Com o Data Mapping entendemos à fundo as 5 etapas que todo e qualquer dado passa dentro de qualquer departamento de uma empresa, não importando o tamanho ou mercado. Novamente meu caro, não é preciso ser nenhum PhD em PMBOK ou Gestão de Projetos para entender essas etapas tão importantes! Pois, o Data Mapping e o Inventário de Dados se tornaram, uma das maiores ferramentas de trabalho dos DPOs!

O mercado hoje trouxe muita tecnologia e qualidade para esses processos! Não temos o que falar. Mas, meu objetivo aqui hoje é te ensinar a ver as coisas de maneira mais simples e objetiva, como de fato são **– um simples ordenamento dos fatos**, e isso já vai te ajudar.

Então, vamos lá!

Um conceito básico que vai nortear a sua compreensão daqui pra frente:

## **Com o agrupamento de processos temos um departamento.**

Logo, cada processo pode ser organizado em uma ordem, ou não, formando assim as rotinas dos departamentos.

Assim, para cada processo da sua empresa, os 5 pontos abaixo podem ser cumpridos total ou parcialmente.

São eles:

1. #### Motivação precisamos deste dado – Por quê?

2. #### 2.1 – Consentimento.

3. #### Processamento / Tratamento

    #### 1 – Compartilhamento interno entre as áreas e sistemas.

    #### 3.2 – Armazenamento para uso e consulta interna.

    #### 3.3 – Back-up.

4. #### Descarte

5. #### Fim do processo?

_E o que eu faço com esses 5 pontos acima?_

### **Preenche eles e estrutura essa lógica em todos os seus processos e consequentemente, departamentos.**

Sim, dá trabalho eu sei!

Mas, isso será extremamente valioso em caso de uma notificação da ANPD ou antes mesmo, no caso de um cliente ou visitante do seu site te pedir acesso aos dados que vocês eventualmente tenham sobre ele.

Lógico, e se você é uma “EUpresa”, ou tem pouquíssimos funcionários e processos tudo isso pode se resumir a 3, 4 sistemas (e-mail, automação de marketing, algum google drive e a contabilidade) pois, tudo está armazenado nestes lugares. Agora, imagina uma empresa com 500 funcionários em 10 cidades.

Lembre-se, de acordo com a LGPD qualquer titular pode bater na sua porta perguntando se você tem algum dado dele, e, você deve responder com agilidade.

Logo, sem o “mapa do tesouro” como você vai saber que o [zé@emailmaroto.com](mailto:zé@emailmaroto.com) se cadastrou na Newsletter, já comprou há 3 meses e foi seu funcionário há 5 anos atrás?

Neste exemplo acima, você teria que reportar para o “Zé” que você possui dados como:

\- Nome, E-mail, CPF, Telefone, Endereço, Carteira de Trabalho, Filiação (dados do RH) e compartilhamento com Google e Facebook.

Pelos motivos de:  
1- Contratação no passado, logo a legislação trabalhista te obriga a manter esses dados na contabilidade por X anos. Ou seja, mesmo que ele peça a exclusão você poderá negá-la, por força maior da outra legislação.

2 – Compra do produto X, Y, Z há 3 meses.  
Que também gerou o cadastro na newsletter (com o famoso “aceito receber promoções”). Da newsletter, você tem ele na lista de disparo para novos produtos e novidades do seu e-commerce, e todas as ferramentas de remarketing estão ligadas perseguindo-o diariamente por toda a internet, toda vez que ele entra pra ver os seus produtos.

Sendo assim, ele pode livremente te pedir a exclusão de todos os seus dados para fins de marketing. Isso vai te levar a uma ação que desencadeia diversas outras. São elas:

\- Apagar o e-mail e demais dados no CRM e ferramenta de disparo de e-mails.  
\- Distribuir a solicitação de Opt-out para eventuais sistemas que você esteja integrado e usem esses dados. [(sistema da logística e ERP, por exemplo)](https://www.nomus.com.br/erpindustrial/)
\- Remover ele do segmento de remarketing do Google e Facebook.  
\- Reportar em uma documentação oficial da empresa que os passos acima foram realizados prontamente.

(Para os clientes AdOpt, quando integrada ao Tag Manager a parte dos cookies fica bem mais fácil! Pois, no momento que o visitante não autoriza algum deles, a AdOpt já bloqueia esse disparo automaticamente!  
[Aqui um tutorial pra você!](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

Além disso, a requisição de um visitante na na página de opt-out já envia na mesma hora um e-mail pra você, com essa solicitação vinculando o e-mail do solicitante ao Cookie ID gerado no Opt-In.

Assim, você consegue já iniciar essa busca com um maior direcionamento caso o solicitante tenha te dado o consentimento a alguma ferramenta, e quando.

Entendeu agora a importância de um mapeamento dos processos da empresa?

Somente com tudo isso em mãos que você vai terá tranquilidade e, principalmente, facilidade de acessar a todos esses dados prontamente. Para algumas empresas cerca de 48, 72 horas (um prazo razoável para uma resposta...) dá e sobra, para outras é praticamente impossível.

Seja você ou o seu DPO contratado, nós não podemos parar a empresa a cada requisição que um visitante solicite. Com o Data Mapping em mãos, essa busca é muito mais rápida, direcionada e diria até automatizada, caso você use um software só pra isso.

Abaixo um detalhamento maior sobre cada um dos pontos do _Data Mapping_

1. **Motivação precisamos deste dado – Por quê?**

Se a LGPD ainda não despertou em você e na sua empresa uma reflexão real sobre a real necessidade dos dados pessoais em sua empresa, pare e faça isso o quanto antes.

    Sim! Muitas vezes, principalmente as áreas de Marketing e Vendas tem uma compulsão pela informação de qualificação e identificação dos _prospects_ e _leads_ para cada etapa do funil. É ótimo pegar o telefone e fechar os últimos detalhes da venda, ou abordar um cliente indeciso na surpresa e conseguir convencê-lo do valor do seu negócio.

    Mas, o ponto que destaco é: Repense as reais necessidades de acessar, processar e armazenar esses dados. Você não necessariamente precisa ter um excel com milhares de linhas dos seus clientes inativos de 5 anos atrás, na esperança de um dia reaquecer essa lista morta. À luz da LGPD seu risco já foi mensurado, será que ele vale a pena?

    [Nesse artigo deixo pra você 10 processos do marketing que você deve repensar na LGPD!](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

2. **Coleta**.  
    Quais são as maneiras com que cada processo coleta/recebe os seus dados, e juntamente com eles o seu consentimento? Todos os dados adentram a empresa por 1 única porta de entrada, ou mais de uma?

    Liste-as todas, e reveja se em cada porta de entrada estão dispostas as devidas comunicações de políticas e processos, e se juntamente com os dados, são também coletados os consentimentos de cada titular. Ainda que de maneira analógica/off-line, o consentimento é essencial  
    1 – Consentimento.  
    Sim, o consentimento é essencial mas, não é o único instrumento que te permite acessar ou processar dados pessoais.

    Nesse [artigo listamos todas as bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/) que amparam o uso de dados pessoais, segundo a LGPD.

3. **Processamento / Tratamento**  
    1 – Compartilhamento interno entre as áreas e sistemas.  
    \- Para o processamento de dados são utilizados softwares terceiros?  
    \- Os dados trafegam entre eles de que maneira?  
    \- O software está alinhado ao seu processo e política de privacidade?  
    \- Caso algum titular solicite a exclusão dos dados pessoais da sua empresa, como notificar esse fornecedor externo ou interno, para que ele processe a exclusão?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

    3.2 – Armazenamento para uso e consulta interna.

    \- Durante os processos onde os dados são armazenados?  
    \- Por quanto tempo?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

    3.3 – Back-up.  
    \- Qual a periodicidade e regras para backup?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

4. **Descarte**  
    Apesar de extremamente facilitado para arquivos digitais, essa etapa do processo é bastante séria. Pois, muitos arquivos permanecem na “lixeira”, e não são devidamente deletados.  
    Para arquivos físicos esse problema é ainda maior, quando o descarte é mal feito ou negligenciado.  
    Entenda esse processo e principalmente caso haja terceiros na etapa, inclua-os no seu monitoramento de terceiros eventualmente envolvidos.

5. **Fim do processo?**  
    O fim do processo é de fato o fim da jornada do dado na empresa, ou ele é apenas o começo de um outro?

Certamente à primeira vista, essas perguntas e questionamentos todos podem soam como excessivos. Mas, acredite esses são só algumas das perguntas que você teria/terá que responder caso contrate uma consultoria e adequação.

Ou, em um cenário não tão informal como esse texto, uma visita da ANPD.

Espero ter te ajudado com uma melhor compreensão de o como essas etapas são essenciais na rotina de um DPO.  
Com o Data Mapping temos com certeza a base para a confecção de uma política de privacidade mais robusta.

Sentiu falta de algum item, ou descritivo?  
Manda pra gente, estamos abertos a melhorias, sempre! - Pode nos enviar no hey@goadopt.io

Uma próxima leitura que indico a você, para aprofundar mais o assunto é:

[As diferenças entre Operador e Controlador dos dados.](https://goadopt.io/blog/tag/controlador-e-operador/)


Data Mapping e Inventário de Dados – O Colete Salva Vidas do DPO

Cookies operam em silêncio.

Esta página cobre uma parte do quadro. Para o escopo completo da NHDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da NHDPA e cookies](https://goadopt.io/blog/new-hampshire-nhpa-e-cookies-tudo-o-que-voce-precisa-saber/).

Você instala um pixel de publicidade, configura o Google Analytics, adiciona um chat de suporte. Cada uma dessas ferramentas coloca alguma coisa no dispositivo do visitante e começa a coletar dados, geralmente antes que qualquer pergunta seja feita.

A New Hampshire Data Privacy Act (NHDPA, RSA 507-H), em vigor desde 1º de janeiro de 2025, quebrou esse silêncio de vez.

Este artigo é focado exclusivamente no que a NHDPA exige da Política de Cookies: o que precisa estar no documento, como o consentimento de rastreadores precisa funcionar, o que é proibido, e o que a lei diz especificamente sobre cada ponto.

## Política de Cookies x banner de cookies: a diferença que importa

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é o que o visitante vê ao acessar o site pela primeira vez. É a interface visual do consentimento, onde o usuário escolhe o que aceita. Precisa ser claro, oferecer opções reais, e bloquear rastreadores não consentidos antes de dispararem.

A Política de Cookies é o documento detalhado. É onde o usuário encontra as informações completas sobre cada tecnologia que opera no site.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política precisa estar acessível com um link simples no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a NHDPA exige especificamente para cookies

### Finalidade específica para cada categoria

O RSA 507-H:6, I, b proíbe o processamento de dados para finalidades incompatíveis com as declaradas ao consumidor, salvo novo consentimento. E o RSA 507-H:6, III, b exige que a finalidade do processamento esteja no aviso de privacidade.

Para cookies, isso se traduz em descrições específicas para cada categoria. Não funciona escrever "usamos cookies para melhorar sua experiência". Não é uma finalidade. É uma frase que não protege a empresa de nada.

O que funciona:

"Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas e origem do tráfego. Utilizados para identificar oportunidades de melhoria de conteúdo e experiência no site."

"Cookies de publicidade: coletam dados de comportamento em diferentes sites para construir perfis de interesse e exibir anúncios personalizados. Incluem pixels de plataformas como Meta Ads e Google Ads."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores que operam no site. As principais:

**Cookies necessários:** essenciais para o funcionamento básico. Autenticação, segurança de sessão. Não precisam de consentimento, mas precisam ser documentados.

**Cookies de analytics:** medem comportamento de navegação. Google Analytics, Hotjar e similares. Precisam de consentimento porque coletam dados que podem identificar o usuário por cruzamento de informações.

**Cookies de publicidade:** alimentam pixels de anúncio, constroem perfis comportamentais, habilitam remarketing. Precisam de consentimento explícito sempre.

**Cookies funcionais:** lembram preferências do usuário. Podem precisar de consentimento dependendo da natureza dos dados.

**Cookies de terceiros:** disparados por serviços externos integrados ao site. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão.

### Com quem os dados de cookies são compartilhados

O RSA 507-H:6, III, d e e exigem que a Política informe as categorias de dados compartilhados com terceiros e as categorias de terceiros que os recebem.

Se o site tem Meta Pixel, dados vão para a Meta. Se usa Google Analytics, para o Google. Se usa HubSpot, para o HubSpot. Cada fluxo precisa estar categorizado e declarado.

O RSA 507-H:6, IV vai além: se a empresa vende dados ou os processa para publicidade segmentada, essa prática precisa ser divulgada de forma clara e conspícua, junto com o mecanismo de opt-out.

### O período de retenção de cada categoria

O princípio de minimização do RSA 507-H:6, I, a exige que a coleta seja limitada ao que é adequado, relevante e razoavelmente necessário para as finalidades declaradas.

Para cookies, isso se traduz na necessidade de informar por quanto tempo os dados ficam armazenados, tanto no dispositivo do usuário quanto nos sistemas da empresa.

### O mecanismo de opt-out para publicidade segmentada

A NHDPA garante ao consumidor o direito de opt-out do processamento de dados para publicidade segmentada, conforme RSA 507-H:4, I, e.

O RSA 507-H:6, V, a, 1 exige especificamente um link claro e conspícuo no site direcionando a uma página onde o consumidor pode exercer esse opt-out.

Se o site usa Meta Pixel, Google Ads, TikTok Pixel ou qualquer ferramenta de mídia programática, você está operando publicidade segmentada. A Política precisa declarar isso e o opt-out precisa funcionar de verdade.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) bem configurada garante que quando o usuário exerce o opt-out, os rastreadores correspondentes param de disparar imediatamente.

### O opt-out preference signal (GPC)

O RSA 507-H:6, V, a, 1, B exige que a empresa respeite opt-out preference signals enviados por plataformas, tecnologias ou mecanismos indicando a intenção do consumidor de se opor ao processamento.

Mas há uma nuance importante diretamente no texto da lei: o sinal deve "require the consumer to make an affirmative, freely given, and unambiguous choice to opt-out". O GPC só é válido quando o consumidor o configurou de forma ativa e deliberada, não como configuração padrão automática do dispositivo ou navegador.

A Política de Cookies precisa mencionar que o site respeita o GPC quando configurado ativamente pelo usuário, não como padrão automático. E o [funcionamento do aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/) precisa estar configurado para detectar e honrar esse sinal corretamente.

### O prazo de 15 dias após revogação

O RSA 507-H:6, I, f é direto: após a revogação do consentimento, a empresa precisa cessar o processamento "as soon as practicable, but not later than 15 days after the receipt of such request".

Isso tem impacto operacional direto. Quando um usuário revoga o consentimento para cookies de publicidade ou analytics, os sistemas de marketing e rastreamento precisam ser atualizados em até 15 dias.

Uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) integrada com os sistemas da empresa automatiza boa parte desse processo.

## O que é consentimento válido para cookies sob a NHDPA

O RSA 507-H:1, VII define consentimento como um ato afirmativo claro que signifique concordância livre, específica, informada e inequívoca.

O que não é consentimento válido:

Aceitar termos gerais que contenham descrições de tratamento de dados junto com outras informações.

Passar o mouse sobre, silenciar, pausar ou fechar um conteúdo.

Qualquer concordância obtida por meio de dark patterns.

O padrão correto: cookies necessários ligados, todos os outros desligados por padrão. O usuário escolhe o que ativa, não o que desativa.

### Dark patterns proibidos pela lei

Dark patterns são definidos no RSA 507-H:1, XII como interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, a tomada de decisão ou a escolha do usuário.

No contexto de cookies, exemplos comuns:

Botão de "aceitar tudo" em destaque, com o botão de recusar escondido ou com baixo contraste.

Cookies não essenciais ativados por padrão, obrigando o usuário a percorrer vários cliques para desativá-los.

Linguagem confusa nas opções de escolha.

Cookie wall: bloquear o acesso ao conteúdo até aceitar todos os cookies.

Janelas de consentimento que reaparecem até o usuário aceitar.

Qualquer um desses padrões invalida o consentimento obtido sob a NHDPA.

## Cookies de analytics precisam de consentimento sob a NHDPA?

A resposta é: na maioria dos casos, sim.

A NHDPA define dados pessoais como qualquer informação vinculada ou razoavelmente vinculável a um indivíduo. Cookies analíticos de grandes plataformas coletam dados que, cruzados com outras informações, podem identificar um usuário específico.

O [Guia Orientativo da ANPD](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/) já alertou sobre esse ponto no Brasil: grandes provedores têm capacidade de cruzar identificadores aparentemente anônimos com outros dados que possuem.

A abordagem mais segura: tratar cookies de analytics como não necessários no banner, bloquear antes do aceite, e documentar isso na Política de Cookies.

## Proteção especial para adolescentes entre 13 e 15 anos

O RSA 507-H:6, I, g proíbe o uso de cookies para publicidade segmentada e a venda de dados sem consentimento quando o controlador sabe que o consumidor tem entre 13 e 15 anos.

Se o seu site pode ter usuários adolescentes, a Política de Cookies precisa mencionar essa proteção e como ela é implementada operacionalmente.

## Quando atualizar a Política de Cookies

Sempre que o site passar a usar uma nova ferramenta que dispara cookies. O RSA 507-H:6, III, g exige que a data de última atualização esteja visível no documento.

Situações que exigem atualização:

Adição de novo pixel de publicidade.

Nova ferramenta de analytics.

Novo plugin de chat ou suporte.

Nova integração com CRM ou plataforma de e-mail.

Qualquer parceiro novo que receba dados de comportamento.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) é o que mantém essa sincronia. Quando o inventário de ferramentas do site muda, a Política de Cookies precisa mudar junto.

## A mudança na fiscalização a partir de 2026

Em 2025, havia garantia de 60 dias para correção antes de ação judicial. A partir de 2026, o período de cura é discricionário (RSA 507-H:11, III). Uma Política de Cookies inadequada pode resultar em ação direta sem garantia de prazo para corrigir.

As violações são enquadradas sob o RSA 358-A:2, com [penalidades](https://goadopt.io/blog/multas-na-lgpd/) de referência de até US$ 10.000 por violação.

## Como a AdOpt ajuda com a Política de Cookies sob a NHDPA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não necessários antes do aceite, apresenta categorias com descrições claras, oferece opções reais de escolha, respeita o GPC quando configurado ativamente pelo usuário, e documenta cada interação para auditoria.

A integração com os sistemas da empresa ajuda a processar revogações dentro do prazo de 15 dias exigido pela lei.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a NHDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a NHDPA

**Link visível no rodapé** e no próprio banner de cookies.

**Listagem das categorias de cookies** com descrição do que cada uma faz.

**Finalidade específica** para cada categoria, sem descrições vagas.

**Categorias de dados compartilhados com terceiros** e categorias de parceiros que os recebem (RSA 507-H:6, III, d e e).

**Período de retenção** de cada categoria.

**Divulgação de publicidade segmentada** com mecanismo de opt-out acessível via link conspícuo (RSA 507-H:6, IV e V, a, 1).

**GPC respeitado quando configurado ativamente** pelo usuário, com nuance de escolha afirmativa (RSA 507-H:6, V, a, 1, B).

**Prazo de 15 dias** para cessação do processamento após revogação (RSA 507-H:6, I, f).

**Cookies não necessários desativados por padrão** no banner, sem dark patterns (RSA 507-H:1, XII).

**Proteção para adolescentes de 13 a 15 anos** (RSA 507-H:6, I, g).

**Data da última atualização** do documento (RSA 507-H:6, III, g).

**Ausência de cookie wall**.

**Idioma acessível**, sem juridiquês.

## FAQ: NHDPA e Política de Cookies

**1. A NHDPA exige um documento chamado "Política de Cookies"?**
Não pelo nome. Mas o RSA 507-H:6, III, IV e V exigem que o aviso de privacidade cubra as práticas de coleta via cookies com finalidades específicas, informações sobre compartilhamento com terceiros, mecanismo de opt-out de publicidade segmentada e data de atualização. Uma Política de Cookies dedicada é a forma mais clara de organizar essas informações.

**2. O prazo de 15 dias vale para qualquer revogação de consentimento?**
Sim. O RSA 507-H:6, I, f determina que após receber a solicitação de revogação, a empresa deve cessar o processamento o mais rápido possível, no máximo em 15 dias. Isso vale para qualquer revogação de consentimento, incluindo opt-out de cookies não essenciais.

**3. O GPC precisa ser respeitado automaticamente pelo site?**
O RSA 507-H:6, V, a, 1, B exige respeito ao opt-out preference signal, mas com a condição de que ele represente uma escolha afirmativa e livre do consumidor, não uma configuração padrão automática. O site precisa estar configurado para detectar e honrar o GPC quando o usuário o ativou deliberadamente.

**4. Cookies de analytics precisam de consentimento na NHDPA?**
Na maioria dos casos, sim. Cookies analíticos de grandes plataformas coletam dados que podem identificar usuários por cruzamento de informações, enquadrando-se na definição de dados pessoais do RSA 507-H:1, XIX. Ferramentas com anonimização genuína e sem capacidade de identificação individual podem ser exceção.

**5. O que mudou na fiscalização da NHDPA a partir de 2026?**
Em 2025, o RSA 507-H:11, II garantia 60 dias de cura antes de ação judicial. A partir de 2026, o RSA 507-H:11, III tornou o período de cura discricionário. O Attorney General pode ou não concedê-lo, considerando fatores como número de violações, tamanho da empresa e probabilidade de dano ao público.

Tá na AdOpt, tá bem.

[Pronto para colocar a Política de Cookies do seu site em conformidade com a NHDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


New Hampshire NHDPA: Política de Cookies

João Bruno Soares

Chegou a hora de falarmos sobre uma das tarefas de maior impacto - tanto para a empresa, como para o visitante dos seus sites; a categorização de Tags. Mas, qual o porquê de tanto impacto? Qual a relevância desta configuração, em que ela pode nos afetar? Justamente por essas dúvidas, tão comuns no atendimento aos nossos clientes, que escrevemos esse artigo com as boas práticas na categorização de tags.

## O que é uma tag?

Para começarmos bem, vamos ajudar com alguns conceitos básicos que vão situar cada um de vocês na AdOpt e no mercado como um todo.

De maneira bastante direta: 1 _Tag_ = Disparador de 1 ou mais Cookies.

Como assim?

Basicamente, a maioria das _Tags_, ou _pixels_ – como também são conhecidos, quando instalados no HTML de um site são eles os responsáveis pelo disparo dos cookies para cada visitante, naquela determinada página. Uma _Tag_ pode executar várias funções como ler cliques em botões, rolagem de página, coletar campos de texto, sempre associando este comportamento àquele navegador visitante.

Uma vez que isso seja possível, a maneira com que a Tag armazena os dados gerados pelo visitante, é:

\- Enviando-os para o seu servidor (servidor do serviço criador da _Tag_) e;

\- Também pode gravar, no seu navegador, as infos todas em os cookies que ela gera e grava na sua máquina.

Por exemplo. quando acessamos um e-commerce e ele reconhece que estamos voltando após um acesso mostrando produtos que são do nosso interesse; acontece graças aos [cookies](https://goadopt.io/blog/cookies-e-lgpd/) e as tags fazendo o seu trabalho. Resumindo então, 1 Tag pode disparar N cookies e realizar N funções.

Enfim, a _Tag_ em si não é algo ruim, tudo depende da sua aplicação.

## O que é a categorização de Tags?

A categorização consiste no trabalho do [Encarregado de Dados – DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), de organizar todas as tags instaladas no(s) site(s) de sua responsabilidade em categorias específicas que representam sua finalidade e propósito de estarem ali.

O mercado já criou “categorias padrão” desde a GPDR, pioneira neste ponto, são elas:

- **Essenciais / _Necessárias_:** Sem elas o seu modelo de negócio, seu site, não funciona, ou, você tem que usá-las por força de lei/sua legislação.  

- **Marketing / _Propaganda_:** Com elas você dispara seu remarketing, popula os pixels de anúncios, automatiza cadências de e-mails, etc.  

- **Estatística / _Analytics_:** Com elas você tem uma análise do que os visitantes fazem, de onde vem, como se comportam no seu site.  

- **_Performance_:** Tags que mantém as funcionalidades do site garantindo seu funcionamento e velocidade de resposta. ex. previnem ataques ao DDos  

- **_Funcionais_:** Tags que operam aspectos de funcionalidade, como lembrar as preferências ou reconhecer que você já está logado no sistema, chatbots.

Ou seja, cada empresa poderá ter um grupo de Tags instaladas no seu site cuja finalidade – descrita e detalhada na Política de Privacidade (ou política de cookies), deverá ser replicada, de igual maneira na comunicação com os visitantes – o aviso de cookies, bem como em todos os processos que façam uso destes dados.

## Por que categorizar as tags?

Muitas empresas fazem uso de aviso de cookies que não organizam as tags, ou cookies em categorias específicas, obrigando o visitante a aceitar todas as Tags sem distinção.

Isso traz um grande risco de [multas](https://goadopt.io/blog/multas-na-lgpd/) para a sua operação, uma vez que diversas legislações exigem que o consentimento deve ser específico e detalhado para determinada finalidade. Na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) por exemplo, o Art. 5º. Inciso, XII é claro:

> #info XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma **finalidade determinada;**

Esse é um dos motivos que AdOpt sempre trabalhou com um [design](https://goadopt.io/blog/o-que-e-privacy-by-design/) que prioriza a liberdade para todos os visitantes navegarem pelas categorias e suas respectivas Tags.

## Como diferenciar a função de cada tag?

Certamente o mercado já antecipa algumas finalidades e respectivas categorias. Contudo, vale lembrar que essa etapa muitas vezes envolve áreas da empresa que vão além daquelas aparentes no site. Pois, uma coleta feita através dos cookies pode ser a base operacional de um departamento inteiro e todos os processos, em alguma empresa.

Isso quer dizer que, apesar do mercado já prever um padrão para a categoria de cada tag, principalmente as mais populares, os encarregados de dados devem ajustar essa diferença dentro da operação da empresa garantindo a realidade dos fatos, e principalmente amparando tal escolha nas bases legais escolhidas.

Logo, por mais que haja um padrão as empresas são livres para ajustar os fatos, e devem estar prontos para responder os fatos com total clareza aos cidadãos.

É por isso que na AdOpt quando é feito o escaneamento das tags, algumas delas já vem com uma pré-classificação. Mas, isso não impede que o Encarregado de Dados de determinada empresa, ajuste essa categorização de acordo com sua [Política de Cookies e Privacidade.](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)

Como plataforma a AdOpt não pode forçar que a configuração siga determinada linha ou princípio. Mas, preza pela liberdade dentro de seus ambientes para que a responsabilidade do Encarregado de Dados seja respeitadas a todo momento.

## O que as legislações falam sobre como classificar cada tipo de tag?

As legislações de privacidade não adentram esse tipo de análise “micro” das categorias de Tags. Pois, seria inviável para as autoridades nacionais emitirem um parecer de classificação para cada nova Tag que surgisse no mercado.

Assim, cabe as empresas garantir que a comunicação seja clara, objetiva e respeite os aspectos de liberdade e finalidade já expostos anteriormente. Logicamente que o mercado se ajusta e então cria-se um padrão e até mesmo nomenclaturas próprias para cada uma delas.

Por exemplo, o nome: Tags Essenciais ou Necessárias não são determinados pela lei. Mas, esse nome ajuda na rápida compreensão de sua finalidade por isso o mercado o adotou, pois quanto menos confusão neste aspecto melhor. Afinal, a subjetividade está em todos os lugares e contextos. Se pudermos evitar esses pontos com um certo “padrão” minimizamos estas variáveis.

## Onde aplicar e, ou replicar essa informação?

Como já foi dito anteriormente a categorização das Tags é um ordenamento que deve refletir a finalidade operacional no uso daquele dado, logo antes de uma aplicação conceitual ela deve ter um uso prático que espelhe essa classificação.

Ainda assim, vale ressaltar que essa classificação é muitas vezes explanada, ou aprofundada nos documentos oficiais da empresa como a Política de Privacidade e a Política de Cookies.

[Qual a Política de Privacidade Ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)

Além disso, um quesito importantíssimo diretamente relacionado à categorização de tags é a configuração do bloqueio de tags de terceiros de acordo com a escolha do visitante. Ou seja, o aviso de cookies só permite que determinada Tag seja executada após o consentimento do visitante.

Como assim?

Cada visitante é livre para escolher se quer ou não consentir com aquele grupo de Tags declarado pela empresa. Logo, a sua vontade é respeitada quando os cookies são de fato gravados somente mediante o consentimento “livre, informado e inequívoco” (sem equívocos, evidente, sem ambiguidade).

**É por isso que a AdOpt orienta que todos os usuários da ferramenta, sem exceção, façam a configuração de bloqueio de tags de terceiros. Pois, somente com essa configuração no ar que o aviso estará completa e propriamente instalado.**

[Aqui um tutorial para você configurar o bloqueio de tags de terceiros no seu site.](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

## Por que alguns sites não fazem o bloqueio de Tags de terceiros?

Não cabe à AdOpt julgar o porquê de determinado site, e até mesmo os seus clientes, optaram pela não realização dessa configuração. Ainda que constantemente reforçada em nossa comunicação e classificada como “essencial”.

Certamente, tal decisão prejudica a imagem de ambos, empresa e até mesmo da AdOpt. Mas, é preciso lembrar que antes deste setup, cada Tag tem uma função única dentro de cada empresa, em seu ambiente e contexto únicos. Um mecanismo imposto tecnologicamente pela AdOpt iria contra a liberdade de escolha dos seus clientes, na interpretação e aplicação da Lei que vale para todos.

Guardadas as devidas proporções e equivalências, como um exemplo. Seria como responsabilizar as fabricantes de veículos pelos carros que tem a capacidade de ultrapassar a velocidade permitida. A montadora pode instalar alertas, reforçar a comunicação de várias maneiras. Mas, nunca poderá impor que um cidadão não dirija segundo a sua liberdade.

## Último ponto, como uma regra de ouro!

### **Sempre alinhe o Uso real dos dados, ao Processos, à documentação e à comunicação.**

**Ao [processo](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/):** Que a coleta de dados declarada para determinada finalidade, seja de fato o mesmo destino e uso dos dados dentro da sua empresa.

**À documentação:** Que os documentos oficiais estejam sempre atualizados, e que de fato reflitam a realidade praticada na empresa.

**À comunicação**: Que a Tag classificada como Necessária, ou as demais classificações, seja de fato. Que a tag não e esteja classificada como “essencial” apenas pelo fato do visitante não poder bloquear. Pois, isso seria uma tentativa de burlar a liberdade dos cidadãos que acessam o seu site.

Pois, o mesmo mercado que cria padrões de classificação para determinadas Tags, também é capaz de julgar a veracidade das intenções e dos fatos, declarados pelo seu aviso de cookies no seu site.

Lembrem-se sempre que: antes das empresas existem as pessoas. A LGPD já foi criada justamente para tentar equalizar melhor a relação entre empresas e cidadãos. Afinal, a privacidade é um direito universal, e não pode ter valor apenas quando perdida.

\---

Sentiu falta de algum ponto ou explanação? Manda a gente no [hey@goadopt.io](mailto:hey@goadopt.io), que será um prazer conversar mais sobre o tema contigo!

[Aqui você pode entender melhor sobre o funcionamento de um aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)


Boas práticas na categorização de tags.

A Lei de Proteção de Dados surgiu há tempos e, desde então chama atenção para inúmeros profissionais. Apesar disso, não é raro encontrar sites e empresas que a ignoram, uma vez que buscam espaço para adaptar-se. Nesse sentido, até quando podemos ignorar a LGPD?

**Pois saiba que não é mais possível ignorá-la.** E isso é uma realidade desde a sua aprovação. Mais ainda, aliás, diante da sua aplicação desde 2021.

Tendo isso em vista, note que já se passaram alguns anos desde que essa lei surgiu, o que não dá mais desculpas para ignorá-la. Aliás, não só isso, pois a ignorância acerca dela pode trazer muitos prejuízos. Entenda um pouco mais aqui, sobre as [multas da LGPD.](https://goadopt.io/blog/multas-na-lgpd)

Por isso, o relógio corre em desfavor daqueles que optaram, até agora, em postergar as adaptações impostas pela LGPD. Portanto, é hora de mudar sua postura. Como e porquê fazê-lo é o que você descobre abaixo.

## Mas, afinal, o que a LGPD exige?

Muito se fala em LGPD, contudo pouco se diz sobre o que realmente ela exige. Apesar disso, tornou-se imprescindível que usuários online e donos de site entendam de uma vez por todas o que ela é.

Afinal, somente assim é possível compreender toda a importância dessa lei. Mas, não se preocupe: aqui nós dispensamos qualquer juridiquês para falar com você sobre essa norma.

A [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) é uma norma de aplicação nacional que entrou em vigor em 2020. Muitos esperavam que isso ocorresse mais tarde, pois havia expectativa de que sua aplicação fosse postergada, como ocorreu anteriormente.

Contudo, isso não ocorreu. Ou seja, desde 2020 a LGPD é uma realidade e requer cuidados. Muitos acreditam que ela só traz implicações para empresas e seus sites. Mas não só isso, ela rege a forma como todas Empresas, Governos, ONGs, Associações, Igrejas… enfim, Pessoas Jurídicas nas suas mais diversas classificações lidam com dados dos cidadãos daquele país.

Vale destacar que a LGPD e todas as demais legislações de privacidade não focam apenas nos dados em ambientes digitais, mas em todos. Logo, a maneira como uma empresa lida com um e-mail fornecido em um site, ou em uma prancheta, importa! Na mesma linha, estendendo o cuidado tanto aos servidores do site, como os arquivos e fichários, cadernos que "armazenam" tais dados.

Enfim, todos os processos da sua empresa que envolvam dados pessoais em seus fluxos devem ser re-pensados e adequados.

Partindo do princípio que você já entendeu que todas as vezes que você visita um site ou faz uma ação online, tanto o seu navegador gravará sinais, quanto o site receberá informações sobre você. Vamos então reforçar que isso não pode ocorrer indiscriminadamente, certo? Pois é exatamente sobre isso que a Lei Geral de Proteção de Dados trata. Ou seja, ela garante que haja limitações sobre o uso de dados, pessoais. Seja em sites, ou outros ambientes quaisquer.

(Se você ainda não entendeu que estamos falando dos [Cookies de Internet](https://goadopt.io/blog/cookies-e-lgpd/), leia aqui antes de avançar)

Com isso, a lei visa proteger a intimidade e a privacidade dos usuários. Igualmente, garante que eles tenham maior noção de como é o uso dos seus dados e qual é a segurança que a empresa que tem acesso a eles lida com tais informações.

E não para por aí. A LGPD também trouxe conceitos de classificação de dados, bem como cuidados específicos com eles em relação ao vazamento e ao tratamento.

No final das contas, essa lei visa a transparência dos sites com os usuários. Da mesma forma, impõe cuidados que podem garantir a segurança destes. Por isso, resumidamente, ela determina basicamente quatro pontos cruciais no que diz respeito à proteção de dados:

- Forma de tratamento (uso) adequado dos dados pessoais;
- Solicitação de autorização e/ou revogação quanto aos dados de coleta;
- Punições para empresas que não cumprem com os cuidados acima;
- Liberdade para que todos os cidadãos possam ter acesso aos seus dados.  

## Tic Tac: Não há mais tempo para ignorar a LGPD, veja consequências em fazê-lo

Já deve estar claro para você que a LGPD trouxe consigo uma série de questões importantes que impactam completamente a forma como as empresas operam.

Trazendo agora para o ambiente digital, onde estamos agora, eles deve mostrar ainda mais transparência aos seus visitantes, logo seguir à risca as autorizações e políticas.

Embora a lei desse um prazo de adaptação às empresas até agosto deste de 2021, tal prazo já passou. Ou seja, atualmente já se faz possível a aplicação das [multas penalidades da Lei Geral de Proteção de Dados](https://blog2.goadopt.io/multas-na-lgpd/) sobre as empresas cujos sites que não respeitam suas diretrizes.

Por isso, saiba que se o seu site ainda não conta com políticas claras de privacidade, no caso de uso de cookies, um [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) que respeite a personalização de autorizações, ele está em risco.

E as penalidades da LGPD são bastante graves e incluem advertências (mais leves) e multas. Quando por infração, essa multa é de até 2% do faturamento anual da empresa (com limitação de base de cálculo de R$ 50 milhões). Ainda, há possibilidades de sanções que bloqueiem a base de dados das empresas até que regularizem suas operações.

Nesse sentido, veja que continuar ignorando a lei que regula a segurança e a proteção de dados é um verdadeiro tiro no pé para a sua empresa.

Ao fazê-lo você coloca o seu site e a sua empresa em risco. Ainda que na melhor das hipóteses seja vítima apenas de uma advertência, insistir no erro mexe no seu bolso e na imagem do seu site, bem como no acesso a dados tão importantes para suas atividades.

## Como se adaptar à LGPD e evitar problemas com a lei?

Não é mais possível ignorar a LGPD afinal, o prazo de adequação à Lei já passou.

Como estamos agora no ambiente digital, vamos nos ater a ele em como te ajudar neste processo. Afinal, muitas empresas hoje em dia tem grande parte dos seus processos e operações digitais. Como E-commerces, Agências Digitais, Empresas de Lançamento, Infoprodutores, Startups, etc.

Todos esses exemplos acima se apoiam no uso dos dados pessoais para Automação de Marketing, Landing Pages, Infinitos Pixels com seus Cookies de Remarketing, Campanhas de mídia, etc.

Enfim, é impossível continuar ignorando essa lei. Mas como colocá-la em prática? Não se preocupe, pois preparamos um passo a passo básico com alguns dos preceitos indispensáveis.

Lembre-se a LGPD não é um check-box no seu site, mas, uma mudança de processos e cultura voltados à privacidade. Então, abaixo separamos algumas dicas. Se você levar à sério, verá que lá no final a gente te leva para mais alguns direcionamentos que valem ouro. (Tem muita gente cobrando caro, pelas informações que disponibilizamos aqui, de graça - de nada!)

> Lembre-se a LGPD não é um check-box no seu site, mas, uma mudança de processos e cultura voltados à privacidade!

### **Planeje a sua Adequação, "conheça a sua bagunça."**

Primeiramente, é impossível falar de adequação à LGPD sem um plano. Como assim? Entenda que você nunca vai conseguir sentir confiança no que está fazendo se não souber onde estão os dados, de onde eles vêm, para onde vão, quem os processa e os utiliza. Logo, você precisa de um [Mapeamento de Dados,  aqui tem um artigo](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) que a gente te ajuda a entender o que é, e a como montar um.

Sabe quando você está no mercado e vê um produto fora do lugar, é meio bizarro né? "Dá um ruim na gente", como diriam no Sul do Brasil. Então, sério, dedique algum tempo a isso e você verá que todas as demais etapas serão simplificadas. Você não quer encontrar uma escova de dentes na sua gaveta de meias quando a Agência Reguladora bater na sua porta.

### **Desenvolva uma política de privacidade**.

Primeiramente, é impossível colocar o respeito à LGPD em prática sem que se desenvolva uma política de privacidade. Ela traz informações completas sobre como a empresa colhe dados, como os utiliza, com quem compartilha, seus prazos de uso e detalhes.

Igualmente, esclarece como são guardados os dados e quais são os cuidados que se aplicam à segurança contra vazamentos, por exemplo. Assim, lembre-se de usar uma linguagem clara e acessível, bem como de passar por todos os pontos relevantes, tintim por tintim.

Qual a base para escrever uma boa política? Adivinha! O seu Mapeamento de Dados do ponto acima. Então, não pula o ponto anterior, confia!

Aqui um artigo pra te ajudar com a [política de privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/).

### Conte com um dispositivo de aviso e configuração de cookies.

Lembra que estamos falando de empresas digitais, certo? Estas empresas têm uma característica muito peculiar: As portas de entradas de dados costumam ser todas digitais. Logo, é muito mais fácil a gente controlar o que passa por elas! E, melhor ainda, com o uso de tecnologia!

Por isso, o seu [Aviso de Cookies ou a CMP - Consent Management Platform](https://goadopt.io/blog/o-que-e-uma-cmp/), quando bem implementado, se torna praticamente um "Pareto da Adequação", aqueles 20% de esforço que resolvem 80% dos problemas.

Ou seja, não deixe de garantir que seu site tenha um banner de cookies adequado e já te ajude a organizar os dados desde a entrada. O banner de cookies não será a sua bala de prata. Mas, será um excelente começo para manter a casa em ordem com o passar do tempo.

[Aqui um artigo pra você entender melhor como funciona um aviso de cookies da LGPD.](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

Para isso, conte com a Adopt. A nossa equipe conta com profissionais experientes no mercado que dão toda a assistência para você. Aqui a gente te ajuda a [como escolher um aviso de cookies pro seu site](https://goadopt.io/blog/banner-de-cookies/).

### Cuidado com a segurança da informação.

Outro ponto importante para adaptação da empresa e do site à Lei de Proteção de Dados é com o aumento do cuidado da segurança da informação. As empresas sempre foram responsáveis pelos dados vazados, agora mais ainda! Então, vamos trabalhar duro para evitar qualquer vazamento ou prejuízo decorrente que gere consequências graves para as empresas e às pessoas que sofrem com seus dados expostos.

Logo, lá no seu mapeamento de dados destaque os riscos de vazamento e segurança. De novo, dedique tempo a esses critérios e processos de segurança, você não vai se arrepender de ter isso mapeado e controlado. Pois, na hora do caos a melhor sensação é a de que você está preparado, e sabe o que fazer!

### Cuidados com as ações de marketing.

Por fim, também aplique seus cuidados com a aplicação da LGPD às suas ações de marketing. Afinal, é necessário seguir à risca o uso de comunicados e campanhas somente a quem autorizou o recebimento deles, bem como os demais fluxos que são disparados mediante o uso de dados pessoais.

Aqui temos outro artigo interessante pra você: [10 Processo de Marketing que você precisa repensar na LGPD.](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

Como dito anteriormente esses são apenas alguns passos, quer se aprofundar mais nos tópicos de adequação, esse [artigo](https://goadopt.io/blog/significado-da-lgpd/) é o próximo para você.


Até quando podemos ignorar a LGPD?

A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.

O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:

- **Como é feita a coleta de dados**, seus processos e atividades;
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?

ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais.

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?

A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

### ### Perguntas que o ROPA deverá responder

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?

## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?

## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito!

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?

Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://calendly.com/valquiriaadopt) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.


ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

Inteligência Artificial e LGPD: tudo o que você precisa saber

Plugin de Cookies para VTEX: como escolher, integrar e configurar na sua loja

A **Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA)** é uma legislação estadual que estabelece padrões claros sobre como as empresas devem coletar, usar e proteger os dados pessoais dos residentes da Virgínia. Ela oferece às pessoas mais controle sobre suas informações e torna as empresas mais responsáveis pela transparência e respeito no tratamento desses dados.

Para empresas que trabalham com **rastreamento online, publicidade ou analytics**, essa lei impacta diretamente o uso de ferramentas como cookies, pixels e tags de terceiros. Uma das ideias centrais da VCDPA é o consentimento, o que significa que os usuários devem ter uma **escolha clara** sobre a coleta de seus dados, especialmente para fins como anúncios direcionados.

É nesse ponto que um bom **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** ou uma **[Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** (CMP) se torna essencial. As empresas agora precisam explicar quais dados são coletados e por quê, permitindo que os usuários aceitem ou recusem de uma forma fácil de entender e acessível a qualquer momento.

A VCDPA não se trata apenas de evitar multas; é sobre construir confiança com seus usuários. Quando um site exibe um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** bem projetado e uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** direta, ele envia uma mensagem clara: "Nós nos preocupamos com suas escolhas e sua privacidade".

## Quando a VCDPA entrou em vigor?

A VCDPA entrou oficialmente em vigor em **1º de janeiro de 2023**. Isso significa que, desde o início de 2023, as empresas que se enquadram no escopo da lei devem estar totalmente em conformidade com seus requisitos. Não é algo que "está por vir"; já está valendo e a fiscalização já começou.

Se o seu site ainda coleta dados sem o consentimento adequado ou usa **cookies de rastreamento** sem um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** válido, você pode estar colocando seu negócio em risco. A boa notícia é que a conformidade não precisa ser complicada.

A maioria dos requisitos pode ser resolvida com algumas atualizações estratégicas: uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** clara, uma **[Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** confiável como a AdOpt e um sistema adequado para organizar e gerenciar os cookies e rastreadores do seu site.

Essas não são apenas ferramentas técnicas; fazem parte do compromisso da sua marca com a transparência e a privacidade. E os usuários de hoje, especialmente aqueles cientes de seus direitos, estão prestando muita atenção. Portanto, se você não revisa sua configuração desde antes de 2023, **agora é a hora**.

## Quem precisa se adequar à VCDPA?

A Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA) se aplica principalmente a empresas que operam na Virgínia ou direcionam produtos ou serviços para os residentes de lá. Mas não se trata apenas de ter um escritório físico no estado.

Se o seu site ou aplicativo coleta dados de residentes da Virgínia, mesmo que sua empresa esteja em outro estado ou país, você ainda pode estar sujeito à lei. A VCDPA se aplica a empresas que lidam com dados de pelo menos 100.000 consumidores da Virgínia por ano, ou àquelas que processam dados de apenas **25.000 consumidores** se mais de **50%** de sua receita vier da venda de dados pessoais.

Isso significa que mesmo pequenas e médias empresas com uma forte presença online podem ser afetadas. Se você não tem certeza se precisa se adequar, é melhor ser cauteloso e avaliar suas práticas de dados agora. Considere começar com um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** para entender onde e como você coleta dados pessoais.

## O que a VCDPA considera como "dados pessoais"?

De acordo com a VCDPA, "dados pessoais" referem-se a qualquer informação que esteja vinculada, ou possa ser razoavelmente vinculada, a um indivíduo identificado ou identificável. Isso é mais amplo do que muitos imaginam e inclui **nomes, endereços de e-mail, endereços residenciais, números de telefone e até endereços IP** quando associados a um perfil de usuário.

O que torna a VCDPA especialmente importante é como ela trata os "dados sensíveis", uma categoria que inclui informações **sobre raça, religião, saúde, geolocalização precisa e dados de crianças menores de 13 anos**. Se o seu site coleta qualquer um desses dados, você deve obter um **[consentimento / site](https://goadopt.io/blog/consentimento-site-lgpd/)** claro do usuário antes de processá-los.

No contexto do seu site ou aplicativo, os **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** frequentemente coletam esse tipo de dado pessoal em segundo plano, seja para analytics, anúncios ou preferências do usuário. É por isso que configurar um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** em conformidade não é apenas uma boa prática, mas muitas vezes um requisito.

## A VCDPA se aplica a cookies e rastreamento de sites?

Sim, e esta é uma das áreas-chave onde a VCDPA impacta diretamente seu site. A lei não menciona "cookies" como uma palavra da moda, mas se aplica totalmente ao tipo de dado pessoal que os **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** coletam. Quando eles rastreiam o comportamento do usuário, endereços IP ou geolocalização, isso se enquadra na definição de "dados pessoais" da VCDPA.

A VCDPA exige transparência e controle do usuário. Isso significa que você deve ser claro sobre quais tipos de cookies estão rodando em seu site, quais dados eles coletam e por quê. Um simples banner dizendo "usamos cookies" não é mais suficiente. Você precisará de um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** adequado que dê aos usuários a opção de aceitar ou rejeitar cookies não essenciais.

Para tornar as coisas mais fáceis e em conformidade, ferramentas como as **[Plataformas de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** (CMPs) são essenciais. Uma CMP certificada como a AdOpt ajuda a categorizar cookies, acioná-los somente após o consentimento e armazenar esse **[consentimento / site](https://goadopt.io/blog/consentimento-site-lgpd/)** de forma verificável, passos críticos para a conformidade com a VCDPA.

### O que a VCDPA define como "venda" de dados pessoais?

Quando ouvimos a palavra "vender", a maioria de nós pensa em troca de dinheiro. Mas, sob a VCDPA, "vender" dados pessoais significa algo muito mais amplo. De acordo com a lei, refere-se à troca de dados pessoais por contrapartida monetária ou outra consideração de valor a um terceiro.

Isso se torna especialmente relevante para sites e plataformas que usam serviços de terceiros para **[marketing / processos](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)** ou publicidade. Muitos desses serviços dependem de dados pessoais coletados via cookies e rastreadores para construir perfis de usuário. Se você está repassando esses dados e recebendo em troca recursos de anúncios direcionados ou analytics, você pode estar "vendendo" dados sob a VCDPA.

Essa definição é importante porque, se sua empresa "vende" dados pessoais, você deve divulgar isso claramente em sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** e fornecer aos usuários uma maneira de optar por não participar. O rastreamento baseado em cookies, por exemplo, deve ser claramente explicado em seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)**.

### É necessário consentimento prévio para cookies sob a VCDPA?

Diferente do **GDPR / Cookies** na Europa, a VCDPA não exige explicitamente que os sites coletem consentimento prévio para usar cookies. No entanto, isso não significa que você está livre das responsabilidades de conformidade com os **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)**.

O que a VCDPA exige é **transparência** e controle do usuário, especialmente quando dados pessoais estão sendo coletados, compartilhados ou "vendidos" por meio de tecnologias de rastreamento. A lei dá grande ênfase aos direitos de opt-out, particularmente para publicidade direcionada e venda de dados pessoais.

Muitos cookies, especialmente os de marketing e analytics de terceiros, são usados exatamente para esses fins. Portanto, mesmo que o consentimento prévio não seja obrigatório, dar aos usuários a opção de recusar ou gerenciar cookies é uma necessidade prática. É aqui que uma **[Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** (CMP) se torna essencial.

## Como cumprir os requisitos de consentimento de cookies da VCDPA

Estar em conformidade com os requisitos de cookies da VCDPA significa mais do que apenas adicionar um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** ao seu site. Começa com a transparência: os usuários devem ser informados sobre **quais dados você está coletando**, como são usados e com quem você os compartilha.

Isso geralmente é feito por meio de uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** bem escrita e um aviso de cookies claro. Mesmo que a lei tenda para o opt-out em vez do opt-in, os usuários ainda precisam de uma maneira fácil de exercer seus direitos. Isso significa que sua solução de cookies deve oferecer uma forma de rejeitar ou gerenciar certas categorias de cookies.

É aqui que as **[CMPs](https://goadopt.io/blog/o-que-e-uma-cmp/)** brilham. Uma CMP confiável como a AdOpt ajuda você a categorizar seus cookies corretamente, exibir banners apenas quando necessário e manter um registro das preferências do usuário. Se você não tem certeza de como organizar os cookies por tipo, confira nosso guia sobre **[tags / categorização](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)**.

Outra dica importante de conformidade é garantir que sua operação de cookies esteja alinhada com sua governança de dados. Isso significa não apenas exibir um banner, mas garantir que os cookies só disparem depois que os usuários derem o **[consentimento / site](https://goadopt.io/blog/consentimento-site-lgpd/)** adequado ou que possam optar por não participar quando a lei permitir.

## Quais direitos os consumidores têm sob a VCDPA?

A Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA) oferece às pessoas na Virgínia mais controle sobre como seus dados pessoais são usados. Pense nisso como um conjunto de ferramentas que permite aos usuários espiar por trás da cortina do seu site ou negócio.

Por exemplo, os consumidores podem pedir para ver quais dados você coletou sobre eles, corrigir algo que esteja errado ou solicitar que seus dados sejam totalmente excluídos. Outro direito importante é a capacidade de optar por não participar (opt-out).

Sob a VCDPA, os consumidores podem dizer não ao uso de seus dados para anúncios direcionados, venda a terceiros ou criação de perfis. Se sua empresa usa cookies ou outros rastreadores para marketing personalizado, **você precisa tornar essas opções de opt-out fáceis** de encontrar e usar, geralmente por meio de um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** bem configurado.

### Direito de acesso, exclusão e correção de dados

A VCDPA concede aos consumidores na Virgínia direitos importantes, e três dos mais significativos são o direito de acessar, excluir e corrigir seus dados. Em resumo, se uma **pessoa quiser saber quais informações uma empresa coletou sobre ela**, ela tem o direito de perguntar.

Se algo estiver errado ou desatualizado, ela pode pedir uma correção. E se simplesmente quiser que seus dados desapareçam, pode solicitar a exclusão. Para as empresas, isso significa estar pronto para responder a esses tipos de solicitações de maneira oportuna e organizada.

Você precisará de sistemas que possibilitem identificar todos os dados vinculados a um indivíduo específico, o que pode ser um desafio se você não fez um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** em suas plataformas. Ter uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** bem documentada que descreva como os usuários podem fazer tais solicitações também faz parte da transparência.

## Quais são os requisitos da VCDPA para as empresas?

Se sua empresa coleta dados de pessoas que vivem na Virgínia, a VCDPA estabelece algumas responsabilidades importantes. Uma das principais é o **dever de transparência**. Você deve informar claramente aos consumidores sobre quais dados pessoais você coleta, por que os coleta e como eles serão usados.

Outro requisito fundamental é a **minimização de dados**. As empresas devem coletar apenas os dados pessoais que sejam razoavelmente necessários para os fins que foram divulgados ao consumidor. Isso ajuda a evitar o acúmulo de informações desnecessárias e está alinhado com o princípio de **[Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**.

As empresas também são obrigadas a implementar e manter medidas de segurança de dados razoáveis para proteger a confidencialidade, integridade e acessibilidade dos dados pessoais. Além disso, a lei exige que as empresas realizem **Avaliações de Impacto sobre a Proteção de Dados (DPIAs)** para atividades de processamento que apresentam um risco maior.

## Como a VCDPA é fiscalizada e quais são as penalidades?

Diferente de algumas leis de privacidade globais que dão aos consumidores o direito de processar diretamente, a VCDPA é fiscalizada exclusivamente pelo Procurador-Geral da Virgínia. Isso significa que, se uma empresa for considerada infratora, cabe ao principal órgão jurídico do estado tomar uma atitude.

Quando violações são encontradas, as empresas recebem **30 dias** para corrigir o problema. Este é um "período de notificação e cura". Se a empresa não resolver o problema nesse tempo, o Procurador-Geral pode impor uma multa de até US$ 7.500 por violação.

E "por violação" pode somar rapidamente. Pense em cada cookie disparado sem o **[consentimento / site](https://goadopt.io/blog/consentimento-site-lgpd/)** adequado ou em cada solicitação de opt-out ignorada. Além das **penalidades financeiras**, há o risco de danos à reputação. Ser sinalizado por violações de privacidade pode corroer rapidamente a confiança do usuário.

---

Pronto para garantir que seu site esteja em conformidade e construa confiança com seus usuários? A AdOpt simplifica a gestão de consentimento e ajuda você a se alinhar com as leis de privacidade mais recentes.

**[Agende uma demonstração da AdOpt hoje mesmo!](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)**

## A VCDPA na prática: os três documentos

A adequação à VCDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/virginia-vcdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/virginia-vcdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/virginia-vcdpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.


VCDPA e Cookies: Tudo o que você precisa saber

## New Hampshire NHDPA: Política de Privacidade

Toda empresa que coleta dados de residentes de New Hampshire precisa de um documento público que explique, de forma clara e específica, o que faz com essas informações.

Esta página cobre uma parte do quadro. Para o escopo completo da NHDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da NHDPA e cookies](https://goadopt.io/blog/new-hampshire-nhpa-e-cookies-tudo-o-que-voce-precisa-saber/).

Esse documento é a Política de Privacidade.

A New Hampshire Data Privacy Act (NHDPA, RSA 507-H), em vigor desde 1º de janeiro de 2025, define o que precisa estar nesse documento, como ele precisa ser publicado, e o que acontece quando está incompleto ou desatualizado.

Este artigo é focado exclusivamente nisso: o que a NHDPA exige da sua Política de Privacidade, ponto a ponto, verificado no texto integral da lei.

## O que a NHDPA chama de Privacy Notice

A lei usa o termo Privacy Notice, Aviso de Privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem.

O RSA 507-H:6, III determina que o controlador forneça aos consumidores um aviso de privacidade "claro e significativo em formato razoavelmente acessível". O documento pode ser publicado online, em aplicativos móveis ou em dispositivos pelos quais os consumidores interagem com o controlador.

Duas exigências específicas do RSA 507-H:6, III merecem atenção:

O documento precisa ser **razoavelmente acessível a consumidores com deficiência**, inclusive por meio de ferramentas digitais de acessibilidade.

O documento precisa incluir a **data em que foi atualizado pela última vez**.

## O que precisa estar na Política de Privacidade sob a NHDPA

O RSA 507-H:6, III lista os elementos obrigatórios do aviso de privacidade. Vamos ponto a ponto.

### 1. Categorias de dados pessoais processados

O documento precisa listar as categorias de dados pessoais que a empresa processa (RSA 507-H:6, III, a).

Dados pessoais sob a NHDPA é qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável, conforme RSA 507-H:1, XIX. Isso inclui nome, e-mail, IP, histórico de navegação, dados de localização e qualquer identificador que permita rastrear uma pessoa.

### 2. A finalidade do processamento

O documento precisa explicar para que os dados são usados (RSA 507-H:6, III, b).

E as finalidades precisam ser específicas. O RSA 507-H:6, I, b determina que a empresa não pode processar dados para finalidades que não sejam razoavelmente necessárias ou compatíveis com as declaradas, sem novo consentimento.

Finalidades vagas como "melhorar sua experiência" não atendem à exigência. "Dados de navegação coletados via analytics: utilizados para analisar o comportamento de uso do site e identificar páginas com maior taxa de abandono" é uma finalidade específica.

### 3. Como os consumidores exercem seus direitos

O documento precisa descrever como os consumidores podem exercer os direitos garantidos pela NHDPA, incluindo como apelar de uma decisão do controlador (RSA 507-H:6, III, c).

Não basta listar que os direitos existem. O processo precisa estar descrito: qual canal usar, como funciona a verificação de identidade, qual o prazo de resposta de 45 dias, e como recorrer se o pedido for negado.

O [encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) ou responsável pela conformidade precisa ter esse processo mapeado e funcionando antes de publicar a Política.

### 4. Categorias de dados compartilhados com terceiros

Se a empresa compartilha dados com terceiros, o documento precisa informar quais categorias de dados são compartilhadas (RSA 507-H:6, III, d).

Isso inclui ferramentas de e-mail marketing, CRMs, plataformas de analytics, redes de publicidade, processadores de pagamento, e qualquer outro serviço que receba dados dos seus usuários.

Para [agências de marketing digital](https://goadopt.io/blog/lgpd-oportunidade-agencia-marketing-digital/) que gerenciam sites de clientes, esse ponto é crítico. O site do cliente é controlador. A agência geralmente é operadora. A Política precisa refletir essa estrutura.

### 5. Categorias de terceiros com quem os dados são compartilhados

Além dos tipos de dados, a Política precisa informar quais categorias de terceiros os recebem (RSA 507-H:6, III, e).

Categorias como "plataformas de anúncios digitais", "ferramentas de analytics", "sistemas de CRM" são exemplos válidos. Não é necessário listar o nome de cada produto, mas as categorias precisam ser identificáveis.

### 6. Canal de contato ativo

O RSA 507-H:6, III, f exige um endereço de e-mail ativo ou outro mecanismo online pelo qual o consumidor possa contatar o controlador.

Não pode ser um formulário que não funciona, um e-mail que ninguém monitora ou um link quebrado. O canal precisa estar operacional.

### 7. Data da última atualização

O RSA 507-H:6, III, g torna obrigatório incluir a data em que o aviso de privacidade foi atualizado pela última vez.

Toda vez que houver mudança material nas práticas de tratamento de dados, o documento precisa ser atualizado e essa data precisa ser refletida.

### 8. Divulgação de publicidade segmentada e venda de dados

Se a empresa vende dados pessoais a terceiros ou os processa para publicidade segmentada, o RSA 507-H:6, IV exige que essa prática seja claramente declarada, junto com o mecanismo pelo qual o consumidor pode exercer o opt-out.

### 9. Os mecanismos para submissão de solicitações

O RSA 507-H:6, V, a exige que a Política descreva pelo menos um meio seguro e confiável para o consumidor submeter solicitações. Esse meio precisa incluir um link claro e conspícuo para uma página onde o consumidor pode exercer o opt-out de publicidade segmentada ou venda de dados.

A empresa não pode exigir que o consumidor crie uma nova conta para exercer seus direitos.

## Dados sensíveis: exigências adicionais na Política

Dados sensíveis têm tratamento especial na NHDPA e precisam ser identificados na Política de Privacidade.

Conforme RSA 507-H:1, XXVIII, são dados sensíveis: origem racial ou étnica, crenças religiosas, saúde física ou mental, vida sexual, orientação sexual, cidadania, dados genéticos ou biométricos usados para identificação, dados de crianças conhecidas menores de 13 anos, e dados de geolocalização precisa.

Se a empresa coleta qualquer dado dessa categoria, a Política precisa:

Identificar explicitamente que dados sensíveis são coletados.

Informar para qual finalidade específica cada categoria é usada.

Descrever como o consentimento explícito e prévio é obtido, conforme exigido pelo RSA 507-H:6, I, d.

Explicar como esse consentimento pode ser revogado.

E sobre revogação: após receber a solicitação de revogação do consentimento, a empresa tem **no máximo 15 dias** para cessar o processamento, conforme RSA 507-H:6, I, f. Esse prazo precisa estar refletido na Política.

## A proteção adicional para adolescentes de 13 a 15 anos

O RSA 507-H:6, I, g proíbe processar dados de consumidores para publicidade segmentada ou vendê-los sem consentimento quando o controlador tem conhecimento real de que o consumidor tem entre 13 e 15 anos.

Essa proteção vai além da proteção de crianças menores de 13 anos. Se o site pode ter usuários adolescentes nessa faixa etária, a Política de Privacidade precisa mencionar como essa proteção é implementada.

## Avaliações de proteção de dados: quando são obrigatórias

O RSA 507-H:8 exige que os controladores conduzam e documentem Data Protection Assessments para atividades que apresentem risco elevado ao consumidor, incluindo publicidade segmentada, venda de dados, perfilamento com risco previsível de dano, e processamento de dados sensíveis.

As avaliações não precisam ser publicadas na Política, mas precisam ser documentadas e disponibilizadas ao Attorney General mediante solicitação. Elas são confidenciais e isentas de divulgação pública (RSA 507-H:8, III).

O [ROPA](https://goadopt.io/blog/ropa-lgpd/) é o documento interno que organiza o registro dessas atividades.

## A fiscalização mudou em 2026

Um ponto que impacta a urgência da adequação: em 2025, o Attorney General era obrigado a dar 60 dias para a empresa corrigir antes de ajuizar ação (RSA 507-H:11, II). A partir de 2026, esse período de cura passou a ser discricionário (RSA 507-H:11, III).

Isso significa que uma Política de Privacidade inadequada em 2026 pode resultar em ação direta, sem garantia de prazo para correção.

As violações são enquadradas sob o RSA 358-A:2, com [penalidades](https://goadopt.io/blog/multas-na-lgpd/) de referência de até US$ 10.000 por violação.

## Como a AdOpt apoia a conformidade com a NHDPA

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de consentimento e revogação funciona conforme descrito.

O registro de cada consentimento e revogação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a NHDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a NHDPA

**Link visível e acessível** em todas as páginas do site.

**Acessível para pessoas com deficiência**, inclusive via ferramentas digitais (RSA 507-H:6, III).

**Categorias de dados pessoais processados**, com descrição específica (RSA 507-H:6, III, a).

**Finalidade do processamento** para cada categoria, sem descrições vagas (RSA 507-H:6, III, b).

**Como exercer cada direito** garantido pela NHDPA, com processo, canal e prazo de 45 dias (RSA 507-H:6, III, c).

**Categorias de dados compartilhados com terceiros** (RSA 507-H:6, III, d).

**Categorias de terceiros** que recebem dados (RSA 507-H:6, III, e).

**Canal de contato ativo**, e-mail ou mecanismo online funcional (RSA 507-H:6, III, f).

**Data da última atualização** visível (RSA 507-H:6, III, g).

**Divulgação de publicidade segmentada ou venda de dados** com opt-out acessível (RSA 507-H:6, IV).

**Identificação de dados sensíveis** e como o consentimento prévio é obtido (RSA 507-H:6, I, d).

**Prazo de 15 dias para cessação após revogação** (RSA 507-H:6, I, f).

**Proteção para adolescentes de 13 a 15 anos** (RSA 507-H:6, I, g).

**Processo de apelação** descrito com prazo de 60 dias.

**Política de não discriminação** para consumidores que exercem seus direitos.

**Gratuidade de uma vez por ano** por consumidor.

## FAQ: NHDPA e Política de Privacidade

**1. A NHDPA exige um documento chamado especificamente "Política de Privacidade"?**
A lei exige um Privacy Notice claro e significativo em formato razoavelmente acessível, conforme RSA 507-H:6, III. Na prática, é a Política de Privacidade. O que a lei especifica é o conteúdo mínimo obrigatório com sete elementos listados diretamente no texto da lei.

**2. A gratuidade de atendimento a DSARs é para quantas solicitações por ano?**
Uma vez por ano por consumidor, conforme RSA 507-H:4, III, c. A partir da segunda solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar se considerar excessiva, mas precisa provar o caráter excessivo da solicitação.

**3. Com que frequência devo revisar a Política de Privacidade?**
Sempre que houver mudança material nas práticas de tratamento. A lei exige que a data de última atualização esteja visível no documento (RSA 507-H:6, III, g). O [encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) deve monitorar mudanças nas ferramentas do site e acionar a atualização quando necessário.

**4. O que mudou na fiscalização a partir de 2026?**
Em 2025, o Attorney General era obrigado a dar 60 dias para cura antes de ajuizar (RSA 507-H:11, II). A partir de 2026, o período de cura é discricionário (RSA 507-H:11, III). O Attorney General pode ou não conceder o prazo, considerando fatores como número de violações, tamanho da empresa e probabilidade de dano ao público.

**5. A Política de Privacidade precisa cobrir a proteção de adolescentes?**
Sim. O RSA 507-H:6, I, g proíbe publicidade segmentada e venda de dados de consumidores entre 13 e 15 anos sem consentimento, quando a empresa tem conhecimento dessa faixa etária. Se o site pode ter usuários adolescentes, a Política precisa mencionar essa proteção.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a NHDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)



New Hampshire NHDPA: Política de Privacidade

Um residente da Virgínia acessa o seu site, consome seu conteúdo, e em algum momento decide exercer os direitos que a lei garante a ele. Quer saber o que você tem sobre ele. Quer corrigir uma informação. Quer que você pare de usar os dados para anúncios.

Esta página cobre uma parte do quadro. Para o escopo completo da VCDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da VCDPA e cookies](https://goadopt.io/blog/vcdpa-virginia-e-cookies-tudo-o-que-voce-precisa-saber/).

O que acontece a partir daí?

A Virginia Consumer Data Protection Act (VCDPA, Va. Code § 59.1-575 et seq.), em vigor desde 1º de janeiro de 2023, define com precisão o que precisa acontecer: o canal para receber a solicitação, o prazo para responder, o processo de apelação em caso de recusa, e o que acontece quando a empresa não cumpre.

Este artigo cobre tudo isso.

## O que é uma DSAR?

DSAR é a sigla em inglês para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. Na prática, é qualquer pedido formal feito por um consumidor para exercer os direitos que a lei garante sobre os próprios dados.

Isso inclui pedir para ver o que você coletou, corrigir uma informação incorreta, solicitar a exclusão dos dados, pedir uma cópia portátil, recusar o uso dos dados para publicidade segmentada, ou contestar uma decisão sua sobre um pedido anterior.

Se você já conhece a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), o conceito do Portal do Titular é familiar. A VCDPA segue a mesma lógica: o consumidor precisa de um canal funcional para exercer os direitos que a lei garante.

## Quais são os direitos dos consumidores sob a VCDPA?

Conforme Va. Code § 59.1-577 A, os residentes da Virgínia têm cinco direitos principais:

### Direito de acesso e confirmação

O consumidor pode pedir confirmação de que a empresa processa os dados dele e obter uma cópia dos dados pessoais que ela mantém, conforme Va. Code § 59.1-577 A, 1.

A resposta precisa ser fornecida em formato acessível e compreensível.

### Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza dos dados e os propósitos do processamento, conforme Va. Code § 59.1-577 A, 2.

Isso cobre qualquer dado desatualizado, incompleto ou incorreto. A empresa não pode ignorar esse pedido.

### Direito de exclusão

O consumidor pode solicitar a exclusão dos dados que forneceu ou que foram obtidos sobre ele, conforme Va. Code § 59.1-577 A, 3.

Há uma alternativa válida na VCDPA que não existe em outras leis: se a empresa obteve o dado de uma fonte que não o próprio consumidor, pode cumprir o pedido de exclusão de duas formas. Pode excluir o dado de fato, ou pode reter o mínimo necessário para garantir que o dado permanece excluído das bases ativas e não é usado para nenhuma outra finalidade (Va. Code § 59.1-577 B, 5).

### Direito de portabilidade

O consumidor pode obter uma cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável, quando o processamento é feito por meios automatizados, conforme Va. Code § 59.1-577 A, 4.

Isso facilita a transferência dos dados para outro controlador.

### Direito de opt-out

O consumidor pode recusar o processamento dos dados para três finalidades específicas (Va. Code § 59.1-577 A, 5):

Publicidade segmentada (anúncios baseados em atividades em sites não afiliados ao longo do tempo).

Venda de dados pessoais a terceiros.

Perfilamento em apoio a decisões com efeitos legais ou igualmente significativos sobre o consumidor (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

## Direito de apelação

Conforme Va. Code § 59.1-577 C, se a empresa recusar uma solicitação, o consumidor tem o direito de apelar da decisão.

O processo de apelação precisa:

Ser conspicuamente disponível, fácil de encontrar.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta por escrito dentro de **60 dias**, com a decisão e a justificativa.

Se a apelação for negada, a empresa precisa informar ao consumidor como ele pode contatar o Attorney General da Virgínia para registrar uma reclamação. O Va. Code § 59.1-577 C especifica que, se disponível, o mecanismo para contatar o Attorney General deve ser online.

## Quais são os prazos para responder?

A VCDPA é direta nos prazos.

**45 dias** a partir do recebimento da solicitação autenticada (Va. Code § 59.1-577 B, 1).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

**60 dias** para responder a apelações (Va. Code § 59.1-577 C).

Esses prazos começam a contar quando a solicitação é recebida e autenticada. Se for necessário solicitar informações adicionais para verificar a identidade do consumidor, o prazo fica suspenso até que a verificação seja concluída.

## O que conta como "recebimento" da solicitação?

O Va. Code § 59.1-577 B usa o termo "receipt of the request". Para fins de contagem do prazo, a solicitação é recebida quando a empresa tem as informações mínimas para processar o pedido.

O processo de verificação de identidade pode influenciar esse marco. Se a empresa solicita informações adicionais para autenticar o consumidor, o prazo fica interrompido até que a autenticação seja concluída, conforme Va. Code § 59.1-577 B, 4.

Por isso, o processo de verificação precisa ser ágil, proporcional ao tipo de dado envolvido, e descrito claramente no canal de submissão.

## Como deve ser o canal para submissão de solicitações

Conforme Va. Code § 59.1-578 E, o controlador precisa estabelecer e descrever na Política de Privacidade pelo menos um meio seguro e confiável para os consumidores submeterem solicitações.

Esse meio precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir que o controlador autentique a identidade do consumidor.

Não exigir que o consumidor crie uma nova conta. A empresa pode exigir o uso de uma conta existente, mas não pode forçar o cadastro de uma nova conta apenas para exercer um direito garantido por lei.

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (acesso, correção, exclusão, portabilidade, opt-out).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

## Verificação de identidade: como fazer sem criar barreiras

A VCDPA exige que o controlador autentique a identidade do consumidor usando esforços comercialmente razoáveis, conforme Va. Code § 59.1-577 B, 4.

Se não for possível autenticar com esforços razoáveis, a empresa não é obrigada a cumprir a solicitação, mas pode pedir informações adicionais razoavelmente necessárias.

Na prática, isso significa:

Para dados de baixo risco: uma confirmação por e-mail pode ser suficiente.

Para dados sensíveis ou situações com maior risco: um segundo fator de verificação pode ser justificado.

O que nunca é aceitável: exigir documentos físicos para acesso a dados simples de comportamento de navegação, criar processos deliberadamente trabalhosos para desencorajar solicitações, ou negar pedidos com base em autenticação impossível quando métodos mais simples são disponíveis.

## Gratuidade: o que a lei determina

Conforme Va. Code § 59.1-577 B, 3, o atendimento de solicitações é gratuito **até 2 vezes por ano** por consumidor.

Esse é um ponto de diferença importante em relação a outras leis estaduais. A NHDPA, por exemplo, garante gratuidade apenas uma vez por ano. A VCDPA garante duas.

A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar, caso a solicitação seja manifestamente infundada, excessiva ou repetitiva. O ônus de demonstrar o caráter excessivo é da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso

Receba e autentique a identidade do titular.

Localize todos os dados pessoais que a empresa mantém sobre esse consumidor em todos os sistemas.

Prepare uma cópia em formato legível e acessível.

Inclua na resposta: categorias de dados, finalidades do processamento, terceiros com quem os dados foram compartilhados.

Envie dentro do prazo de 45 dias.

Um inventário de dados atualizado é o que torna esse processo viável em larga escala.

### Solicitação de correção

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Corrija nos sistemas primários e, quando aplicável, notifique os terceiros que receberam o dado para que façam a correção do lado deles.

Confirme ao consumidor que a correção foi realizada.

### Solicitação de exclusão

Receba e autentique.

Verifique se existe exceção legal que permita reter o dado (obrigação legal, defesa judicial, finalidade protegida).

Se não houver exceção: exclua dos sistemas ativos. Para dados obtidos de terceiros, há a alternativa de reter o mínimo necessário para garantir a não utilização futura (Va. Code § 59.1-577 B, 5).

Notifique terceiros que receberam os dados para exclusão quando aplicável.

Confirme ao consumidor o que foi excluído e, se houver retenção parcial justificada, explique.

### Solicitação de portabilidade

Receba e autentique.

Gere um arquivo com os dados do consumidor em formato portátil e tecnicamente utilizável, como JSON ou CSV.

Entregue ao consumidor de forma segura dentro do prazo.

### Solicitação de opt-out

O opt-out de publicidade segmentada, venda de dados ou perfilamento com efeitos significativos precisa resultar na cessação efetiva do processamento para essas finalidades.

A VCDPA não especifica um prazo de cessação separado do prazo geral de 45 dias, mas o critério legal é "without undue delay" (sem demora indevida). Na prática, sistemas bem configurados processam opt-outs em tempo real ou em poucas horas.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) integrada aos sistemas da empresa automatiza esse fluxo.

## O que acontece quando a empresa nega um pedido?

A empresa pode negar uma solicitação quando:

Não consegue autenticar a identidade do consumidor com esforços comercialmente razoáveis.

O pedido é manifestamente infundado ou excessivo.

Há exceção legal que justifica a retenção ou o processamento continuado.

Em todos os casos, a recusa precisa ser comunicada ao consumidor dentro do prazo de 45 dias, com:

A justificativa da recusa.

Instruções claras sobre como apelar da decisão (Va. Code § 59.1-577 B, 2).

O processo de apelação precisa resultar em resposta por escrito dentro de 60 dias. Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General da Virgínia.

## Proteção contra discriminação

O Va. Code § 59.1-578 A, 4 proíbe que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção são programas voluntários de fidelidade, recompensas, funcionalidades premium ou descontos que oferecem benefícios em troca do uso de dados, desde que o consumidor participe voluntariamente.

## Proteção especial para crianças e menores

O Va. Code § 59.1-578 F proíbe processar dados de crianças conhecidas menores de 13 anos para publicidade segmentada, venda de dados ou perfilamento com efeitos significativos.

Para plataformas de redes sociais, a partir de janeiro de 2026, a proteção se estende a menores de 16 anos, com limite de 1 hora de uso diário (Va. Code § 59.1-577.1).

Se o seu portal recebe solicitações de usuários nessas faixas etárias, o processo precisa ter tratamento diferenciado.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada (cumprida, recusada, ou alternativa adotada).

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Em caso de apelação: histórico completo e decisão final.

Essa documentação é o que protege a empresa em caso de investigação do Attorney General. Sem registro, não há como demonstrar que os processos foram cumpridos dentro dos prazos.

## O cure period e sua relação com os DSARs

Antes de iniciar qualquer ação, o Attorney General precisa enviar notificação com **30 dias de prazo** para a empresa corrigir a violação (Va. Code § 59.1-584 B). Se a empresa corrigir e fornecer declaração escrita de que as violações foram sanadas, nenhuma ação é iniciada.

Empresas sem processo estruturado para DSARs têm grande dificuldade de corrigir em 30 dias o que deveria ter sido implementado desde o início. O cure period é uma garantia, não uma estratégia de conformidade.

Se a violação continuar, as penalidades podem chegar a **US$ 7.500 por violação**, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade segmentada via Portal do Titular, o sistema atualiza automaticamente os disparadores de cookies e rastreadores.

O log auditável da AdOpt serve como evidência de que os processos foram cumpridos conforme determinado pela VCDPA. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a VCDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a VCDPA

**Canal de submissão de solicitações** sem exigência de criação de nova conta (Va. Code § 59.1-578 E).

**Cobertura dos 5 direitos** garantidos pela VCDPA: acesso, correção, exclusão, portabilidade e opt-out.

**Processo de apelação** conspicuamente disponível e comparável ao canal de submissão original (Va. Code § 59.1-577 C).

**Prazo de 45 dias** para resposta, com extensão de mais 45 com notificação quando necessário (Va. Code § 59.1-577 B, 1).

**Prazo de 60 dias** para resposta a apelações (Va. Code § 59.1-577 C).

**Processo de autenticação de identidade** com esforços comercialmente razoáveis (Va. Code § 59.1-577 B, 4).

**Atendimento gratuito duas vezes por ano** por consumidor (Va. Code § 59.1-577 B, 3).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Informação sobre como contatar o Attorney General** em caso de apelação negada (Va. Code § 59.1-577 C).

**Proteção contra discriminação** de consumidores que exercem seus direitos (Va. Code § 59.1-578 A, 4).

**Tratamento diferenciado** para dados de crianças menores de 13 anos (Va. Code § 59.1-578 F).

**Notificação a terceiros** quando aplicável para exclusão ou correção dos dados compartilhados.

## Comparativo: prazos do Portal do Titular na VCDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, correção, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (publicidade, venda, perfilamento) | 45 dias | +45 dias com notificação |
| Apelação de decisão | 60 dias | Não especificado |
| Cure period para violações | 30 dias garantidos | Não há extensão |

## FAQ: VCDPA e Portal do Titular

**1. A VCDPA exige obrigatoriamente um Portal do Titular dedicado?**
Não pelo nome. O Va. Code § 59.1-578 E exige que o controlador estabeleça e descreva na Política de Privacidade pelo menos um meio seguro e confiável para submissão de solicitações. Um Portal do Titular dedicado é a forma mais organizada de atender a esse requisito, mas um formulário de contato estruturado ou um e-mail monitorado também podem cumprir a exigência, desde que atendam aos critérios de segurança e confiabilidade.

**2. A VCDPA tem um prazo específico para cessar o processamento após opt-out?**
Não da mesma forma que a NHDPA, que especifica 15 dias. A VCDPA usa o critério "without undue delay" (sem demora indevida) para a resposta geral, com prazo máximo de 45 dias (Va. Code § 59.1-577 B, 1). Na prática, para opt-outs de publicidade segmentada, o esperado é que a cessação seja processada com a maior agilidade tecnicamente razoável, dentro do prazo de resposta formal.

**3. Quantas vezes por ano a empresa precisa atender gratuitamente?**
Duas vezes por ano por consumidor, conforme Va. Code § 59.1-577 B, 3. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar se a solicitação for manifestamente infundada, excessiva ou repetitiva. O ônus de provar o caráter excessivo é da empresa.

**4. O que acontece se a empresa não tiver processo para atender DSARs quando receber uma notificação do Attorney General?**
O Attorney General envia notificação com 30 dias de prazo para correção (Va. Code § 59.1-584 B). Se a empresa não implementar o processo dentro do prazo ou descumprir a declaração escrita de correção fornecida, o AG pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser uma violação separada, o que eleva o impacto financeiro rapidamente.

**5. Como a VCDPA trata dados de consumidores obtidos de terceiros no contexto de exclusão?**
O Va. Code § 59.1-577 B, 5 oferece uma alternativa específica para esse caso. A empresa que obteve dados de uma fonte que não o próprio consumidor pode cumprir o pedido de exclusão de duas formas: excluindo o dado de fato, ou retendo o mínimo necessário para garantir que o dado permaneça excluído das bases ativas e não seja usado para nenhuma finalidade além de garantir essa exclusão. Essa alternativa não existe na NHDPA nem em algumas outras leis estaduais americanas.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a VCDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Virginia VCDPA: DSAR Portal do Titular

A Florida Digital Bill of Rights (FDBR) garante sete direitos aos consumidores floridanos. Para cada um desses direitos, existe uma obrigação correspondente do seu lado: um canal para receber a solicitação, um prazo para responder, um processo de apelação estruturado, e documentação de todo o fluxo.

Esta página cobre uma parte do quadro. Para o escopo completo da FDBR — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da FDBR e cookies](https://goadopt.io/blog/fdbr-florida-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo cobre tudo isso: o que é uma DSAR sob a FDBR, quais são os sete direitos garantidos, como processar cada tipo de solicitação, os prazos específicos da lei, e o que acontece quando o processo não funciona como deveria.

## O que é uma DSAR sob a FDBR?

DSAR é a sigla para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. Na prática, é qualquer pedido formal de um consumidor floridano para exercer os direitos que a FDBR (§§ 501.701 a 501.721) garante sobre os próprios dados.

A FDBR garante sete direitos, dois dos quais são exclusivos desta lei. Isso significa que o Portal do Titular de uma empresa no escopo da FDBR precisa cobrir mais cenários do que portais configurados para a maioria das outras leis estaduais americanas.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A lógica é a mesma: o consumidor precisa de um canal funcional para exercer os direitos que a lei garante.

## Quais são os sete direitos dos consumidores sob a FDBR?

Conforme § 501.705(2), os residentes da Flórida têm os seguintes direitos:

### 1. Direito de acesso e confirmação

O consumidor pode confirmar se a empresa processa seus dados e obter uma cópia dos dados pessoais que ela mantém, conforme § 501.705(2)(a).

A resposta precisa ser fornecida em formato acessível.

### 2. Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza dos dados e os propósitos do processamento, conforme § 501.705(2)(b).

A empresa pode, se mantiver um mecanismo de autocorreção funcional, direcionar o consumidor a corrigir os dados por esse sistema. Mas precisa avisar o consumidor dessa opção dentro do prazo de resposta (§ 501.706(3)).

### 3. Direito de exclusão

O consumidor pode solicitar a exclusão de qualquer ou todos os dados fornecidos ou obtidos sobre ele, conforme § 501.705(2)(c).

A FDBR permite duas formas de cumprimento quando os dados foram obtidos de terceiros (§ 501.706(6)):

Excluir os dados, reter apenas o registro da solicitação e o mínimo necessário para garantir que o dado permaneça excluído, sem usar esses dados retidos para nenhuma outra finalidade.

Optar o consumidor para fora do processamento daquele dado para qualquer finalidade não isenta pela lei.

### 4. Direito de portabilidade

O consumidor pode obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável, se os dados estiverem disponíveis em formato digital, conforme § 501.705(2)(d).

### 5. Direito de opt-out de publicidade segmentada, venda de dados e perfilamento

O consumidor pode recusar o processamento de dados para publicidade segmentada, venda de dados, e perfilamento em apoio a decisões com efeitos legais ou igualmente significativos (§ 501.705(2)(e)).

### 6. Direito de opt-out de dados sensíveis e geolocalização

O consumidor pode exercer opt-out da coleta de dados sensíveis, incluindo dados de geolocalização precisa, ou do processamento de dados sensíveis, conforme § 501.705(2)(f).

Esse é um direito exclusivo da FDBR. Dados sensíveis incluem origem racial ou étnica, crenças religiosas, diagnóstico de saúde, orientação sexual, status de imigração, dados genéticos ou biométricos, dados de crianças conhecidas, e geolocalização precisa (§ 501.702(31)).

### 7. Direito de opt-out de reconhecimento de voz e facial

O consumidor pode exercer opt-out da coleta de dados via recursos de reconhecimento de voz ou facial, conforme § 501.705(2)(g).

Esse é o direito mais exclusivo da FDBR. Se a empresa opera tecnologias de reconhecimento de voz (assistentes virtuais, comandos por áudio) ou reconhecimento facial (verificação de identidade, análise de expressões), o consumidor tem o direito de recusar a coleta de dados via esses recursos.

### A proibição de vigilância por dispositivos

O § 501.705(3) vai além dos direitos de opt-out. Dispositivos com recursos de voz, vídeo, reconhecimento facial, áudio, ou outros sensores de coleta de dados não podem usar esses recursos para vigilância quando não estão em uso ativo pelo consumidor, a menos que ele tenha autorizado expressamente.

## Quais são os prazos para responder?

A FDBR tem prazos que diferem das outras leis estaduais americanas.

**45 dias** a partir do recebimento da solicitação autenticada para responder (§ 501.706(2)).

O prazo pode ser estendido **uma vez por 15 dias adicionais** quando razoavelmente necessário, considerando complexidade e número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa. O prazo de extensão da FDBR é de 15 dias, não 45 como em outras leis.

Após cumprir a solicitação, o controlador precisa fornecer **aviso ao consumidor dentro de 60 dias** confirmando o cumprimento (§ 501.706(4)).

**60 dias** para responder a apelações (§ 501.707(3)).

O atendimento é gratuito **pelo menos duas vezes por ano** por consumidor (§ 501.706(5)).

## Dois ou mais canais obrigatórios para submissão

O § 501.709 exige que o controlador estabeleça **dois ou mais métodos** para submissão de solicitações. Essa é uma exigência exclusiva da FDBR entre as leis estaduais americanas.

Os métodos precisam ser:

Seguros e confiáveis.

Claramente e conspicuamente acessíveis.

Adequados para as formas como os consumidores normalmente interagem com o controlador.

Capazes de suportar autenticação da identidade do consumidor.

Além disso, o controlador precisa obrigatoriamente disponibilizar um mecanismo no próprio site para submissão de solicitações (§ 501.709(3)). Empresas que operam exclusivamente online e têm relação direta com o consumidor podem adicionalmente aceitar solicitações por e-mail.

A empresa não pode exigir criação de nova conta para exercício de direitos. Pode exigir uso de conta existente.

## Como deve funcionar o direito de apelação

Conforme § 501.707, o controlador precisa estabelecer um processo de apelação que seja:

Conspicuamente disponível, fácil de encontrar.

Semelhante ao processo de submissão das solicitações originais.

Capaz de resultar em resposta por escrito dentro de **60 dias**, com a decisão e a justificativa.

A FDBR não menciona explicitamente que o consumidor deve ser informado sobre como contatar o Departamento de Assuntos Jurídicos após apelação negada, diferente da VCDPA. Mas a empresa deve informar os canais disponíveis ao consumidor para escalação.

## Verificação de identidade: como fazer sem criar barreiras

A empresa precisa verificar se quem está submetendo a solicitação é o titular dos dados. Mas o processo não pode ser uma barreira desproporcional.

Conforme § 501.706(3), se a empresa não consegue autenticar a solicitação, não é obrigada a cumpri-la, mas deve fazer esforços razoáveis para pedir informações adicionais razoavelmente necessárias.

Na prática:

Para dados de baixo risco: confirmação por e-mail pode ser suficiente.

Para dados sensíveis ou alto risco: segundo fator de verificação pode ser justificado.

O que nunca é aceitável: barreiras desproporcionais ao tipo de dado envolvido, exigência de criação de nova conta, ou solicitação de mais dados pessoais do que o necessário para autenticar.

## Gratuidade: pelo menos duas vezes por ano

O atendimento de solicitações é gratuito **pelo menos duas vezes por ano** por consumidor (§ 501.706(5)). Para solicitações além desse limite, ou que sejam manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável ou recusar. O ônus de demonstrar o caráter excessivo é do controlador.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso

Receba e autentique a identidade do titular.

Localize todos os dados pessoais que a empresa mantém sobre esse consumidor em todos os sistemas.

Prepare cópia em formato legível e acessível.

Inclua: categorias de dados, finalidades, terceiros que receberam os dados, período de retenção.

Envie dentro do prazo de 45 dias.

Envie aviso de cumprimento dentro de 60 dias (§ 501.706(4)).

### Solicitação de correção

Receba e autentique.

Identifique o dado impreciso e em quais sistemas está armazenado.

Corrija nos sistemas primários e, quando aplicável, notifique terceiros que receberam o dado.

Confirme ao consumidor que a correção foi realizada.

Se a empresa mantém mecanismo de autocorreção, pode dirigir o consumidor a ele, mas deve avisar dentro do prazo.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal que permite reter o dado.

Para dados obtidos de terceiros, escolha entre as duas opções do § 501.706(6): excluir de fato ou optar o consumidor para fora do processamento.

Notifique terceiros que receberam os dados quando aplicável.

Confirme ao consumidor.

### Solicitação de portabilidade

Receba e autentique.

Gere arquivo com os dados do consumidor em formato portátil, quando disponível em formato digital.

Entregue ao consumidor de forma segura dentro do prazo.

### Opt-out de publicidade segmentada e venda

Receba e autentique.

Cesse o processamento para publicidade segmentada, venda de dados e perfilamento com efeitos significativos sem demora indevida.

Configure os sistemas para garantir que esse consumidor não seja incluído nessas práticas.

Atenção: a continuação de venda ou compartilhamento de dados após opt-out sujeita a empresa à penalidade **triplicada** (§ 501.72(1)(c)).

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) integrada aos sistemas automatiza boa parte desse fluxo.

### Opt-out de dados sensíveis e geolocalização

Receba e autentique.

Identifique todos os pontos de coleta de dados sensíveis no site ou no produto.

Cesse a coleta de dados sensíveis para esse consumidor conforme solicitado.

Se a geolocalização precisa estava sendo coletada, garanta que essa coleta pare imediatamente.

### Opt-out de reconhecimento de voz e facial

Receba e autentique.

Identifique todos os recursos de coleta via voz e câmera no produto.

Configure o sistema para não coletar dados de reconhecimento de voz ou facial desse consumidor.

Documente a ação tomada.

## O que acontece quando a empresa nega um pedido?

A empresa pode negar uma solicitação quando:

Não consegue autenticar a identidade do consumidor com esforços razoáveis.

O pedido é manifestamente infundado ou excessivo.

Há exceção legal que justifica o processamento continuado.

Em todos os casos, a recusa precisa ser comunicada ao consumidor dentro do prazo de 45 dias (§ 501.706(3)), com:

A justificativa da recusa.

Instruções sobre como apelar da decisão.

O processo de apelação precisa resultar em resposta por escrito dentro de 60 dias.

## Proteção contra discriminação

O § 501.71(2)(c) proíbe que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção: programas de incentivo financeiro, incluindo pagamentos ao consumidor como compensação pelo processamento de dados, são permitidos se o consumidor der consentimento prévio claro sobre os termos, e desde que não sejam injustos, coercitivos ou abusivos.

## Proteção especial: "criança" é menor de 18 anos

A FDBR usa um limiar diferente de outras leis. "Criança conhecida" (§ 501.702(17)) é qualquer indivíduo menor de **18 anos** sobre cuja idade o controlador tem conhecimento real ou que deliberadamente desconsidera.

Um controlador que deliberadamente ignora a idade de um usuário é tratado como tendo conhecimento real dela.

Para solicitações de crianças conhecidas: os pais ou responsáveis legais podem exercer os direitos em nome da criança (§ 501.705(1)).

As penalidades por violações envolvendo crianças conhecidas são **triplicadas** automaticamente pela FDBR (§ 501.72(1)(a)).

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação (incluindo qual dos sete direitos foi exercido).

Processo de autenticação realizado.

Ação tomada.

Data do aviso de cumprimento enviado.

Em caso de recusa: justificativa registrada.

Em caso de apelação: histórico completo e decisão final.

Essa documentação é o que protege a empresa em caso de investigação do Departamento de Assuntos Jurídicos. As penalidades por falha em excluir ou corrigir dados após solicitação autenticada são triplicadas (§ 501.72(1)(b)).

## O cure period da FDBR e os DSARs

O Departamento de Assuntos Jurídicos pode conceder **45 dias para correção** antes de iniciar ação (§ 501.72(2)), mas esse prazo é **discricionário**, não garantido.

E há uma exceção crítica: **violações envolvendo crianças floridanas conhecidas não têm cure period disponível** (§ 501.72(2)). O Departamento pode iniciar ação imediata.

Empresas sem processo estruturado de DSAR quando recebem uma notificação do Departamento enfrentam grande dificuldade de corrigir em 45 dias o que deveria ter sido implementado desde o início.

## Como a AdOpt ajuda com o Portal do Titular sob a FDBR

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade segmentada, dados sensíveis ou reconhecimento de voz/facial via Portal do Titular, o sistema atualiza automaticamente os disparadores correspondentes.

O log auditável da AdOpt serve como evidência de que os processos foram cumpridos conforme determinado pela FDBR. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a FDBR? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a FDBR

**Dois ou mais canais de submissão** seguros e claramente acessíveis (§ 501.709).

**Mecanismo no site** para submissão de solicitações (§ 501.709(3)).

**Cobertura dos 7 direitos** garantidos pela FDBR, incluindo opt-out de dados sensíveis e reconhecimento de voz/facial.

**Processo de apelação** conspicuamente disponível e semelhante ao processo original (§ 501.707).

**Prazo de 45 dias** para resposta, com extensão de mais 15 dias quando necessário (§ 501.706(2)).

**Aviso de cumprimento** enviado ao consumidor dentro de 60 dias (§ 501.706(4)).

**Prazo de 60 dias** para resposta a apelações (§ 501.707(3)).

**Processo de autenticação** com esforços comercialmente razoáveis (§ 501.706(3)).

**Atendimento gratuito pelo menos duas vezes por ano** por consumidor (§ 501.706(5)).

**Registro documentado** de cada solicitação, incluindo o tipo de direito exercido.

**Tratamento diferenciado** para crianças conhecidas menores de 18 anos (§ 501.702(17)).

**Pais e responsáveis** podem exercer direitos em nome de crianças conhecidas (§ 501.705(1)).

**Proteção contra discriminação** de consumidores que exercem seus direitos (§ 501.71(2)(c)).

## Comparativo: prazos do Portal do Titular na FDBR

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Todos os 7 direitos | 45 dias | +15 dias (não +45) |
| Aviso de cumprimento | 60 dias após cumprimento | Não se aplica |
| Apelação de decisão | 60 dias | Não especificado |
| Cure period (violações gerais) | 45 dias (discricionário) | Não há extensão |
| Cure period (violações com crianças) | Não existe | Não há |

## FAQ: FDBR e Portal do Titular

**1. Por que a FDBR exige dois ou mais canais de DSAR enquanto outras leis exigem apenas um?**
O § 501.709 exige explicitamente dois ou mais métodos para submissão de solicitações, sinalizando que o legislador floridano considerou que um único canal pode não ser suficiente para atender a diferentes perfis de consumidores. Os métodos precisam ser seguros, confiáveis e claramente acessíveis, considerando as formas como os consumidores normalmente interagem com o controlador. Uma empresa pode usar, por exemplo, um formulário no site como primeiro canal e um endereço de e-mail dedicado como segundo.

**2. O prazo de extensão da FDBR é realmente apenas 15 dias adicionais?**
Sim. O § 501.706(2) permite extensão de apenas 15 dias adicionais além dos 45 dias iniciais. Outras leis estaduais como a VCDPA e a NHDPA permitem extensão de 45 dias adicionais. Isso significa que o prazo máximo total de resposta na FDBR é de 60 dias, versus até 90 dias em outras leis. As empresas no escopo da FDBR precisam ter processos mais ágeis para garantir conformidade.

**3. A FDBR tem cure period garantido como a VCDPA?**
Não. O cure period de 45 dias da FDBR é discricionário (§ 501.72(2)): o Departamento de Assuntos Jurídicos pode ou não concedê-lo, considerando o número e frequência das violações, a probabilidade substancial de dano ao público, e a segurança de pessoas ou bens. Além disso, violações envolvendo crianças floridanas conhecidas não têm cure period disponível. O AG pode iniciar ação imediata nesses casos.

**4. Como a FDBR trata crianças de forma diferente das outras leis no contexto de DSARs?**
A FDBR usa um limiar de 18 anos para "criança conhecida" (§ 501.702(17)), não 13 como a maioria das leis americanas. Pais e responsáveis podem exercer os sete direitos em nome de crianças conhecidas (§ 501.705(1)). Violações envolvendo crianças conhecidas não têm cure period e as penalidades são triplicadas automaticamente (§ 501.72(1)(a)). O controlador que deliberadamente desconsidera a idade do usuário é tratado como tendo conhecimento real dela.

**5. O que acontece se a empresa continuar vendendo dados após o consumidor exercer o opt-out?**
O § 501.72(1)(c) lista a continuação da venda ou compartilhamento de dados após opt-out do consumidor como uma das violações que resultam em penalidades **triplicadas**. Cada consumidor afetado pode ser contado como violação individual, o que eleva o impacto financeiro rapidamente. A penalidade base chega a US$ 50.000 por violação, triplicável para US$ 150.000. Para empresas com grande base de usuários, isso pode representar exposição financeira significativa.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a FDBR? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Florida FDBR: DSAR Portal do Titular

Montana MTCDPA: Política de Privacidade

Saiba o que é uma DSAR sob a CCPA/CPRA, quais são os direitos garantidos, como estruturar o Portal do Titular, os prazos exatos, e o que acontece quando a empresa não cumpre.

Esta página cobre uma parte do quadro. Para o escopo completo da CCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CCPA e cookies](https://goadopt.io/blog/ccpa-california-e-cookies-tudo-o-que-voce-precisa-saber/).

## O que é uma DSAR sob a CCPA/CPRA?

DSAR é a sigla para Data Subject Access Request, ou Solicitação do Consumidor na linguagem da CCPA. É qualquer pedido formal de um residente da Califórnia para exercer os direitos que a lei garante sobre os próprios dados.

Sob a CCPA/CPRA, o consumidor pode fazer solicitações verificáveis para exercer seis direitos principais, mais o direito de ação privada por violações de segurança, que tem fluxo próprio.

Se você já conhece a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura do Portal do Titular é familiar. A CCPA/CPRA usa o termo "verifiable consumer request" para descrever solicitações autenticadas.

## Quais são os direitos dos consumidores sob a CCPA/CPRA?

### 1. Direito de saber e acessar (§ 1798.110, 1798.115)

O consumidor pode solicitar que a empresa confirme se processa seus dados e divulgue:

As categorias de informações pessoais coletadas.

As categorias de fontes.

A finalidade comercial ou de negócios para coleta, venda ou compartilhamento.

As categorias de terceiros com quem os dados foram compartilhados.

As **peças específicas** de informações pessoais coletadas sobre o consumidor.

A resposta deve cobrir os **12 meses anteriores** ao recebimento da solicitação.

Se a empresa vende ou compartilha dados, a solicitação também cobre:

As categorias de dados vendidos ou compartilhados, por categoria de terceiro.

As categorias de dados divulgados para fins de negócios, separadamente.

### 2. Direito de exclusão (§ 1798.105)

O consumidor pode solicitar a exclusão de qualquer informação pessoal que a empresa coletou sobre ele.

A empresa deve excluir os dados dos próprios registros e **notificar prestadores de serviço, contratistas e terceiros** para também excluirem, a menos que isso seja impossível ou envolva esforço desproporcional.

A empresa pode manter um registro confidencial de solicitações de exclusão apenas para evitar que o dado do consumidor que pediu exclusão seja revendido.

Há exceções que permitem reter os dados mesmo após solicitação de exclusão, incluindo: completar transações em andamento, garantir segurança, depurar erros, exercer liberdade de expressão, cumprir a lei, realizar pesquisa pública aprovada, e cumprir obrigação legal.

### 3. Direito de correção (§ 1798.106)

Adicionado pela CPRA. O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas, considerando a natureza dos dados e os propósitos do processamento.

A empresa deve usar esforços comercialmente razoáveis para corrigir os dados conforme instruído pelo consumidor.

### 4. Direito de opt-out da venda e compartilhamento (§ 1798.120)

O consumidor pode, a qualquer momento, ordenar à empresa que não venda ou compartilhe suas informações pessoais com terceiros.

Após receber a direção do consumidor, a empresa não pode vender ou compartilhar os dados a menos que o consumidor posteriormente forneça consentimento.

A empresa deve aguardar pelo menos **12 meses** antes de solicitar novamente que o consumidor autorize a venda ou compartilhamento (§ 1798.135(c)(4)).

Para consumidores menores de 16 anos que não consentiram com a venda ou compartilhamento, a empresa deve aguardar pelo menos **12 meses** antes de solicitar o consentimento novamente, ou até o consumidor completar 16 anos (§ 1798.135(c)(5)).

### 5. Direito de limitar o uso de informações pessoais sensíveis (§ 1798.121)

Adicionado pela CPRA. O consumidor pode ordenar à empresa que limite o uso das informações pessoais sensíveis ao que é necessário para fornecer os produtos ou serviços razoavelmente esperados.

Após receber a direção do consumidor, a empresa não pode usar as informações sensíveis para outros fins a menos que o consumidor forneça novo consentimento.

### 6. Direito de não discriminação (§ 1798.125)

O consumidor não pode ser discriminado por exercer qualquer direito garantido pela CCPA/CPRA. A empresa não pode negar produtos ou serviços, cobrar preços diferentes, oferecer qualidade inferior, ou sugerir tratamento diferenciado.

A exceção são programas de incentivo financeiro voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam para a empresa.

### O direito de ação privada por violações de segurança (§ 1798.150)

Esse direito tem um fluxo diferente dos demais. O consumidor cujos dados não criptografados e não redigidos forem acessados ou expostos em uma violação de segurança pode entrar com ação judicial para recuperar de **US$ 100 a US$ 750** por consumidor por incidente, ou danos reais quando maiores, além de medidas cautelares.

Antes de iniciar qualquer ação por danos estatutários, o consumidor deve notificar a empresa por escrito com **30 dias de antecedência**, identificando as violações específicas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita de que não ocorrerão mais violações, nenhuma ação pode ser iniciada.

## Quais são os prazos para responder?

A CCPA/CPRA é específica nos prazos.

**45 dias** a partir do recebimento de uma solicitação verificável do consumidor (§ 1798.130(a)(2)(A)).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando a complexidade e o número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa e a razão do atraso (§ 1798.145(h)(1)).

O atendimento é gratuito. A empresa não é obrigada a atender ao mesmo consumidor mais de **duas vezes em um período de 12 meses** (§ 1798.130(b)).

## O que é uma "solicitação verificável do consumidor"?

A CCPA/CPRA usa o termo "verifiable consumer request" (§ 1798.140(ak)) para descrever solicitações que a empresa pode verificar que foram feitas pelo próprio consumidor, por um filho menor, por representante autorizado, ou por detentor de procuração.

A empresa pode autenticar a solicitação usando métodos comercialmente razoáveis. Pode exigir autenticação proporcional à natureza das informações solicitadas, mas não pode exigir que o consumidor crie uma nova conta para fazer a solicitação. Se o consumidor já tem conta, pode exigir o uso dela.

Os dados coletados para verificação de identidade só podem ser usados para essa finalidade, não para outros propósitos (§ 1798.130(a)(7)).

## Como deve ser o canal para submissão de solicitações

O § 1798.130(a)(1) exige dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um **número de telefone gratuito**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

Se a empresa mantém um site, deve disponibilizá-lo como canal de submissão.

A empresa não pode exigir que o consumidor crie uma nova conta, mas pode exigir uso de conta existente.

Um Portal do Titular estruturado oferece:

Formulário de submissão com categorias claras (saber/acessar, excluir, corrigir, opt-out de venda/compartilhamento, limitar uso de dados sensíveis).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento.

Registro de cada solicitação, ação tomada e resposta enviada.

## Solicitações de representantes autorizados

O consumidor pode autorizar outra pessoa a exercer os direitos em seu nome, incluindo por meio do sinal de preferência de opt-out do GPC (§ 1798.135(e)).

Um agente autorizado pode submeter solicitações. A empresa pode exigir prova de que o agente foi devidamente autorizado pelo consumidor.

Pais ou responsáveis podem exercer direitos em nome de filhos menores.

## Gratuidade: o que a lei determina

O atendimento é gratuito (§ 1798.130(a)(2)(A)). Mas a empresa não é obrigada a fornecer as mesmas informações ao mesmo consumidor mais de **duas vezes em um período de 12 meses** (§ 1798.130(b)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar. O ônus de demonstrar o caráter excessivo é da empresa (§ 1798.145(h)(3)).

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e informação

Receba e autentique a identidade do consumidor.

Localize todos os dados pessoais coletados sobre esse consumidor nos 12 meses anteriores em todos os sistemas.

Prepare resposta cobrindo: categorias de dados, categorias de fontes, finalidades, categorias de terceiros, e as peças específicas de informação.

Se a empresa vendeu ou compartilhou dados: liste por categoria de dado e categoria de terceiro (em listas separadas para "vendidos/compartilhados" e "divulgados para fins de negócios").

Entregue em formato prontamente utilizável que permita transmissão de uma entidade para outra sem obstáculos.

Envie dentro do prazo de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal que permita reter os dados.

Se não houver exceção: exclua dos próprios registros e notifique prestadores de serviço, contratistas e terceiros para também excluírem.

Mantenha apenas o registro confidencial da solicitação para evitar futura revenda.

Confirme ao consumidor.

### Solicitação de correção

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Use esforços comercialmente razoáveis para corrigir conforme instruído pelo consumidor.

Confirme a correção.

Se a solicitação for de correção de informações de saúde e a empresa rejeitar por considerar os dados precisos, o consumidor tem o direito de incluir um adendo de até 250 palavras ao registro.

### Solicitação de opt-out de venda e compartilhamento

Receba a solicitação (pode ser via link "Do Not Sell or Share", via GPC, ou via representante autorizado).

Cesse imediatamente a venda e o compartilhamento dos dados desse consumidor.

Não solicite novamente o consentimento por pelo menos 12 meses.

Notifique quaisquer terceiros que receberam os dados recentemente sobre o opt-out.

### Solicitação de limitação de uso de dados sensíveis

Receba via link "Limit the Use of My Sensitive Personal Information" ou outro mecanismo.

Cesse o uso das informações pessoais sensíveis do consumidor para fins além do necessário para fornecer os produtos ou serviços razoavelmente esperados.

Notifique prestadores de serviço sobre a limitação para que também cessem usos não autorizados.

## Proteção contra discriminação

O § 1798.125 proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. A empresa não pode:

Negar produtos ou serviços.

Cobrar preços ou taxas diferentes.

Fornecer qualidade diferente de produtos ou serviços.

Sugerir que o consumidor receberá tratamento diferenciado.

Retaliar funcionários, candidatos a emprego, ou contratistas independentes que exercem seus direitos.

A exceção são programas de incentivos financeiros voluntários. A empresa pode oferecer compensação financeira, descontos ou benefícios em troca do uso dos dados, desde que o consumidor consinta expressamente e os incentivos não sejam injustos, irrazoáveis, coercitivos ou abusivos.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA ou do Attorney General.

## A fiscalização compartilhada: CPPA e Attorney General

A **California Privacy Protection Agency (CPPA)** tem poder administrativo para:

Investigar empresas por conta própria ou com base em reclamações.

Aplicar multas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores.

O **Attorney General da Califórnia** pode buscar penalidades civis nos mesmos valores em ação civil.

Não há prazo garantido de correção antes de ações da CPPA. A agência decide por discricionariedade se e quando inicia uma investigação.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e limitação de uso com timestamp e identificador único. Quando o consumidor exerce o opt-out de venda e compartilhamento, o sistema atualiza automaticamente os rastreadores correspondentes.

O GPC é respeitado automaticamente. O log auditável da AdOpt serve como evidência de conformidade. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CCPA/CPRA

**Dois ou mais métodos de submissão**, incluindo número de telefone gratuito (§ 1798.130(a)(1)).

**Site disponível** como canal de submissão se a empresa mantém um site.

**Cobertura dos 6 direitos** da CCPA/CPRA: acesso/informação, exclusão, correção, opt-out de venda/compartilhamento, limitação de dados sensíveis, e não discriminação.

**Lookback de 12 meses** para solicitações de acesso (§ 1798.130(a)(2)(B)).

**Prazo de 45 dias** para resposta, com extensão de +45 dias com notificação (§ 1798.130(a)(2)(A)).

**Atendimento gratuito** mas limitado a duas vezes por consumidor em 12 meses (§ 1798.130(b)).

**Processo de autenticação** proporcional à natureza dos dados, sem exigência de nova conta.

**Aceitação de solicitações de representantes** autorizados, incluindo pais de menores.

**Link "Do Not Sell or Share My Personal Information"** no site quando há venda ou compartilhamento.

**Link "Limit the Use of My Sensitive Personal Information"** quando aplicável.

**Respeito ao GPC** quando enviado pelo usuário.

**Prazo de 12 meses** antes de solicitar novamente consentimento após opt-out.

**Notificação de terceiros** para exclusão dos dados quando a solicitação de exclusão é atendida.

**Registro confidencial** de solicitações de exclusão para garantir não-revenda.

**Documentação** de cada solicitação, ação e resposta.

## Comparativo: prazos do Portal do Titular na CCPA/CPRA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso/informação, exclusão, correção | 45 dias | +45 dias com notificação |
| Opt-out de venda/compartilhamento | Imediato após recebimento | Não se aplica |
| Limitação de dados sensíveis | Imediato após recebimento | Não se aplica |
| Recontato após opt-out | 12 meses mínimo | Não há extensão |
| Notificação pré-ação privada (segurança) | 30 dias para empresa corrigir | Não há extensão |

## FAQ: CCPA/CPRA e Portal do Titular

**1. A CCPA exige um número de telefone gratuito para o Portal do Titular?**
Sim. O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito. A exceção são empresas que operam exclusivamente online com relação direta com o consumidor, que podem se limitar a um endereço de e-mail. Para a maioria das empresas com um site, o número gratuito é obrigatório.

**2. O que é o "lookback de 12 meses" e como ele afeta as solicitações de acesso?**
O § 1798.130(a)(2)(B) determina que a resposta a uma solicitação de acesso deve cobrir os 12 meses anteriores ao recebimento da solicitação. Isso significa que o Portal do Titular precisa ser capaz de recuperar dados coletados nos 12 meses anteriores à data de cada solicitação, o que exige sistemas de rastreamento e retenção adequados.

**3. Quantas vezes por ano a empresa precisa atender gratuitamente?**
Duas vezes em um período de 12 meses por consumidor, conforme § 1798.130(b). Para solicitações além desse limite, ou que sejam manifestamente infundadas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar, demonstrando o caráter excessivo.

**4. Como funciona o direito de ação privada na CCPA e o que o Portal do Titular tem a ver com isso?**
O § 1798.150 garante ao consumidor o direito de entrar com ação por violações de segurança de dados. Antes de iniciar ação por danos estatutários, o consumidor deve notificar a empresa por escrito com 30 dias de antecedência. O Portal do Titular deve ser o canal por onde essas notificações são recebidas e processadas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita adequada, nenhuma ação pode ser iniciada.

**5. A empresa precisa notificar terceiros quando atende a uma solicitação de exclusão?**
Sim. O § 1798.105(c)(1) exige que a empresa notifique qualquer prestador de serviço ou contratista para excluir os dados, e também notifique todos os terceiros para quem os dados foram vendidos ou compartilhados, a menos que isso seja impossível ou envolva esforço desproporcional. A empresa também pode manter um registro confidencial da solicitação de exclusão apenas para garantir que os dados do consumidor que pediu exclusão não sejam revendidos.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA: DSAR Portal do Titular

O Colorado tem uma exigência que muda a equação para qualquer site com usuários no estado.

Esta página cobre uma parte do quadro. Para o escopo completo da CPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPA e cookies](https://goadopt.io/blog/cpa-colorado-e-cookies-tudo-o-que-voce-precisa-saber/).

A partir de **1º de julho de 2024**, se o seu site processa dados para publicidade segmentada ou vende dados pessoais, ele precisa detectar e honrar automaticamente o **Universal Opt-Out Mechanism** (UOM). Isso inclui o Global Privacy Control (GPC) e outros mecanismos reconhecidos pelo Colorado Department of Law.

Não é opcional. Não é uma boa prática recomendada. É obrigação legal sob a Colorado Privacy Act (CPA, C.R.S. § 6-1-1301 et seq.), complementada pelas Colorado Privacy Act Rules (4 CCR 904-3).

Este artigo foca exclusivamente no que a CPA e suas regulamentações exigem da Política de Cookies: o que o documento precisa conter, como o consentimento e o opt-out precisam funcionar, e o que o Universal Opt-Out Mechanism implica para cada rastreador do seu site.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é a interface visual. É o que o visitante vê ao acessar o site e onde faz escolhas sobre o que aceita.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia que opera no site.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa ser acessível pelo link no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a CPA exige especificamente para cookies

### Finalidade específica para cada categoria

O C.R.S. § 6-1-1308(1)(a)(II) exige que o aviso de privacidade descreva as finalidades para as quais cada categoria de dados é processada. As regulamentações (4 CCR 904-3, Regra 6.06) exigem especificidade.

Para cookies, isso significa que cada categoria precisa ter uma descrição de finalidade que o consumidor realmente entenda.

O que não funciona: "cookies para melhorar sua experiência". Não é uma finalidade.

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Os dados são processados por nossos sistemas internos e não são vendidos nem usados para publicidade segmentada."

"Cookies de publicidade: coletam identificadores de comportamento que são compartilhados com plataformas de anúncios para publicidade segmentada em outros sites e aplicações não afiliados. Incluem pixels de Meta Ads, Google Ads. Os consumidores podem exercer o opt-out através do link em nossa Política de Privacidade ou via Universal Opt-Out Mechanism."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores:

**Cookies necessários:** essenciais para funcionamento básico. Não configuram publicidade segmentada ou venda. Precisam ser documentados.

**Cookies de analytics:** dependem da configuração. Se os dados ficam internos, geralmente não configuram publicidade segmentada. Se forem enviados a terceiros para targeting, configuram.

**Cookies de publicidade:** quase sempre configuram publicidade segmentada sob a CPA, que define publicidade segmentada como anúncios baseados em dados "obtidos ou inferidos ao longo do tempo das atividades do consumidor em sites, aplicações ou serviços não afiliados" (C.R.S. § 6-1-1303(25)(a)).

**Cookies funcionais:** lembram preferências. Geralmente não configuram publicidade segmentada ou venda.

**Cookies de terceiros:** disparados por serviços externos. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um.

### Publicidade segmentada: a definição da CPA

A CPA define publicidade segmentada (C.R.S. § 6-1-1303(25)(a)) como a exibição de anúncios baseados em dados obtidos ou inferidos ao longo do tempo das atividades do consumidor em **sites, aplicações ou serviços não afiliados**.

O que não configura publicidade segmentada:

Publicidade em resposta a uma solicitação específica do consumidor.

Anúncios baseados em atividades dentro dos próprios sites ou aplicações do controlador.

Anúncios baseados no contexto da busca atual, visita a site ou aplicação.

Processamento de dados apenas para medir ou reportar desempenho, alcance ou frequência de anúncios.

### Venda de dados

A CPA define venda (C.R.S. § 6-1-1303(23)(a)) como a troca de dados pessoais por contrapartida monetária ou outro valor valioso por um controlador a um terceiro.

O segundo critério do threshold da CPA já sinaliza essa amplitude: inclui "receber desconto no preço de bens ou serviços" da venda de dados. Acordos onde o controlador troca dados por benefícios econômicos indiretos podem configurar venda.

### Com quem os dados de cookies são compartilhados

O aviso precisa identificar as categorias de terceiros que recebem dados via cookies (C.R.S. § 6-1-1308(1)(a)(V)), com nível de detalhe que dê ao consumidor compreensão do tipo de empresa ou modelo de negócio (4 CCR 904-3, Regra 6.03(A)(1)(e)).

Isso significa que não basta dizer "parceiros de publicidade". O aviso deve descrever, por exemplo: "plataformas de anúncios digitais que usam os dados para publicidade comportamental contextual cruzada", "data brokers", "plataformas de analytics que processam dados de comportamento de navegação".

### O Universal Opt-Out Mechanism e cookies

Essa é a exigência mais importante da CPA para o contexto de cookies. A partir de **1º de julho de 2024**, o controlador que processa dados para publicidade segmentada ou vende dados **deve** aceitar opt-outs exercidos via UOM (C.R.S. § 6-1-1306(1)(a)(IV)(B)).

Na prática para cookies: quando um usuário acessa o site com o GPC ativado em seu navegador, o site precisa interpretar esse sinal como opt-out de publicidade segmentada e venda de dados, e bloquear automaticamente os rastreadores correspondentes.

As regulamentações (4 CCR 904-3, Regra 5.08(A)) detalham:

Após receber um opt-out válido via UOM, o controlador deve continuar tratando o navegador, dispositivo e consumidor como tendo exercido o opt-out até que o consumidor consinta novamente.

O controlador não pode exigir que o consumidor faça login como condição para reconhecer o UOM.

O controlador pode exibir conspicuamente quando o sinal de opt-out foi honrado (ex: "Opt-Out Preference Signal Honored").

A Política de Cookies deve descrever como o UOM é processado e o que acontece quando um consumidor envia esse sinal.

### Período de retenção de cada categoria

O dever de minimização de dados (C.R.S. § 6-1-1308(3)) e as regulamentações (4 CCR 904-3, Regra 6.07) exigem que os dados sejam mantidos apenas pelo tempo necessário para a finalidade especificada.

Para cookies: documentar por quanto tempo cada cookie fica ativo no dispositivo e por quanto tempo os dados coletados ficam nos sistemas. Dados biométricos e fotografias armazenadas precisam ser revisados pelo menos uma vez por ano para verificar se o armazenamento ainda é necessário (4 CCR 904-3, Regra 6.07(B)(2)).

## O que é consentimento válido para cookies sob a CPA

O C.R.S. § 6-1-1303(5) define consentimento como um ato afirmativo claro, livre, específico, informado e inequívoco.

O padrão correto: cookies não essenciais desligados por padrão. O usuário escolhe o que ativa.

O que não é consentimento válido: aceitar termos gerais com descrições de processamento misturadas a outras informações, passar o mouse sobre ou fechar um conteúdo, e qualquer concordância por dark patterns.

### Dark patterns: a proibição detalhada no Colorado

As regulamentações do Colorado têm a descrição mais detalhada de dark patterns entre todas as leis estaduais americanas (4 CCR 904-3, Regra 7.09). São proibidos:

Apresentar as opções de escolha com peso ou destaque desigual (botão "aceitar" maior, em cor mais viva, ou mais proeminente que "recusar").

Linguagem emocionalmente manipuladora para coagir a escolha (ex: "Sim, quero ajudar espécies em extinção" vs "Não, não me importo com animais").

Silêncio ou inação interpretados como consentimento (fechar uma janela não é consentimento).

Opções de escolha com padrão pré-selecionado.

Caminho para exercer a opção mais protetora de privacidade mais longo ou difícil que o caminho para aceitar.

Interrupção repetida da experiência do usuário para solicitar consentimento após recusa.

Linguagem enganosa, duplas negações, ou sintaxe confusa nas opções de escolha.

## Proteção para dados de crianças via cookies

A CPA define "criança" como indivíduo menor de 13 anos (C.R.S. § 6-1-1303(4)). Dados de crianças conhecidas são dados sensíveis e precisam de consentimento parental antes do processamento (C.R.S. § 6-1-1308(7)).

As regulamentações (4 CCR 904-3, Regra 7.06) detalham os métodos de obtenção de consentimento parental verificável, incluindo: formulários assinados retornados por correio ou fax, transação financeira com notificação ao titular da conta, ligação para número gratuito com pessoal treinado, ou videoconferência.

Se o site pode ter usuários menores de 13 anos, a Política de Cookies precisa descrever como cookies são bloqueados para esse público.

## Quando atualizar a Política de Cookies

As regulamentações (4 CCR 904-3, Regra 6.04) exigem notificação dos consumidores sobre mudanças materiais. Para cookies, situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador de terceiros.

Nova ferramenta de analytics.

Novo parceiro que recebe dados de comportamento.

Mudança no uso de dados de cookies para novas finalidades.

Adição de um novo mecanismo reconhecido de UOM à lista do Colorado Department of Law (que exige que o site comece a reconhecê-lo em até 6 meses).

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém o inventário de cookies sincronizado com o documento.

## Fiscalização: AG e District Attorneys

As violações da CPA são tratadas como práticas comerciais enganosas pelo **Attorney General** e pelos **District Attorneys** do Colorado. Não há direito de ação privada (C.R.S. § 6-1-1310).

O cure period de 60 dias foi revogado em 1º de janeiro de 2025. A partir de 2025, o AG e os DAs podem agir sem garantia de prazo prévio de correção.

## Como a AdOpt ajuda com a Política de Cookies sob a CPA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, detecta e honra o GPC e outros UOMs automaticamente, oferece opções reais de escolha sem dark patterns, e documenta cada interação por 24 meses.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a CPA

**Link visível** no rodapé e no próprio banner de cookies.

**Listagem de categorias de cookies** com descrição específica de cada uma.

**Finalidade específica para cada categoria**, sem descrições vagas.

**Indicação se os dados de cada categoria são vendidos ou usados para publicidade segmentada** (4 CCR 904-3, Regra 6.03(A)(1)(c)).

**Categorias de terceiros** que recebem dados, com nível de detalhe do tipo/modelo de negócio.

**Método de opt-out claro e conspícuo** dentro e fora do aviso (4 CCR 904-3, Regra 4.03(B)).

**Universal Opt-Out Mechanism** reconhecido: descrição de como o GPC e outros UOMs são processados (obrigatório desde julho de 2024).

**Período de retenção** de cada categoria de cookie.

**Cookies não essenciais desativados por padrão**, sem dark patterns (4 CCR 904-3, Regra 7.09).

**Proteção para crianças menores de 13 anos** com bloqueio de rastreadores sem consentimento parental.

**Data da última atualização** do documento.

**Idioma acessível**, sem juridiquês.

**Ausência de cookie wall**.

## FAQ: CPA e Política de Cookies

**1. O que é o Universal Opt-Out Mechanism e por que ele é obrigatório no Colorado?**
O UOM é um mecanismo (como o GPC) que permite ao consumidor comunicar automaticamente a escolha de opt-out de publicidade segmentada e venda de dados para múltiplos controladores simultaneamente. A partir de julho de 2024, o C.R.S. § 6-1-1306(1)(a)(IV)(B) tornou obrigatório que controladores que processam dados para publicidade segmentada ou venda aceitem e honrem esses sinais. O Colorado foi o primeiro estado americano a exigir isso por lei.

**2. Como devo configurar o site para reconhecer o GPC como UOM?**
As regulamentações (4 CCR 904-3, Regra 5.08) determinam que quando um sinal de UOM válido é recebido, o controlador deve imediatamente cessar o processamento para as finalidades de opt-out indicadas. O controlador não pode exigir login para reconhecer o sinal, não pode coletar dados além do necessário para autenticar que é um residente do Colorado, e pode exibir na tela quando o sinal foi honrado. Uma plataforma de gestão de consentimentos integrada automatiza esse reconhecimento.

**3. O que acontece se o consumidor envia o GPC e o site continua rastreando para publicidade?**
É uma violação direta do C.R.S. § 6-1-1306(1)(a)(IV)(B). O AG ou District Attorney pode investigar e, a partir de 2025, agir sem garantia de prazo de cura. As regulamentações (4 CCR 904-3, Regra 5.08(A)(2)) esclarecem que o controlador deve continuar tratando o navegador e o consumidor como tendo exercido opt-out até que o consumidor consinta novamente voluntariamente.

**4. Cookies de analytics precisam de opt-out sob a CPA?**
Depende de como os dados são usados. Se os dados de analytics ficam internos e não são enviados a terceiros para targeting em outros sites, geralmente não configuram publicidade segmentada. Mas se a ferramenta de analytics envia dados ao provedor que os usa para anúncios em outros sites, pode configurar. O critério da CPA é "atividades em sites não afiliados" (C.R.S. § 6-1-1303(25)(a)).

**5. Como a proibição de dark patterns do Colorado se aplica ao banner de cookies?**
As regulamentações (4 CCR 904-3, Regra 7.09) são detalhadas: o botão "aceitar" e o botão "recusar" precisam ter mesmo destaque visual (tamanho, cor, posição). O caminho para recusar não pode ser mais longo ou difícil. Opções pré-selecionadas são proibidas. Reaparecer repetidamente após o consumidor recusar é proibido. Cookie walls bloqueando conteúdo até aceitar podem ser proibidos se o consentimento não for estritamente necessário para o serviço.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Colorado CPA: Política de Cookies

A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem um requisito específico para o aviso de privacidade que não aparece com essa clareza em outras leis estaduais americanas: o aviso deve incluir um **endereço de e-mail ativo** ou outro mecanismo online que o consumidor pode usar para contatar o controlador.

Esta página cobre uma parte do quadro. Para o escopo completo da CTDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CTDPA e cookies](https://goadopt.io/blog/ctdpa-connecticut-e-cookies-tudo-o-que-voce-precisa-saber/).

Parece simples. Mas é uma exigência explícita que muitas empresas ignoram ao estruturar suas políticas de privacidade para conformidade com outras legislações.

Este artigo foca exclusivamente no que a CTDPA exige da Política de Privacidade, com base no texto oficial da lei.

## O que a CTDPA chama de Privacy Notice

A lei usa o termo "privacy notice", aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem, mas com elementos de conteúdo específicos da CTDPA.

A Seção 6(c) determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível, claro e significativo".

## O que precisa estar na Política de Privacidade sob a CTDPA

### 1. Categorias de dados pessoais processados

O aviso deve listar as categorias de dados pessoais processados pelo controlador (Seção 6(c)(1)).

As categorias precisam ser descritas com clareza suficiente para que o consumidor entenda quais tipos de dados estão sendo coletados. Isso inclui identificadores, dados comportamentais, dados de geolocalização, dados de comunicação, e, especialmente, se houver dados sensíveis na lista.

Dados sensíveis sob a CTDPA (Seção 1(27)) incluem: origem racial ou étnica, crenças religiosas, saúde física ou mental, vida sexual, orientação sexual, cidadania ou status de imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e dados de geolocalização precisa. Se qualquer uma dessas categorias é coletada, precisa estar explicitamente listada.

### 2. A finalidade para o processamento

O aviso deve explicar para quê os dados são utilizados (Seção 6(c)(2)).

A finalidade precisa ser específica o suficiente para que o consumidor entenda o propósito real. A CTDPA proíbe o processamento para finalidades incompatíveis com as declaradas, salvo com consentimento (Seção 6(a)(2)).

Se os dados forem usados para publicidade segmentada ou venda, a Seção 6(d) exige divulgação clara e conspícua específica sobre esse uso, junto com o método de opt-out. Isso pode estar integrado ao aviso de privacidade ou ser complementado por uma seção específica.

### 3. Como os consumidores exercem os direitos e fazem apelações

O aviso deve descrever como os consumidores podem exercer os cinco direitos garantidos pela CTDPA, incluindo como apelar de uma decisão do controlador (Seção 6(c)(3)).

Os cinco direitos cobertos são: acesso e confirmação, correção, exclusão, portabilidade, e opt-out de publicidade segmentada, venda de dados, e perfilamento exclusivamente automatizado.

Para o exercício dos direitos, a Seção 6(e)(1) exige que o controlador estabeleça um ou mais meios seguros e confiáveis, descritos no aviso de privacidade, que levem em conta:

As formas como os consumidores normalmente interagem com o controlador.

A necessidade de comunicação segura e confiável das solicitações.

A capacidade do controlador de verificar a identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta, mas pode exigir uso de conta existente.

### 4. Categorias de dados compartilhados com terceiros

O aviso deve identificar as categorias de dados pessoais que o controlador compartilha com terceiros (Seção 6(c)(4)).

Isso inclui plataformas de analytics, ferramentas de publicidade, CRMs, processadores de pagamento, e qualquer serviço externo que receba dados dos usuários. "Terceiro" na CTDPA (Seção 1(29)) exclui o próprio consumidor, o controlador, o operador, e os afiliados do controlador ou do operador.

### 5. Categorias de terceiros com quem os dados são compartilhados

Além das categorias de dados, o aviso deve identificar as categorias de terceiros que os recebem (Seção 6(c)(5)).

Categorias como "plataformas de anúncios digitais", "ferramentas de analytics", "CRMs de marketing" e "processadores de pagamento" são exemplos válidos. As categorias precisam ser identificáveis o suficiente para o consumidor entender quem acessa os dados.

### 6. E-mail ativo ou mecanismo online de contato

O aviso deve incluir um endereço de e-mail ativo ou outro mecanismo online que o consumidor pode usar para contatar o controlador (Seção 6(c)(6)).

Essa exigência é explícita e específica da CTDPA. O consumidor precisa ter um meio de contato direto com o controlador disponível no próprio aviso de privacidade. Não basta listar direitos e processos se não há como o consumidor entrar em contato de forma prática.

## Divulgação de publicidade segmentada e venda de dados

Se o controlador vende dados pessoais a terceiros ou os processa para publicidade segmentada, a Seção 6(d) exige divulgação clara e conspícua dessa prática, junto com o método para exercer o opt-out.

Publicidade segmentada na CTDPA (Seção 1(28)) são anúncios baseados em dados de atividades do consumidor ao longo do tempo em sites ou aplicações **não afiliados**. Anúncios contextuais, anúncios baseados no próprio site, e anúncios em resposta a pedido do consumidor não configuram publicidade segmentada.

## O link de opt-out obrigatório no site

Além do aviso de privacidade, a Seção 6(e)(1)(A)(i) exige que o controlador disponibilize um link claro e conspícuo no seu site para uma página que permita ao consumidor exercer o opt-out de publicidade segmentada ou venda de dados.

Esse link precisa ser visível na página, não enterrado em menus ou rodapés obscuros.

## O opt-out preference signal a partir de janeiro de 2025

A Seção 6(e)(1)(A)(ii) exige que a partir de **1º de janeiro de 2025**, o controlador que processa para publicidade segmentada ou vende dados permita opt-out via sinal de opt-out enviado com o consentimento do consumidor.

O mecanismo não pode ser configuração padrão: deve representar escolha afirmativa, livre e inequívoca do consumidor. O Global Privacy Control (GPC) é o mecanismo mais conhecido que atende a esses critérios.

A Política de Privacidade deve informar se o site respeita esses sinais e como funcionam.

## Proteção para dados sensíveis

Dados sensíveis precisam de consentimento antes do processamento. A Política deve identificar explicitamente:

Se alguma categoria de dados sensíveis é coletada.

Para que finalidade específica esses dados sensíveis são usados.

Como o consentimento é obtido e pode ser revogado.

O mecanismo de revogação deve ser pelo menos tão fácil quanto o de fornecimento. E após a revogação, o processamento deve cessar em no máximo **15 dias**.

## Proteção especial para adolescentes de 13 a 15 anos

Se o site pode ter usuários com idades entre 13 e 15 anos, a Política de Privacidade deve descrever como a empresa obtém consentimento antes de processar dados para publicidade segmentada ou venda (Seção 6(a)(7)).

O controlador que tem conhecimento real e deliberadamente desconsidera que um usuário está nessa faixa etária está sujeito às sanções da lei.

## O direito de portabilidade e os segredos comerciais

A CTDPA tem uma cláusula específica para portabilidade (Seção 4(a)(4)): o controlador não é obrigado a revelar segredos comerciais ao fornecer dados em formato portátil. A Política pode mencionar essa limitação para definir expectativas do consumidor.

## O direito de apelação: 60 dias, não 45

O prazo de resposta à apelação na CTDPA é de **60 dias** (Seção 4(d)), não 45 como o prazo inicial para solicitações. A Política de Privacidade deve descrever esse processo de apelação com o prazo correto.

Se a apelação for negada, o controlador deve fornecer ao consumidor mecanismo online ou outro método para contatar o Attorney General e registrar reclamação.

## O dever de não discriminar

A Seção 6(a) proíbe expressamente que o controlador discrimine consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade, recompensas, funcionalidades premium, descontos ou cartão de clube onde o consumidor voluntariamente participa.

## Fiscalização e penalidades

As violações da CTDPA são tratadas como práticas comerciais desleais pelo **Attorney General do Connecticut**. Não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode ou não conceder prazo de correção antes de agir.

## Como a AdOpt apoia a conformidade com a CTDPA

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de consentimento e opt-out funciona conforme descrito, que o GPC é honrado a partir de janeiro de 2025, e que a revogação de consentimento é processada dentro de 15 dias.

O registro de cada interação fica documentado. Se o AG pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a CTDPA

**Link visível e acessível** em todas as páginas do site.

**Categorias de dados pessoais processados**, incluindo dados sensíveis se coletados (Seção 6(c)(1)).

**Finalidade para o processamento** de cada categoria (Seção 6(c)(2)).

**Como exercer todos os 5 direitos** garantidos pela CTDPA, com processos e prazos (Seção 6(c)(3)).

**Processo de apelação** com prazo de **60 dias** (não 45) (Seção 4(d)).

**Categorias de dados compartilhados com terceiros** (Seção 6(c)(4)).

**Categorias de terceiros** que recebem dados (Seção 6(c)(5)).

**Endereço de e-mail ativo ou mecanismo online** de contato com o controlador (Seção 6(c)(6)).

**Divulgação de publicidade segmentada ou venda** com opt-out acessível (Seção 6(d)).

**Link claro e conspícuo** para opt-out de publicidade segmentada/venda no site (Seção 6(e)(1)(A)(i)).

**Opt-out preference signal**: declaração de como o GPC é processado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

**Tratamento de dados sensíveis** com como o consentimento é obtido e revogado.

**Prazo de 15 dias** para honrar revogação de consentimento mencionado (Seção 6(a)(6)).

**Proteção para adolescentes de 13 a 15 anos** descrita (Seção 6(a)(7)).

**Política de não discriminação** para consumidores que exercem direitos (Seção 6(a)).

## FAQ: CTDPA e Política de Privacidade

**1. Por que a CTDPA exige e-mail ativo ou mecanismo online na Política de Privacidade?**
A Seção 6(c)(6) exige especificamente que o aviso de privacidade inclua um endereço de e-mail ativo ou outro mecanismo online que o consumidor pode usar para contatar o controlador. Isso garante que o consumidor tenha um canal de comunicação direta disponível no próprio documento de privacidade, não apenas processos abstratos de exercício de direitos.

**2. Qual é a diferença entre o prazo de resposta a solicitações e a apelações na CTDPA?**
Para solicitações iniciais: 45 dias, extensível por mais 45 (Seção 4(c)(1)). Para apelações: 60 dias, sem extensão mencionada (Seção 4(d)). A Política de Privacidade deve descrever os dois prazos corretamente, pois a maioria das leis usa o mesmo prazo para os dois.

**3. A Política de Privacidade precisa mencionar o prazo de 15 dias para revogação de consentimento?**
Sim. A Seção 6(a)(6) exige que o controlador cesse o processamento no máximo em 15 dias após a revogação do consentimento. Como isso é único entre as leis estaduais americanas, é importante mencionar explicitamente esse prazo na Política para que o consumidor saiba o que esperar.

**4. O que é o opt-out preference signal e quando a CTDPA o exige?**
É um sinal enviado por navegador, extensão ou dispositivo (como o GPC) comunicando a preferência de opt-out. A Seção 6(e)(1)(A)(ii) torna obrigatório que o controlador honre esses sinais a partir de 1º de janeiro de 2025. A Política de Privacidade deve descrever como esses sinais são processados.

**5. A Política de Privacidade precisa mencionar a proteção para adolescentes de 13 a 15 anos?**
Sim, se o site pode ter usuários nessa faixa etária. A Seção 6(a)(7) proíbe o processamento de dados para publicidade segmentada ou venda de consumidores de 13 a 15 anos sem o consentimento deles quando o controlador tem conhecimento real. A Política deve descrever como esse consentimento é obtido para esse grupo específico.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Connecticut CTDPA: Política de Privacidade

A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem dois requisitos específicos para sites que processam dados para publicidade segmentada ou vendem dados pessoais.

Esta página cobre uma parte do quadro. Para o escopo completo da CTDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CTDPA e cookies](https://goadopt.io/blog/ctdpa-connecticut-e-cookies-tudo-o-que-voce-precisa-saber/).

O primeiro é imediato: um link claro e conspícuo no site para uma página de opt-out.

O segundo entrou em vigor em **1º de janeiro de 2025**: a obrigação de honrar sinais de opt-out enviados por plataformas, tecnologias ou mecanismos com o consentimento do consumidor, como o **Global Privacy Control (GPC)**.

Este artigo foca exclusivamente no que a CTDPA exige da Política de Cookies: o que precisa estar no documento, como o consentimento e o opt-out devem funcionar, e o que as exigências específicas da lei implicam para cada rastreador do seu site.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é a interface visual de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados, e como exercer direitos sobre eles.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a CTDPA exige especificamente para cookies

### Finalidade específica para cada categoria

A Seção 6(a)(1) exige que o controlador limite a coleta ao que é adequado, relevante e razoavelmente necessário em relação às finalidades declaradas. E a Seção 6(c)(2) exige que a finalidade esteja no aviso de privacidade.

Para cookies, cada categoria de rastreador precisa de descrição de finalidade específica e não genérica.

O que não funciona: "cookies para melhorar sua experiência".

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos nem usados para publicidade segmentada."

"Cookies de publicidade: coletam identificadores comportamentais que são compartilhados com plataformas de anúncios para publicidade segmentada em sites não afiliados. Incluem pixels de Meta Ads e Google Ads. Os consumidores podem exercer o opt-out pelo link de opt-out nesta página."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores que operam no site:

**Cookies necessários:** essenciais para funcionamento básico. Não configuram publicidade segmentada ou venda. Precisam ser documentados, mas não exigem opt-out.

**Cookies de analytics:** dependem da configuração. Se os dados ficam apenas nos sistemas da empresa, geralmente não configuram publicidade segmentada. Se são enviados a terceiros para targeting em outros sites, podem configurar.

**Cookies de publicidade:** quase sempre configuram "publicidade segmentada" sob a CTDPA, que a define como anúncios baseados em dados "obtidos ou inferidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (Seção 1(28)).

**Cookies funcionais:** lembram preferências. Geralmente não configuram publicidade segmentada ou venda.

**Cookies de terceiros:** disparados por serviços externos. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão.

### Publicidade segmentada: sites não afiliados

A CTDPA define publicidade segmentada (Seção 1(28)) como anúncios baseados em dados obtidos ou inferidos das atividades do consumidor ao longo do tempo em sites ou aplicações **não afiliados**.

O que não configura publicidade segmentada:

Anúncios baseados em atividades dentro dos próprios sites ou aplicações do controlador.

Anúncios baseados no contexto da busca ou visita atual.

Anúncios em resposta a pedido de informação do consumidor.

Processamento de dados apenas para medir ou reportar desempenho, alcance ou frequência de anúncios.

Portanto, campanhas de retargeting que usam dados de comportamento do usuário em outros sites quase sempre configuram publicidade segmentada sob a CTDPA.

### Venda de dados

A CTDPA define venda (Seção 1(26)) como a troca de dados pessoais por contrapartida monetária ou outro valor valioso a terceiros.

Não configura venda: divulgação a operadores, divulgação para produto ou serviço solicitado pelo consumidor, divulgação a afiliados, divulgação dirigida pelo consumidor, informações tornadas publicamente disponíveis pelo consumidor, e transferências em fusões e aquisições.

Se o site compartilha dados com parceiros em troca de serviços ou outros benefícios econômicos, pode configurar venda mesmo sem pagamento direto em dinheiro.

### Categorias de terceiros que recebem dados via cookies

A Política precisa identificar as categorias de terceiros que recebem dados via cookies (Seção 6(c)(5)).

Isso inclui plataformas de anúncios digitais, ferramentas de analytics, redes de publicidade programática, plataformas de e-mail marketing que recebem dados comportamentais, e qualquer outro parceiro que receba identificadores ou comportamentos do usuário coletados via cookie.

### Período de retenção

A obrigação de limitar a coleta ao necessário (Seção 6(a)(1)) implica que os dados também devem ser retidos apenas pelo tempo necessário. A Política de Cookies deve documentar por quanto tempo cada categoria de cookie fica ativa e por quanto tempo os dados são retidos nos sistemas.

## O link de opt-out obrigatório

A Seção 6(e)(1)(A)(i) exige um link claro e conspícuo no site do controlador para uma página que permita ao consumidor ou a um agente exercer o opt-out de publicidade segmentada ou venda de dados pessoais.

Esse link precisa estar visível na página, não em locais obscuros. A Política de Cookies deve identificar esse link e descrever como o opt-out funciona.

## O opt-out preference signal a partir de janeiro de 2025

A Seção 6(e)(1)(A)(ii) exige que a partir de **1º de janeiro de 2025**, o controlador permita opt-out via sinal enviado por plataforma, tecnologia ou mecanismo com consentimento do consumidor.

Na prática para cookies: quando um usuário acessa o site com o GPC ativado em seu navegador, o site deve interpretar esse sinal como opt-out de publicidade segmentada e venda de dados, e bloquear automaticamente os rastreadores correspondentes.

O mecanismo precisa atender a requisitos específicos da CTDPA (Seção 6(e)(1)(A)(ii)):

Não pode criar desvantagem injusta para outro controlador.

Não pode ser configuração padrão: deve representar escolha afirmativa, livre e inequívoca.

Deve ser amigável e fácil para o consumidor médio.

Deve ser consistente com mecanismos similares exigidos por outras leis.

Deve permitir que o controlador verifique se o consumidor é residente do Connecticut.

Quando o sinal de opt-out conflita com configuração específica ou participação em programa de fidelidade, o controlador deve cumprir o sinal, mas pode notificar o consumidor e oferecer a opção de confirmar a preferência anterior.

A Política de Cookies deve descrever como o site processa esses sinais.

## O que é consentimento válido para cookies sob a CTDPA

A Seção 1(6) define consentimento como um ato afirmativo claro que signifique concordância livre, específica, informada e inequívoca.

O que não é consentimento válido:

Aceitar termos gerais com descrições de processamento misturadas a outras informações.

Passar o mouse sobre, silenciar, pausar ou fechar um conteúdo.

Qualquer concordância obtida por dark patterns.

Dark patterns são definidos na Seção 1(11) como interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, tomada de decisão ou escolha do usuário, incluindo qualquer prática que a FTC classifique como dark pattern.

O padrão correto para cookies: não essenciais desligados por padrão. O usuário escolhe o que ativa, não o que desativa.

## Revogação de consentimento em 15 dias

Se o usuário concedeu consentimento para cookies não essenciais e depois decide revogar, a Seção 6(a)(6) exige que o controlador:

Forneça mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cesse o processamento no máximo em **15 dias** após receber a revogação.

Esse prazo de 15 dias é exclusivo da CTDPA e significa que a [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) precisa estar configurada para processar revogações de forma ágil, não apenas registrá-las.

## Proteção para adolescentes de 13 a 15 anos via cookies

A Seção 6(a)(7) proíbe processar dados de consumidores de 13 a 15 anos para publicidade segmentada ou venda sem consentimento quando o controlador tem conhecimento real dessa faixa etária.

Se o site pode ter usuários nessa faixa, a Política de Cookies deve descrever como cookies de publicidade são bloqueados para esse público e como o consentimento é obtido quando necessário.

## Quando atualizar a Política de Cookies

A CTDPA não especifica uma frequência mínima de atualização do aviso de privacidade como a CCPA/CPRA. Mas a Seção 6(a)(2) proíbe processar dados para finalidades não declaradas sem consentimento, e a Seção 6(a)(1) exige limitar a coleta ao necessário para as finalidades declaradas.

Na prática, situações que exigem atualização da Política de Cookies:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros.

Novo parceiro que recebe dados comportamentais.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém o inventário de cookies sincronizado com o documento.

## Fiscalização e penalidades

As violações são tratadas como práticas comerciais desleais pelo **Attorney General do Connecticut**. Não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode agir sem garantia de prazo prévio de correção.

## Como a AdOpt ajuda com a Política de Cookies sob a CTDPA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opções reais de opt-out, detecta e honra o GPC a partir de janeiro de 2025, processa revogações dentro de 15 dias, e documenta cada interação.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a CTDPA

**Link visível** no rodapé e no banner de cookies.

**Listagem de categorias de cookies** com descrição do que cada uma faz.

**Finalidade específica para cada categoria**, sem descrições vagas (Seção 6(c)(2)).

**Identificação se cookies configuram publicidade segmentada ou venda** (Seção 6(d)).

**Categorias de terceiros** que recebem dados via cookies (Seção 6(c)(5)).

**Link claro e conspícuo** para opt-out de publicidade segmentada/venda no site (Seção 6(e)(1)(A)(i)).

**Opt-out preference signal**: descrição de como o GPC é honrado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

**Revogação em 15 dias**: mecanismo e prazo descritos (Seção 6(a)(6)).

**Cookies não essenciais desativados por padrão**, sem dark patterns (Seção 1(11)).

**Proteção para adolescentes de 13 a 15 anos** descrita quando aplicável (Seção 6(a)(7)).

**Período de retenção** de cada categoria de cookie.

**E-mail ativo ou mecanismo online** para contato com o controlador (Seção 6(c)(6)).

**Idioma acessível**, sem juridiquês.

**Ausência de cookie wall**.

## FAQ: CTDPA e Política de Cookies

**1. O link de opt-out na CTDPA é diferente do "Do Not Sell" da CCPA?**
São similares na função mas diferentes na exigência. A CCPA exige os links "Do Not Sell or Share My Personal Information" e "Limit the Use of My Sensitive Personal Information" com textos específicos. A CTDPA exige apenas um link claro e conspícuo para uma página de opt-out de publicidade segmentada ou venda, sem texto específico obrigatório. Empresas que já têm o link da CCPA provavelmente atendem à CTDPA também, dependendo do escopo do link.

**2. O opt-out preference signal da CTDPA é o mesmo que o GPC?**
O GPC é o mecanismo mais conhecido que atende às especificações técnicas da CTDPA. A lei não nomeia o GPC especificamente, mas o GPC foi desenvolvido para atender exatamente a esse tipo de requisito legal. Desde que o mecanismo seja escolha afirmativa do consumidor (não padrão), não crie desvantagem injusta para o controlador, e permita verificar que é residente do Connecticut, ele atende à Seção 6(e)(1)(A)(ii).

**3. O prazo de 15 dias para revogação de consentimento se aplica a todos os cookies?**
Aplica-se quando o consentimento é a base para o processamento. Para cookies de publicidade segmentada onde o consumidor deu consentimento e depois revoga, a Seção 6(a)(6) exige cessação em até 15 dias. Para opt-out de publicidade segmentada ou venda (que não requer consentimento prévio mas sim opt-out), a lei não especifica o prazo de 15 dias, mas exige cessação "o mais rápido possível".

**4. Cookies de analytics configuram publicidade segmentada sob a CTDPA?**
Depende da ferramenta e configuração. Se os dados de analytics ficam internos ou são enviados ao provedor apenas para gerar relatórios sem uso para targeting em outros sites, geralmente não configuram. Se a ferramenta envia dados que são usados para segmentação em outros sites, pode configurar. A definição da CTDPA é "dados obtidos ou inferidos de atividades em sites não afiliados" (Seção 1(28)).

**5. A CTDPA exige que adolescentes de 13 a 15 anos consintam antes de qualquer cookie?**
A Seção 6(a)(7) é específica: proíbe processar dados de 13 a 15 anos para publicidade segmentada ou venda sem o consentimento desses consumidores. Não exige consentimento para outros tipos de processamento como analytics interno. A restrição se aplica quando o controlador tem conhecimento real da idade do usuário.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Connecticut CTDPA: Política de Cookies

A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem algumas peculiaridades no processo de DSAR que a diferenciam das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da CTDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CTDPA e cookies](https://goadopt.io/blog/ctdpa-connecticut-e-cookies-tudo-o-que-voce-precisa-saber/).

A mais importante: as solicitações de opt-out **não precisam de autenticação**, mas o controlador pode negar se tiver crença documentada de fraude. E a apelação tem prazo de **60 dias** para resposta, não 45 como o prazo inicial.

Este artigo cobre tudo isso: o que é uma DSAR sob a CTDPA, quais são os cinco direitos garantidos, os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Connecticut.

## O que é uma DSAR sob a CTDPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Connecticut para exercer os direitos que a CTDPA garante sobre os próprios dados.

Conforme a Seção 4(b), o consumidor exerce seus direitos por meios seguros e confiáveis estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A CTDPA adiciona regras específicas sobre autenticação de opt-outs e o papel dos agentes autorizados via tecnologia.

## Quais são os direitos dos consumidores sob a CTDPA?

Conforme a Seção 4(a), os residentes do Connecticut têm cinco direitos:

### 1. Direito de confirmação e acesso

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (Seção 4(a)(1)).

Uma limitação específica da CTDPA: se a confirmação ou o acesso exigirem que o controlador **revele segredo comercial**, o controlador não é obrigado a fazê-lo. Isso é diferente de outras leis que não mencionam segredos comerciais no contexto do direito de acesso.

### 2. Direito de correção

O consumidor pode solicitar correção de imprecisões nos dados pessoais, levando em conta a natureza dos dados e os propósitos do processamento (Seção 4(a)(2)).

### 3. Direito de exclusão

O consumidor pode solicitar a exclusão de dados pessoais fornecidos por ele ou obtidos sobre ele (Seção 4(a)(3)).

Para dados obtidos de terceiros (não do próprio consumidor), o controlador pode cumprir retendo apenas o registro da solicitação de exclusão e o mínimo necessário para garantir que os dados permaneçam excluídos (sem usar esses dados para outra finalidade), ou optando o consumidor para fora do processamento desses dados (Seção 4(c)(5)).

### 4. Direito de portabilidade

O consumidor pode obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável para transmissão a outro controlador sem obstáculos, onde o processamento é realizado por meios automatizados (Seção 4(a)(4)).

O controlador **não é obrigado a revelar segredos comerciais** para atender à solicitação de portabilidade.

### 5. Direito de opt-out

O consumidor pode recusar o processamento de dados para três finalidades (Seção 4(a)(5)):

Publicidade segmentada.

Venda de dados pessoais (exceto como previsto na Seção 6(b) sobre programas de fidelidade).

Perfilamento em apoio a decisões **exclusivamente automatizadas** que produzem efeitos legais ou igualmente significativos sobre o consumidor.

O terceiro ponto é a diferença mais importante da CTDPA em relação a outras leis: o opt-out de perfilamento se aplica apenas a decisões **exclusivamente** automatizadas. Se houver qualquer revisão humana na decisão final, esse opt-out pode não se aplicar.

## Quais são os prazos para responder?

Conforme a Seção 4(c)(1):

**45 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e número de solicitações, com notificação dentro do prazo inicial.

**Gratuito** uma vez por consumidor durante qualquer período de 12 meses (Seção 4(c)(3)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas: pode cobrar taxa razoável ou recusar, com ônus da prova do caráter excessivo recaindo sobre o controlador.

## O processo de apelação: 60 dias, não 45

A CTDPA tem uma peculiaridade: o prazo para resposta à apelação é de **60 dias**, não 45 como o prazo inicial (Seção 4(d)).

O processo de apelação precisa ser:

Conspicuamente disponível e similar ao processo de submissão de solicitações.

Acionável dentro de período razoável após o consumidor receber a decisão.

A resposta deve incluir qualquer ação tomada ou não tomada, junto com explicação escrita dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online, se disponível, ou outro método pelo qual o consumidor pode contatar o **Attorney General** para submeter reclamação.

## Autenticação: a regra especial para opt-outs

A CTDPA tem uma regra de autenticação diferente para opt-outs (Seção 4(c)(4)):

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: se o controlador não conseguir autenticar usando esforços comercialmente razoáveis, não é obrigado a cumprir. Deve notificar o consumidor que não conseguiu autenticar e que precisa de informação adicional.

Para **solicitações de opt-out**: o controlador **não é obrigado a autenticar**, mas **pode negar** se tiver crença de boa-fé, razoável e documentada de que a solicitação é fraudulenta. Se negar, deve enviar notificação ao solicitante explicando que acredita que é fraudulenta, por quê acredita nisso, e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem exigir autenticação, mas o controlador pode ter um processo de verificação de fraude.

## Os agentes autorizados e os sinais de opt-out

A Seção 5 permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia, como link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de **1º de janeiro de 2025**, o controlador que processa para publicidade segmentada ou vende dados deve aceitar opt-outs via sinal enviado por plataforma ou mecanismo com o consentimento do consumidor (Seção 6(e)(1)(A)(ii)). Isso inclui o Global Privacy Control (GPC).

## Como deve ser o canal para submissão de solicitações

A Seção 6(e)(1) exige que o controlador estabeleça e descreva no aviso de privacidade um ou mais meios seguros e confiáveis para submissão de solicitações. Os meios devem levar em conta:

As formas como os consumidores normalmente interagem com o controlador.

A necessidade de comunicação segura e confiável.

A capacidade de verificar a identidade do consumidor.

O controlador não pode exigir criação de nova conta. Pode exigir uso de conta existente.

Além disso, a Seção 6(e)(1)(A)(i) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade segmentada e venda de dados.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso

Receba e autentique a identidade do titular com esforços comercialmente razoáveis.

Localize todos os dados pessoais do consumidor nos sistemas.

Verifique se a confirmação ou acesso revelaria segredos comerciais: se sim, pode negar nessa parte específica.

Prepare resposta em formato acessível dentro de 45 dias.

### Solicitação de correção

Receba e autentique.

Identifique o dado impreciso.

Corrija nos sistemas principais.

Confirme ao consumidor dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal.

Para dados obtidos de terceiros: escolha entre excluir ou optar o consumidor para fora do processamento.

Confirme ao consumidor.

### Solicitação de portabilidade

Receba e autentique.

Gere arquivo com dados do consumidor em formato portátil, sem revelar segredos comerciais.

Entregue de forma segura dentro de 45 dias.

### Opt-out de publicidade segmentada e venda

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC).

Não é necessário autenticar para processar, mas monitore sinais de fraude.

Se houver suspeita razoável e documentada de fraude: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

Atenção especial: se o sinal de opt-out conflita com configuração específica ou programa de fidelidade do consumidor, cumpra o opt-out mas pode notificar o conflito.

### Opt-out de perfilamento exclusivamente automatizado

Receba via Portal.

Avalie se o perfilamento em questão é **exclusivamente automatizado** (sem revisão humana). Se houver revisão humana significativa, o opt-out pode não se aplicar.

Se for exclusivamente automatizado: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado.

## O que acontece quando o controlador nega uma solicitação?

Conforme a Seção 4(c)(2), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

## Revogação de consentimento: 15 dias

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 6(a)(6) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento no máximo em **15 dias** após o recebimento da revogação.

Esse prazo de 15 dias precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

## Proteção especial para crianças e adolescentes

Para crianças conhecidas (menores de 13 anos sob a COPPA): os pais ou responsáveis legais podem exercer os direitos em nome da criança (Seção 4(b)).

Para consumidores sob tutela, curatela ou outro arranjo de proteção: o tutor ou curador pode exercer os direitos em nome do consumidor (Seção 4(b)).

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade segmentada ou venda sem o consentimento desses consumidores (Seção 6(a)(7)).

## Proteção contra discriminação

A Seção 6(a) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam.

## Fiscalização: AG exclusivo

A Seção 11(a) confere ao Attorney General do Connecticut **autoridade exclusiva** para fiscalizar a CTDPA. Não há District Attorneys envolvidos (diferente do Colorado) e não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode considerar múltiplos fatores antes de agir ou não.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento e garante a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CTDPA

**Um ou mais canais seguros e confiáveis** descritos no aviso de privacidade (Seção 6(e)(1)).

**Link claro e conspícuo** no site para opt-out de publicidade segmentada/venda (Seção 6(e)(1)(A)(i)).

**Opt-out preference signal** honrado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

**Cobertura dos 5 direitos**: acesso/confirmação, correção, exclusão, portabilidade, opt-out.

**Perfilamento: apenas exclusivamente automatizado** coberto pelo opt-out (Seção 4(a)(5)(C)).

**Opt-out sem autenticação obrigatória**: processo que aceita opt-outs sem exigir verificação (Seção 4(c)(4)).

**Processo de denúncia de fraude** documentado se opt-outs forem negados por suspeita de fraude.

**Agentes autorizados** aceitos para opt-out (Seção 5).

**Prazos**: 45 dias para resposta (+45 ext.); **60 dias** para apelação (não 45).

**Mecanismo de apelação** conspicuamente disponível e similar ao processo original.

**Referência ao AG** fornecida quando apelação é negada (Seção 4(d)).

**Gratuidade** na primeira solicitação por período de 12 meses (Seção 4(c)(3)).

**Revogação de consentimento honrada em 15 dias** (Seção 6(a)(6)).

**Pais/responsáveis** podem exercer direitos por crianças (Seção 4(b)).

**Tutores** podem exercer direitos por consumidores sob tutela (Seção 4(b)).

**Proteção para adolescentes 13-15**: processo para obter consentimento antes de processar para publicidade/venda.

## Comparativo: prazos do Portal do Titular na CTDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, correção, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (não requer autenticação) | Sem prazo específico | Imediato recomendado |
| Apelação de decisão | **60 dias** | Não especificado |
| Revogação de consentimento | **Máx. 15 dias** | Não há extensão |
| Cure period (violações gerais) | Discricionário (2025) | Não há garantia |

## FAQ: CTDPA e Portal do Titular

**1. Por que o opt-out não precisa de autenticação na CTDPA?**
A Seção 4(c)(4) estabelece que o controlador não é obrigado a autenticar solicitações de opt-out. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode, no entanto, negar se tiver crença documentada de fraude e deve notificar o solicitante com a justificativa. Isso equilibra a facilidade de exercício do direito com a proteção contra abusos.

**2. Por que a apelação tem prazo de 60 dias e não 45 como as solicitações iniciais?**
A Seção 4(d) estabelece explicitamente 60 dias para resposta a apelações, enquanto as solicitações iniciais têm prazo de 45 dias (Seção 4(c)(1)). O prazo maior para apelações provavelmente reflete a necessidade de revisão mais cuidadosa de uma decisão já tomada. Não há extensão mencionada para o prazo de apelações.

**3. O opt-out de perfilamento na CTDPA é mais restrito do que em outras leis?**
Sim. A Seção 4(a)(5)(C) limita o opt-out de perfilamento a decisões **exclusivamente** automatizadas com efeitos legais ou significativos. A VCDPA da Virgínia e a CPA do Colorado cobrem decisões com esses efeitos sem o requisito de exclusividade. Na prática, se o controlador usa perfilamento automatizado mas um humano revisa e toma a decisão final, o opt-out de perfilamento da CTDPA pode não se aplicar.

**4. Quem pode exercer direitos em nome de outros consumidores na CTDPA?**
A Seção 4(b) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças conhecidas, e que tutores ou curadores exercem direitos em nome de consumidores sob esses arranjos de proteção. Além disso, a Seção 5 permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

**5. O que acontece se o controlador negar um opt-out por suspeita de fraude?**
A Seção 4(c)(4) permite a negação se houver crença de boa-fé, razoável e documentada de que o opt-out é fraudulento. Mas exige notificação ao solicitante com três informações: que o controlador acredita que a solicitação é fraudulenta, por que acredita nisso, e que não cumprirá. Sem essa notificação, a negação pode ser considerada violação da lei.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Connecticut CTDPA: DSAR Portal do Titular

A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem um requisito para o aviso de privacidade que não aparece com essa clareza em outras leis estaduais americanas: o aviso deve incluir um **endereço de e-mail ativo ou outro método online** que o controlador **monitora ativamente**.

Esta página cobre uma parte do quadro. Para o escopo completo da OCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da OCPA e cookies](https://goadopt.io/blog/ocpa-oregon-e-cookies-tudo-o-que-voce-precisa-saber/).

Não basta publicar um e-mail. Ele precisa ser monitorado de verdade. O relatório do primeiro ano de enforcement (agosto de 2025) identificou canais de contato que não funcionavam como um dos problemas mais comuns encontrados nas investigações.

Este artigo foca exclusivamente no que a OCPA exige da Política de Privacidade, com base no texto oficial da lei.

## O que a OCPA chama de Privacy Notice

A lei usa o termo privacy notice, aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem, mas com elementos de conteúdo específicos da OCPA.

A Seção 5(4) determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível, claro e significativo".

## O que precisa estar na Política de Privacidade sob a OCPA

### 1. Categorias de dados pessoais processados, incluindo dados sensíveis

O aviso deve listar as categorias de dados pessoais processados pelo controlador, incluindo categorias de dados sensíveis (Seção 5(4)(a)).

Dados pessoais sob a OCPA incluem dados derivados, um diferencial importante em relação a outras leis. Perfis de marketing e scores de comportamento criados a partir dos dados do consumidor são dados pessoais para fins da lei.

Dados sensíveis, conforme a Seção 1(18), incluem: origem racial ou étnica, crenças religiosas, condição mental ou física, orientação sexual, status como transgênero ou não-binário, status como vítima de crime, cidadania ou imigração, dados de geolocalização precisa (raio de 1.750 pés), dados genéticos ou biométricos, e dados de crianças menores de 13 anos. Se qualquer dessas categorias é coletada, precisa estar explicitamente listada.

### 2. A finalidade para o processamento

O aviso deve descrever as finalidades do controlador para processar os dados pessoais (Seção 5(4)(b)).

A Seção 5(2)(a) proíbe o processamento de dados para finalidades que não sejam razoavelmente necessárias ou compatíveis com as finalidades declaradas, salvo consentimento do consumidor.

Descrições vagas como "melhorar serviços" ou "personalizar sua experiência" não atendem à exigência. "Dados comportamentais coletados via analytics para identificar páginas com alta taxa de abandono e priorizar melhorias de usabilidade" é o padrão correto.

### 3. Como os consumidores exercem seus direitos e fazem apelações

O aviso deve descrever como os consumidores podem exercer os direitos garantidos pela OCPA e como apelar de uma decisão de recusa (Seção 5(4)(c)).

Não basta listar que os direitos existem. O processo precisa estar descrito: qual canal usar, como funciona a autenticação da identidade do solicitante, o prazo de 45 dias para resposta, e como funciona o processo de apelação com prazo de 45 dias.

O [encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) ou responsável pela conformidade precisa ter esse fluxo mapeado e funcionando operacionalmente.

### 4. Categorias de dados compartilhados com terceiros, incluindo dados sensíveis

Se a empresa compartilha dados com terceiros, o aviso precisa informar todas as categorias de dados pessoais compartilhados, incluindo categorias de dados sensíveis (Seção 5(4)(d)).

Isso abrange ferramentas de e-mail marketing, CRMs, plataformas de analytics, redes de publicidade, processadores de pagamento, e qualquer serviço externo que receba dados dos usuários.

### 5. Categorias de terceiros e como cada um pode processar os dados

Este é o requisito mais específico da OCPA em relação a outras leis estaduais americanas. A Seção 5(4)(e) determina que o aviso descreva todas as categorias de terceiros com quem os dados são compartilhados em nível de detalhe que permita ao consumidor entender que tipo de entidade cada terceiro é e, na medida do possível, como cada terceiro pode processar os dados.

Não é suficiente usar categorias genéricas como "parceiros de negócios". O nível correto é algo como: "plataformas de análise de audiência que usam dados de navegação para gerar relatórios de uso" ou "redes de publicidade digital que usam identificadores comportamentais para exibir anúncios personalizados em outros sites que o consumidor visita".

### 6. E-mail ativo ou mecanismo online de contato, monitorado ativamente

A Seção 5(4)(f) exige que o aviso inclua um endereço de e-mail ou outro método online pelo qual o consumidor pode contatar o controlador, e esse canal deve ser **ativamente monitorado** pelo controlador.

Esse é um dos requisitos mais específicos da OCPA. Publicar um e-mail que ninguém verifica não cumpre o requisito. O relatório de enforcement de 2025 confirmou que canais de contato que não funcionavam foram um dos problemas mais frequentes encontrados nas investigações.

### 7. Identificação completa do controlador

O aviso precisa identificar o controlador, incluindo o nome comercial registrado no Secretary of State do Oregon e qualquer nome fictício usado no estado (Seção 5(4)(g)).

Se a empresa opera sob uma marca diferente do nome legal, ambos precisam estar identificados.

### 8. Descrição de publicidade direcionada e perfilamento com opt-out

Se a empresa processa dados para publicidade direcionada ou perfilamento para decisões com efeitos legais ou de significância similar, o aviso precisa descrever isso de forma clara e conspícua, com o procedimento de opt-out acessível (Seção 5(4)(h)).

Publicidade direcionada, conforme a Seção 1(19), são anúncios baseados em dados coletados das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados. Anúncios contextuais baseados na sessão atual não se enquadram nessa definição.

Se o site usa Meta Pixel, Google Ads, TikTok Pixel ou qualquer ferramenta de mídia programática, você está operando publicidade direcionada e precisa divulgar isso explicitamente.

### 9. Método para submissão de solicitações, incluindo reconhecimento do GPC

O aviso precisa descrever o método ou métodos que o controlador estabeleceu para o consumidor submeter solicitações de exercício de direitos (Seção 5(4)(i)).

Conforme a Seção 5(5), esse método precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir segurança e confiabilidade nas comunicações.

Permitir autenticação da identidade do consumidor.

Fornecer link claro e conspícuo para opt-out de publicidade direcionada.

A partir de **1º de janeiro de 2026**, também é obrigatório honrar sinais de opt-out universal, como o Global Privacy Control (GPC), desde que atendam a requisitos técnicos específicos (Seção 5(5)(c)).

Não exigir que o consumidor crie uma nova conta. A empresa pode exigir uso de conta existente, mas não pode obrigar cadastro novo.

## Divulgação de publicidade direcionada e venda de dados

Se a empresa vende dados pessoais ou os processa para publicidade direcionada, a Seção 5(4)(h) exige divulgação clara e conspícua na Política de Privacidade, junto com o procedimento de opt-out.

O relatório do primeiro ano de enforcement identificou que muitas empresas não estavam oferecendo o direito de listar os terceiros que receberam os dados dos consumidores. Esse foi o direito mais frequentemente negado no Oregon durante o primeiro ano.

## Dados sensíveis: exigências adicionais

Dados sensíveis têm tratamento especial e precisam ser identificados especificamente na Política.

Se a empresa coleta qualquer dado dessa categoria, a Política precisa:

Identificar explicitamente que dados sensíveis são coletados.

Descrever a finalidade específica do processamento de cada categoria.

Explicar como o consentimento do consumidor é obtido antes do processamento.

Detalhar como esse consentimento pode ser revogado, respeitando o prazo de **15 dias** para cessação após revogação (Seção 5(1)(d)).

Para dados de crianças menores de 13 anos, a empresa precisa cumprir os requisitos da COPPA, conforme a Seção 5(2)(b) da OCPA.

## Proteção de adolescentes de 13 a 15 anos

A Seção 5(2)(c) proíbe processar dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento para decisões com efeitos legais, ou venda de dados sem o consentimento desses consumidores, quando o controlador tem conhecimento real dessa faixa etária.

A partir de **1º de janeiro de 2026**, a proteção foi ampliada: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada e certos tipos de perfilamento.

A Política de Privacidade precisa refletir essas proteções se a empresa pode atingir esse público.

## Avaliações de proteção de dados: o que a Política precisa mencionar

A Seção 8 exige que os controladores conduzam e documentem Data Protection Assessments para atividades de alto risco, incluindo publicidade direcionada, venda de dados, perfilamento com risco previsível de dano, e processamento de dados sensíveis.

As avaliações não precisam ser publicadas na Política, mas precisam ser documentadas, mantidas por pelo menos **cinco anos** (Seção 8(6)), e disponíveis ao Attorney General mediante solicitação. São confidenciais e isentas de divulgação pública (Seção 8(7)).

A Política deve mencionar que a empresa conduz avaliações de impacto para atividades de alto risco como parte de seu programa de conformidade.

## Direito de não discriminação

A Seção 5(2)(d) proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior como consequência.

A exceção são programas voluntários de fidelidade, recompensas, funcionalidades premium, descontos ou cartões de clube que oferecem benefícios em troca do uso de dados, desde que o consumidor participe voluntariamente (Seção 5(3)(b)).

## O fim do período de cura e sua relação com a Política

Até 1º de janeiro de 2026, o Attorney General precisava notificar a empresa e conceder 30 dias para correção antes de iniciar ação formal.

**A partir de 1º de janeiro de 2026, esse período de cura foi eliminado.** O AG pode iniciar ação diretamente, sem aviso prévio (Seção 11 da OCPA).

Uma Política de Privacidade incompleta é uma das violações mais fáceis de identificar. Adequar o documento antes de uma investigação era eficiente quando o cure period existia. Agora, é a única forma de se proteger.

## Como a AdOpt apoia a conformidade com a OCPA

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de consentimento e opt-out funciona conforme descrito, incluindo o reconhecimento automático do GPC a partir de janeiro de 2026 e o processamento de revogações dentro de 15 dias.

O registro de cada interação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a OCPA

**Link visível e acessível** em todas as páginas do site.

**Categorias de dados pessoais processados**, com menção explícita a dados sensíveis e dados derivados (Seção 5(4)(a)).

**Finalidade do processamento** para cada categoria, sem descrições vagas (Seção 5(4)(b)).

**Como exercer todos os direitos L.O.C.K.E.D.** com processo, canal e prazo de 45 dias (Seção 5(4)(c)).

**Processo de apelação** com prazo de 45 dias e informação sobre o Attorney General (Seção 4(6)).

**Todas as categorias de dados compartilhados com terceiros**, incluindo dados sensíveis (Seção 5(4)(d)).

**Categorias de terceiros** com nível de detalhe sobre tipo de entidade e como pode processar (Seção 5(4)(e)).

**E-mail ativo ou mecanismo online monitorado ativamente** pelo controlador (Seção 5(4)(f)).

**Identificação completa do controlador**, incluindo nome fictício se aplicável (Seção 5(4)(g)).

**Descrição de publicidade direcionada ou venda de dados** com opt-out acessível (Seção 5(4)(h)).

**Método de submissão de solicitações** descrito, sem exigência de nova conta (Seção 5(4)(i) e 5(5)).

**Reconhecimento do GPC** a partir de janeiro de 2026 (Seção 5(5)(c)).

**Prazo de 15 dias** para honrar revogação de consentimento (Seção 5(1)(d)).

**Proteção para adolescentes de 13 a 15 anos** com exigência de consentimento (Seção 5(2)(c)).

**Proibição de venda e publicidade direcionada para menores de 16 anos** a partir de janeiro de 2026.

**Política de não discriminação** para consumidores que exercem direitos (Seção 5(2)(d)).

**Menção a Data Protection Assessments** para atividades de alto risco (Seção 8).

## FAQ: OCPA e Política de Privacidade

**1. Por que a OCPA exige que o canal de contato seja monitorado ativamente?**
A Seção 5(4)(f) exige especificamente que o controlador especifique um e-mail ou outro método online que o controlador "ativamente monitora". Isso distingue a OCPA de outras leis estaduais que exigem apenas um canal disponível. O relatório de enforcement de 2025 identificou formulários de solicitação de direitos inacessíveis ou não funcionais como um dos problemas mais frequentes encontrados nas investigações, o que confirma que o AG verifica se os canais realmente funcionam.

**2. O que são dados derivados e por que a OCPA inclui eles no conceito de dado pessoal?**
Dados derivados são dados criados ou inferidos a partir de outros dados do consumidor. Perfis de marketing, scores de propensão, classificações de segmento de audiência. A OCPA inclui dados derivados na definição de dado pessoal (Seção 1(13)) explicitamente, o que significa que quando o consumidor solicita cópia ou exclusão de seus dados, esses dados derivados também estão no escopo. O relatório de enforcement identificou que empresas não estavam incluindo dados de "back-end" nas respostas às solicitações, o que configura violação.

**3. Por que a OCPA exige mais detalhe sobre terceiros do que outras leis estaduais?**
A Seção 5(4)(e) determina que a descrição das categorias de terceiros seja em "nível de detalhe que permita ao consumidor entender que tipo de entidade cada terceiro é e, na medida do possível, como cada terceiro pode processar os dados." Isso vai além do que leis como a VCDPA exigem, que pedem apenas categorias de terceiros sem o nível de detalhe sobre como processam. Na prática, "parceiros de negócios" não é suficiente. O consumidor precisa entender o que acontece com seus dados depois do compartilhamento.

**4. O que acontece com os dados sensíveis se o consumidor revogar o consentimento?**
A Seção 5(1)(d) exige que o controlador forneça mecanismo de revogação pelo menos tão fácil quanto o de consentimento. Após a revogação, o controlador deve cessar o processamento o mais rápido possível, mas **no máximo em 15 dias**. Esse prazo de 15 dias é um dos diferenciais da OCPA. A Política de Privacidade deve informar esse prazo ao consumidor para que ele saiba o que esperar.

**5. Como a eliminação do cure period afeta a urgência de adequar a Política de Privacidade?**
Antes de janeiro de 2026, o AG era obrigado a notificar a empresa e conceder 30 dias para correção antes de qualquer ação formal. Com a eliminação desse período pela Seção 11 da OCPA, o AG pode iniciar ação diretamente. Uma Política de Privacidade incompleta que antes poderia ser corrigida após notificação agora representa risco imediato de penalidades de até US$ 7.500 por violação. Cada consumidor afetado pode ser contado como violação separada.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Oregon OCPA: Política de Privacidade

A Utah Consumer Privacy Act (UCPA, Utah Code § 13-61-101) tem requisitos mais simples para cookies do que a maioria das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da UCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da UCPA e cookies](https://goadopt.io/blog/ucpa-utah-e-cookies-tudo-o-que-voce-precisa-saber/).

Não há exigência de honrar o GPC. Não há modelo de opt-in para dados sensíveis. Não há link obrigatório com texto específico. É opt-out para publicidade direcionada e venda de dados, com aviso claro no aviso de privacidade.

Mas simples não significa descuidado. Qualquer site que usa Meta Pixel, Google Ads, ou qualquer pixel que envia dados para redes de publicidade externas está operando publicidade direcionada sob a UCPA e precisa oferecer opt-out.

Este artigo foca no que a UCPA exige da Política de Cookies: o que o documento precisa conter e como o opt-out deve funcionar.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é a interface de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## O que a UCPA exige especificamente para cookies

### Finalidade específica para cada categoria de rastreador

Utah Code § 13-61-302(1)(a) exige que o aviso de privacidade inclua as finalidades para as quais as categorias de dados pessoais são processadas. Para cookies, isso se traduz em descrever a finalidade de cada categoria de rastreador com clareza suficiente para que o consumidor entenda o que está acontecendo.

O que não funciona: "cookies para melhorar sua experiência."

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação incluindo páginas visitadas e duração de sessões, para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos a terceiros."

"Cookies de publicidade: coletam identificadores comportamentais compartilhados com plataformas de anúncios para publicidade direcionada em sites não afiliados. Os consumidores podem exercer opt-out pelo mecanismo descrito no aviso de privacidade."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores que operam no site:

**Cookies necessários:** essenciais para funcionamento básico. Autenticação, sessão, carrinho de compras. Não configuram publicidade direcionada ou venda. Precisam ser documentados.

**Cookies de analytics:** medem comportamento de navegação. Dependendo da ferramenta, podem configurar publicidade direcionada se os dados são enviados a terceiros que os usam para targeting em outros sites.

**Cookies de publicidade:** alimentam pixels de anúncio e constroem perfis para publicidade direcionada em sites não afiliados. Quase sempre configuram "publicidade direcionada" sob a UCPA. Exigem opt-out.

**Cookies funcionais:** lembram preferências do usuário. Geralmente não configuram publicidade direcionada ou venda.

**Cookies de terceiros:** disparados por serviços externos. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão.

### Publicidade direcionada: o critério da UCPA

Utah Code § 13-61-101(34) define publicidade direcionada como anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações **não afiliados**.

O que não configura publicidade direcionada:

Anúncios baseados em atividades dentro do próprio site do controlador ou sites afiliados.

Anúncios baseados no contexto da busca atual ou visita atual do consumidor.

Anúncios em resposta a pedido de informação, produto, serviço ou feedback do consumidor.

Processamento de dados exclusivamente para medir desempenho, alcance ou frequência de anúncios.

Campanhas de retargeting que usam dados do comportamento do usuário em outros sites quase sempre configuram publicidade direcionada sob a UCPA.

### Venda de dados pessoais

Utah Code § 13-61-101(31) define venda como a troca de dados pessoais por contraprestação monetária a terceiros.

**Diferença importante em relação à CPRA:** a UCPA usa apenas "venda" por contraprestação monetária. Não inclui o conceito de "compartilhamento" para publicidade comportamental sem pagamento direto, como a CPRA faz. Isso significa que a troca de dados por serviços de publicidade, sem pagamento direto, pode não configurar "venda" sob a UCPA.

Não configura venda: divulgação a processadores, divulgação a afiliados, divulgação quando o contexto é consistente com as expectativas razoáveis do consumidor, divulgação dirigida pelo consumidor, e transferências em fusões e aquisições.

### Categorias de terceiros que recebem dados via cookies

A Política precisa identificar as categorias de terceiros que recebem dados via cookies (§ 13-61-302(1)(a)(v)).

Isso inclui plataformas de publicidade digital, ferramentas de analytics, e qualquer outro parceiro que receba dados dos usuários do site via cookies.

### Período de retenção

A UCPA não exige que a Política de Cookies especifique períodos de retenção de dados. Esse é um dos requisitos que leis como a CPRA têm, mas a UCPA não.

Incluir informações de retenção é uma boa prática e facilita a conformidade com outras jurisdições, mas não é obrigatório pela lei do Utah.

## O mecanismo de opt-out de publicidade direcionada e venda

Utah Code § 13-61-302(1)(b) exige que, se a empresa vende dados ou usa dados para publicidade direcionada, informe o consumidor de forma clara e conspícua e descreva como exercer o opt-out.

A UCPA não especifica o formato exato do mecanismo de opt-out. Pode ser:

Um link ou botão no aviso de cookies ou no banner.

Um link no rodapé do site levando a uma página de preferências.

Um formulário online descrito no aviso de privacidade.

O que a UCPA não exige: um texto específico para o link de opt-out (diferente da CPRA que exige "Do Not Sell or Share My Personal Information"). O controlador tem liberdade para definir a apresentação do opt-out.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) bem configurada garante que quando o usuário exerce o opt-out, todos os pixels e rastreadores de publicidade param de disparar automaticamente.

## Dados sensíveis coletados via cookies

Utah Code § 13-61-101(32) define dados sensíveis para incluir, entre outros, dados de geolocalização específica e dados biométricos para identificação.

Se o site coleta dados de geolocalização precisa (dentro de 1.750 pés) via cookies ou tecnologia de rastreamento, isso é dado sensível sob a UCPA.

Para dados sensíveis, a UCPA exige (§ 13-61-302(3)):

Apresentar ao consumidor um aviso claro antes de processar.

Oferecer ao consumidor a oportunidade de opt-out do processamento.

Isso é diferente do opt-in exigido por outras leis. Sob a UCPA, a empresa pode iniciar o processamento de dados sensíveis após apresentar o aviso, a menos que o consumidor recuse.

A Política de Cookies deve identificar quais tipos de cookies podem coletar dados sensíveis e descrever o mecanismo de opt-out correspondente.

## O que é consentimento válido para cookies sob a UCPA?

Utah Code § 13-61-101(9) define consentimento como um ato afirmativo de um consumidor que indica inequivocamente o acordo voluntário e informado para que uma pessoa processe dados pessoais relacionados ao consumidor.

Para cookies não necessários, o padrão correto é opt-out: tecnologias de publicidade direcionada podem estar ativas por padrão, mas o consumidor deve ter mecanismo fácil de opt-out.

Para dados sensíveis coletados via cookies, a UCPA exige aviso claro e oportunidade de opt-out antes de processar.

O que não é adequado: processar dados para publicidade direcionada sem qualquer mecanismo de opt-out descrito no aviso de privacidade.

## A UCPA não exige o GPC

Diferente da CPRA (Califórnia) e da CTDPA (Connecticut), a UCPA não menciona a obrigação de honrar sinais de opt-out universal como o Global Privacy Control (GPC).

No entanto, implementar o GPC é uma boa prática: serve para cumprir os requisitos de outras jurisdições onde o visitante pode estar, e demonstra compromisso com a privacidade que vai além do mínimo exigido.

## Quando atualizar a Política de Cookies

Situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros para targeting.

Novo parceiro que recebe dados comportamentais dos usuários.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém o inventário de cookies sincronizado com o documento.

## O cure period e a Política de Cookies

O Attorney General deve conceder **30 dias garantidos** para correção antes de iniciar qualquer ação (§ 13-61-402(3)). Uma Política de Cookies inadequada pode ser corrigida dentro desse prazo se a empresa tiver seus processos estruturados.

Se a violação continuar após os 30 dias, as penalidades podem chegar a **US$ 7.500 por violação**, com cada consumidor afetado podendo constituir violação separada.

## Como a AdOpt ajuda com a Política de Cookies sob a UCPA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não necessários, apresenta categorias com descrições claras, oferece opt-out de publicidade direcionada, e documenta cada interação para fins de auditoria.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a UCPA

**Link visível** no rodapé do site e no banner de cookies.

**Listagem das categorias de cookies** com descrição do que cada uma faz no site.

**Finalidade específica para cada categoria**, sem descrições vagas (§ 13-61-302(1)(a)(ii)).

**Identificação de cookies que configuram publicidade direcionada** (§ 13-61-101(34)).

**Identificação de cookies que configuram venda de dados** (§ 13-61-101(31)).

**Categorias de terceiros** que recebem dados via cookies (§ 13-61-302(1)(a)(v)).

**Mecanismo de opt-out de publicidade direcionada e venda**, claro e conspícuo (§ 13-61-302(1)(b)).

**Aviso claro e opt-out** para dados sensíveis coletados via cookies (§ 13-61-302(3)).

**Idioma acessível**, sem juridiquês.

**Ausência de impedimentos ao exercício do opt-out**.

## FAQ: UCPA e Política de Cookies

**1. A UCPA exige um texto específico para o link de opt-out de publicidade direcionada?**
Não. Ao contrário da CPRA, que exige o texto específico "Do Not Sell or Share My Personal Information", a UCPA apenas exige que a empresa informe o consumidor de forma clara e conspícua sobre como exercer o opt-out (§ 13-61-302(1)(b)). O controlador tem liberdade para definir o texto e o formato do mecanismo de opt-out, desde que seja acessível e claro.

**2. Cookies de analytics configuram publicidade direcionada sob a UCPA?**
Depende. Se os dados de analytics ficam internos ou são enviados ao provedor apenas para gerar relatórios sem uso para targeting em outros sites, geralmente não configuram publicidade direcionada. Se a ferramenta envia dados que são usados para segmentação de anúncios em outros sites não afiliados ao controlador, pode configurar. A definição da UCPA é "dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (§ 13-61-101(34)).

**3. A UCPA exige que o site honre o Global Privacy Control (GPC)?**
Não. A UCPA não menciona a obrigação de honrar sinais de opt-out universal como o GPC. Isso diferencia o Utah da Califórnia (CPRA) e do Connecticut (CTDPA), onde o GPC é reconhecido como opt-out válido. No entanto, implementar o GPC é uma boa prática para sites que também atendem consumidores dessas outras jurisdições.

**4. Como a UCPA trata cookies que coletam dados de geolocalização precisa?**
Dados de geolocalização específica (dentro de 1.750 pés) são dados sensíveis sob a UCPA (§ 13-61-101(32)(a)(iii) e 33). Para processá-los, a empresa precisa apresentar ao consumidor um aviso claro e oferecer a oportunidade de opt-out antes de iniciar o processamento (§ 13-61-302(3)). Diferente de outras leis que exigem consentimento prévio ativo (opt-in), a UCPA usa o modelo de opt-out para dados sensíveis.

**5. A venda de dados via cookies na UCPA é diferente da CPRA?**
Sim, significativamente. A CPRA inclui o conceito de "compartilhamento" para publicidade comportamental cruzada entre sites, mesmo sem pagamento direto. A UCPA usa apenas "venda", que exige contraprestação monetária (§ 13-61-101(31)). Isso significa que o compartilhamento de dados com redes de publicidade sem pagamento direto pode não configurar "venda" sob a UCPA, enquanto configuraria "compartilhamento" sob a CPRA. Para sites que atendem consumidores de ambos os estados, a definição mais ampla da CPRA deve ser usada como referência.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Utah UCPA: Política de Cookies

A Iowa Consumer Data Protection Act (ICDPA, Iowa Code § 715D) tem requisitos de aviso de privacidade muito similares aos da UCPA do Utah, com uma diferença operacional importante: o prazo de resposta a solicitações é de **90 dias**, não 45.

Esta página cobre uma parte do quadro. Para o escopo completo da ICDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da ICDPA e cookies](https://goadopt.io/blog/iowa-icdpa-e-cookies-tudo-o-que-voce-precisa-saber/).

Para a Política de Privacidade, isso significa que o processo descrito no documento para exercício de direitos precisa refletir esse prazo mais longo. Consumidores do Iowa terão que esperar até três meses para receber uma resposta, e o processo descrito no aviso precisa ser claro sobre isso.

Este artigo foca exclusivamente no que a ICDPA exige da Política de Privacidade.

## O que a ICDPA chama de Privacy Notice

A lei usa o termo "privacy notice", aviso de privacidade. Conforme § 715D.4(5), o controlador deve fornecer um aviso "razoavelmente acessível, claro e significativo".

## O que precisa estar na Política de Privacidade sob a ICDPA

### 1. Categorias de dados pessoais processados

O aviso deve listar as categorias de dados pessoais que o controlador processa (§ 715D.4(5)(a)).

Dados pessoais sob a ICDPA são informações vinculadas ou razoavelmente vinculáveis a uma pessoa natural identificada ou identificável (§ 715D.1(18)). Isso inclui identificadores como nome, e-mail, endereço IP, histórico de navegação, e dados que permitam rastrear uma pessoa.

Dados desidentificados, dados agregados, e informações publicamente disponíveis estão excluídos.

### 2. A finalidade para o processamento

O aviso deve explicar para quê os dados são processados (§ 715D.4(5)(b)).

A lei não especifica que as finalidades precisam ser altamente detalhadas, mas o requisito de que o aviso seja "claro e significativo" implica que generalidades como "melhorar serviços" são insuficientes.

### 3. Como os consumidores exercem seus direitos e como apelar

O aviso deve descrever como os consumidores podem exercer os direitos garantidos pela ICDPA, incluindo como apelar de uma decisão do controlador (§ 715D.4(5)(c)).

Os quatro direitos sob a ICDPA são:

**Confirmação e acesso:** confirmar se o controlador processa dados e acessar esses dados (§ 715D.3(1)(a)).

**Exclusão:** solicitar exclusão de dados que o consumidor forneceu ao controlador (§ 715D.3(1)(b)).

**Portabilidade:** obter cópia dos dados em formato portátil (§ 715D.3(1)(c)).

**Opt-out da venda:** recusar a venda de dados pessoais (§ 715D.3(1)(d)).

**O prazo que precisa estar descrito: 90 dias** para resposta a partir do recebimento da solicitação, com possibilidade de extensão por mais 45 dias com notificação dentro do prazo inicial (§ 715D.3(2)(a)).

**O processo de apelação:** o aviso precisa descrever como o consumidor pode apelar de uma decisão de recusa, com prazo de resposta de 60 dias para a apelação (§ 715D.3(3)). Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General online.

### 4. Categorias de dados compartilhados com terceiros

O aviso deve identificar as categorias de dados pessoais que o controlador compartilha com terceiros, se houver (§ 715D.4(5)(d)).

### 5. Categorias de terceiros com quem os dados são compartilhados

O aviso deve identificar as categorias de terceiros com quem os dados são compartilhados, se houver (§ 715D.4(5)(e)).

A ICDPA não exige o nível de detalhe sobre como cada terceiro pode processar os dados que a OCPA exige. Categorias identificáveis são suficientes.

## Divulgação de publicidade direcionada e venda de dados

Se a empresa vende dados ou realiza publicidade direcionada, § 715D.4(6) exige divulgação clara e conspícua dessa atividade, com descrição do método pelo qual o consumidor pode exercer o opt-out de cada atividade.

Publicidade direcionada, conforme § 715D.1(28), são anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo em sites ou aplicações não afiliados.

Embora o opt-out de publicidade direcionada não seja listado como direito formal em § 715D.3, a obrigação de divulgação em § 715D.4(6) cria o requisito prático de oferecer esse opt-out no aviso de privacidade.

## O canal de submissão de solicitações

Conforme § 715D.4(7), o controlador deve estabelecer meios seguros e confiáveis para os consumidores submeterem solicitações de exercício de direitos, e descrever esses meios no aviso de privacidade.

Esses meios devem:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir autenticação da identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta para exercer seus direitos. Pode exigir uso de conta existente (§ 715D.4(7)).

## Dados sensíveis: aviso e opt-out, não consentimento

Conforme § 715D.4(2), o controlador não pode processar dados sensíveis sem antes apresentar ao consumidor aviso claro e oferecer oportunidade de opt-out.

Dados sensíveis incluem: origem racial ou étnica, crenças religiosas, diagnóstico de saúde mental ou física, orientação sexual, cidadania ou imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e geolocalização precisa.

Esse modelo de opt-out para dados sensíveis é idêntico ao da UCPA. É menos restritivo do que o opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 715D.2(2)(r) e 715D.4(2)).

A Política de Privacidade deve:

Identificar se a empresa processa dados sensíveis.

Descrever como o aviso sobre dados sensíveis é apresentado.

Explicar como o consumidor pode exercer o opt-out de processamento de dados sensíveis.

## O que a ICDPA não exige na Política de Privacidade

Comparando com outras leis:

**Sem período de retenção obrigatório.** A CPRA exige especificar por quanto tempo cada categoria de dado é retida. A ICDPA não tem esse requisito.

**Sem nível de detalhe sobre terceiros.** A OCPA exige descrever como cada terceiro pode processar os dados. A ICDPA exige apenas categorias.

**Sem direito de correção para descrever.** Como a ICDPA não prevê esse direito, o aviso não precisa descrevê-lo.

**O prazo de 90 dias precisa estar claramente descrito.** Consumidores acostumados com a VCDPA, OCPA e CTDPA esperam respostas em 45 dias. Um aviso que deixa claro que o prazo da ICDPA é de 90 dias evita reclamações desnecessárias.

## Não discriminação

Conforme § 715D.4(3), a empresa não pode discriminar consumidores que exercem seus direitos. Isso inclui negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários ou situações onde o consumidor exerceu opt-out de publicidade direcionada e a empresa ajustou preços em consequência.

## O cure period de 90 dias e sua relação com a Política

Antes de iniciar qualquer ação, o Attorney General do Iowa é obrigado a notificar o controlador e conceder **90 dias para correção** (§ 715D.8(2)). Esse é o cure period mais longo de todas as leis estaduais americanas.

Uma Política de Privacidade desatualizada pode ser corrigida dentro de 90 dias com os processos certos. Mas estruturá-la corretamente desde o início é sempre mais eficiente.

## Como a AdOpt apoia a conformidade com a ICDPA

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que o mecanismo de opt-out funciona conforme descrito.

O registro de cada interação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a ICDPA

**Link visível e acessível** em todas as páginas do site.

**Categorias de dados pessoais processados** (§ 715D.4(5)(a)).

**Finalidade do processamento** para cada categoria (§ 715D.4(5)(b)).

**Como exercer os 4 direitos** com canal e prazo de **90 dias** (§ 715D.4(5)(c)).

**Processo de apelação** com prazo de **60 dias** para resposta (§ 715D.3(3)).

**Como contatar o Attorney General** se a apelação for negada (§ 715D.3(3)).

**Categorias de dados compartilhados com terceiros** (§ 715D.4(5)(d)).

**Categorias de terceiros** com quem dados são compartilhados (§ 715D.4(5)(e)).

**Divulgação de venda de dados ou publicidade direcionada** com método de opt-out (§ 715D.4(6)).

**Canal de submissão de solicitações** descrito, sem exigência de nova conta (§ 715D.4(7)).

**Tratamento de dados sensíveis**: aviso claro e opt-out antes do processamento (§ 715D.4(2)).

**Conformidade com COPPA** para dados de crianças (§ 715D.4(2)).

**Política de não discriminação** (§ 715D.4(3)).

**Gratuidade para 2 solicitações** por ano por consumidor (§ 715D.3(2)(c)).

## FAQ: ICDPA e Política de Privacidade

**1. Por que a Política de Privacidade da ICDPA precisa deixar claro o prazo de 90 dias?**
A maioria dos consumidores que já interagiram com aviso de privacidade de outras jurisdições espera respostas em 45 dias. A ICDPA estabelece 90 dias como prazo padrão (§ 715D.3(2)(a)), o que é significativamente diferente. Uma Política que descreve claramente esse prazo ajuda a gerenciar expectativas e evita reclamações de consumidores que esperam uma resposta mais rápida. Descrever o prazo correto também demonstra que a empresa conhece suas obrigações legais específicas.

**2. O aviso de privacidade precisa mencionar o processo de apelação da ICDPA?**
Sim. A § 715D.4(5)(c) exige que o aviso descreva como os consumidores podem exercer seus direitos "incluindo como um consumidor pode apelar de uma decisão do controlador com relação à solicitação do consumidor." Isso significa que o processo de apelação, com prazo de 60 dias para resposta (§ 715D.3(3)), precisa estar descrito. Se a apelação for negada, o aviso também deve indicar como o consumidor pode contatar o Attorney General.

**3. A ICDPA exige a mesma gratuidade de solicitações que a UCPA?**
Não exatamente. A ICDPA garante gratuidade para **2 solicitações** por consumidor por período de 12 meses (§ 715D.3(2)(c)). A UCPA garante gratuidade para apenas **1 solicitação** por período de 12 meses. A VCDPA também garante 2 solicitações gratuitas por ano. A Política de Privacidade precisa refletir corretamente esse número, pois informar "1 vez gratuito por ano" quando a lei garante 2 seria uma imprecisão que poderia gerar reclamações.

**4. A ICDPA tem o mesmo modelo de opt-out para dados sensíveis que a UCPA?**
Sim. Tanto a ICDPA (§ 715D.4(2)) quanto a UCPA (§ 13-61-302(3)) exigem apenas aviso claro e oportunidade de opt-out antes de processar dados sensíveis, sem exigir consentimento prévio ativo. Esse modelo é diferente do opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA. Uma empresa que já está adequada à UCPA e à ICDPA nesse ponto precisaria revisar o processo se quisesse também estar adequada às leis que exigem consentimento.

**5. A ICDPA exige descrição de terceiros no mesmo nível de detalhe que a OCPA?**
Não. A OCPA exige que a descrição dos terceiros seja em nível de detalhe que permita ao consumidor entender que tipo de entidade é e como pode processar os dados. A ICDPA (§ 715D.4(5)(d) e (e)) exige apenas as categorias de dados compartilhados com terceiros e as categorias de terceiros, sem o nível de detalhe adicional da OCPA. Categorias como "plataformas de publicidade digital" e "ferramentas de analytics" são suficientes sob a ICDPA.

Tá na AdOpt, tá bem.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


IOWA ICDPA: Política de Privacidade

Um residente da Califórnia acessa o seu site, consome seu conteúdo, e em algum momento decide exercer os direitos que a lei garante a ele. Quer saber o que você tem sobre ele. Quer corrigir uma informação. Quer que você pare de compartilhar seus dados com redes de publicidade.

Esta página cobre uma parte do quadro. Para o escopo completo da CPRA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPRA e cookies](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber/).

## O que fazer a partir daí?

A California Privacy Rights Act (CPRA) define com precisão o que precisa acontecer: o canal para receber a solicitação, os prazos para responder, o que é gratuito e o que não é, e o que acontece quando a empresa não cumpre.

A grande novidade em relação à CCPA original: o direito de correção de dados, o direito de limitar o uso de informações pessoais sensíveis, e multas automáticas triplicadas para violações envolvendo menores de 16 anos.

Este artigo cobre tudo isso.

## O que é uma DSAR sob a CPRA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. É qualquer pedido formal de um consumidor californiano para exercer os direitos que a CPRA garante sobre os próprios dados.

Conforme Civil Code § 1798.130, o consumidor exerce seus direitos por meios estabelecidos pelo negócio e descritos na política de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a lógica é familiar. A CPRA adiciona novos direitos e reforça as proteções para menores.

## Quais são os direitos dos consumidores sob a CPRA?

Conforme o Civil Code § 1798.100 a § 1798.125, os residentes da Califórnia têm os seguintes direitos:

### Direito de saber

O consumidor pode solicitar que a empresa informe:

As categorias de informações pessoais coletadas sobre ele.

As categorias específicas de fontes de onde as informações foram coletadas.

A finalidade comercial ou de negócios para coletar, vender ou compartilhar as informações.

As categorias de terceiros para os quais a empresa divulga as informações.

As informações pessoais específicas coletadas sobre o consumidor.

### Direito de acesso

O consumidor pode obter uma cópia das informações pessoais específicas que a empresa coletou nos últimos 12 meses (Civil Code § 1798.100(a)).

### Direito de exclusão

O consumidor pode solicitar a exclusão de suas informações pessoais, com algumas exceções (Civil Code § 1798.105). As exceções incluem: completar a transação, segurança, debugging, pesquisa interna, e compliance legal.

### Direito de correção

Este é um direito novo que a CCPA não tinha (Civil Code § 1798.106). O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas que mantém sobre ele, considerando a natureza das informações e os propósitos do processamento.

### Direito de portabilidade

O consumidor pode obter as informações pessoais em formato portátil e utilizável (Civil Code § 1798.100(a)).

### Direito de opt-out de venda e compartilhamento

O consumidor pode recusar a venda de informações pessoais e o compartilhamento para publicidade comportamental cruzada entre sites (Civil Code § 1798.120). Esse direito é exercido pelo link "Do Not Sell or Share My Personal Information".

### Direito de limitar o uso de SPI

Este é outro direito novo da CPRA (Civil Code § 1798.121). O consumidor pode limitar o uso e a divulgação de suas informações pessoais sensíveis a finalidades essenciais: fornecer o produto ou serviço solicitado, segurança e integridade, e compliance legal. Esse direito é exercido pelo link "Limit the Use of My Sensitive Personal Information".

### Direito de não discriminação

A empresa não pode discriminar consumidores que exercem seus direitos, incluindo negar produtos, cobrar preços diferentes, ou oferecer qualidade inferior (Civil Code § 1798.125).

## Quais são os prazos para responder?

Conforme Civil Code § 1798.130(a)(2):

**45 dias** para responder a partir do recebimento da solicitação verificada.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

**Gratuito até 2 vezes por ano** por consumidor. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável, demonstrando o caráter repetitivo.

O prazo de 45 dias é igual para solicitações de saber/acesso, exclusão, correção, portabilidade, e para confirmação de que opt-outs e limitações foram aplicados.

## O processo de opt-out: sem barreiras

A CPRA é explícita: a empresa não pode exigir que o consumidor crie uma conta ou passe por mais de dois passos para exercer o opt-out de venda e compartilhamento (Civil Code § 1798.120(c)).

O processo de opt-out precisa:

Ser direto e acessível pelo link "Do Not Sell or Share My Personal Information".

Não exigir criação de nova conta.

Não passar por mais de dois passos até a confirmação do opt-out.

Honrar o Global Privacy Control (GPC) como forma válida de opt-out.

Ser gratuito.

## O processo de solicitação: autenticação razoável

Para solicitações de acesso, exclusão, correção e portabilidade, a empresa pode verificar a identidade do consumidor usando métodos razoavelmente projetados para verificar que a pessoa que faz a solicitação é o consumidor sobre quem os dados foram coletados (Civil Code § 1798.130(a)(2)).

A verificação precisa ser proporcional ao tipo de dado envolvido. Para dados de baixo risco, uma confirmação por e-mail pode ser suficiente. Para dados mais sensíveis, pode ser justificado um segundo fator de verificação.

O que nunca é aceitável: exigir mais informações do que o necessário para verificar a identidade, ou criar processos deliberadamente trabalhosos para desencorajar solicitações.

A empresa não pode exigir que o consumidor forneça sua senha para exercer seus direitos.

## Agentes autorizados

O consumidor pode designar um agente autorizado para submeter solicitações em seu nome (Civil Code § 1798.130(a)(2)(C)).

Para solicitações de opt-out: a empresa deve respeitar a solicitação do agente autorizado se o consumidor deu ao agente autorização por escrito assinada, ou mediante verificação razoável da identidade do consumidor e da autoridade do agente.

O Global Privacy Control (GPC) funciona como uma forma de agente autorizado tecnológico: ao ativar o GPC, o consumidor está designando sua configuração de navegador como agente para transmitir o opt-out.

## O que acontece quando o controlador nega uma solicitação?

A empresa pode negar quando:

Não consegue verificar a identidade do consumidor.

A solicitação se aplica a informações coletadas antes de janeiro de 2022 (para o enforcement da CPRA, exceto direito de acesso).

Há exceção legal que justifica a retenção.

Em todos os casos, a recusa precisa ser comunicada ao consumidor, com:

Justificativa da recusa.

Informação de como apelar da decisão ou contatar a CPPA para registrar reclamação.

## Proteção especial para menores de 16 anos

A CPRA tem regras específicas para menores que afetam diretamente o Portal do Titular.

Para menores de 16 anos, a empresa não pode vender ou compartilhar dados pessoais sem opt-in ativo. Se a empresa receber um DSAR de opt-out de um menor de 16 anos, isso é irrelevante porque o opt-in nunca deveria ter ocorrido sem permissão.

Se um menor de 16 anos recusou ou revogou o opt-in, a empresa deve aguardar 12 meses antes de solicitar novamente o consentimento para venda ou compartilhamento.

Para menores de 13 anos, o consentimento foi dado pelos pais ou responsáveis. DSARs de menores de 13 anos precisam ser processados em conjunto com os pais ou responsáveis.

As penalidades por violações envolvendo dados de menores de 16 são triplicadas e automáticas: até **US$ 7.500 por violação**, sem necessidade de provar intencionalidade.

## O direito de ação privada: o diferencial da CPRA

A CPRA preserva e expande o direito de ação privada que a CCPA introduziu. Esse é um diferencial importante em relação a outras leis estaduais americanas como VCDPA, OCPA e CTDPA, que não têm direito de ação privada.

O consumidor pode processar diretamente a empresa quando há uma violação de segurança de dados não autorizada que resulte em acesso, roubo, divulgação, uso, modificação ou destruição não autorizados de informações pessoais não criptografadas e não redactadas nas categorias específicas definidas pela lei.

O dano mínimo é de **US$ 100 a US$ 750 por consumidor por incidente**, ou o dano real, o que for maior. Ações coletivas são permitidas.

## Proteção contra discriminação

Civil Code § 1798.125 proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade, recompensas, funcionalidades premium ou descontos onde a diferença está razoavelmente relacionada ao valor que os dados representam para a empresa, desde que o consumidor participe voluntariamente.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação e direito exercido.

Processo de verificação de identidade realizado.

Ação tomada (cumprida, recusada, ou alternativa adotada).

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out de venda e compartilhamento, e limitação de uso de SPI, com timestamp e identificador único. Quando o consumidor exerce o opt-out pelo link no site ou via GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para a CPPA. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CPRA

**Canal de submissão de solicitações** descrito na política de privacidade (Civil Code § 1798.130).

**Link "Do Not Sell or Share My Personal Information"** visível na homepage e em páginas de coleta (Civil Code § 1798.120).

**Link "Limit the Use of My Sensitive Personal Information"** se SPI é coletada (Civil Code § 1798.121).

**GPC honrado** como forma válida de opt-out de venda e compartilhamento.

**Cobertura de todos os direitos**: saber, acesso, exclusão, correção, portabilidade, opt-out de venda/compartilhamento, limitação de SPI, não discriminação.

**Direito de correção** descrito com processo e prazo de 45 dias (Civil Code § 1798.106).

**Direito de limitação de SPI** descrito com processo e prazo de 45 dias (Civil Code § 1798.121).

**Opt-out sem múltiplas etapas desnecessárias** (máximo 2 passos até confirmação).

**Agentes autorizados** aceitos para submissão de solicitações (Civil Code § 1798.130 a(2)(C)).

**Prazos**: 45 dias para resposta (+45 ext.); para apelações, prazo razoável.

**Gratuidade** para até 2 solicitações por ano por consumidor (Civil Code § 1798.130 a(3)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Proteção para menores de 16 anos**: opt-in obrigatório para venda/compartilhamento.

**Regra dos 12 meses** após recusa de menores de 16 anos.

**Informação sobre CPPA** para registrar reclamações em caso de negativa.

## Comparativo: prazos do Portal do Titular na CPRA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Saber, acesso, exclusão, correção, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out de venda e compartilhamento | Sem prazo específico | Imediato recomendado |
| Limitação de uso de SPI | Sem prazo específico | Imediato recomendado |
| Gratuidade por ano | 2 vezes por consumidor | Taxa razoável a partir da 3ª |

## FAQ: CPRA e Portal do Titular

**1. Qual é o novo direito de correção de dados da CPRA e como o Portal do Titular precisa contemplá-lo?**
O direito de correção (Civil Code § 1798.106) foi adicionado pela CPRA e não existia na CCPA. Permite que o consumidor solicite a correção de informações pessoais imprecisas mantidas pela empresa. O Portal do Titular precisa ter uma opção específica para solicitar correção de dados, descrever o processo de verificação e correção, e responder dentro de 45 dias informando se a correção foi realizada ou justificando por que não foi possível. A empresa pode manter os dados originais se acreditar que são precisos, mas deve registrar a solicitação de correção e comunicar ao consumidor.

**2. Como funciona o direito de limitar o uso de informações pessoais sensíveis (SPI)?**
O direito de limitação de SPI (Civil Code § 1798.121) permite que o consumidor instrua a empresa a limitar o uso de suas informações pessoais sensíveis a finalidades essenciais: fornecer o produto ou serviço solicitado, segurança, debugging, pesquisa interna e compliance. O Portal do Titular precisa ter um mecanismo para receber essa solicitação, ou a empresa deve disponibilizar o link "Limit the Use of My Sensitive Personal Information" que leva a uma página onde esse direito pode ser exercido sem múltiplas etapas.

**3. Por que o GPC é uma forma válida de opt-out sob a CPRA?**
A CPPA confirmou em suas orientações que o Global Privacy Control (GPC) é uma forma tecnológica de opt-out de venda e compartilhamento de dados pessoais válida sob a CPRA. Ao ativar o GPC, o consumidor está instruindo automaticamente cada site visitado a não vender ou compartilhar seus dados. Ignorar o GPC quando um visitante o tem ativado equivale a ignorar um opt-out explícito, o que configura violação da CPRA. Uma CMP bem configurada detecta o GPC e bloqueia automaticamente os rastreadores de publicidade para visitantes que o têm ativado.

**4. A CPRA tem direito de apelação para consumidores que tiveram solicitações negadas?**
A CPRA não tem um processo de apelação formal e estruturado como a OCPA e a CTDPA. Quando a empresa nega uma solicitação, deve informar ao consumidor que pode registrar uma reclamação junto à California Privacy Protection Agency (CPPA). O processo de reclamação na CPPA é a principal via de recurso para consumidores cujas solicitações foram negadas sem justificativa adequada.

**5. Como o Portal do Titular deve lidar com solicitações de pais em nome de filhos menores?**
Para menores de 13 anos, os pais ou responsáveis legais são os detentores do direito de consentimento. Um DSAR submetido por um pai em nome de um filho menor de 13 anos deve ser processado da mesma forma que uma solicitação do próprio consumidor, após verificação razoável da relação entre pai/responsável e a criança. Para adolescentes de 13 a 15 anos, a empresa pode exigir que o próprio adolescente submeta a solicitação, já que a lei reconhece a capacidade do adolescente de exercer seus próprios direitos, enquanto o opt-in para venda/compartilhamento permanece necessário.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CPRA: DSAR e Portal do Titular

A Iowa Consumer Data Protection Act (ICDPA, Iowa Code § 715D) tem os prazos mais longos de todas as leis estaduais americanas para o processo de DSAR.

Esta página cobre uma parte do quadro. Para o escopo completo da ICDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da ICDPA e cookies](https://goadopt.io/blog/iowa-icdpa-e-cookies-tudo-o-que-voce-precisa-saber/).

**90 dias** para responder a uma solicitação. **+45 dias** de extensão possível. **60 dias** para responder a uma apelação. **90 dias** de cure period garantido antes de qualquer ação do AG.

Para quem já estruturou portais para VCDPA, OCPA ou CTDPA com prazo de 45 dias, a ICDPA exige um processo com capacidade de resposta menor, o que pode parecer mais fácil operacionalmente. Mas os direitos cobertos são também mais restritos: sem correção de dados, sem opt-out de perfilamento, e exclusão limitada a dados fornecidos pelo consumidor.

Este artigo cobre tudo o que você precisa saber.

## O que é uma DSAR sob a ICDPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um consumidor residente do Iowa para exercer os direitos que a ICDPA garante sobre os próprios dados.

Conforme § 715D.3(1), o consumidor exerce seus direitos submetendo solicitação ao controlador, pelos meios especificados pelo controlador no aviso de privacidade.

## Quais são os direitos dos consumidores sob a ICDPA?

Conforme § 715D.3(1), os residentes do Iowa têm quatro direitos:

### 1. Confirmação e acesso

O consumidor pode confirmar se o controlador está processando seus dados pessoais e acessar esses dados (§ 715D.3(1)(a)).

### 2. Exclusão

O consumidor pode solicitar a exclusão dos dados pessoais que forneceu ao controlador (§ 715D.3(1)(b)).

**Escopo limitado:** como na UCPA, a ICDPA limita o direito de exclusão a dados que o consumidor forneceu. Dados obtidos de terceiros, data brokers, listas externas, e dados derivados não precisam ser excluídos por força da ICDPA.

Isso é diferente de leis como OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte.

### 3. Portabilidade

O consumidor pode obter cópia dos dados em formato portátil e utilizável, quando tecnicamente praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 715D.3(1)(c)).

O escopo também é limitado a dados que o consumidor forneceu ao controlador.

### 4. Opt-out da venda

O consumidor pode recusar a venda de dados pessoais (§ 715D.3(1)(d)).

**Importante:** embora o opt-out de publicidade direcionada não seja listado como direito formal em § 715D.3, a Seção § 715D.4(6) exige que o controlador ofereça opt-out de publicidade direcionada como parte das obrigações de transparência. Na prática, o Portal do Titular precisa aceitar solicitações de opt-out de publicidade direcionada também.

### O que a ICDPA não tem

Sem direito de correção de dados imprecisos (igual à UCPA).

Sem opt-out formal de perfilamento.

Exclusão limitada a dados fornecidos pelo consumidor.

## Prazos: os mais longos de todas as leis estaduais

Conforme § 715D.3(2):

**90 dias** para responder a partir do recebimento da solicitação (§ 715D.3(2)(a)).

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor dentro do prazo inicial.

Se o controlador suspeitar que a solicitação é fraudulenta, pode afirmar apenas que não conseguiu autenticar, sem precisar detalhar a razão (§ 715D.3(2)(b)).

**Gratuidade: 2 vezes por ano** por consumidor (§ 715D.3(2)(c)). A partir da terceira solicitação no mesmo período de 12 meses, o controlador pode cobrar taxa razoável ou recusar se a solicitação for manifestamente infundada, excessiva, repetitiva, tecnicamente inviável, ou se o objetivo principal não for exercer um direito. O ônus de demonstrar o caráter excessivo é do controlador.

## O processo de apelação: 60 dias

Conforme § 715D.3(3), o controlador precisa estabelecer um processo de apelação. O processo precisa ser conspicuamente disponível e similar ao processo de submissão original.

Dentro de **60 dias** do recebimento de uma apelação, o controlador deve informar o consumidor por escrito de qualquer ação tomada ou não tomada, com explicação escrita dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online para contatar o Attorney General e registrar reclamação (§ 715D.3(3)).

## Autenticação

Conforme § 715D.3(2)(d), se o controlador não conseguir autenticar a solicitação usando esforços comercialmente razoáveis, não é obrigado a cumprir. Pode solicitar informações adicionais razoavelmente necessárias para autenticar.

Em caso de suspeita de fraude, o controlador pode simplesmente informar que não conseguiu autenticar, sem precisar detalhar por que acredita que a solicitação é fraudulenta (§ 715D.3(2)(b)).

A ICDPA não tem regra especial de autenticação para opt-out, diferente da OCPA que proíbe exigir autenticação para opt-out de publicidade direcionada.

## Como deve ser o canal para submissão de solicitações

Conforme § 715D.4(7), o controlador deve estabelecer meios seguros e confiáveis para submissão de solicitações, e descrevê-los no aviso de privacidade.

Esses meios precisam:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir autenticação da identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta para exercer direitos. Pode exigir uso de conta existente.

Um Portal do Titular bem estruturado para a ICDPA inclui:

Formulário com os quatro direitos (confirmação/acesso, exclusão, portabilidade, opt-out de venda), mais opt-out de publicidade direcionada conforme § 715D.4(6).

Processo de verificação de identidade proporcional.

Confirmação de recebimento.

Registro da solicitação e da resposta.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências sejam refletidas nos sistemas da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e confirmação

Receba e autentique com esforços comercialmente razoáveis.

Confirme se os dados do consumidor estão sendo processados.

Localize os dados pessoais relevantes nos sistemas.

Responda dentro de 90 dias.

### Solicitação de exclusão

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Verifique se há exceção legal.

Exclua os dados identificados dos sistemas.

**Nota:** dados que o controlador obteve de fontes externas não precisam ser excluídos sob a ICDPA.

### Solicitação de portabilidade

Receba e autentique.

Identifique os dados que o consumidor forneceu diretamente.

Prepare em formato portátil e utilizável.

Entregue ao consumidor dentro de 90 dias.

### Opt-out de venda de dados

Receba pelo canal designado.

Autentique.

Cesse a venda dos dados do consumidor.

Informe dentro de 90 dias.

### Opt-out de publicidade direcionada

Receba pelo canal designado (obrigação por § 715D.4(6)).

Autentique.

Atualize os sistemas de rastreamento para cessar publicidade direcionada.

Informe o consumidor.

## O que acontece quando o controlador nega uma solicitação?

Conforme § 715D.3(2)(b), o controlador que decidir não agir deve informar o consumidor sem demora indevida, com:

Justificativa para não tomar ação (exceto em caso de fraude suspeita, onde pode apenas informar que não conseguiu autenticar).

Instruções sobre como apelar da decisão.

O processo de apelação precisa resultar em resposta por escrito dentro de **60 dias**. Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General online.

## Proteção de crianças

Conforme § 715D.3(1), os pais ou responsáveis legais de crianças conhecidas (menores de 13 anos) podem exercer os direitos em nome da criança.

Para dados de crianças, a empresa precisa cumprir a COPPA (§ 715D.2(2)(r) e 715D.4(2)), incluindo consentimento parental verificável.

## Proteção contra discriminação

Conforme § 715D.4(3), a empresa não pode discriminar consumidores que exercem seus direitos. Isso inclui negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários e situações onde o opt-out de publicidade direcionada justifica ajuste de preço.

## O cure period de 90 dias e os DSARs

Antes de iniciar qualquer ação, o AG deve notificar o controlador e conceder **90 dias para correção** (§ 715D.8(2)).

Empresas sem processo estruturado para DSARs têm mais tempo para corrigir sob a ICDPA do que sob outras leis (VCDPA: 30 dias, UCPA: 30 dias, OCPA: eliminado). Mas o cure period é uma garantia, não uma estratégia de conformidade.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de venda ou publicidade direcionada, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para o Attorney General do Iowa.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a ICDPA

**Canal de submissão de solicitações** descrito no aviso de privacidade (§ 715D.4(7)).

**Cobertura dos 4 direitos**: confirmação/acesso, exclusão (dados fornecidos pelo consumidor), portabilidade, opt-out de venda.

**Opt-out de publicidade direcionada** (obrigação de transparência, § 715D.4(6)).

**Ausência de exigência de nova conta** para exercer direitos.

**Prazo de 90 dias** para resposta (+45 ext. com notificação) (§ 715D.3(2)(a)).

**Autenticação com esforços comercialmente razoáveis** (§ 715D.3(2)(d)).

**Gratuidade para 2 solicitações** por ano por consumidor (§ 715D.3(2)(c)).

**Processo de apelação** conspicuamente disponível (§ 715D.3(3)).

**Prazo de 60 dias** para resposta a apelações (§ 715D.3(3)).

**Mecanismo para contatar o AG** se apelação for negada (§ 715D.3(3)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Pais/responsáveis** podem exercer direitos por crianças conhecidas (§ 715D.3(1)).

**Proteção contra discriminação** (§ 715D.4(3)).

## Comparativo: prazos do Portal do Titular na ICDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, exclusão, portabilidade | 90 dias | +45 dias com notificação |
| Opt-out de venda de dados | 90 dias | +45 dias com notificação |
| Apelação de decisão | 60 dias | Não especificado |
| Cure period para violações | 90 dias garantidos | Não há extensão |

## FAQ: ICDPA e Portal do Titular

**1. Por que o prazo de 90 dias da ICDPA é o mais longo de todas as leis estaduais americanas?**
A ICDPA foi aprovada pelo legislativo do Iowa com foco em reduzir a carga operacional sobre as empresas. O § 715D.3(2)(a) estabelece 90 dias como prazo padrão, o dobro dos 45 dias adotados pela maioria das outras leis estaduais. Isso reflete uma filosofia legislativa similar à UCPA do Utah: proteger consumidores sem criar obrigações excessivamente onerosas. Na prática, empresas com múltiplas jurisdições ainda precisarão processar solicitações dentro dos prazos mais curtos das outras leis, o que torna o prazo de 90 dias da ICDPA mais um teto legal do que um alvo operacional.

**2. O consumidor pode solicitar opt-out de publicidade direcionada como direito formal sob a ICDPA?**
Não como direito formal listado em § 715D.3. O opt-out formal de direito cobre apenas venda de dados em § 715D.3(1)(d). No entanto, o § 715D.4(6) exige que, se o controlador realiza publicidade direcionada, divulgue isso e descreva como o consumidor pode exercer o opt-out. Na prática, o Portal do Titular deve aceitar e processar essas solicitações como parte das obrigações de transparência, mesmo que a base legal seja diferente da do opt-out de venda.

**3. Por que o direito de exclusão da ICDPA é mais restrito do que na OCPA?**
O § 715D.3(1)(b) limita o direito de exclusão a dados "pessoais fornecidos pelo consumidor ao controlador." Isso exclui dados obtidos de terceiros, dados inferidos e dados derivados. A OCPA exige exclusão de dados fornecidos pelo consumidor, obtidos de outras fontes, e dados derivados. Essa diferença é significativa: sob a ICDPA, uma empresa que comprou dados de um data broker não precisa excluir esses dados por força da lei se receber uma solicitação de exclusão do consumidor em questão.

**4. Quão longa é a apelação de 60 dias da ICDPA em comparação com outras leis?**
A apelação de 60 dias da ICDPA (§ 715D.3(3)) é igual ao da VCDPA e da CTDPA, ambas com 60 dias. A OCPA estabelece 45 dias para apelações. A UCPA não tem processo formal de apelação estruturado. Em termos de prazo, a ICDPA está alinhada com as leis mais tradicionais do leste americano.

**5. O que acontece se o controlador não tiver processo estruturado de DSAR quando o Attorney General investigar?**
O AG notifica o controlador e concede 90 dias para correção (§ 715D.8(2)). Esse prazo de 90 dias é garantido e é o mais longo entre as leis estaduais. Se o controlador corrigir e fornecer declaração escrita expressa, nenhuma ação é iniciada. Se não corrigir ou descumprir a declaração, o AG pode buscar penalidades de até US$ 7.500 por violação (§ 715D.8(3)). Não há direito de ação privada (§ 715D.8(4)).

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a ICDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Todos artigos