Chegou a hora de falarmos sobre uma das tarefas de maior impacto - tanto para a empresa, como para o visitante dos seus sites; a categorização de Tags. Mas, qual o porquê de tanto impacto? Qual a relevância desta configuração, em que ela pode nos afetar? Justamente por essas dúvidas, tão comuns no atendimento aos nossos clientes, que escrevemos esse artigo com as boas práticas na categorização de tags.

## O que é uma tag?

Para começarmos bem, vamos ajudar com alguns conceitos básicos que vão situar cada um de vocês na AdOpt e no mercado como um todo.

De maneira bastante direta: 1 _Tag_ = Disparador de 1 ou mais Cookies.

Como assim?

Basicamente, a maioria das _Tags_, ou _pixels_ – como também são conhecidos, quando instalados no HTML de um site são eles os responsáveis pelo disparo dos cookies para cada visitante, naquela determinada página. Uma _Tag_ pode executar várias funções como ler cliques em botões, rolagem de página, coletar campos de texto, sempre associando este comportamento àquele navegador visitante.

Uma vez que isso seja possível, a maneira com que a Tag armazena os dados gerados pelo visitante, é:

\- Enviando-os para o seu servidor (servidor do serviço criador da _Tag_) e;

\- Também pode gravar, no seu navegador, as infos todas em os cookies que ela gera e grava na sua máquina.

Por exemplo. quando acessamos um e-commerce e ele reconhece que estamos voltando após um acesso mostrando produtos que são do nosso interesse; acontece graças aos [cookies](https://goadopt.io/blog/cookies-e-lgpd/) e as tags fazendo o seu trabalho. Resumindo então, 1 Tag pode disparar N cookies e realizar N funções.

Enfim, a _Tag_ em si não é algo ruim, tudo depende da sua aplicação.

## O que é a categorização de Tags?

A categorização consiste no trabalho do [Encarregado de Dados – DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), de organizar todas as tags instaladas no(s) site(s) de sua responsabilidade em categorias específicas que representam sua finalidade e propósito de estarem ali.

O mercado já criou “categorias padrão” desde a GPDR, pioneira neste ponto, são elas:

- **Essenciais / _Necessárias_:** Sem elas o seu modelo de negócio, seu site, não funciona, ou, você tem que usá-las por força de lei/sua legislação.  
    
- **Marketing / _Propaganda_:** Com elas você dispara seu remarketing, popula os pixels de anúncios, automatiza cadências de e-mails, etc.  
    
- **Estatística / _Analytics_:** Com elas você tem uma análise do que os visitantes fazem, de onde vem, como se comportam no seu site.  
    
- **_Performance_:** Tags que mantém as funcionalidades do site garantindo seu funcionamento e velocidade de resposta. ex. previnem ataques ao DDos  
    
- **_Funcionais_:** Tags que operam aspectos de funcionalidade, como lembrar as preferências ou reconhecer que você já está logado no sistema, chatbots.

Ou seja, cada empresa poderá ter um grupo de Tags instaladas no seu site cuja finalidade – descrita e detalhada na Política de Privacidade (ou política de cookies), deverá ser replicada, de igual maneira na comunicação com os visitantes – o aviso de cookies, bem como em todos os processos que façam uso destes dados.

## Por que categorizar as tags?

Muitas empresas fazem uso de aviso de cookies que não organizam as tags, ou cookies em categorias específicas, obrigando o visitante a aceitar todas as Tags sem distinção.

Isso traz um grande risco de [multas](https://goadopt.io/blog/multas-na-lgpd/) para a sua operação, uma vez que diversas legislações exigem que o consentimento deve ser específico e detalhado para determinada finalidade. Na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) por exemplo, o Art. 5º. Inciso, XII é claro:

> #info XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma **finalidade determinada;**

Esse é um dos motivos que AdOpt sempre trabalhou com um [design](https://goadopt.io/blog/o-que-e-privacy-by-design/) que prioriza a liberdade para todos os visitantes navegarem pelas categorias e suas respectivas Tags.

## Como diferenciar a função de cada tag?

Certamente o mercado já antecipa algumas finalidades e respectivas categorias. Contudo, vale lembrar que essa etapa muitas vezes envolve áreas da empresa que vão além daquelas aparentes no site. Pois, uma coleta feita através dos cookies pode ser a base operacional de um departamento inteiro e todos os processos, em alguma empresa.

Isso quer dizer que, apesar do mercado já prever um padrão para a categoria de cada tag, principalmente as mais populares, os encarregados de dados devem ajustar essa diferença dentro da operação da empresa garantindo a realidade dos fatos, e principalmente amparando tal escolha nas bases legais escolhidas.

Logo, por mais que haja um padrão as empresas são livres para ajustar os fatos, e devem estar prontos para responder os fatos com total clareza aos cidadãos.

É por isso que na AdOpt quando é feito o escaneamento das tags, algumas delas já vem com uma pré-classificação. Mas, isso não impede que o Encarregado de Dados de determinada empresa, ajuste essa categorização de acordo com sua [Política de Cookies e Privacidade.](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)

Como plataforma a AdOpt não pode forçar que a configuração siga determinada linha ou princípio. Mas, preza pela liberdade dentro de seus ambientes para que a responsabilidade do Encarregado de Dados seja respeitadas a todo momento.

## O que as legislações falam sobre como classificar cada tipo de tag?

As legislações de privacidade não adentram esse tipo de análise “micro” das categorias de Tags. Pois, seria inviável para as autoridades nacionais emitirem um parecer de classificação para cada nova Tag que surgisse no mercado.

Assim, cabe as empresas garantir que a comunicação seja clara, objetiva e respeite os aspectos de liberdade e finalidade já expostos anteriormente. Logicamente que o mercado se ajusta e então cria-se um padrão e até mesmo nomenclaturas próprias para cada uma delas.

Por exemplo, o nome: Tags Essenciais ou Necessárias não são determinados pela lei. Mas, esse nome ajuda na rápida compreensão de sua finalidade por isso o mercado o adotou, pois quanto menos confusão neste aspecto melhor. Afinal, a subjetividade está em todos os lugares e contextos. Se pudermos evitar esses pontos com um certo “padrão” minimizamos estas variáveis.

## Onde aplicar e, ou replicar essa informação?

Como já foi dito anteriormente a categorização das Tags é um ordenamento que deve refletir a finalidade operacional no uso daquele dado, logo antes de uma aplicação conceitual ela deve ter um uso prático que espelhe essa classificação.

Ainda assim, vale ressaltar que essa classificação é muitas vezes explanada, ou aprofundada nos documentos oficiais da empresa como a Política de Privacidade e a Política de Cookies.

[Qual a Política de Privacidade Ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)

Além disso, um quesito importantíssimo diretamente relacionado à categorização de tags é a configuração do bloqueio de tags de terceiros de acordo com a escolha do visitante. Ou seja, o aviso de cookies só permite que determinada Tag seja executada após o consentimento do visitante.

Como assim?

Cada visitante é livre para escolher se quer ou não consentir com aquele grupo de Tags declarado pela empresa. Logo, a sua vontade é respeitada quando os cookies são de fato gravados somente mediante o consentimento “livre, informado e inequívoco” (sem equívocos, evidente, sem ambiguidade).

**É por isso que a AdOpt orienta que todos os usuários da ferramenta, sem exceção, façam a configuração de bloqueio de tags de terceiros. Pois, somente com essa configuração no ar que o aviso estará completa e propriamente instalado.**

[Aqui um tutorial para você configurar o bloqueio de tags de terceiros no seu site.](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

## Por que alguns sites não fazem o bloqueio de Tags de terceiros?

Não cabe à AdOpt julgar o porquê de determinado site, e até mesmo os seus clientes, optaram pela não realização dessa configuração. Ainda que constantemente reforçada em nossa comunicação e classificada como “essencial”.

Certamente, tal decisão prejudica a imagem de ambos, empresa e até mesmo da AdOpt. Mas, é preciso lembrar que antes deste setup, cada Tag tem uma função única dentro de cada empresa, em seu ambiente e contexto únicos. Um mecanismo imposto tecnologicamente pela AdOpt iria contra a liberdade de escolha dos seus clientes, na interpretação e aplicação da Lei que vale para todos.

Guardadas as devidas proporções e equivalências, como um exemplo. Seria como responsabilizar as fabricantes de veículos pelos carros que tem a capacidade de ultrapassar a velocidade permitida. A montadora pode instalar alertas, reforçar a comunicação de várias maneiras. Mas, nunca poderá impor que um cidadão não dirija segundo a sua liberdade.

## Último ponto, como uma regra de ouro!

#### **Sempre alinhe o Uso real dos dados, ao Processos, à documentação e à comunicação.**

**Ao [processo](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/):** Que a coleta de dados declarada para determinada finalidade, seja de fato o mesmo destino e uso dos dados dentro da sua empresa.

**À documentação:** Que os documentos oficiais estejam sempre atualizados, e que de fato reflitam a realidade praticada na empresa.

**À comunicação**: Que a Tag classificada como Necessária, ou as demais classificações, seja de fato. Que a tag não e esteja classificada como “essencial” apenas pelo fato do visitante não poder bloquear. Pois, isso seria uma tentativa de burlar a liberdade dos cidadãos que acessam o seu site.

Pois, o mesmo mercado que cria padrões de classificação para determinadas Tags, também é capaz de julgar a veracidade das intenções e dos fatos, declarados pelo seu aviso de cookies no seu site.

Lembrem-se sempre que: antes das empresas existem as pessoas. A LGPD já foi criada justamente para tentar equalizar melhor a relação entre empresas e cidadãos. Afinal, a privacidade é um direito universal, e não pode ter valor apenas quando perdida.

\---

Sentiu falta de algum ponto ou explanação? Manda a gente no [hey@goadopt.io](mailto:hey@goadopt.io), que será um prazer conversar mais sobre o tema contigo!

[Aqui você pode entender melhor sobre o funcionamento de um aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

Boas práticas na categorização de tags.

A Lei de Proteção de Dados surgiu há tempos e, desde então chama atenção para inúmeros profissionais. Apesar disso, não é raro encontrar sites e empresas que a ignoram, uma vez que buscam espaço para adaptar-se. Nesse sentido, até quando podemos ignorar a LGPD?

**Pois saiba que não é mais possível ignorá-la.** E isso é uma realidade desde a sua aprovação. Mais ainda, aliás, diante da sua aplicação desde 2021.

Tendo isso em vista, note que já se passaram alguns anos desde que essa lei surgiu, o que não dá mais desculpas para ignorá-la. Aliás, não só isso, pois a ignorância acerca dela pode trazer muitos prejuízos. Entenda um pouco mais aqui, sobre as [multas da LGPD.](https://goadopt.io/blog/multas-na-lgpd)

Por isso, o relógio corre em desfavor daqueles que optaram, até agora, em postergar as adaptações impostas pela LGPD. Portanto, é hora de mudar sua postura. Como e porquê fazê-lo é o que você descobre abaixo.

## Mas, afinal, o que a LGPD exige?

Muito se fala em LGPD, contudo pouco se diz sobre o que realmente ela exige. Apesar disso, tornou-se imprescindível que usuários online e donos de site entendam de uma vez por todas o que ela é.

Afinal, somente assim é possível compreender toda a importância dessa lei. Mas, não se preocupe: aqui nós dispensamos qualquer juridiquês para falar com você sobre essa norma.

A [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) é uma norma de aplicação nacional que entrou em vigor em 2020. Muitos esperavam que isso ocorresse mais tarde, pois havia expectativa de que sua aplicação fosse postergada, como ocorreu anteriormente.

Contudo, isso não ocorreu. Ou seja, desde 2020 a LGPD é uma realidade e requer cuidados. Muitos acreditam que ela só traz implicações para empresas e seus sites. Mas não só isso, ela rege a forma como todas Empresas, Governos, ONGs, Associações, Igrejas… enfim, Pessoas Jurídicas nas suas mais diversas classificações lidam com dados dos cidadãos daquele país. 

Vale destacar que a LGPD e todas as demais legislações de privacidade não focam apenas nos dados em ambientes digitais, mas em todos. Logo, a maneira como uma empresa lida com um e-mail fornecido em um site, ou em uma prancheta, importa! Na mesma linha, estendendo o cuidado tanto aos servidores do site, como os arquivos e fichários, cadernos que "armazenam" tais dados.

Enfim, todos os processos da sua empresa que envolvam dados pessoais em seus fluxos devem ser re-pensados e adequados.

Partindo do princípio que você já entendeu que todas as vezes que você visita um site ou faz uma ação online, tanto o seu navegador gravará sinais, quanto o site receberá informações sobre você. Vamos então reforçar que isso não pode ocorrer indiscriminadamente, certo? Pois é exatamente sobre isso que a Lei Geral de Proteção de Dados trata. Ou seja, ela garante que haja limitações sobre o uso de dados, pessoais. Seja em sites, ou outros ambientes quaisquer.

(Se você ainda não entendeu que estamos falando dos [Cookies de Internet](https://goadopt.io/blog/cookies-e-lgpd/), leia aqui antes de avançar) 

Com isso, a lei visa proteger a intimidade e a privacidade dos usuários. Igualmente, garante que eles tenham maior noção de como é o uso dos seus dados e qual é a segurança que a empresa que tem acesso a eles lida com tais informações.

E não para por aí. A LGPD também trouxe conceitos de classificação de dados, bem como cuidados específicos com eles em relação ao vazamento e ao tratamento.

No final das contas, essa lei visa a transparência dos sites com os usuários. Da mesma forma, impõe cuidados que podem garantir a segurança destes. Por isso, resumidamente, ela determina basicamente quatro pontos cruciais no que diz respeito à proteção de dados:

- Forma de tratamento (uso) adequado dos dados pessoais;
- Solicitação de autorização e/ou revogação quanto aos dados de coleta;
- Punições para empresas que não cumprem com os cuidados acima;
- Liberdade para que todos os cidadãos possam ter acesso aos seus dados.  
    

## Tic Tac: Não há mais tempo para ignorar a LGPD, veja consequências em fazê-lo

Já deve estar claro para você que a LGPD trouxe consigo uma série de questões importantes que impactam completamente a forma como as empresas operam.

Trazendo agora para o ambiente digital, onde estamos agora, eles deve mostrar ainda mais transparência aos seus visitantes, logo seguir à risca as autorizações e políticas.

Embora a lei desse um prazo de adaptação às empresas até agosto deste de 2021, tal prazo já passou. Ou seja, atualmente já se faz possível a aplicação das [multas penalidades da Lei Geral de Proteção de Dados](https://blog2.goadopt.io/multas-na-lgpd/) sobre as empresas cujos sites que não respeitam suas diretrizes.

Por isso, saiba que se o seu site ainda não conta com políticas claras de privacidade, no caso de uso de cookies, um [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) que respeite a personalização de autorizações, ele está em risco.

E as penalidades da LGPD são bastante graves e incluem advertências (mais leves) e multas. Quando por infração, essa multa é de até 2% do faturamento anual da empresa (com limitação de base de cálculo de R$ 50 milhões). Ainda, há possibilidades de sanções que bloqueiem a base de dados das empresas até que regularizem suas operações.

Nesse sentido, veja que continuar ignorando a lei que regula a segurança e a proteção de dados é um verdadeiro tiro no pé para a sua empresa.

Ao fazê-lo você coloca o seu site e a sua empresa em risco. Ainda que na melhor das hipóteses seja vítima apenas de uma advertência, insistir no erro mexe no seu bolso e na imagem do seu site, bem como no acesso a dados tão importantes para suas atividades.

## Como se adaptar à LGPD e evitar problemas com a lei?

Não é mais possível ignorar a LGPD afinal, o prazo de adequação à Lei já passou.

Como estamos agora no ambiente digital, vamos nos ater a ele em como te ajudar neste processo. Afinal, muitas empresas hoje em dia tem grande parte dos seus processos e operações digitais. Como E-commerces, Agências Digitais, Empresas de Lançamento, Infoprodutores, Startups, etc.

Todos esses exemplos acima se apoiam no uso dos dados pessoais para Automação de Marketing, Landing Pages, Infinitos Pixels com seus Cookies de Remarketing, Campanhas de mídia, etc.

Enfim, é impossível continuar ignorando essa lei. Mas como colocá-la em prática? Não se preocupe, pois preparamos um passo a passo básico com alguns dos preceitos indispensáveis. 

Lembre-se a LGPD não é um check-box no seu site, mas, uma mudança de processos e cultura voltados à privacidade. Então, abaixo separamos algumas dicas. Se você levar à sério, verá que lá no final a gente te leva para mais alguns direcionamentos que valem ouro. (Tem muita gente cobrando caro, pelas informações que disponibilizamos aqui, de graça - de nada!)

> Lembre-se a LGPD não é um check-box no seu site, mas, uma mudança de processos e cultura voltados à privacidade!

### **Planeje a sua Adequação, "conheça a sua bagunça."**

Primeiramente, é impossível falar de adequação à LGPD sem um plano. Como assim? Entenda que você nunca vai conseguir sentir confiança no que está fazendo se não souber onde estão os dados, de onde eles vêm, para onde vão, quem os processa e os utiliza. Logo, você precisa de um [Mapeamento de Dados,  aqui tem um artigo](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) que a gente te ajuda a entender o que é, e a como montar um.

Sabe quando você está no mercado e vê um produto fora do lugar, é meio bizarro né? "Dá um ruim na gente", como diriam no Sul do Brasil. Então, sério, dedique algum tempo a isso e você verá que todas as demais etapas serão simplificadas. Você não quer encontrar uma escova de dentes na sua gaveta de meias quando a Agência Reguladora bater na sua porta.

### **Desenvolva uma política de privacidade**.

Primeiramente, é impossível colocar o respeito à LGPD em prática sem que se desenvolva uma política de privacidade. Ela traz informações completas sobre como a empresa colhe dados, como os utiliza, com quem compartilha, seus prazos de uso e detalhes.

Igualmente, esclarece como são guardados os dados e quais são os cuidados que se aplicam à segurança contra vazamentos, por exemplo. Assim, lembre-se de usar uma linguagem clara e acessível, bem como de passar por todos os pontos relevantes, tintim por tintim.

Qual a base para escrever uma boa política? Advinha! O seu Mapeamento de Dados do ponto acima. Então, não pula o ponto anterior, confia!

Aqui um artigo pra te ajudar com a [política de privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/).

### Conte com um dispositivo de aviso e configuração de cookies.

Lembra que estamos falando de empresas digitais, certo? Estas empresas têm uma característica muito peculiar: As portas de entradas de dados costumam ser todas digitais. Logo, é muito mais fácil a gente controlar o que passa por elas! E, melhor ainda, com o uso de tecnologia!

Por isso, o seu [Aviso de Cookies ou a CMP - Consent Management Platform](https://goadopt.io/blog/o-que-e-uma-cmp/), quando bem implementado, se torna praticamente um "Pareto da Adequação", aqueles 20% de esforço que resolvem 80% dos problemas.

Ou seja, não deixe de garantir que seu site tenha um banner de cookies adequado e já te ajude a organizar os dados desde a entrada. O banner de cookies não será a sua bala de prata. Mas, será um excelente começo para manter a casa em ordem com o passar do tempo.

[Aqui um artigo pra você entender melhor como funciona um aviso de cookies da LGPD.](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

Para isso, conte com a Adopt. A nossa equipe conta com profissionais experientes no mercado que dão toda a assistência para você. Aqui a gente te ajuda a [como escolher um aviso de cookies pro seu site](https://goadopt.io/blog/banner-de-cookies/).

### Cuidado com a segurança da informação.

Outro ponto importante para adaptação da empresa e do site à Lei de Proteção de Dados é com o aumento do cuidado da segurança da informação. As empresas sempre foram responsáveis pelos dados vazados, agora mais ainda! Então, vamos trabalhar duro para evitar qualquer vazamento ou prejuízo decorrente que gere consequências graves para as empresas e às pessoas que sofrem com seus dados expostos.

Logo, lá no seu mapeamento de dados destaque os riscos de vazamento e segurança. De novo, dedique tempo a esses critérios e processos de segurança, você não vai se arrepender de ter isso mapeado e controlado. Pois, na hora do caos a melhor sensação é a de que você está preparado, e sabe o que fazer!

### Cuidados com as ações de marketing.

Por fim, também aplique seus cuidados com a aplicação da LGPD às suas ações de marketing. Afinal, é necessário seguir à risca o uso de comunicados e campanhas somente a quem autorizou o recebimento deles, bem como os demais fluxos que são disparados mediante o uso de dados pessoais.

Aqui temos outro artigo interessante pra você: [10 Processo de Marketing que você precisa repensar na LGPD.](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

Como dito anteriormente esses são apenas alguns passos, quer se aprofundar mais nos tópicos de adequação, esse [artigo](https://goadopt.io/blog/significado-da-lgpd/) é o próximo para você.

Até quando podemos ignorar a LGPD?

Com o Data Mapping entendemos à fundo as 5 etapas que todo e qualquer dado passa dentro de qualquer departamento de uma empresa, não importando o tamanho ou mercado. Novamente meu caro, não é preciso ser nenhum PhD em PMBOK ou Gestão de Projetos para entender essas etapas tão importantes! Pois, o Data Mapping e o Inventário de Dados se tornaram, uma das maiores ferramentas de trabalho dos DPOs!

O mercado hoje trouxe muita tecnologia e qualidade para esses processos! Não temos o que falar. Mas, meu objetivo aqui hoje é te ensinar a ver as coisas de maneira mais simples e objetiva, como de fato são **– um simples ordenamento dos fatos**, e isso já vai te ajudar.

Então, vamos lá!

Um conceito básico que vai nortear a sua compreensão daqui pra frente:

## **Com o agrupamento de processos temos um departamento.**

Logo, cada processo pode ser organizado em uma ordem, ou não, formando assim as rotinas dos departamentos.

Assim, para cada processo da sua empresa, os 5 pontos abaixo podem ser cumpridos total ou parcialmente.

São eles:

1. #### Motivação precisamos deste dado – Por quê?
    
2. #### 2.1 – Consentimento.
    
3. #### Processamento / Tratamento
    
    #### 1 – Compartilhamento interno entre as áreas e sistemas.
    
    #### 3.2 – Armazenamento para uso e consulta interna.
    
    #### 3.3 – Back-up.
    
4. #### Descarte
    
5. #### Fim do processo?
    

_E o que eu faço com esses 5 pontos acima?_

### **Preenche eles e estrutura essa lógica em todos os seus processos e consequentemente, departamentos.**

Sim, dá trabalho eu sei!

Mas, isso será extremamente valioso em caso de uma notificação da ANPD ou antes mesmo, no caso de um cliente ou visitante do seu site te pedir acesso aos dados que vocês eventualmente tenham sobre ele.

Lógico, e se você é uma “EUpresa”, ou tem pouquíssimos funcionários e processos tudo isso pode se resumir a 3, 4 sistemas (e-mail, automação de marketing, algum google drive e a contabilidade) pois, tudo está armazenado nestes lugares. Agora, imagina uma empresa com 500 funcionários em 10 cidades.

Lembre-se, de acordo com a LGPD qualquer titular pode bater na sua porta perguntando se você tem algum dado dele, e, você deve responder com agilidade.

Logo, sem o “mapa do tesouro” como você vai saber que o [zé@emailmaroto.com](mailto:zé@emailmaroto.com) se cadastrou na Newsletter, já comprou há 3 meses e foi seu funcionário há 5 anos atrás?

Neste exemplo acima, você teria que reportar para o “Zé” que você possui dados como:

\- Nome, E-mail, CPF, Telefone, Endereço, Carteira de Trabalho, Filiação (dados do RH) e compartilhamento com Google e Facebook.

Pelos motivos de:  
1- Contratação no passado, logo a legislação trabalhista te obriga a manter esses dados na contabilidade por X anos. Ou seja, mesmo que ele peça a exclusão você poderá negá-la, por força maior da outra legislação.

2 – Compra do produto X, Y, Z há 3 meses.  
Que também gerou o cadastro na newsletter (com o famoso “aceito receber promoções”). Da newsletter, você tem ele na lista de disparo para novos produtos e novidades do seu e-commerce, e todas as ferramentas de remarketing estão ligadas perseguindo-o diariamente por toda a internet, toda vez que ele entra pra ver os seus produtos.

Sendo assim, ele pode livremente te pedir a exclusão de todos os seus dados para fins de marketing. Isso vai te levar a uma ação que desencadeia diversas outras. São elas:

\- Apagar o e-mail e demais dados no CRM e ferramenta de disparo de e-mails.  
\- Distribuir a solicitação de Opt-out para eventuais sistemas que você esteja integrado e usem esses dados. (sistema da logística e ERP, por exemplo)  
\- Remover ele do segmento de remarketing do Google e Facebook.  
\- Reportar em uma documentação oficial da empresa que os passos acima foram realizados prontamente.

(Para os clientes AdOpt, quando integrada ao Tag Manager a parte dos cookies fica bem mais fácil! Pois, no momento que o visitante não autoriza algum deles, a AdOpt já bloqueia esse disparo automaticamente!  
[Aqui um tutorial pra você!](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

Além disso, a requisição de um visitante na na página de opt-out já envia na mesma hora um e-mail pra você, com essa solicitação vinculando o e-mail do solicitante ao Cookie ID gerado no Opt-In.

Assim, você consegue já iniciar essa busca com um maior direcionamento caso o solicitante tenha te dado o consentimento a alguma ferramenta, e quando.

Entendeu agora a importância de um mapeamento dos processos da empresa?

Somente com tudo isso em mãos que você vai terá tranquilidade e, principalmente, facilidade de acessar a todos esses dados prontamente. Para algumas empresas cerca de 48, 72 horas (um prazo razoável para uma resposta...) dá e sobra, para outras é praticamente impossível.

Seja você ou o seu DPO contratado, nós não podemos parar a empresa a cada requisição que um visitante solicite. Com o Data Mapping em mãos, essa busca é muito mais rápida, direcionada e diria até automatizada, caso você use um software só pra isso.

Abaixo um detalhamento maior sobre cada um dos pontos do _Data Mapping_

1. **Motivação precisamos deste dado – Por quê?**Se a LGPD ainda não despertou em você e na sua empresa uma reflexão real sobre a real necessidade dos dados pessoais em sua empresa, pare e faça isso o quanto antes.
    
    Sim! Muitas vezes, principalmente as áreas de Marketing e Vendas tem uma compulsão pela informação de qualificação e identificação dos _prospects_ e _leads_ para cada etapa do funil. É ótimo pegar o telefone e fechar os últimos detalhes da venda, ou abordar um cliente indeciso na surpresa e conseguir convencê-lo do valor do seu negócio.
    
    Mas, o ponto que destaco é: Repense as reais necessidades de acessar, processar e armazenar esses dados. Você não necessariamente precisa ter um excel com milhares de linhas dos seus clientes inativos de 5 anos atrás, na esperança de um dia reaquecer essa lista morta. À luz da LGPD seu risco já foi mensurado, será que ele vale a pena?
    
    [Nesse artigo deixo pra você 10 processos do marketing que você deve repensar na LGPD!](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)
    
2. **Coleta**.  
    Quais são as maneiras com que cada processo coleta/recebe os seus dados, e juntamente com eles o seu consentimento? Todos os dados adentram a empresa por 1 única porta de entrada, ou mais de uma?
    
    Liste-as todas, e reveja se em cada porta de entrada estão dispostas as devidas comunicações de políticas e processos, e se juntamente com os dados, são também coletados os consentimentos de cada titular. Ainda que de maneira analógica/off-line, o consentimento é essencial  
    1 – Consentimento.  
    Sim, o consentimento é essencial mas, não é o único instrumento que te permite acessar ou processar dados pessoais.
    
    Nesse [artigo listamos todas as bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/) que amparam o uso de dados pessoais, segundo a LGPD.
    
3. **Processamento / Tratamento**  
    1 – Compartilhamento interno entre as áreas e sistemas.  
    \- Para o processamento de dados são utilizados softwares terceiros?  
    \- Os dados trafegam entre eles de que maneira?  
    \- O software está alinhado ao seu processo e política de privacidade?  
    \- Caso algum titular solicite a exclusão dos dados pessoais da sua empresa, como notificar esse fornecedor externo ou interno, para que ele processe a exclusão?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
    3.2 – Armazenamento para uso e consulta interna.
    
    \- Durante os processos onde os dados são armazenados?  
    \- Por quanto tempo?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
    3.3 – Back-up.  
    \- Qual a periodicidade e regras para backup?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
4. **Descarte**  
    Apesar de extremamente facilitado para arquivos digitais, essa etapa do processo é bastante séria. Pois, muitos arquivos permanecem na “lixeira”, e não são devidamente deletados.  
    Para arquivos físicos esse problema é ainda maior, quando o descarte é mal feito ou negligenciado.  
    Entenda esse processo e principalmente caso haja terceiros na etapa, inclua-os no seu monitoramento de terceiros eventualmente envolvidos.
5. **Fim do processo?**  
    O fim do processo é de fato o fim da jornada do dado na empresa, ou ele é apenas o começo de um outro?

Certamente à primeira vista, essas perguntas e questionamentos todos podem soam como excessivos. Mas, acredite esses são só algumas das perguntas que você teria/terá que responder caso contrate uma consultoria e adequação.

Ou, em um cenário não tão informal como esse texto, uma visita da ANPD.

Espero ter te ajudado com uma melhor compreensão de o como essas etapas são essenciais na rotina de um DPO.  
Com o Data Mapping temos com certeza a base para a confecção de uma política de privacidade mais robusta.

Sentiu falta de algum item, ou descritivo?  
Manda pra gente, estamos abertos a melhorias, sempre! - Pode nos enviar no hey@goadopt.io

Uma próxima leitura que indico a você, para aprofundar mais o assunto é:

[As diferenças entre Operador e Controlador dos dados.](https://goadopt.io/blog/tag/controlador-e-operador/)

Data Mapping e Inventário de Dados – O Colete Salva Vidas do DPO

A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.
 
O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:
- **Como é feita a coleta de dados**, seus processos e atividades; 
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?
 
ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais. 

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?
 
A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

**### Perguntas que o ROPA deverá responder:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?


## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?


## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito! 

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?
 
Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://calendly.com/valquiriaadopt) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.

Boas práticas na categorização de tags.

Até quando podemos ignorar a LGPD?

Data Mapping e Inventário de Dados – O Colete Salva Vidas do DPO

ROPA na LGPD? Conheça os Registros das Atividades de Tratamento