Política de Cookies sob a CTDPA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opções reais de opt-out, detecta e honra o GPC a partir de janeiro de 2025, processa revogações dentro de 15 dias, e documenta cada interação.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a CTDPA

**Link visível** no rodapé e no banner de cookies.

**Listagem de categorias de cookies** com descrição do que cada uma faz.

**Finalidade específica para cada categoria**, sem descrições vagas (Seção 6(c)(2)).

**Identificação se cookies configuram publicidade segmentada ou venda** (Seção 6(d)).

**Categorias de terceiros** que recebem dados via cookies (Seção 6(c)(5)).

**Link claro e conspícuo** para opt-out de publicidade segmentada/venda no site (Seção 6(e)(1)(A)(i)).

**Opt-out preference signal**: descrição de como o GPC é honrado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

**Revogação em 15 dias**: mecanismo e prazo descritos (Seção 6(a)(6)).

**Cookies não essenciais desativados por padrão**, sem dark patterns (Seção 1(11)).

**Proteção para adolescentes de 13 a 15 anos** descrita quando aplicável (Seção 6(a)(7)).

**Período de retenção** de cada categoria de cookie.

**E-mail ativo ou mecanismo online** para contato com o controlador (Seção 6(c)(6)).

**Idioma acessível**, sem juridiquês.

**Ausência de cookie wall**.

## FAQ: CTDPA e Política de Cookies

**1. O link de opt-out na CTDPA é diferente do "Do Not Sell" da CCPA?**
São similares na função mas diferentes na exigência. A CCPA exige os links "Do Not Sell or Share My Personal Information" e "Limit the Use of My Sensitive Personal Information" com textos específicos. A CTDPA exige apenas um link claro e conspícuo para uma página de opt-out de publicidade segmentada ou venda, sem texto específico obrigatório. Empresas que já têm o link da CCPA provavelmente atendem à CTDPA também, dependendo do escopo do link.

**2. O opt-out preference signal da CTDPA é o mesmo que o GPC?**
O GPC é o mecanismo mais conhecido que atende às especificações técnicas da CTDPA. A lei não nomeia o GPC especificamente, mas o GPC foi desenvolvido para atender exatamente a esse tipo de requisito legal. Desde que o mecanismo seja escolha afirmativa do consumidor (não padrão), não crie desvantagem injusta para o controlador, e permita verificar que é residente do Connecticut, ele atende à Seção 6(e)(1)(A)(ii).

**3. O prazo de 15 dias para revogação de consentimento se aplica a todos os cookies?**
Aplica-se quando o consentimento é a base para o processamento. Para cookies de publicidade segmentada onde o consumidor deu consentimento e depois revoga, a Seção 6(a)(6) exige cessação em até 15 dias. Para opt-out de publicidade segmentada ou venda (que não requer consentimento prévio mas sim opt-out), a lei não especifica o prazo de 15 dias, mas exige cessação "o mais rápido possível".

**4. Cookies de analytics configuram publicidade segmentada sob a CTDPA?**
Depende da ferramenta e configuração. Se os dados de analytics ficam internos ou são enviados ao provedor apenas para gerar relatórios sem uso para targeting em outros sites, geralmente não configuram. Se a ferramenta envia dados que são usados para segmentação em outros sites, pode configurar. A definição da CTDPA é "dados obtidos ou inferidos de atividades em sites não afiliados" (Seção 1(28)).

**5. A CTDPA exige que adolescentes de 13 a 15 anos consintam antes de qualquer cookie?**
A Seção 6(a)(7) é específica: proíbe processar dados de 13 a 15 anos para publicidade segmentada ou venda sem o consentimento desses consumidores. Não exige consentimento para outros tipos de processamento como analytics interno. A restrição se aplica quando o controlador tem conhecimento real da idade do usuário.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Connecticut CTDPA: Política de Cookies

A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem dois requisitos específicos para sites que processam dados para publicidade direcionada ou vendem dados pessoais.

Esta página cobre uma parte do quadro. Para o escopo completo da OCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da OCPA e cookies](https://goadopt.io/blog/ocpa-oregon-e-cookies-tudo-o-que-voce-precisa-saber/).

O primeiro é imediato: um link claro e conspícuo no site para uma página de opt-out.

O segundo entrou em vigor em **1º de janeiro de 2026**: a obrigação de honrar sinais de opt-out enviados por plataformas, tecnologias ou mecanismos com o consentimento do consumidor, como o **Global Privacy Control (GPC)**.

Este artigo foca exclusivamente no que a OCPA exige da Política de Cookies: o que o documento precisa conter, como o opt-out deve funcionar, e o que as exigências específicas da lei implicam para cada rastreador do seu site.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é a interface visual de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados, e como exercer direitos sobre eles.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a OCPA exige especificamente para cookies

### Finalidade específica para cada categoria de rastreador

A Seção 5(1)(a) exige que o controlador especifique as finalidades expressas de coleta e processamento. E a Seção 5(2)(a) proíbe o processamento para finalidades incompatíveis com as divulgadas, salvo novo consentimento.

Para cookies, cada categoria de rastreador precisa de descrição de finalidade específica, não genérica.

O que não funciona: "cookies para melhorar sua experiência".

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos nem usados para publicidade direcionada."

"Cookies de publicidade: coletam identificadores comportamentais compartilhados com plataformas de anúncios para publicidade direcionada em sites não afiliados. Incluem pixels de Meta Ads e Google Ads. Os consumidores podem exercer o opt-out pelo link nesta página ou via GPC."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores que operam no site:

**Cookies necessários:** essenciais para funcionamento básico. Autenticação, segurança de sessão, carrinho de compras. Não configuram publicidade direcionada ou venda. Precisam ser documentados, mas não exigem opt-out.

**Cookies de analytics:** dependem da configuração. Se os dados ficam internos, geralmente não configuram publicidade direcionada. Se são enviados a terceiros para targeting em outros sites, podem configurar e exigem opt-out.

**Cookies de publicidade:** quase sempre configuram "publicidade direcionada" sob a OCPA, que a define como anúncios baseados em dados coletados "das atividades do consumidor ao longo do tempo e em um ou mais sites ou aplicações não afiliados" (Seção 1(19)).

**Cookies funcionais:** lembram preferências do usuário. Geralmente não configuram publicidade direcionada ou venda, mas precisam estar documentados.

**Cookies de terceiros:** disparados por serviços externos integrados ao site. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão e manter o inventário atualizado.

### Publicidade direcionada: sites não afiliados

A OCPA define publicidade direcionada (Seção 1(19)) como anúncios selecionados com base em dados coletados das atividades do consumidor ao longo do tempo e em um ou mais sites ou aplicações **não afiliados**.

O que não configura publicidade direcionada (Seção 1(19)(b)):

Anúncios baseados em atividades dentro dos próprios sites ou aplicações do controlador.

Anúncios baseados no contexto da busca atual ou visita atual do usuário.

Anúncios em resposta a pedido de informação do consumidor.

Processamento de dados apenas para medir ou reportar desempenho, alcance ou frequência de anúncios.

Campanhas de retargeting que usam dados de comportamento do usuário em outros sites quase sempre configuram publicidade direcionada sob a OCPA.

### Venda de dados pessoais

A Seção 1(17) define venda como a troca de dados pessoais por contrapartida monetária ou outro valor valioso pelo controlador a terceiros.

Não configura venda: divulgação a operadores, divulgação para produto ou serviço solicitado pelo consumidor, divulgação a afiliados, transferências em fusões e aquisições, e divulgação dirigida pelo consumidor.

Se o site compartilha dados com parceiros em troca de serviços ou outros benefícios econômicos, pode configurar venda mesmo sem pagamento direto em dinheiro.

### Categorias de dados compartilhados com terceiros via cookies

A Seção 5(4)(d) e (e) exige que o aviso informe quais categorias de dados são compartilhadas com terceiros e quais categorias de terceiros as recebem, com nível de detalhe suficiente para o consumidor entender que tipo de entidade cada terceiro é.

Para cookies, isso se traduz em declarar claramente:

Se o Meta Pixel transfere dados comportamentais para a Meta, isso precisa estar documentado com descrição do que a Meta pode fazer com os dados.

Se o Google Analytics envia dados de sessão para o Google, precisa estar declarado com descrição da finalidade.

Se ferramentas de CRM recebem dados de formulários preenchidos no site, precisam ser identificadas com tipo de entidade descrito.

Cada fluxo de dados que sai do ambiente do controlador precisa estar categorizado e descrito.

### Período de retenção de cada categoria

A Seção 5(1)(b) exige que a coleta seja limitada ao que é adequado, relevante e razoavelmente necessário para as finalidades declaradas. O princípio de minimização implica documentar por quanto tempo os dados ficam armazenados.

Para a Política de Cookies, isso significa documentar:

Por quanto tempo cada categoria de cookie permanece ativa no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos sistemas da empresa.

Quando e como os dados são excluídos após o período de retenção.

### O mecanismo de opt-out de publicidade direcionada

A OCPA garante ao consumidor o direito de opt-out do processamento de dados para publicidade direcionada, conforme a Seção 3(1)(d)(A).

A Seção 5(4)(h) exige que a divulgação de publicidade direcionada venha acompanhada do mecanismo de opt-out. A Política de Cookies deve descrever como o consumidor exerce esse opt-out e o link deve ser acessível.

Para opt-out de publicidade direcionada, a OCPA **não permite exigir autenticação** (Seção 4(5)(e)). O controlador pode solicitar informações para identificar quem está pedindo o opt-out, mas não pode criar barreiras que dificultem o exercício do direito.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) bem configurada garante que quando o usuário exerce o opt-out de publicidade direcionada, todos os pixels e rastreadores correspondentes param de disparar automaticamente.

## O link de opt-out obrigatório no site

A Seção 5(5)(b) exige um link claro e conspícuo no site do controlador para uma página que permita ao consumidor ou a um agente exercer o opt-out de publicidade direcionada ou venda de dados pessoais.

Esse link precisa estar visível na página, não em locais obscuros. A Política de Cookies deve identificar esse link e descrever como o opt-out funciona.

## O opt-out preference signal a partir de janeiro de 2026

A Seção 5(5)(c) exige que a partir de **1º de janeiro de 2026**, os controladores honrem sinais de opt-out enviados por plataforma, tecnologia ou mecanismo com o consentimento do consumidor, como o Global Privacy Control (GPC).

Na prática para cookies: quando um usuário acessa o site com o GPC ativado no navegador, o site deve interpretar esse sinal como opt-out de publicidade direcionada e venda de dados, e bloquear automaticamente os rastreadores correspondentes.

O mecanismo precisa atender a requisitos específicos da Seção 5(5)(c):

Não pode criar desvantagem injusta para outro controlador.

Não pode ser configuração padrão: deve representar escolha afirmativa, livre e inequívoca.

Deve ser amigável e fácil para o consumidor médio.

Deve ser consistente com mecanismos similares exigidos por outras leis.

Deve permitir que o controlador verifique se o consumidor é residente do Oregon.

A Política de Cookies deve descrever como o site processa esses sinais.

## O que é consentimento válido para cookies sob a OCPA

A Seção 1(6) define consentimento como ato afirmativo pelo qual o consumidor comunica de forma clara e conspícua concordância livre, específica, informada e inequívoca. A interface não pode ter mecanismos que obscureçam, subvertam ou prejudiquem a autonomia e a capacidade de decisão do consumidor. E a inação não constitui consentimento.

O padrão correto para cookies: tecnologias não essenciais desligadas por padrão. O usuário escolhe o que ativa, não o que desativa.

### O que não é consentimento válido

Aceitar termos gerais com descrições de processamento misturadas a outras informações.

Continuar navegando sem qualquer ação explícita.

Interfaces que usam design para dificultar a recusa em comparação ao aceite.

Banners que reaparecem até o usuário aceitar.

Cookie walls que bloqueiam o acesso ao conteúdo até a aceitação de todos os cookies.

A Seção 1(6)(a) da OCPA é explícita: a interface não pode ter "qualquer mecanismo que tenha o propósito ou efeito substancial de obter consentimento obscurecendo, subvertendo ou prejudicando a autonomia, tomada de decisão ou escolha do consumidor."

## Cookies de analytics precisam de opt-out sob a OCPA?

Na maioria dos casos, sim.

A OCPA define dados pessoais como incluindo dados derivados e identificadores razoavelmente vinculáveis a um consumidor. Cookies analíticos de grandes plataformas coletam identificadores que, cruzados com outros dados que o provedor possui, podem identificar um usuário específico.

O [Guia Orientativo da ANPD](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/) sobre cookies sinalizou esse ponto: grandes provedores têm capacidade de cruzar identificadores aparentemente anônimos com outros dados para reidentificação.

A abordagem mais segura: tratar cookies de analytics como não necessários no banner, bloqueá-los antes que o consumidor decida, e documentar essa categorização na Política de Cookies.

## Proteção especial para dados de menores

A Seção 5(2)(c) proíbe processar dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento ou venda sem consentimento, quando o controlador tem conhecimento real dessa faixa etária.

A partir de **1º de janeiro de 2026**, a proteção foi ampliada: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada e certos tipos de perfilamento.

Para crianças menores de 13 anos, aplica-se a COPPA, conforme a Seção 5(2)(b) da OCPA.

Se o site pode ter usuários nessas faixas etárias, a Política de Cookies deve descrever como esses dados são tratados de forma diferenciada.

## A proibição de venda de dados de geolocalização precisa

A partir de **1º de janeiro de 2026**, os controladores ficam proibidos de vender dados de geolocalização precisa de consumidores do Oregon.

Geolocalização precisa é definida pela Seção 1(18)(a)(C) como dados que identificam a localização dentro de um raio de **1.750 pés** (aproximadamente 533 metros).

Se qualquer cookie ou rastreador coleta dados de localização com essa precisão, a Política de Cookies precisa:

Identificar essa coleta como dados sensíveis.

Informar que esses dados não são vendidos a terceiros.

Descrever que o processamento requer consentimento explícito.

## Quando atualizar a Política de Cookies

A OCPA exige que o processamento se limite às finalidades declaradas (Seção 5(2)(a)). Na prática, qualquer mudança no inventário de ferramentas exige atualização da Política.

Situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros.

Novo parceiro que recebe dados comportamentais dos usuários.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém o inventário de cookies sincronizado com o documento.

## O enforcement e os cookies

O relatório do primeiro ano de enforcement da OCPA (agosto de 2025) identificou três problemas sistemáticos diretamente relacionados a cookies e rastreadores:

Empresas não oferecendo o direito de listar os terceiros que receberam dados via pixels e rastreadores.

Dados de "back-end" como perfis de marketing criados a partir de rastreadores não sendo incluídos nas solicitações de cópia e exclusão.

Formulários e mecanismos de opt-out não funcionando corretamente.

A partir de **1º de janeiro de 2026**, o período de cura de 30 dias foi eliminado. O AG pode agir sem notificação prévia. Política de Cookies inadequada e opt-out que não funciona são exatamente o que o DOJ Oregon procura nas investigações.

## Como a AdOpt ajuda com a Política de Cookies sob a OCPA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opt-out de publicidade direcionada sem exigência de autenticação, e documenta cada interação para fins de auditoria.

A partir de janeiro de 2026, a AdOpt detecta e honra automaticamente sinais de opt-out universal como o GPC.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a OCPA

**Link visível** no rodapé do site e no banner de cookies.

**Listagem das categorias de cookies** com descrição do que cada uma faz no site.

**Finalidade específica para cada categoria**, sem descrições vagas (Seção 5(1)(a)).

**Identificação de cookies que configuram publicidade direcionada ou venda** (Seção 5(4)(h)).

**Categorias de terceiros** que recebem dados via cookies, com nível de detalhe sobre tipo de entidade (Seção 5(4)(e)).

**Link claro e conspícuo** para opt-out de publicidade direcionada e venda no site (Seção 5(5)(b)).

**Opt-out preference signal**: descrição de como o GPC é honrado a partir de janeiro de 2026 (Seção 5(5)(c)).

**Opt-out sem exigência de autenticação** para publicidade direcionada, venda e perfilamento (Seção 4(5)(e)).

**Cookies não essenciais desativados por padrão**, sem interfaces manipulativas (Seção 1(6)(a)).

**Proteção para adolescentes de 13 a 15 anos** descrita quando aplicável (Seção 5(2)(c)).

**Proibição de venda de dados de menores de 16 anos** a partir de janeiro de 2026.

**Proibição de venda de dados de geolocalização precisa** a partir de janeiro de 2026.

**Período de retenção** de cada categoria de cookie.

**E-mail ativo ou mecanismo online** para contato com o controlador (Seção 5(4)(f)).

**Idioma acessível**, sem juridiquês.

**Ausência de cookie wall**.

## FAQ: OCPA e Política de Cookies

**1. O link de opt-out da OCPA é diferente do "Do Not Sell" da CCPA?**
São similares na função mas diferentes na exigência. A CCPA exige os links "Do Not Sell or Share My Personal Information" e "Limit the Use of My Sensitive Personal Information" com textos específicos. A OCPA exige apenas um link claro e conspícuo para uma página de opt-out de publicidade direcionada ou venda, sem texto específico obrigatório (Seção 5(5)(b)). Empresas que já têm o link da CCPA provavelmente atendem à OCPA também, dependendo do escopo do link.

**2. O opt-out preference signal da OCPA é o mesmo que o GPC?**
O GPC é o mecanismo mais conhecido que atende às especificações técnicas da Seção 5(5)(c) da OCPA. A lei não nomeia o GPC especificamente, mas o GPC foi desenvolvido para atender exatamente a esse tipo de requisito legal. Desde que o mecanismo seja escolha afirmativa do consumidor (não padrão), não crie desvantagem injusta para o controlador, e permita verificar que é residente do Oregon, ele atende ao requisito. A partir de janeiro de 2026, honrar o GPC deixa de ser opcional e passa a ser obrigatório.

**3. Cookies de analytics configuram publicidade direcionada sob a OCPA?**
Depende da ferramenta e configuração. Se os dados de analytics ficam internos ou são enviados ao provedor apenas para gerar relatórios sem uso para targeting em outros sites, geralmente não configuram. Se a ferramenta envia dados usados para segmentação em outros sites, pode configurar. A definição da OCPA é "dados coletados das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (Seção 1(19)). O critério é o uso dos dados em ambientes externos ao site do controlador.

**4. A OCPA exige que adolescentes de 13 a 15 anos consintam antes de qualquer cookie?**
A Seção 5(2)(c) é específica: proíbe processar dados de 13 a 15 anos para publicidade direcionada, perfilamento para decisões com efeitos legais, ou venda de dados sem o consentimento desses consumidores, quando o controlador tem conhecimento real. Não exige consentimento para outros tipos de processamento como analytics interno. A restrição se aplica quando o controlador tem conhecimento real da idade do usuário. A partir de janeiro de 2026, a proibição se estende a menores de 16 anos.

**5. O que muda para cookies de geolocalização a partir de janeiro de 2026?**
A partir de janeiro de 2026, os controladores ficam proibidos de vender dados de geolocalização precisa (dentro de 1.750 pés) de consumidores do Oregon. Dados de geolocalização precisa já eram dados sensíveis pela Seção 1(18)(a)(C) da OCPA, exigindo consentimento explícito para processamento. Com a proibição de venda em vigor, a Política de Cookies deve ser atualizada para declarar explicitamente que dados de localização precisa não são vendidos a terceiros.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Oregon OCPA: Política de Cookies

A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem algumas particularidades no processo de DSAR que a distinguem das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da OCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da OCPA e cookies](https://goadopt.io/blog/ocpa-oregon-e-cookies-tudo-o-que-voce-precisa-saber/).

A mais importante: as solicitações de opt-out **não precisam de autenticação**. E o direito de listar os terceiros que receberam os dados foi o mais frequentemente negado no primeiro ano de enforcement. O relatório do Attorney General Dan Rayfield (agosto de 2025) mostrou que empresas simplesmente não tinham esse registro estruturado.

Este artigo cobre tudo: o que é uma DSAR sob a OCPA, quais são os direitos garantidos pelo sistema L.O.C.K.E.D., os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Oregon.

## O que é uma DSAR sob a OCPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Oregon para exercer os direitos que a OCPA garante sobre os próprios dados.

Conforme a Seção 4(1), o consumidor exerce seus direitos por meios estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A OCPA adiciona regras específicas sobre dados derivados, opt-out sem autenticação, e o papel dos sinais de opt-out universal via tecnologia.

## Quais são os direitos dos consumidores sob a OCPA?

O sistema **L.O.C.K.E.D.** do Departamento de Justiça do Oregon resume os direitos da Seção 3(1) da OCPA:

### L: Direito de listar os terceiros

O consumidor pode solicitar uma lista das entidades específicas para as quais o controlador divulgou seus dados pessoais, ou uma lista de qualquer dado pessoal divulgado (Seção 3(1)(a)(B)).

O controlador pode escolher fornecer: (i) lista de terceiros específicos que receberam os dados do consumidor, ou (ii) lista de terceiros que receberam qualquer dado pessoal do controlador.

Esse foi o direito mais frequentemente negado no primeiro ano de enforcement. Empresas não tinham o registro de com quem compartilharam dados estruturado de forma que permitisse responder a essa solicitação.

### K: Direito de saber e confirmar

O consumidor pode obter confirmação de que o controlador processa ou processou seus dados e quais categorias de dados pessoais estão envolvidas (Seção 3(1)(a)(A)).

### C: Direito de cópia

O consumidor pode obter cópia de **todos** os dados pessoais que o controlador processou, em formato portável e prontamente utilizável quando tecnicamente viável (Seção 3(1)(a)(C)).

Esse escopo inclui dados derivados. Perfis de marketing, scores de comportamento e classificações de segmento criados a partir dos dados do consumidor fazem parte da cópia que deve ser entregue.

O relatório de enforcement identificou que empresas não estavam incluindo dados de "back-end" como perfis de marketing nas respostas às solicitações de cópia. Isso configura violação direta da lei.

### E: Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (Seção 3(1)(b)).

### D: Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais, incluindo (Seção 3(1)(c)):

Dados que o consumidor forneceu diretamente à empresa.

Dados que a empresa obteve de outras fontes sobre o consumidor.

Dados derivados criados pela empresa a partir de outros dados.

Para dados obtidos de terceiros, a OCPA prevê uma alternativa. O controlador pode cumprir a solicitação de exclusão de duas formas: excluindo os dados de fato; ou fazendo opt-out do consumidor do processamento de seus dados para qualquer finalidade que não seja uma das isentas pela Seção 2(3) (Seção 4(7)).

### O: Direito de opt-out

O consumidor pode recusar o processamento de dados para três finalidades (Seção 3(1)(d)):

Publicidade direcionada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou de significância similar (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

## Quais são os prazos para responder?

Conforme a Seção 4(5)(a):

**45 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

**Apelação: 45 dias** para resposta, com decisão e justificativa por escrito (Seção 4(6)(d)).

**Gratuito** uma vez por período de 12 meses por consumidor (Seção 4(5)(c)). Para solicitações subsequentes, pode cobrar taxa razoável, exceto quando verifica o cumprimento de correção ou exclusão anterior.

Um ponto de distinção em relação à CTDPA do Connecticut: a OCPA estabelece 45 dias para apelações, enquanto a CTDPA estabelece 60 dias. A OCPA é mais ágil nesse ponto.

## O processo de apelação

A Seção 4(6) exige que o controlador estabeleça processo de apelação conspicuamente disponível e similar ao processo original de submissão.

O processo deve:

Permitir um prazo razoável para o consumidor apelar após receber a recusa.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta escrita dentro de **45 dias** com decisão e justificativa.

Se a apelação for negada, o aviso deve fornecer ou especificar informações que permitam ao consumidor contatar o Attorney General para registrar uma reclamação (Seção 4(6)(d)).

## Autenticação: a regra especial para opt-outs

A Seção 4(5)(e) da OCPA tem regra de autenticação diferente para opt-outs:

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: o controlador pode solicitar informações adicionais razoavelmente necessárias para autenticar. Se não conseguir autenticar, não é obrigado a cumprir, mas deve notificar o consumidor (Seção 4(5)(d)).

Para **solicitações de opt-out**: o controlador **não pode exigir autenticação**. Pode solicitar apenas informações necessárias para identificar quem está pedindo o opt-out. Se tiver crença documentada, razoável e de boa-fé de que a solicitação é fraudulenta, pode negar. Mas deve notificar o solicitante explicando que acredita que é fraudulenta e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem barreiras de autenticação.

## Os agentes autorizados e os sinais de opt-out

A Seção 4(4) permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia: link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de **1º de janeiro de 2026**, o controlador que processa para publicidade direcionada ou vende dados deve aceitar opt-outs via sinal enviado com o consentimento do consumidor (Seção 5(5)(c)). Isso inclui o Global Privacy Control (GPC).

## Como deve ser o canal para submissão de solicitações

A Seção 5(4)(i) e 5(5) exige que o controlador estabeleça e descreva no aviso de privacidade o método para submissão de solicitações. Esse método precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir segurança e confiabilidade nas comunicações.

Permitir autenticação da identidade do consumidor.

Fornecer link claro e conspícuo para opt-out de publicidade direcionada.

O controlador não pode exigir criação de nova conta (Seção 4(2)). Pode exigir uso de conta existente.

Além disso, a Seção 5(5)(b) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade direcionada e venda de dados.

A partir de **1º de janeiro de 2026**, o canal também precisa reconhecer e honrar sinais de opt-out universal como o GPC, conforme a Seção 5(5)(c).

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (lista de terceiros, acesso/cópia, correção, exclusão, opt-out de publicidade/venda/perfilamento).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de lista de terceiros

Receba e autentique a identidade do titular.

Consulte o registro de compartilhamentos de dados.

Decida se vai fornecer: (i) lista de terceiros específicos que receberam dados do consumidor, ou (ii) lista de qualquer terceiro que recebeu qualquer dado.

Prepare resposta dentro de 45 dias.

Atenção: sem esse registro estruturado, é impossível cumprir. Construir o mapeamento de compartilhamentos é pré-requisito.

### Solicitação de acesso e cópia

Receba e autentique.

Localize todos os dados pessoais nos sistemas, incluindo dados derivados como perfis de marketing e scores de comportamento.

Prepare resposta em formato portável dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal (Seção 2(3)).

Para dados do próprio consumidor: exclua de todos os sistemas relevantes.

Para dados obtidos de terceiros: exclua de fato ou faça opt-out do processamento para finalidades não isentas (Seção 4(7)).

Confirme ao consumidor dentro de 45 dias.

### Opt-out de publicidade direcionada e venda

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC a partir de 2026).

**Não é necessário autenticar** para processar.

Monitore sinais de fraude. Se houver suspeita documentada: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

### Opt-out de perfilamento

Receba via Portal.

Identifique se o perfilamento em questão é para decisões com efeitos legais ou de significância similar.

Se sim: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado dentro de 45 dias.

## O que acontece quando o controlador nega uma solicitação?

Conforme a Seção 4(5)(b), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

## Revogação de consentimento: 15 dias

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 5(1)(d) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento o mais rápido possível, mas **no máximo em 15 dias** após o recebimento da revogação.

Esse prazo precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

## Proteção especial para crianças e adolescentes

A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos.

A Seção 4(3) também permite que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outra proteção similar.

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade direcionada ou venda sem o consentimento desses consumidores (Seção 5(2)(c)).

A partir de janeiro de 2026: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada.

## Proteção contra discriminação

A Seção 5(2)(d) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença está razoavelmente relacionada ao valor que os dados representam (Seção 5(3)(b)).

## O fim do período de cura e os DSARs

Até 1º de janeiro de 2026, o AG precisava notificar a empresa e conceder 30 dias para correção antes de iniciar ação formal.

**A partir de 1º de janeiro de 2026, esse período foi eliminado.** O AG pode agir diretamente (Seção 11 da OCPA).

Empresas sem processo estruturado para DSARs não conseguem corrigir em 30 dias o que deveria estar implementado desde o início. Sem o período de cura, o risco é ainda maior. As penalidades podem chegar a **US$ 7.500 por violação**, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC a partir de 2026, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento garantindo a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a OCPA

**Canal de submissão de solicitações** sem exigência de criação de nova conta (Seção 4(2)).

**Link claro e conspícuo** no site para opt-out de publicidade direcionada e venda (Seção 5(5)(b)).

**Opt-out preference signal** honrado a partir de janeiro de 2026 (Seção 5(5)(c)).

**Cobertura de todos os direitos L.O.C.K.E.D.**: lista de terceiros, acesso/confirmação, cópia (incluindo dados derivados), correção, exclusão, opt-out.

**Dados derivados incluídos** no escopo de cópia e exclusão (Seção 3(1)(a)(C) e 3(1)(c)).

**Opt-out sem autenticação obrigatória** para publicidade direcionada, venda e perfilamento (Seção 4(5)(e)).

**Processo de denúncia de fraude** documentado se opt-outs forem negados por suspeita de fraude.

**Agentes autorizados** aceitos para opt-out, incluindo via tecnologia (Seção 4(4)).

**Prazos**: 45 dias para resposta (+45 ext.); **45 dias** para apelação.

**Mecanismo de apelação** conspicuamente disponível e similar ao processo original (Seção 4(6)).

**Referência ao AG** fornecida quando apelação é negada (Seção 4(6)(d)).

**Gratuidade** na primeira solicitação por período de 12 meses (Seção 4(5)(c)).

**Revogação de consentimento honrada em 15 dias** (Seção 5(1)(d)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Pais/responsáveis** podem exercer direitos por crianças menores de 13 anos (Seção 4(3)).

**Tutores** podem exercer direitos por consumidores sob tutela (Seção 4(3)).

**Proteção para adolescentes 13-15**: processo para consentimento antes de processar para publicidade/venda.

## Comparativo: prazos do Portal do Titular na OCPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, lista, cópia, correção, exclusão | 45 dias | +45 dias com notificação |
| Opt-out (sem autenticação obrigatória) | Sem prazo específico | Imediato recomendado |
| Apelação de decisão | 45 dias | Não especificado |
| Revogação de consentimento | Máx. 15 dias | Não há extensão |
| Cure period para violações | Eliminado (jan/2026) | Não há garantia |

## FAQ: OCPA e Portal do Titular

**1. Por que o opt-out não precisa de autenticação na OCPA?**
A Seção 4(5)(e) estabelece que para solicitações de opt-out de publicidade direcionada, venda e perfilamento, o controlador deve cumprir sem exigir autenticação. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode negar apenas se tiver crença documentada de boa-fé de que a solicitação é fraudulenta, e deve notificar o solicitante com a justificativa. Sem essa notificação, a negação pode ser considerada violação da lei.

**2. Por que o direito de listar terceiros foi o mais negado no primeiro ano da OCPA?**
O relatório do AG Dan Rayfield (agosto de 2025) identificou que empresas simplesmente não tinham o registro estruturado de com quem compartilharam dados pessoais. Para cumprir a Seção 3(1)(a)(B), o controlador precisa saber exatamente quais entidades receberam dados de determinado consumidor, ou quais entidades receberam qualquer dado pessoal do controlador. Sem um mapeamento de compartilhamentos atualizado, é impossível responder a essa solicitação.

**3. O que torna a exclusão de dados derivados um diferencial importante da OCPA?**
A OCPA inclui explicitamente dados derivados na definição de dado pessoal (Seção 1(13)) e no escopo do direito de exclusão (Seção 3(1)(c)). Isso significa que quando o consumidor solicita a exclusão, perfis de marketing, scores de propensão e classificações de segmento criados a partir dos dados dele também precisam ser excluídos. O relatório de enforcement identificou que empresas não estavam incluindo esses dados nas respostas, o que configurou violação direta.

**4. Quem pode exercer direitos em nome de outros consumidores na OCPA?**
A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos, e que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outros arranjos de proteção. Além disso, a Seção 4(4) permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

**5. O que acontece se o controlador não tiver processo de DSAR quando o Attorney General investigar?**
A partir de janeiro de 2026, não existe mais o período de cura de 30 dias. O AG pode iniciar ação diretamente (Seção 11 da OCPA). Se identificar violações, pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser contado como violação separada, o que eleva rapidamente o impacto financeiro. O relatório de enforcement de 2025 mostrou que formulários de direitos inacessíveis ou não funcionais foram um dos problemas mais comuns nas investigações.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Oregon OCPA: DSAR Portal do Titular

A Utah Consumer Privacy Act (UCPA, Utah Code § 13-61-101) tem requisitos mais simples para cookies do que a maioria das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da UCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da UCPA e cookies](https://goadopt.io/blog/ucpa-utah-e-cookies-tudo-o-que-voce-precisa-saber/).

Não há exigência de honrar o GPC. Não há modelo de opt-in para dados sensíveis. Não há link obrigatório com texto específico. É opt-out para publicidade direcionada e venda de dados, com aviso claro no aviso de privacidade.

Mas simples não significa descuidado. Qualquer site que usa Meta Pixel, Google Ads, ou qualquer pixel que envia dados para redes de publicidade externas está operando publicidade direcionada sob a UCPA e precisa oferecer opt-out.

Este artigo foca no que a UCPA exige da Política de Cookies: o que o documento precisa conter e como o opt-out deve funcionar.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é a interface de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a UCPA exige especificamente para cookies

### Finalidade específica para cada categoria de rastreador

Utah Code § 13-61-302(1)(a) exige que o aviso de privacidade inclua as finalidades para as quais as categorias de dados pessoais são processadas. Para cookies, isso se traduz em descrever a finalidade de cada categoria de rastreador com clareza suficiente para que o consumidor entenda o que está acontecendo.

O que não funciona: "cookies para melhorar sua experiência."

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação incluindo páginas visitadas e duração de sessões, para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos a terceiros."

"Cookies de publicidade: coletam identificadores comportamentais compartilhados com plataformas de anúncios para publicidade direcionada em sites não afiliados. Os consumidores podem exercer opt-out pelo mecanismo descrito no aviso de privacidade."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores que operam no site:

**Cookies necessários:** essenciais para funcionamento básico. Autenticação, sessão, carrinho de compras. Não configuram publicidade direcionada ou venda. Precisam ser documentados.

**Cookies de analytics:** medem comportamento de navegação. Dependendo da ferramenta, podem configurar publicidade direcionada se os dados são enviados a terceiros que os usam para targeting em outros sites.

**Cookies de publicidade:** alimentam pixels de anúncio e constroem perfis para publicidade direcionada em sites não afiliados. Quase sempre configuram "publicidade direcionada" sob a UCPA. Exigem opt-out.

**Cookies funcionais:** lembram preferências do usuário. Geralmente não configuram publicidade direcionada ou venda.

**Cookies de terceiros:** disparados por serviços externos. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão.

### Publicidade direcionada: o critério da UCPA

Utah Code § 13-61-101(34) define publicidade direcionada como anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações **não afiliados**.

O que não configura publicidade direcionada:

Anúncios baseados em atividades dentro do próprio site do controlador ou sites afiliados.

Anúncios baseados no contexto da busca atual ou visita atual do consumidor.

Anúncios em resposta a pedido de informação, produto, serviço ou feedback do consumidor.

Processamento de dados exclusivamente para medir desempenho, alcance ou frequência de anúncios.

Campanhas de retargeting que usam dados do comportamento do usuário em outros sites quase sempre configuram publicidade direcionada sob a UCPA.

### Venda de dados pessoais

Utah Code § 13-61-101(31) define venda como a troca de dados pessoais por contraprestação monetária a terceiros.

**Diferença importante em relação à CPRA:** a UCPA usa apenas "venda" por contraprestação monetária. Não inclui o conceito de "compartilhamento" para publicidade comportamental sem pagamento direto, como a CPRA faz. Isso significa que a troca de dados por serviços de publicidade, sem pagamento direto, pode não configurar "venda" sob a UCPA.

Não configura venda: divulgação a processadores, divulgação a afiliados, divulgação quando o contexto é consistente com as expectativas razoáveis do consumidor, divulgação dirigida pelo consumidor, e transferências em fusões e aquisições.

### Categorias de terceiros que recebem dados via cookies

A Política precisa identificar as categorias de terceiros que recebem dados via cookies (§ 13-61-302(1)(a)(v)).

Isso inclui plataformas de publicidade digital, ferramentas de analytics, e qualquer outro parceiro que receba dados dos usuários do site via cookies.

### Período de retenção

A UCPA não exige que a Política de Cookies especifique períodos de retenção de dados. Esse é um dos requisitos que leis como a CPRA têm, mas a UCPA não.

Incluir informações de retenção é uma boa prática e facilita a conformidade com outras jurisdições, mas não é obrigatório pela lei do Utah.

## O mecanismo de opt-out de publicidade direcionada e venda

Utah Code § 13-61-302(1)(b) exige que, se a empresa vende dados ou usa dados para publicidade direcionada, informe o consumidor de forma clara e conspícua e descreva como exercer o opt-out.

A UCPA não especifica o formato exato do mecanismo de opt-out. Pode ser:

Um link ou botão no aviso de cookies ou no banner.

Um link no rodapé do site levando a uma página de preferências.

Um formulário online descrito no aviso de privacidade.

O que a UCPA não exige: um texto específico para o link de opt-out (diferente da CPRA que exige "Do Not Sell or Share My Personal Information"). O controlador tem liberdade para definir a apresentação do opt-out.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) bem configurada garante que quando o usuário exerce o opt-out, todos os pixels e rastreadores de publicidade param de disparar automaticamente.

## Dados sensíveis coletados via cookies

Utah Code § 13-61-101(32) define dados sensíveis para incluir, entre outros, dados de geolocalização específica e dados biométricos para identificação.

Se o site coleta dados de geolocalização precisa (dentro de 1.750 pés) via cookies ou tecnologia de rastreamento, isso é dado sensível sob a UCPA.

Para dados sensíveis, a UCPA exige (§ 13-61-302(3)):

Apresentar ao consumidor um aviso claro antes de processar.

Oferecer ao consumidor a oportunidade de opt-out do processamento.

Isso é diferente do opt-in exigido por outras leis. Sob a UCPA, a empresa pode iniciar o processamento de dados sensíveis após apresentar o aviso, a menos que o consumidor recuse.

A Política de Cookies deve identificar quais tipos de cookies podem coletar dados sensíveis e descrever o mecanismo de opt-out correspondente.

## O que é consentimento válido para cookies sob a UCPA?

Utah Code § 13-61-101(9) define consentimento como um ato afirmativo de um consumidor que indica inequivocamente o acordo voluntário e informado para que uma pessoa processe dados pessoais relacionados ao consumidor.

Para cookies não necessários, o padrão correto é opt-out: tecnologias de publicidade direcionada podem estar ativas por padrão, mas o consumidor deve ter mecanismo fácil de opt-out.

Para dados sensíveis coletados via cookies, a UCPA exige aviso claro e oportunidade de opt-out antes de processar.

O que não é adequado: processar dados para publicidade direcionada sem qualquer mecanismo de opt-out descrito no aviso de privacidade.

## A UCPA não exige o GPC

Diferente da CPRA (Califórnia) e da CTDPA (Connecticut), a UCPA não menciona a obrigação de honrar sinais de opt-out universal como o Global Privacy Control (GPC).

No entanto, implementar o GPC é uma boa prática: serve para cumprir os requisitos de outras jurisdições onde o visitante pode estar, e demonstra compromisso com a privacidade que vai além do mínimo exigido.

## Quando atualizar a Política de Cookies

Situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros para targeting.

Novo parceiro que recebe dados comportamentais dos usuários.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém o inventário de cookies sincronizado com o documento.

## O cure period e a Política de Cookies

O Attorney General deve conceder **30 dias garantidos** para correção antes de iniciar qualquer ação (§ 13-61-402(3)). Uma Política de Cookies inadequada pode ser corrigida dentro desse prazo se a empresa tiver seus processos estruturados.

Se a violação continuar após os 30 dias, as penalidades podem chegar a **US$ 7.500 por violação**, com cada consumidor afetado podendo constituir violação separada.

## Como a AdOpt ajuda com a Política de Cookies sob a UCPA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não necessários, apresenta categorias com descrições claras, oferece opt-out de publicidade direcionada, e documenta cada interação para fins de auditoria.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a UCPA

**Link visível** no rodapé do site e no banner de cookies.

**Listagem das categorias de cookies** com descrição do que cada uma faz no site.

**Finalidade específica para cada categoria**, sem descrições vagas (§ 13-61-302(1)(a)(ii)).

**Identificação de cookies que configuram publicidade direcionada** (§ 13-61-101(34)).

**Identificação de cookies que configuram venda de dados** (§ 13-61-101(31)).

**Categorias de terceiros** que recebem dados via cookies (§ 13-61-302(1)(a)(v)).

**Mecanismo de opt-out de publicidade direcionada e venda**, claro e conspícuo (§ 13-61-302(1)(b)).

**Aviso claro e opt-out** para dados sensíveis coletados via cookies (§ 13-61-302(3)).

**Idioma acessível**, sem juridiquês.

**Ausência de impedimentos ao exercício do opt-out**.

## FAQ: UCPA e Política de Cookies

**1. A UCPA exige um texto específico para o link de opt-out de publicidade direcionada?**
Não. Ao contrário da CPRA, que exige o texto específico "Do Not Sell or Share My Personal Information", a UCPA apenas exige que a empresa informe o consumidor de forma clara e conspícua sobre como exercer o opt-out (§ 13-61-302(1)(b)). O controlador tem liberdade para definir o texto e o formato do mecanismo de opt-out, desde que seja acessível e claro.

**2. Cookies de analytics configuram publicidade direcionada sob a UCPA?**
Depende. Se os dados de analytics ficam internos ou são enviados ao provedor apenas para gerar relatórios sem uso para targeting em outros sites, geralmente não configuram publicidade direcionada. Se a ferramenta envia dados que são usados para segmentação de anúncios em outros sites não afiliados ao controlador, pode configurar. A definição da UCPA é "dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (§ 13-61-101(34)).

**3. A UCPA exige que o site honre o Global Privacy Control (GPC)?**
Não. A UCPA não menciona a obrigação de honrar sinais de opt-out universal como o GPC. Isso diferencia o Utah da Califórnia (CPRA) e do Connecticut (CTDPA), onde o GPC é reconhecido como opt-out válido. No entanto, implementar o GPC é uma boa prática para sites que também atendem consumidores dessas outras jurisdições.

**4. Como a UCPA trata cookies que coletam dados de geolocalização precisa?**
Dados de geolocalização específica (dentro de 1.750 pés) são dados sensíveis sob a UCPA (§ 13-61-101(32)(a)(iii) e 33). Para processá-los, a empresa precisa apresentar ao consumidor um aviso claro e oferecer a oportunidade de opt-out antes de iniciar o processamento (§ 13-61-302(3)). Diferente de outras leis que exigem consentimento prévio ativo (opt-in), a UCPA usa o modelo de opt-out para dados sensíveis.

**5. A venda de dados via cookies na UCPA é diferente da CPRA?**
Sim, significativamente. A CPRA inclui o conceito de "compartilhamento" para publicidade comportamental cruzada entre sites, mesmo sem pagamento direto. A UCPA usa apenas "venda", que exige contraprestação monetária (§ 13-61-101(31)). Isso significa que o compartilhamento de dados com redes de publicidade sem pagamento direto pode não configurar "venda" sob a UCPA, enquanto configuraria "compartilhamento" sob a CPRA. Para sites que atendem consumidores de ambos os estados, a definição mais ampla da CPRA deve ser usada como referência.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Utah UCPA: Política de Cookies

A Utah Consumer Privacy Act (UCPA, Utah Code § 13-61-101) tem o processo de DSAR mais simples entre as leis estaduais americanas vigentes.

Esta página cobre uma parte do quadro. Para o escopo completo da UCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da UCPA e cookies](https://goadopt.io/blog/ucpa-utah-e-cookies-tudo-o-que-voce-precisa-saber/).

Quatro direitos. Nenhum processo de apelação formal. Sem distinção de autenticação entre opt-out e outros direitos. E o prazo de resposta é o mesmo para todos: 45 dias.

Mas existem particularidades que merecem atenção: o direito de exclusão é mais restrito do que em outras leis, e a UCPA tem regras específicas sobre cobrança de taxa e proteção contra fraude em solicitações.

Este artigo cobre tudo isso.

## O que é uma DSAR sob a UCPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um consumidor residente do Utah para exercer os direitos que a UCPA garante sobre os próprios dados.

Conforme Utah Code § 13-61-202(1), o consumidor exerce seus direitos submetendo uma solicitação ao controlador, pelos meios prescritos pelo controlador, especificando qual direito pretende exercer.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar, mas simplificada. A UCPA não tem processo de apelação formal e o escopo de alguns direitos é mais restrito.

## Quais são os direitos dos consumidores sob a UCPA?

Conforme Utah Code § 13-61-201, os residentes do Utah têm quatro direitos:

### 1. Direito de confirmação e acesso

O consumidor pode confirmar se o controlador está processando seus dados pessoais e acessar esses dados (§ 13-61-201(1)).

A resposta precisa ser fornecida em formato acessível dentro de 45 dias.

### 2. Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais que forneceu ao controlador (§ 13-61-201(2)).

**Atenção ao escopo restrito:** a UCPA limita o direito de exclusão a dados que o consumidor **forneceu** ao controlador. Dados que o controlador obteve de outras fontes, como data brokers, listas de terceiros, ou inferências criadas a partir de outros dados, não precisam ser excluídos por força da UCPA.

Isso é substancialmente diferente de leis como OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte, incluindo dados derivados.

### 3. Direito de portabilidade

O consumidor pode obter uma cópia dos dados pessoais que forneceu ao controlador, em formato portátil quando tecnicamente viável e praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 13-61-201(3)).

O escopo é também limitado a dados que o consumidor forneceu, não a todos os dados que o controlador possui sobre o consumidor.

### 4. Direito de opt-out

O consumidor pode recusar o processamento de seus dados para publicidade direcionada ou venda de dados pessoais (§ 13-61-201(4)).

**O que a UCPA não inclui no opt-out:** perfilamento. A UCPA não garante opt-out de perfilamento para decisões com efeitos legais ou significativos, ao contrário de OCPA, VCDPA e CTDPA. O opt-out cobre apenas publicidade direcionada e venda de dados.

## O que a UCPA não tem: direitos ausentes em comparação com outras leis

Para empresas que já processam DSARs para outras jurisdições, vale destacar o que a UCPA não prevê:

**Sem direito de correção.** A UCPA não garante o direito de corrigir dados imprecisos. Leis como CPRA, OCPA, VCDPA e CTDPA todas incluem esse direito.

**Sem processo de apelação formal.** Quando o controlador nega uma solicitação, a UCPA não exige um processo de apelação estruturado. O consumidor pode registrar reclamação na Division of Consumer Protection.

**Sem opt-out de perfilamento.** A UCPA cobre apenas publicidade direcionada e venda de dados no opt-out, excluindo perfilamento para decisões com efeitos legais.

**Exclusão limitada a dados fornecidos pelo consumidor.** Dados de terceiros e dados derivados não precisam ser excluídos.

## Quais são os prazos para responder?

Conforme Utah Code § 13-61-203:

**45 dias** para responder a partir do recebimento da solicitação (§ 13-61-203(2)(a)).

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor antes do prazo inicial expirar (§ 13-61-203(2)(b)(c)).

Se o controlador suspeitar razoavelmente que a solicitação é fraudulenta e não conseguir autenticar dentro do prazo, o prazo de 45 dias não se aplica até a autenticação ser concluída (§ 13-61-203(2)(d)).

**Gratuito para a primeira solicitação** de cada consumidor por período de 12 meses (§ 13-61-203(4)(a)).

## Quando a empresa pode cobrar taxa ou recusar

Utah Code § 13-61-203(4)(b) permite ao controlador cobrar taxa razoável ou recusar agir se a solicitação:

For excessiva, repetitiva, tecnicamente inviável ou manifestamente infundada.

O controlador razoavelmente acreditar que o objetivo principal de submeter a solicitação é algo diferente de exercer um direito.

A solicitação, individualmente ou como parte de esforço organizado, assediar, interromper ou impor carga indevida sobre os recursos da empresa.

O controlador que cobrar taxa ou recusar agir com base nesses critérios assume o ônus de demonstrar que a solicitação satisfaz um dos critérios listados.

## Autenticação: sem distinção especial para opt-out

Uma diferença importante da UCPA em relação à OCPA: a UCPA não tem regra especial de autenticação para opt-out. Conforme § 13-61-203(5), se o controlador não conseguir autenticar a solicitação usando esforços comercialmente razoáveis, não é obrigado a cumprir, mas pode pedir informações adicionais razoavelmente necessárias para autenticar.

Essa regra se aplica igualmente a todos os tipos de solicitação, incluindo opt-out. Isso difere da OCPA, que proíbe exigir autenticação para opt-out de publicidade direcionada.

## Como deve ser o canal para submissão de solicitações

Conforme Utah Code § 13-61-203(1) e 302(1)(a)(iii), o controlador precisa estabelecer meios pelos quais os consumidores podem submeter solicitações, e descrever esses meios no aviso de privacidade.

O controlador não pode exigir que o consumidor crie uma nova conta apenas para exercer um direito. A lei permite usar conta existente (§ 13-61-202(1) refere ao uso dos "meios prescritos pelo controlador").

Um Portal do Titular bem estruturado para a UCPA inclui:

Formulário com as quatro categorias de direitos.

Processo de verificação de identidade proporcional.

Confirmação de recebimento.

Registro da solicitação, ação tomada, e resposta enviada.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências de opt-out sejam refletidas nos sistemas da empresa.

## Proteção de crianças e adolescentes

Conforme Utah Code § 13-61-202(2), no caso de processamento de dados pessoais de uma criança conhecida, o pai ou responsável legal deve exercer os direitos em nome da criança.

Conforme § 13-61-202(3), no caso de processamento de dados de um consumidor sob tutela, curatela ou outro arranjo de proteção, o tutor ou curador exerce os direitos em nome do consumidor.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 13-61-102(3)), incluindo consentimento parental verificável antes de qualquer coleta de dados.

## O que acontece quando o controlador nega uma solicitação?

Conforme Utah Code § 13-61-203(3), o controlador que decidir não agir sobre uma solicitação deve informar o consumidor dentro de 45 dias, com as razões para não tomar ação.

A UCPA não descreve um processo formal de apelação. Não há prazo específico para apelação, nem obrigação de informar sobre como contatar o regulador em caso de negativa.

O consumidor pode registrar reclamação na Division of Consumer Protection, que poderá investigar e, se encontrar evidências substanciais de violação, encaminhar ao Attorney General.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e confirmação

Receba e autentique com esforços comercialmente razoáveis.

Confirme se os dados do consumidor estão sendo processados.

Localize os dados pessoais do consumidor nos sistemas relevantes.

Prepare resposta em formato acessível dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Verifique se há exceção legal que justifica a retenção.

Exclua os dados identificados dos sistemas relevantes.

**Nota importante:** dados que o controlador obteve de fontes que não o próprio consumidor (data brokers, listas de terceiros, dados derivados) não precisam ser excluídos sob a UCPA.

### Solicitação de portabilidade

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Prepare resposta em formato portátil e utilizável.

Entregue ao consumidor dentro de 45 dias.

### Opt-out de publicidade direcionada e venda

Receba a solicitação pelo canal designado.

Autentique com esforços comercialmente razoáveis.

Cesse o processamento para as finalidades indicadas.

Atualize os sistemas de rastreamento correspondentes.

Informe o consumidor dentro de 45 dias.

## Proteção contra discriminação

Utah Code § 13-61-302(4) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários e situações onde o consumidor optou por sair da publicidade direcionada e a empresa ajustou o preço em consequência (desde que o preço diferente seja razoavelmente relacionado ao valor que os dados representam para a empresa).

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de direito solicitado.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa quando a Division of Consumer Protection investigar reclamações ou quando o caso for encaminhado ao Attorney General.

## O cure period e os DSARs

Antes de iniciar qualquer ação, o Attorney General deve notificar o controlador e conceder **30 dias para correção** (§ 13-61-402(3)). Esse prazo é garantido permanentemente.

Empresas sem processo estruturado para DSARs têm dificuldade de implementar em 30 dias o que deveria estar em vigor desde o início. O cure period é uma garantia, não uma estratégia de conformidade.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade direcionada, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para a Division of Consumer Protection e o Attorney General. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a UCPA

**Canal de submissão de solicitações** descrito no aviso de privacidade (§ 13-61-302(1)(a)(iii)).

**Cobertura dos 4 direitos**: confirmação/acesso, exclusão (dados fornecidos pelo consumidor), portabilidade, opt-out de publicidade direcionada e venda.

**Ausência de exigência de criação de nova conta** para exercer direitos.

**Prazo de 45 dias** para resposta (+45 ext. com notificação) (§ 13-61-203(2)).

**Autenticação com esforços comercialmente razoáveis** para todos os tipos de solicitação (§ 13-61-203(5)).

**Gratuidade** para a primeira solicitação por período de 12 meses (§ 13-61-203(4)(a)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Proteção para crianças**: pais/responsáveis exercem direitos por crianças conhecidas (§ 13-61-202(2)).

**Conformidade com COPPA** para dados de crianças menores de 13 anos (§ 13-61-102(3)).

**Proteção contra discriminação** de consumidores que exercem direitos (§ 13-61-302(4)).

## Comparativo: prazos do Portal do Titular na UCPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (publicidade direcionada e venda) | 45 dias | +45 dias com notificação |
| Apelação de decisão | Não estruturado pela UCPA | Não se aplica |
| Cure period para violações | 30 dias garantidos | Não há extensão |

## FAQ: UCPA e Portal do Titular

**1. Por que o direito de exclusão da UCPA é mais restrito do que em outras leis?**
Utah Code § 13-61-201(2) limita o direito de exclusão a "dados pessoais que o consumidor forneceu ao controlador." Isso exclui dados que o controlador obteve de terceiros, dados inferidos ou derivados a partir de outros dados, e dados obtidos de fontes que não o próprio consumidor. Em contraste, leis como OCPA e CTDPA exigem exclusão de dados obtidos de qualquer fonte. A UCPA reflete a filosofia do legislativo do Utah de proteger consumidores sem criar obrigações excessivamente onerosas para as empresas.

**2. A UCPA tem processo formal de apelação quando o controlador nega uma solicitação?**
Não. Ao contrário da OCPA (45 dias para apelação), CTDPA (60 dias) e VCDPA (60 dias), a UCPA não define um processo de apelação estruturado. Quando o controlador nega uma solicitação, deve informar o consumidor das razões dentro de 45 dias (§ 13-61-203(3)). O consumidor pode então registrar reclamação na Division of Consumer Protection, que poderá investigar e encaminhar ao Attorney General se encontrar evidências substanciais de violação.

**3. A UCPA exige opt-out de perfilamento?**
Não. O direito de opt-out da UCPA cobre apenas publicidade direcionada e venda de dados (§ 13-61-201(4)). Leis como VCDPA, OCPA e CTDPA incluem opt-out de perfilamento para decisões com efeitos legais ou significativos. A UCPA é a única entre as principais leis estaduais americanas que não inclui esse direito.

**4. O Portal do Titular precisa diferir o processo de opt-out do processo de outros direitos?**
Não de forma especial. Ao contrário da OCPA, que proíbe exigir autenticação para opt-out, a UCPA usa o mesmo padrão de autenticação com "esforços comercialmente razoáveis" para todos os tipos de solicitação (§ 13-61-203(5)). O opt-out não precisa de um fluxo de autenticação separado ou mais simples do que o acesso ou a exclusão.

**5. O que acontece se o controlador suspeitar que uma solicitação é fraudulenta?**
Utah Code § 13-61-203(2)(d) estabelece que o prazo de 45 dias não se aplica se o controlador razoavelmente suspeitar que a solicitação é fraudulenta e não conseguir autenticar antes do prazo expirar. O controlador pode solicitar informações adicionais para autenticação (§ 13-61-203(5)(b)). Se a suspeita de fraude for razoável e documentada, o controlador pode cobrar taxa ou recusar agir, assumindo o ônus de demonstrar o caráter fraudulento.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Utah UCPA: DSAR Portal do Titular

A Iowa Consumer Data Protection Act (ICDPA, Iowa Code § 715D) tem requisitos de aviso de privacidade muito similares aos da UCPA do Utah, com uma diferença operacional importante: o prazo de resposta a solicitações é de **90 dias**, não 45.

Esta página cobre uma parte do quadro. Para o escopo completo da ICDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da ICDPA e cookies](https://goadopt.io/blog/iowa-icdpa-e-cookies-tudo-o-que-voce-precisa-saber/).

Para a Política de Privacidade, isso significa que o processo descrito no documento para exercício de direitos precisa refletir esse prazo mais longo. Consumidores do Iowa terão que esperar até três meses para receber uma resposta, e o processo descrito no aviso precisa ser claro sobre isso.

Este artigo foca exclusivamente no que a ICDPA exige da Política de Privacidade.

## O que a ICDPA chama de Privacy Notice

A lei usa o termo "privacy notice", aviso de privacidade. Conforme § 715D.4(5), o controlador deve fornecer um aviso "razoavelmente acessível, claro e significativo".

## O que precisa estar na Política de Privacidade sob a ICDPA

### 1. Categorias de dados pessoais processados

O aviso deve listar as categorias de dados pessoais que o controlador processa (§ 715D.4(5)(a)).

Dados pessoais sob a ICDPA são informações vinculadas ou razoavelmente vinculáveis a uma pessoa natural identificada ou identificável (§ 715D.1(18)). Isso inclui identificadores como nome, e-mail, endereço IP, histórico de navegação, e dados que permitam rastrear uma pessoa.

Dados desidentificados, dados agregados, e informações publicamente disponíveis estão excluídos.

### 2. A finalidade para o processamento

O aviso deve explicar para quê os dados são processados (§ 715D.4(5)(b)).

A lei não especifica que as finalidades precisam ser altamente detalhadas, mas o requisito de que o aviso seja "claro e significativo" implica que generalidades como "melhorar serviços" são insuficientes.

### 3. Como os consumidores exercem seus direitos e como apelar

O aviso deve descrever como os consumidores podem exercer os direitos garantidos pela ICDPA, incluindo como apelar de uma decisão do controlador (§ 715D.4(5)(c)).

Os quatro direitos sob a ICDPA são:

**Confirmação e acesso:** confirmar se o controlador processa dados e acessar esses dados (§ 715D.3(1)(a)).

**Exclusão:** solicitar exclusão de dados que o consumidor forneceu ao controlador (§ 715D.3(1)(b)).

**Portabilidade:** obter cópia dos dados em formato portátil (§ 715D.3(1)(c)).

**Opt-out da venda:** recusar a venda de dados pessoais (§ 715D.3(1)(d)).

**O prazo que precisa estar descrito: 90 dias** para resposta a partir do recebimento da solicitação, com possibilidade de extensão por mais 45 dias com notificação dentro do prazo inicial (§ 715D.3(2)(a)).

**O processo de apelação:** o aviso precisa descrever como o consumidor pode apelar de uma decisão de recusa, com prazo de resposta de 60 dias para a apelação (§ 715D.3(3)). Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General online.

### 4. Categorias de dados compartilhados com terceiros

O aviso deve identificar as categorias de dados pessoais que o controlador compartilha com terceiros, se houver (§ 715D.4(5)(d)).

### 5. Categorias de terceiros com quem os dados são compartilhados

O aviso deve identificar as categorias de terceiros com quem os dados são compartilhados, se houver (§ 715D.4(5)(e)).

A ICDPA não exige o nível de detalhe sobre como cada terceiro pode processar os dados que a OCPA exige. Categorias identificáveis são suficientes.

## Divulgação de publicidade direcionada e venda de dados

Se a empresa vende dados ou realiza publicidade direcionada, § 715D.4(6) exige divulgação clara e conspícua dessa atividade, com descrição do método pelo qual o consumidor pode exercer o opt-out de cada atividade.

Publicidade direcionada, conforme § 715D.1(28), são anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo em sites ou aplicações não afiliados.

Embora o opt-out de publicidade direcionada não seja listado como direito formal em § 715D.3, a obrigação de divulgação em § 715D.4(6) cria o requisito prático de oferecer esse opt-out no aviso de privacidade.

## O canal de submissão de solicitações

Conforme § 715D.4(7), o controlador deve estabelecer meios seguros e confiáveis para os consumidores submeterem solicitações de exercício de direitos, e descrever esses meios no aviso de privacidade.

Esses meios devem:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir autenticação da identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta para exercer seus direitos. Pode exigir uso de conta existente (§ 715D.4(7)).

## Dados sensíveis: aviso e opt-out, não consentimento

Conforme § 715D.4(2), o controlador não pode processar dados sensíveis sem antes apresentar ao consumidor aviso claro e oferecer oportunidade de opt-out.

Dados sensíveis incluem: origem racial ou étnica, crenças religiosas, diagnóstico de saúde mental ou física, orientação sexual, cidadania ou imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e geolocalização precisa.

Esse modelo de opt-out para dados sensíveis é idêntico ao da UCPA. É menos restritivo do que o opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 715D.2(2)(r) e 715D.4(2)).

A Política de Privacidade deve:

Identificar se a empresa processa dados sensíveis.

Descrever como o aviso sobre dados sensíveis é apresentado.

Explicar como o consumidor pode exercer o opt-out de processamento de dados sensíveis.

## O que a ICDPA não exige na Política de Privacidade

Comparando com outras leis:

**Sem período de retenção obrigatório.** A CPRA exige especificar por quanto tempo cada categoria de dado é retida. A ICDPA não tem esse requisito.

**Sem nível de detalhe sobre terceiros.** A OCPA exige descrever como cada terceiro pode processar os dados. A ICDPA exige apenas categorias.

**Sem direito de correção para descrever.** Como a ICDPA não prevê esse direito, o aviso não precisa descrevê-lo.

**O prazo de 90 dias precisa estar claramente descrito.** Consumidores acostumados com a VCDPA, OCPA e CTDPA esperam respostas em 45 dias. Um aviso que deixa claro que o prazo da ICDPA é de 90 dias evita reclamações desnecessárias.

## Não discriminação

Conforme § 715D.4(3), a empresa não pode discriminar consumidores que exercem seus direitos. Isso inclui negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários ou situações onde o consumidor exerceu opt-out de publicidade direcionada e a empresa ajustou preços em consequência.

## O cure period de 90 dias e sua relação com a Política

Antes de iniciar qualquer ação, o Attorney General do Iowa é obrigado a notificar o controlador e conceder **90 dias para correção** (§ 715D.8(2)). Esse é o cure period mais longo de todas as leis estaduais americanas.

Uma Política de Privacidade desatualizada pode ser corrigida dentro de 90 dias com os processos certos. Mas estruturá-la corretamente desde o início é sempre mais eficiente.

## Como a AdOpt apoia a conformidade com a ICDPA

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de opt-out funciona conforme descrito.

O registro de cada interação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a ICDPA

**Link visível e acessível** em todas as páginas do site.

**Categorias de dados pessoais processados** (§ 715D.4(5)(a)).

**Finalidade do processamento** para cada categoria (§ 715D.4(5)(b)).

**Como exercer os 4 direitos** com canal e prazo de **90 dias** (§ 715D.4(5)(c)).

**Processo de apelação** com prazo de **60 dias** para resposta (§ 715D.3(3)).

**Como contatar o Attorney General** se a apelação for negada (§ 715D.3(3)).

**Categorias de dados compartilhados com terceiros** (§ 715D.4(5)(d)).

**Categorias de terceiros** com quem dados são compartilhados (§ 715D.4(5)(e)).

**Divulgação de venda de dados ou publicidade direcionada** com método de opt-out (§ 715D.4(6)).

**Canal de submissão de solicitações** descrito, sem exigência de nova conta (§ 715D.4(7)).

**Tratamento de dados sensíveis**: aviso claro e opt-out antes do processamento (§ 715D.4(2)).

**Conformidade com COPPA** para dados de crianças (§ 715D.4(2)).

**Política de não discriminação** (§ 715D.4(3)).

**Gratuidade para 2 solicitações** por ano por consumidor (§ 715D.3(2)(c)).

## FAQ: ICDPA e Política de Privacidade

**1. Por que a Política de Privacidade da ICDPA precisa deixar claro o prazo de 90 dias?**
A maioria dos consumidores que já interagiram com aviso de privacidade de outras jurisdições espera respostas em 45 dias. A ICDPA estabelece 90 dias como prazo padrão (§ 715D.3(2)(a)), o que é significativamente diferente. Uma Política que descreve claramente esse prazo ajuda a gerenciar expectativas e evita reclamações de consumidores que esperam uma resposta mais rápida. Descrever o prazo correto também demonstra que a empresa conhece suas obrigações legais específicas.

**2. O aviso de privacidade precisa mencionar o processo de apelação da ICDPA?**
Sim. A § 715D.4(5)(c) exige que o aviso descreva como os consumidores podem exercer seus direitos "incluindo como um consumidor pode apelar de uma decisão do controlador com relação à solicitação do consumidor." Isso significa que o processo de apelação, com prazo de 60 dias para resposta (§ 715D.3(3)), precisa estar descrito. Se a apelação for negada, o aviso também deve indicar como o consumidor pode contatar o Attorney General.

**3. A ICDPA exige a mesma gratuidade de solicitações que a UCPA?**
Não exatamente. A ICDPA garante gratuidade para **2 solicitações** por consumidor por período de 12 meses (§ 715D.3(2)(c)). A UCPA garante gratuidade para apenas **1 solicitação** por período de 12 meses. A VCDPA também garante 2 solicitações gratuitas por ano. A Política de Privacidade precisa refletir corretamente esse número, pois informar "1 vez gratuito por ano" quando a lei garante 2 seria uma imprecisão que poderia gerar reclamações.

**4. A ICDPA tem o mesmo modelo de opt-out para dados sensíveis que a UCPA?**
Sim. Tanto a ICDPA (§ 715D.4(2)) quanto a UCPA (§ 13-61-302(3)) exigem apenas aviso claro e oportunidade de opt-out antes de processar dados sensíveis, sem exigir consentimento prévio ativo. Esse modelo é diferente do opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA. Uma empresa que já está adequada à UCPA e à ICDPA nesse ponto precisaria revisar o processo se quisesse também estar adequada às leis que exigem consentimento.

**5. A ICDPA exige descrição de terceiros no mesmo nível de detalhe que a OCPA?**
Não. A OCPA exige que a descrição dos terceiros seja em nível de detalhe que permita ao consumidor entender que tipo de entidade é e como pode processar os dados. A ICDPA (§ 715D.4(5)(d) e (e)) exige apenas as categorias de dados compartilhados com terceiros e as categorias de terceiros, sem o nível de detalhe adicional da OCPA. Categorias como "plataformas de publicidade digital" e "ferramentas de analytics" são suficientes sob a ICDPA.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


IOWA ICDPA: Política de Privacidade

A California Privacy Rights Act (CPRA) tem um conjunto de exigências para a política de privacidade que vai além do que qualquer outra lei estadual americana exige.

Esta página cobre uma parte do quadro. Para o escopo completo da CPRA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPRA e cookies](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber/).

Não é só sobre o que o documento precisa conter. É sobre dois links específicos que precisam estar visíveis em todas as páginas do site. É sobre descrever períodos de retenção de dados. É sobre uma categoria inteira de dados sensíveis com regras próprias.

Este artigo foca exclusivamente no que a CPRA exige da Política de Privacidade, com base no texto oficial da lei.

## O que a CPRA chama de Política de Privacidade

A lei usa o termo "privacy policy". Na Califórnia, a tradição legal exige que esse documento esteja acessível na homepage e em qualquer página onde dados pessoais são coletados.

A CPRA expande significativamente o que a CCPA exigia. Se a sua política de privacidade foi escrita para a CCPA original de 2020, ela provavelmente está desatualizada em vários pontos críticos.

## O que precisa estar na Política de Privacidade sob a CPRA

### 1. Categorias de informações pessoais coletadas

O documento deve listar as categorias de informações pessoais que a empresa coleta (Civil Code § 1798.100).

Isso inclui: identificadores (nome, e-mail, IP), características protegidas por lei, informações comerciais, dados biométricos, atividade de internet, dados de geolocalização, dados de áudio ou visuais, informações profissionais, informações de educação, e inferências usadas para criar perfis sobre o consumidor.

### 2. Categorias de informações pessoais sensíveis (SPI) coletadas

Esta é a novidade da CPRA. O documento deve identificar especificamente se a empresa coleta informações pessoais sensíveis (Civil Code § 1798.121).

SPI inclui: geolocalização precisa, dados de contas financeiras com senhas, comunicações privadas, dados genéticos, dados biométricos, dados de saúde, vida sexual ou orientação sexual, origem racial ou étnica, crenças religiosas, e status sindical.

Se a empresa coleta SPI, a política precisa:

Listar as categorias de SPI coletadas.

Descrever as finalidades para as quais a SPI é usada.

Informar se o uso é limitado a finalidades essenciais ou se excede isso.

Explicar como o consumidor pode exercer o direito de limitação de uso de SPI.

### 3. As finalidades do processamento

O documento precisa descrever as finalidades para as quais as categorias de informações pessoais são coletadas e usadas (Civil Code § 1798.100).

As finalidades precisam ser específicas. "Melhorar nossos serviços" não é uma finalidade adequada. "Dados de comportamento de navegação coletados via cookies de analytics para identificar páginas com alta taxa de abandono e priorizar melhorias de usabilidade" é o nível correto.

### 4. Os períodos de retenção de dados

Este é um requisito novo que a CCPA não tinha e que a CPRA introduziu explicitamente.

O documento deve informar por quanto tempo cada categoria de informação pessoal é retida pela empresa, ou os critérios usados para determinar esse período (Civil Code § 1798.130 a(5)(A)).

A CPRA proíbe a retenção de informações pessoais além do necessário para as finalidades declaradas. Esse requisito tem impacto direto em quantas empresas estavam simplesmente acumulando dados sem critério de limpeza.

### 5. Direitos dos consumidores e como exercê-los

O documento deve descrever todos os direitos garantidos pela CPRA e como o consumidor pode exercê-los (Civil Code § 1798.130).

Os direitos sob a CPRA são:

Direito de saber: categorias e informações específicas coletadas, fontes, finalidades e terceiros.

Direito de acesso: cópia das informações coletadas nos últimos 12 meses.

Direito de exclusão: solicitação de exclusão, com exceções.

Direito de correção: correção de informações imprecisas.

Direito de portabilidade: dados em formato utilizável.

Direito de opt-out de venda e compartilhamento: recusar venda e compartilhamento para publicidade comportamental cruzada.

Direito de limitar uso de SPI: limitar o uso de informações sensíveis a finalidades essenciais.

Direito de não discriminação: não sofrer penalidades por exercer direitos.

Para cada direito, a política precisa descrever o canal de submissão e o processo de resposta dentro de 45 dias.

### 6. Categorias de informações compartilhadas com terceiros

O documento deve identificar as categorias de informações pessoais divulgadas a terceiros para fins comerciais, e as categorias de terceiros para as quais essas informações foram divulgadas (Civil Code § 1798.130).

Isso inclui plataformas de analytics, ferramentas de publicidade, CRMs, processadores de pagamento, e qualquer serviço externo que receba dados dos usuários.

### 7. Venda e compartilhamento de dados: disclosure obrigatório

Se a empresa vende ou compartilha informações pessoais, a política deve identificar:

As categorias de informações pessoais vendidas ou compartilhadas.

As categorias de terceiros para os quais as informações foram vendidas ou compartilhadas.

Se a empresa vende ou compartilha informações de menores de 16 anos (com confirmação de que o opt-in foi obtido, quando aplicável).

"Compartilhamento" sob a CPRA significa a divulgação de dados para publicidade comportamental cruzada entre sites, mesmo sem pagamento direto. Isso inclui o compartilhamento de dados com redes de publicidade via pixels, mesmo que a empresa não receba dinheiro por esse compartilhamento específico.

### 8. Os dois links obrigatórios no site

Além do conteúdo da política, a CPRA exige dois links que precisam estar visíveis na homepage e em qualquer página onde dados pessoais são coletados:

**"Do Not Sell or Share My Personal Information"**: para opt-out de venda e compartilhamento de dados para publicidade comportamental cruzada.

**"Limit the Use of My Sensitive Personal Information"**: para que o consumidor possa limitar o uso de informações sensíveis a finalidades essenciais.

Esses links podem ser combinados em um único link se ambas as opções de opt-out estiverem disponíveis na mesma página de destino.

A política de privacidade deve descrever esses links e como eles funcionam.

## A categoria de informações pessoais sensíveis: exigências adicionais

A CPRA criou uma nova camada de controle para informações pessoais sensíveis que não existia na CCPA.

A empresa pode usar SPI apenas para finalidades essenciais, a menos que o consumidor não tenha exercido o direito de limitação. Finalidades essenciais incluem: fornecer o serviço ou produto solicitado, segurança e integridade, debugging, pesquisa interna razoável, e compliance legal.

Se a empresa usa SPI para finalidades além dessas, a política precisa deixar isso explícito e o consumidor precisa ter a opção de limitar esse uso adicional.

O período de retenção de SPI precisa ser especificado. E informações sensíveis não podem ser retidas além do necessário para a finalidade declarada.

## Proteção de menores: o que a política precisa cobrir

A CPRA tem proteções específicas para menores que precisam estar refletidas na política de privacidade.

Para **menores de 16 anos**: a empresa não pode vender ou compartilhar informações pessoais sem opt-in ativo. A política deve descrever como esse opt-in é obtido.

Para **menores de 13 anos**: o consentimento precisa ser dado por pais ou responsáveis legais. A política deve descrever o processo de consentimento parental.

Se um menor de 16 anos recusar o consentimento para venda ou compartilhamento, a empresa deve aguardar 12 meses antes de solicitar consentimento novamente. A política deve mencionar essa regra.

As penalidades por violações envolvendo dados de menores são triplicadas. Isso deve motivar atenção especial a esse segmento na política.

## Cookies e publicidade: o que a política precisa dizer

A CPRA expandiu o conceito de "venda" para incluir "compartilhamento". Isso tem impacto direto em como a política de privacidade descreve o uso de cookies de publicidade.

Se o site usa Meta Pixel, Google Ads, TikTok Pixel ou qualquer pixel que envia dados de comportamento de navegação para redes de publicidade externas, isso pode configurar "compartilhamento" de dados pessoais sob a CPRA, mesmo sem pagamento direto por esses dados.

A política precisa:

Identificar os tipos de cookies e rastreadores usados.

Declarar se dados são compartilhados com terceiros para publicidade comportamental cruzada.

Descrever como o consumidor pode exercer o opt-out de compartilhamento (pelo link "Do Not Sell or Share" ou pelo GPC).

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) do site precisa estar alinhado com o que está descrito na política de privacidade.

## Data Protection Assessments: o que a política precisa mencionar

A CPRA exige que empresas realizem avaliações periódicas de riscos de privacidade para atividades de alto risco, incluindo processamento de SPI, venda e compartilhamento de dados, e processamento que apresente risco significativo para os direitos do consumidor.

As avaliações não precisam ser publicadas na política, mas a política deve mencionar que a empresa realiza avaliações de risco de privacidade para atividades de alto risco como parte de seu programa de compliance.

A CPPA pode requisitar essas avaliações durante investigações.

## Direito de não discriminação e programas de fidelidade

A CPRA proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção são programas de fidelidade, recompensas, funcionalidades premium ou descontos onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam para a empresa, desde que o consumidor participe voluntariamente.

A política de privacidade deve descrever essa política de não discriminação e as exceções aplicáveis.

## Como a AdOpt apoia a conformidade com a CPRA

A AdOpt garante que o que está escrito na política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que os links de opt-out funcionam conforme descrito, que o GPC é honrado automaticamente, e que os registros de opt-out estão disponíveis para auditoria.

O registro de cada interação fica documentado. Se a CPPA pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a CPRA

**Link visível e acessível** na homepage e em todas as páginas onde dados são coletados.

**"Do Not Sell or Share My Personal Information"**: link visível na homepage (Civil Code § 1798.120).

**"Limit the Use of My Sensitive Personal Information"**: link visível na homepage (Civil Code § 1798.121).

**Categorias de informações pessoais coletadas**, com descrição específica de cada categoria (Civil Code § 1798.100).

**Categorias de informações pessoais sensíveis (SPI)** coletadas, se aplicável (Civil Code § 1798.121).

**Finalidades do processamento** para cada categoria, sem descrições vagas.

**Períodos de retenção** para cada categoria de dados, ou critérios usados para determinar a retenção (Civil Code § 1798.130 a(5)(A)).

**Todos os direitos do consumidor** listados e com processo de exercício descrito.

**Prazo de 45 dias** para resposta a solicitações, extensível com notificação.

**Gratuidade** para até duas solicitações por ano por consumidor.

**Categorias de informações vendidas ou compartilhadas** e categorias de terceiros receptores.

**Proteção para menores de 16 anos**: opt-in obrigatório para venda e compartilhamento.

**Proteção para menores de 13 anos**: consentimento parental.

**Regra dos 12 meses** após recusa de menores de 16 anos.

**Política de não discriminação** para consumidores que exercem direitos.

**Menção a avaliações de risco de privacidade** para atividades de alto risco.

## FAQ: CPRA e Política de Privacidade

**1. Minha política de privacidade foi escrita para a CCPA. Quais são as principais atualizações necessárias para a CPRA?**
As principais atualizações são: adicionar a categoria de informações pessoais sensíveis (SPI) com suas regras específicas; descrever o novo direito de correção de dados; descrever o direito de limitar o uso de SPI; incluir os períodos de retenção de cada categoria de dado; atualizar a seção de "venda" para incluir "compartilhamento" para publicidade comportamental cruzada; incluir os dois links obrigatórios ("Do Not Sell or Share" e "Limit Use of SPI"); e mencionar a CPPA como agência reguladora em vez do Attorney General.

**2. O que são os links "Do Not Sell or Share" e "Limit the Use of My Sensitive Personal Information"?**
São dois links que a CPRA exige que estejam visíveis na homepage e em qualquer página onde dados pessoais são coletados. O primeiro ("Do Not Sell or Share My Personal Information") permite que o consumidor faça opt-out da venda e do compartilhamento de dados pessoais para publicidade comportamental cruzada. O segundo ("Limit the Use of My Sensitive Personal Information") permite que o consumidor restrinja o uso de informações pessoais sensíveis a finalidades essenciais. Os dois links podem ser combinados em um único link se ambas as opções estiverem na mesma página de destino.

**3. Por que a CPRA exige especificar períodos de retenção de dados na política de privacidade?**
A CPRA introduziu a proibição explícita de reter informações pessoais além do necessário para as finalidades declaradas. Como decorrência, a empresa precisa saber por quanto tempo retém cada categoria de dado e comunicar isso ao consumidor. Civil Code § 1798.130 a(5)(A) exige que a política especifique os períodos de retenção ou os critérios usados para determiná-los. Essa regra fecha uma brecha que existia na CCPA, onde empresas podiam acumular dados indefinidamente.

**4. O que muda para dados de adolescentes de 13 a 15 anos com a CPRA?**
A CCPA já exigia opt-in para venda de dados de menores de 16 anos. A CPRA adicionou uma regra nova: se um consumidor de 16 anos ou menos recusar o consentimento para venda ou compartilhamento de seus dados, a empresa precisa aguardar 12 meses antes de fazer um novo pedido de consentimento. Isso impede que as empresas reapresentem o pedido de consentimento repetidamente. As penalidades por violações envolvendo dados de menores de 16 são triplicadas e automáticas.

**5. A CPRA tem direito de ação privada? Em que situações o consumidor pode processar diretamente a empresa?**
Sim. A CPRA preserva e expande o direito de ação privada que existia na CCPA. O consumidor pode processar diretamente a empresa quando há uma violação de dados não autorizada que resulte em acesso, roubo, divulgação, uso, modificação ou destruição não autorizados de informações pessoais não criptografadas e não redactadas. As categorias incluem número do Seguro Social, credenciais de login de contas financeiras, dados de cartão de débito ou crédito, dados médicos, histórico de saúde, e outras categorias especificadas na lei. O dano mínimo por consumidor por incidente é de US$ 100 a US$ 750, ou o dano real, o que for maior.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CPRA: Política de Privacidade

A California Privacy Rights Act (CPRA) trouxe uma mudança que afeta diretamente qualquer site com pixels de publicidade instalados.

Esta página cobre uma parte do quadro. Para o escopo completo da CPRA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPRA e cookies](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber/).

A CCPA falava em "venda" de dados. A CPRA adicionou o "compartilhamento": a divulgação de dados pessoais para publicidade comportamental cruzada entre sites, mesmo que nenhum dinheiro mude de mãos diretamente.

Isso significa que o Meta Pixel no seu site pode configurar "compartilhamento" de dados pessoais sob a CPRA, mesmo que você não receba um centavo por esse compartilhamento específico.

Este artigo foca exclusivamente no que a CPRA exige da Política de Cookies: o que o documento precisa conter, como o opt-out deve funcionar, e o que muda para cada rastreador no seu site.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é a interface de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados, e como exercer direitos sobre eles.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a CPRA exige especificamente para cookies

### Finalidade específica para cada categoria de rastreador

A CPRA exige que as empresas coletem dados pessoais apenas para finalidades específicas, explícitas e legítimas, e que não processem dados de formas incompatíveis com essas finalidades (Civil Code § 1798.100(a)(2)).

Para cookies, cada categoria precisa de uma descrição de finalidade que seja concreta.

O que não funciona: "cookies para melhorar sua experiência."

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação incluindo páginas visitadas, origem do tráfego e duração de sessões, para identificar oportunidades de melhoria de conteúdo e experiência no site. Os dados são enviados ao Google Analytics e retidos por 14 meses."

"Cookies de publicidade: coletam identificadores comportamentais enviados ao Meta e ao Google para criação de audiências de publicidade e exibição de anúncios personalizados em outras plataformas. Isso configura compartilhamento de dados pessoais sob a CPRA. Os consumidores podem recusar esse compartilhamento pelo link 'Do Not Sell or Share My Personal Information' ou ativando o Global Privacy Control."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores que operam no site:

**Cookies estritamente necessários:** essenciais para funcionamento básico. Não configuram venda ou compartilhamento. Precisam estar documentados.

**Cookies de analytics:** medem comportamento de navegação. Dependendo da ferramenta, podem configurar compartilhamento de dados pessoais se os dados são enviados para terceiros que os usam para publicidade em outros sites.

**Cookies de publicidade e compartilhamento:** alimentam pixels de anúncio, constroem perfis comportamentais para publicidade cruzada entre sites. Quase sempre configuram "compartilhamento" sob a CPRA. Exigem link de opt-out.

**Cookies funcionais:** lembram preferências do usuário. Geralmente não configuram venda ou compartilhamento.

**Cookies de terceiros:** disparados por serviços externos integrados ao site. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão.

### A distinção CPRA entre "venda" e "compartilhamento"

Este é o conceito mais importante que diferencia a CPRA de outras leis para fins de cookies.

**Venda** é a troca de dados pessoais por contraprestação monetária ou outro valor valioso.

**Compartilhamento** é a divulgação de dados pessoais a terceiros para publicidade comportamental cruzada entre sites, independentemente de haver pagamento direto (Civil Code § 1798.140(ah)).

Na prática, isso significa que quando o Meta Pixel envia dados do comportamento do visitante no seu site para o Meta, esse envio pode configurar "compartilhamento" sob a CPRA, mesmo que a empresa não receba dinheiro especificamente por esses dados. O que o Meta faz com esses dados para exibir anúncios em outras plataformas é o critério.

Não configura venda ou compartilhamento: divulgação a prestadores de serviços que processam dados exclusivamente em nome da empresa, divulgação para fornecer o produto ou serviço solicitado pelo consumidor, e transferências em fusões e aquisições.

### Categorias de terceiros que recebem dados via cookies

A Política precisa identificar as categorias de terceiros para os quais dados são vendidos ou compartilhados via cookies (Civil Code § 1798.130).

Isso inclui plataformas de publicidade digital (Meta, Google, TikTok, Pinterest), redes de publicidade programática, plataformas de analytics que usam dados para outros fins, e qualquer outro parceiro que receba dados comportamentais dos usuários do site.

### Período de retenção de cada categoria

A CPRA introduziu a exigência de informar os períodos de retenção de dados, que a CCPA original não tinha (Civil Code § 1798.130 a(5)(A)).

Para a Política de Cookies, isso significa documentar:

Por quanto tempo cada cookie fica ativo no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos servidores da empresa e/ou dos terceiros envolvidos.

Quando e como os dados são excluídos após o período de retenção.

### O link "Do Not Sell or Share My Personal Information"

A CPRA exige que esse link esteja visível na homepage e em qualquer página onde dados pessoais são coletados (Civil Code § 1798.120(a)).

Esse link precisa:

Ser claro e conspícuo, não enterrado em menus.

Levar a uma página onde o consumidor pode exercer o opt-out de venda e compartilhamento.

Não exigir que o consumidor crie uma conta ou passe por múltiplas etapas para exercer o opt-out.

A Política de Cookies deve identificar esse link e descrever como o opt-out funciona na prática: quais tecnologias são desativadas quando o consumidor clica no link.

### O Global Privacy Control (GPC)

O Global Privacy Control (GPC) é um sinal técnico que o consumidor ativa no navegador para solicitar automaticamente opt-out de venda e compartilhamento de dados em todos os sites visitados.

A CPPA (California Privacy Protection Agency) confirmou que o GPC constitui uma forma válida de exercer o opt-out de venda e compartilhamento sob a CPRA. Quando um visitante acessa o site com o GPC ativado, o site precisa tratar isso como se o consumidor tivesse clicado no link "Do Not Sell or Share My Personal Information".

A Política de Cookies deve mencionar que a empresa reconhece e honra o GPC.

### O link "Limit the Use of My Sensitive Personal Information"

Se o site coleta informações pessoais sensíveis via cookies (como dados de geolocalização precisa), a empresa precisa disponibilizar o link "Limit the Use of My Sensitive Personal Information" (Civil Code § 1798.121(a)).

Geolocalização precisa é uma das categorias de SPI mais relevantes para cookies: qualquer cookie ou tecnologia que capture a localização do dispositivo com precisão suficiente para identificar a posição do usuário dentro de um quarteirão pode configurar coleta de SPI.

Se o site coleta geolocalização precisa, a Política de Cookies precisa:

Identificar essa coleta como SPI.

Descrever a finalidade do uso.

Informar como o consumidor pode limitar esse uso ao link específico.

## O que é consentimento válido para cookies sob a CPRA?

A CPRA usa um modelo de opt-out para a maioria dos dados pessoais: o processamento é permitido por padrão para a maioria das finalidades, e o consumidor tem o direito de recusar a venda e o compartilhamento.

Mas para informações pessoais sensíveis, o padrão é diferente: o uso de SPI além de finalidades essenciais precisa ser comunicado ao consumidor, que tem o direito de limitar esse uso.

E para menores de 16 anos, o padrão é opt-in: a empresa não pode vender ou compartilhar dados de menores sem opt-in ativo.

O que não é válido como opt-out: processos que exigem múltiplas etapas desnecessárias, exigência de criação de conta para exercer opt-out, e qualquer design que deliberadamente dificulte o exercício do direito.

## Proteção especial para menores

A CPRA tem regras estritas para menores que precisam estar descritas na Política de Cookies.

Para menores de 16 anos: a empresa não pode vender ou compartilhar dados pessoais (incluindo via cookies de publicidade) sem opt-in ativo.

Para menores de 13 anos: o opt-in deve ser dado pelos pais ou responsáveis legais.

Se um menor de 16 anos recusar o consentimento, a empresa deve aguardar 12 meses antes de solicitar consentimento novamente.

As penalidades por violações envolvendo dados de menores de 16 são triplicadas e automáticas.

Se o site pode ter usuários nessas faixas etárias, a Política de Cookies deve descrever como cookies de publicidade são desativados para esse público e como o opt-in é obtido.

## Cookies de analytics: quando configuram "compartilhamento"?

O Google Analytics, por exemplo, coleta dados de comportamento de navegação e os envia para os servidores do Google. Dependendo de como o Google usa esses dados para seus próprios fins de publicidade ou para fornecer serviços de publicidade a outros anunciantes, o envio desses dados pode configurar "compartilhamento" sob a CPRA.

O [Guia Orientativo da ANPD](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/) sobre cookies já documentou como grandes provedores de analytics têm a capacidade de cruzar dados aparentemente anônimos com outros dados que possuem.

A abordagem mais segura: incluir o Google Analytics na categoria de cookies que podem configurar compartilhamento, oferecer opt-out, e documentar essa categorização na Política de Cookies.

## Quando atualizar a Política de Cookies

Situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros.

Novo parceiro que recebe dados comportamentais dos usuários.

Mudança nos períodos de retenção de qualquer categoria.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out ou nos links obrigatórios.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém o inventário de cookies sincronizado com o documento.

## Como a AdOpt ajuda com a Política de Cookies sob a CPRA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não necessários antes do aceite, apresenta categorias com descrições claras, honra o GPC automaticamente, e documenta cada interação para fins de auditoria.

A integração com o link "Do Not Sell or Share My Personal Information" garante que opt-outs sejam processados automaticamente e que os rastreadores correspondentes sejam desativados.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a CPRA

**Link visível** no rodapé do site e no aviso de cookies.

**Listagem das categorias de cookies** com descrição do que cada uma faz no site.

**Finalidade específica para cada categoria**, incluindo se configura venda ou compartilhamento (Civil Code § 1798.100).

**Identificação de cookies que configuram "compartilhamento"** para publicidade comportamental cruzada (Civil Code § 1798.140(ah)).

**Categorias de terceiros** que recebem dados via cookies, incluindo plataformas de publicidade (Civil Code § 1798.130).

**Período de retenção** de cada categoria de cookie (Civil Code § 1798.130 a(5)(A)).

**Link "Do Not Sell or Share My Personal Information"** visível na homepage e em páginas de coleta de dados (Civil Code § 1798.120).

**Link "Limit the Use of My Sensitive Personal Information"** se SPI é coletada via cookies (Civil Code § 1798.121).

**Reconhecimento e honra do GPC** como opt-out válido.

**Proteção para menores de 16 anos**: opt-in obrigatório para venda e compartilhamento via cookies de publicidade.

**Regra dos 12 meses** após recusa de menores de 16 anos.

**Idioma acessível**, sem juridiquês.

**Ausência de múltiplas etapas desnecessárias** para exercer opt-out.

## FAQ: CPRA e Política de Cookies

**1. O que é "compartilhamento" de dados sob a CPRA e por que é diferente de "venda"?**
A CCPA usava apenas o conceito de "venda" de dados (troca por contraprestação monetária). A CPRA adicionou o "compartilhamento", definido em Civil Code § 1798.140(ah) como a divulgação de dados pessoais a terceiros para fins de publicidade comportamental cruzada entre sites, independentemente de haver pagamento direto. Isso significa que quando o Meta Pixel envia dados do comportamento do visitante no seu site para o Meta, isso pode configurar "compartilhamento" sob a CPRA mesmo que a empresa não receba dinheiro especificamente por esses dados. A CPRA exige opt-out tanto de venda quanto de compartilhamento.

**2. O GPC é obrigatório para sites que atendem consumidores da Califórnia?**
Sim, na prática. A CPPA confirmou que o GPC constitui uma forma válida de exercer o opt-out de venda e compartilhamento de dados pessoais sob a CPRA. Isso significa que, se um visitante chega ao seu site com o GPC ativado no navegador, o site é obrigado a tratar esse sinal como um opt-out de venda e compartilhamento. Ignorar o GPC pode configurar violação da CPRA. Uma CMP bem configurada detecta e honra o GPC automaticamente.

**3. Cookies de analytics como o Google Analytics configuram "compartilhamento" sob a CPRA?**
Depende de como o provedor usa os dados. Se o Google Analytics apenas gera relatórios de uso para a empresa que instalou a ferramenta, pode ser configurado como prestador de serviços sem constituir "compartilhamento". Se os dados são usados pelo Google para seus próprios fins de publicidade ou para fornecer serviços de publicidade a outros anunciantes, pode configurar compartilhamento. A Google oferece configurações de privacy-safe no GA4 que podem reduzir esse risco. A abordagem mais segura é oferecer opt-out e consultar um especialista para avaliar a configuração específica.

**4. O que precisa mudar na Política de Cookies para adequar da CCPA para a CPRA?**
As principais mudanças são: substituir referências à "venda" de dados para incluir "venda e compartilhamento"; adicionar descrição do que configura compartilhamento para publicidade comportamental cruzada; atualizar o link de opt-out de "Do Not Sell My Personal Information" para "Do Not Sell or Share My Personal Information"; adicionar o link "Limit the Use of My Sensitive Personal Information" se SPI é coletada via cookies; incluir períodos de retenção para cada categoria de cookie; e adicionar menção ao GPC como forma válida de opt-out.

**5. Se um menor de 16 anos recusar consentimento para cookies de publicidade, o que a empresa pode fazer?**
Pode manter os cookies estritamente necessários ativos, pois esses não requerem consentimento. Deve desativar todos os cookies de publicidade e compartilhamento. E deve aguardar 12 meses antes de solicitar consentimento para cookies de publicidade novamente. Essa regra dos 12 meses é um dos elementos mais específicos da CPRA em comparação com outras leis estaduais americanas e europeia.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CPRA: Política de Cookies

Um residente da Califórnia acessa o seu site, consome seu conteúdo, e em algum momento decide exercer os direitos que a lei garante a ele. Quer saber o que você tem sobre ele. Quer corrigir uma informação. Quer que você pare de compartilhar seus dados com redes de publicidade.

Esta página cobre uma parte do quadro. Para o escopo completo da CPRA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPRA e cookies](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber/).

## O que fazer a partir daí?

A California Privacy Rights Act (CPRA) define com precisão o que precisa acontecer: o canal para receber a solicitação, os prazos para responder, o que é gratuito e o que não é, e o que acontece quando a empresa não cumpre.

A grande novidade em relação à CCPA original: o direito de correção de dados, o direito de limitar o uso de informações pessoais sensíveis, e multas automáticas triplicadas para violações envolvendo menores de 16 anos.

Este artigo cobre tudo isso.

## O que é uma DSAR sob a CPRA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. É qualquer pedido formal de um consumidor californiano para exercer os direitos que a CPRA garante sobre os próprios dados.

Conforme Civil Code § 1798.130, o consumidor exerce seus direitos por meios estabelecidos pelo negócio e descritos na política de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a lógica é familiar. A CPRA adiciona novos direitos e reforça as proteções para menores.

## Quais são os direitos dos consumidores sob a CPRA?

Conforme o Civil Code § 1798.100 a § 1798.125, os residentes da Califórnia têm os seguintes direitos:

### Direito de saber

O consumidor pode solicitar que a empresa informe:

As categorias de informações pessoais coletadas sobre ele.

As categorias específicas de fontes de onde as informações foram coletadas.

A finalidade comercial ou de negócios para coletar, vender ou compartilhar as informações.

As categorias de terceiros para os quais a empresa divulga as informações.

As informações pessoais específicas coletadas sobre o consumidor.

### Direito de acesso

O consumidor pode obter uma cópia das informações pessoais específicas que a empresa coletou nos últimos 12 meses (Civil Code § 1798.100(a)).

### Direito de exclusão

O consumidor pode solicitar a exclusão de suas informações pessoais, com algumas exceções (Civil Code § 1798.105). As exceções incluem: completar a transação, segurança, debugging, pesquisa interna, e compliance legal.

### Direito de correção

Este é um direito novo que a CCPA não tinha (Civil Code § 1798.106). O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas que mantém sobre ele, considerando a natureza das informações e os propósitos do processamento.

### Direito de portabilidade

O consumidor pode obter as informações pessoais em formato portátil e utilizável (Civil Code § 1798.100(a)).

### Direito de opt-out de venda e compartilhamento

O consumidor pode recusar a venda de informações pessoais e o compartilhamento para publicidade comportamental cruzada entre sites (Civil Code § 1798.120). Esse direito é exercido pelo link "Do Not Sell or Share My Personal Information".

### Direito de limitar o uso de SPI

Este é outro direito novo da CPRA (Civil Code § 1798.121). O consumidor pode limitar o uso e a divulgação de suas informações pessoais sensíveis a finalidades essenciais: fornecer o produto ou serviço solicitado, segurança e integridade, e compliance legal. Esse direito é exercido pelo link "Limit the Use of My Sensitive Personal Information".

### Direito de não discriminação

A empresa não pode discriminar consumidores que exercem seus direitos, incluindo negar produtos, cobrar preços diferentes, ou oferecer qualidade inferior (Civil Code § 1798.125).

## Quais são os prazos para responder?

Conforme Civil Code § 1798.130(a)(2):

**45 dias** para responder a partir do recebimento da solicitação verificada.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

**Gratuito até 2 vezes por ano** por consumidor. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável, demonstrando o caráter repetitivo.

O prazo de 45 dias é igual para solicitações de saber/acesso, exclusão, correção, portabilidade, e para confirmação de que opt-outs e limitações foram aplicados.

## O processo de opt-out: sem barreiras

A CPRA é explícita: a empresa não pode exigir que o consumidor crie uma conta ou passe por mais de dois passos para exercer o opt-out de venda e compartilhamento (Civil Code § 1798.120(c)).

O processo de opt-out precisa:

Ser direto e acessível pelo link "Do Not Sell or Share My Personal Information".

Não exigir criação de nova conta.

Não passar por mais de dois passos até a confirmação do opt-out.

Honrar o Global Privacy Control (GPC) como forma válida de opt-out.

Ser gratuito.

## O processo de solicitação: autenticação razoável

Para solicitações de acesso, exclusão, correção e portabilidade, a empresa pode verificar a identidade do consumidor usando métodos razoavelmente projetados para verificar que a pessoa que faz a solicitação é o consumidor sobre quem os dados foram coletados (Civil Code § 1798.130(a)(2)).

A verificação precisa ser proporcional ao tipo de dado envolvido. Para dados de baixo risco, uma confirmação por e-mail pode ser suficiente. Para dados mais sensíveis, pode ser justificado um segundo fator de verificação.

O que nunca é aceitável: exigir mais informações do que o necessário para verificar a identidade, ou criar processos deliberadamente trabalhosos para desencorajar solicitações.

A empresa não pode exigir que o consumidor forneça sua senha para exercer seus direitos.

## Agentes autorizados

O consumidor pode designar um agente autorizado para submeter solicitações em seu nome (Civil Code § 1798.130(a)(2)(C)).

Para solicitações de opt-out: a empresa deve respeitar a solicitação do agente autorizado se o consumidor deu ao agente autorização por escrito assinada, ou mediante verificação razoável da identidade do consumidor e da autoridade do agente.

O Global Privacy Control (GPC) funciona como uma forma de agente autorizado tecnológico: ao ativar o GPC, o consumidor está designando sua configuração de navegador como agente para transmitir o opt-out.

## O que acontece quando o controlador nega uma solicitação?

A empresa pode negar quando:

Não consegue verificar a identidade do consumidor.

A solicitação se aplica a informações coletadas antes de janeiro de 2022 (para o enforcement da CPRA, exceto direito de acesso).

Há exceção legal que justifica a retenção.

Em todos os casos, a recusa precisa ser comunicada ao consumidor, com:

Justificativa da recusa.

Informação de como apelar da decisão ou contatar a CPPA para registrar reclamação.

## Proteção especial para menores de 16 anos

A CPRA tem regras específicas para menores que afetam diretamente o Portal do Titular.

Para menores de 16 anos, a empresa não pode vender ou compartilhar dados pessoais sem opt-in ativo. Se a empresa receber um DSAR de opt-out de um menor de 16 anos, isso é irrelevante porque o opt-in nunca deveria ter ocorrido sem permissão.

Se um menor de 16 anos recusou ou revogou o opt-in, a empresa deve aguardar 12 meses antes de solicitar novamente o consentimento para venda ou compartilhamento.

Para menores de 13 anos, o consentimento foi dado pelos pais ou responsáveis. DSARs de menores de 13 anos precisam ser processados em conjunto com os pais ou responsáveis.

As penalidades por violações envolvendo dados de menores de 16 são triplicadas e automáticas: até **US$ 7.500 por violação**, sem necessidade de provar intencionalidade.

## O direito de ação privada: o diferencial da CPRA

A CPRA preserva e expande o direito de ação privada que a CCPA introduziu. Esse é um diferencial importante em relação a outras leis estaduais americanas como VCDPA, OCPA e CTDPA, que não têm direito de ação privada.

O consumidor pode processar diretamente a empresa quando há uma violação de segurança de dados não autorizada que resulte em acesso, roubo, divulgação, uso, modificação ou destruição não autorizados de informações pessoais não criptografadas e não redactadas nas categorias específicas definidas pela lei.

O dano mínimo é de **US$ 100 a US$ 750 por consumidor por incidente**, ou o dano real, o que for maior. Ações coletivas são permitidas.

## Proteção contra discriminação

Civil Code § 1798.125 proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade, recompensas, funcionalidades premium ou descontos onde a diferença está razoavelmente relacionada ao valor que os dados representam para a empresa, desde que o consumidor participe voluntariamente.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação e direito exercido.

Processo de verificação de identidade realizado.

Ação tomada (cumprida, recusada, ou alternativa adotada).

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out de venda e compartilhamento, e limitação de uso de SPI, com timestamp e identificador único. Quando o consumidor exerce o opt-out pelo link no site ou via GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para a CPPA. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CPRA

**Canal de submissão de solicitações** descrito na política de privacidade (Civil Code § 1798.130).

**Link "Do Not Sell or Share My Personal Information"** visível na homepage e em páginas de coleta (Civil Code § 1798.120).

**Link "Limit the Use of My Sensitive Personal Information"** se SPI é coletada (Civil Code § 1798.121).

**GPC honrado** como forma válida de opt-out de venda e compartilhamento.

**Cobertura de todos os direitos**: saber, acesso, exclusão, correção, portabilidade, opt-out de venda/compartilhamento, limitação de SPI, não discriminação.

**Direito de correção** descrito com processo e prazo de 45 dias (Civil Code § 1798.106).

**Direito de limitação de SPI** descrito com processo e prazo de 45 dias (Civil Code § 1798.121).

**Opt-out sem múltiplas etapas desnecessárias** (máximo 2 passos até confirmação).

**Agentes autorizados** aceitos para submissão de solicitações (Civil Code § 1798.130 a(2)(C)).

**Prazos**: 45 dias para resposta (+45 ext.); para apelações, prazo razoável.

**Gratuidade** para até 2 solicitações por ano por consumidor (Civil Code § 1798.130 a(3)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Proteção para menores de 16 anos**: opt-in obrigatório para venda/compartilhamento.

**Regra dos 12 meses** após recusa de menores de 16 anos.

**Informação sobre CPPA** para registrar reclamações em caso de negativa.

## Comparativo: prazos do Portal do Titular na CPRA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Saber, acesso, exclusão, correção, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out de venda e compartilhamento | Sem prazo específico | Imediato recomendado |
| Limitação de uso de SPI | Sem prazo específico | Imediato recomendado |
| Gratuidade por ano | 2 vezes por consumidor | Taxa razoável a partir da 3ª |

## FAQ: CPRA e Portal do Titular

**1. Qual é o novo direito de correção de dados da CPRA e como o Portal do Titular precisa contemplá-lo?**
O direito de correção (Civil Code § 1798.106) foi adicionado pela CPRA e não existia na CCPA. Permite que o consumidor solicite a correção de informações pessoais imprecisas mantidas pela empresa. O Portal do Titular precisa ter uma opção específica para solicitar correção de dados, descrever o processo de verificação e correção, e responder dentro de 45 dias informando se a correção foi realizada ou justificando por que não foi possível. A empresa pode manter os dados originais se acreditar que são precisos, mas deve registrar a solicitação de correção e comunicar ao consumidor.

**2. Como funciona o direito de limitar o uso de informações pessoais sensíveis (SPI)?**
O direito de limitação de SPI (Civil Code § 1798.121) permite que o consumidor instrua a empresa a limitar o uso de suas informações pessoais sensíveis a finalidades essenciais: fornecer o produto ou serviço solicitado, segurança, debugging, pesquisa interna e compliance. O Portal do Titular precisa ter um mecanismo para receber essa solicitação, ou a empresa deve disponibilizar o link "Limit the Use of My Sensitive Personal Information" que leva a uma página onde esse direito pode ser exercido sem múltiplas etapas.

**3. Por que o GPC é uma forma válida de opt-out sob a CPRA?**
A CPPA confirmou em suas orientações que o Global Privacy Control (GPC) é uma forma tecnológica de opt-out de venda e compartilhamento de dados pessoais válida sob a CPRA. Ao ativar o GPC, o consumidor está instruindo automaticamente cada site visitado a não vender ou compartilhar seus dados. Ignorar o GPC quando um visitante o tem ativado equivale a ignorar um opt-out explícito, o que configura violação da CPRA. Uma CMP bem configurada detecta o GPC e bloqueia automaticamente os rastreadores de publicidade para visitantes que o têm ativado.

**4. A CPRA tem direito de apelação para consumidores que tiveram solicitações negadas?**
A CPRA não tem um processo de apelação formal e estruturado como a OCPA e a CTDPA. Quando a empresa nega uma solicitação, deve informar ao consumidor que pode registrar uma reclamação junto à California Privacy Protection Agency (CPPA). O processo de reclamação na CPPA é a principal via de recurso para consumidores cujas solicitações foram negadas sem justificativa adequada.

**5. Como o Portal do Titular deve lidar com solicitações de pais em nome de filhos menores?**
Para menores de 13 anos, os pais ou responsáveis legais são os detentores do direito de consentimento. Um DSAR submetido por um pai em nome de um filho menor de 13 anos deve ser processado da mesma forma que uma solicitação do próprio consumidor, após verificação razoável da relação entre pai/responsável e a criança. Para adolescentes de 13 a 15 anos, a empresa pode exigir que o próprio adolescente submeta a solicitação, já que a lei reconhece a capacidade do adolescente de exercer seus próprios direitos, enquanto o opt-in para venda/compartilhamento permanece necessário.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CPRA: DSAR e Portal do Titular

A Iowa Consumer Data Protection Act (ICDPA, Iowa Code § 715D) tem os prazos mais longos de todas as leis estaduais americanas para o processo de DSAR.

Esta página cobre uma parte do quadro. Para o escopo completo da ICDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da ICDPA e cookies](https://goadopt.io/blog/iowa-icdpa-e-cookies-tudo-o-que-voce-precisa-saber/).

**90 dias** para responder a uma solicitação. **+45 dias** de extensão possível. **60 dias** para responder a uma apelação. **90 dias** de cure period garantido antes de qualquer ação do AG.

Para quem já estruturou portais para VCDPA, OCPA ou CTDPA com prazo de 45 dias, a ICDPA exige um processo com capacidade de resposta menor, o que pode parecer mais fácil operacionalmente. Mas os direitos cobertos são também mais restritos: sem correção de dados, sem opt-out de perfilamento, e exclusão limitada a dados fornecidos pelo consumidor.

Este artigo cobre tudo o que você precisa saber.

## O que é uma DSAR sob a ICDPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um consumidor residente do Iowa para exercer os direitos que a ICDPA garante sobre os próprios dados.

Conforme § 715D.3(1), o consumidor exerce seus direitos submetendo solicitação ao controlador, pelos meios especificados pelo controlador no aviso de privacidade.

## Quais são os direitos dos consumidores sob a ICDPA?

Conforme § 715D.3(1), os residentes do Iowa têm quatro direitos:

### 1. Confirmação e acesso

O consumidor pode confirmar se o controlador está processando seus dados pessoais e acessar esses dados (§ 715D.3(1)(a)).

### 2. Exclusão

O consumidor pode solicitar a exclusão dos dados pessoais que forneceu ao controlador (§ 715D.3(1)(b)).

**Escopo limitado:** como na UCPA, a ICDPA limita o direito de exclusão a dados que o consumidor forneceu. Dados obtidos de terceiros, data brokers, listas externas, e dados derivados não precisam ser excluídos por força da ICDPA.

Isso é diferente de leis como OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte.

### 3. Portabilidade

O consumidor pode obter cópia dos dados em formato portátil e utilizável, quando tecnicamente praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 715D.3(1)(c)).

O escopo também é limitado a dados que o consumidor forneceu ao controlador.

### 4. Opt-out da venda

O consumidor pode recusar a venda de dados pessoais (§ 715D.3(1)(d)).

**Importante:** embora o opt-out de publicidade direcionada não seja listado como direito formal em § 715D.3, a Seção § 715D.4(6) exige que o controlador ofereça opt-out de publicidade direcionada como parte das obrigações de transparência. Na prática, o Portal do Titular precisa aceitar solicitações de opt-out de publicidade direcionada também.

### O que a ICDPA não tem

Sem direito de correção de dados imprecisos (igual à UCPA).

Sem opt-out formal de perfilamento.

Exclusão limitada a dados fornecidos pelo consumidor.

## Prazos: os mais longos de todas as leis estaduais

Conforme § 715D.3(2):

**90 dias** para responder a partir do recebimento da solicitação (§ 715D.3(2)(a)).

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor dentro do prazo inicial.

Se o controlador suspeitar que a solicitação é fraudulenta, pode afirmar apenas que não conseguiu autenticar, sem precisar detalhar a razão (§ 715D.3(2)(b)).

**Gratuidade: 2 vezes por ano** por consumidor (§ 715D.3(2)(c)). A partir da terceira solicitação no mesmo período de 12 meses, o controlador pode cobrar taxa razoável ou recusar se a solicitação for manifestamente infundada, excessiva, repetitiva, tecnicamente inviável, ou se o objetivo principal não for exercer um direito. O ônus de demonstrar o caráter excessivo é do controlador.

## O processo de apelação: 60 dias

Conforme § 715D.3(3), o controlador precisa estabelecer um processo de apelação. O processo precisa ser conspicuamente disponível e similar ao processo de submissão original.

Dentro de **60 dias** do recebimento de uma apelação, o controlador deve informar o consumidor por escrito de qualquer ação tomada ou não tomada, com explicação escrita dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online para contatar o Attorney General e registrar reclamação (§ 715D.3(3)).

## Autenticação

Conforme § 715D.3(2)(d), se o controlador não conseguir autenticar a solicitação usando esforços comercialmente razoáveis, não é obrigado a cumprir. Pode solicitar informações adicionais razoavelmente necessárias para autenticar.

Em caso de suspeita de fraude, o controlador pode simplesmente informar que não conseguiu autenticar, sem precisar detalhar por que acredita que a solicitação é fraudulenta (§ 715D.3(2)(b)).

A ICDPA não tem regra especial de autenticação para opt-out, diferente da OCPA que proíbe exigir autenticação para opt-out de publicidade direcionada.

## Como deve ser o canal para submissão de solicitações

Conforme § 715D.4(7), o controlador deve estabelecer meios seguros e confiáveis para submissão de solicitações, e descrevê-los no aviso de privacidade.

Esses meios precisam:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir autenticação da identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta para exercer direitos. Pode exigir uso de conta existente.

Um Portal do Titular bem estruturado para a ICDPA inclui:

Formulário com os quatro direitos (confirmação/acesso, exclusão, portabilidade, opt-out de venda), mais opt-out de publicidade direcionada conforme § 715D.4(6).

Processo de verificação de identidade proporcional.

Confirmação de recebimento.

Registro da solicitação e da resposta.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências sejam refletidas nos sistemas da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e confirmação

Receba e autentique com esforços comercialmente razoáveis.

Confirme se os dados do consumidor estão sendo processados.

Localize os dados pessoais relevantes nos sistemas.

Responda dentro de 90 dias.

### Solicitação de exclusão

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Verifique se há exceção legal.

Exclua os dados identificados dos sistemas.

**Nota:** dados que o controlador obteve de fontes externas não precisam ser excluídos sob a ICDPA.

### Solicitação de portabilidade

Receba e autentique.

Identifique os dados que o consumidor forneceu diretamente.

Prepare em formato portátil e utilizável.

Entregue ao consumidor dentro de 90 dias.

### Opt-out de venda de dados

Receba pelo canal designado.

Autentique.

Cesse a venda dos dados do consumidor.

Informe dentro de 90 dias.

### Opt-out de publicidade direcionada

Receba pelo canal designado (obrigação por § 715D.4(6)).

Autentique.

Atualize os sistemas de rastreamento para cessar publicidade direcionada.

Informe o consumidor.

## O que acontece quando o controlador nega uma solicitação?

Conforme § 715D.3(2)(b), o controlador que decidir não agir deve informar o consumidor sem demora indevida, com:

Justificativa para não tomar ação (exceto em caso de fraude suspeita, onde pode apenas informar que não conseguiu autenticar).

Instruções sobre como apelar da decisão.

O processo de apelação precisa resultar em resposta por escrito dentro de **60 dias**. Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General online.

## Proteção de crianças

Conforme § 715D.3(1), os pais ou responsáveis legais de crianças conhecidas (menores de 13 anos) podem exercer os direitos em nome da criança.

Para dados de crianças, a empresa precisa cumprir a COPPA (§ 715D.2(2)(r) e 715D.4(2)), incluindo consentimento parental verificável.

## Proteção contra discriminação

Conforme § 715D.4(3), a empresa não pode discriminar consumidores que exercem seus direitos. Isso inclui negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários e situações onde o opt-out de publicidade direcionada justifica ajuste de preço.

## O cure period de 90 dias e os DSARs

Antes de iniciar qualquer ação, o AG deve notificar o controlador e conceder **90 dias para correção** (§ 715D.8(2)).

Empresas sem processo estruturado para DSARs têm mais tempo para corrigir sob a ICDPA do que sob outras leis (VCDPA: 30 dias, UCPA: 30 dias, OCPA: eliminado). Mas o cure period é uma garantia, não uma estratégia de conformidade.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de venda ou publicidade direcionada, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para o Attorney General do Iowa.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a ICDPA

**Canal de submissão de solicitações** descrito no aviso de privacidade (§ 715D.4(7)).

**Cobertura dos 4 direitos**: confirmação/acesso, exclusão (dados fornecidos pelo consumidor), portabilidade, opt-out de venda.

**Opt-out de publicidade direcionada** (obrigação de transparência, § 715D.4(6)).

**Ausência de exigência de nova conta** para exercer direitos.

**Prazo de 90 dias** para resposta (+45 ext. com notificação) (§ 715D.3(2)(a)).

**Autenticação com esforços comercialmente razoáveis** (§ 715D.3(2)(d)).

**Gratuidade para 2 solicitações** por ano por consumidor (§ 715D.3(2)(c)).

**Processo de apelação** conspicuamente disponível (§ 715D.3(3)).

**Prazo de 60 dias** para resposta a apelações (§ 715D.3(3)).

**Mecanismo para contatar o AG** se apelação for negada (§ 715D.3(3)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Pais/responsáveis** podem exercer direitos por crianças conhecidas (§ 715D.3(1)).

**Proteção contra discriminação** (§ 715D.4(3)).

## Comparativo: prazos do Portal do Titular na ICDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, exclusão, portabilidade | 90 dias | +45 dias com notificação |
| Opt-out de venda de dados | 90 dias | +45 dias com notificação |
| Apelação de decisão | 60 dias | Não especificado |
| Cure period para violações | 90 dias garantidos | Não há extensão |

## FAQ: ICDPA e Portal do Titular

**1. Por que o prazo de 90 dias da ICDPA é o mais longo de todas as leis estaduais americanas?**
A ICDPA foi aprovada pelo legislativo do Iowa com foco em reduzir a carga operacional sobre as empresas. O § 715D.3(2)(a) estabelece 90 dias como prazo padrão, o dobro dos 45 dias adotados pela maioria das outras leis estaduais. Isso reflete uma filosofia legislativa similar à UCPA do Utah: proteger consumidores sem criar obrigações excessivamente onerosas. Na prática, empresas com múltiplas jurisdições ainda precisarão processar solicitações dentro dos prazos mais curtos das outras leis, o que torna o prazo de 90 dias da ICDPA mais um teto legal do que um alvo operacional.

**2. O consumidor pode solicitar opt-out de publicidade direcionada como direito formal sob a ICDPA?**
Não como direito formal listado em § 715D.3. O opt-out formal de direito cobre apenas venda de dados em § 715D.3(1)(d). No entanto, o § 715D.4(6) exige que, se o controlador realiza publicidade direcionada, divulgue isso e descreva como o consumidor pode exercer o opt-out. Na prática, o Portal do Titular deve aceitar e processar essas solicitações como parte das obrigações de transparência, mesmo que a base legal seja diferente da do opt-out de venda.

**3. Por que o direito de exclusão da ICDPA é mais restrito do que na OCPA?**
O § 715D.3(1)(b) limita o direito de exclusão a dados "pessoais fornecidos pelo consumidor ao controlador." Isso exclui dados obtidos de terceiros, dados inferidos e dados derivados. A OCPA exige exclusão de dados fornecidos pelo consumidor, obtidos de outras fontes, e dados derivados. Essa diferença é significativa: sob a ICDPA, uma empresa que comprou dados de um data broker não precisa excluir esses dados por força da lei se receber uma solicitação de exclusão do consumidor em questão.

**4. Quão longa é a apelação de 60 dias da ICDPA em comparação com outras leis?**
A apelação de 60 dias da ICDPA (§ 715D.3(3)) é igual ao da VCDPA e da CTDPA, ambas com 60 dias. A OCPA estabelece 45 dias para apelações. A UCPA não tem processo formal de apelação estruturado. Em termos de prazo, a ICDPA está alinhada com as leis mais tradicionais do leste americano.

**5. O que acontece se o controlador não tiver processo estruturado de DSAR quando o Attorney General investigar?**
O AG notifica o controlador e concede 90 dias para correção (§ 715D.8(2)). Esse prazo de 90 dias é garantido e é o mais longo entre as leis estaduais. Se o controlador corrigir e fornecer declaração escrita expressa, nenhuma ação é iniciada. Se não corrigir ou descumprir a declaração, o AG pode buscar penalidades de até US$ 7.500 por violação (§ 715D.8(3)). Não há direito de ação privada (§ 715D.8(4)).

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


IOWA ICDPA: DSAR e Portal do Titular

Voltamos ao assunto do momento, caros leitores e leitoras do blog da AdOpt.
 
Em 25 de agosto de 2026, a Autoridade Nacional de Proteção de Dados publicou o Despacho Decisório nº 27/2026 e aplicou ao TikTok multa de R$153.769.671,33. A decisão também determinou a eliminação dos dados de adolescentes entre 13 e 18 anos sem representação legal regularizada em 60 dias úteis, além da comunicação dessa exclusão a todos os terceiros com quem esses dados foram compartilhados.
 
Já escrevemos por aqui sobre a decisão em si. Agora queremos olhar para ela por um ângulo mais específico: **o de [quem tem uma loja virtual](https://goadopt.io/blog/ecommerce-brasil-e-lgpd-guia-completo-para-se-adequar-e-vender-mais/).**
 
### **Você pode estar se perguntando:** 
 
Mas a minha loja não é uma rede social, o que o caso TikTok tem a ver com o meu negócio? 
A relação não está nos vídeos de dancinhas. Está na forma como se coletam dados de quem apenas navega pelo site, sem se cadastrar, e na [base legal](https://goadopt.io/blog/bases-legais-da-lgpd/) usada para justificar essa coleta. E é aqui que as semelhanças com o caso TikTok começam chamar a atenção.
 
### **O ponto que liga o TikTok à sua loja virtual**
 
Boa parte da análise da ANPD recaiu sobre o chamado feed sem cadastro, a experiência oferecida a quem usa o aplicativo sem criar conta. Mesmo sem login, a plataforma coletava interações com os vídeos, configurações do dispositivo, idioma, país e fuso horário.
 
 

A empresa alegou que não havia identificação dos usuários, apenas cálculos numéricos com dados estatísticos de navegação, usados para recomendar vídeos. A ANPD não aceitou o argumento. Entendeu que essas informações são dados pessoais e que a prática configura, sim, formação de perfil comportamental.
 
 

Agora o passe de mágica. Substitua feed sem cadastro por visitante não logado. Substitua recomendação de vídeos por vitrine personalizada, remarketing e anúncio. É isso que acontece em praticamente todo e-commerce brasileiro, todos os dias, por meio da [coleta de dados via cookies](https://goadopt.io/blog/cookies-e-lgpd/).
 
 

A decisão da ANPD não é especificamente sobre cookies, mas sobre o tratamento de dados de crianças e adolescentes. Os [princípios da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) foram apenas aplicados para as atividades do TikTok. Esses mesmos princípios valem para o seu site e é por isso que ela exige atenção de quem vende online.
 
## Cinco alertas de risco que a decisão traz para o seu e-commerce
 
**Escolher a base legal no piloto automático**
O TikTok entrega conteúdo personalizado a partir da base legal de execução de contrato, o inciso V do artigo 7º da LGPD. A ANPD rejeitou: a hipótese exige que o titular seja parte do contrato e alcance apenas o que é estritamente necessário ao núcleo dele. E quem usa o TikTok sem cadastro não tem um contrato com a plataforma.
 
 

No e-commerce, o erro equivalente é classificar cookies de publicidade, remarketing e medição de audiência como necessários, ou acomodá-los no legítimo interesse sem estudo prévio e sem documentação que sustente a escolha. Para cookies não necessários, a base adequada é o consentimento, o inciso I do mesmo artigo 7º.
 
 
 
Vale lembrar que a LGPD tem dez hipóteses legais e o consentimento é apenas uma delas. A escolha certa para cada finalidade de tratamento é o fundamental para qualquer empresa que pretende estar adequada. Para saber mais, confira o artigo que escrevemos em detalhe sobre as [bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/).
 
 
 
 
**Coletar antes de perguntar**
Se a coleta acontece no instante em que a página abre, ela já aconteceu antes de qualquer manifestação do titular. E [consentimento](https://goadopt.io/blog/consentimento-site-lgpd/) obtido depois não valida o tratamento de dados feito antes da autorização do titular.
 
 

Conforme a decisão da ANPD, esse erro vai custar mais de R$ 63 milhões de reais e se refere justamente à violação do princípio da prevenção, o inciso VIII do artigo 6º da LGPD.
 
Repare no que foi decidido pela ANPD: não basta ter a intenção de respeitar a escolha do visitante. É preciso que o site esteja organizado para que nada desnecessário aconteça antes dela. Prevenção não é promessa, depende de ações práticas.
 
Quer saber o que a sua loja coleta antes de qualquer clique do visitante? [Converse com a nossa equipe](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria).
 
 
 

**Não conseguir provar o que foi feito**
Outra parte da [multa](https://goadopt.io/blog/multas-na-lgpd/) aplicada, a bagatela de mais de R$ 27 milhões de reais, veio da violação ao princípio da responsabilização e prestação de contas, o inciso X, do artigo 6º da LGPD. A decisão exigiu a apresentação de um relatório técnico com registros de auditoria assinado pelo [Encarregado](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), sob pena de multa diária.
 
A pergunta que fica é direta: se a ANPD pedir hoje, você consegue demonstrar quem consentiu, quando, para quais finalidades e o que aconteceu a partir disso?
 
Se a resposta for “não”, ou uma narrativa em vez de um registro, o problema não é jurídico, é de estrutura. 
 
 
 

**O efeito cascata dos terceiros**
A ANPD determinou que o TikTok agora deve comunicar a obrigação de exclusão a todos os parceiros com quem compartilhou dados, e que comprove essa comunicação.
 
Pense na sua empresa por um instante. Sua loja virtual compartilha dados com plataformas de anúncio, ferramentas de análise, CRM, régua de e-mail, canal de venda. Se a base legal cai, é preciso saber quais dados foram compartilhados, com quem foram compartilhados e o mais importante: avisar cada um dos parceiros sobre a necessidade de exclusão de dados.
 
 

Na prática, sabemos que esse plano de ação dificilmente foi estruturado e está organizado. E não é por desleixo. A operação de uma loja que vende muda toda semana: entra uma campanha, sai um parceiro, alguém instala uma ferramenta nova para testar por quinze dias e esquece de remover... o resultado é que as informações sobre compartilhamento de dados (ou seja, quem recebe dados da sua operação) precisa sair da cabeça do gestor e passar para o papel. 

 

Esses [processos internos precisam ser documentados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/).
 
 

Quem vende também em marketplace conhece a sensação de não saber exatamente onde termina a responsabilidade de um lado e começa a do outro. Já tratamos disso em [marketplace e adequação à LGPD](https://goadopt.io/blog/marketplace-vtex-e-lgpd-como-funciona-adequacao-e-protecao-de-dados/), e a conclusão é sempre a mesma: canal compartilhado não dilui responsabilidade, distribui.
 
 
 

**Público infantojuvenil e o “acesso provável” à plataforma**
O TikTok argumentou que menores de 13 anos não são autorizados pelos seus Termos de Uso. A ANPD entendeu que a simples proibição nos [termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/) da plataforma não impede o acesso de crianças e adolescentes e que o mecanismo de autodeclaração de idade é uma salvaguarda frágil, podendo ser burlada facilmente.
 
 

Um e-commerce voltado ao público infantojuvenil, como uma loja de brinquedos, games ou de moda infantil, deve ter especial atenção para atender as obrigações legais previstas no ECA Digital (Lei 15.211/2025), que alcança sites, aplicativos que ofertam produtos e serviços nos quais se pode presumir um “acesso provável” por menores de idade.
 
 

**O critério – note bem – não é apenas para quem você quis vender, mas também deve considerar o público que provavelmente vai chegar até a sua loja virtual.**
 
 

Quer entender onde a sua loja virtual está nisso hoje? [Fale com o nosso time e comece pelo diagnóstico](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria).
 
 
 

### **Três lições que ficam**
Aviso de cookies é declaração, e quem declara tem que provar
Como já dissemos por aqui: não basta dizer que faz. O [banner](https://goadopt.io/blog/banner-de-cookies/) é a promessa, é compromisso. O registro do consentimento é a prova de que o usuário do seu site tem conhecimento sobre o tratamento de dados pessoais. Sem registro íntegro e auditável, a sua empresa fica fragilizada perante uma fiscalização da ANPD.
 
 

É por isso que insistimos numa distinção que o mercado costuma ignorar. Um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) é o que o visitante vê. A infraestrutura de consentimento é o que sustenta aquilo: a varredura que descobre o que roda de verdade no seu domínio, incluindo o que alguém subiu no meio da campanha, o registro legal de cada escolha e a atualização conforme a lei e as exigências das plataformas mudam. Uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) séria é a segunda coisa. A primeira é apenas a janela.
 
 

**Rejeitar cookies precisa ser tão fácil quanto aceitar**
No [Guia Orientativo sobre cookies](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/), publicado em outubro de 2022, a ANPD orienta que o botão para rejeitar cookies não necessários seja de fácil visualização e que a revogação das autorizações dadas pelo titular seja viabilizada de forma gratuita e facilitada.
 
 

Todo consentimento obtido pelo cansaço não é livre. Portanto, não é autoriza o tratamento de dados pessoais, de acordo com o artigo 5º, XII, da LGPD (que define o consentimento como “manifestação livre, informada e inequívoca”).
 
 

O design do aviso de cookies é tão importante quanto o seu conteúdo, pois é ali que o titular visualiza e compreende como seus dados serão tratados. E isso traz impactos até mesmo na taxa de interação e aceite dos usuários do seu e-commerce.
 
 
 

**Transparência genérica traz falsa sensação de proteção**
O titular precisa saber a finalidade específica de cada cookie, o prazo de retenção e com quem os dados são compartilhados. Texto genérico não informa. E, sem informação, não existe consentimento informado.
 
 

Existe uma diferença prática entre informar e avisar. Avisar é dizer que você usa cookies. Informar é dizer para quê, por quanto tempo e com quem compartilha. O primeiro cumpre uma formalidade. O segundo é o que permite ao visitante decidir de verdade, e é só a decisão de verdade que serve como base legal.
 
 

Vale revisar a sua política de cookies e a sua [política de privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) com uma pergunta simples: esse documento descreve o que o meu site faz de fato, ou descreve o que eu gostaria que ele fizesse?
 
 
 

## **Todo cookie precisa de consentimento?**
Aqui vem a boa notícia: saber que boa parte do mercado peca pelo excesso.
 
 

Não, a sua loja não precisa pedir consentimento para todo e qualquer cookie. O Guia Orientativo da ANPD separa as coisas com clareza. Os cookies necessários são aqueles sem os quais a navegação do usuário simplesmente não funciona e que, portanto, não precisam de uma autorização para processamento (ou seja, não precisam de consentimento).
 
 

No e-commerce essa lista é fácil de reconhecer: o **cookie** que mantém o produto no carrinho quando o visitante muda de página, o que sustenta a sessão de quem fez login, o que garante o funcionamento dos fluxos de pagamento, o que protege contra fraudes no momento do envio de formulários, entre outros.
 
 

Esses cookies não dependem de consentimento. Existem outras bases legais que justificam o tratamento dos dados. Consequentemente, não é necessário permitir a recusa no aviso de cookies (até porque não faria sentido oferecer ao visitante a chance de desligar o próprio carrinho). O que você deve fazer é informar que eles existem e para que servem.
 
 

Se isso nunca foi pensado para a sua loja, [agende uma conversa com a AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria) e desenhe esses processos com quem faz isso todos os dias.
 
 

Já os cookies não essenciais são outra história: publicidade, remarketing, perfilamento, teste de vitrine, mapa de comportamento... esses cookies exigem, em regra, consentimento prévio. E é justamente essa fronteira que a maioria das lojas nunca desenhou com clareza.
 
Entender essa diferença é o que permite cumprir a LGPD, parar de coletar consentimento para tudo e passar a pedir autorização só para o que importa. 
 
 
 

**O visitante que não compra também é titular**
Se você levar só essa lição a partir desse artigo, já ficamos super felizes.
 
 

Cada visitante da sua loja virtual, mesmo sem se cadastrar ou fazer uma compra também é considerado um titular de dados pessoais se os cookies do seu site fazem o rastreamento da navegação do usuário.
 
 

Nesse ponto, o TikTok acabou sendo penalizado, pois a ANPD entendeu que a coleta de dados sobre o perfil comportamental de usuários (cadastrados ou não na plataforma) também configuram atos de tratamento de dado pessoal.
Por isso, entender as categorias de cookies, suas finalidades e separar corretamente quem são os titulares que serão impactados por cada tipo de cookie é fundamental para toda e qualquer loja virtual.
 
 
 

**Informação bônus: segundo pesquisa publicada no portal Voz do Consumidor 2024, da PwC, 90% dos entrevistados no Brasil apontaram a proteção dos seus dados pessoais como um dos fatores mais importantes para confiar em uma empresa.**
 
 

Seguir a LGPD não é apenas uma preocupação para evitar multas. É parte central da construção de relacionamento com o seu cliente, gerando confiança para o seu negócio. 
 
 
 

## **Perguntas frequentes**
 
#### **A decisão do caso TikTok significa que a ANPD vai multar e-commerces?**
Não é possível afirmar isso. O que a decisão mostra é que a ANPD pode vir a fiscalizar empresas – incluindo e-commerces – por motivos similares aos que levaram à aplicação de multa contra o TikTok, especialmente o tratamento de dados pessoais de crianças e adolescentes sem os cuidados exigidos na LGPD (princípios, bases legais, provas de registro do tratamento de dados).
 
#### **Minha loja precisa de consentimento para todos os cookies?**
Não. Cookies necessários ao funcionamento, como carrinho, sessão de login e fluxo de pagamento, se apoiam em outra base legal e não aparecem como opção recusável no aviso. Você deve informar que eles existem e para que servem. Cookies não essenciais, especialmente de publicidade e perfilamento, exigem em regra consentimento prévio, conforme o Guia Orientativo da ANPD sobre cookies.
 
#### **Visitante que não se cadastra e não compra também importa?**
Importa. A decisão do caso TikTok mostra que mesmo sem um login de cadastro, pode haver tratamento de dados pessoais de quem acessa e navega em um site. A ANPD entendeu que dados de navegação, dispositivo, idioma e localização e que o uso deles para formação de perfis comportamentais pode configurar tratamento sujeito à LGPD.
 
#### **O que a ANPD aceita como prova de consentimento?**
Registro, não descrição. A decisão contra o TikTok exigiu relatório técnico com registros de auditoria assinado pelo Encarregado, sob pena de multa diária. No caso de um e-commerce, o equivalente seria conseguir comprovar quem consentiu, em que data, para quais finalidades e sob qual versão do aviso, de forma íntegra e auditável.
 
#### **Uso ferramentas de terceiros na minha loja. De quem é a responsabilidade?**
Depende. Quem decide instalar uma ferramenta de terceiros na própria loja virtual, também responde pelo que acontece durante a coleta e tratamento de dados pessoais. O parágrafo 1º, do artigo 42 da LGPD prevê responsabilidade solidária entre agentes de tratamento pelos danos causados ao titular. Terceirizar a ferramenta não afasta responsabilidade.
 
A AdOpt é especializada em resolver dois problemas que o TikTok enfrentou e que o seu e-commerce também pode estar enfrentando: fazer do consentimento uma base legal adequada para o tratamento realizado via cookies, inclusive quando envolve crianças e adolescentes, e produzir as evidências desse tratamento, dando cumprimento ao princípio da prestação de contas.
 
Agora resta agir. Fale com o nosso time e entenda como a [AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria) pode ajudar a sua loja na jornada de adequação à LGPD.

Todos artigos