Uma vez que já temos o caminho dos dados dentro da sua empresa, precisamos destacar 2 aspectos da LGPD que vão te ajudar a determinar até onde vai a sua responsabilidade frente a tantos pontos listados na empresa. Estou falando da diferença entre Controlador e Operador de dados.

## Como determinar as diferenças entre as partes?

Um exemplo simples seriam os papéis entre uma empresa e sua agência de marketing. Neste caso a empresa seria o controlador e a agência o operador dos dados, pois, suas funções são distintas na cadeia de serviços e responsabilidades.

### Sempre se coloque no lugar do Titular dos Dados.

Por exemplo, quando ele for até um e-commerce comprar algum produto, na ótica dele, a quem ele está confiando os seus dados pessoais para realizar aquela compra?

Tem como ele saber se a agência recebe o lead e depois cadastra na ferramenta de e-mail marketing? Não. Isso então, faz do e-commerce o _controlador_ e da agência a _operadora_ dos dados. Logicamente cada um tem o seu papel perante a lei, mas, todos são corresponsáveis, em suas funções, para com os cuidados devidos aos dados dos titulares.

Assim sendo, no seu [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/), que falávamos a algumas linhas atrás; qual o seu papel: controlador ou o operador dos dados? Ou até mesmo, dependendo do seu modelo de negócios, os dois dependendo da etapa?

É importante que você destaque isso pois, assim como as suas responsabilidades são diferenciadas de acordo com o papel que você executa, a maneira como você vai conduzir uma solicitação de exclusão e, ou download dos dados é diferente. Pois, pode ser que você tenha os dados em mãos e também tenha e a capacidade para entrega-los aos titulares.

Mas, também pode acontecer que você só possa apontar ao controlador esse poder, afinal, você é apenas um elo na corrente, e não tem acesso aos dados diretamente, mas, a alguma criptografia que te dê apenas a visualização anonimizada destes.

## Mais exemplos entre Controlador e Operador de Dados - LGPD

Outros exemplos comuns onde há papeis diferentes, mas, uma corresponsabilidade clara para com os dados e seu uso,são:

### Empresa <> Contabilidade Terceira. Empresa Imobiliária <> Corretores Terceirizados. Fundo de Investimento <> Agentes Autônomos. E-commerce <> Empresas de Logística e serviços de entrega. Escritórios de Advocacia <> Dados de qualificação dos clientes e seus funcionários.

Enfim, acredito que esteja claro a importância de uma listagem precisa de todos os controladores e operadores de dados dentro do mapeamento da sua empresa. Com isso em mãos, é recomendável que você faça o link de todos os envolvidos no processo de acordo a sua política de privacidade e termos de uso.

Futuramente, podemos falar das obrigatoriedades prescritas na lei.

Mas, isso você também pode consultar diretamente com o seu advogado, ainda mais se você tiver alguma legislação que se sobreponha à LGPD.

Em nosso próximo artigo, adentramos as [responsabilidades do DPO ou Encarregado de Dados.](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) Te espero lá.

As diferenças entre Operador e Controlador dos Dados - LGPD

Com o Data Mapping entendemos à fundo as 5 etapas que todo e qualquer dado passa dentro de qualquer departamento de uma empresa, não importando o tamanho ou mercado. Novamente meu caro, não é preciso ser nenhum PhD em PMBOK ou Gestão de Projetos para entender essas etapas tão importantes! Pois, o Data Mapping e o Inventário de Dados se tornaram, uma das maiores ferramentas de trabalho dos DPOs!

O mercado hoje trouxe muita tecnologia e qualidade para esses processos! Não temos o que falar. Mas, meu objetivo aqui hoje é te ensinar a ver as coisas de maneira mais simples e objetiva, como de fato são **– um simples ordenamento dos fatos**, e isso já vai te ajudar.

Então, vamos lá!

Um conceito básico que vai nortear a sua compreensão daqui pra frente:

## **Com o agrupamento de processos temos um departamento.**

Logo, cada processo pode ser organizado em uma ordem, ou não, formando assim as rotinas dos departamentos.

Assim, para cada processo da sua empresa, os 5 pontos abaixo podem ser cumpridos total ou parcialmente.

São eles:

1. #### Motivação precisamos deste dado – Por quê?

2. #### 2.1 – Consentimento.

3. #### Processamento / Tratamento

    #### 1 – Compartilhamento interno entre as áreas e sistemas.

    #### 3.2 – Armazenamento para uso e consulta interna.

    #### 3.3 – Back-up.

4. #### Descarte

5. #### Fim do processo?

_E o que eu faço com esses 5 pontos acima?_

### **Preenche eles e estrutura essa lógica em todos os seus processos e consequentemente, departamentos.**

Sim, dá trabalho eu sei!

Mas, isso será extremamente valioso em caso de uma notificação da ANPD ou antes mesmo, no caso de um cliente ou visitante do seu site te pedir acesso aos dados que vocês eventualmente tenham sobre ele.

Lógico, e se você é uma “EUpresa”, ou tem pouquíssimos funcionários e processos tudo isso pode se resumir a 3, 4 sistemas (e-mail, automação de marketing, algum google drive e a contabilidade) pois, tudo está armazenado nestes lugares. Agora, imagina uma empresa com 500 funcionários em 10 cidades.

Lembre-se, de acordo com a LGPD qualquer titular pode bater na sua porta perguntando se você tem algum dado dele, e, você deve responder com agilidade.

Logo, sem o “mapa do tesouro” como você vai saber que o [zé@emailmaroto.com](mailto:zé@emailmaroto.com) se cadastrou na Newsletter, já comprou há 3 meses e foi seu funcionário há 5 anos atrás?

Neste exemplo acima, você teria que reportar para o “Zé” que você possui dados como:

\- Nome, E-mail, CPF, Telefone, Endereço, Carteira de Trabalho, Filiação (dados do RH) e compartilhamento com Google e Facebook.

Pelos motivos de:  
1- Contratação no passado, logo a legislação trabalhista te obriga a manter esses dados na contabilidade por X anos. Ou seja, mesmo que ele peça a exclusão você poderá negá-la, por força maior da outra legislação.

2 – Compra do produto X, Y, Z há 3 meses.  
Que também gerou o cadastro na newsletter (com o famoso “aceito receber promoções”). Da newsletter, você tem ele na lista de disparo para novos produtos e novidades do seu e-commerce, e todas as ferramentas de remarketing estão ligadas perseguindo-o diariamente por toda a internet, toda vez que ele entra pra ver os seus produtos.

Sendo assim, ele pode livremente te pedir a exclusão de todos os seus dados para fins de marketing. Isso vai te levar a uma ação que desencadeia diversas outras. São elas:

\- Apagar o e-mail e demais dados no CRM e ferramenta de disparo de e-mails.  
\- Distribuir a solicitação de Opt-out para eventuais sistemas que você esteja integrado e usem esses dados. [(sistema da logística e ERP, por exemplo)](https://www.nomus.com.br/erpindustrial/)
\- Remover ele do segmento de remarketing do Google e Facebook.  
\- Reportar em uma documentação oficial da empresa que os passos acima foram realizados prontamente.

(Para os clientes AdOpt, quando integrada ao Tag Manager a parte dos cookies fica bem mais fácil! Pois, no momento que o visitante não autoriza algum deles, a AdOpt já bloqueia esse disparo automaticamente!  
[Aqui um tutorial pra você!](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

Além disso, a requisição de um visitante na na página de opt-out já envia na mesma hora um e-mail pra você, com essa solicitação vinculando o e-mail do solicitante ao Cookie ID gerado no Opt-In.

Assim, você consegue já iniciar essa busca com um maior direcionamento caso o solicitante tenha te dado o consentimento a alguma ferramenta, e quando.

Entendeu agora a importância de um mapeamento dos processos da empresa?

Somente com tudo isso em mãos que você vai terá tranquilidade e, principalmente, facilidade de acessar a todos esses dados prontamente. Para algumas empresas cerca de 48, 72 horas (um prazo razoável para uma resposta...) dá e sobra, para outras é praticamente impossível.

Seja você ou o seu DPO contratado, nós não podemos parar a empresa a cada requisição que um visitante solicite. Com o Data Mapping em mãos, essa busca é muito mais rápida, direcionada e diria até automatizada, caso você use um software só pra isso.

Abaixo um detalhamento maior sobre cada um dos pontos do _Data Mapping_

1. **Motivação precisamos deste dado – Por quê?**

Se a LGPD ainda não despertou em você e na sua empresa uma reflexão real sobre a real necessidade dos dados pessoais em sua empresa, pare e faça isso o quanto antes.

    Sim! Muitas vezes, principalmente as áreas de Marketing e Vendas tem uma compulsão pela informação de qualificação e identificação dos _prospects_ e _leads_ para cada etapa do funil. É ótimo pegar o telefone e fechar os últimos detalhes da venda, ou abordar um cliente indeciso na surpresa e conseguir convencê-lo do valor do seu negócio.

    Mas, o ponto que destaco é: Repense as reais necessidades de acessar, processar e armazenar esses dados. Você não necessariamente precisa ter um excel com milhares de linhas dos seus clientes inativos de 5 anos atrás, na esperança de um dia reaquecer essa lista morta. À luz da LGPD seu risco já foi mensurado, será que ele vale a pena?

    [Nesse artigo deixo pra você 10 processos do marketing que você deve repensar na LGPD!](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

2. **Coleta**.  
    Quais são as maneiras com que cada processo coleta/recebe os seus dados, e juntamente com eles o seu consentimento? Todos os dados adentram a empresa por 1 única porta de entrada, ou mais de uma?

    Liste-as todas, e reveja se em cada porta de entrada estão dispostas as devidas comunicações de políticas e processos, e se juntamente com os dados, são também coletados os consentimentos de cada titular. Ainda que de maneira analógica/off-line, o consentimento é essencial  
    1 – Consentimento.  
    Sim, o consentimento é essencial mas, não é o único instrumento que te permite acessar ou processar dados pessoais.

    Nesse [artigo listamos todas as bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/) que amparam o uso de dados pessoais, segundo a LGPD.

3. **Processamento / Tratamento**  
    1 – Compartilhamento interno entre as áreas e sistemas.  
    \- Para o processamento de dados são utilizados softwares terceiros?  
    \- Os dados trafegam entre eles de que maneira?  
    \- O software está alinhado ao seu processo e política de privacidade?  
    \- Caso algum titular solicite a exclusão dos dados pessoais da sua empresa, como notificar esse fornecedor externo ou interno, para que ele processe a exclusão?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

    3.2 – Armazenamento para uso e consulta interna.

    \- Durante os processos onde os dados são armazenados?  
    \- Por quanto tempo?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

    3.3 – Back-up.  
    \- Qual a periodicidade e regras para backup?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

4. **Descarte**  
    Apesar de extremamente facilitado para arquivos digitais, essa etapa do processo é bastante séria. Pois, muitos arquivos permanecem na “lixeira”, e não são devidamente deletados.  
    Para arquivos físicos esse problema é ainda maior, quando o descarte é mal feito ou negligenciado.  
    Entenda esse processo e principalmente caso haja terceiros na etapa, inclua-os no seu monitoramento de terceiros eventualmente envolvidos.

5. **Fim do processo?**  
    O fim do processo é de fato o fim da jornada do dado na empresa, ou ele é apenas o começo de um outro?

Certamente à primeira vista, essas perguntas e questionamentos todos podem soam como excessivos. Mas, acredite esses são só algumas das perguntas que você teria/terá que responder caso contrate uma consultoria e adequação.

Ou, em um cenário não tão informal como esse texto, uma visita da ANPD.

Espero ter te ajudado com uma melhor compreensão de o como essas etapas são essenciais na rotina de um DPO.  
Com o Data Mapping temos com certeza a base para a confecção de uma política de privacidade mais robusta.

Sentiu falta de algum item, ou descritivo?  
Manda pra gente, estamos abertos a melhorias, sempre! - Pode nos enviar no hey@goadopt.io

Uma próxima leitura que indico a você, para aprofundar mais o assunto é:

[As diferenças entre Operador e Controlador dos dados.](https://goadopt.io/blog/tag/controlador-e-operador/)


Data Mapping e Inventário de Dados – O Colete Salva Vidas do DPO

A AdOpt é uma plataforma de gestão de consentimentos que permite que você construa uma relação de transparência e confiança com os visitantes do seu site.

Assim, todos os visitantes que acessarem o seu site serão abordados pelo aviso com uma notificação que pede o consentimento de cada um deles de maneira livre, direta, informada e detalhada.

Abaixo o passo a passo das etapas que processam esse registro de consentimento na AdOpt.

Antes de entrar no passo a passo, um esclarecimento que evita confusão: o aviso é a interface, e a plataforma que escaneia, bloqueia e registra o consentimento é outra camada. Se essa distinção ainda não está clara, vale ler [por que a CMP não é o banner de cookies](https://goadopt.io/blog/cmp-nao-e-banner-de-cookies/) antes de continuar.

## Como funciona o [aviso de cookies da AdOpt](https://goadopt.io/)?

 Esse é um exemplo do funcionamento da plataforma:

1.  O visitante acessa seu site.

2.  A AdOpt verifica se esse este acesso é de um novo visitante (ou seja, já tem o cookie AdOpt, ou não)

     1 – Se sim, o aviso não é mostrado e apenas o controlador fica aparente no canto do site (controlador = bolinha com o logotipo da AdOpt, ou do seu site)

     2.2 Se não, a AdOpt irá tratá-lo como um visitante novo.

     2.3 Tags classificadas como Necessárias/Essenciais são disparadas.

3.  Ele recebe uma notificação de configuração de privacidade da AdOpt. Com:

     1 – Listagem de Tags/Cookies de terceiros e sua respectiva classificação feita pelo gestor da AdOpt naquele site.

     3.2 – Links Públicos da Política de Cookies, Política de Privacidade e Termos de Uso.

     3.3 – Links Públicos da página de Opt-out da AdOpt para aquele site.

4. #### Ele configura suas preferências, podendo detalhar a listagem de cada uma das categorias de [cookies](https://goadopt.io/blog/cookies-e-lgpd/) e das tags presentes.

5.  Ao clicar em aceito, a AdOpt gera um cookieID único para aquele visitante, que fica armazenado em seu navegador.

6.  As informações do consentimento, contendo:

     1 – Data e Hora,

     6.2 – CookieID anonimizado,

     6.3 – Relação atualizada das Tags e Cookies aceitos ou não,

     6.4 – Versão da Política de Cookies, Política de Privacidade e Termos de uso disponíveis à época,

     São registradas de maneira individualizada na sessão “Consent Log" ou "Logs de Consentimento”, dentro da plataforma da AdOpt (área logada).

7.  Caso o [gestor do aviso da AdOpt](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) para o referido site, tenha feito a configuração de bloqueio da AdOpt com o Tag Manager. Sempre que esse visitante acessar o site, a lista com as tags autorizadas ou não (item 6.3) estará no navegador do visitante.

     [– **Aqui o tutorial de bloqueio de tags de terceiros**](https://www.youtube.com/watch?v=8jqGLjZZ4UM)

     Assim, a cada novo acesso, as tags dentro do GTM consultam a lista da AdOpt para que seja feito o disparo, ou para que fiquem inativas naquele acesso único.

8.  Caso o visitante faça uma requisição de opt-out:

     a – A AdOpt atualiza o CookieID que fez a solicitação, com uma “marca/tag” classificando este cookie como inativo/optout. Assim, dentro do sistema AdOpt este “CookieID” será inutilizado, e só servirá para fins de registro – prova de consentimento.

     b – Os 2 (dois) e-mails são disparados notificando o titular (se identificado) e o gestor do site/empresa.

     1 – A empresa recebe esse e-mail e pode analisar se há outras integrações que usam essas informações para então dar sequência na requisição em outros sistemas integrados (sistemas, callbacks, e APIs).

     b.1.1 – Se você não tiver nenhum dado associado ao cookie, você não precisa fazer nada. Pois, na AdOpt estarão apenas as informações (anônimas) para fins de prova de consentimento, cuja cópia você já recebeu no e-mail.

     b.2 – Caso o titular também tenha informado o e-mail, você deve usar esse dado para excluí-lo de todos os demais sistemas, utilizando-o como chave de acesso, pelo seu data mapping/mapeamento de dados. ([aqui um artigo sobre data mapping](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/))

     b.2.1 – Caso esteja em seus processos a notificação de comprovação de que as exclusões foram feitas, aproveite o e-mail do titular para esse disparo.

     b.3 – O Titular é notificado, por um pop-up e por um link no rodapé do e-mail recebido, que o conduz para um ambiente educativo e público, que o ensina a apagar manualmente os Cookies do seu Navegador.

     [– Aqui o tutorial encaminhado para o titular](https://goadopt.io/blog/apagar-cookies-cache-navegador/)

      c – A AdOpt mantém esse registro em sua base, informando que o CookieID #xyz.exemplo.1234 fez uma requisição naquele momento (data/hora). Pois, caso você precise para utilização em bases legais, e auditorias de privacidade, ela estará facilmente acessível.

Esse é um detalhamento bastante completo das etapas!

Se sentiu falta de alguma parte mais detalhada de como funciona um aviso de cookies, fique à vontade para nos escrever [aqui](https://adopt-help.freshdesk.com/support/tickets), ou deixa um comentário pra gente!

Muito Obrigado! Time [AdOpt](https://goadopt.io/).



Como funciona um aviso de cookies da LGPD?

João Bruno Soares

Um dos maiores dilemas de quem começa a estudar e entender a LGPD mais à fundo é a compreensão de que por mais árduo que seja o processo de adequação, ela é apenas o começo. Sim, uma série de mudanças e ajustes que devem fazer parte da rotina da empresa a partir de agora. Diversos são os processos do seu marketing envolvendo dados pessoais, que você deve repensar agora, por conta da LGPD!

Com isso, a adequação à LGPD não para no setup do [aviso de cookies](https://goadopt.io/) nem, muito menos, na nova política de privacidade que você teve que atualizar. Inúmeros processos, dependendo do tamanho da sua empresa, devem ser revistos e também adequados às novas realidades determinadas pela lei.

A burocracia pode parecer grande e sem fim para as empresas. Mas, precisamos sempre nos colocar no lugar dos visitantes, dos titulares dos dados. Lembre-se eu e você também o somos, antes mesmo de sermos empresas, profissionais, somos cidadãos! A LGPD tem como prioridade justamente empoderar os titulares para que eles, em sua individualidade, tenham pleno direito e acesso às informações necessárias referentes ao uso dos seus dados pessoais.

Por isso estamos aqui!

## Sejamos os profissionais que enxergam a legislação como uma nova oportunidade de subir a régua, de aplicar o nosso conhecimento com qualidade e respeito aos nossos clientes e visitantes!

A LGPD trouxe novas regras, novos processos do marketing, novos cargos…

Como então, não antecipar os novos padrões e as novas referências de qualidade que serão ao fim percebidas pelos nossos clientes?

Um dos belíssimos conceitos, como o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/) (já falamos disso aqui no blog), pode, e deve sempre ser trazido à tona!

Isto posto, quero te ajudar! Abaixo então:

## Os 10 processos do marketing que você deve repensar, por conta da LGPD!

### 1 – Compartilhar listas de dados com fornecedores e terceiros. (freellas, corretores imobiliários, vendedores…)

Se a essa altura do campeonato isso já não estiver óbvio pra você, não sei mais como deixar claro o risco deste tipo de compartilhamento. Afinal de contas, o visitante forneceu seus dados pessoais e sensíveis, à empresa. Não tem como ele adivinhar que você tem mais “N” pessoas penduradas no seu mailing.

Por isso, muito cuidado com essa prática! Principalmente se não há nenhum contrato de sigilo ou responsabilidade entre as partes envolvidas!

Pode ser que o seu modelo de negócios peça essa distribuição dos dados, então reforce – com clareza, em sua política e termos! Lembre-se, na dúvida preze pela privacidade!

 

### 2 – Receber listas de e-mails dos clientes para subir no facebook, para match e look-a-like.

Essa lista tem o consentimento para ações do facebook? Qual a origem da lista? Você já deve ter reparado que o facebook, desde a GDPR, já questionava os anunciantes quando faziam uploads de e-mails… Por que será, né?

Seja você um departamento de marketing, ou agência terceira ao cliente. Sempre questione estas listas e evite ao máximo estender os canais de comunicação direta com o cliente, pois, isso pode ferir o consentimento e/ou a base legal que ampara o uso do dado.

Quer saber mais sobre a relação dos cookies de internet na LGPD? Tenho um [artigo](https://goadopt.io/blog/cookies-e-lgpd/) só sobre isso!

### 3 – Comprar listas frias para disparar e-mails, SMS e SPAM. (se já era um crime antes, agora mais ainda)

Quem nunca pensou em “conseguir” uma lista de contatos, que atire a primeira pedra! Ou, até mesmo, quem nunca foi abordado por empresas de “listas”que vendem esses leads frios!

Feliz de quem gera conteúdo com qualidade, e transparência a ponto dos visitantes confiarem à empresa os seus dados…

Não à toa às ferramentas de e-mail marketing tem inúmeros avisos para evitarmos spams. Isso prejudica a reputação de todo mundo, e a internet não tem mais paciência pra spam, concorda?

### 4 – Trocar listas de e-mails para disparo de artigos e newsletters com parceiros e clientes. (Prática que parece inocente, mas, que pode ferir o direito dos titulares)

Parece inocente, mas, só parece mesmo! Assim como os pontos acima, os titulares confiaram seus dados àquela finalidade exclusiva. Qualquer interação que extrapole ela, pode ferir diretamente o direito adquirido pelo consentimento e/ou base legal.

### 5 – A agência como um todo tem acesso às listas de e-mails dos clientes/visitantes. (Alçadas de acesso para dados sensíveis – contrato de responsabilidade)

Aqui entramos em uma alçada de gestão e processos! Diversas ferramentas de marketing nos dão a possibilidade de criação das hierarquias dentro dos seus usuários. Justamente pois, cada um tem seu nível de atividade e também responsabilidades.

É fato que muitas empresas trabalham hoje com uma gestão descentralizada, ou até mesmo horizontal. Mas, na hora do aperto quem é que vai ser responsabilizado? Evite problemas, revisando as alçadas de aprovação e até mesmo de acesso aos dados de acordo com as responsabilidades da sua equipe. Afinal, as ações de um colaborador recaem sobre toda a organização, e isso pode e deve ser considerado como contingência.

### 6 – Contratar freellas e profissionais com alta rotatividade sem um contrato de responsabilidade para com os dados dos clientes. (famoso “espetou em pen-drive”)

Esse ponto é bastante parecido com o ponto anterior, mas, tem um detalhe ainda maior. Profissionais terceiros têm suas responsabilidades limitadas, ou até mesmo, estendidas aos seus contratos que os vinculam ou não a determinados critérios. Assim sendo, toda vez que um terceiro tem acesso a uma base de dados da sua empresa, qual a segurança que você tem sobre esses dados?

Qual a garantia que o titular do dado tem, uma vez que os dados estão abertos? Sim, é básico! Mas, não são poucos os casos do funcionário X ou da agência Y, que apagou tudo antes de sair… ou levou tudo com ele. E aí? Tinha contrato?

### 7 – CTAS em campanhas e anúncios para “deixe seu contato abaixo, se quiser receber…”

Esse CTA (call-to-action, ou chamada para a ação) por mais “tosco” que pareça, ainda é muito usado e eu diria que “se tem regra é porque tem história”, ou seja, funciona.

Cuidado com esse tipo de abordagem, principalmente se o seu público é mais simples e não tem muito discernimento dos riscos da internet.

Lembra do caso do pessoal que fornecia os dados em um posto do facebook, para terem um cartão de crédito de super-heróis? Pois, é… você não quer a imagem da sua empresa atrelada a uma brecha para oportunistas.

### 8 – Ações off-line sem uma diretriz forte de coleta de dados (base legal), ou consentimento atrelado.

A LGPD não é dirigida apenas ao ambiente virtual, logo, quais as ações off-line, presenciais, cujas diretrizes também devam ser adaptadas? Você usa fichas de cadastro? Qual o processo de coleta de dados nos ambientes?

Cada empresa tem uma realidade, mas, eu mesmo já vi empresas utilizando termos de consentimento “off-line” (bloco de folhas timbradas mesmo) para serem anexados aos cadastros dos visitantes! Ou até mesmo, todos os cadastros via tablets para que o consentimento também já alimente o CRM.

Nosso radar deve estar ligado nas portas ON e OFF-LINE! Se você levar tudo para o online, via QR CODE por exemplo, além de poder usar o [aviso de cookies da AdOpt](https://goadopt.io/) como sua ferramentas de consentimento, ainda pode usar tags de rastreio na mesma LP!

Quem sabe assim não só já automatiza o opt-in, como também um remarketing autorizado no mesmo ato!

### 9 – Manter as listas de e-mail por vaidade.

Foi-se o tempo em que aquele excel cheio de e-mails dos anos 90 eram o tesouro da empresa.

Além de serem uma métrica de vaidade, é também um custo imenso dentro das ferramentas de automação, bases de e-mails frias e antigas hoje também são um risco enorme para a organização! Evite, elimine isso tudo e corra para conseguir o consentimento atualizado da sua base ativa, o quanto antes!

Depois não diga que não avisei!

 

### 10 – Compor organograma da Agência com dados pessoais (profissionais, sem a aprovação no contrato de trabalho. Ex. celular pessoal…)

Organograma de agências, a alegria dos SDRs pra aquele um cold call raiz, e agendar pro do Field Sales! #quemnunca?

Se você não sabe o que é isso… eu te explico!

Muitas agências (as grandes principalmente) de SP, ainda tem, o tal “organograma da agência” na recepção.

Acessar esse arquivo é a alegria do time comercial, porque ali não só temos de fato quem decide, como o contato de cada um deles!

Mas, aqui também mora um perigo!

Se o seu organograma contém não somente os dados profissionais dos colaboradores, mas, também um celular pessoal do funcionário X que não quis usar 2 telefones, por exemplo…

Será que esse compartilhamento está previsto no contrato de trabalho?

Agora pode não ser um problema, mas, se o direito trabalhista usa de tudo na hora da crise. Por que não usaria isso também?

Enfim, nosso objetivo nunca foi profetizar a desgraça nas empresas, muito menos ser parte da Cavalaria Apocaliptica a LGPD. Mas, já que estamos no mercado há um tempo, esse tipo de coisa sempre nos chama atenção quando começamos a fazer o data mapping e conversar com os colegas.

Lembrou de mais algum processo que poderia compor essa lista?

Comenta aí embaixo, quem sabe ajuda os colegas na saga da adequação!



10 processos do marketing que você deve repensar na LGPD!

_Será que existe uma Política de Privacidade ideal e à prova de falhas?_

Essa é uma das perguntas mais difíceis de responder atualmente. Quanto mais com toda a jurisprudência já criada na Europa, com a GDPR, todo o seu histórico de processos, e as inúmeras dicas que vemos por aí no mercado. Sem falar, com as decisões judiciais que já estão saindo no Brasil, por ocasião da LGPD.

Já te respondo prontamente: _Não._ E, vou te ajudar e entender o porquê.

Acredito que seja possível desenvolvermos uma linha de raciocínio que ajude a cada um de nós Empreendedores, DPOs, Advogados, Consultores terceiros, etc. Enfim, todo mundo pode ter uma compreensão clara de como funciona o jogo para não sermos pegos de surpresa.

Abaixo então a lógica de uma política de privacidade, e alguns princípios para te ajudar a entender o jogo. Quem sabe, até mesmo te ajudar na adequação da sua empresa e nas dúvidas que virão pelo caminho.

Se o que você procura é a parte prática de produzir o documento, o caminho e as
armadilhas estão em [gerador de política de privacidade](https://goadopt.io/blog/gerador-de-politica-de-privacidade/).

## O que faz um politica de privacidade melhor ou pior?

Sendo o mais direto possível:  _Ela reflete ou não a realidade do uso, e do fluxo de dados dentro da empresa, com veracidade?_

**Aqui está a chave de leitura para toda política de privacidade: Ela deve refletir com veracidade as motivações e o fluxo de dados nas rotinas da empresa.**

Assim sendo, antes de avaliarmos a qualidade de uma política de privacidade é essencial sabermos o porquê dela existir e qual a sua utilidade. Tá ficando mais claro?

De maneira simples e direta, eu destacaria que a politica de privacidade de uma empresa é:

**A** **_Declaração Pública dos Objetivos, Interesses e Responsabilidades que as Empresas têm no uso e aplicação dos dados, principalmente os pessoais, para a realização do seu modelo de negócios._**

Ou seja, através das diretrizes ali dispostas temos de fato o motivo real com que aquele negócio opera o uso dos dados, e, as reais finalidades tanto comerciais e/ou, legais para o uso efetivo dos dados.

## O que eu preciso saber e mapear para montar a minha Política de Privacidade?

Em suma, não é possível estruturarmos uma politica de privacidade sem conhecermos os alicerces do negócio. Calma, não estou complicando por complicar, mas, te mostrando que sem esse conhecimento nem o advogado de milhares de dólares a hora, poderá te ajudar.

Aliás, uma boa informação pra você é que a política não precisa ser obrigatoriamente escrita por um advogado, ou em “advoguês”. De acordo com a LGPD, antes disso, ela tem que ser clara, educativa e de fácil leitura para o titular do dado.

Então, se for você, ou seu advogado, ou qualquer pessoa que entenda dos processos e finalidades ou legislação do seu mercado, tá tranquilo. Preze pela facilidade de leitura, clareza e interpretação dos fatos por parte de qualquer visitante ou clientes que acesse seus ambientes.

Porém, vale destacar que recomendamos que você seja ao menos assessorado por um advogado. Pois, existem alguns critérios e eventuais complexidades do mercado que eles podem te ajudar com mais destreza. Por exemplo, mercados de saúde tem uma legislação específica que já trata os dados dos pacientes de maneira diferenciada e, por isso, muitas vezes ela pode sobrepor as determinações da LGPD.

Estamos no Brasil meu caro, então – pra variar, tudo depende.

Enfim, vamos aos pontos essenciais que você tem que conhecer para montar qualquer política de privacidade. Pontos como:

1. #### Constituição Societária;

2. #### Mercado de atuação;

3. #### Legislações vigentes que regulam a atuação dos players;

4. #### Portfólio de produtos e, ou serviços;

5. #### Linhas de Receita e canais de distribuição;

6. #### Breve organograma e noções básicas da estrutura da empresa;

    #### (Matriz e filiais, tamanho, número de departamentos envolvidos, hierarquia de decisão, etc.)

7. #### Cadeia de Fornecedores;

8. #### Serviço de Venda e Pós-Venda;

9. #### Canais de comunicação;

    ..

Sem essa visão inicial detalhada minimamente a politica ficará incompleta e, consequentemente, falha.

_Por exemplo: De que adianta eu falar que uso os dados no facebook, e coleto endereço, e-mail e CPF, para a assinatura do meu plano e para o e-mail marketing, descartando em caso de opt-out. Se no meu mercado, uma legislação me obriga a armazenar esses dados para além das requisições dos titulares?_

Acredito que já tenha ficado claro o quanto de informação precisamos considerar. Mas, isso não deve ser motivo de desânimo pra você! Pois, justamente o conhecimento destes processos, ou seja, da operação como um todo, que te darão uma maior segurança para saber se a política de privacidade é “boa ou não”. De novo, se ela reflete a realidade e dia-a-dia da empresa, ou não.

Uma das ferramentas/processos que podem te ajudar a estruturar com confiança a politica de privacidade é o _Data Mapping,_ ou Mapeamento de Dados. Se você ainda não tem um, ou já pensou em estruturá-lo, vou resumir ele pra você no link abaixo.

[Mapeamento ou inventário de dados, o colete salva vidas na LGPD](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)


Qual a política de privacidade ideal para a sua empresa?

O que é uma CMP (Plataforma de Gestão de Consentimento)?

[Considerada uma das profissões mais cotadas do momento](https://www.jota.info/ carreira/dados-dpo-carreira-direito-salarios-23102018), o surgimento da carreira do “_Data Protection Officer_” – DPO (ou “Encarregado de Proteção de Dados”, em português), é consequência direta da Lei nº 13.709/2018, a chamada Lei Geral de Proteção de Dados (LGPD), que entrou em vigor em agosto de 2020.

Desde a sanção da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), em agosto de 2018, passando pela aprovação da Medida Provisória nº 869/2018, até a conversão da MP em lei (Lei nº 13.853/2019), o tema do Encarregado de Dados passou por algumas reviravoltas, como por exemplo a respeito da possibilidade do encarregado ser pessoa física ou jurídica, e a necessidade de possuir conhecimento jurídico regulatório.

Assim, esse breve artigo tem por objetivo trazer alguns esclarecimentos a respeito dessa pessoa tão importante no contexto da proteção de dados. As vagas de emprego surgiram sim mas, também com elas a responsabilidade e cobrança do mercado!

Na definição do artigo 5º, inciso VIII, da LGPD, o encarregado é a _“pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”_.

Fazendo uma analogia do país do futebol, podemos pensar na pessoa do encarregado como o “meio-campo” do time, ou seja, o responsável por fazer a ligação entre a defesa e o ataque. Graficamente, temos:

![DPO Encarregado de Dados.png](https://strapi.goadopt.io/uploads/DPO_Encarregado_de_Dados_3e447ae66a.png)

Assim, o Encarregado, é a figura responsável por intermediar o diálogo entre controlador e titular dos dados, ou entre controlador e a ANPD, acomodando suas necessidades e interesses.

## Quais a responsabilidades do Encarregado de Dados?

Dentre suas várias responsabilidades, todas previstas nos incisos do artigo 41, § 2º, da LGPD, o Encarregado, as atividades do encarregado consistem em:

_I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II - receber comunicações da autoridade nacional e adotar providências;

III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares._

Para desempenhar tais atribuições, o Encarregado deverá dominar as técnicas de [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/), identificando todas as fontes possíveis de coleta, bem como de controle do ciclo de vida dos dados, ou seja, como os mesmos serão armazenados e utilizados, com quem serão compartilhados, quando e de que forma serão eliminados.

Outro aspecto fundamental para que o Encarregado possa de fato cumprir o papel que a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) propõe é a autonomia no poder de tomada de decisões independentes e exercício de fiscalização dos processos internos da empresa.

Naturalmente, como um profissional contratado por determinada empresa para atuar conforme seus interesses, o Encarregado terá sua dose de sujeição às diretrizes de seu contratante. Isso, no entanto, não pode comprometer sua posição de interlocutor perante o titular dos dados pessoais, tampouco perante a ANPD.

Para concluir, é válido ponderar que embora a redação atual da LGPD não mais exija que o DPO possua conhecimento jurídico regulatório, o conhecimento e, sobretudo, o domínio da LGPD e demais normas aplicáveis no contexto da proteção de dados pessoais é essencial para o bom desempenho das funções do encarregado. Principalmente pois, a LGPD não deve ser analisada de maneira isolada mas, sempre dentro do contexto de mercado e regulações da empresa que busca a adequação.

Sem prejuízo,  a crescente preocupação do empresariado a respeito da LGPD é natural. Afinal, o Brasil é um país extremamente complexo para se empreender e toda nova regulação traz incerteza e instabilidade para o jogo.

_**SOBRE O AUTOR:**_

_**Dânton Zanetti**_ _é advogado, sócio fundador do_ _Zanetti, Oliveira & Machado Sociedade de Advogados_ _([www.zomadv.com](http://www.zomadv.com)), atuando nas áreas de Direito Empresarial, Contratual, e Direito Digital, Mestre em privacidade e proteção de dados._


As Responsabilidades do Encarregado de Dados - DPO na LGPD

Certamente você já deve ter visto aquelas inúmeras previsões de multas e sanções que a LGPD trouxe consigo, certo?

Já que temos a tal "nova" [Lei Geral de Proteção de Dados, a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), e agora?

Calma!

Antes de uma perspectiva alarmista ou até mesmo pessimista diante da lei, é essencial deixarmos claro que: o uso de dados pessoais (leia-se tratamento e processamento) não está proibido pela lei, mas, simplesmente – agora, regulado por ela.

Assim sendo, você como empresário ou especialista do seu mercado pode e deve manter os seu trabalho e estratégias como um todo. Porém, agora também, você deve entender como adequar o seu modelo de negócios às normativas que a lei prescreve para o uso dos tais dados pessoais.

Mas, então, qual seria então o significado da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) para a sua empresa?

Meu objetivo aqui é te entregar, de maneira mais breve e prática o possível, um compilado de informações-chave que servirão como um norte diante das dúvidas e bifurcações que você enfrentará no seu caminho de compreensão e, sobretudo, adequação!

## Introdução

### Antes de começarmos, quem é a AdOpt pra me ajudar com isso?

Após vários anos à frente de iniciativas de trabalho e estudos sobre dados, marketing e privacidade na internet é preciso fazer uma confissão. Nós sinceramente já vimos de tudo. Estamos neste mercado desde o nascimento dos conceitos de análise preditiva, e todas as AdTechs que surgiram desde então. Vimos a ascensão e queda da Cambridge Analytica e seus escândalos e vazamentos, inúmeras análises e documentários, Wikileaks, Snowden, etc.

Logicamente, acompanhamos todo o mercado com o surgimento da GDPR, CCPA e suas derivações ao redor do globo, que hoje – aqui no Brasil, culminam com a LGPD. Há quase 8 anos estamos trabalhando diariamente com vários dos pilares que hoje o mercado de “Marketing por dados” está tão familiarizado. - A construção de modelos de dados para análise de métricas de performance,

\- Bancos de dados sequenciais, não relacionais, físico, em nuvem e tantos outros que já passaram por nossas mãos.

\- Inúmeras características de tags de rastreio, fingerprints, SDKs, etc. - Infinitas atualizações de tecnologia, privacidade, boatos e navegadores com seus bloqueios de cookies de terceiros. - Diversas integrações com Adservers, CRMs, ferramentas de e-mail, DSPs, Cookie Syncs com DMPs, Data Providers, Bureaus de Crédito, etc. - Firewalls, Backdoors, Rotinas de Segurança, DNS,  etc.

Enfim, são mais de 200M de usuários únicos mapeados em nossos sistemas, e 40 mil sites já passaram por nossa rede desde 2015, quando criamos a nossa primeira versão de Tag e Cookie.

Tudo isso para te dizer que, todo esse conhecimento que acumulamos até hoje só nos dão uma certeza. De nada vale saber tudo isso, se:

1 – Não executarmos com prontidão as melhores práticas de trabalho e segurança,
2 – Não conseguimos traduzir a teorias internacionais para nossas legislações e realidades do mercado local.
3 – Se não desmistificarmos a necessidade de recursos infinitos, e extremamente elaborados, para começar um bom trabalho.
4 – Se a Teoria não gerar um ganho real para os clientes, e consequentemente, vendas para os dois lados.

Durante o ano de 2019 entrevistamos quase 250 empresas sobre a LGPD e seus impactos e percepções no desafio da adequação, e a maioria das dificuldades listadas há época foram: _a dificuldade de compreensão da lei, falta de mão de obra capacitada, dificuldades com o manejo de novas tecnologias e,_ não menos importante_, a administração e coleta dos consentimento dos titulares_.

Desde então tínhamos o mesmo o sentimento, a LGPD permanece uma incógnita para a maioria, e ao mesmo tempo nós – que somos parte viva do mercado, temos em nossas mãos a oportunidade de reforçar o quanto a Privacidade pode e deve ser levada a sério. Não sendo valorizada apenas quando perdida, mas – em suma,** como um direito individual de todos os cidadãos.**

Quanto mais hoje em dia onde é impossível ignorar o elefante na sala, ou melhor, o número crescente de celulares e dispositivos coletando dados de texto, áudio e vídeo em praticamente todos os lares. Quem nunca teve a sensação do celular estar te escutando, que atire a primeira pedra!

O fato é, todas as legislações de privacidade vieram pra ficar!

Sim, estamos em um caminho sem volta no que se refere ao uso de dados pelas nossos gadgets favoritos. Com isso, é essencial que saibamos o valor da Privacidade enquanto ainda – teoricamente, temos o controle. Mas, principalmente que tenhamos acesso a tecnologias que trabalhem ao nosso favor, não apenas coletando os dados mas, nos dando a liberdade em frente às inúmeras ocasiões de coleta, que enfrentamos diariamente.

Sim, antes da coleta há uma escolha de um cidadão livre, que deve ser respeitada e informada de maneira clara e transparente.

Assim, exatamente neste acumulado de dados, serviços, dúvidas e testes infinitos das tecnologias, nasceu a AdOpt.

São anos de estudo e aplicações práticas, que tem como objetivo minimizar as consequências que o mercado de marketing e publicidade sofreram. Não só quando a GDPR entrou em vigor na Europa e derrubou drasticamente a receita dos grandes publishers, mas, também pelo amadurecimento do nosso mercado local – Brasileiro, frente as inúmeras tecnologias que sequer conseguimos testar, graças aos nossos budgets tupiniquins.

A AdOpt, começa como uma maneira rápida e prática com que todas as empresas possam comunicar e coletar o consentimento dos seus visitantes sem correrem o risco de destruírem suas métricas e engajamento com mais um aviso feio, que mais parece um Pay Wall, ou diríamos – Cookie Wall?

Em todo o roadmap da AdOpt e sua evolução como produto, temos por objetivo também democratizar o acesso a informação a respeito da legislação e suas aplicações em si, de modo que respeitemos a privacidade de todos! Novamente, o contexto que a AdOpt nasce, faz dela impossível de ser ignorada, tamanha a sua importância nos dias de hoje.

#### De um ponto de vista comercial, chegamos à conclusão que o mercado carece de alguns posicionamentos de fácil compreensão e, acima de tudo, desmistificando os interesses de algumas classes do mercado, no que tange à nova Lei Geral de Proteção de Dados Pessoais, a LGPD. É certo que advogados, contadores, agências de marketing, profissionais de TI e diversos outros “experts” estão ávidos para abocanhar seu pedaço no mercado. O que é perfeitamente compreensível, pois, a lei abarca conhecimentos de diversas áreas simultaneamente. Contudo, antes de qualquer vantagem de mercado ou de classe de trabalhadores, nós da AdOpt acreditamos que existem 2 princípios que devem sempre reger a nossa interpretação disto tudo, à luz da privacidade; exaltada pelas inúmeras legislações de privacidade ao redor do mundo.

## 1 – **Um princípio de liberdade**.

Sim, a liberdade é de um valor imensurável e só quem a perde é capaz de realmente descrever o impacto de sua ausência. Seja no acesso à informação, no direito de ir e vir, na liberdade de imprensa ou no simples direito ao esquecimento.

Somos a geração que criou os memes, mas também o “cancelamento”, a crítica ferrenha às _Fake News_, o banimento de algumas redes sociais, entre outras. Pautados em premissas de valorização da verdade, algumas vezes esquecemos de mensurar o real impacto de alguns mecanismos unilaterais que acabam ofuscando real o valor da liberdade.

A LGPD, GDPR, CCPA, e tantas outras são também um mecanismo que ajuda o cidadão na manutenção de sua liberdade, diante dos gigantes da internet.

### 2 – **Sem produtores de conteúdo, não teríamos a internet.**

Quando isso (a internet) "_era tudo mato_" e tínhamos meia dúzia de blogs e portais de notícias, a LGPD jamais faria sentido. Porém,  foram graças a essas âncoras da internet que criou-se a oportunidade de monetizar a atenção das pessoas em determinadas páginas! Sem os grandes _publishers_ não teríamos a mídia programática e todas as oportunidades de automatizar o fluxo monetário gerado hoje globalmente, na escala e proporção que vivemos.

#### Sem a mídia programática não teríamos as redes sociais como as conhecemos hoje. Afinal, como diria o Mr. Zuckemberg.

“We Run Ads”.

Talvez essa introdução tenha um ar de “Manifesto” para você, quando exaltamos tanto o valor da Privacidade e da Liberdade, expressas no livre acesso a informação e consequentemente na produção de conteúdo.

Aqui vai mais uma confissão para você, caro leitor. A AdOpt hoje, tem a função de aviso de cookies, ajudando como uma [CMP (](https://goadopt.io/blog/o-que-e-uma-cmp/)_Consent Management Plataform)._ Mas, você não faz ideia do que virá pela frente quando ligarmos todos esses pontos acima e te dermos acesso às tecnologias que estamos desenhando!

#### Se os dados são o novo petróleo, a privacidade será a nova moeda!

O assunto ainda não acabou, mas, espero que você tenha entendido o quanto somos apaixonados por esse assunto e queremos te conduzir por ele!

Em nosso próximo capítulo (artigo) eu quero te mostrar a base de toda a compreensão da lei: [As Bases Legais da LGPD,](https://goadopt.io/blog/bases-legais-da-lgpd/) te espero lá!



Entenda o significado da LGPD para a sua empresa

Os termos de uso são parte essencial de diversos sites, na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Apesar de constantemente ignorados, os Termos de Uso são literalmente o contrato firmado entre você e a empresa que oferece aquele produto ou serviço, de maneira digital. Assim, não apenas o desenvolvimento deles, mas também eventuais alterações requerem bastante cuidado.

Esse cuidado se refere tanto às situações em que tais alterações podem ou devem ser aplicadas quanto à forma de alteração e aos reflexos disso. Confira, no texto que segue, como funciona cada um desses aspectos e garanta a validade dos seus termos, bem como a [adequação à LGPD, GDPR, CCPA, PIPEDA, POPIA](https://goadopt.io) entre outras.

## Quais os principais temas tratados nos Termos de Uso?

Antes de adentrarmos especificamente nos porquês de uma eventual alteração dos Termos de Uso, e a melhor maneira de fazê-la, vamos analisar rapidamente alguns dos principais capítulos/temas distribuídos que costumam ser encontrados em qualquer documento padrão.

Tendo como base os próprios Termos de Uso da [AdOpt](https://goadopt.io/termos-de-uso), a divisão do texto é a seguinte:

### 1. Objeto

### 2. Funcionalidades

### 3. Contratação e Prestação de Serviços

### 4. Prazo

### 5. Remuneração

**6. Interrupção dos serviços.**

### 7. Responsabilidades

### 8. Tratamento de Dados Pessoais

Abaixo um breve resumo do que cada seção trata:

1. **Objeto**
 Identificação das partes envolvidas e detalhamento dos serviços prestados, suas características e definições operacionais.

2. **Funcionalidades**
No caso de um software como o da AdOpt, dedica-se esta seção à listagem das funcionalidades envolvidas e o respectivo detalhamento dentro dos planos.

3. **Contratação e Prestação de Serviços**
Descritivo dos processos e detalhamentos necessários para a contratação do serviço.

4. **Prazo**
Periodicidade de entrega e, ou disponibilidade do produto/serviço após/durante a compra.

5. **Remuneração**
Como será feito o pagamento, preço, prazos e condições de pagamento.

6. **Interrupção dos serviços**
Situações onde a interrupção dos serviços é prescrita, necessária e justificada. Bem como, fatos que podem levar à interrupção.

7. **Responsabilidades**
Ambas as partes têm responsabilidades mediante o aceite dos termos. De um lado o contratado em prestar o serviço, e o cliente em realizar os pagamentos e em utilizar o sistema/plataforma conforme necessário para a entrega do serviço.

8. **Tratamento de Dados Pessoais**
Definição dos papéis de [controlador vs. operador de dados](https://goadopt.io/blog/tag/controlador-e-operador/), dentro dos processos criados pelo contrato. Caso sejam coletados dados, é feito o devido enquadramento de base legal utilizada, e, responsabilidades dos processos advindos da operação.

9. **Disposições gerais**
Declarações que posicionam o contrato geograficamente, estabelecem condições para eventuais atualizações, direcionamento caso uma das partes descumpra o contrato e foro.

## Por que alterar os termos de uso?

As alterações nesses documentos, embora muitos sequer se atentem, são necessárias sempre que haja alguma alteração significativa no descritivo do seu conteúdo. Aspectos como: objeto da entrega do serviço ou produto da empresa, condições de atendimento ao público, dados oficiais, e agora aos aspectos obrigatórios pela LGPD.

Tanto a [LGPD (Lei Geral de Proteção de Dados)](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), bem como às outras normas que se apliquem no caso, especificam aspectos sobre a coleta, tratamento e processamento de dados que podem fazer parte do objeto do serviço ou produto, logo devem fazer parte dos termos de uso.

Ainda, muitas vezes as alterações são necessárias para adequação do conteúdo dos termos de uso à realidade da marca. Afinal, tais termos devem ser um reflexo da realidade da empresa e não uma história fictícia.

Em caso contrário corre-se o risco de que não haja compatibilidade entre os termos de uso do site e a realidade dele, dos seus serviços, regras e normas que lhe atingem. Portanto, é como se ele fosse inútil.

Aspectos da nossa vida mudam constantemente e isso também é uma verdade quando nos referimos às marcas, às formas de atuação delas e às regras às quais elas se submetem.

Uma vez que os termos de uso dizem respeito a essas questões, qualquer mudança nelas também deve refletir sobre eles para que continuem sendo válidos e relevantes, bem como prestem o papel que lhes cabe frente à marca.

## Quando, então, é necessário alterar os termos de uso?

Em termos gerais, sempre que houver identificação de algum desses aspectos:

- Alteração no modo de operação do site;
- Adição ou mudança nos serviços e produtos disponíveis;
- Mudanças legais que reflitam sobre as regras que um site pode aplicar, bem como nos deveres e direitos que impõe;
- Inadequação entre os termos e a realidade da marca (como suas características, o que oferta e como opera), ou, então, entre eles e as leis vigentes (como LGPD ou Código do Consumidor, por exemplo).

Portanto, são vários os motivos que podem levar à alteração dos termos de uso. E todas elas são relevantes especialmente para manter a validade desse documento, bem como sua aplicabilidade.

## Preciso de autorização para a alteração dos termos de uso?

Sim! Os termos estão entre os documentos que esclarecem ao público como são as regras vigentes naquele espaço, ou seja, no site.

Ele se junta, então, à [política de privacidade ](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)e o aviso de cookies para promover a transparência com o usuário. Enquanto os termos indicam as regras válidas ali, direitos e deveres, a política diz respeito à privacidade e ao uso de dados, coisa que os [cookies](https://goadopt.io/blog/cookies-e-lgpd/) também fazem parte.

Todos esses documentos são importantes porque ajudam no cumprimento das regras da LGPD. Ela tem como norte a transparência.

Sendo assim, sequer faria sentido a alteração dos termos de uso poder ocorrer sem a anuência do usuário, certo?! Não se trata necessariamente de uma autorização; afinal, cabe ao titular decidir se aceita os termos, mantendo seu acesso a serviços do site e deixando disponível a ele suas informações, ou se abre mão disso e retira seu aceite.

Concluindo: sempre que houver alteração em regras e políticas que atinjam usuários e titulares de dados estes devem ser notificados para que se manifestem sobre. Ou seja, para que demonstrem a aceitação ou não das novas normas e diretrizes vigentes.

Por isso que alterações são sempre anunciadas para uma data futura, dando aos usuários um tempo hábil para a leitura e compreensão das mudanças.

## Meus termos de uso possuem cláusula indicando possibilidade de alteração deles, preciso notificar os usuários mesmo assim?

Mais uma vez a resposta é positiva. Por mais que muitos termos e políticas prevejam a possibilidade de alteração deles, não é uma boa ideia alterá-los sem qualquer notificação e obtenção da anuência do titular de dados.

Afinal, isso se revela em uma alteração unilateral. Uma vez que os termos de uso funcionam como um contrato online, essa não é uma decisão interessante e pode ser vista como abusiva. Igualmente, como contrária à LGPD, para quem a transparência e o consentimento são essenciais.

## Como notificar seus usuários na alteração dos termos de uso?

É indispensável que você dê ciência aos seus usuários e clientes quanto à alteração das suas políticas de privacidade e termos. Por isso, veja dicas de como fazê-lo para não deixar isso passar em branco.

## Notificação por mensagem

Uma das possibilidades de notificar seus usuários quanto a alteração dos termos de uso do seu site é por notificação por mensagem. Nesse caso, então, é possível optar por e-mail ou por outros meios de comunicação que tenham sido cedidos pelo titular (SMS, etc.).

Nessa hipótese, então, busque informar sobre as alterações, bem como dê acesso ao indivíduo aos novos termos. Da mesma forma, certifique-se de que ao acessar o documento o visitante tenha a chance de manifestar se aceita ou não essas alterações (na famosa caixinha de “Declaro que li e aceito os termos de uso”.

Ainda, é claro, garanta que esse tipo de concessão de alteração será identificado e devidamente arquivado como prova.

## Notificação no acesso ao site
Outra possibilidade é fazer com que assim que o usuário acesse o seu site ele se depare com um banner que indique a alteração dos termos de uso. Nesse cenário é interessante impedir que ele navegue pela página até que leia e concorde (ou não) com os novos termos.

Geralmente essa prática é utilizada quando os novos termos já entraram em vigor. Pois, podem ser mais drásticas no aspecto da experiência do usuário. Mas, essenciais para ambos.

## Cuidado! Quem cala não consente

Por fim, nossa última dica ao alterar os termos de uso é ter cuidado quanto ao silêncio. Aqui, diferentemente do que consideramos muitas vezes, quem cala não consente. É essencial que haja a obtenção expressa do aceite do titular de dados quanto às alterações dos termos.

## Ajude o visitante na leitura dos novos termos de uso!

Nem todos os seus visitantes, para não dizer a minoria, têm a paciência e o interesse pela leitura dos seus Termos de Uso. Sim, isso é preocupante dada a sua importância mas, este é o fato que observamos diariamente.

Então, uma vez que você já vai ter que notificar os usuários quanto às alterações, uma boa prática é já destacar quais foram as principais mudanças, e se elas afetam o usuário para que ele já tenha os principais pontos de maneira destacada, acelerando a compreensão e, consequentemente, a coleta do aceite dos termos.

Então, uma vez que você já vai ter que notificar os usuários quanto às alterações, uma boa prática é já destacar quais foram as principais mudanças, e se elas afetam o usuário para que ele já tenha os principais pontos de maneira destacada, acelerando a compreensão e, consequentemente, a coleta do aceite dos termos.

Ficou com alguma dúvida, ou trabalha como como [Encarregado de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) e pode contribuir com esseas dicas?

Conta pra gente como podemos melhorar, estamos sempre abertos a feedbacks!


Dicas para notificação de usuários na alteração dos Termos de Uso.

O começo de tudo são as chamadas “Bases Legais da LGPD”, ou seja, os motivos e as razões pelas quais as empresas não só podem, como devem ter acesso aos dados dos titulares para bem executarem as suas funções.

Saber qual base sustenta cada tratamento é também o que evita o erro mais comum de quem
usa um [gerador de política de privacidade](https://goadopt.io/blog/gerador-de-politica-de-privacidade/),
que é apoiar tudo em consentimento, inclusive o que é obrigação legal.

Sim, é possível pensarmos que o legitimo interesse da prestação de serviço, ou venda de produtos já seriam um motivo nobre. Como também, a força de contratos ou legislações paralelas que nos obrigam a ter acesso a tais informações para bem executá-los e, de fato o são.

Justamente por isso que a LGPD nos trás 10 Bases Legais, ou seja, 10 motivos que legitimam uso dos dados pessoais tentando enquadrar os mais variados motivos e hipóteses para o uso dos dados. Elas são a base estrutural que sustenta o uso de dados, sem que esta mesma legislação sirva também de subterfúgio para driblar outras normativas tão ou igualmente essenciais.

Seu papel como gestor, ou encarregado dos dados da empresa é de encontrar – dentre estas 10, a que melhor se adeque ao seu modelo de negócio e legislação própria. Isso vale para todos as eventuais etapas do dado dentro da sua empresa/processo, tais como:

- Coleta,

- Armazenamento,

- Tratamento,

- Transferência,

- Compartilhamento dos dados pessoais.

Lembre-se estamos falando de privacidade e dados que não só identificam o cidadão, como o qualificam em suas matrizes de comportamento e demografia.

Segundo a LGPD, dados pessoais sensíveis são:

_Origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa._

A coleta de dados como Nome, RG, CPF e Gênero, independente da etapas de coleta, deve sempre respeitar os princípios de Finalidade e Transparência.

## Com isso em mente, vamos então às 10 Bases Legais, segundo a LGPD.

São elas:

1.  Consentimento do Titular.

2.  Legítimo Interesse.

3.  Obrigação Legal.

4.  Cumprimento de Políticas Públicas.

5.  Órgãos de Pesquisa.

6.  Execução de Contratos.

7.  Exercício de Direitos.

8.  Proteção à Vida.

9.  Tutela da Saúde.

10.  Proteção ao Crédito.

Antes de aprofundarmos cada uma das Bases Legais, eu gostaria de separá-las em 2 grandes grupos. Isolando as 2 primeiras: **Consentimento** e **Legítimo Interesse**. Pois, apesar de serem as mais populares elas pedem cuidados adicionais no seu uso. Enquanto as 8 demais, são mais “claras e seguras” em uma perspectiva jurídica, que legitima o seu enquadramento na sua empresa.

Abaixo então o detalhamento de cada uma delas, para te ajudar nesta compreensão e no porquê desta divisão entre elas.

## 1 - Consentimento do Titular.

Esta talvez seja a Base Legal mais popularmente conhecida em todo o mercado. Pois, já são muitos os sites que usam dela para se adequarem à LGPD, quando exibem aquele aviso tão conhecido por aí: “Este site usa de cookies...” Pois bem, seja no ambiente virtual ou off-line, o consentimento é uma maneira muito ágil de se conseguir a autorização dos titulares para podermos acessar os seus dados, e executarmos os nossos serviços.

Contudo, vale destacar que a Lei especifica que o consentimento deve ser: **por escrito, ou por meio que demonstre a manifestação inequívoca da vontade do titular**. Logo, quando o cidadão se deparar com uma ocasião que peça o seu consentimento este deve ter **clareza**, **facilidade**, e **liberdade** de fazê-lo de maneira autônoma.

Exatamente aqui está um destaque que difere esta base legal das demais.

A mesma facilidade com que o titular pode autorizar o uso dos seus dados, está para a revogação desta autorização. Assim, preza-se que a coleta do consentimento, ou opt-in (na linguagem do mercado) seja ágil e fácil, para ambos os lados. Bem como a revogação, ou opt-out.

Pois, espera-se que o consentimento não gere atrito na relação comercial. Uma prática bastante aconselhada pelos advogados é que, como empresário, você não se apoie apenas nesta modalidade para legitimar o seu uso de dados. Pois, ela tende a ser frágil se olharmos apenas para a interação entre cliente e empresa.

Justamente por isso que a AdOpt preza tanto pela agilidade, rapidez e identificação da sua comunicação, com a identidade visual da empresa em questão. Quando estudamos a GDPR e seus impactos na vida dos grandes Publishers (portais de notícias e conteúdo) vimos que um dos maiores impactos daqueles avisos imensos e feios, que parecem que foi o departamento jurídico que desenhou no Word, é o “bounce rate” ou a chamada taxa de rejeição. Uma métrica de Marketing Digital e UX que demonstra o % de visitantes do seu site que assim que o acessam, já pulam fora por algum motivo qualquer.

Imagine você na sua loja vendo os clientes entrarem e saírem e questão de minutos. Sem se apresentarem, perguntarem por um produto, ou interagirem com um vendedor.

Essa é a analogia do mundo off-line para essa métrica. Então, pense bem no aviso de cookies que você irá colocar no seu site. Ele pode agir como uma barreira gigante para os seus clientes.

Por fim, entenda que o uso do consentimento nos ambientes on e off-line devem ser integrados às demais etapas de uso e tratamento dos dados dentro da sua empresa. Logo, busque sempre desenhar o mapeamento dos dados dentro da sua empresa para que você não realize uma etapa sem a segurança de que a outra está devidamente atrelada a esta.

## 2 - Legítimo Interesse.

Esta é a 2ª. Base Legal mais popular e talvez a mais propagada pois, para muitos, serve de tábua de salvação ou carta na manga caso não consigam enquadrar-se nas demais. Isso não faz dela menos importante ou ilegítima.

Apenas, é preciso destacar que o chamado “Legítimo Interesse” é um tanto subjetivo quando nos colocamos diante das partes: Titular e Operador ou Controlador dos Dados. Afinal, o interesse comercial pode falar mais alto. Mas, não necessariamente irá configurar um interesse _legítimo_ para o uso de tal dado.

Por que? Pois, este pode ferir algum direito individual do titular ou até mesmo outra disposição expressa na LGPD. O art. 10 da LGPD determina que o legítimo interesse do controlador somente poderá servir de fundamento ao tratamento de dados pessoais, para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a: 1) apoio e promoção de atividades do controlador e; 2) proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais.

Portanto, é importante que o uso de dados esteja legitimamente justificado para a prestação do serviço ou venda do produto, sem nenhuma brecha que enfraqueça esta base legal perante outras legislações vigentes.

## 3 - Obrigação Legal.

Como a LGPD é uma lei bastante recente. Não faltam outras leis que obriguem às empresas, por exemplo, a coletarem, tratarem e compartilharem dados pessoais de cidadãos para outras finalidades anteriores. Assim, caso seu modelo de negócio, atividade ou processo tenha alguma legislação vigente que te obrigue à essa atividade, esta legislação já seria o melhor motivo/hipótese para manipular estes dados pessoais.

Um exemplo seriam os dados pessoais que as empresas devem coletar dos seus funcionários ao Ministério do Trabalho, Previdência Social, etc. Assim, os titulares – e neste caso também colaboradores, não poderiam opor-se a este compartilhamento por motivos de obrigação legal a ser cumprida pela empresa contratante.

## 4 - Cumprimento de Políticas Públicas.

Esse talvez seja um dos maiores ganhos que a LGPD deu aos titulares de dados, a todos nós cidadãos, a cada CPF deste país. Os governos também deverão se enquadrar na LGPD. Fazendo então desta uma das maiores – se não a maior, Bases Legal da LGPD.

Hoje o Governo uma das instituições que mais se beneficia dos dados de seus cidadãos, até mesmo de maneira comercial, também deverá andar na linha, mesmo nas suas inúmeras instâncias.

Segundo o paragrafo III do art. 7º da LGPD, órgãos da administração pública precisam se adequar e cumprir a lei ao tratarem e compartilharem dados pessoais para execução de politicas públicas ou respaldadas em contratos, convênios ou instrumentos congêneres, sem a necessidade de consentimento dos titulares.

Por mais que não haja a necessidade de consentimento, ainda assim os titulares têm o direito ao acesso claro e inequívoco das finalidades e processos envolvidos com cada um dos seus respectivos dados. Um último destaque, contudo, é que a administração pública não é passível de penalidade com multas. Mas, está sujeita a advertências, publicação da infração, e porque não, bloqueios ou até mesmo eliminação dos dados.

## 5 - Órgãos de Pesquisa.

A pesquisa e o desenvolvimento científico também têm acesso autorizado pela LGPD aos dados pessoais, pela finalidade dos seus estudos. Recomenda-se contudo, que sejam sempre anonimizados, afim de garantir a privacidade dos titulares evitando assim possíveis vazamentos. Com isso, não só a amostra da população entrevistada pela pesquisa tem sua identidade protegida, com os pesquisadores também ficam mais tranquilos quanto a segurança dos seus métodos científicos.

## 6 - Execução de Contratos.

Uma vez celebrado um contrato as partes têm suas obrigações e direitos ali estabelecidos pelo objeto em questão. Assim, uma vez tendo um dos titulares como integrante direto do contrato, esta será a base legal para o uso dos dados de maneira apropriada.

Neste caso o próprio titular é quem cede os seus dados e legitima a Base Legal, por fazer parte do contrato celebrado. Neste momento é uma situação bastante semelhante à do consentimento, contudo, a revogação por parte do titular não é tão simples, uma vez que o contrato também tem sua força de vigência e suas amarrações legais de outras legislações eventualmente envolvidas no acordo.

## 7 - Exercício de Direitos.

Outra finalidade legal para uso de dados pessoais, à escolha do controlador, é a de exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

Esta Base Legal tem como intuito garantir o direito de produção de provas de uma parte contra a outra em processos judiciais. Permitindo assim que uma das partes não obstrua a outra ao acesso e tratamento dos dados, como mecanismo de defesa durante o processo.

## 8 - Proteção à Vida.

O uso dos dados também tem a proteção e outorga de lei, em casos de proteção à vida ou integridade física dos titulares, ou de terceiros.

Com base no artigo 11 da LGPD, II, os dados sensíveis dos titulares poderão ser tratados sem o fornecimento do consentimento do titular caso sejam indispensáveis para a proteção da vida ou a chamada incolumidade física destes, ou de terceiros.

Como exemplo imaginem o trabalho de socorristas que dão entrada de pessoas inconscientes em casos de emergências. Uma vez identificado o cidadão e até mesmo o prontuário médico em alguma rede médica e hospitalar, tais informações poderão ser compartilhadas entre os médicos pelo bem da pessoa, sem o seu consentimento.

## 9 - Tutela da Saúde.

Assim como no item anterior, a LGPD também fornece uma base legal que autoriza o acesso e tratamento dos dados para a tutela da saúde, desde que realizada por profissional de saúde, serviços de saúde ou autoridade sanitária.

Essa base legal tende a ser bastante discutida e posta à prova, principalmente pelo interesse das informações que podem ser utilizadas em caráter público e comercial. Contudo, a legislação destaca que o compartilhamento dos dados não pode ser feito para prejudicar o titular ou, obter vantagem econômica sobre este.

Como assim? Imagine um cenário onde o acesso a alguma informação de saúde do titular, automaticamente reajuste o seu plano de saúde, por exemplo. Este é um exemplo categoricamente vetado pela LGPD. Ou seja, é vetado às operadoras dos planos de saúde o uso destes dados para seleção de riscos ou acepção de clientes.

## 10 - Proteção ao Crédito.

A 10ª. e última base legal tem por finalidade garantir que em situações de cobrança ou dívidas contraídas, os titulares não usem os mecanismos da LGPD como brecha para escaparem de suas obrigações financeiras.

Um exemplo, seria que o titular solicitasse à instituição financeira credora a exclusão dos seus dados de sua base de dados, ou até mesmo de órgãos como Boa Vista e Serasa, driblando assim a cobrança.

Esta também tende a ser uma Base Legal bastante discutida dadas as proporções polêmicas que o contexto é envolvido.

## Bases legais são apenas a fundamentação!

Por fim, espero ter deixado claro a você leitor – ainda que brevemente, as 10 Bases Legais para que você possa realizar o tratamento de dados, dentro das diretrizes da Lei. Tendo isto em mão, é seguro que possamos avançar para águas mais profundas, discutindo então os próximos passos que servirão de base para o seu caminho de adequação.

Um próximo capítulo pra você continuar nesta compreensão, será: [Qual a política de privacidade ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)


Entenda o que são as Bases Legais da LGPD

O [encarregado de dados, ou DPO](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) (_Data Protection Officer_ em inglês) é um cargo novo que surgiu, no Brasil, junto à [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Embora já existisse em outras legislações internacionais, como na [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) da União Europeia, aqui ele ainda é uma novidade que se impõe desde 2020. Com ele também surge a possibilidade de terceirização, o DPOaaS (DPO as a Service).

Por ser uma figura nova e pela importância que seu papel resguarda, muitas empresas e organizações estão optando pela terceirização dessa atividade. Mas será que isso realmente é uma boa? Quais são os riscos e vantagens em fazê-lo?

Confira as respostas para essas perguntas e conheça melhor o encarregado de dados e suas atribuições conforme determinações presentes na LGPD.

## O que é o DPO?

O DPO é uma pessoa física ou jurídica que é estabelecida dentro das Políticas de Proteção de Dados como um dos agentes que atua junto ao tratamento e uso de informações de titulares. Dessa forma, sua atuação é de extrema importância.

Ele pode ser uma pessoa física ou jurídica. Contudo, não pode corresponder a um departamento ou equipe da empresa. Afinal, é preciso que os documentos referentes à captação e tratamento de dados indiquem de forma específica quem se responsabiliza enquanto encarregado.

### ### Saiba mais sobre as funções de controlador e operador de dados da LGPD

As funções do DPO se revelam na intermediação da relação entre os titulares de dados, o agente de tratamento e, também, a Autoridade Nacional de Proteção de Dados (ANPD).

Ele não necessariamente toma decisões em relação aos dados e ao uso deles. Mas, auxilia no seguimento e cumprimento  das diretrizes que são impostas pelo agente de dados e pela Lei Geral de Proteção de Dados. E, aqui, surge outra das atribuições do DPO.

Afinal, ele também tem a responsabilidade de orientar os colaboradores que têm acesso aos dados de terceiros e que os utilizam como devem agir para respeitar as diretrizes da LGPD, bem como os consentimentos que foram concedidos.

_### Seu papel é de educar, organizar e auditar de acordo com as normativas da ANPD._

Dentre as principais atividades que um DPO encontra - sendo ele terceirizado ou não - estão:

- Aceitar reclamações dos titulares de dados, prestar esclarecimentos e adotar as providências necessárias;
- Receber comunicações da ANPD e tomar providências;
- Receber as revogações de consentimento ou as alterações no consentimento e dar as devidas providências;
- Garantir a aplicação dos princípios da LGPD referentes ao tratamento de dados pessoais;
- Monitorar a conformidade das organizações em relação à Lei Geral de Proteção de Dados, etc.

Assim, tem-se que o DPO realiza um serviço de meio de campo, pois ele intermedia relações e, ainda, é um dos agentes que se responsabiliza pelo respeito e adequação das ações à LGPD.

## Quando é possível terceirizar o DPO?

Sempre que a empresa ou organização desejar ela pode terceirizar esses serviços. A lei não exige que o encarregado seja um funcionário interno. Aliás, ela sequer exige que seja uma pessoa física que assuma esse papel.

Portanto, qualquer profissional autônomo ou empresa que preste serviços nessa área pode prestar serviços para outras empresas. Assim, estipula-se um contrato de prestação ou terceirização de serviços.

No caso da contratação de uma pessoa externa como DPO _as a service_, (_DPOaaS_) toma-se um contrato de prestação de serviços diretamente com o profissional.

Por outro lado, quando há contratação de uma empresa, há uma terceirização de DPO. Quem fica determinado como encarregado, dentro das Políticas de Privacidade, é a pessoa jurídica, então.

Ela concede, desse modo, profissionais que irão realizar os serviços típicos de um DPO. Contudo, eles prestam esse serviço a uma empresa em razão da contratação do seu empregador.

## Vantagens do DPO as a service

Para saber se vale a pena apostar na terceirização do DPO LGPD é necessário saber quais são as vantagens que isso oferta. Confira as principais delas abaixo.

Primeiramente, é indispensável para a adequação das empresas, organizações e sites à [LGPD](https://goadopt.io/blog/ignorar-a-lgpd/) que eles tenham a determinação clara de quem é o DPO. Atualmente todas as empresas devem ter um, embora existam indícios de limitação da obrigação no futuro.

### Abaixo algumas vantagens para o DPOaaS

### Agilidade
Nesse sentido, note que nem sempre é fácil contratar alguém que tenha os conhecimentos necessários para essa função ou treiná-lo para que cumpra as atividades do DPO. Por isso, a adequação pode ser mais rápida e fácil pela terceirização de tais serviços.

### Velocidade
Uma vez que se encontre um profissional já qualificado, ou até mesmo uma empresa que concentre o conhecimento multidisciplinar para a função, ganha-se muita velocidade no processo de adequação, já que cada empresa e mercado tem a sua especificidade.

### Treinamento e capacitação
Toda nova área e lei pede muito estudo e está sujeita a diversas mudanças no curto prazo. Logo, terceirizar essa função também designa a terceirização da responsabilidade de estar sempre atualizado e investindo na formação dos profissionais.

### Autonomia
Funções de guarda e auditoria acabam criando certos atritos com as áreas e até mesmo gestores. É essencial que o DPO tenha autonomia no seu trabalho, e até mesmo estabilidade, algo prescrito pela lei. Afinal, ele não pode ser ameaçado de perder o emprego por fiscalizar processos dentro da empresa. Assim, terceirizar essa responsabilidade por tornar as coisas um pouco mais leve no clima organizacional.

### Flexibilidade
Assim como todo prestador de serviço trabalha com um contrato, a sua substituição é muito mais fácil do que no caso de um funcionário CLT. Logo, o DPOaaS como PJ dará muito mais flexibilidade em caso de necessidade de ajustes ou substituições ao longo do tempo.

### Menor Custo
Encargos trabalhistas e previdenciários são muito pesados no Brasil, logo a contratação de um PJ para essa função pode servir de acordo reduzindo custos para a empresa e aumentando a remuneração do prestador de serviços.

**ATENÇÃO**: Vale destacar que todo prestador de serviço, por mais responsável que seja, pela função desempenhada, ainda está embaixo da hierarquia do empregador. Logo, decisões de última instância podem ser levadas à responsabilidade última dos administradores da empresa, mesmo tendo o DPOaaS. Logo, tome cuidado para não se apoiar na terceirização como uma isenção de responsabilidades.

O mesmo acontece quando a empresa não indica um DPO,os administradores assumem automaticamente. Falaremos mais a seguir.

## Se ninguém for nomeado DPO, o que acontece?

Independente da nomeação, os sócios administradores da empresa também já acumulam essa responsabilidade, a não ser que outra pessoa seja de fato designada.

Contudo, em última instância a responsabilidade sempre cairá sob os sócios administradores. Quando nomeado então, o profissional age em nome da empresa e dos seus representantes diante da autoridade nacional.

**### Sabe qual a diferença entre o Mapeamento de Dados e o [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/)?**

## Contrate especialistas no assunto

Outro ponto interessante na terceirização do DPO é que desse modo você pode contar com um especialista no assunto. Como dito acima, veja que não é a sua empresa quem se responsabiliza pela capacitação, mas sim a empresa ou profissional contratado.

Com isso é possível garantir ainda mais segurança às operações para que elas se adequem a LGPD e estejam em mãos de experts.

Melhor ainda quando o profissional faz parte de uma rede ou grupo multidisciplinar que pode auxiliá-lo nas peculiaridades do seu negócio e mercado.

## Quais são as funções do DPO quando há terceirização?

As funções, nesse caso, são as mesmas que um encarregado interno teria. Afinal, a terceirização somente se refere à possibilidade de que as atividades sejam realizadas por um agente externo à empresa.

Como vimos acima, então, esse agente pode ser uma pessoa jurídica ou natural. Seja como for, deverá ocorrer a indicação de quem ele é, de forma específica, dentro da [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e demais documentos referentes ao consentimento, uso e tratamento de dados.

Aliás, qualquer alteração referente a quem é o responsável enquanto encarregado de dados LGPD deve refletir em uma alteração das políticas. Em caso contrário, haverá transgressão à Lei Geral de Proteção de Dados e criação de risco de sanções como [multas e até suspensão das bases de dados.](https://goadopt.io/blog/multas-na-lgpd/)

Quer saber mais sobre as [responsabilidades do Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), separei esse artigo para você!



Terceirizar o DPO (DPOaaS), ou encarregado de dados da empresa é uma boa?

Como lidar com uma profissão que sequer existia até alguns anos atrás e cuja presença se faz obrigatória, hoje, nas empresas? Essa é justamente a pergunta que se apresenta quando pensamos na figura do [Encarregado de Dados ou DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/).

Esse termo, bem como o profissional por trás dele, surgiu com a promulgação das leis de privacidade, no Brasil a [Lei Geral de Proteção de Dados - LGPD.](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) Esta, ocorreu em 2018, e entrou em vigor apenas em 2020. Segundo a lei, então ele é o encarregado por garantir o correto tratamento dos dados que a empresa eventualmente use e que pertençam a terceiros.

E essa responsabilidade que a lei atribui sobre a figura profissional do encarregado pode dar a entender que ele é o único e exclusivo responsável pelos cuidados que se aplicam a tais dados. E aí? É isso ou não? O trabalho do Encarregado de Dados é solitário ou deve ser em equipe? Confira tudo isso na sequência.

## Encarregado de Dados e suas responsabilidades

Sabe aquelas listas em que vemos as “profissões do futuro”? Pois saiba que se por futuro considerássemos 2021, a figura do Encarregado de Dados estaria nessa lista, pois em termos profissionais ela é o que há de mais novo e moderno no mercado.

Afinal, esse cargo sequer existia antes da LGPD, ou da GDPR. A lei criou uma nova profissão. Isso ocorreu a partir do momento em que a Lei Geral de Proteção de Dados estipulou expressamente a existência dessa figura. Ao mesmo tempo, trouxe todas as suas responsabilidades.

O Encarregado de Dados ou DPO (_Data Protection Officer_) é justamente uma figura que deve controlar e gerenciar o tratamento de dados - ou seja, o uso deles - no dia a dia da empresa.

Assim, é ele quem se responsabiliza por garantir que todos os processos, fluxos e ações respeitem os limites amparados pela Base Legal que sustenta o uso daquela dado pela empresa. Assim, em caso de uma consulta da ANPD à empresa, ele é quem deve responder em nome da instituição.

### Saiba mais sobre as Bases Legais da LGPD.

Dentre as responsabilidades do DPO que estão claras na LGPD estão:

- Executar atribuições determinadas pelo Controlador de Dados e nos limites dessa determinação (e, claro, da lei);
- Lidar com as reclamações dos titulares dos dados pessoais;
- Prestar esclarecimentos sobre o uso dos dados aos titulares deles;
- Comunicar-se com os titulares de dados sempre que necessário;
- Tomar as providências para que haja o devido reflexo no uso e captação de dados diante de eventual alteração de consentimento do titular;
- Orientar os demais profissionais que lidem com esses dados e os tratem quanto aos cuidados com a segurança e aos limites de consentimento e aplicação dessas informações.
-
Aliás, note que por responder às diretrizes do [Controlador de Dados](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/), o DPO não se confunde com essa figura. Enquanto o controlador se refere a quem define o modo de tratamento das informações desde a sua entrada até a eliminação delas, o Operador de Dados é quem executa o processo e garante que isso será seguido à risca. Ambos, Controlador e Operador, quando distintos, devem ter os seus DPOs responsáveis.

### [Conheça mais sobre as responsabilidades do Encarregado de Dados e como o trabalho dele impacta as empresas frente à Lei Geral de Proteção de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)

## Todos os clichês de trabalho em equipe se tornam realidade nos cuidados ao tratamento de dados conforme LGPD.

São várias as atribuições que um DPO possui dentro de uma empresa, como vimos acima. E isso não se dá por acaso, afinal os tratamentos de dados impõem limites específicos e requerem atenção e cuidados essenciais.

Nesse sentido, fica claro que o Encarregado de Dados acumula uma série de atividades. Mas, por mais que ele seja capacitado para as suas responsabilidades e esteja em dia com as atividades da empresa que envolvam o tratamento de dados, isso não é suficiente.

_O trabalho isolado do DPO é algo que é impossível de ocorrer. _

Ou melhor, não encontra possibilidades de se desenvolver com a qualidade necessária e com a manutenção da segurança contra vazamentos de dados ou uso deles de forma indevida.

É por isso que quando falamos no trabalho do Encarregado de Dados não podemos entender que suas atividades se dão de forma isolada ou individual. A importância e o número das atribuições fazem com que seu trabalho se dê em equipe.

Para que não haja confusão, entenda: o DPO realmente tem responsabilidade sobre as questões que envolvem o uso de dados. Assim, em caso de acidentes ou problemas que envolvam essas informações, ele estará diretamente envolvido.

Por outro lado, isso não significa, então, que ele deva trabalhar sozinho. Muito pelo contrário! Garantir que os demais colaboradores e equipes se envolvam no cuidado que os tratamentos de dados exigem em razão da LGPD é crucial.

O trabalho do Encarregado de Dados é multidisciplinar. Jurídico, Tecnologia, [Marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/), Segurança da Informação, Gestão de Processos, Relações
Institucionais,etc. Como é muito difícil que uma pessoa domine todas essas áreas, o auxílio de uma equipe/time de suporte é essencial!

Somente assim se torna possível desenvolver um trabalho em sintonia, que ocorra conjuntamente de forma a garantir o uso correto dos dados. Dessa forma, nada de isolar o seu DPO! O trabalho dele deve acontecer perto dos demais colaboradores e com a assistência destes.

## Formação de um comitê de segurança

Uma forma de dar ao Encarregado de Dados o apoio do qual ele precisa para desenvolver suas atividades com sucesso é criar um comitê de segurança de dados. Ele, então, deve ser formado por diversos profissionais que representam as equipes da empresa.

Ainda, que representem os principais interesses que entram em jogo quando estamos diante do vazamento ou mau uso de dados. Por isso, deve ter representantes de Recursos Humanos, do setor Jurídico e de Tecnologia da Informação, no mínimo.

Da mesma forma, podem contar, fixamente ou em situações específicas, com representante do time de marketing, bem como dos departamentos de Comunicação, Comercial, Financeiro…

Com isso o DPO encontra possibilidades de, conjuntamente, traçar estratégias, de forma que os representantes de cada um desses departamentos ajudem na implementação delas, bem como no mapeamento dos principais problemas que o tratamento de dados encontra nos mais diversos processos empresariais.

Cada representante age como um braço direto do DPO no seu(s) departamento(s), assim, é importante que haja um bom conhecimento dos processos e autonomia na investigação dos fluxos e detalhes.

## Conhecimento sobre os processos da empresa que se baseiam em tratamento de dados

Como vimos, o DPO se encarrega por garantir que o uso de dados ocorra de acordo com a [base legal ](https://goadopt.io/blog/bases-legais-da-lgpd/)que ampara o uso de dados dos usuários e com os limites da LGPD. E, também, em fiel seguimento às determinações do Controlador de Dados.

São inúmeros os tipos de atividades que ocorrem simultaneamente, dentro de uma empresa, que envolvem o tratamento de dados. Considere, nesse sentido, uma venda online. Nesse caso, são colhidos dados de endereço, CPF, telefone e nome completo, que deverão ser usados para:

- Cobrança;
- Geração de nota fiscal;
- Comunicação da conclusão da venda com o próprio cliente;
- Logística de separação e encaminhamento do produto;
- Oferecimento de rastreamento;
- Contato para pós-venda.
- …

E essas são apenas algumas das atividades que requerem dados em um processo de venda. Portanto, é necessário que o Encarregado de Dados conheça esses processos, como eles se dão, os dados que usam, como são armazenados, descatados e outras informações do tipo.

Somente dessa maneira se torna possível saber onde a empresa está acertando e errando no tratamento de dados, bem como traçar estratégias de segurança e garantir que o tratamento de dados se dê dentro dos seus limites e normas.

## Estipular limites e regras para o uso dos dados pelas equipes

Ideias e possibilidades não faltam.
Mas, para tentar encerrar esse tópico, uma última dica.

Quando o DPO está em contato com as equipes ele também se torna capaz de orientá-las para que, no seu dia a dia, o tratamento de dados ocorra da maneira correta. Isso pode ser feito de diversas formas, como pelo desenvolvimento de um manual, treinamentos, etc.

É crucial que todos que de alguma forma trabalham com o tratamento de dados tenham acesso a tais normas e que saibam exatamente qual é o limite do uso das informações.

Com isso, o trabalho em equipe do Encarregado de Dados não apenas se torna possível, mas, igualmente, traz melhorias efetivas na empresa e a deixa segura frente às diretrizes da LGPD.

Já ouviu falar do [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/), sabe o que é esse documento?

Aqui falamos um pouco mais dele, para te ajudar nos [processos de adequação](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/).



Encarregado de Dados e LGPD, um trabalho solitário ou em equipe?

A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.

O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:

- **Como é feita a coleta de dados**, seus processos e atividades;
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?

ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais.

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?

A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

### ### Perguntas que o ROPA deverá responder

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?

## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?

## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito!

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?

Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.


ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

Ignorar os Termos de Uso e a sua importância dentro de um site, principalmente agora com a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), é um erro comum que tanto os consumidores quanto os donos do site cometem com frequência.

Os primeiros a ignoram e os segundos simplesmente as copiam de outros sites e ignoram os pontos principais.

Afinal, é chato perder tempo lendo esses documentos ou pensando no desenvolvimento deles, certo? Errado! É claro que a leitura não promete um deleite literário, eu bem sei.

Porém, ela é necessária para que se garanta a segurança tanto do usuário quanto do proprietário da página. Não à toa está presente na maioria dos [banners de cookies](https://goadopt.io/blog/banner-de-cookies/) espalhados por aí…

Não perca mais tempo, então, e confira abaixo tudo sobre eles, bem como os Termos de Uso se tornaram essenciais em tempos de LGPD.
## Termos de Uso: O que são?
Termos de Uso correspondem a um documento que traz em detalhes questões sobre o funcionamento do site, a contratação dos serviços/produtos ofertados (ou uso de informações ali presentes) e limites de responsabilidades das partes.

Ele, então, é um documento em texto que traz normas sobre o funcionamento e a utilização do site e dos seus serviços. Estes podem ser comerciais, informativos, de prestação de serviços e por aí vai.

Termos de Uso e  LGPD, [Políticas de Privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/), coleta de dados... são tantos os termos que surgem nas conversas sobre proteção de dados e obrigações dos sites que navegar na internet passou a necessitar de um dicionário e de um diploma em Direito e TI.

Calma, mesmo que você já seja o [Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) do seu site, por livre espontânea pressão, estamos aqui para te ajudar! :D

Mas você não precisa disso tudo para entender como esses termos conversam e qual é a importância deles. Hoje veremos de forma simples e sem complicações que exijam termos técnicos sobre o assunto.

## E para que servem os Termos de Uso?
Os Termos de Uso servem justamente como um contrato!

E você já imaginou assinar um contrato sem lê-lo com antecedência? Ou, ainda, copiar um contrato qualquer que diz respeito sobre as regras que lhe protegem, sem saber se elas cabem ao seu caso?

Pois é, é por isso mesmo que ignorar os Termos de Uso não é mais uma opção. Na verdade é uma grande irresponsabilidade, convenhamos.

Ele serve, então, para impor regras para que os usuários ou clientes utilizem o site ou plataforma. Ou seja, quando você aceita os termos, aceita as condições que a página impôs. Ao fazer uma compra nesse e-commerce, segue as regras ali impostas.

É claro que esse documento também segue regras como o Código de Defesa do Consumidor, mas no geral, o contrato é imposto pelo site. Por isso, é de responsabilidade dele o desenvolver com qualidade, transparência e acessibilidade (fácil leitura).

Da mesma forma, cabe ao visitante ler os termos e, caso não concorde com eles, abandonar o site ou o uso. Afinal, caso concorde, deverá seguir os limites dele (desde que não abusivos, mas isso já é papo jurídico).

Os Termos de Uso servem, em resumo, para estabelecer os limites de uso do site, de responsabilidade dele, o uso correto dos serviços, os deveres e direitos de cada um e o que se oferece ali.

Além disso, cabe lembrar que cada tipo de Termos é diferente. Afinal, um site de notícias não oferece os mesmos serviços (e nem tem as mesmas responsabilidades) que uma página que vende produtos.

Por isso, pensar nesse documento é sempre muito importante para quem tem sites. Da mesma forma, é importante para você, leitor, pois indica seus direitos e deveres.
## Qual é a relação entre os Termos de Uso e a LGPD?
Os Termos de Uso fazem parte da transparência que os sites devem aos seus visitantes e usuários. Eles acompanham, então, as Políticas de Privacidade. Estas indicam como é feito o tratamento, colhimento e segurança de dados que eventualmente são colhidos ali.

E são justamente essas documentos que são a formalização dos temas centrais da [LGPD, a Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Ela é recente e entrou em vigor em Agosto de 2020.

Por isso, mais do que nunca é essencial que os sites se atentem à necessidade de desenvolver esses documentos que atingem a privacidade e os direitos do consumidor/visitante de acordo com a LGPD. Em caso contrário, correm risco de receberem penalidades. Dentre estas, multas bem significativas.

Embora muitos sites optem por apresentá-los em um documento só, é de suma importância que eles estejam dispostos no site em documentos separados e únicos. Ou seja, um para os Termos de Uso e outro sobre a Política de Privacidade.

Enquanto os Termos de Uso trazem as limitações sobre possibilidade de uso dos dados e serviços ali disponíveis, de responsabilidades das partes, direitos, deveres e propriedades intelectuais. Já as Políticas de Privacidade trazem informações sobre tratamento e obtenção dos dados dos usuários e visitantes.
## Como desenvolver os Termos de Uso do meu site?
Ao criar os Termos de Uso de acordo com a LGPD existem alguns cuidados que são indispensáveis.

Primeiramente, embora os Termos de Uso correspondam a um contrato para uso do site e dos seus serviços, ele não requer linguagem jurídica. Na verdade, quando mais claro puder ser nele, melhor!

Afinal, é imprescindível que todos os visitantes sejam capazes de compreender os termos ali dispostos, pois dizem respeito aos seus direitos e deveres no uso da página. Por isso, lembre-se de manter a simplicidade.

Outra questão diz respeito à especificidade dos termos. Lembra que citamos antes o (péssimo) hábito de alguns sites que simplesmente copiam os Termos de Uso de outros? Pois bem. Isso é errado justamente porque esse documento deve se relacionar de forma específica ao que cada página oferta.

Por exemplo, um site informativo, um de e-commerce e um que ofereça ferramentas de cálculos online terão, cada uma, Termos de Uso específicos e diferentes. Ainda, mesmo entre os e-commerces isso varia.

Outro ponto que deve ser considerado são as delimitações, dentro da LGPD, sobre os papéis de [Controlador e Operador de Dados](https://goadopt.io/blog/tag/controlador-e-operador/). Pois, muitas vezes esses papéis podem ser confundidos ou até mesmo invertidos durante a prestação de serviços.

Afinal, devem conter dados sobre os tipos de produtos que comercializa, os dados necessários para compra, dentre outras questões que são extremamente únicas de cada negócio.

Por fim, lembre-se de que os Termos de Uso devem conter, além de delimitação dos serviços, a limitação das responsabilidades e obrigações, bem como declarações de direitos autorais e de propriedade industrial.

Com tudo isso é possível garantir Termos de Uso de acordo com a LGPD, seguros, claros e completos! Se quiser, pode usar os [Termos de Uso da AdOpt](https://goadopt.io/termos-de-uso/) como referência.

## Quer se aprofundar no assunto?

Temos este outro artigo, que te ajuda com [dicas para quando precisar atualizar os seus Termos](https://goadopt.io/blog/notificacao-usuarios-termos-de-uso)



O que são Termos de Uso e qual a sua importância na LGPD?

Em julho de 2019, a [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) (a regulação geral de proteção de dados da União Europeia) pediu a maior multa da história da lei: 183 milhões de euros. A empresa multada foi a [British Airways](https://oglobo.globo.com/economia/defesa-do-consumidor/british-airways-multada-em-us-230-milhoes-por-caso-de-roubo-de-dados-de-passageiros-23791711), companhia aérea inglesa. O motivo foi o seguinte: a empresa, por falha de segurança, vazou dados pessoais de mais de 500 mil clientes.

Ja faz algum tempo que a LGPD entrou em vigor, mas o assunto ainda continua gerando muitas dúvidas aos brasileiros. Quais multas são previstas na LGPD? Qual é a multa máxima que uma empresa pode receber? Qual é o prazo para um site se adequar e não ser multado?

Neste artigo responderemos todas as suas perguntas com relação às multas da Lei Geral de Proteção de Dados.

## Quais multas foram aplicadas na GDPR?

Na União Europeia, empresas podem ser penalizadas com uma multa de 20 milhões de euros ou até 4% do faturamento, aquilo que for maior. Como vimos, a British Airways teve um prejuízo de 183 milhões de euros pelo mau uso de dados.

A Alemanha multou em 1,5 mil dólares um policial que utilizou, para fins pessoais, a placa de carro de um cidadão para encontrar o número telefônico dele. Ou seja, não apenas grandes empresas que chamam atenção com seus erros e são penalizadas.

Mas e a nossa LGPD? Essas multas serão as mesmas na Lei Geral de Proteção de Dados, inspirada no regulamento europeu?

## Quais casos na LGPD são passíveis de multa?

A LGPD deve ser acatada por inteiro, não em partes. A British Airways, por um deslize não proposital, foi multada em valor recorde.

Por isso, é de extrema importância que você leia [tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) e se adeque o mais rápido possível. Toda empresa deverá ter um Encarregado de Proteção de Dados e é recomendável que utilize uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/), o que torna o trabalho muito mais fácil.

Deslizes maiores acarretarão em multas maiores; deslizes menores, obviamente, serão penalizados de forma diferente. A lei diz que os seguintes fatores serão levados em conta:

- A gravidade e a natureza das infrações e dos direitos pessoais afetados;

- A boa-fé do infrator;

- A vantagem auferida ou pretendida pelo infrator;

- A condição econômica do infrator;

- A reincidência;

- O grau do dano;

- A cooperação do infrator;

- A adoção de política de boas práticas e governança;

- A pronta adoção de medidas corretivas; e

- A proporcionalidade entre a gravidade da falta e a intensidade da sanção.

As sanções administrativas completas estão no artigo 52 da lei, que pode ser consultada [aqui](http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm).

## Quais são as multas e penalidades na LGPD?

A LGPD prevê seis penalidades ou multas. São elas:

1. Advertência. Essa advertência virá com um prazo para que a empresa se adeque à legislação. Se não se corrigir no prazo estipulado, haverá penalidade.

2. Multa simples em cima do faturamento. Essa multa pode ser de até 2% do faturamento da pessoa jurídica. O limite é de 50 milhões de reais por infração.

3. Multa diária. Essa multa também será limitada a 50 milhões de reais.

4. Publicização da infração. A infração se tornará pública e os prejuízos à imagem da empresa poderão ser enormes.

5. Bloqueio dos dados pessoais. Essa sanção administrativa impede que as empresas utilizem os dados pessoais coletados até a situação se regularizar.

6. Eliminação dos dados pessoais. A sexta penalidade prevista na LGPD obriga a empresa a eliminar por completo os dados coletados em seus serviços, causando danos à operação da empresa.

O limite das multas na LGPD é de 50 milhões. Mas algumas das penalidades podem ser ainda piores, dependendo da empresa. Por exemplo, assumir publicamente o vazamento de dados pessoais de milhares de clientes pode derrubar até mesmo empresas sólidas, minando totalmente a credibilidade de uma marca.

Mas essas multas também se aplicam a negócios menores, com pequenas operações de tratamento de dados? Ou apenas a empresas grandes, como a British Airways e o Google?

## Qualquer um pode ser multado?

A lei fala de “agentes de tratamento”. Qualquer site ou empresa que realiza coleta de dados se torna, automaticamente, um agente de tratamento.

Mas há exceções. São elas:

- Pessoas naturais que utilizem dados para fins particulares e não econômicos;

- Pessoas que utilizem dados para fins jornalísticos, artísticos ou acadêmicos;

- Agentes de segurança pública ou defesa nacional que utilizem dados para cumprir a lei.

Nestas hipóteses, não há a necessidade de um consentimento formal. Portanto, não existe a possibilidade de multa, tendo em vista que não infringem a lei.

Mas todo negócio, sem exceção, estará sujeito às multas assim que a lei entrar em vigor. Mas enquanto não entra você tem uma tarefa:

## Qual é o prazo para adequação?

O prazo já acabou! A lei entrou em vigor em território nacional no dia 16 de agosto de 2020.

Se a sua empresa ainda não está adequada recomendamos que comece o quanto antes e obtenha o máximo de informações sobre a lei, para seu negócio não estar sujeito às multas e penalidades. Para entender melhor o regulamento, leia o artigo [Tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)!



Multas na LGPD – Quais são, valores e prazos de adequação

A **Colorado Consumer Privacy Act (CPA)** entrou em vigor em 1º de julho de 2023, tornando-se um marco na proteção da privacidade dos residentes do Colorado. Para qualquer empresa que opera ou tem clientes nesse estado, entender essas regras é uma excelente oportunidade para demonstrar transparência e fortalecer o relacionamento com o público.

O foco central desta lei é devolver o controle dos dados pessoais aos consumidores, garantindo que a inovação digital caminhe lado a lado com o respeito à privacidade. Mas o que isso muda na prática para o seu negócio, especialmente na gestão de **[cookies](https://goadopt.io/blog/cookies-e-lgpd/ )** do seu site? Vamos descomplicar esse tema de forma leve e direta.

## Provisões principais e definições da CPA

Um dos pontos mais positivos da CPA é a clareza que ela traz para o mercado. A lei exige que as empresas obtenham um consentimento claro dos usuários antes de coletar qualquer dado pessoal. Isso inclui o uso de rastreadores e tecnologias de monitoramento que tornam a experiência na web mais personalizada.

Na prática, os cookies são pequenos fragmentos de dados que ajudam a entender as preferências do seu visitante. Sob a CPA, o uso dessas ferramentas deve ser acompanhado de informação e escolha. Um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/ )** ou um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )** elegante é a maneira mais eficiente de convidar o usuário a participar dessa jornada de dados.

Esse aviso deve ser claro, conciso e oferecer uma forma simples de aceitar ou gerenciar as preferências. Além disso, a CPA garante direitos como o acesso, a exclusão e a possibilidade de optar por não participar do processamento de dados (opt-out). Ter uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/ )** bem estruturada é o que garante que esses direitos sejam respeitados com facilidade.

## Como se manter atualizado sobre a CPA do Colorado

Manter a conformidade com a CPA é um processo contínuo que reflete o compromisso da sua marca com a ética digital. Estar à frente das tendências de privacidade é um diferencial competitivo. Aqui estão algumas dicas para sua empresa brilhar:

1.  **Acompanhe as novidades do setor**: Assinar newsletters sobre privacidade ajuda a entender as melhores práticas e as evoluções do mercado.
2.  **Participe de eventos e webinars**: Esses encontros são ótimos para obter insights práticos sobre como aplicar as leis de privacidade de forma leve.
3.  **Utilize uma CMP (Plataforma de Gestão de Consentimentos)**: Ferramentas como a **[AdOpt](https://goadopt.io )** automatizam o processo, garantindo que seu site esteja sempre alinhado com as regras mais recentes.
4.  **Conte com um Encarregado de Dados (DPO)**: Um **[DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/ )** pode orientar seus esforços de privacidade, garantindo que seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/ )** sejam seguros e eficientes.

## A CPA se aplica ao seu negócio?

O primeiro passo para uma gestão de dados de sucesso é entender se a lei se aplica à sua operação. A CPA foca em empresas que:

- Conduzem negócios no Colorado ou direcionam produtos/serviços para residentes de lá.
- Controlam ou processam dados de 100.000 ou mais residentes anualmente.
- Obtêm receita ou descontos com a venda de dados e processam informações de pelo menos 25.000 residentes.

Existem exceções positivas para organizações sem fins lucrativos e instituições financeiras que já seguem outras normas rigorosas. Para ter certeza do seu cenário, realizar um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/ )** é a melhor forma de visualizar o fluxo de informações na sua empresa.

## A CPA na prática: os três documentos

A adequação à CPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/colorado-cpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/colorado-cpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/colorado-cpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Entenda a CPA e os Cookies

**O que é considerado consentimento claro sob a CPA?**
É a permissão dada pelo usuário de forma livre e informada. No seu site, isso é feito através de uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/ )** que bloqueia cookies não essenciais até que o usuário faça sua escolha.

**Quais cookies precisam de consentimento?**
Cookies funcionais, de performance e de marketing exigem a escolha do usuário. Já os cookies estritamente necessários para o funcionamento do site podem operar normalmente para garantir a melhor experiência.

**Como a AdOpt ajuda na conformidade com a CPA?**
A AdOpt automatiza a exibição do **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )**, gerencia as preferências dos usuários e mantém registros seguros, permitindo que você foque no crescimento do seu negócio.

## Simplifique sua jornada com a AdOpt

Adequar seu site às leis de privacidade é um passo fundamental para construir uma marca forte e confiável. A AdOpt oferece a tecnologia necessária para que você gerencie consentimentos de forma automatizada, elegante e profissional.

**[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria )** e veja como a AdOpt pode ajudar sua empresa a navegar pela CPA e outras leis de privacidade com total tranquilidade.



CPA Colorado e Cookies: Tudo o que você precisa saber

A proteção de dados pessoais tornou-se uma questão fundamental na era digital, levando à implementação de regulamentações em todo o mundo para garantir a privacidade e a segurança dos indivíduos. Duas das legislações mais conhecidas e abrangentes nesse sentido são a Lei Geral de Proteção de Dados (LGPD), do Brasil, e o Regulamento Geral de Proteção de Dados (GDPR), da União Europeia. Afinal elas abarcam populações imensas em seus territórios, consequentemente reverberam para além de suas fronteiras.

Contudo, embora ambas tenham o objetivo de proteger os direitos dos indivíduos em relação ao processamento de seus dados pessoais, existem algumas diferenças importantes entre elas.

## A diferença na aplicação geográfica

A primeira diferença significativa entre a LGPD e a GDPR está na sua aplicação geográfica. A GDPR aplica-se a todos os países membros da União Europeia (UE) e também **a empresas fora da UE que processam dados de indivíduos da UE.**

Por outro lado, a LGPD aplica-se a todas as organizações que processam dados pessoais no Brasil, independentemente de sua localização geográfica. Isso significa que empresas brasileiras e estrangeiras que lidam com dados pessoais de indivíduos brasileiros devem cumprir as disposições da LGPD. Por isso a importância de transparência na transferência internacional de dados.

## A diferença nas multas e sanções

Outra diferença importante é o valor das multas por não conformidade. Sob a GDPR, as multas podem chegar a 20 milhões de euros ou até 4% do faturamento global da empresa, prevalecendo o valor mais alto. Enquanto isso, [a LGPD estabelece multas](https://goadopt.io/blog/multas-na-lgpd/) que podem chegar a 2% do faturamento da empresa no Brasil, limitadas a 50 milhões de reais por infração.

É importante notar que esses valores representam penalidades máximas e que a gravidade da infração e a capacidade financeira da organização são consideradas na determinação da multa. Outro ponto, é que a multa é por infração, ou seja, 1 cidadão que tenha seus dados comprometidos = 1 infração. Quantas infrações seriam calculadas para uma base com milhares, milhões de dados?

## A diferença nas categorias de dados considerados sensíveis.

A definição de dados sensíveis também difere entre as duas regulamentações. Enquanto a GDPR inclui categorias específicas de dados, como raça, origem étnica, opiniões políticas, crenças religiosas, saúde, orientação sexual, entre outros, a LGPD vai além e também inclui informações relacionadas à biometria e genética como dados sensíveis.

Essa ampliação da definição de dados sensíveis na LGPD reflete a preocupação em proteger informações pessoais ainda mais sensíveis e garantir que elas sejam processadas com o devido cuidado.

## A diferença na coleta de consentimentos e o seu processamento

O consentimento para o processamento de dados é outro aspecto que difere entre a GDPR e a LGPD. Sob a GDPR, o consentimento deve ser explícito, específico e livremente dado pelo indivíduo. Já a LGPD requer um consentimento inequívoco, fornecido por meio de uma declaração ou outra ação afirmativa do titular dos dados.

Ambas as regulamentações enfatizam a importância do consentimento informado e livre, garantindo que os indivíduos tenham controle sobre como seus dados pessoais são utilizados.

Porém, você pode se perguntar:
_Não seria a mesma coisa mas, dita de maneira diferente?_

Contudo, apesar de ambas as legislações enfatizarem a importância do consentimento, existem diferenças sutis na forma como elas abordam esse aspecto.

De acordo com a GDPR, o consentimento deve ser **explícito**, o que significa que deve ser dado por meio de uma ação afirmativa clara e específica pelo indivíduo. **Isso implica que o consentimento não pode ser presumido ou obtido por meio de omissão ou pré-seleção.** Além disso, o consentimento deve ser **específico**, **indicando claramente a finalidade para a qual os dados serão processados**. E também deve ser **livremente dado**, ou seja, o indivíduo deve ter a liberdade de escolher consentir ou não, **sem sofrer pressão ou coerção.**

Por outro lado, a LGPD exige um consentimento **inequívoco**, que significa que o consentimento deve ser **claro e indiscutível**. Ele deve ser **fornecido por meio de uma declaração ou outra ação afirmativa do titular dos dados**, indicando sua concordância com o processamento dos dados para uma finalidade específica. A LGPD não usa o termo "explícito" como a GDPR, mas exige que o consentimento seja inequívoco, ou seja, não deixe dúvidas ou ambiguidades.

Embora a nomenclatura e as palavras utilizadas para descrever o consentimento possam variar entre as duas legislações, as diferenças vão além disso. A GDPR estabelece requisitos específicos para o consentimento explícito, enquanto a LGPD enfatiza a necessidade de um consentimento inequívoco.

Essas diferenças refletem as abordagens distintas adotadas por cada legislação, embora ambas busquem proteger os direitos e a privacidade dos indivíduos em relação ao processamento de seus dados pessoais.

Enfim, a LGPD – recentemente, publicou seu [Guia Orientativo acerca do uso de cookies](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/). Neste aproveitam-se mais das predefinições da GDPR quanto aos requisitos específicos para o consentimento explícito na coleta de consentimentos.

## A diferença na nomeação do Encarregado de Dados ou DPO.

Outro ponto relevante é a nomeação de um Encarregado de Proteção de Dados (Data Protection Officer). Na GDPR, algumas organizações são obrigadas a nomear um DPO para supervisionar a conformidade com o regulamento e atuar como ponto de contato para questões relacionadas à proteção de dados. Essa obrigação se aplica a organizações que realizam um monitoramento sistemático em larga escala de dados pessoais ou que processam categorias especiais de dados, como dados relacionados à saúde ou origem étnica.

Já na LGPD, embora a nomeação de um [Encarregado de Proteção de Dados](https://goadopt.io/blog/encarregado-de-dados-lgpd-equipe/) não seja obrigatória, é recomendado que as empresas designem um profissional responsável por lidar com questões de privacidade e proteção de dados. Pois, em última instância o sócio administrador da empresa já seria o responsável por esta frente.

## A diferença na utilização de cookies de internet

No que diz respeito ao impacto dos cookies de internet, tanto a GDPR quanto a LGPD abordam a questão de forma semelhante. Os cookies são pequenos arquivos de texto que são armazenados nos dispositivos dos usuários quando eles visitam um site. Eles desempenham um papel importante na personalização da experiência online, mas também podem coletar informações pessoais. Ambas as regulamentações exigem que os sites obtenham o consentimento do usuário antes de armazenar ou acessar cookies que coletam dados pessoais.

A GDPR estabelece que o consentimento deve ser obtido por meio de uma ação afirmativa clara, como marcar uma caixa de seleção ou clicar em um botão. Além disso, os usuários devem ser informados sobre quais cookies serão armazenados, para que finalidade e por quanto tempo. Eles também têm o direito de retirar seu consentimento a qualquer momento.

Já a LGPD segue uma abordagem semelhante, exigindo que os sites obtenham o consentimento prévio e inequívoco dos usuários antes de utilizar cookies que coletam dados pessoais. Os usuários devem ser informados sobre a finalidade dos cookies, bem como sobre a possibilidade de recusar ou revogar o consentimento. Além disso, a LGPD também prevê o direito dos usuários de acessar, corrigir e excluir seus dados pessoais coletados por meio de cookies.

Portanto, tanto a GDPR quanto a LGPD têm como objetivo garantir que os usuários tenham controle sobre seus dados pessoais, incluindo aqueles coletados por meio de cookies. As empresas que operam na União Europeia e no Brasil devem estar cientes das disposições dessas regulamentações e adotar medidas adequadas para garantir a conformidade.

## A transparência, a segurança e o controle são a sinergia entre as legislações

Em resumo, a GDPR e a LGPD são regulamentações abrangentes de proteção de dados que visam proteger os direitos e a privacidade dos indivíduos. Embora existam diferenças nas suas aplicações geográficas, multas por não conformidade, definição de dados sensíveis e requisitos de consentimento, ambas compartilham o objetivo de promover a transparência, o controle e a segurança no processamento de dados pessoais.

Além disso, ambas as regulamentações reconhecem a importância do consentimento para o uso de cookies e exigem que os sites obtenham o consentimento dos usuários antes de coletar seus dados por meio dessas tecnologias. Portanto, as empresas que operam em conformidade com a GDPR e a LGPD devem observar atentamente as diretrizes relacionadas aos cookies de internet, garantindo que obtenham o consentimento apropriado e forneçam informações claras sobre a coleta, o armazenamento e o uso desses cookies.

## A privacidade e o uso de cookies

O impacto dos cookies de internet é significativo para empresas que devem observar tanto a GDPR quanto a LGPD. Os cookies são amplamente utilizados para rastrear o comportamento dos usuários, personalizar anúncios e melhorar a experiência de navegação. No entanto, eles também levantam preocupações em relação à privacidade e à proteção de dados pessoais.

Para empresas que operam em conformidade com ambas as legislações, é crucial garantir que os cookies sejam configurados e utilizados de acordo com os requisitos de consentimento e transparência estabelecidos pelo regulamento.

Isso significa obter o consentimento explícito dos usuários antes de ativar os cookies e fornecer informações claras sobre os tipos de cookies usados, sua finalidade e a duração do armazenamento. Além disso, as empresas devem permitir que os usuários optem por não aceitar cookies ou gerenciem suas preferências de cookies facilmente.

O não cumprimento das disposições relacionadas aos cookies pode resultar em multas substanciais, bem como na perda de confiança dos usuários e danos à reputação da empresa. Portanto, é fundamental que as empresas estejam atentas às obrigações impostas tanto pela GDPR quanto pela LGPD em relação aos cookies de internet.

Para garantir a conformidade com a GDPR e a LGPD em relação aos cookies, as empresas devem adotar as seguintes medidas:

1. **Transparência**: As empresas devem fornecer informações claras e acessíveis sobre o uso de cookies em seus sites. Isso inclui explicar quais tipos de cookies são usados, para que finalidade e por quanto tempo os dados são armazenados.

2. **Consentimento adequado**: É necessário obter o consentimento dos usuários antes de ativar cookies que coletam dados pessoais. O consentimento deve ser obtido de forma clara, específica e inequívoca. Os usuários devem ter a opção de consentir ou recusar o uso de cookies e poder gerenciar suas preferências de cookies.

3. **Gerenciamento de preferências**: As empresas devem fornecer aos usuários opções claras para gerenciar suas preferências de cookies. Isso pode incluir a possibilidade de aceitar ou recusar categorias específicas de cookies ou revogar o consentimento anteriormente dado.

4. **Segurança dos dados**: As empresas devem implementar medidas de segurança adequadas para proteger os dados pessoais coletados por meio de cookies. Isso inclui salvaguardar essas informações contra acesso não autorizado, uso indevido ou divulgação.

5. **Direitos dos usuários**: As empresas devem respeitar os direitos dos usuários em relação aos seus dados pessoais, conforme estabelecido na GDPR e na LGPD. Isso inclui o direito de acessar, corrigir, atualizar ou excluir os dados coletados por meio de cookies.

Ao adotar essas medidas, as empresas podem garantir que estão agindo em conformidade com as regulamentações de proteção de dados e demonstrando seu compromisso com a privacidade e a segurança dos usuários.

Precisa de ajuda para implementar uma política de cookies e a coleta de consentimentos nos sites da sua empresa? Nós da [AdOpt](https://goadopt.io) podemos te ajudar!



Conheça as principais diferenças entre a LGPD e a GDPR e o impacto dos cookies de internet.

Decifrar se uma nova lei de privacidade de dados se aplica ao seu negócio pode parecer um quebra-cabeça complicado. Mas nós estamos aqui para facilitar a sua vida e proteger a sua **[coleta de dados](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

A Lei de Privacidade de Dados do Consumidor de Montana (MTCDPA) traz regras muito claras e objetivas. Vamos destrinchar exatamente quem precisa estar em conformidade com o uso de um bom **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)**.

Não se desespere com os termos técnicos internacionais. Entender o **[significado da LGPD](https://goadopt.io/blog/significado-da-lgpd/)** no Brasil já ajuda muito a compreender essas novas regulamentações americanas na internet.

## Quem deve cumprir: Os limites para as empresas em Montana

Encare os requisitos da MTCDPA como uma lista de verificação bem simples. Se a sua empresa marcar apenas uma das duas opções a seguir, você precisará adequar as suas **[políticas de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** imediatamente.

A lei americana se aplica a qualquer companhia que faça negócios em Montana ou produza serviços direcionados aos residentes do estado. Para isso, o uso da **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** será essencial.

Você está na mira da lei se:

1. Controla ou processa os dados pessoais de pelo menos 50.000 consumidores.
2. Controla ou processa dados de pelo menos 25.000 consumidores e obtém mais de 25% da sua receita bruta com a venda de dados em seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**.

Vamos definir esses termos rapidamente. Um consumidor aqui é simplesmente um residente de Montana. E um dado pessoal é qualquer informação que identifique uma pessoa capturada pelo seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)**.

Já uma venda não é apenas uma transação financeira direta em dinheiro. A lei entende como venda a troca de dados pessoais por qualquer outro benefício que impacte o **[marketing digital](https://goadopt.io/blog/lgpd-oportunidade-agencia-marketing-digital/)**.

Diferente de outras leis estaduais, a regulamentação de Montana não possui um limite mínimo de faturamento. Por isso, nunca decida **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** baseando-se apenas no tamanho atual da sua empresa.

### Datas importantes: Quando a MTCDPA entra em vigor?

Marque com destaque no seu calendário de adequação. A Lei de Privacidade de Dados do Consumidor de Montana entra em vigor totalmente no dia 1º de outubro de 2024. O ideal é nomear logo o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)**.

Esse é o prazo final e inegociável para que o seu negócio esteja rodando dentro da lei com tranquilidade. Os mecanismos para lidar com os direitos dos consumidores precisam estar operacionais e listados no **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)**.

Existe uma segunda data crucial na sua operação: 1º de janeiro de 2025. A partir desse dia, as empresas deverão reconhecer os sinais universais de opt-out. Saber **[o que é uma CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)** ajuda a resolver esse desafio técnico.

Esse padrão permite aos usuários sinalizarem as suas preferências de privacidade em todos os sites que visitam através do navegador. Fazer essa leitura funcionar exige aplicar o conceito de **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** desde a raiz.

### Isenções: Quem está fora do radar da lei?

Nem todas as organizações são cobertas pela MTCDPA de forma automática e impositiva. A legislação cria isenções inteligentes para evitar burocracia em indústrias que já fazem um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** rigoroso.

Você não precisará **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** com base na MTCDPA se a sua corporação for um órgão governamental, ONG, instituição de ensino superior ou regulada por leis federais como HIPAA e GLBA.

## As Novas Regras para Cookies e Consentimento: O Opt-Out Explicado

A abordagem de Montana muda de forma fundamental a interação com os dados dos visitantes. Diferente do modelo rigoroso da Europa, a MTCDPA usa uma estrutura focada no opt-out gerido pela sua **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)**.

Entender essa pequena diferença técnica é a chave principal para o sucesso e para evitar o temido risco de sofrer **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** ou ações legais no exterior.

### Modelo Opt-Out: O que isso significa para o seu Aviso de Cookies

Em um sistema prático de opt-out, você pode coletar e processar a maioria dos dados por padrão logo no acesso inicial. Porém, deve dar aos consumidores uma maneira visual e fácil de dizer não nos seus **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)**.

Você não precisa implorar por permissão antes de colocar a maioria dos rastreadores de publicidade nas máquinas. Entretanto, garantir o perfeito **[funcionamento do aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)** para quem deseja recusar é obrigatório.

Ele não é mais apenas um alerta passivo no rodapé. Ele é uma ferramenta poderosa e ativa. O seu site precisa fornecer um link totalmente visível na **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** para os usuários recusarem a venda dos dados.

Se o usuário escolher sair da base de captação, a sua tecnologia de retenção precisa desativar os scripts imediatamente. Realizar boas **[práticas na categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)** garante que isso funcione nos bastidores de forma invisível.

### Dados Sensíveis: Quando você precisa absolutamente do Opt-In

A regra liberal do opt-out tem uma exceção que não pode ser contornada: os dados sensíveis. Para essa categoria, você deve obter o consentimento explícito e afirmativo. Ter um bom **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** liderando isso é vital.

Os dados sensíveis sob a MTCDPA incluem: raça, religião, saúde física ou mental, orientação sexual, biometria e localização precisa. Isso exige um controle muito mais refinado através da sua **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)**.

Para essas informações, o silêncio do usuário não significa consentimento em hipótese alguma. Você deve pedir um sim claro. Isso impede que **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)** invasivos sejam ativados sem autorização.

### Proteções Especiais para Menores: Um Padrão Mais Rigoroso

A MTCDPA oferece proteções muito elevadas para os jovens, criando um sistema de dois níveis. Para crianças menores de 13 anos, a lei exige consentimento verificável dos pais antes de alimentar o seu **[ROPA LGPD](https://goadopt.io/blog/ropa-lgpd/)**.

Para menores entre os 13 e 16 anos, existe uma diferença marcante. Você deve obter o próprio opt-in do menor de idade de forma explícita na tela do seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** antes de vender as informações dele.

O grande desafio operacional da tecnologia aqui é descobrir de forma lícita a idade real de quem está navegando. Essa dificuldade enorme reforça a importância de adotar os pilares sólidos do **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**.

### Definindo a Venda de Dados e a Publicidade Direcionada

A publicidade direcionada é a exibição de anúncios com base no histórico rastreado do usuário. É a tecnologia de remarketing que persegue os visitantes e exige atenção para não gerar **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)**.

Já a venda de dados pessoais não significa apenas enviar uma lista fria de e-mails em troca de dinheiro. A nova lei define isso amplamente como a troca constante de dados por qualquer benefício. Avalie bem se vale a pena **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** e seguir com essas práticas.

## O seu plano de ação de 4 passos para a conformidade com a MTCDPA

Alcançar a adequação com uma nova lei de privacidade pode parecer um projeto gigante. Mas ao dividir isso em um plano de ação claro, fatiado e gerenciável, você pode **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** da sua agência em semanas.

### Passo 1: Atualize a sua Política de Privacidade

A sua página de política digital é a base fundamental de toda a sua transparência. Ela deve listar as categorias exatas de dados capturados e informar os direitos plenos do cidadão de forma clara na sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)**.

Reserve um bom bloco de tempo na agenda para revisar meticulosamente esse texto. Criar um documento ideal é sobre honestidade da marca, não apenas sobre emaranhar termos jurídicos complexos que confundem o leitor sobre o **[funcionamento do aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)**.

### Passo 2: Implemente uma Ferramenta de Gestão de Cookies

Uma política escrita é na melhor das hipóteses apenas uma promessa. Para atender com destreza técnica aos requisitos de opt-out impostos, você precisa inevitavelmente de uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** robusta.

Uma tecnologia profissional cuida de todo o ciclo ininterrupto. Ela exibe majestosamente um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** claro, bloqueia rastreadores não autorizados e grava a prova de aceite com segurança.

### Passo 3: Prepare-se para as Requisições dos Consumidores (DSRs)

A regulamentação capacita todos os cidadãos de Montana a assumirem o protagonismo online. A sua equipe precisa treinar para suportar sem erros os pedidos oficiais que devem subir em volume para o **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)**.

Conduzir um trabalho minucioso voltado estritamente para o **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** é o pulo do gato operacional. Sem isso, você não saberá onde os dados estão quando o usuário pedir para apagá-los.

### Passo 4: Realize uma Avaliação de Proteção de Dados

Para certas atividades que apresentam alto risco, a MTCDPA exige que você execute uma Avaliação de Proteção de Dados. Isso documenta internamente os riscos e ações tomadas pela sua equipe ao **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

Se a sua empresa vende dados, processa informações sensíveis ou roda anúncios direcionados, aplicar as diretrizes do **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** ajudará a provar que a sua operação age com total responsabilidade.

## Direitos do Consumidor que você deve honrar sob a MTCDPA

A lei concede aos residentes de Montana direitos específicos e inegociáveis para controlar as suas próprias informações. A sua empresa tem o dever legal e imediato de atender a essas demandas rapidamente.

Garantir que os usuários possam exercer esses direitos sem atritos é tão importante quanto saber escrever uma boa **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)**.

- **Direito de Acesso e Correção:** O consumidor pode exigir uma cópia exata do que você tem salvo sobre ele e pedir a correção de dados errados ou desatualizados.
- **Direito de Exclusão:** O famoso direito de ser esquecido. Quando solicitado, você deve apagar os dados do seu CRM e listas, validando tudo através da sua **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)**.
- **Direito à Portabilidade:** O usuário pode levar os seus dados para a concorrência em um formato estruturado e legível, como um simples arquivo CSV exportável.
- **Direito de Opt-Out:** O usuário pode bloquear o uso dos seus dados para vendas ou anúncios. É exatamente aqui que o seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** entra em ação desativando rastreadores.

## O que acontece se você não cumprir? Fiscalização e Penalidades

Saber as regras é metade da batalha; conhecer as punições é a outra metade. Ignorar as suas obrigações de privacidade não é e nunca será uma estratégia recomendada. As **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** já nos provaram isso.

Ao contrário de outras leis, a MTCDPA não permite que o cidadão processe a sua empresa diretamente. É o Procurador-Geral de Montana quem detém a autoridade exclusiva para fazer toda a fiscalização oficial.

### O Período de Cura (e o seu fim em 2026)

Se o Procurador-Geral determinar que a sua empresa violou as regras, você receberá uma notificação e terá exatos 60 dias para corrigir a falha sem sofrer grandes sanções financeiras.

No entanto, essa colher de chá acaba definitivamente no dia 1º de abril de 2026. Depois dessa data, as autoridades poderão prosseguir diretamente para ações severas contra quem **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** ou leis americanas.

### Existem multas sob a MTCDPA?

Curiosamente, a lei não especifica valores exatos de multas tabeladas como acontece na Europa. Mas isso não significa que não existam consequências gigantescas.

O Procurador-Geral pode exigir penalidades financeiras pesadas através da justiça, obrigando a sua empresa a mudar práticas e assumir processos caros. Utilizar uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** profissional evita esses pesadelos diários.

## A MTCDPA na prática: os três documentos

A adequação à MTCDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/montana-mtcdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/montana-mtcdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/montana-mtcdpa-dsar/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Perguntas Frequentes sobre a MTCDPA

**Quando a Lei de Privacidade de Montana entra em vigor?**
A MTCDPA entra em vigor no dia 1º de outubro de 2024. Há um prazo adicional até 1º de janeiro de 2025 para reconhecer sinais universais de opt-out (GPC) no seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)**.

**A minha empresa precisa cumprir a MTCDPA?**
Sim, se operar em Montana e processar dados de 50.000 consumidores ou processar dados de 25.000 pessoas obtendo mais de 25% da receita através da venda de informações em seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**.

**O que são dados sensíveis sob a lei?**
São informações que exigem alta proteção, como origem racial, crenças religiosas, diagnóstico de saúde, orientação sexual, biometria e localização precisa. Use o **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** para protegê-los.

**Quanto tempo tenho para responder às solicitações dos consumidores?**
A sua equipe e o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** têm exatamente 45 dias para responder a uma solicitação do usuário, podendo prorrogar por mais 45 dias em casos complexos.

**Preciso de consentimento explícito para dados sensíveis?**
Com certeza. A lei exige que você obtenha um consentimento de opt-in afirmativo e claro no seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** antes de coletar qualquer dado dessa categoria especial.

**O que acontece se a minha empresa violar a MTCDPA?**
O Procurador-Geral pode tomar ações legais imediatas. Até abril de 2026, existe um período de cura de 60 dias para resolver a falha. Depois disso, as penalidades financeiras não terão aviso prévio. Não espere pelas **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** ou fora do país.

---

Plataformas intuitivas como a **[AdOpt](https://goadopt.io)** ajudam você a ficar em conformidade rapidamente sem complicar o design ou a velocidade do seu site.

Quer proteger a sua operação e vender com segurança? **[Agende uma ligação](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)** com um dos nossos especialistas agora mesmo!


Montana MTCDPA e Cookies: Tudo o que você precisa saber

Oregon chegou com uma lei de privacidade que tem pelo menos três características que você provavelmente não vai encontrar em nenhuma outra legislação estadual americana.

A Oregon Consumer Privacy Act (OCPA), ORS 646A.570 a 646A.589, entrou em vigor em **1º de julho de 2024**. Foi desenvolvida pelo Attorney General's Consumer Privacy Task Force, com mais de 150 especialistas envolvidos, e sancionada pela governadora Tina Kotek.

No primeiro ano de vigência: 214 reclamações recebidas, 38 investigações abertas. O enforcement é real.

## O que é a OCPA?

A OCPA é a lei estadual de proteção de dados pessoais do Oregon. Ela garante direitos aos residentes do estado e cria obrigações para as empresas que tratam seus dados.

A fiscalização é responsabilidade exclusiva do **Attorney General do Oregon**. Não há direito de ação privada.

## Quando a OCPA entrou em vigor?

Em **1º de julho de 2024**.

Duas mudanças importantes entraram em vigor em **1º de janeiro de 2026**: a obrigação de honrar sinais de opt-out universal como o Global Privacy Control (GPC), e a eliminação do período de cura de 30 dias. A partir dessa data, o Attorney General pode agir sem aviso prévio.

## Quem precisa cumprir a OCPA?

Conforme a Seção 2(1) da lei, ela se aplica a pessoas que conduzem negócios no Oregon ou produzem produtos ou serviços direcionados a residentes do estado e que, durante um ano civil:

Controlam ou processam dados pessoais de pelo menos **100.000 consumidores**, excluindo dados processados exclusivamente para fins de conclusão de uma transação de pagamento.

Ou controlam ou processam dados pessoais de pelo menos **25.000 consumidores** enquanto derivam **25% ou mais** da receita bruta anual da venda de dados pessoais.

Três pontos que diferenciam a OCPA de praticamente todas as outras leis estaduais:

**A exclusão de transações de pagamento do threshold de 100K:** dados processados exclusivamente para completar pagamentos não entram na contagem. Isso é diferente das outras leis que não fazem essa exclusão.

**O threshold de 25% de receita:** a maioria das leis estaduais usa 50% de receita de venda de dados. A OCPA usa 25%, tornando o segundo critério mais fácil de atingir.

**A inclusão de dados derivados no conceito de dado pessoal:** perfis criados a partir dos dados do consumidor também são dados pessoais sob a OCPA. Isso tem impacto direto no escopo das solicitações de acesso e exclusão.

Entender a distinção entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é fundamental para definir as responsabilidades de cada parte.

### Isenções da OCPA

Conforme a Seção 2(2), estão isentos:

Entidades governamentais e corporações públicas do Oregon, incluindo Oregon Health and Science University e Oregon State Bar.

Informações de saúde protegidas processadas por entidades cobertas ou associadas de negócios sob a HIPAA.

Informações usadas exclusivamente para finalidades de saúde pública.

Dados de pesquisa clínica regulada por normas federais.

Dados processados exclusivamente no contexto de emprego, relação contratual com entidade empresarial, ou benefícios de empregadores.

Dados regulados pelo Fair Credit Reporting Act, Gramm-Leach-Bliley Act, FERPA, e Airline Deregulation Act (dentro dos limites de cada lei).

Instituições financeiras e suas afiliadas dedicadas exclusivamente a atividades financeiras.

Seguradoras, produtores de seguros e consultores de seguros.

Organizações sem fins lucrativos criadas para detectar e prevenir fraudes em seguros.

Atividades não comerciais de veículos de imprensa e rádio e TV licenciados.

### Atenção a duas inclusões recentes

A partir de **1º de julho de 2025**, organizações sem fins lucrativos enquadradas na seção 501(c)(3) passaram a estar sujeitas à OCPA.

A partir de **26 de setembro de 2025**, todos os fabricantes de veículos que coletam dados pessoais de consumidores do Oregon estão sujeitos à lei, independentemente dos thresholds.

## O que é dado pessoal sob a OCPA?

Conforme a Seção 1(13), dado pessoal é qualquer dado, **dado derivado** ou identificador único vinculado ou razoavelmente vinculável a um consumidor ou a um dispositivo que identifique, esteja vinculado ou seja razoavelmente vinculável a um ou mais consumidores em um domicílio.

Dados desidentificados e dados legalmente disponíveis em registros governamentais ou mídia de ampla circulação estão excluídos.

A inclusão explícita de dados derivados é um diferencial importante da OCPA. Perfis de marketing, scores de comportamento e classificações de segmento criados a partir dos dados do consumidor são dados pessoais para fins da lei.

## O que são dados sensíveis na OCPA?

Conforme a Seção 1(18), dados sensíveis incluem:

Dados que revelam origem racial ou étnica, nacional, crenças religiosas, condição mental ou física ou diagnóstico, orientação sexual, status como transgênero ou não-binário, status como vítima de crime, ou cidadania ou imigração.

Dados pessoais de crianças menores de 13 anos.

Dados de geolocalização precisa dentro de um raio de **1.750 pés** (aproximadamente 533 metros).

Dados genéticos ou biométricos.

Dados sensíveis não podem ser processados sem consentimento explícito do consumidor, conforme a Seção 5(2)(b) da OCPA.

## Quais são os direitos dos consumidores sob a OCPA?

O Departamento de Justiça do Oregon criou o acrônimo **L.O.C.K.E.D.** para resumir os direitos garantidos pela Seção 3(1) da OCPA:

**L (List):** obter uma lista das entidades específicas para as quais o controlador divulgou seus dados, ou uma lista de qualquer dado pessoal divulgado.

**O (Opt-out):** recusar o processamento de dados para publicidade direcionada, venda de dados pessoais, e perfilamento para decisões com efeitos legais ou de significância similar.

**C (Copy):** obter cópia de todos os dados pessoais que o controlador processou, em formato portável e prontamente utilizável quando tecnicamente viável.

**K (Know):** confirmar se o controlador processa ou processou seus dados e quais categorias estão envolvidas.

**E (Edit):** corrigir imprecisões nos dados pessoais, considerando a natureza e a finalidade do processamento.

**D (Delete):** solicitar a exclusão dos dados pessoais, incluindo dados fornecidos pelo consumidor, obtidos de outras fontes, e dados derivados.

O controlador tem **45 dias** para responder (Seção 4(5)(a)). O prazo pode ser estendido por mais 45 dias quando razoavelmente necessário, com notificação dentro do prazo inicial.

O atendimento é **gratuito uma vez** por período de 12 meses por consumidor. Para solicitações subsequentes, a empresa pode cobrar taxa razoável, exceto quando a solicitação verifica o cumprimento de correção ou exclusão anterior (Seção 4(5)(c)).

### Direito de apelação

A Seção 4(6) exige que o controlador estabeleça processo de apelação. O processo deve ser conspicuamente disponível, similar ao método original, e resultar em resposta escrita dentro de **45 dias** com decisão e justificativa.

Se a apelação for negada, o aviso deve fornecer informações para que o consumidor contate o Attorney General.

## Consentimento: o que a OCPA exige

Conforme a Seção 1(6), consentimento é ato afirmativo pelo qual o consumidor comunica, de forma clara e conspícua, concordância livre, específica, informada e inequívoca. A interface não pode ter mecanismos que obscureçam, subvertam ou prejudiquem a autonomia e a capacidade de decisão do consumidor. E a inação não constitui consentimento.

O padrão correto para cookies: tecnologias não essenciais desligadas por padrão. O usuário escolhe o que ativa, não o que desativa.

## Obrigações do controlador sob a OCPA

Conforme a Seção 5, o controlador precisa:

Especificar no aviso de privacidade as finalidades expressas de coleta e processamento.

Limitar a coleta ao adequado, relevante e razoavelmente necessário para as finalidades declaradas.

Implementar salvaguardas técnicas, administrativas e físicas razoáveis para proteger os dados.

Fornecer mecanismo de revogação de consentimento pelo menos tão fácil quanto o de consentimento. Após a revogação, cessar o processamento **em no máximo 15 dias** (Seção 5(1)(d)).

Não processar dados para finalidades incompatíveis com as declaradas, salvo consentimento.

Não processar dados sensíveis sem consentimento prévio.

Não processar dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento ou venda sem consentimento explícito.

Não discriminar consumidores que exercem seus direitos.

Fornecer aviso de privacidade acessível, claro e significativo com canal de contato ativo e monitorado.

Estabelecer canal para DSARs sem exigência de criação de nova conta.

Conduzir e documentar Data Protection Assessments para atividades de alto risco.

## Proteção especial para adolescentes de 13 a 15 anos

A Seção 5(2)(c) proíbe o processamento de dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento para decisões com efeitos legais ou venda de dados sem o consentimento desses consumidores, quando o controlador tem conhecimento real ou deliberadamente desconsidera essa faixa etária.

A partir de **1º de janeiro de 2026**, a proteção foi ampliada: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada e certos tipos de perfilamento.

## O prazo de 15 dias para revogação de consentimento

A Seção 5(1)(d) exige que o controlador forneça mecanismo efetivo de revogação de consentimento pelo menos tão fácil quanto o mecanismo de consentimento. Após a revogação, o controlador deve cessar o processamento **o mais rápido possível, mas no máximo em 15 dias**.

## Cookies e a OCPA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão diretamente no escopo da OCPA.

O controlador precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, disponibilizar opt-out de publicidade direcionada, bloquear rastreadores não necessários antes que disparem, e honrar as preferências expressas pelo consumidor.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies configuram publicidade direcionada ou venda de dados.

A Seção 1(19) define publicidade direcionada como anúncios selecionados com base em dados coletados das atividades do consumidor ao longo do tempo e em um ou mais sites ou aplicações não afiliados.

A partir de **1º de janeiro de 2026**, a Seção 5(5)(c) exige que os controladores honrem sinais de opt-out universal com o consentimento do consumidor, como o Global Privacy Control (GPC). Um visitante com o GPC ativado equivale a um visitante que clicou no botão de recusar publicidade direcionada.

## Avaliações de proteção de dados

Conforme a Seção 8, o controlador precisa conduzir e documentar Data Protection Assessments para:

Processamento de dados para publicidade direcionada.

Processamento de dados sensíveis.

Venda de dados pessoais.

Perfilamento que apresenta risco previsível de tratamento injusto, dano financeiro, físico ou reputacional, intrusão na privacidade, ou outros danos substanciais.

As avaliações precisam ser mantidas por pelo menos **cinco anos** (Seção 8(6)) e são confidenciais. O Attorney General pode solicitar acesso durante investigações, sem que isso configure renúncia ao privilégio advogado-cliente.

## Fiscalização e penalidades

Conforme a Seção 9, o Attorney General do Oregon tem autoridade exclusiva para fiscalizar a OCPA. Não existe direito de ação privada.

**Até 1º de janeiro de 2026:** o AG precisava notificar o controlador e conceder 30 dias para correção antes de iniciar ação formal.

**A partir de 1º de janeiro de 2026:** o período de cura foi eliminado pela Seção 11. O AG pode iniciar ação diretamente.

Se violações forem identificadas, o AG pode buscar:

Injunção para cessar as violações.

Penalidades civis de até **US$ 7.500 por violação** (Seção 9(4)(a)).

Recuperação de honorários advocatícios e custos de investigação.

O prazo para o AG iniciar ação é de **cinco anos** a partir do último ato que constituiu a violação.

## Como se adequar à OCPA na prática

### 1. Mapeamento de dados
Entenda o que você coleta, incluindo dados derivados, onde estão, como são usados e com quem são compartilhados. O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) é a base de qualquer programa de conformidade.

### 2. Atualize sua política de privacidade
O documento precisa cobrir todos os requisitos da Seção 5(4), incluindo canal de contato ativo e monitorado, e descrição detalhada das categorias de terceiros.

### 3. Implemente um aviso de cookies funcional
Um [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) que bloqueia rastreadores não necessários antes do aceite, registra preferências, oferece opt-out de publicidade direcionada, e honra o GPC a partir de janeiro de 2026.

### 4. Crie canal para DSARs
Pelo menos um mecanismo seguro e confiável para receber solicitações, sem exigência de criação de nova conta.

### 5. Documente as avaliações de proteção de dados
Para cada atividade de alto risco, conduza e documente o assessment conforme a Seção 8. Mantenha por pelo menos 5 anos.

### 6. Ajuste os contratos com operadores
Contratos com prestadores de serviço que processam dados em seu nome precisam atender aos requisitos da Seção 6 da OCPA.

Aplicar [privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/) desde a concepção dos produtos é o que torna a conformidade sustentável a longo prazo.

## Como a AdOpt ajuda com a OCPA

A AdOpt registra cada consentimento, bloqueia rastreadores antes do aceite, honra o GPC a partir de janeiro de 2026, e gera o log auditável que você precisaria apresentar em uma investigação do Attorney General.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados necessário para o aviso de privacidade e as avaliações de proteção de dados. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à OCPA do Oregon? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando OCPA com outras leis de privacidade

| Lei | Estado | Threshold | Revenue % | Cure Period | GPC/Opt-out Signal | Vigência |
|---|---|---|---|---|---|---|
| OCPA | Oregon | 100K (excl. pagamentos) ou 25K + 25% | 25% | Eliminado (jan/2026) | Jan 2026 | Jul 2024 |
| CTDPA | Connecticut | 100K (excl. pagamentos) ou 25K + 25% | 25% | Discricionário (jan/2025) | Jan 2025 | Jul 2023 |
| VCDPA | Virgínia | 100K ou 25K + 50% | 50% | 30 dias garantidos | Não exigido | Jan 2023 |
| CPA | Colorado | 100K ou 25K + 50% | 50% | Discricionário (jul/2025) | Jul 2024 | Jul 2023 |
| CCPA/CPRA | Califórnia | US$ 25M ou 100K | 50% | Discricionário | GPC exigido | Jan 2020/2023 |

Para entender como essas [legislações de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) se comparam em profundidade, nosso guia comparativo aprofunda o tema.

## A OCPA na prática: os três documentos

A adequação à OCPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/oregon-ocpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/oregon-ocpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/oregon-ocpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Oregon OCPA

**1. O que é a OCPA e quando entrou em vigor?**
A Oregon Consumer Privacy Act (ORS 646A.570–646A.589) é a lei estadual de proteção de dados pessoais do Oregon. Entrou em vigor em 1º de julho de 2024. Tem diferenciais específicos em relação a outras leis estaduais: a exclusão de dados de transações de pagamento do threshold de 100K, o threshold de 25% de receita de venda de dados, a inclusão de dados derivados no conceito de dado pessoal, e o prazo expresso de 15 dias para cessação após revogação de consentimento. A partir de janeiro de 2026, passou a exigir o reconhecimento do GPC e eliminou o período de cura de 30 dias.

**2. O que torna o threshold da OCPA diferente das outras leis estaduais?**
A OCPA tem duas particularidades no threshold: exclui explicitamente dados processados exclusivamente para transações de pagamento da contagem de 100K consumidores, e usa 25% de receita de venda de dados como segundo critério (vs. 50% em leis como VCDPA e CPA do Colorado). O threshold de 25% é compartilhado com a CTDPA do Connecticut, mas a exclusão de pagamentos torna as duas leis as mais específicas nesse ponto entre todas as leis estaduais americanas.

**3. O que é o prazo de 15 dias para revogação de consentimento na OCPA?**
A Seção 5(1)(d) exige que, após receber a revogação de um consentimento dado pelo consumidor, o controlador cesse o processamento o mais rápido possível, mas no máximo em 15 dias. Esse prazo é expresso na OCPA e na CTDPA do Connecticut, distinguindo as duas de outras leis estaduais americanas que exigem cessação "sem demora indevida" sem prazo específico.

**4. O que é o Global Privacy Control e por que a OCPA passou a exigi-lo?**
O Global Privacy Control (GPC) é um sinal técnico que o consumidor ativa no navegador para solicitar automaticamente opt-out de venda de dados e publicidade direcionada em todos os sites visitados. A partir de 1º de janeiro de 2026, a Seção 5(5)(c) da OCPA exige que os controladores honrem esse sinal como solicitação válida de opt-out. Um visitante com GPC ativado equivale a um visitante que clicou no botão de recusar publicidade. A OCPA é uma das leis mais recentes a incluir esse requisito explicitamente.

**5. Qual é a penalidade por descumprimento da OCPA?**
O Attorney General pode buscar penalidades civis de até US$ 7.500 por violação, além de injunção e recuperação de honorários e custos de investigação. Até dezembro de 2025, havia um período de cura de 30 dias antes da ação formal. A partir de janeiro de 2026, o AG pode agir diretamente, sem aviso prévio. Não há direito de ação privada (Seção 9).

Tá na AdOpt, tá bem.

[Quer adequar seu site à OCPA do Oregon? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Oregon OCPA e Cookies: Tudo o que você precisa saber

Utah é o estado mais business-friendly do cenário de privacidade nos EUA.

A Utah Consumer Privacy Act (UCPA), Utah Code § 13-61-101 et seq., entrou em vigor em **31 de dezembro de 2023**. Ela é a lei estadual de proteção de dados pessoais mais enxuta entre as aprovadas até agora nos EUA, com menos obrigações para as empresas e mais proteção para o modelo de negócios tradicional.

Mas "enxuta" não significa ignorável. O threshold de receita de US$ 25 milhões cria um escopo bem definido, e o Attorney General do Utah tem autoridade exclusiva de enforcement.

## O que é a UCPA?

A Utah Consumer Privacy Act é a lei estadual de proteção de dados pessoais do Utah. Ela garante direitos básicos aos residentes do estado e cria obrigações para as empresas que processam seus dados.

A fiscalização segue um modelo de dois estágios: a Division of Consumer Protection recebe e investiga reclamações de consumidores. Se encontrar violação substancial, encaminha ao **Attorney General do Utah**, que tem autoridade exclusiva para iniciar ações de enforcement.

Não há direito de ação privada.

## Quando a UCPA entrou em vigor?

Em **31 de dezembro de 2023**.

## Quem precisa cumprir a UCPA?

Conforme Utah Code § 13-61-102(1), a lei se aplica a controladores ou processadores que:

Conduzem negócios no Utah ou produzem produtos ou serviços direcionados a consumidores residentes do estado;

Têm **receita anual de US$ 25.000.000 ou mais**; e

Atendem a pelo menos um dos seguintes critérios:

Controlam ou processam dados pessoais de **100.000 ou mais consumidores** durante um ano civil; ou

Derivam mais de **50% da receita bruta** da venda de dados pessoais e controlam ou processam dados pessoais de **25.000 ou mais consumidores**.

**O diferencial em relação a outras leis:** a UCPA exige que a empresa satisfaça o requisito de receita de US$ 25 milhões E pelo menos um dos thresholds de volume de dados. Outras leis estaduais usam um ou outro. Aqui é necessário os dois. Isso reduz significativamente o número de empresas no escopo.

Entender a distinção entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é fundamental para definir as responsabilidades de cada parte.

### Isenções da UCPA

Conforme Utah Code § 13-61-102(2), estão isentos:

Entidades governamentais e terceiros contratados agindo em seu nome.

Tribos indígenas.

Instituições de ensino superior.

Organizações sem fins lucrativos.

Entidades cobertas (covered entities) e associadas de negócios (business associates) sob a HIPAA.

Informações protegidas pela HIPAA e dados relacionados à saúde em situações específicas.

Informações de pesquisa clínica regulada.

Dados de crédito ao consumidor regulados pelo Fair Credit Reporting Act.

Instituições financeiras e dados regulados pelo Gramm-Leach-Bliley Act.

Dados regulados pelo Driver's Privacy Protection Act.

Dados regulados pelo FERPA.

Dados regulados pelo Farm Credit Act.

Dados de funcionários, candidatos a emprego e agentes em contexto de emprego.

Dados processados para uso pessoal ou doméstico.

Transportadoras aéreas.

## O que é dado pessoal sob a UCPA?

Conforme Utah Code § 13-61-101(24), dado pessoal é qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável.

Não são dados pessoais: dados desidentificados, dados agregados, e informações publicamente disponíveis.

A UCPA também define dados pseudonimizados (§ 13-61-101(28)) como dados pessoais que não podem ser atribuídos a um indivíduo específico sem o uso de informações adicionais mantidas separadas e sob medidas técnicas e organizacionais adequadas. Dados pseudonimizados têm proteção limitada sob a UCPA.

## O que são dados sensíveis na UCPA?

Conforme Utah Code § 13-61-101(32), dados sensíveis incluem:

Dados pessoais que revelam origem racial ou étnica, crenças religiosas, orientação sexual, cidadania ou status de imigração, ou informações sobre histórico médico, condição de saúde física ou mental, ou tratamento ou diagnóstico médico.

Processamento de dados genéticos pessoais ou dados biométricos, quando o processamento é para identificar um indivíduo específico.

Dados de geolocalização específica.

**Atenção ao modelo de dados sensíveis da UCPA:** ao contrário da CPRA e de várias outras leis estaduais, a UCPA não exige consentimento para processar dados sensíveis. Ela exige apenas que a empresa apresente um aviso claro e ofereça uma oportunidade de opt-out antes de processar. Esse é um dos aspectos que tornam a UCPA mais favorável às empresas do que outras leis estaduais.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 13-61-102(3)).

## O que são dados de geolocalização específica na UCPA?

Conforme Utah Code § 13-61-101(33), dados de geolocalização específica são informações derivadas de tecnologia, incluindo coordenadas GPS, que identificam diretamente a localização específica de um indivíduo com precisão de **1.750 pés ou menos**.

## Quais são os direitos dos consumidores sob a UCPA?

Conforme Utah Code § 13-61-201, os residentes do Utah têm quatro direitos:

**Direito de confirmação e acesso:** confirmar se o controlador está processando dados pessoais e acessar esses dados (§ 13-61-201(1)).

**Direito de exclusão:** solicitar a exclusão dos dados pessoais que o consumidor forneceu ao controlador. Atenção: a UCPA limita o direito de exclusão a dados que o consumidor forneceu. Dados que o controlador obteve de outras fontes não precisam ser excluídos por força da lei (§ 13-61-201(2)).

**Direito de portabilidade:** obter uma cópia dos dados em formato portátil e utilizável, quando tecnicamente viável e praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 13-61-201(3)).

**Direito de opt-out:** recusar o processamento de dados pessoais para fins de publicidade direcionada ou venda de dados pessoais (§ 13-61-201(4)).

### O que a UCPA não tem em comparação com outras leis

Não há direito de correção de dados imprecisos. A UCPA não garante esse direito, ao contrário de CPRA, OCPA, VCDPA e outras leis.

Não há direito de opt-out de perfilamento. A UCPA cobre apenas publicidade direcionada e venda de dados.

Não há direito de apelação formal estruturado. A lei não define um processo de apelação de decisões do controlador.

## Prazos de resposta às solicitações

Conforme Utah Code § 13-61-203:

**45 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor dentro do prazo inicial.

**Gratuito para a primeira solicitação** de cada consumidor por período de 12 meses (§ 13-61-203(4)(a)).

A partir da segunda solicitação no mesmo período de 12 meses, pode cobrar taxa razoável ou recusar, se o pedido for excessivo, repetitivo, tecnicamente inviável, manifestamente infundado, ou se o controlador razoavelmente acreditar que o objetivo principal não é exercer um direito.

O ônus de demonstrar o caráter excessivo é da empresa.

## Dados sensíveis: opt-out, não consentimento

Este é um dos pontos mais importantes da UCPA para empresas que já estão adequadas a outras leis.

Conforme Utah Code § 13-61-302(3), o controlador não pode processar dados sensíveis coletados de um consumidor sem antes:

Apresentar ao consumidor um aviso claro; e

Oferecer ao consumidor a oportunidade de opt-out do processamento.

Esse modelo de opt-out para dados sensíveis é substancialmente menos restritivo do que o modelo de opt-in (consentimento prévio) exigido pela CPRA, OCPA, CTDPA e VCDPA. Empresas que já cumprem as leis mais restritivas estarão automaticamente em conformidade com a UCPA nesse ponto.

## Obrigações do controlador sob a UCPA

Conforme Utah Code § 13-61-302, o controlador precisa:

**Privacidade notice:** fornecer um aviso de privacidade razoavelmente acessível e claro que inclua: categorias de dados pessoais processados, finalidades do processamento, como os consumidores podem exercer seus direitos, categorias de dados compartilhados com terceiros (se houver), e categorias de terceiros com quem os dados são compartilhados.

**Segurança de dados:** estabelecer, implementar e manter práticas razoáveis de segurança administrativa, técnica e física, proporcionais ao volume e natureza dos dados.

**Divulgação de venda e publicidade direcionada:** se a empresa vende dados ou usa dados para publicidade direcionada, precisa informar o consumidor de forma clara e conspícua e oferecer mecanismo de opt-out.

**Não discriminação:** não pode discriminar consumidores que exercem seus direitos negando bens ou serviços, cobrando preços diferentes, ou oferecendo qualidade diferente.

**Contratos com processadores:** antes de contratar processadores, o controlador precisa firmar contrato que inclua instruções de processamento, natureza e finalidade, tipo de dados, duração, direitos e obrigações, e requisitos de confidencialidade.

## Cookies e a UCPA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão no escopo da UCPA.

O site precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, disponibilizar opt-out de publicidade direcionada e venda de dados, e descrever no aviso de privacidade como os consumidores podem exercer seus direitos.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies configuram publicidade direcionada ou venda de dados.

A UCPA define publicidade direcionada em § 13-61-101(34) como anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados. Anúncios baseados em atividades dentro do próprio site do controlador não se enquadram.

**A UCPA não exige GPC.** Diferentemente da CPRA (Califórnia) e da CTDPA (Connecticut), a UCPA não menciona a obrigação de honrar sinais de opt-out universal como o Global Privacy Control. No entanto, implementar o GPC é uma boa prática que já cobre os requisitos de outras jurisdições.

## Fiscalização e penalidades

Conforme Utah Code § 13-61-402, o Attorney General do Utah tem autoridade exclusiva de enforcement.

O processo segue dois estágios:

**Estágio 1:** o consumidor registra reclamação na Division of Consumer Protection. A Division investiga e, se encontrar evidências substanciais de violação, encaminha ao Attorney General.

**Estágio 2:** o Attorney General notifica o controlador por escrito, identificando as violações e fornecendo **30 dias garantidos para correção**.

Se o controlador corrigir a violação dentro dos 30 dias e fornecer declaração escrita de que a violação foi sanada e não se repetirá, nenhuma ação é iniciada.

Se a violação continuar ou o controlador descumprir a declaração fornecida, o AG pode iniciar ação e recuperar:

Danos reais ao consumidor.

Até **US$ 7.500 por violação**.

O período de cura de 30 dias é **garantido permanentemente** pela UCPA, ao contrário de outras leis como OCPA e CPRA que eliminaram o cure period. Isso torna o enforcement da UCPA mais previsível para as empresas.

## Como a AdOpt ajuda com a UCPA

A AdOpt registra cada consentimento e opt-out, bloqueia rastreadores antes do aceite, e gera o log auditável que você precisaria apresentar em uma investigação do Attorney General.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados necessário para o aviso de privacidade. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à UCPA do Utah? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando UCPA com outras leis de privacidade

| Lei | Estado | Threshold | Dados Sensíveis | Correção | Cure Period | Vigência |
|---|---|---|---|---|---|---|
| UCPA | Utah | US$ 25M + 100K ou 25K + 50% | Opt-out (aviso prévio) | Não previsto | 30 dias garantidos | Dez 2023 |
| OCPA | Oregon | 100K (excl. pagamentos) ou 25K + 25% | Opt-in (consentimento) | Previsto | Eliminado (jan/2026) | Jul 2024 |
| CTDPA | Connecticut | 100K (excl. pagamentos) ou 25K + 25% | Opt-in (consentimento) | Previsto | Discricionário | Jul 2023 |
| VCDPA | Virgínia | 100K ou 25K + 50% | Opt-in (consentimento) | Previsto | 30 dias garantidos | Jan 2023 |
| CPRA | Califórnia | US$ 25M ou 100K ou 50% | Opt-in + Limitação SPI | Previsto | Eliminado | Jan 2023 |

## A UCPA na prática: os três documentos

A adequação à UCPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/utah-ucpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/utah-ucpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/utah-ucpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Utah UCPA

**1. O que torna a UCPA diferente das outras leis estaduais americanas?**
A UCPA é a lei estadual de privacidade mais favorável às empresas entre as aprovadas até agora nos EUA. As principais diferenças: exige receita de US$ 25 milhões E um dos thresholds de volume (operador duplo), enquanto outras leis usam um ou outro; usa opt-out para dados sensíveis, enquanto a maioria das outras leis exige opt-in (consentimento); não tem direito de correção de dados; não tem direito de opt-out de perfilamento; e mantém o período de cura de 30 dias garantido permanentemente, enquanto outras leis estão eliminando esse período.

**2. Por que a UCPA usa opt-out para dados sensíveis em vez de opt-in?**
A UCPA reflete a filosofia do legislativo do Utah de criar uma lei que proteja consumidores sem criar barreiras excessivas para as empresas. O modelo de opt-out para dados sensíveis (Utah Code § 13-61-302(3)) exige que a empresa informe o consumidor e dê a ele a oportunidade de recusar, mas não exige consentimento prévio ativo. Isso é suficiente para proteger a privacidade na visão do legislativo do Utah, embora seja significativamente menos restritivo do que o padrão de consentimento exigido pela CPRA, OCPA e outras leis.

**3. A UCPA tem direito de correção de dados?**
Não. Esse é um dos direitos ausentes mais notáveis da UCPA. A lei garante apenas quatro direitos: confirmação/acesso, exclusão (limitada a dados fornecidos pelo consumidor), portabilidade, e opt-out de publicidade direcionada e venda. Correção de dados imprecisos não está entre eles. Isso diferencia a UCPA da VCDPA, OCPA, CTDPA e CPRA, que todas incluem o direito de correção.

**4. O que significa a limitação do direito de exclusão da UCPA?**
O direito de exclusão da UCPA (§ 13-61-201(2)) se aplica apenas a dados pessoais que o consumidor forneceu ao controlador. Dados que o controlador obteve de outras fontes, como data brokers, listas de terceiros, ou inferências criadas a partir de outros dados, não precisam ser excluídos sob a UCPA. Isso é uma diferença importante em relação à OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte.

**5. Qual é a penalidade por descumprimento da UCPA?**
O Attorney General pode recuperar danos reais ao consumidor e até US$ 7.500 por violação. Antes de iniciar qualquer ação, o AG é obrigado a notificar o controlador e conceder 30 dias para correção (§ 13-61-402(3)). Esse período de 30 dias é garantido permanentemente pela UCPA. Se o controlador corrigir a violação e fornecer declaração escrita, nenhuma ação é iniciada. Não há direito de ação privada para consumidores (§ 13-61-305).

Tá na AdOpt, tá bem.

[Quer adequar seu site à UCPA do Utah? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


UCPA Utah e Cookies: Tudo o que você precisa saber

Tennessee TIPA e Cookies: Tudo o que você precisa saber

A **California Privacy Rights Act (CPRA)** é uma legislação abrangente de privacidade de dados que amplia as proteções para os residentes da Califórnia. Ela altera a lei anterior, a **CCPA**, introduzindo novas regras para garantir ainda mais transparência e controle para os consumidores.

Sob a **CPRA**, os indivíduos ganharam direitos reforçados sobre seus dados pessoais, incluindo a capacidade de acessar, excluir e corrigir informações mantidas pelas empresas. A lei exige que as empresas obtenham consentimento explícito antes de coletar, compartilhar ou vender dados.

Além disso, a **CPRA** estabelece diretrizes rígidas para o tratamento de **dados sensíveis**, como informações de saúde ou financeiras. Para fiscalizar tudo isso, foi criada a California Privacy Protection Agency (CPPA), tornando esta uma das **[leis de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/ )** mais rigorosas dos EUA.

Para as empresas, a conformidade exige manter a transparência total e responder prontamente às solicitações dos usuários. Por isso, muitas marcas estão recorrendo a soluções como a **[AdOpt](https://goadopt.io/blog/o-que-e-uma-cmp/ )** para garantir que todos os requisitos sejam atendidos.

## Quem precisa cumprir a CPRA?

A CPRA se aplica a empresas que coletam, processam ou compartilham dados de residentes da Califórnia. No entanto, existem critérios específicos para determinar se uma empresa está sob o escopo da lei:

1. **Receita**: Empresas com receita bruta anual de **US$ 25 milhões ou mais**.
2. **Volume de Dados**: Negócios que coletam dados de **100.000 ou mais consumidores** ou dispositivos anualmente.
3. **Publicidade Direcionada**: Se a empresa vende ou compartilha dados para fins de publicidade segmentada.
4. **Dados Sensíveis**: Empresas que lidam com categorias especiais de dados (origem racial, biometria, saúde, etc.) devem seguir regras ainda mais estritas.

Mesmo que sua empresa não atinja esses limites, se você tem presença na Califórnia ou lida com dados sensíveis, a conformidade é essencial. Usar uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/ )** ajuda a simplificar esse processo.

## Diferenças fundamentais entre CCPA e CPRA

Embora ambas protejam os residentes da Califórnia, a CPRA trouxe mudanças significativas que as empresas precisam conhecer:

### 1. Escopo dos Dados
Enquanto a CCPA focava em dados pessoais gerais, a CPRA introduziu a categoria de **dados pessoais sensíveis**. Isso dá ao consumidor muito mais controle sobre como informações delicadas, como dados financeiros e biométricos, são usadas.

### 2. Novos Direitos do Consumidor
A CPRA fortaleceu os direitos existentes, permitindo que os usuários:

- Solicitem a **correção** de dados imprecisos.
- Limitem o uso de suas informações sensíveis.
- Optem por não participar do **compartilhamento** de dados para publicidade (não apenas da venda).

### 3. Fiscalização e Penalidades
A criação da CPPA trouxe um braço executor independente para a lei. Além disso, as penalidades para violações envolvendo dados de menores de 16 anos tornaram-se muito mais severas.

Para garantir que sua empresa não se perca nessas mudanças, entender a diferença entre **[cookies e local storage](https://goadopt.io/blog/diferenca-cookies-local-storage-session-storage/ )** é um bom ponto de partida técnico.

## Direitos do Consumidor sob a CPRA

A CPRA empodera o cidadão com diversos direitos fundamentais:

- **Direito de Acesso**: Saber exatamente o que a empresa coletou e para quê.
- **Direito de Exclusão**: Solicitar que seus dados sejam apagados (o "direito ao esquecimento").
- **Direito de Correção**: Corrigir informações que estejam erradas ou desatualizadas.
- **Direito de Opt-Out**: Impedir a venda ou o compartilhamento de dados para marketing.
- **Direito de Portabilidade**: Receber seus dados em um formato estruturado para levar para outro serviço.

Respeitar esses direitos é a base para construir uma relação de confiança. Uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/ )** eficiente automatiza o recebimento dessas solicitações, garantindo que nada passe batido.

## A CPRA exige consentimento para Cookies?

Sim! A CPRA exige transparência total sobre o uso de rastreadores. Se um cookie coleta informações como endereço IP ou histórico de navegação para fins de publicidade ou perfil, o consentimento é necessário.

As empresas devem usar um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )** claro, que informe as finalidades da coleta e ofereça opções granulares de escolha. O usuário deve poder gerenciar ou retirar seu consentimento a qualquer momento de forma simples.

## O papel do Encarregado de Dados (DPO)

Ter um **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/ )** é uma das melhores práticas para garantir a conformidade contínua. Esse profissional atua como a ponte entre a empresa, os usuários e as autoridades reguladoras.

O DPO ajuda a implementar o conceito de **Privacy by Design**, garantindo que a privacidade seja considerada desde o início de qualquer projeto ou produto. Para apoiar esse trabalho, o uso de ferramentas de **[categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/ )** é indispensável.

## Como escrever uma Política de Privacidade ideal?

Sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/ )** deve ser clara, sem "juridiquês" e fácil de entender. Ela precisa detalhar:

- Quais dados são coletados.
- Para quais finalidades.
- Com quem são compartilhados.
- Como o usuário pode exercer seus direitos.
- Por quanto tempo os dados são retidos.

Manter esse documento atualizado é um requisito legal e uma prova de respeito ao seu cliente. Se você usa o WordPress, existem **[plugins](https://goadopt.io/blog/plugin-cookies-wordpress/ )** que facilitam a integração do seu aviso de privacidade.

## Simplifique sua jornada com a AdOpt

Adequar-se à CPRA não precisa ser um pesadelo burocrático. A AdOpt oferece uma solução completa para gerenciar consentimentos, cookies e direitos dos usuários de forma automatizada e elegante.

**[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria )** e veja como podemos ajudar sua empresa a estar em conformidade com as leis de privacidade mais exigentes do mundo.

## A CPRA na prática: os três documentos

A adequação à CPRA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/california-cpra-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/california-cpra-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/california-cpra-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.


CPRA California e Cookies: Tudo o que você precisa saber

Ecommerce no Brasil: Guia para se adequar e vender mais

Valquiria Rumor

Inteligência Artificial e LGPD: tudo o que você precisa saber

Texas TDPSA e Cookies: Tudo o que você precisa saber

Em um cenário digital cada vez mais interconectado, a proteção de dados pessoais tornou-se um pilar fundamental para a confiança entre empresas e consumidores. Nos Estados Unidos, a **Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA)** se destaca como um exemplo de legislação estadual que promove a privacidade. No Brasil, a **[Lei Geral de Proteção de Dados (LGPD)](https://goadopt.io/blog/cookies-e-lgpd/)** cumpre um papel similar, estabelecendo um novo padrão para o tratamento de dados pessoais.

Este artigo explora as semelhanças e diferenças entre a VCDPA e a LGPD, mostrando como ambas as leis capacitam os consumidores e oferecem às empresas uma oportunidade de ouro para fortalecer a reputação, a transparência e a lealdade do cliente. Entender essas nuances é um passo estratégico para qualquer negócio que busca prosperar no ambiente digital atual.

## VCDPA: Fortalecendo a Privacidade na Virgínia

A **VCDPA** entrou em vigor em 1º de janeiro de 2023, estabelecendo um marco para a proteção de dados na Virgínia. Ela garante aos residentes do estado direitos importantes sobre suas informações pessoais, como o acesso, a correção e a exclusão de dados. Além disso, a lei enfatiza a necessidade de transparência por parte das empresas sobre como os dados são coletados e utilizados.

Para as empresas, a VCDPA incentiva a adoção de práticas de dados mais responsáveis, como a minimização da coleta de informações e a implementação de medidas de segurança robustas.

A lei também aborda o uso de **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** e outras tecnologias de rastreamento, exigindo que as empresas ofereçam aos usuários a opção de recusar o uso de seus dados para publicidade direcionada ou venda a terceiros. Uma **[plataforma de gestão de consentimentos (CMP)](https://goadopt.io/blog/o-que-e-uma-cmp/)** é uma ferramenta valiosa para gerenciar esses requisitos de forma eficiente.

## LGPD: O Marco da Proteção de Dados no Brasil

A **[LGPD](https://goadopt.io/blog/cookies-e-lgpd/)**, em vigor desde setembro de 2020, revolucionou a forma como os dados pessoais são tratados no Brasil. Inspirada no GDPR europeu, a LGPD estabelece um conjunto abrangente de regras que se aplicam a qualquer operação de tratamento de dados realizada em território brasileiro ou que envolva dados de cidadãos brasileiros. Seu objetivo principal é proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

Entre os pilares da LGPD estão o **consentimento explícito** para o tratamento de dados, a necessidade de uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** clara e acessível, e a criação de um **[Encarregado de Dados (DPO)](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** para atuar como ponte entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). A lei também impõe requisitos rigorosos para a segurança dos dados e a notificação de incidentes, promovendo uma cultura de **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**.

## Semelhanças que Unem: VCDPA e LGPD em Harmonia

Apesar de suas origens geográficas distintas, VCDPA e LGPD compartilham princípios fundamentais que visam empoderar os indivíduos e promover a responsabilidade corporativa:

-   **Direitos do Titular dos Dados**: Ambas as leis concedem aos consumidores direitos essenciais, como o acesso aos seus dados, a correção de informações imprecisas e a solicitação de exclusão. Isso permite que os indivíduos mantenham o controle sobre suas pegadas digitais.
-   **Transparência**: Tanto a VCDPA quanto a LGPD exigem que as empresas sejam transparentes sobre suas práticas de coleta e uso de dados. Isso se manifesta na necessidade de **[avisos de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)** claros e **[políticas de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** detalhadas, que informem os usuários de forma compreensível.
-   **Segurança dos Dados**: A proteção contra acessos não autorizados e vazamentos de dados é uma prioridade para ambas as legislações. Empresas devem implementar medidas de segurança robustas para salvaguardar as informações pessoais, demonstrando um compromisso com a integridade dos dados.
-   **Mecanismos de Opt-Out**: Ambas as leis oferecem aos consumidores a capacidade de optar por não participar de certas atividades de processamento de dados, como a venda de informações pessoais ou o uso para publicidade direcionada. Isso reforça a autonomia do usuário sobre suas escolhas de privacidade.

## Diferenças Cruciais: Adaptando-se a Cada Contexto

Embora compartilhem objetivos, VCDPA e LGPD possuem diferenças importantes que as empresas devem considerar:

| Característica Principal | VCDPA (Virgínia) | LGPD (Brasil) |
|:-------------------------|:-----------------|:--------------|
| **Escopo de Aplicação** | Empresas que operam na Virgínia ou direcionam serviços a residentes, com critérios de volume de dados ou receita. | Aplica-se a qualquer operação de tratamento de dados realizada no Brasil ou que envolva dados de cidadãos brasileiros, independentemente da localização da empresa. |
| **Base Legal para Tratamento** | Foca principalmente no consentimento e no direito de opt-out. | Possui 10 bases legais para o tratamento de dados, incluindo consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse, entre outras. |
| **Consentimento para Cookies** | Não exige explicitamente consentimento prévio para todos os cookies, mas sim opt-out para venda de dados e publicidade direcionada. | Exige consentimento explícito (opt-in) para cookies não essenciais, como os de marketing e analytics. |
| **Autoridade Fiscalizadora** | Procurador-Geral da Virgínia. | Autoridade Nacional de Proteção de Dados (ANPD). |
| **Período de Cura** | Oferece um período de 30 dias para corrigir violações antes da aplicação de multas. | Não há um período de cura formalmente estabelecido na lei, embora a ANPD possa considerar a boa-fé e a pronta correção. |
| **Direito de Ação Privada** | Não prevê o direito de ação privada por parte dos consumidores. | Permite que os titulares dos dados busquem reparação judicial diretamente. |
| **Dados Sensíveis** | Define e exige proteção adicional para dados sensíveis, com foco no consentimento. | Define e exige consentimento explícito e bases legais específicas para o tratamento de dados sensíveis. |

## Oportunidades de Negócio na Conformidade

Estar em conformidade com a VCDPA e a LGPD não é apenas uma obrigação legal; é uma estratégia inteligente de negócios. Empresas que demonstram um compromisso genuíno com a privacidade dos dados colhem benefícios como:

-   **Aumento da Confiança do Cliente**: Consumidores preferem marcas que respeitam sua privacidade. A conformidade se traduz em lealdade e uma imagem positiva.
-   **Vantagem Competitiva**: Em um mercado onde a privacidade é cada vez mais valorizada, empresas em conformidade se destacam da concorrência.
-   **Melhora na Governança de Dados**: O processo de adequação leva a uma melhor organização e gestão dos dados, otimizando **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)** e operacionais.
-   **Redução de Riscos**: A conformidade minimiza a exposição a multas e danos à reputação, garantindo uma operação mais segura e estável.

## AdOpt: Sua Parceira Estratégica na Jornada de Conformidade

Navegar pelas complexidades da VCDPA, LGPD e outras leis de privacidade pode ser um desafio. É aqui que a AdOpt se torna sua aliada estratégica. Nossa **[plataforma de gestão de consentimentos (CMP)](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)**, certificada pelo Google, oferece uma solução completa para automatizar a coleta e o gerenciamento de consentimentos, garantindo que seu site esteja sempre em dia com as regulamentações globais.

Com a AdOpt, você pode:

-   Implementar **[banners de cookies](https://goadopt.io/blog/banner-de-cookies/)** personalizáveis e em conformidade com as leis.
-   Gerenciar as preferências de consentimento dos usuários de forma intuitiva.
-   Manter registros detalhados de consentimento para auditorias.
-   Integrar facilmente com seu site, mantendo o design e a experiência do usuário impecáveis.

Transforme a conformidade em uma oportunidade para construir relações mais fortes e transparentes com seus clientes. A AdOpt faz o trabalho pesado para que você possa focar no crescimento do seu negócio com total tranquilidade.

## Pronto para Fortalecer a Confiança e a Conformidade?

Não deixe a complexidade das leis de privacidade atrapalhar o potencial do seu negócio. **[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)** e descubra como a AdOpt pode simplificar sua jornada de conformidade com a VCDPA, LGPD e outras regulamentações, transformando desafios em oportunidades de crescimento.


VCDPA vs. LGPD: Construindo Confiança e Conformidade

Shopify e LGPD: Garanta que o seu e-commerce esteja em conformidade com as leis de privacidade

## Ecommerce Brasil: o impacto da LGPD no seu ecommerce

O Brasil tem mais de 87 milhões de consumidores digitais. O ecommerce brasileiro movimentou mais de R$ 185 bilhões em 2023 e esse número cresce todo ano.

É um mercado vibrante, competitivo e cheio de oportunidade.

Mas junto com a oportunidade veio a **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)** e ela não é opcional.

Se você tem um ecommerce no Brasil, trata dados pessoais todos os dias: nome, endereço, CPF, e-mail, telefone, histórico de compras, comportamento de navegação, dados de cartão de crédito.

Cada uma dessas informações é um dado pessoal regulado por lei.

A pergunta que muitos donos de ecommerce ainda relutam em responder com honestidade é simples: **o meu ecommerce está realmente adequado à LGPD?**

Este artigo vai ajudar você a responder isso com clareza e a entender exatamente o que precisa mudar.

---

## 1. O Que a LGPD Exige Especificamente dos Ecommerces

A LGPD não foi escrita para grandes corporações com departamentos jurídicos. Ela se aplica a qualquer pessoa natural ou jurídica que trate dados pessoais incluindo a sua loja virtual, independente do tamanho.

O Art. 3º deixa claro: a lei se aplica a qualquer operação de tratamento realizada em território nacional, ou quando os dados coletados sejam de pessoas localizadas no Brasil.

Isso significa que o dono de uma loja virtual no Shopify com sede nos EUA mas que vende para brasileiros também precisa se adequar.

### 1.1 O Que É "Tratamento de Dados" no Ecommerce

Tratamento é qualquer operação feita com dados pessoais: coleta, armazenamento, uso, compartilhamento, exclusão. No contexto de um ecommerce, isso inclui:

- **Cadastro do cliente:** nome, e-mail, CPF, endereço, telefone.
- **Processamento de pagamento:** dados do cartão (mesmo que via gateway), histórico de compras.
- **Navegação e rastreamento:** páginas visitadas, produtos visualizados, tempo de sessão coletados via **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** e pixels.
- **Comunicação:** envio de e-mails transacionais, newsletters, SMS de remarketing.
- **Logística:** repasse de endereço para transportadora.
- **Atendimento:** registros de tickets, histórico de conversas no chat.

Cada uma dessas operações precisa ter uma **base legal válida** na LGPD.

### 1.2 O Que Muda na Prática Para Quem Vende Online

Antes da LGPD, era comum:

- Cadastrar o e-mail do cliente na newsletter automaticamente no momento da compra.
- Compartilhar dados de clientes com parceiros de marketing sem aviso.
- Manter dados de clientes inativos indefinidamente "por precaução".
- Usar pixels do Facebook e Google sem nenhum controle de consentimento.

Tudo isso viola a LGPD. E a multa pode chegar a **2% do faturamento da empresa**, limitada a R$ 50 milhões por infração.

---

## 2. Dados do Ecommerce e as Bases Legais Corretas

Nem tudo precisa de consentimento explícito. A LGPD tem dez bases legais, e escolher a certa para cada tipo de tratamento é o que torna a adequação inteligente sem tornar a experiência de compra um interrogatório.

### 2.1 Execução de Contrato

Esta é a base legal mais utilizada nos ecommerces para dados essenciais à operação:

- **Endereço de entrega:** você precisa do endereço para entregar. Não precisa de consentimento separado é execução de contrato.
- **CPF para emissão de nota fiscal:** exigência legal e fiscal.
- **E-mail para confirmação do pedido:** comunicação essencial ao contrato.
- **Repasse de dados à transportadora:** necessário para cumprir a entrega contratada.

**Atenção:** essa base legal cobre apenas o que é *necessário* para cumprir o contrato. Usar o endereço do cliente para enviar publicidade não está coberto aqui.

### 2.2 Consentimento

Para tudo que vai além da operação essencial, o consentimento é necessário:

- **Newsletter e e-mail marketing:** o usuário precisa optar ativamente. A caixinha pré-marcada "aceito receber comunicações" não vale.
- **Cookies de marketing e rastreamento:** o **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** precisa estar presente e funcional antes que qualquer pixel carregue.
- **Remarketing e retargeting:** anúncios que perseguem o usuário pelo Google e Facebook dependem de cookies de terceiros — que precisam de consentimento prévio.
- **Personalização de experiência baseada em perfil:** se você usa dados de comportamento para personalizar a vitrine, informe e peça consentimento.

### 2.3 Legítimo Interesse

O legítimo interesse permite algumas operações sem consentimento, desde que documentadas:

- **Prevenção a fraudes:** analisar padrões de comportamento para detectar fraudes em transações.
- **Segurança do sistema:** logs de acesso, monitoramento de tentativas de invasão.
- **Comunicação pós-compra de produtos relacionados** (com critérios bem definidos e possibilidade de opt-out).

### 2.4 Obrigação Legal

Manter dados fiscais pelo tempo exigido pela Receita Federal, responder a requisições judiciais, cumprir obrigações com a SEFAZ tudo isso tem base legal própria e não precisa de consentimento.

---

## 3. O Pixel do Facebook e o Google Ads: O Risco Que Ninguém Fala

Este é o ponto onde a maioria dos ecommerces brasileiros está em situação irregular e nem sabe.

O **Meta Pixel** (antigo Facebook Pixel) e a tag de conversão do **Google Ads** são scripts que rastreiam o comportamento dos visitantes do seu site: o que visualizaram, o que adicionaram ao carrinho, o que compraram. Esses dados vão direto para os servidores do Facebook e do Google.

Isso é **transferência de dados pessoais para terceiros** e precisa de base legal.

### 3.1 O Que Acontece Sem Controle de Consentimento

Quando um usuário acessa seu site sem que você tenha um mecanismo de consentimento funcional:

1. O pixel carrega imediatamente.
2. Dados de comportamento são enviados ao Facebook/Google sem que o usuário saiba ou tenha autorizado.
3. Seu ecommerce viola o Art. 7º da LGPD (tratamento sem base legal).
4. O usuário tem o direito de acionar a ANPD.
5. Você está sujeito a multa e à suspensão do tratamento.

Além do risco legal, o próprio Google exige que publishers e anunciantes em zonas reguladas implementem o **Google Consent Mode v2** caso contrário, a conta pode ter limitações na exibição de anúncios.

### 3.2 A Solução: CMP + Consent Mode

O caminho correto é ter uma **[CMP (Consent Management Platform)](https://goadopt.io/blog/o-que-e-uma-cmp/)** que:

1. Exibe o **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** antes que qualquer pixel carregue.
2. Bloqueia os scripts até que o usuário aceite.
3. Registra o consentimento de forma juridicamente válida.
4. Integra com o Google Consent Mode v2 para manter a performance das campanhas mesmo com usuários que recusaram.

Sem essa estrutura, você está operando em não-conformidade e gastando dinheiro em anúncios que podem ser limitados pelo próprio Google.

---

## 4. Política de Privacidade para Loja Virtual: O Que Precisa Ter

Ter uma **[política de privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)** não é diferencial é obrigação legal. O Art. 9º da LGPD exige que o titular tenha acesso fácil às informações sobre o tratamento de dados.

Mas copiar um template genérico da internet não atende. A política precisa ser específica ao seu negócio e cobrir:

### 4.1 Informações Obrigatórias

- **Quais dados você coleta** e em quais momentos (cadastro, compra, navegação, contato).
- **Para qual finalidade** cada dado é usado.
- **Com quem você compartilha** os dados (gateways de pagamento, transportadoras, plataformas de e-mail marketing, ferramentas de analytics, pixels de publicidade).
- **Por quanto tempo** você mantém cada tipo de dado.
- **Qual a base legal** para cada tratamento.
- **Como o titular pode exercer seus direitos** (acesso, correção, exclusão, portabilidade, revogação de consentimento).
- **Quem é o encarregado de dados** e como contatá-lo.
- **Como você notifica** o titular em caso de vazamento.

### 4.2 Onde Exibir a Política

A política precisa ser facilmente acessível. No ecommerce, isso significa:

- Link no rodapé de todas as páginas.
- Link durante o processo de checkout (antes da finalização da compra).
- Link no formulário de cadastro.
- Mencionada no e-mail de boas-vindas ao novo cadastro.

Uma política escondida em seis cliques não atende ao requisito de transparência.

---

## 5. Os Termos de Uso do Ecommerce e a LGPD

Os **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)** regulam a relação contratual entre você e o cliente.

Eles são diferentes da política de privacidade mas precisam dialogar com ela.

Nos termos de uso, você deve incluir:

- Condições de compra, entrega e devolução.
- Responsabilidades de cada parte.
- Condições de uso do cadastro.
- Referência à política de privacidade.
- Como o usuário pode encerrar o cadastro e solicitar exclusão de dados.

A ANPD tem orientado que os termos de uso não devem ser o lugar onde você esconde condições desfavoráveis em letras miúdas especialmente as relacionadas ao uso de dados pessoais.

---

## 6. Carrinho Abandonado e E-mail Marketing: Como Fazer Certo

O e-mail de carrinho abandonado é uma das ferramentas mais lucrativas do ecommerce e uma das mais problemáticas do ponto de vista da LGPD.

### 6.1 Quando É Legal Enviar o E-mail de Carrinho Abandonado

Cenário 1 — **Cliente cadastrado que fez login:** Ele tem cadastro ativo e iniciou uma compra. O envio pode se basear em legítimo interesse (relação comercial existente) desde que haja opt-out fácil e o e-mail seja sobre o produto do carrinho, não publicidade genérica.

Cenário 2 — **Visitante que digitou o e-mail no checkout mas não finalizou:** Aqui é mais delicado. Se o formulário não teve um checkbox de consentimento para esse uso específico, o envio é questionável.

Cenário 3 — **Visitante identificado apenas por cookie:** Você não pode enviar e-mail se não tem dados de contato com base legal.

### 6.2 Newsletter: A Caixinha Pré-marcada Que Custa Caro

A caixinha "aceito receber promoções e novidades" pré-marcada é prática comum e prática ilegal.

O consentimento para e-mail marketing precisa ser:

- **Ativo:** o usuário precisa marcar a caixa, não desmarcar.
- **Separado:** não pode ser mesclado com a aceitação dos termos de uso.
- **Específico:** "aceito receber e-mails sobre meus pedidos" é diferente de "aceito receber e-mails de marketing".
- **Revogável:** todo e-mail precisa ter link de descadastro funcional.

---

## 7. Logística e Compartilhamento de Dados com Terceiros

Quando você envia o pedido pela Correios, Total Express, Jadlog ou qualquer outra transportadora, está transferindo dados pessoais do cliente para um terceiro.

A LGPD exige que esse compartilhamento seja:

1. **Informado** na política de privacidade.
2. **Coberto por base legal** (neste caso, execução de contrato).
3. **Regulado por contrato** com a transportadora ela assume o papel de operadora dos dados.

O mesmo vale para gateways de pagamento (Cielo, PagSeguro, Mercado Pago, Stripe), plataformas de atendimento (Zendesk, Freshdesk), ferramentas de e-mail marketing (RD Station, Mailchimp, Klaviyo) e qualquer outro parceiro que receba dados dos seus clientes.

O **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** é o instrumento que permite visualizar todo esse fluxo quem recebe o quê, com qual base legal, e por quanto tempo.

---

## 8. Retenção de Dados: Por Quanto Tempo Guardar

Muitos ecommerces mantêm dados de clientes indefinidamente "por precaução". Isso viola o princípio da **necessidade** da LGPD você só pode manter dados pelo tempo necessário para a finalidade declarada.

### 8.1 Prazos Recomendados por Categoria

- **Dados de pedido e nota fiscal:** mínimo 5 anos (obrigação tributária).
- **Dados de cadastro de cliente ativo:** enquanto a relação comercial existir.
- **Dados de cliente inativo:** 2 a 5 anos, dependendo do ciclo de compra do negócio, depois anonimizar ou excluir.
- **Logs de navegação e cookies:** 12 a 24 meses (alinhado com a finalidade de analytics).
- **Dados de consentimento:** pelo menos tão longo quanto o período de uso dos dados para provar que o consentimento existia.

### 8.2 O Direito ao Esquecimento no Ecommerce

O titular tem o direito de solicitar a exclusão dos seus dados. Seu ecommerce precisa ter um processo claro para atender essa solicitação:

1. **Canal de contato** identificado (e-mail do encarregado ou formulário específico).
2. **Prazo de resposta** (a LGPD não define prazo, mas a ANPD recomenda 15 dias úteis).
3. **Processo de exclusão** em todas as bases de dados incluindo sistemas de terceiros (ESP, CRM, analytics).
4. **Exceções documentadas** você pode manter dados que a lei exige manter (fiscais, por exemplo), e precisa comunicar isso ao titular.

---

## 9. O Impacto da Não Conformidade no Ecommerce

As **[multas da LGPD](https://goadopt.io/blog/multas-na-lgpd/)** são sérias, mas a multa financeira não é o único risco. O impacto da não conformidade no ecommerce tem várias dimensões:

### 9.1 Risco Financeiro

- Multa simples: até 2% do faturamento, limitada a R$ 50 milhões por infração.
- Multa diária para cessação da infração.
- Ressarcimento por danos ao titular.

### 9.2 Risco Operacional

- Suspensão ou bloqueio do tratamento de dados o que pode paralisar operações de marketing digital e remarketing.
- Limitação de anúncios pelo Google por não conformidade com o Consent Mode v2.
- Bloqueio de integração com plataformas internacionais (Meta, Google, Shopify) que exigem compliance como condição de uso.

### 9.3 Risco Reputacional

Em um mercado onde a confiança é o ativo mais valioso, um vazamento de dados ou uma notificação pública da ANPD pode destruir anos de construção de marca. O consumidor brasileiro está cada vez mais atento à privacidade e cada vez mais disposto a escolher lojas que respeitam seus dados.

---

## 10. Checklist de Conformidade para Ecommerces

Use esta lista para fazer um diagnóstico rápido da situação da sua loja:

### Documentação Legal
- [ ] Política de privacidade completa e atualizada, acessível no rodapé
- [ ] Termos de uso publicados e linkados no checkout
- [ ] Encarregado de dados identificado e canal de contato publicado

### Consentimento e Cookies
- [ ] CMP instalada com aviso de cookies funcional
- [ ] Pixels do Facebook e Google bloqueados antes do aceite
- [ ] Google Consent Mode v2 implementado
- [ ] Newsletter e e-mail marketing com opt-in ativo (sem caixinha pré-marcada)

### Processos Internos
- [ ] Mapeamento de dados atualizado com todos os tratamentos
- [ ] Contratos de operador assinados com transportadoras, gateways e plataformas de marketing
- [ ] Processo documentado para atender solicitações de titulares (acesso, correção, exclusão)
- [ ] Política de retenção de dados definida

### Segurança
- [ ] Dados de cartão de crédito nunca armazenados diretamente (delegar ao gateway)
- [ ] Acesso ao painel administrativo com autenticação forte (2FA)
- [ ] Plano de resposta a incidentes de segurança documentado
- [ ] Processo de notificação à ANPD em caso de vazamento (prazo: 2 dias úteis)

---

## 11. Adequar Sem Parar as Vendas: Estratégia Inteligente

A maior resistência dos donos de ecommerce é: "se eu pedir consentimento, vou perder conversão". Essa é uma preocupação legítima mas a lógica é inversa ao que parece.

Estudos mostram que usuários que deram consentimento explícito têm taxas de engajamento **maiores** do que usuários rastreados sem permissão. Eles sabem que recebem comunicações porque escolheram e isso muda a relação.

Além disso, o **Google Consent Mode v2** foi criado justamente para minimizar o impacto da recusa de cookies nas métricas de campanha. Com uma CMP certificada e o Consent Mode v2 ativo, você mantém a inteligência dos anúncios mesmo para usuários que recusam cookies.

A **[adequação ao marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** não é o oposto da performance é o caminho para uma performance sustentável e juridicamente segura.

---

## FAQ: LGPD e Ecommerce no Brasil

**1. Todo ecommerce precisa ter aviso de cookies?**

Sim, se o site usa cookies de terceiros (Google Analytics, pixel do Facebook, tags de remarketing, ferramentas de heatmap). A LGPD exige base legal para esse tratamento, e o consentimento via aviso de cookies é a forma mais segura de obtê-la.

**2. Posso usar o CPF do cliente para fins de marketing?**

Não sem base legal específica. O CPF foi coletado para emissão de nota fiscal essa é a finalidade. Usar o CPF para cruzar dados em campanhas de marketing foge da finalidade original e viola o princípio da finalidade da LGPD.

**3. Minha loja está no Shopify ou VTEX. A plataforma cuida da LGPD por mim?**

Não completamente. A plataforma pode oferecer recursos de compliance (como campo de opt-in ou integração com CMP), mas a responsabilidade jurídica pela adequação é sua. Você é o controlador dos dados dos seus clientes.

**4. Preciso do consentimento do cliente para enviar o e-mail de rastreamento do pedido?**

Não. E-mails transacionais (confirmação de pedido, código de rastreamento, nota fiscal) têm base legal na execução do contrato o cliente comprou e precisa da informação. Consentimento é necessário apenas para comunicações de marketing.

**5. Como funciona o processo de exclusão de dados de um cliente?**

O cliente entra em contato pelo canal de comunicação com o encarregado de dados. Você tem o dever de excluir os dados dele de todos os sistemas salvo aqueles que há obrigação legal de manter (dados fiscais, por exemplo). É recomendável responder em até 15 dias úteis e confirmar as exclusões realizadas.

---

## Adequação Não É Custo — É Investimento em Longevidade

Muitos donos de ecommerce ainda enxergam a LGPD como uma obrigação chata, um custo sem retorno. Mas o mercado já mostrou o contrário: lojas adequadas constroem uma base de clientes mais engajada, têm menos risco de sustos regulatórios e estão posicionadas para crescer em um ambiente onde os gigantes do digital (Google, Meta, Apple) estão tornando a privacidade requisito, não opção.

Adequar o seu ecommerce não precisa ser um projeto de meses com consultoria cara. Com as ferramentas certas incluindo uma CMP certificada como a AdOpt é possível implementar a estrutura essencial de forma rápida e sem impactar a experiência de compra.

A AdOpt é uma CMP certificada pelo Google, bem avaliada no G2, e especialista no universo do ecommerce brasileiro. Você foca em vender, nós garantimos que os dados chegam legalmente.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**


Ecommerce Brasil: O impacto da LGPD no seu ecommerce

Aviso de Cookies na Loja Integrada: Como configurar seu e-commerce que utiliza a Loja Integrada e manter a conformidade com a LGPD

CMP para Site Wix: Como estar em conformidade com a LGPD no seu site

A Colorado Privacy Act (CPA) tem um conjunto de regras para o Portal do Titular que vai além da lei. O Attorney General promulgou as Colorado Privacy Act Rules (4 CCR 904-3), que especificam exatamente como cada aspecto do processo de DSAR precisa funcionar, incluindo o conteúdo mínimo do registro de cada solicitação, o prazo de manutenção dos registros, e como lidar com agentes autorizados.

Esta página cobre uma parte do quadro. Para o escopo completo da CPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPA e cookies](https://goadopt.io/blog/cpa-colorado-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo cobre tudo isso: o que é uma DSAR sob a CPA, quais são os cinco direitos garantidos, os prazos específicos da lei, o Universal Opt-Out Mechanism, e o que as regulamentações exigem do processo.

## O que é uma DSAR sob a CPA?

DSAR é a sigla para Data Subject Access Request, ou Solicitação de Direitos de Dados na linguagem da CPA. É qualquer pedido formal de um consumidor do Colorado para exercer os direitos que a lei garante sobre os próprios dados.

Conforme C.R.S. § 6-1-1306(1), o consumidor pode submeter uma solicitação a qualquer momento usando os métodos especificados pelo controlador no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A CPA acrescenta o Universal Opt-Out Mechanism como canal alternativo para exercer o opt-out de publicidade segmentada e venda de dados.

## Quais são os direitos dos consumidores sob a CPA?

Conforme C.R.S. § 6-1-1306(1), os residentes do Colorado têm cinco direitos:

### Direito de opt-out

O consumidor pode recusar o processamento de seus dados para três finalidades (C.R.S. § 6-1-1306(1)(a)):

Publicidade segmentada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou igualmente significativos (acesso a serviços financeiros, habitação, seguros, educação, justiça criminal, emprego, saúde, ou bens essenciais).

O consumidor também pode exercer o opt-out através de agente autorizado, inclusive via UOM (como o GPC), quando o controlador consegue autenticar a identidade do consumidor e a autoridade do agente com esforço comercialmente razoável (C.R.S. § 6-1-1306(1)(a)(II)).

As regulamentações (4 CCR 904-3, Regra 4.03(A)(1)(b)) detalham: se o opt-out for submetido online e o controlador não conseguir identificar o consumidor para cessar o processamento de dados offline conectados, pode pedir informações adicionais. E se um consumidor submeteu múltiplas DSARs, o opt-out deve ser processado primeiro.

### Direito de acesso

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (C.R.S. § 6-1-1306(1)(b)).

As regulamentações (4 CCR 904-3, Regra 4.04(A)(1)) esclarecem que "peças específicas de dados pessoais" incluem decisões finais de perfilamento, inferências, dados derivados, perfis de marketing, e qualquer outro dado pessoal criado pelo controlador vinculado ao consumidor.

A resposta precisa ser fornecida em formato eletrônico comum e acessível, no idioma que o consumidor usa para interagir com o controlador, sem códigos internos incompreensíveis.

O controlador não precisa divulgar, em resposta a uma solicitação de acesso: números de identificação governamental, números de contas financeiras, dados biométricos ou identificadores biométricos. Mas deve informar ao consumidor que tem esses tipos de dados (ex: "Coletamos dados biométricos únicos incluindo digitalização de impressão digital" sem revelar a impressão em si).

### Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (C.R.S. § 6-1-1306(1)(c)).

As regulamentações (4 CCR 904-3, Regra 4.05) detalham:

O controlador corrige nos sistemas ativos, mas pode adiar para sistemas de arquivo ou backup até que sejam restaurados ou acessados.

Se a correção pode ser feita pelo próprio consumidor através das configurações da conta, o controlador pode fornecer instruções, desde que o processo não seja excessivamente trabalhoso.

O controlador pode pedir documentação para verificar a precisão dos dados.

Se o controlador não recebeu o dado diretamente do consumidor e não tem documentação de suporte, a declaração do consumidor sobre a imprecisão é suficiente para estabelecer que o dado é impreciso.

### Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais (C.R.S. § 6-1-1306(1)(d)).

As regulamentações (4 CCR 904-3, Regra 4.06) detalham:

O controlador apaga permanente e completamente dos sistemas ativos, ou desidentifica de forma que não seja razoavelmente associável ao indivíduo.

Também instrui os operadores a excluírem.

Pode adiar para sistemas de arquivo ou backup até que sejam restaurados.

Para dados obtidos de terceiros (não do próprio consumidor), pode cumprir retendo apenas o registro da solicitação e o mínimo necessário para garantir que os dados permaneçam excluídos, ou optando o consumidor para fora do processamento.

Se houver retenção parcial justificada por exceção legal, deve informar ao consumidor quais categorias não foram excluídas e qual exceção se aplica.

### Direito de portabilidade

Quando exercendo o direito de acesso, o consumidor pode obter os dados em formato portátil e tecnicamente utilizável que permita transmissão a outra entidade sem obstáculos (C.R.S. § 6-1-1306(1)(e)).

A portabilidade pode ser exercida **no máximo duas vezes por ano civil**. Isso é diferente de outras leis estaduais americanas que não impõem esse limite ao direito de portabilidade.

O controlador não é obrigado a fornecer os dados de forma que revele segredos comerciais. Mas deve fornecer o máximo possível em formato portátil sem revelar o segredo.

## Quais são os prazos para responder?

Os prazos da CPA têm uma estrutura específica.

**45 dias** a partir do recebimento da solicitação para responder (C.R.S. § 6-1-1306(2)(a)).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando complexidade e número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

Para **apelações**: **45 dias** para responder, extensível por mais **60 dias** em casos de complexidade ou grande número de solicitações (C.R.S. § 6-1-1306(3)(b)).

A primeira solicitação é gratuita. Para solicitações subsequentes no mesmo período de 12 meses, a empresa pode cobrar taxa calculada conforme C.R.S. § 24-72-205(5)(a).

## O apelo: um processo com prazos diferentes

A CPA tem um processo de apelação bem específico (C.R.S. § 6-1-1306(3)):

O controlador deve estabelecer um processo interno de apelação que seja conspicuamente disponível e tão fácil de usar quanto o processo de submissão de solicitações original.

O processo deve ser acionável em período razoável após o consumidor receber a notificação de recusa.

A resposta à apelação deve incluir a decisão e a justificativa por escrito.

Se a apelação for negada, o controlador deve **informar o consumidor sobre a capacidade de contatar o Attorney General** (C.R.S. § 6-1-1306(3)(c)).

## Como deve ser o canal para submissão de solicitações

As regulamentações (4 CCR 904-3, Regra 4.02(B)) detalham os requisitos:

**Empresas exclusivamente online com relação direta com o consumidor:** apenas um endereço de e-mail é suficiente.

**Demais empresas:** dois ou mais métodos designados, sendo que se a empresa mantém site, aplicativo ou presença digital, um dos métodos deve ser através dessa presença digital (formulário web).

**Empresas que interagem presencialmente:** devem considerar um método presencial (formulário impresso, tablet/computador com formulário online, ou telefone para ligação gratuita).

O método precisa:

Levar em conta como os consumidores normalmente interagem com o controlador.

Habilitar o consumidor a submeter a solicitação a qualquer momento.

Usar medidas razoáveis de segurança de dados.

Ser fácil de executar, com número mínimo de etapas.

Não exigir criação de nova conta (mas pode exigir uso de conta existente protegida por senha).

## Autenticação: como fazer certo

As regulamentações (4 CCR 904-3, Regra 4.08) são específicas:

O controlador deve usar método comercialmente razoável para autenticar cada solicitação. Para determinar o que é razoável, considera:

O direito exercido, o tipo, sensibilidade, valor e volume de dados envolvidos.

O nível de possível dano por acesso indevido.

O custo de autenticação para o controlador.

O controlador deve evitar solicitar dados pessoais adicionais se consegue autenticar com os dados que já tem.

O controlador não pode cobrar taxa de autenticação do consumidor. Por exemplo, não pode exigir reconhecimento em cartório sem compensar o consumidor pelo custo.

Se não conseguir autenticar com esforços razoáveis, não é obrigado a cumprir. Mas deve informar ao consumidor que a identidade não pôde ser autenticada e como remediar as deficiências.

## Documentação obrigatória por 24 meses

As regulamentações (4 CCR 904-3, Regra 6.11(A)) exigem que os registros de todas as DSARs sejam mantidos por pelo menos **24 meses**. Cada registro deve incluir no mínimo:

A data da solicitação.

O tipo da solicitação.

A data da resposta do controlador.

A natureza da resposta.

O fundamento para negação se o pedido foi negado total ou parcialmente.

A existência e resolução de qualquer apelação.

Os registros de DSARs com que o controlador já cumpriu também devem ser mantidos por 24 meses e disponibilizados ao novo controlador em caso de fusão, aquisição ou outra transação onde um terceiro assuma o controle dos dados pessoais.

## O Universal Opt-Out Mechanism no Portal do Titular

O UOM (incluindo o GPC) não substitui o Portal do Titular, mas cobre o opt-out de publicidade segmentada e venda de dados.

Quando o consumidor envia um sinal de UOM válido, o controlador deve:

Cessar o processamento para as finalidades indicadas o mais rápido possível, sem demora indevida (4 CCR 904-3, Regra 4.03(A)(1)).

Manter o registro do opt-out (4 CCR 904-3, Regra 4.03(A)(2)).

Continuar tratando o navegador, dispositivo e consumidor como tendo exercido opt-out até que o consumidor consinta novamente (4 CCR 904-3, Regra 5.08(A)(2)).

Se o consumidor quer exercer opt-out de perfilamento com efeitos significativos, isso ainda precisa ser feito via Portal do Titular, pois o UOM cobre apenas publicidade segmentada e venda de dados.

## Proteção contra discriminação

O C.R.S. § 6-1-1308(1)(c)(II) proíbe que o controlador, com base apenas no exercício de um direito e não relacionado à viabilidade ou ao valor de um serviço, aumente o custo ou diminua a disponibilidade do produto ou serviço.

A exceção são programas de fidelidade, recompensas, funcionalidades premium, descontos ou cartões de clube (C.R.S. § 6-1-1308(1)(d)). As regulamentações (4 CCR 904-3, Regra 6.05) detalham extensamente as obrigações relacionadas a programas de fidelidade.

## Fiscalização: AG e District Attorneys

A CPA é fiscalizada pelo **Attorney General** e pelos **District Attorneys** do Colorado (C.R.S. § 6-1-1311). Não há direito de ação privada.

A partir de 1º de janeiro de 2025, o cure period de 60 dias foi revogado. AG e DAs têm discricionariedade para agir sem prazo prévio de correção.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único, mantendo documentação por 24 meses conforme exigido pelas regulamentações.

O GPC e outros UOMs são detectados e honrados automaticamente. Quando o consumidor exerce opt-out via Portal ou via UOM, o sistema atualiza os rastreadores correspondentes. O log auditável serve como evidência para o AG ou District Attorneys.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CPA

**Dois ou mais métodos de submissão** para empresas não exclusivamente online, incluindo canal digital se a empresa mantém presença digital (4 CCR 904-3, Regra 4.02(B)(1)(b)).

**Apenas e-mail** para empresas exclusivamente online com relação direta com o consumidor (4 CCR 904-3, Regra 4.02(B)(1)(a)).

**Cobertura dos 5 direitos**: opt-out, acesso, correção, exclusão, portabilidade.

**Portabilidade limitada a 2x por ano civil** (C.R.S. § 6-1-1306(1)(e)).

**Universal Opt-Out Mechanism** honrado automaticamente a partir de julho de 2024 (C.R.S. § 6-1-1306(1)(a)(IV)(B)).

**Processo de apelação** conspicuamente disponível e tão fácil quanto o processo original.

**Prazos**: 45 dias para resposta (+45 ext.); 45 dias para apelação (+60 ext.).

**Informação ao consumidor** sobre como contatar o AG em caso de apelação negada.

**Autenticação** com esforço comercialmente razoável, sem cobrar taxa, sem solicitar dados desnecessários.

**Registros mantidos por 24 meses** com os 6 campos obrigatórios (4 CCR 904-3, Regra 6.11(A)).

**Gratuidade na primeira solicitação**; segunda pode ser cobrada conforme C.R.S. § 24-72-205(5)(a).

**Renovação de consentimento** configurada para 24 meses de inatividade do consumidor.

**Notificação a operadores** quando uma exclusão ou correção é atendida.

## Comparativo: prazos do Portal do Titular na CPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Opt-out, acesso, correção, exclusão | 45 dias | +45 dias com notificação |
| Portabilidade (máx. 2x/ano) | 45 dias | +45 dias com notificação |
| Apelação de decisão | 45 dias | +60 dias com notificação |
| Cure period (violações gerais) | Discricionário (2025) | Não há garantia |

## FAQ: CPA e Portal do Titular

**1. A CPA exige Portal do Titular dedicado ou um e-mail é suficiente?**
Depende do tipo de empresa. Empresas exclusivamente online com relação direta com o consumidor só precisam de um endereço de e-mail (4 CCR 904-3, Regra 4.02(B)(1)(a)). As demais precisam de dois ou mais métodos, sendo que uma empresa com site deve oferecer uma opção digital (formulário web). Um Portal do Titular dedicado é a forma mais organizada, mas não é o nome que a lei exige.

**2. Como funciona o limite de 2x por ano para portabilidade?**
O direito de portabilidade sob a CPA pode ser exercido no máximo duas vezes por ano civil (C.R.S. § 6-1-1306(1)(e)). Esse é um limite exclusivo da CPA entre as leis estaduais americanas. O direito de acesso (sem formato portátil) não tem esse limite explícito na lei, embora a primeira solicitação seja gratuita e subsequentes possam ser cobradas.

**3. O que o controlador deve fazer quando um consumidor não interagiu por 24 meses?**
As regulamentações (4 CCR 904-3, Regra 7.08) exigem que o controlador renove o consentimento para processamento de dados sensíveis e para finalidades secundárias que envolvam perfilamento com efeitos significativos, quando o consumidor não interagiu nos últimos 24 meses. Isso significa que o Portal do Titular e os sistemas de gestão de consentimento precisam rastrear a última interação do consumidor e disparar fluxos de renovação de consentimento.

**4. O que acontece após apelação negada na CPA?**
O C.R.S. § 6-1-1306(3)(c) exige que o controlador informe o consumidor sobre a capacidade de contatar o Attorney General. Isso é diferente de outras leis que exigem fornecer instruções específicas de como contatar a autoridade. A CPA é mais aberta: o controlador precisa comunicar que essa opção existe. O consumidor pode então submeter reclamação ao AG ou ao District Attorney da jurisdição.

**5. A CPA tem alguma obrigação específica sobre dados encontrados durante uma solicitação de acesso que o controlador não pode divulgar?**
Sim. As regulamentações (4 CCR 904-3, Regra 4.04(D)) listam categorias de dados que o controlador não precisa divulgar na resposta de acesso: números de identificação governamentais, números de contas financeiras, dados de seguros de saúde ou identificação médica, senhas, questões de segurança, dados biométricos e identificadores biométricos. Mas o controlador deve informar ao consumidor que tem esse tipo de dado, com detalhe suficiente (ex: "Coletamos dados biométricos únicos, incluindo digitalização de impressão digital"), sem revelar o dado em si.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Colorado CPA: DSAR Portal do Titular

A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem algumas peculiaridades no processo de DSAR que a diferenciam das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da CTDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CTDPA e cookies](https://goadopt.io/blog/ctdpa-connecticut-e-cookies-tudo-o-que-voce-precisa-saber/).

A mais importante: as solicitações de opt-out **não precisam de autenticação**, mas o controlador pode negar se tiver crença documentada de fraude. E a apelação tem prazo de **60 dias** para resposta, não 45 como o prazo inicial.

Este artigo cobre tudo isso: o que é uma DSAR sob a CTDPA, quais são os cinco direitos garantidos, os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Connecticut.

## O que é uma DSAR sob a CTDPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Connecticut para exercer os direitos que a CTDPA garante sobre os próprios dados.

Conforme a Seção 4(b), o consumidor exerce seus direitos por meios seguros e confiáveis estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A CTDPA adiciona regras específicas sobre autenticação de opt-outs e o papel dos agentes autorizados via tecnologia.

## Quais são os direitos dos consumidores sob a CTDPA?

Conforme a Seção 4(a), os residentes do Connecticut têm cinco direitos:

### 1. Direito de confirmação e acesso

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (Seção 4(a)(1)).

Uma limitação específica da CTDPA: se a confirmação ou o acesso exigirem que o controlador **revele segredo comercial**, o controlador não é obrigado a fazê-lo. Isso é diferente de outras leis que não mencionam segredos comerciais no contexto do direito de acesso.

### 2. Direito de correção

O consumidor pode solicitar correção de imprecisões nos dados pessoais, levando em conta a natureza dos dados e os propósitos do processamento (Seção 4(a)(2)).

### 3. Direito de exclusão

O consumidor pode solicitar a exclusão de dados pessoais fornecidos por ele ou obtidos sobre ele (Seção 4(a)(3)).

Para dados obtidos de terceiros (não do próprio consumidor), o controlador pode cumprir retendo apenas o registro da solicitação de exclusão e o mínimo necessário para garantir que os dados permaneçam excluídos (sem usar esses dados para outra finalidade), ou optando o consumidor para fora do processamento desses dados (Seção 4(c)(5)).

### 4. Direito de portabilidade

O consumidor pode obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável para transmissão a outro controlador sem obstáculos, onde o processamento é realizado por meios automatizados (Seção 4(a)(4)).

O controlador **não é obrigado a revelar segredos comerciais** para atender à solicitação de portabilidade.

### 5. Direito de opt-out

O consumidor pode recusar o processamento de dados para três finalidades (Seção 4(a)(5)):

Publicidade segmentada.

Venda de dados pessoais (exceto como previsto na Seção 6(b) sobre programas de fidelidade).

Perfilamento em apoio a decisões **exclusivamente automatizadas** que produzem efeitos legais ou igualmente significativos sobre o consumidor.

O terceiro ponto é a diferença mais importante da CTDPA em relação a outras leis: o opt-out de perfilamento se aplica apenas a decisões **exclusivamente** automatizadas. Se houver qualquer revisão humana na decisão final, esse opt-out pode não se aplicar.

## Quais são os prazos para responder?

Conforme a Seção 4(c)(1):

**45 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e número de solicitações, com notificação dentro do prazo inicial.

**Gratuito** uma vez por consumidor durante qualquer período de 12 meses (Seção 4(c)(3)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas: pode cobrar taxa razoável ou recusar, com ônus da prova do caráter excessivo recaindo sobre o controlador.

## O processo de apelação: 60 dias, não 45

A CTDPA tem uma peculiaridade: o prazo para resposta à apelação é de **60 dias**, não 45 como o prazo inicial (Seção 4(d)).

O processo de apelação precisa ser:

Conspicuamente disponível e similar ao processo de submissão de solicitações.

Acionável dentro de período razoável após o consumidor receber a decisão.

A resposta deve incluir qualquer ação tomada ou não tomada, junto com explicação escrita dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online, se disponível, ou outro método pelo qual o consumidor pode contatar o **Attorney General** para submeter reclamação.

## Autenticação: a regra especial para opt-outs

A CTDPA tem uma regra de autenticação diferente para opt-outs (Seção 4(c)(4)):

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: se o controlador não conseguir autenticar usando esforços comercialmente razoáveis, não é obrigado a cumprir. Deve notificar o consumidor que não conseguiu autenticar e que precisa de informação adicional.

Para **solicitações de opt-out**: o controlador **não é obrigado a autenticar**, mas **pode negar** se tiver crença de boa-fé, razoável e documentada de que a solicitação é fraudulenta. Se negar, deve enviar notificação ao solicitante explicando que acredita que é fraudulenta, por quê acredita nisso, e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem exigir autenticação, mas o controlador pode ter um processo de verificação de fraude.

## Os agentes autorizados e os sinais de opt-out

A Seção 5 permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia, como link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de **1º de janeiro de 2025**, o controlador que processa para publicidade segmentada ou vende dados deve aceitar opt-outs via sinal enviado por plataforma ou mecanismo com o consentimento do consumidor (Seção 6(e)(1)(A)(ii)). Isso inclui o Global Privacy Control (GPC).

## Como deve ser o canal para submissão de solicitações

A Seção 6(e)(1) exige que o controlador estabeleça e descreva no aviso de privacidade um ou mais meios seguros e confiáveis para submissão de solicitações. Os meios devem levar em conta:

As formas como os consumidores normalmente interagem com o controlador.

A necessidade de comunicação segura e confiável.

A capacidade de verificar a identidade do consumidor.

O controlador não pode exigir criação de nova conta. Pode exigir uso de conta existente.

Além disso, a Seção 6(e)(1)(A)(i) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade segmentada e venda de dados.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso

Receba e autentique a identidade do titular com esforços comercialmente razoáveis.

Localize todos os dados pessoais do consumidor nos sistemas.

Verifique se a confirmação ou acesso revelaria segredos comerciais: se sim, pode negar nessa parte específica.

Prepare resposta em formato acessível dentro de 45 dias.

### Solicitação de correção

Receba e autentique.

Identifique o dado impreciso.

Corrija nos sistemas principais.

Confirme ao consumidor dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal.

Para dados obtidos de terceiros: escolha entre excluir ou optar o consumidor para fora do processamento.

Confirme ao consumidor.

### Solicitação de portabilidade

Receba e autentique.

Gere arquivo com dados do consumidor em formato portátil, sem revelar segredos comerciais.

Entregue de forma segura dentro de 45 dias.

### Opt-out de publicidade segmentada e venda

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC).

Não é necessário autenticar para processar, mas monitore sinais de fraude.

Se houver suspeita razoável e documentada de fraude: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

Atenção especial: se o sinal de opt-out conflita com configuração específica ou programa de fidelidade do consumidor, cumpra o opt-out mas pode notificar o conflito.

### Opt-out de perfilamento exclusivamente automatizado

Receba via Portal.

Avalie se o perfilamento em questão é **exclusivamente automatizado** (sem revisão humana). Se houver revisão humana significativa, o opt-out pode não se aplicar.

Se for exclusivamente automatizado: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado.

## O que acontece quando o controlador nega uma solicitação?

Conforme a Seção 4(c)(2), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

## Revogação de consentimento: 15 dias

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 6(a)(6) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento no máximo em **15 dias** após o recebimento da revogação.

Esse prazo de 15 dias precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

## Proteção especial para crianças e adolescentes

Para crianças conhecidas (menores de 13 anos sob a COPPA): os pais ou responsáveis legais podem exercer os direitos em nome da criança (Seção 4(b)).

Para consumidores sob tutela, curatela ou outro arranjo de proteção: o tutor ou curador pode exercer os direitos em nome do consumidor (Seção 4(b)).

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade segmentada ou venda sem o consentimento desses consumidores (Seção 6(a)(7)).

## Proteção contra discriminação

A Seção 6(a) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam.

## Fiscalização: AG exclusivo

A Seção 11(a) confere ao Attorney General do Connecticut **autoridade exclusiva** para fiscalizar a CTDPA. Não há District Attorneys envolvidos (diferente do Colorado) e não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode considerar múltiplos fatores antes de agir ou não.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento e garante a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CTDPA

**Um ou mais canais seguros e confiáveis** descritos no aviso de privacidade (Seção 6(e)(1)).

**Link claro e conspícuo** no site para opt-out de publicidade segmentada/venda (Seção 6(e)(1)(A)(i)).

**Opt-out preference signal** honrado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

**Cobertura dos 5 direitos**: acesso/confirmação, correção, exclusão, portabilidade, opt-out.

**Perfilamento: apenas exclusivamente automatizado** coberto pelo opt-out (Seção 4(a)(5)(C)).

**Opt-out sem autenticação obrigatória**: processo que aceita opt-outs sem exigir verificação (Seção 4(c)(4)).

**Processo de denúncia de fraude** documentado se opt-outs forem negados por suspeita de fraude.

**Agentes autorizados** aceitos para opt-out (Seção 5).

**Prazos**: 45 dias para resposta (+45 ext.); **60 dias** para apelação (não 45).

**Mecanismo de apelação** conspicuamente disponível e similar ao processo original.

**Referência ao AG** fornecida quando apelação é negada (Seção 4(d)).

**Gratuidade** na primeira solicitação por período de 12 meses (Seção 4(c)(3)).

**Revogação de consentimento honrada em 15 dias** (Seção 6(a)(6)).

**Pais/responsáveis** podem exercer direitos por crianças (Seção 4(b)).

**Tutores** podem exercer direitos por consumidores sob tutela (Seção 4(b)).

**Proteção para adolescentes 13-15**: processo para obter consentimento antes de processar para publicidade/venda.

## Comparativo: prazos do Portal do Titular na CTDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, correção, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (não requer autenticação) | Sem prazo específico | Imediato recomendado |
| Apelação de decisão | **60 dias** | Não especificado |
| Revogação de consentimento | **Máx. 15 dias** | Não há extensão |
| Cure period (violações gerais) | Discricionário (2025) | Não há garantia |

## FAQ: CTDPA e Portal do Titular

**1. Por que o opt-out não precisa de autenticação na CTDPA?**
A Seção 4(c)(4) estabelece que o controlador não é obrigado a autenticar solicitações de opt-out. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode, no entanto, negar se tiver crença documentada de fraude e deve notificar o solicitante com a justificativa. Isso equilibra a facilidade de exercício do direito com a proteção contra abusos.

**2. Por que a apelação tem prazo de 60 dias e não 45 como as solicitações iniciais?**
A Seção 4(d) estabelece explicitamente 60 dias para resposta a apelações, enquanto as solicitações iniciais têm prazo de 45 dias (Seção 4(c)(1)). O prazo maior para apelações provavelmente reflete a necessidade de revisão mais cuidadosa de uma decisão já tomada. Não há extensão mencionada para o prazo de apelações.

**3. O opt-out de perfilamento na CTDPA é mais restrito do que em outras leis?**
Sim. A Seção 4(a)(5)(C) limita o opt-out de perfilamento a decisões **exclusivamente** automatizadas com efeitos legais ou significativos. A VCDPA da Virgínia e a CPA do Colorado cobrem decisões com esses efeitos sem o requisito de exclusividade. Na prática, se o controlador usa perfilamento automatizado mas um humano revisa e toma a decisão final, o opt-out de perfilamento da CTDPA pode não se aplicar.

**4. Quem pode exercer direitos em nome de outros consumidores na CTDPA?**
A Seção 4(b) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças conhecidas, e que tutores ou curadores exercem direitos em nome de consumidores sob esses arranjos de proteção. Além disso, a Seção 5 permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

**5. O que acontece se o controlador negar um opt-out por suspeita de fraude?**
A Seção 4(c)(4) permite a negação se houver crença de boa-fé, razoável e documentada de que o opt-out é fraudulento. Mas exige notificação ao solicitante com três informações: que o controlador acredita que a solicitação é fraudulenta, por que acredita nisso, e que não cumprirá. Sem essa notificação, a negação pode ser considerada violação da lei.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Connecticut CTDPA: DSAR Portal do Titular

A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem algumas particularidades no processo de DSAR que a distinguem das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da OCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da OCPA e cookies](https://goadopt.io/blog/ocpa-oregon-e-cookies-tudo-o-que-voce-precisa-saber/).

A mais importante: as solicitações de opt-out **não precisam de autenticação**. E o direito de listar os terceiros que receberam os dados foi o mais frequentemente negado no primeiro ano de enforcement. O relatório do Attorney General Dan Rayfield (agosto de 2025) mostrou que empresas simplesmente não tinham esse registro estruturado.

Este artigo cobre tudo: o que é uma DSAR sob a OCPA, quais são os direitos garantidos pelo sistema L.O.C.K.E.D., os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Oregon.

## O que é uma DSAR sob a OCPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Oregon para exercer os direitos que a OCPA garante sobre os próprios dados.

Conforme a Seção 4(1), o consumidor exerce seus direitos por meios estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A OCPA adiciona regras específicas sobre dados derivados, opt-out sem autenticação, e o papel dos sinais de opt-out universal via tecnologia.

## Quais são os direitos dos consumidores sob a OCPA?

O sistema **L.O.C.K.E.D.** do Departamento de Justiça do Oregon resume os direitos da Seção 3(1) da OCPA:

### L: Direito de listar os terceiros

O consumidor pode solicitar uma lista das entidades específicas para as quais o controlador divulgou seus dados pessoais, ou uma lista de qualquer dado pessoal divulgado (Seção 3(1)(a)(B)).

O controlador pode escolher fornecer: (i) lista de terceiros específicos que receberam os dados do consumidor, ou (ii) lista de terceiros que receberam qualquer dado pessoal do controlador.

Esse foi o direito mais frequentemente negado no primeiro ano de enforcement. Empresas não tinham o registro de com quem compartilharam dados estruturado de forma que permitisse responder a essa solicitação.

### K: Direito de saber e confirmar

O consumidor pode obter confirmação de que o controlador processa ou processou seus dados e quais categorias de dados pessoais estão envolvidas (Seção 3(1)(a)(A)).

### C: Direito de cópia

O consumidor pode obter cópia de **todos** os dados pessoais que o controlador processou, em formato portável e prontamente utilizável quando tecnicamente viável (Seção 3(1)(a)(C)).

Esse escopo inclui dados derivados. Perfis de marketing, scores de comportamento e classificações de segmento criados a partir dos dados do consumidor fazem parte da cópia que deve ser entregue.

O relatório de enforcement identificou que empresas não estavam incluindo dados de "back-end" como perfis de marketing nas respostas às solicitações de cópia. Isso configura violação direta da lei.

### E: Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (Seção 3(1)(b)).

### D: Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais, incluindo (Seção 3(1)(c)):

Dados que o consumidor forneceu diretamente à empresa.

Dados que a empresa obteve de outras fontes sobre o consumidor.

Dados derivados criados pela empresa a partir de outros dados.

Para dados obtidos de terceiros, a OCPA prevê uma alternativa. O controlador pode cumprir a solicitação de exclusão de duas formas: excluindo os dados de fato; ou fazendo opt-out do consumidor do processamento de seus dados para qualquer finalidade que não seja uma das isentas pela Seção 2(3) (Seção 4(7)).

### O: Direito de opt-out

O consumidor pode recusar o processamento de dados para três finalidades (Seção 3(1)(d)):

Publicidade direcionada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou de significância similar (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

## Quais são os prazos para responder?

Conforme a Seção 4(5)(a):

**45 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

**Apelação: 45 dias** para resposta, com decisão e justificativa por escrito (Seção 4(6)(d)).

**Gratuito** uma vez por período de 12 meses por consumidor (Seção 4(5)(c)). Para solicitações subsequentes, pode cobrar taxa razoável, exceto quando verifica o cumprimento de correção ou exclusão anterior.

Um ponto de distinção em relação à CTDPA do Connecticut: a OCPA estabelece 45 dias para apelações, enquanto a CTDPA estabelece 60 dias. A OCPA é mais ágil nesse ponto.

## O processo de apelação

A Seção 4(6) exige que o controlador estabeleça processo de apelação conspicuamente disponível e similar ao processo original de submissão.

O processo deve:

Permitir um prazo razoável para o consumidor apelar após receber a recusa.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta escrita dentro de **45 dias** com decisão e justificativa.

Se a apelação for negada, o aviso deve fornecer ou especificar informações que permitam ao consumidor contatar o Attorney General para registrar uma reclamação (Seção 4(6)(d)).

## Autenticação: a regra especial para opt-outs

A Seção 4(5)(e) da OCPA tem regra de autenticação diferente para opt-outs:

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: o controlador pode solicitar informações adicionais razoavelmente necessárias para autenticar. Se não conseguir autenticar, não é obrigado a cumprir, mas deve notificar o consumidor (Seção 4(5)(d)).

Para **solicitações de opt-out**: o controlador **não pode exigir autenticação**. Pode solicitar apenas informações necessárias para identificar quem está pedindo o opt-out. Se tiver crença documentada, razoável e de boa-fé de que a solicitação é fraudulenta, pode negar. Mas deve notificar o solicitante explicando que acredita que é fraudulenta e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem barreiras de autenticação.

## Os agentes autorizados e os sinais de opt-out

A Seção 4(4) permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia: link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de **1º de janeiro de 2026**, o controlador que processa para publicidade direcionada ou vende dados deve aceitar opt-outs via sinal enviado com o consentimento do consumidor (Seção 5(5)(c)). Isso inclui o Global Privacy Control (GPC).

## Como deve ser o canal para submissão de solicitações

A Seção 5(4)(i) e 5(5) exige que o controlador estabeleça e descreva no aviso de privacidade o método para submissão de solicitações. Esse método precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir segurança e confiabilidade nas comunicações.

Permitir autenticação da identidade do consumidor.

Fornecer link claro e conspícuo para opt-out de publicidade direcionada.

O controlador não pode exigir criação de nova conta (Seção 4(2)). Pode exigir uso de conta existente.

Além disso, a Seção 5(5)(b) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade direcionada e venda de dados.

A partir de **1º de janeiro de 2026**, o canal também precisa reconhecer e honrar sinais de opt-out universal como o GPC, conforme a Seção 5(5)(c).

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (lista de terceiros, acesso/cópia, correção, exclusão, opt-out de publicidade/venda/perfilamento).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de lista de terceiros

Receba e autentique a identidade do titular.

Consulte o registro de compartilhamentos de dados.

Decida se vai fornecer: (i) lista de terceiros específicos que receberam dados do consumidor, ou (ii) lista de qualquer terceiro que recebeu qualquer dado.

Prepare resposta dentro de 45 dias.

Atenção: sem esse registro estruturado, é impossível cumprir. Construir o mapeamento de compartilhamentos é pré-requisito.

### Solicitação de acesso e cópia

Receba e autentique.

Localize todos os dados pessoais nos sistemas, incluindo dados derivados como perfis de marketing e scores de comportamento.

Prepare resposta em formato portável dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal (Seção 2(3)).

Para dados do próprio consumidor: exclua de todos os sistemas relevantes.

Para dados obtidos de terceiros: exclua de fato ou faça opt-out do processamento para finalidades não isentas (Seção 4(7)).

Confirme ao consumidor dentro de 45 dias.

### Opt-out de publicidade direcionada e venda

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC a partir de 2026).

**Não é necessário autenticar** para processar.

Monitore sinais de fraude. Se houver suspeita documentada: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

### Opt-out de perfilamento

Receba via Portal.

Identifique se o perfilamento em questão é para decisões com efeitos legais ou de significância similar.

Se sim: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado dentro de 45 dias.

## O que acontece quando o controlador nega uma solicitação?

Conforme a Seção 4(5)(b), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

## Revogação de consentimento: 15 dias

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 5(1)(d) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento o mais rápido possível, mas **no máximo em 15 dias** após o recebimento da revogação.

Esse prazo precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

## Proteção especial para crianças e adolescentes

A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos.

A Seção 4(3) também permite que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outra proteção similar.

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade direcionada ou venda sem o consentimento desses consumidores (Seção 5(2)(c)).

A partir de janeiro de 2026: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada.

## Proteção contra discriminação

A Seção 5(2)(d) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença está razoavelmente relacionada ao valor que os dados representam (Seção 5(3)(b)).

## O fim do período de cura e os DSARs

Até 1º de janeiro de 2026, o AG precisava notificar a empresa e conceder 30 dias para correção antes de iniciar ação formal.

**A partir de 1º de janeiro de 2026, esse período foi eliminado.** O AG pode agir diretamente (Seção 11 da OCPA).

Empresas sem processo estruturado para DSARs não conseguem corrigir em 30 dias o que deveria estar implementado desde o início. Sem o período de cura, o risco é ainda maior. As penalidades podem chegar a **US$ 7.500 por violação**, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC a partir de 2026, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento garantindo a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a OCPA

**Canal de submissão de solicitações** sem exigência de criação de nova conta (Seção 4(2)).

**Link claro e conspícuo** no site para opt-out de publicidade direcionada e venda (Seção 5(5)(b)).

**Opt-out preference signal** honrado a partir de janeiro de 2026 (Seção 5(5)(c)).

**Cobertura de todos os direitos L.O.C.K.E.D.**: lista de terceiros, acesso/confirmação, cópia (incluindo dados derivados), correção, exclusão, opt-out.

**Dados derivados incluídos** no escopo de cópia e exclusão (Seção 3(1)(a)(C) e 3(1)(c)).

**Opt-out sem autenticação obrigatória** para publicidade direcionada, venda e perfilamento (Seção 4(5)(e)).

**Processo de denúncia de fraude** documentado se opt-outs forem negados por suspeita de fraude.

**Agentes autorizados** aceitos para opt-out, incluindo via tecnologia (Seção 4(4)).

**Prazos**: 45 dias para resposta (+45 ext.); **45 dias** para apelação.

**Mecanismo de apelação** conspicuamente disponível e similar ao processo original (Seção 4(6)).

**Referência ao AG** fornecida quando apelação é negada (Seção 4(6)(d)).

**Gratuidade** na primeira solicitação por período de 12 meses (Seção 4(5)(c)).

**Revogação de consentimento honrada em 15 dias** (Seção 5(1)(d)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Pais/responsáveis** podem exercer direitos por crianças menores de 13 anos (Seção 4(3)).

**Tutores** podem exercer direitos por consumidores sob tutela (Seção 4(3)).

**Proteção para adolescentes 13-15**: processo para consentimento antes de processar para publicidade/venda.

## Comparativo: prazos do Portal do Titular na OCPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, lista, cópia, correção, exclusão | 45 dias | +45 dias com notificação |
| Opt-out (sem autenticação obrigatória) | Sem prazo específico | Imediato recomendado |
| Apelação de decisão | 45 dias | Não especificado |
| Revogação de consentimento | Máx. 15 dias | Não há extensão |
| Cure period para violações | Eliminado (jan/2026) | Não há garantia |

## FAQ: OCPA e Portal do Titular

**1. Por que o opt-out não precisa de autenticação na OCPA?**
A Seção 4(5)(e) estabelece que para solicitações de opt-out de publicidade direcionada, venda e perfilamento, o controlador deve cumprir sem exigir autenticação. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode negar apenas se tiver crença documentada de boa-fé de que a solicitação é fraudulenta, e deve notificar o solicitante com a justificativa. Sem essa notificação, a negação pode ser considerada violação da lei.

**2. Por que o direito de listar terceiros foi o mais negado no primeiro ano da OCPA?**
O relatório do AG Dan Rayfield (agosto de 2025) identificou que empresas simplesmente não tinham o registro estruturado de com quem compartilharam dados pessoais. Para cumprir a Seção 3(1)(a)(B), o controlador precisa saber exatamente quais entidades receberam dados de determinado consumidor, ou quais entidades receberam qualquer dado pessoal do controlador. Sem um mapeamento de compartilhamentos atualizado, é impossível responder a essa solicitação.

**3. O que torna a exclusão de dados derivados um diferencial importante da OCPA?**
A OCPA inclui explicitamente dados derivados na definição de dado pessoal (Seção 1(13)) e no escopo do direito de exclusão (Seção 3(1)(c)). Isso significa que quando o consumidor solicita a exclusão, perfis de marketing, scores de propensão e classificações de segmento criados a partir dos dados dele também precisam ser excluídos. O relatório de enforcement identificou que empresas não estavam incluindo esses dados nas respostas, o que configurou violação direta.

**4. Quem pode exercer direitos em nome de outros consumidores na OCPA?**
A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos, e que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outros arranjos de proteção. Além disso, a Seção 4(4) permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

**5. O que acontece se o controlador não tiver processo de DSAR quando o Attorney General investigar?**
A partir de janeiro de 2026, não existe mais o período de cura de 30 dias. O AG pode iniciar ação diretamente (Seção 11 da OCPA). Se identificar violações, pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser contado como violação separada, o que eleva rapidamente o impacto financeiro. O relatório de enforcement de 2025 mostrou que formulários de direitos inacessíveis ou não funcionais foram um dos problemas mais comuns nas investigações.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Oregon OCPA: DSAR Portal do Titular

A Utah Consumer Privacy Act (UCPA, Utah Code § 13-61-101) tem o processo de DSAR mais simples entre as leis estaduais americanas vigentes.

Esta página cobre uma parte do quadro. Para o escopo completo da UCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da UCPA e cookies](https://goadopt.io/blog/ucpa-utah-e-cookies-tudo-o-que-voce-precisa-saber/).

Quatro direitos. Nenhum processo de apelação formal. Sem distinção de autenticação entre opt-out e outros direitos. E o prazo de resposta é o mesmo para todos: 45 dias.

Mas existem particularidades que merecem atenção: o direito de exclusão é mais restrito do que em outras leis, e a UCPA tem regras específicas sobre cobrança de taxa e proteção contra fraude em solicitações.

Este artigo cobre tudo isso.

## O que é uma DSAR sob a UCPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um consumidor residente do Utah para exercer os direitos que a UCPA garante sobre os próprios dados.

Conforme Utah Code § 13-61-202(1), o consumidor exerce seus direitos submetendo uma solicitação ao controlador, pelos meios prescritos pelo controlador, especificando qual direito pretende exercer.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar, mas simplificada. A UCPA não tem processo de apelação formal e o escopo de alguns direitos é mais restrito.

## Quais são os direitos dos consumidores sob a UCPA?

Conforme Utah Code § 13-61-201, os residentes do Utah têm quatro direitos:

### 1. Direito de confirmação e acesso

O consumidor pode confirmar se o controlador está processando seus dados pessoais e acessar esses dados (§ 13-61-201(1)).

A resposta precisa ser fornecida em formato acessível dentro de 45 dias.

### 2. Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais que forneceu ao controlador (§ 13-61-201(2)).

**Atenção ao escopo restrito:** a UCPA limita o direito de exclusão a dados que o consumidor **forneceu** ao controlador. Dados que o controlador obteve de outras fontes, como data brokers, listas de terceiros, ou inferências criadas a partir de outros dados, não precisam ser excluídos por força da UCPA.

Isso é substancialmente diferente de leis como OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte, incluindo dados derivados.

### 3. Direito de portabilidade

O consumidor pode obter uma cópia dos dados pessoais que forneceu ao controlador, em formato portátil quando tecnicamente viável e praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 13-61-201(3)).

O escopo é também limitado a dados que o consumidor forneceu, não a todos os dados que o controlador possui sobre o consumidor.

### 4. Direito de opt-out

O consumidor pode recusar o processamento de seus dados para publicidade direcionada ou venda de dados pessoais (§ 13-61-201(4)).

**O que a UCPA não inclui no opt-out:** perfilamento. A UCPA não garante opt-out de perfilamento para decisões com efeitos legais ou significativos, ao contrário de OCPA, VCDPA e CTDPA. O opt-out cobre apenas publicidade direcionada e venda de dados.

## O que a UCPA não tem: direitos ausentes em comparação com outras leis

Para empresas que já processam DSARs para outras jurisdições, vale destacar o que a UCPA não prevê:

**Sem direito de correção.** A UCPA não garante o direito de corrigir dados imprecisos. Leis como CPRA, OCPA, VCDPA e CTDPA todas incluem esse direito.

**Sem processo de apelação formal.** Quando o controlador nega uma solicitação, a UCPA não exige um processo de apelação estruturado. O consumidor pode registrar reclamação na Division of Consumer Protection.

**Sem opt-out de perfilamento.** A UCPA cobre apenas publicidade direcionada e venda de dados no opt-out, excluindo perfilamento para decisões com efeitos legais.

**Exclusão limitada a dados fornecidos pelo consumidor.** Dados de terceiros e dados derivados não precisam ser excluídos.

## Quais são os prazos para responder?

Conforme Utah Code § 13-61-203:

**45 dias** para responder a partir do recebimento da solicitação (§ 13-61-203(2)(a)).

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor antes do prazo inicial expirar (§ 13-61-203(2)(b)(c)).

Se o controlador suspeitar razoavelmente que a solicitação é fraudulenta e não conseguir autenticar dentro do prazo, o prazo de 45 dias não se aplica até a autenticação ser concluída (§ 13-61-203(2)(d)).

**Gratuito para a primeira solicitação** de cada consumidor por período de 12 meses (§ 13-61-203(4)(a)).

## Quando a empresa pode cobrar taxa ou recusar

Utah Code § 13-61-203(4)(b) permite ao controlador cobrar taxa razoável ou recusar agir se a solicitação:

For excessiva, repetitiva, tecnicamente inviável ou manifestamente infundada.

O controlador razoavelmente acreditar que o objetivo principal de submeter a solicitação é algo diferente de exercer um direito.

A solicitação, individualmente ou como parte de esforço organizado, assediar, interromper ou impor carga indevida sobre os recursos da empresa.

O controlador que cobrar taxa ou recusar agir com base nesses critérios assume o ônus de demonstrar que a solicitação satisfaz um dos critérios listados.

## Autenticação: sem distinção especial para opt-out

Uma diferença importante da UCPA em relação à OCPA: a UCPA não tem regra especial de autenticação para opt-out. Conforme § 13-61-203(5), se o controlador não conseguir autenticar a solicitação usando esforços comercialmente razoáveis, não é obrigado a cumprir, mas pode pedir informações adicionais razoavelmente necessárias para autenticar.

Essa regra se aplica igualmente a todos os tipos de solicitação, incluindo opt-out. Isso difere da OCPA, que proíbe exigir autenticação para opt-out de publicidade direcionada.

## Como deve ser o canal para submissão de solicitações

Conforme Utah Code § 13-61-203(1) e 302(1)(a)(iii), o controlador precisa estabelecer meios pelos quais os consumidores podem submeter solicitações, e descrever esses meios no aviso de privacidade.

O controlador não pode exigir que o consumidor crie uma nova conta apenas para exercer um direito. A lei permite usar conta existente (§ 13-61-202(1) refere ao uso dos "meios prescritos pelo controlador").

Um Portal do Titular bem estruturado para a UCPA inclui:

Formulário com as quatro categorias de direitos.

Processo de verificação de identidade proporcional.

Confirmação de recebimento.

Registro da solicitação, ação tomada, e resposta enviada.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências de opt-out sejam refletidas nos sistemas da empresa.

## Proteção de crianças e adolescentes

Conforme Utah Code § 13-61-202(2), no caso de processamento de dados pessoais de uma criança conhecida, o pai ou responsável legal deve exercer os direitos em nome da criança.

Conforme § 13-61-202(3), no caso de processamento de dados de um consumidor sob tutela, curatela ou outro arranjo de proteção, o tutor ou curador exerce os direitos em nome do consumidor.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 13-61-102(3)), incluindo consentimento parental verificável antes de qualquer coleta de dados.

## O que acontece quando o controlador nega uma solicitação?

Conforme Utah Code § 13-61-203(3), o controlador que decidir não agir sobre uma solicitação deve informar o consumidor dentro de 45 dias, com as razões para não tomar ação.

A UCPA não descreve um processo formal de apelação. Não há prazo específico para apelação, nem obrigação de informar sobre como contatar o regulador em caso de negativa.

O consumidor pode registrar reclamação na Division of Consumer Protection, que poderá investigar e, se encontrar evidências substanciais de violação, encaminhar ao Attorney General.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e confirmação

Receba e autentique com esforços comercialmente razoáveis.

Confirme se os dados do consumidor estão sendo processados.

Localize os dados pessoais do consumidor nos sistemas relevantes.

Prepare resposta em formato acessível dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Verifique se há exceção legal que justifica a retenção.

Exclua os dados identificados dos sistemas relevantes.

**Nota importante:** dados que o controlador obteve de fontes que não o próprio consumidor (data brokers, listas de terceiros, dados derivados) não precisam ser excluídos sob a UCPA.

### Solicitação de portabilidade

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Prepare resposta em formato portátil e utilizável.

Entregue ao consumidor dentro de 45 dias.

### Opt-out de publicidade direcionada e venda

Receba a solicitação pelo canal designado.

Autentique com esforços comercialmente razoáveis.

Cesse o processamento para as finalidades indicadas.

Atualize os sistemas de rastreamento correspondentes.

Informe o consumidor dentro de 45 dias.

## Proteção contra discriminação

Utah Code § 13-61-302(4) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários e situações onde o consumidor optou por sair da publicidade direcionada e a empresa ajustou o preço em consequência (desde que o preço diferente seja razoavelmente relacionado ao valor que os dados representam para a empresa).

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de direito solicitado.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa quando a Division of Consumer Protection investigar reclamações ou quando o caso for encaminhado ao Attorney General.

## O cure period e os DSARs

Antes de iniciar qualquer ação, o Attorney General deve notificar o controlador e conceder **30 dias para correção** (§ 13-61-402(3)). Esse prazo é garantido permanentemente.

Empresas sem processo estruturado para DSARs têm dificuldade de implementar em 30 dias o que deveria estar em vigor desde o início. O cure period é uma garantia, não uma estratégia de conformidade.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade direcionada, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para a Division of Consumer Protection e o Attorney General. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a UCPA

**Canal de submissão de solicitações** descrito no aviso de privacidade (§ 13-61-302(1)(a)(iii)).

**Cobertura dos 4 direitos**: confirmação/acesso, exclusão (dados fornecidos pelo consumidor), portabilidade, opt-out de publicidade direcionada e venda.

**Ausência de exigência de criação de nova conta** para exercer direitos.

**Prazo de 45 dias** para resposta (+45 ext. com notificação) (§ 13-61-203(2)).

**Autenticação com esforços comercialmente razoáveis** para todos os tipos de solicitação (§ 13-61-203(5)).

**Gratuidade** para a primeira solicitação por período de 12 meses (§ 13-61-203(4)(a)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Proteção para crianças**: pais/responsáveis exercem direitos por crianças conhecidas (§ 13-61-202(2)).

**Conformidade com COPPA** para dados de crianças menores de 13 anos (§ 13-61-102(3)).

**Proteção contra discriminação** de consumidores que exercem direitos (§ 13-61-302(4)).

## Comparativo: prazos do Portal do Titular na UCPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (publicidade direcionada e venda) | 45 dias | +45 dias com notificação |
| Apelação de decisão | Não estruturado pela UCPA | Não se aplica |
| Cure period para violações | 30 dias garantidos | Não há extensão |

## FAQ: UCPA e Portal do Titular

**1. Por que o direito de exclusão da UCPA é mais restrito do que em outras leis?**
Utah Code § 13-61-201(2) limita o direito de exclusão a "dados pessoais que o consumidor forneceu ao controlador." Isso exclui dados que o controlador obteve de terceiros, dados inferidos ou derivados a partir de outros dados, e dados obtidos de fontes que não o próprio consumidor. Em contraste, leis como OCPA e CTDPA exigem exclusão de dados obtidos de qualquer fonte. A UCPA reflete a filosofia do legislativo do Utah de proteger consumidores sem criar obrigações excessivamente onerosas para as empresas.

**2. A UCPA tem processo formal de apelação quando o controlador nega uma solicitação?**
Não. Ao contrário da OCPA (45 dias para apelação), CTDPA (60 dias) e VCDPA (60 dias), a UCPA não define um processo de apelação estruturado. Quando o controlador nega uma solicitação, deve informar o consumidor das razões dentro de 45 dias (§ 13-61-203(3)). O consumidor pode então registrar reclamação na Division of Consumer Protection, que poderá investigar e encaminhar ao Attorney General se encontrar evidências substanciais de violação.

**3. A UCPA exige opt-out de perfilamento?**
Não. O direito de opt-out da UCPA cobre apenas publicidade direcionada e venda de dados (§ 13-61-201(4)). Leis como VCDPA, OCPA e CTDPA incluem opt-out de perfilamento para decisões com efeitos legais ou significativos. A UCPA é a única entre as principais leis estaduais americanas que não inclui esse direito.

**4. O Portal do Titular precisa diferir o processo de opt-out do processo de outros direitos?**
Não de forma especial. Ao contrário da OCPA, que proíbe exigir autenticação para opt-out, a UCPA usa o mesmo padrão de autenticação com "esforços comercialmente razoáveis" para todos os tipos de solicitação (§ 13-61-203(5)). O opt-out não precisa de um fluxo de autenticação separado ou mais simples do que o acesso ou a exclusão.

**5. O que acontece se o controlador suspeitar que uma solicitação é fraudulenta?**
Utah Code § 13-61-203(2)(d) estabelece que o prazo de 45 dias não se aplica se o controlador razoavelmente suspeitar que a solicitação é fraudulenta e não conseguir autenticar antes do prazo expirar. O controlador pode solicitar informações adicionais para autenticação (§ 13-61-203(5)(b)). Se a suspeita de fraude for razoável e documentada, o controlador pode cobrar taxa ou recusar agir, assumindo o ônus de demonstrar o caráter fraudulento.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Utah UCPA: DSAR Portal do Titular

Um residente da Califórnia acessa o seu site, consome seu conteúdo, e em algum momento decide exercer os direitos que a lei garante a ele. Quer saber o que você tem sobre ele. Quer corrigir uma informação. Quer que você pare de compartilhar seus dados com redes de publicidade.

Esta página cobre uma parte do quadro. Para o escopo completo da CPRA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPRA e cookies](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber/).

## O que fazer a partir daí?

A California Privacy Rights Act (CPRA) define com precisão o que precisa acontecer: o canal para receber a solicitação, os prazos para responder, o que é gratuito e o que não é, e o que acontece quando a empresa não cumpre.

A grande novidade em relação à CCPA original: o direito de correção de dados, o direito de limitar o uso de informações pessoais sensíveis, e multas automáticas triplicadas para violações envolvendo menores de 16 anos.

Este artigo cobre tudo isso.

## O que é uma DSAR sob a CPRA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. É qualquer pedido formal de um consumidor californiano para exercer os direitos que a CPRA garante sobre os próprios dados.

Conforme Civil Code § 1798.130, o consumidor exerce seus direitos por meios estabelecidos pelo negócio e descritos na política de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a lógica é familiar. A CPRA adiciona novos direitos e reforça as proteções para menores.

## Quais são os direitos dos consumidores sob a CPRA?

Conforme o Civil Code § 1798.100 a § 1798.125, os residentes da Califórnia têm os seguintes direitos:

### Direito de saber

O consumidor pode solicitar que a empresa informe:

As categorias de informações pessoais coletadas sobre ele.

As categorias específicas de fontes de onde as informações foram coletadas.

A finalidade comercial ou de negócios para coletar, vender ou compartilhar as informações.

As categorias de terceiros para os quais a empresa divulga as informações.

As informações pessoais específicas coletadas sobre o consumidor.

### Direito de acesso

O consumidor pode obter uma cópia das informações pessoais específicas que a empresa coletou nos últimos 12 meses (Civil Code § 1798.100(a)).

### Direito de exclusão

O consumidor pode solicitar a exclusão de suas informações pessoais, com algumas exceções (Civil Code § 1798.105). As exceções incluem: completar a transação, segurança, debugging, pesquisa interna, e compliance legal.

### Direito de correção

Este é um direito novo que a CCPA não tinha (Civil Code § 1798.106). O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas que mantém sobre ele, considerando a natureza das informações e os propósitos do processamento.

### Direito de portabilidade

O consumidor pode obter as informações pessoais em formato portátil e utilizável (Civil Code § 1798.100(a)).

### Direito de opt-out de venda e compartilhamento

O consumidor pode recusar a venda de informações pessoais e o compartilhamento para publicidade comportamental cruzada entre sites (Civil Code § 1798.120). Esse direito é exercido pelo link "Do Not Sell or Share My Personal Information".

### Direito de limitar o uso de SPI

Este é outro direito novo da CPRA (Civil Code § 1798.121). O consumidor pode limitar o uso e a divulgação de suas informações pessoais sensíveis a finalidades essenciais: fornecer o produto ou serviço solicitado, segurança e integridade, e compliance legal. Esse direito é exercido pelo link "Limit the Use of My Sensitive Personal Information".

### Direito de não discriminação

A empresa não pode discriminar consumidores que exercem seus direitos, incluindo negar produtos, cobrar preços diferentes, ou oferecer qualidade inferior (Civil Code § 1798.125).

## Quais são os prazos para responder?

Conforme Civil Code § 1798.130(a)(2):

**45 dias** para responder a partir do recebimento da solicitação verificada.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

**Gratuito até 2 vezes por ano** por consumidor. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável, demonstrando o caráter repetitivo.

O prazo de 45 dias é igual para solicitações de saber/acesso, exclusão, correção, portabilidade, e para confirmação de que opt-outs e limitações foram aplicados.

## O processo de opt-out: sem barreiras

A CPRA é explícita: a empresa não pode exigir que o consumidor crie uma conta ou passe por mais de dois passos para exercer o opt-out de venda e compartilhamento (Civil Code § 1798.120(c)).

O processo de opt-out precisa:

Ser direto e acessível pelo link "Do Not Sell or Share My Personal Information".

Não exigir criação de nova conta.

Não passar por mais de dois passos até a confirmação do opt-out.

Honrar o Global Privacy Control (GPC) como forma válida de opt-out.

Ser gratuito.

## O processo de solicitação: autenticação razoável

Para solicitações de acesso, exclusão, correção e portabilidade, a empresa pode verificar a identidade do consumidor usando métodos razoavelmente projetados para verificar que a pessoa que faz a solicitação é o consumidor sobre quem os dados foram coletados (Civil Code § 1798.130(a)(2)).

A verificação precisa ser proporcional ao tipo de dado envolvido. Para dados de baixo risco, uma confirmação por e-mail pode ser suficiente. Para dados mais sensíveis, pode ser justificado um segundo fator de verificação.

O que nunca é aceitável: exigir mais informações do que o necessário para verificar a identidade, ou criar processos deliberadamente trabalhosos para desencorajar solicitações.

A empresa não pode exigir que o consumidor forneça sua senha para exercer seus direitos.

## Agentes autorizados

O consumidor pode designar um agente autorizado para submeter solicitações em seu nome (Civil Code § 1798.130(a)(2)(C)).

Para solicitações de opt-out: a empresa deve respeitar a solicitação do agente autorizado se o consumidor deu ao agente autorização por escrito assinada, ou mediante verificação razoável da identidade do consumidor e da autoridade do agente.

O Global Privacy Control (GPC) funciona como uma forma de agente autorizado tecnológico: ao ativar o GPC, o consumidor está designando sua configuração de navegador como agente para transmitir o opt-out.

## O que acontece quando o controlador nega uma solicitação?

A empresa pode negar quando:

Não consegue verificar a identidade do consumidor.

A solicitação se aplica a informações coletadas antes de janeiro de 2022 (para o enforcement da CPRA, exceto direito de acesso).

Há exceção legal que justifica a retenção.

Em todos os casos, a recusa precisa ser comunicada ao consumidor, com:

Justificativa da recusa.

Informação de como apelar da decisão ou contatar a CPPA para registrar reclamação.

## Proteção especial para menores de 16 anos

A CPRA tem regras específicas para menores que afetam diretamente o Portal do Titular.

Para menores de 16 anos, a empresa não pode vender ou compartilhar dados pessoais sem opt-in ativo. Se a empresa receber um DSAR de opt-out de um menor de 16 anos, isso é irrelevante porque o opt-in nunca deveria ter ocorrido sem permissão.

Se um menor de 16 anos recusou ou revogou o opt-in, a empresa deve aguardar 12 meses antes de solicitar novamente o consentimento para venda ou compartilhamento.

Para menores de 13 anos, o consentimento foi dado pelos pais ou responsáveis. DSARs de menores de 13 anos precisam ser processados em conjunto com os pais ou responsáveis.

As penalidades por violações envolvendo dados de menores de 16 são triplicadas e automáticas: até **US$ 7.500 por violação**, sem necessidade de provar intencionalidade.

## O direito de ação privada: o diferencial da CPRA

A CPRA preserva e expande o direito de ação privada que a CCPA introduziu. Esse é um diferencial importante em relação a outras leis estaduais americanas como VCDPA, OCPA e CTDPA, que não têm direito de ação privada.

O consumidor pode processar diretamente a empresa quando há uma violação de segurança de dados não autorizada que resulte em acesso, roubo, divulgação, uso, modificação ou destruição não autorizados de informações pessoais não criptografadas e não redactadas nas categorias específicas definidas pela lei.

O dano mínimo é de **US$ 100 a US$ 750 por consumidor por incidente**, ou o dano real, o que for maior. Ações coletivas são permitidas.

## Proteção contra discriminação

Civil Code § 1798.125 proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade, recompensas, funcionalidades premium ou descontos onde a diferença está razoavelmente relacionada ao valor que os dados representam para a empresa, desde que o consumidor participe voluntariamente.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação e direito exercido.

Processo de verificação de identidade realizado.

Ação tomada (cumprida, recusada, ou alternativa adotada).

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out de venda e compartilhamento, e limitação de uso de SPI, com timestamp e identificador único. Quando o consumidor exerce o opt-out pelo link no site ou via GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para a CPPA. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CPRA

**Canal de submissão de solicitações** descrito na política de privacidade (Civil Code § 1798.130).

**Link "Do Not Sell or Share My Personal Information"** visível na homepage e em páginas de coleta (Civil Code § 1798.120).

**Link "Limit the Use of My Sensitive Personal Information"** se SPI é coletada (Civil Code § 1798.121).

**GPC honrado** como forma válida de opt-out de venda e compartilhamento.

**Cobertura de todos os direitos**: saber, acesso, exclusão, correção, portabilidade, opt-out de venda/compartilhamento, limitação de SPI, não discriminação.

**Direito de correção** descrito com processo e prazo de 45 dias (Civil Code § 1798.106).

**Direito de limitação de SPI** descrito com processo e prazo de 45 dias (Civil Code § 1798.121).

**Opt-out sem múltiplas etapas desnecessárias** (máximo 2 passos até confirmação).

**Agentes autorizados** aceitos para submissão de solicitações (Civil Code § 1798.130 a(2)(C)).

**Prazos**: 45 dias para resposta (+45 ext.); para apelações, prazo razoável.

**Gratuidade** para até 2 solicitações por ano por consumidor (Civil Code § 1798.130 a(3)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Proteção para menores de 16 anos**: opt-in obrigatório para venda/compartilhamento.

**Regra dos 12 meses** após recusa de menores de 16 anos.

**Informação sobre CPPA** para registrar reclamações em caso de negativa.

## Comparativo: prazos do Portal do Titular na CPRA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Saber, acesso, exclusão, correção, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out de venda e compartilhamento | Sem prazo específico | Imediato recomendado |
| Limitação de uso de SPI | Sem prazo específico | Imediato recomendado |
| Gratuidade por ano | 2 vezes por consumidor | Taxa razoável a partir da 3ª |

## FAQ: CPRA e Portal do Titular

**1. Qual é o novo direito de correção de dados da CPRA e como o Portal do Titular precisa contemplá-lo?**
O direito de correção (Civil Code § 1798.106) foi adicionado pela CPRA e não existia na CCPA. Permite que o consumidor solicite a correção de informações pessoais imprecisas mantidas pela empresa. O Portal do Titular precisa ter uma opção específica para solicitar correção de dados, descrever o processo de verificação e correção, e responder dentro de 45 dias informando se a correção foi realizada ou justificando por que não foi possível. A empresa pode manter os dados originais se acreditar que são precisos, mas deve registrar a solicitação de correção e comunicar ao consumidor.

**2. Como funciona o direito de limitar o uso de informações pessoais sensíveis (SPI)?**
O direito de limitação de SPI (Civil Code § 1798.121) permite que o consumidor instrua a empresa a limitar o uso de suas informações pessoais sensíveis a finalidades essenciais: fornecer o produto ou serviço solicitado, segurança, debugging, pesquisa interna e compliance. O Portal do Titular precisa ter um mecanismo para receber essa solicitação, ou a empresa deve disponibilizar o link "Limit the Use of My Sensitive Personal Information" que leva a uma página onde esse direito pode ser exercido sem múltiplas etapas.

**3. Por que o GPC é uma forma válida de opt-out sob a CPRA?**
A CPPA confirmou em suas orientações que o Global Privacy Control (GPC) é uma forma tecnológica de opt-out de venda e compartilhamento de dados pessoais válida sob a CPRA. Ao ativar o GPC, o consumidor está instruindo automaticamente cada site visitado a não vender ou compartilhar seus dados. Ignorar o GPC quando um visitante o tem ativado equivale a ignorar um opt-out explícito, o que configura violação da CPRA. Uma CMP bem configurada detecta o GPC e bloqueia automaticamente os rastreadores de publicidade para visitantes que o têm ativado.

**4. A CPRA tem direito de apelação para consumidores que tiveram solicitações negadas?**
A CPRA não tem um processo de apelação formal e estruturado como a OCPA e a CTDPA. Quando a empresa nega uma solicitação, deve informar ao consumidor que pode registrar uma reclamação junto à California Privacy Protection Agency (CPPA). O processo de reclamação na CPPA é a principal via de recurso para consumidores cujas solicitações foram negadas sem justificativa adequada.

**5. Como o Portal do Titular deve lidar com solicitações de pais em nome de filhos menores?**
Para menores de 13 anos, os pais ou responsáveis legais são os detentores do direito de consentimento. Um DSAR submetido por um pai em nome de um filho menor de 13 anos deve ser processado da mesma forma que uma solicitação do próprio consumidor, após verificação razoável da relação entre pai/responsável e a criança. Para adolescentes de 13 a 15 anos, a empresa pode exigir que o próprio adolescente submeta a solicitação, já que a lei reconhece a capacidade do adolescente de exercer seus próprios direitos, enquanto o opt-in para venda/compartilhamento permanece necessário.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CPRA: DSAR e Portal do Titular

A Iowa Consumer Data Protection Act (ICDPA, Iowa Code § 715D) tem os prazos mais longos de todas as leis estaduais americanas para o processo de DSAR.

Esta página cobre uma parte do quadro. Para o escopo completo da ICDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da ICDPA e cookies](https://goadopt.io/blog/iowa-icdpa-e-cookies-tudo-o-que-voce-precisa-saber/).

**90 dias** para responder a uma solicitação. **+45 dias** de extensão possível. **60 dias** para responder a uma apelação. **90 dias** de cure period garantido antes de qualquer ação do AG.

Para quem já estruturou portais para VCDPA, OCPA ou CTDPA com prazo de 45 dias, a ICDPA exige um processo com capacidade de resposta menor, o que pode parecer mais fácil operacionalmente. Mas os direitos cobertos são também mais restritos: sem correção de dados, sem opt-out de perfilamento, e exclusão limitada a dados fornecidos pelo consumidor.

Este artigo cobre tudo o que você precisa saber.

## O que é uma DSAR sob a ICDPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um consumidor residente do Iowa para exercer os direitos que a ICDPA garante sobre os próprios dados.

Conforme § 715D.3(1), o consumidor exerce seus direitos submetendo solicitação ao controlador, pelos meios especificados pelo controlador no aviso de privacidade.

## Quais são os direitos dos consumidores sob a ICDPA?

Conforme § 715D.3(1), os residentes do Iowa têm quatro direitos:

### 1. Confirmação e acesso

O consumidor pode confirmar se o controlador está processando seus dados pessoais e acessar esses dados (§ 715D.3(1)(a)).

### 2. Exclusão

O consumidor pode solicitar a exclusão dos dados pessoais que forneceu ao controlador (§ 715D.3(1)(b)).

**Escopo limitado:** como na UCPA, a ICDPA limita o direito de exclusão a dados que o consumidor forneceu. Dados obtidos de terceiros, data brokers, listas externas, e dados derivados não precisam ser excluídos por força da ICDPA.

Isso é diferente de leis como OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte.

### 3. Portabilidade

O consumidor pode obter cópia dos dados em formato portátil e utilizável, quando tecnicamente praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 715D.3(1)(c)).

O escopo também é limitado a dados que o consumidor forneceu ao controlador.

### 4. Opt-out da venda

O consumidor pode recusar a venda de dados pessoais (§ 715D.3(1)(d)).

**Importante:** embora o opt-out de publicidade direcionada não seja listado como direito formal em § 715D.3, a Seção § 715D.4(6) exige que o controlador ofereça opt-out de publicidade direcionada como parte das obrigações de transparência. Na prática, o Portal do Titular precisa aceitar solicitações de opt-out de publicidade direcionada também.

### O que a ICDPA não tem

Sem direito de correção de dados imprecisos (igual à UCPA).

Sem opt-out formal de perfilamento.

Exclusão limitada a dados fornecidos pelo consumidor.

## Prazos: os mais longos de todas as leis estaduais

Conforme § 715D.3(2):

**90 dias** para responder a partir do recebimento da solicitação (§ 715D.3(2)(a)).

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor dentro do prazo inicial.

Se o controlador suspeitar que a solicitação é fraudulenta, pode afirmar apenas que não conseguiu autenticar, sem precisar detalhar a razão (§ 715D.3(2)(b)).

**Gratuidade: 2 vezes por ano** por consumidor (§ 715D.3(2)(c)). A partir da terceira solicitação no mesmo período de 12 meses, o controlador pode cobrar taxa razoável ou recusar se a solicitação for manifestamente infundada, excessiva, repetitiva, tecnicamente inviável, ou se o objetivo principal não for exercer um direito. O ônus de demonstrar o caráter excessivo é do controlador.

## O processo de apelação: 60 dias

Conforme § 715D.3(3), o controlador precisa estabelecer um processo de apelação. O processo precisa ser conspicuamente disponível e similar ao processo de submissão original.

Dentro de **60 dias** do recebimento de uma apelação, o controlador deve informar o consumidor por escrito de qualquer ação tomada ou não tomada, com explicação escrita dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online para contatar o Attorney General e registrar reclamação (§ 715D.3(3)).

## Autenticação

Conforme § 715D.3(2)(d), se o controlador não conseguir autenticar a solicitação usando esforços comercialmente razoáveis, não é obrigado a cumprir. Pode solicitar informações adicionais razoavelmente necessárias para autenticar.

Em caso de suspeita de fraude, o controlador pode simplesmente informar que não conseguiu autenticar, sem precisar detalhar por que acredita que a solicitação é fraudulenta (§ 715D.3(2)(b)).

A ICDPA não tem regra especial de autenticação para opt-out, diferente da OCPA que proíbe exigir autenticação para opt-out de publicidade direcionada.

## Como deve ser o canal para submissão de solicitações

Conforme § 715D.4(7), o controlador deve estabelecer meios seguros e confiáveis para submissão de solicitações, e descrevê-los no aviso de privacidade.

Esses meios precisam:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir autenticação da identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta para exercer direitos. Pode exigir uso de conta existente.

Um Portal do Titular bem estruturado para a ICDPA inclui:

Formulário com os quatro direitos (confirmação/acesso, exclusão, portabilidade, opt-out de venda), mais opt-out de publicidade direcionada conforme § 715D.4(6).

Processo de verificação de identidade proporcional.

Confirmação de recebimento.

Registro da solicitação e da resposta.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências sejam refletidas nos sistemas da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e confirmação

Receba e autentique com esforços comercialmente razoáveis.

Confirme se os dados do consumidor estão sendo processados.

Localize os dados pessoais relevantes nos sistemas.

Responda dentro de 90 dias.

### Solicitação de exclusão

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Verifique se há exceção legal.

Exclua os dados identificados dos sistemas.

**Nota:** dados que o controlador obteve de fontes externas não precisam ser excluídos sob a ICDPA.

### Solicitação de portabilidade

Receba e autentique.

Identifique os dados que o consumidor forneceu diretamente.

Prepare em formato portátil e utilizável.

Entregue ao consumidor dentro de 90 dias.

### Opt-out de venda de dados

Receba pelo canal designado.

Autentique.

Cesse a venda dos dados do consumidor.

Informe dentro de 90 dias.

### Opt-out de publicidade direcionada

Receba pelo canal designado (obrigação por § 715D.4(6)).

Autentique.

Atualize os sistemas de rastreamento para cessar publicidade direcionada.

Informe o consumidor.

## O que acontece quando o controlador nega uma solicitação?

Conforme § 715D.3(2)(b), o controlador que decidir não agir deve informar o consumidor sem demora indevida, com:

Justificativa para não tomar ação (exceto em caso de fraude suspeita, onde pode apenas informar que não conseguiu autenticar).

Instruções sobre como apelar da decisão.

O processo de apelação precisa resultar em resposta por escrito dentro de **60 dias**. Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General online.

## Proteção de crianças

Conforme § 715D.3(1), os pais ou responsáveis legais de crianças conhecidas (menores de 13 anos) podem exercer os direitos em nome da criança.

Para dados de crianças, a empresa precisa cumprir a COPPA (§ 715D.2(2)(r) e 715D.4(2)), incluindo consentimento parental verificável.

## Proteção contra discriminação

Conforme § 715D.4(3), a empresa não pode discriminar consumidores que exercem seus direitos. Isso inclui negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários e situações onde o opt-out de publicidade direcionada justifica ajuste de preço.

## O cure period de 90 dias e os DSARs

Antes de iniciar qualquer ação, o AG deve notificar o controlador e conceder **90 dias para correção** (§ 715D.8(2)).

Empresas sem processo estruturado para DSARs têm mais tempo para corrigir sob a ICDPA do que sob outras leis (VCDPA: 30 dias, UCPA: 30 dias, OCPA: eliminado). Mas o cure period é uma garantia, não uma estratégia de conformidade.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de venda ou publicidade direcionada, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para o Attorney General do Iowa.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a ICDPA

**Canal de submissão de solicitações** descrito no aviso de privacidade (§ 715D.4(7)).

**Cobertura dos 4 direitos**: confirmação/acesso, exclusão (dados fornecidos pelo consumidor), portabilidade, opt-out de venda.

**Opt-out de publicidade direcionada** (obrigação de transparência, § 715D.4(6)).

**Ausência de exigência de nova conta** para exercer direitos.

**Prazo de 90 dias** para resposta (+45 ext. com notificação) (§ 715D.3(2)(a)).

**Autenticação com esforços comercialmente razoáveis** (§ 715D.3(2)(d)).

**Gratuidade para 2 solicitações** por ano por consumidor (§ 715D.3(2)(c)).

**Processo de apelação** conspicuamente disponível (§ 715D.3(3)).

**Prazo de 60 dias** para resposta a apelações (§ 715D.3(3)).

**Mecanismo para contatar o AG** se apelação for negada (§ 715D.3(3)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Pais/responsáveis** podem exercer direitos por crianças conhecidas (§ 715D.3(1)).

**Proteção contra discriminação** (§ 715D.4(3)).

## Comparativo: prazos do Portal do Titular na ICDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, exclusão, portabilidade | 90 dias | +45 dias com notificação |
| Opt-out de venda de dados | 90 dias | +45 dias com notificação |
| Apelação de decisão | 60 dias | Não especificado |
| Cure period para violações | 90 dias garantidos | Não há extensão |

## FAQ: ICDPA e Portal do Titular

**1. Por que o prazo de 90 dias da ICDPA é o mais longo de todas as leis estaduais americanas?**
A ICDPA foi aprovada pelo legislativo do Iowa com foco em reduzir a carga operacional sobre as empresas. O § 715D.3(2)(a) estabelece 90 dias como prazo padrão, o dobro dos 45 dias adotados pela maioria das outras leis estaduais. Isso reflete uma filosofia legislativa similar à UCPA do Utah: proteger consumidores sem criar obrigações excessivamente onerosas. Na prática, empresas com múltiplas jurisdições ainda precisarão processar solicitações dentro dos prazos mais curtos das outras leis, o que torna o prazo de 90 dias da ICDPA mais um teto legal do que um alvo operacional.

**2. O consumidor pode solicitar opt-out de publicidade direcionada como direito formal sob a ICDPA?**
Não como direito formal listado em § 715D.3. O opt-out formal de direito cobre apenas venda de dados em § 715D.3(1)(d). No entanto, o § 715D.4(6) exige que, se o controlador realiza publicidade direcionada, divulgue isso e descreva como o consumidor pode exercer o opt-out. Na prática, o Portal do Titular deve aceitar e processar essas solicitações como parte das obrigações de transparência, mesmo que a base legal seja diferente da do opt-out de venda.

**3. Por que o direito de exclusão da ICDPA é mais restrito do que na OCPA?**
O § 715D.3(1)(b) limita o direito de exclusão a dados "pessoais fornecidos pelo consumidor ao controlador." Isso exclui dados obtidos de terceiros, dados inferidos e dados derivados. A OCPA exige exclusão de dados fornecidos pelo consumidor, obtidos de outras fontes, e dados derivados. Essa diferença é significativa: sob a ICDPA, uma empresa que comprou dados de um data broker não precisa excluir esses dados por força da lei se receber uma solicitação de exclusão do consumidor em questão.

**4. Quão longa é a apelação de 60 dias da ICDPA em comparação com outras leis?**
A apelação de 60 dias da ICDPA (§ 715D.3(3)) é igual ao da VCDPA e da CTDPA, ambas com 60 dias. A OCPA estabelece 45 dias para apelações. A UCPA não tem processo formal de apelação estruturado. Em termos de prazo, a ICDPA está alinhada com as leis mais tradicionais do leste americano.

**5. O que acontece se o controlador não tiver processo estruturado de DSAR quando o Attorney General investigar?**
O AG notifica o controlador e concede 90 dias para correção (§ 715D.8(2)). Esse prazo de 90 dias é garantido e é o mais longo entre as leis estaduais. Se o controlador corrigir e fornecer declaração escrita expressa, nenhuma ação é iniciada. Se não corrigir ou descumprir a declaração, o AG pode buscar penalidades de até US$ 7.500 por violação (§ 715D.8(3)). Não há direito de ação privada (§ 715D.8(4)).

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


IOWA ICDPA: DSAR e Portal do Titular

Voltamos ao assunto do momento, caros leitores e leitoras do blog da AdOpt.

Em 25 de agosto de 2026, a Autoridade Nacional de Proteção de Dados publicou o Despacho Decisório nº 27/2026 e aplicou ao TikTok multa de R$153.769.671,33. A decisão também determinou a eliminação dos dados de adolescentes entre 13 e 18 anos sem representação legal regularizada em 60 dias úteis, além da comunicação dessa exclusão a todos os terceiros com quem esses dados foram compartilhados.

Já escrevemos por aqui sobre a decisão em si. Agora queremos olhar para ela por um ângulo mais específico: **o de [quem tem uma loja virtual](https://goadopt.io/blog/ecommerce-brasil-e-lgpd-guia-completo-para-se-adequar-e-vender-mais/).**

## **Você pode estar se perguntando:**

Mas a minha loja não é uma rede social, o que o caso TikTok tem a ver com o meu negócio?
A relação não está nos vídeos de dancinhas. Está na forma como se coletam dados de quem apenas navega pelo site, sem se cadastrar, e na [base legal](https://goadopt.io/blog/bases-legais-da-lgpd/) usada para justificar essa coleta. E é aqui que as semelhanças com o caso TikTok começam chamar a atenção.

### **O ponto que liga o TikTok à sua loja virtual**

Boa parte da análise da ANPD recaiu sobre o chamado feed sem cadastro, a experiência oferecida a quem usa o aplicativo sem criar conta. Mesmo sem login, a plataforma coletava interações com os vídeos, configurações do dispositivo, idioma, país e fuso horário.

 

A empresa alegou que não havia identificação dos usuários, apenas cálculos numéricos com dados estatísticos de navegação, usados para recomendar vídeos. A ANPD não aceitou o argumento. Entendeu que essas informações são dados pessoais e que a prática configura, sim, formação de perfil comportamental.

 

Agora o passe de mágica. Substitua feed sem cadastro por visitante não logado. Substitua recomendação de vídeos por vitrine personalizada, remarketing e anúncio. É isso que acontece em praticamente todo e-commerce brasileiro, todos os dias, por meio da [coleta de dados via cookies](https://goadopt.io/blog/cookies-e-lgpd/).

 

A decisão da ANPD não é especificamente sobre cookies, mas sobre o tratamento de dados de crianças e adolescentes. Os [princípios da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) foram apenas aplicados para as atividades do TikTok. Esses mesmos princípios valem para o seu site e é por isso que ela exige atenção de quem vende online.

## Cinco alertas de risco que a decisão traz para o seu e-commerce

### Escolher a base legal no piloto automático
O TikTok entrega conteúdo personalizado a partir da base legal de execução de contrato, o inciso V do artigo 7º da LGPD. A ANPD rejeitou: a hipótese exige que o titular seja parte do contrato e alcance apenas o que é estritamente necessário ao núcleo dele. E quem usa o TikTok sem cadastro não tem um contrato com a plataforma.

 

No e-commerce, o erro equivalente é classificar cookies de publicidade, remarketing e medição de audiência como necessários, ou acomodá-los no legítimo interesse sem estudo prévio e sem documentação que sustente a escolha. Para cookies não necessários, a base adequada é o consentimento, o inciso I do mesmo artigo 7º.

 

Vale lembrar que a LGPD tem dez hipóteses legais e o consentimento é apenas uma delas. A escolha certa para cada finalidade de tratamento é o fundamental para qualquer empresa que pretende estar adequada. Para saber mais, confira o artigo que escrevemos em detalhe sobre as [bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/).

 
 

### Coletar antes de perguntar
Se a coleta acontece no instante em que a página abre, ela já aconteceu antes de qualquer manifestação do titular. E [consentimento](https://goadopt.io/blog/consentimento-site-lgpd/) obtido depois não valida o tratamento de dados feito antes da autorização do titular.

 

Conforme a decisão da ANPD, esse erro vai custar mais de R$ 63 milhões de reais e se refere justamente à violação do princípio da prevenção, o inciso VIII do artigo 6º da LGPD.

Repare no que foi decidido pela ANPD: não basta ter a intenção de respeitar a escolha do visitante. É preciso que o site esteja organizado para que nada desnecessário aconteça antes dela. Prevenção não é promessa, depende de ações práticas.

Quer saber o que a sua loja coleta antes de qualquer clique do visitante? [Converse com a nossa equipe](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria).

 
 

### Não conseguir provar o que foi feito
Outra parte da [multa](https://goadopt.io/blog/multas-na-lgpd/) aplicada, a bagatela de mais de R$ 27 milhões de reais, veio da violação ao princípio da responsabilização e prestação de contas, o inciso X, do artigo 6º da LGPD. A decisão exigiu a apresentação de um relatório técnico com registros de auditoria assinado pelo [Encarregado](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), sob pena de multa diária.

A pergunta que fica é direta: se a ANPD pedir hoje, você consegue demonstrar quem consentiu, quando, para quais finalidades e o que aconteceu a partir disso?

Se a resposta for “não”, ou uma narrativa em vez de um registro, o problema não é jurídico, é de estrutura.

 
 

### O efeito cascata dos terceiros
A ANPD determinou que o TikTok agora deve comunicar a obrigação de exclusão a todos os parceiros com quem compartilhou dados, e que comprove essa comunicação.

Pense na sua empresa por um instante. Sua loja virtual compartilha dados com plataformas de anúncio, ferramentas de análise, CRM, régua de e-mail, canal de venda. Se a base legal cai, é preciso saber quais dados foram compartilhados, com quem foram compartilhados e o mais importante: avisar cada um dos parceiros sobre a necessidade de exclusão de dados.

 

Na prática, sabemos que esse plano de ação dificilmente foi estruturado e está organizado. E não é por desleixo. A operação de uma loja que vende muda toda semana: entra uma campanha, sai um parceiro, alguém instala uma ferramenta nova para testar por quinze dias e esquece de remover... o resultado é que as informações sobre compartilhamento de dados (ou seja, quem recebe dados da sua operação) precisa sair da cabeça do gestor e passar para o papel.

 

Esses [processos internos precisam ser documentados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/).

 

Quem vende também em marketplace conhece a sensação de não saber exatamente onde termina a responsabilidade de um lado e começa a do outro. Já tratamos disso em [marketplace e adequação à LGPD](https://goadopt.io/blog/marketplace-vtex-e-lgpd-como-funciona-adequacao-e-protecao-de-dados/), e a conclusão é sempre a mesma: canal compartilhado não dilui responsabilidade, distribui.

 
 

### Público infantojuvenil e o “acesso provável” à plataforma
O TikTok argumentou que menores de 13 anos não são autorizados pelos seus Termos de Uso. A ANPD entendeu que a simples proibição nos [termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/) da plataforma não impede o acesso de crianças e adolescentes e que o mecanismo de autodeclaração de idade é uma salvaguarda frágil, podendo ser burlada facilmente.

 

Um e-commerce voltado ao público infantojuvenil, como uma loja de brinquedos, games ou de moda infantil, deve ter especial atenção para atender as obrigações legais previstas no ECA Digital (Lei 15.211/2025), que alcança sites, aplicativos que ofertam produtos e serviços nos quais se pode presumir um “acesso provável” por menores de idade.

 

**O critério – note bem – não é apenas para quem você quis vender, mas também deve considerar o público que provavelmente vai chegar até a sua loja virtual.**

 

Quer entender onde a sua loja virtual está nisso hoje? [Fale com o nosso time e comece pelo diagnóstico](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria).

 
 

### **Três lições que ficam**
Aviso de cookies é declaração, e quem declara tem que provar
Como já dissemos por aqui: não basta dizer que faz. O [banner](https://goadopt.io/blog/banner-de-cookies/) é a promessa, é compromisso. O registro do consentimento é a prova de que o usuário do seu site tem conhecimento sobre o tratamento de dados pessoais. Sem registro íntegro e auditável, a sua empresa fica fragilizada perante uma fiscalização da ANPD.

 

É por isso que insistimos numa distinção que o mercado costuma ignorar. Um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) é o que o visitante vê. A infraestrutura de consentimento é o que sustenta aquilo: a varredura que descobre o que roda de verdade no seu domínio, incluindo o que alguém subiu no meio da campanha, o registro legal de cada escolha e a atualização conforme a lei e as exigências das plataformas mudam. Uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) séria é a segunda coisa. A primeira é apenas a janela.

 

### Rejeitar cookies precisa ser tão fácil quanto aceitar
No [Guia Orientativo sobre cookies](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/), publicado em outubro de 2022, a ANPD orienta que o botão para rejeitar cookies não necessários seja de fácil visualização e que a revogação das autorizações dadas pelo titular seja viabilizada de forma gratuita e facilitada.

 

Todo consentimento obtido pelo cansaço não é livre. Portanto, não é autoriza o tratamento de dados pessoais, de acordo com o artigo 5º, XII, da LGPD (que define o consentimento como “manifestação livre, informada e inequívoca”).

 

O design do aviso de cookies é tão importante quanto o seu conteúdo, pois é ali que o titular visualiza e compreende como seus dados serão tratados. E isso traz impactos até mesmo na taxa de interação e aceite dos usuários do seu e-commerce.

 
 

### Transparência genérica traz falsa sensação de proteção
O titular precisa saber a finalidade específica de cada cookie, o prazo de retenção e com quem os dados são compartilhados. Texto genérico não informa. E, sem informação, não existe consentimento informado.

 

Existe uma diferença prática entre informar e avisar. Avisar é dizer que você usa cookies. Informar é dizer para quê, por quanto tempo e com quem compartilha. O primeiro cumpre uma formalidade. O segundo é o que permite ao visitante decidir de verdade, e é só a decisão de verdade que serve como base legal.

 

Vale revisar a sua política de cookies e a sua [política de privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) com uma pergunta simples: esse documento descreve o que o meu site faz de fato, ou descreve o que eu gostaria que ele fizesse?

 
 

## **Todo cookie precisa de consentimento?**
Aqui vem a boa notícia: saber que boa parte do mercado peca pelo excesso.

 

Não, a sua loja não precisa pedir consentimento para todo e qualquer cookie. O Guia Orientativo da ANPD separa as coisas com clareza. Os cookies necessários são aqueles sem os quais a navegação do usuário simplesmente não funciona e que, portanto, não precisam de uma autorização para processamento (ou seja, não precisam de consentimento).

 

No e-commerce essa lista é fácil de reconhecer: o **cookie** que mantém o produto no carrinho quando o visitante muda de página, o que sustenta a sessão de quem fez login, o que garante o funcionamento dos fluxos de pagamento, o que protege contra fraudes no momento do envio de formulários, entre outros.

 

Esses cookies não dependem de consentimento. Existem outras bases legais que justificam o tratamento dos dados. Consequentemente, não é necessário permitir a recusa no aviso de cookies (até porque não faria sentido oferecer ao visitante a chance de desligar o próprio carrinho). O que você deve fazer é informar que eles existem e para que servem.

 

Se isso nunca foi pensado para a sua loja, [agende uma conversa com a AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria) e desenhe esses processos com quem faz isso todos os dias.

 

Já os cookies não essenciais são outra história: publicidade, remarketing, perfilamento, teste de vitrine, mapa de comportamento... esses cookies exigem, em regra, consentimento prévio. E é justamente essa fronteira que a maioria das lojas nunca desenhou com clareza.

Entender essa diferença é o que permite cumprir a LGPD, parar de coletar consentimento para tudo e passar a pedir autorização só para o que importa.

 
 

### O visitante que não compra também é titular
Se você levar só essa lição a partir desse artigo, já ficamos super felizes.

 

Cada visitante da sua loja virtual, mesmo sem se cadastrar ou fazer uma compra também é considerado um titular de dados pessoais se os cookies do seu site fazem o rastreamento da navegação do usuário.

 

Nesse ponto, o TikTok acabou sendo penalizado, pois a ANPD entendeu que a coleta de dados sobre o perfil comportamental de usuários (cadastrados ou não na plataforma) também configuram atos de tratamento de dado pessoal.
Por isso, entender as categorias de cookies, suas finalidades e separar corretamente quem são os titulares que serão impactados por cada tipo de cookie é fundamental para toda e qualquer loja virtual.

 
 

**Informação bônus: segundo pesquisa publicada no portal Voz do Consumidor 2024, da PwC, 90% dos entrevistados no Brasil apontaram a proteção dos seus dados pessoais como um dos fatores mais importantes para confiar em uma empresa.**

 

Seguir a LGPD não é apenas uma preocupação para evitar multas. É parte central da construção de relacionamento com o seu cliente, gerando confiança para o seu negócio.

 
 

## **Perguntas frequentes**

### **A decisão do caso TikTok significa que a ANPD vai multar e-commerces?**
Não é possível afirmar isso. O que a decisão mostra é que a ANPD pode vir a fiscalizar empresas – incluindo e-commerces – por motivos similares aos que levaram à aplicação de multa contra o TikTok, especialmente o tratamento de dados pessoais de crianças e adolescentes sem os cuidados exigidos na LGPD (princípios, bases legais, provas de registro do tratamento de dados).

#### **Minha loja precisa de consentimento para todos os cookies?**
Não. Cookies necessários ao funcionamento, como carrinho, sessão de login e fluxo de pagamento, se apoiam em outra base legal e não aparecem como opção recusável no aviso. Você deve informar que eles existem e para que servem. Cookies não essenciais, especialmente de publicidade e perfilamento, exigem em regra consentimento prévio, conforme o Guia Orientativo da ANPD sobre cookies.

#### **Visitante que não se cadastra e não compra também importa?**
Importa. A decisão do caso TikTok mostra que mesmo sem um login de cadastro, pode haver tratamento de dados pessoais de quem acessa e navega em um site. A ANPD entendeu que dados de navegação, dispositivo, idioma e localização e que o uso deles para formação de perfis comportamentais pode configurar tratamento sujeito à LGPD.

#### **O que a ANPD aceita como prova de consentimento?**
Registro, não descrição. A decisão contra o TikTok exigiu relatório técnico com registros de auditoria assinado pelo Encarregado, sob pena de multa diária. No caso de um e-commerce, o equivalente seria conseguir comprovar quem consentiu, em que data, para quais finalidades e sob qual versão do aviso, de forma íntegra e auditável.

#### **Uso ferramentas de terceiros na minha loja. De quem é a responsabilidade?**
Depende. Quem decide instalar uma ferramenta de terceiros na própria loja virtual, também responde pelo que acontece durante a coleta e tratamento de dados pessoais. O parágrafo 1º, do artigo 42 da LGPD prevê responsabilidade solidária entre agentes de tratamento pelos danos causados ao titular. Terceirizar a ferramenta não afasta responsabilidade.

A AdOpt é especializada em resolver dois problemas que o TikTok enfrentou e que o seu e-commerce também pode estar enfrentando: fazer do consentimento uma base legal adequada para o tratamento realizado via cookies, inclusive quando envolve crianças e adolescentes, e produzir as evidências desse tratamento, dando cumprimento ao princípio da prestação de contas.

Agora resta agir. Fale com o nosso time e entenda como a [AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria) pode ajudar a sua loja na jornada de adequação à LGPD.

Todos artigos