Com o Data Mapping entendemos à fundo as 5 etapas que todo e qualquer dado passa dentro de qualquer departamento de uma empresa, não importando o tamanho ou mercado. Novamente meu caro, não é preciso ser nenhum PhD em PMBOK ou Gestão de Projetos para entender essas etapas tão importantes! Pois, o Data Mapping e o Inventário de Dados se tornaram, uma das maiores ferramentas de trabalho dos DPOs!

O mercado hoje trouxe muita tecnologia e qualidade para esses processos! Não temos o que falar. Mas, meu objetivo aqui hoje é te ensinar a ver as coisas de maneira mais simples e objetiva, como de fato são **– um simples ordenamento dos fatos**, e isso já vai te ajudar.

Então, vamos lá!

Um conceito básico que vai nortear a sua compreensão daqui pra frente:

## **Com o agrupamento de processos temos um departamento.**

Logo, cada processo pode ser organizado em uma ordem, ou não, formando assim as rotinas dos departamentos.

Assim, para cada processo da sua empresa, os 5 pontos abaixo podem ser cumpridos total ou parcialmente.

São eles:

1. #### Motivação precisamos deste dado – Por quê?

2. #### 2.1 – Consentimento.

3. #### Processamento / Tratamento

    #### 1 – Compartilhamento interno entre as áreas e sistemas.

    #### 3.2 – Armazenamento para uso e consulta interna.

    #### 3.3 – Back-up.

4. #### Descarte

5. #### Fim do processo?

_E o que eu faço com esses 5 pontos acima?_

### **Preenche eles e estrutura essa lógica em todos os seus processos e consequentemente, departamentos.**

Sim, dá trabalho eu sei!

Mas, isso será extremamente valioso em caso de uma notificação da ANPD ou antes mesmo, no caso de um cliente ou visitante do seu site te pedir acesso aos dados que vocês eventualmente tenham sobre ele.

Lógico, e se você é uma “EUpresa”, ou tem pouquíssimos funcionários e processos tudo isso pode se resumir a 3, 4 sistemas (e-mail, automação de marketing, algum google drive e a contabilidade) pois, tudo está armazenado nestes lugares. Agora, imagina uma empresa com 500 funcionários em 10 cidades.

Lembre-se, de acordo com a LGPD qualquer titular pode bater na sua porta perguntando se você tem algum dado dele, e, você deve responder com agilidade.

Logo, sem o “mapa do tesouro” como você vai saber que o [zé@emailmaroto.com](mailto:zé@emailmaroto.com) se cadastrou na Newsletter, já comprou há 3 meses e foi seu funcionário há 5 anos atrás?

Neste exemplo acima, você teria que reportar para o “Zé” que você possui dados como:

\- Nome, E-mail, CPF, Telefone, Endereço, Carteira de Trabalho, Filiação (dados do RH) e compartilhamento com Google e Facebook.

Pelos motivos de:  
1- Contratação no passado, logo a legislação trabalhista te obriga a manter esses dados na contabilidade por X anos. Ou seja, mesmo que ele peça a exclusão você poderá negá-la, por força maior da outra legislação.

2 – Compra do produto X, Y, Z há 3 meses.  
Que também gerou o cadastro na newsletter (com o famoso “aceito receber promoções”). Da newsletter, você tem ele na lista de disparo para novos produtos e novidades do seu e-commerce, e todas as ferramentas de remarketing estão ligadas perseguindo-o diariamente por toda a internet, toda vez que ele entra pra ver os seus produtos.

Sendo assim, ele pode livremente te pedir a exclusão de todos os seus dados para fins de marketing. Isso vai te levar a uma ação que desencadeia diversas outras. São elas:

\- Apagar o e-mail e demais dados no CRM e ferramenta de disparo de e-mails.  
\- Distribuir a solicitação de Opt-out para eventuais sistemas que você esteja integrado e usem esses dados. [(sistema da logística e ERP, por exemplo)](https://www.nomus.com.br/erpindustrial/)
\- Remover ele do segmento de remarketing do Google e Facebook.  
\- Reportar em uma documentação oficial da empresa que os passos acima foram realizados prontamente.

(Para os clientes AdOpt, quando integrada ao Tag Manager a parte dos cookies fica bem mais fácil! Pois, no momento que o visitante não autoriza algum deles, a AdOpt já bloqueia esse disparo automaticamente!  
[Aqui um tutorial pra você!](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

Além disso, a requisição de um visitante na na página de opt-out já envia na mesma hora um e-mail pra você, com essa solicitação vinculando o e-mail do solicitante ao Cookie ID gerado no Opt-In.

Assim, você consegue já iniciar essa busca com um maior direcionamento caso o solicitante tenha te dado o consentimento a alguma ferramenta, e quando.

Entendeu agora a importância de um mapeamento dos processos da empresa?

Somente com tudo isso em mãos que você vai terá tranquilidade e, principalmente, facilidade de acessar a todos esses dados prontamente. Para algumas empresas cerca de 48, 72 horas (um prazo razoável para uma resposta...) dá e sobra, para outras é praticamente impossível.

Seja você ou o seu DPO contratado, nós não podemos parar a empresa a cada requisição que um visitante solicite. Com o Data Mapping em mãos, essa busca é muito mais rápida, direcionada e diria até automatizada, caso você use um software só pra isso.

Abaixo um detalhamento maior sobre cada um dos pontos do _Data Mapping_

1. **Motivação precisamos deste dado – Por quê?**

Se a LGPD ainda não despertou em você e na sua empresa uma reflexão real sobre a real necessidade dos dados pessoais em sua empresa, pare e faça isso o quanto antes.

    Sim! Muitas vezes, principalmente as áreas de Marketing e Vendas tem uma compulsão pela informação de qualificação e identificação dos _prospects_ e _leads_ para cada etapa do funil. É ótimo pegar o telefone e fechar os últimos detalhes da venda, ou abordar um cliente indeciso na surpresa e conseguir convencê-lo do valor do seu negócio.

    Mas, o ponto que destaco é: Repense as reais necessidades de acessar, processar e armazenar esses dados. Você não necessariamente precisa ter um excel com milhares de linhas dos seus clientes inativos de 5 anos atrás, na esperança de um dia reaquecer essa lista morta. À luz da LGPD seu risco já foi mensurado, será que ele vale a pena?

    [Nesse artigo deixo pra você 10 processos do marketing que você deve repensar na LGPD!](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)

2. **Coleta**.  
    Quais são as maneiras com que cada processo coleta/recebe os seus dados, e juntamente com eles o seu consentimento? Todos os dados adentram a empresa por 1 única porta de entrada, ou mais de uma?

    Liste-as todas, e reveja se em cada porta de entrada estão dispostas as devidas comunicações de políticas e processos, e se juntamente com os dados, são também coletados os consentimentos de cada titular. Ainda que de maneira analógica/off-line, o consentimento é essencial  
    1 – Consentimento.  
    Sim, o consentimento é essencial mas, não é o único instrumento que te permite acessar ou processar dados pessoais.

    Nesse [artigo listamos todas as bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/) que amparam o uso de dados pessoais, segundo a LGPD.

3. **Processamento / Tratamento**  
    1 – Compartilhamento interno entre as áreas e sistemas.  
    \- Para o processamento de dados são utilizados softwares terceiros?  
    \- Os dados trafegam entre eles de que maneira?  
    \- O software está alinhado ao seu processo e política de privacidade?  
    \- Caso algum titular solicite a exclusão dos dados pessoais da sua empresa, como notificar esse fornecedor externo ou interno, para que ele processe a exclusão?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

    3.2 – Armazenamento para uso e consulta interna.

    \- Durante os processos onde os dados são armazenados?  
    \- Por quanto tempo?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

    3.3 – Back-up.  
    \- Qual a periodicidade e regras para backup?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?

    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento

4. **Descarte**  
    Apesar de extremamente facilitado para arquivos digitais, essa etapa do processo é bastante séria. Pois, muitos arquivos permanecem na “lixeira”, e não são devidamente deletados.  
    Para arquivos físicos esse problema é ainda maior, quando o descarte é mal feito ou negligenciado.  
    Entenda esse processo e principalmente caso haja terceiros na etapa, inclua-os no seu monitoramento de terceiros eventualmente envolvidos.

5. **Fim do processo?**  
    O fim do processo é de fato o fim da jornada do dado na empresa, ou ele é apenas o começo de um outro?

Certamente à primeira vista, essas perguntas e questionamentos todos podem soam como excessivos. Mas, acredite esses são só algumas das perguntas que você teria/terá que responder caso contrate uma consultoria e adequação.

Ou, em um cenário não tão informal como esse texto, uma visita da ANPD.

Espero ter te ajudado com uma melhor compreensão de o como essas etapas são essenciais na rotina de um DPO.  
Com o Data Mapping temos com certeza a base para a confecção de uma política de privacidade mais robusta.

Sentiu falta de algum item, ou descritivo?  
Manda pra gente, estamos abertos a melhorias, sempre! - Pode nos enviar no hey@goadopt.io

Uma próxima leitura que indico a você, para aprofundar mais o assunto é:

[As diferenças entre Operador e Controlador dos dados.](https://goadopt.io/blog/tag/controlador-e-operador/)


Data Mapping e Inventário de Dados – O Colete Salva Vidas do DPO

New Hampshire NHDPA: DSAR Portal do Titular

João Bruno Soares

Cansou dos anúncios daquele site que você visitou te perseguindo? Computador ficou meio lento para acessar tal site? Quer excluir todos os cookies de um determinado serviço ou site específico?

Uma das alternativas é apagar os Cookies e o Cache dos navegadores! Para isso vamos te dar o passo a passo para cada uma destas opções. Mas, antes disso para deixar as coisas claras:

## O que é cache?

O termo cache é basicamente o armazenamento de dados ou processos utilizados frequentemente, que são guardados para um acesso futuro mais rápido, poupando assim tempo e uso desnecessário de processamento do seu hardware.

Essa funcionalidade é muito é utilizada em diversos tipos de dispositivos e softwares, como por exemplo os navegadores. Sabe quando você acessa um site pela primeira vez e ele demora mais pra carregar, que o seu site favorito de todo dia?

Aí está justamente a aplicação prática do cache! Seu navegador salvou diversas informações e estruturas das páginas, em um ambiente reservado, para que em futuro acesso você não precise fazer o download delas novamente. Deixando tudo mais rápido, principalmente pra quem tem aquela internet mais fraca, ou com pouco sinal.

## O que são cookies?

Em suma, os cookies cumprem a mesma função do cache no quesito armazenar informações, porém, em formatos e processos diferentes. E, muitos dos serviços que acessamos diariamente utilizam dos cookies para outras funcionalidades como: gravar seu navegador como de um cliente que retorna ao site, colocar os itens que você “esqueceu no carrinho”, gravar informações da sua navegação, etc.

Neste [artigo](https://goadopt.io/blog/cookies-e-lgpd/) uma explicação mais aprofundada.

Ou seja, tanto os cookies quanto o cache armazenam informações na memória do seu computador, ou celular. Com isso, muitas vezes eles acabam sobrecarregando esse armazenamento e deixando tudo mais lento. Por isso, diversos navegadores criam regras para apagar todos os cookies a cada 3 meses, por exemplo, ou simplesmente estão começando a bloquear cookies de terceiros, para evitar esse acúmulo desnecessário.

Contudo, às vezes esse ciclo de limpeza do navegador não é o suficiente, então aprenda com a [AdOpt](https://goadopt.io/), como apagar o cache e os cookies do seu navegador:

## **Como apagar os cookies e o cache de maneira rápida?**

Algumas vezes quando você está tendo problemas ao usar um serviço online ou acessar um site e o time técnico pede para que você limpe o cache do navegador?

Para se livrar dos dados que ficam salvos em seu computador quando você acessa um site, não precisa ir até as Preferências do **Google Chrome**; basta usar o atalho abaixo:

### No Windows

Control + Shift + Del

#### No Mac

Command + Shift + Del

Feito isso, é só selecionar os itens que você deseja apagar cache, cookies, histórico... e PRONTO!

![Apagar Cookies e Cache Chrome](https://strapi.goadopt.io/uploads/Imagem_Como_apagar_os_Cookies_e_o_Cache_no_Chrome_e_em_outros_navegadores_6f683ebc3d.png?updated_at=2022-10-20T15:08:40.946Z)

## Apagar os Cookies no Chrome

Se você utiliza o **Google Chrome**,

1. Clique nos **3 pontinhos no canto superior direito** para abrir um menu de configuração.
2. Vá na opção **Mais Ferramentas**,
3. Clique então em **Limpar dados de navegação**. Uma nova janela conforme imagem abaixo será aberta e, nela, basta escolher o que deseja limpar: ****\- Cookies e outros dados do site - Imagens e Arquivos armazenados em cache.****

    **[![](https://goadopt.io/blog/wp-content/uploads/2021/05/Como-apagar-os-Cookies-e-o-Cache-no-Chrome-e-em-outros-navegadores-300x274.png-1.webp)](https://goadopt.io/blog/wp-content/uploads/2021/05/Como-apagar-os-Cookies-e-o-Cache-no-Chrome-e-em-outros-navegadores-300x274.png-1.webp)**

4. **Depois de selecionar as opções, clique no botão “Limpar dados de navegação”**

**Pronto!**

Seguindo estas instruções, seu computador estará mais leve, e sua navegação cada vez melhor. **Mas, também já se prepare por que todos os logins e acessos salvos também serão zerados, fazendo com que você tenha que acessar tudo novamente, “provando que você é você”.**

## Apagar os Cookies no Internet Explorer

Se o seu navegador é o **Internet Explorer**, para qualquer uma das versões, siga os passos abaixo:

1. acesse pelo menu direito **Configurações**(indicado pela engrenagem como na figura abaixo).
2. Clique em **Segurança > Excluir Histórico de Navegação**. (Uma janela abrirá, e você verá o seu Histórico de Navegação.
3. Clicando no botão **Excluir**, você poderá então excluir todos os dados que foram salvos pelo navegador **Internet Explorer**.

## Limpar os Cookies no Mozilla Firefox

Para as versões do **navegador Mozilla FireFox**, siga o processo de limpeza abaixo, também é bem simples:

1. Menu **Firefox > Preferências**:
2. Escolha a opção **Privacidade**
3. Nela selecione a opção **limpar seu histórico recente**: \*Aqui, é pode-se determinar **qual o período** será excluído e os respectivos detalhes para selecionar.
4. Para finalizar, basta você clicar em **Limpar Agora.**
5. **Pronto!** **Pode voltar a** navegar tranquilamente!

## Apagar os Cookies no Safari

Para os usuários do Safari, o processo para apagar os cookies é também muito simples.

1. Clique na opção “Preferências”
2. Opção **privacidade > Remover todos os dados de de websites**:
3. Depois desse click, confirme a sua decisão.


Como apagar Cookies e o Cache no Chrome e outros navegadores?

Um residente da Virgínia acessa o seu site, consome seu conteúdo, e em algum momento decide exercer os direitos que a lei garante a ele. Quer saber o que você tem sobre ele. Quer corrigir uma informação. Quer que você pare de usar os dados para anúncios.

Esta página cobre uma parte do quadro. Para o escopo completo da VCDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da VCDPA e cookies](https://goadopt.io/blog/vcdpa-virginia-e-cookies-tudo-o-que-voce-precisa-saber/).

O que acontece a partir daí?

A Virginia Consumer Data Protection Act (VCDPA, Va. Code § 59.1-575 et seq.), em vigor desde 1º de janeiro de 2023, define com precisão o que precisa acontecer: o canal para receber a solicitação, o prazo para responder, o processo de apelação em caso de recusa, e o que acontece quando a empresa não cumpre.

Este artigo cobre tudo isso.

## O que é uma DSAR?

DSAR é a sigla em inglês para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. Na prática, é qualquer pedido formal feito por um consumidor para exercer os direitos que a lei garante sobre os próprios dados.

Isso inclui pedir para ver o que você coletou, corrigir uma informação incorreta, solicitar a exclusão dos dados, pedir uma cópia portátil, recusar o uso dos dados para publicidade segmentada, ou contestar uma decisão sua sobre um pedido anterior.

Se você já conhece a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), o conceito do Portal do Titular é familiar. A VCDPA segue a mesma lógica: o consumidor precisa de um canal funcional para exercer os direitos que a lei garante.

## Quais são os direitos dos consumidores sob a VCDPA?

Conforme Va. Code § 59.1-577 A, os residentes da Virgínia têm cinco direitos principais:

### Direito de acesso e confirmação

O consumidor pode pedir confirmação de que a empresa processa os dados dele e obter uma cópia dos dados pessoais que ela mantém, conforme Va. Code § 59.1-577 A, 1.

A resposta precisa ser fornecida em formato acessível e compreensível.

### Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza dos dados e os propósitos do processamento, conforme Va. Code § 59.1-577 A, 2.

Isso cobre qualquer dado desatualizado, incompleto ou incorreto. A empresa não pode ignorar esse pedido.

### Direito de exclusão

O consumidor pode solicitar a exclusão dos dados que forneceu ou que foram obtidos sobre ele, conforme Va. Code § 59.1-577 A, 3.

Há uma alternativa válida na VCDPA que não existe em outras leis: se a empresa obteve o dado de uma fonte que não o próprio consumidor, pode cumprir o pedido de exclusão de duas formas. Pode excluir o dado de fato, ou pode reter o mínimo necessário para garantir que o dado permanece excluído das bases ativas e não é usado para nenhuma outra finalidade (Va. Code § 59.1-577 B, 5).

### Direito de portabilidade

O consumidor pode obter uma cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável, quando o processamento é feito por meios automatizados, conforme Va. Code § 59.1-577 A, 4.

Isso facilita a transferência dos dados para outro controlador.

### Direito de opt-out

O consumidor pode recusar o processamento dos dados para três finalidades específicas (Va. Code § 59.1-577 A, 5):

Publicidade segmentada (anúncios baseados em atividades em sites não afiliados ao longo do tempo).

Venda de dados pessoais a terceiros.

Perfilamento em apoio a decisões com efeitos legais ou igualmente significativos sobre o consumidor (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

## Direito de apelação

Conforme Va. Code § 59.1-577 C, se a empresa recusar uma solicitação, o consumidor tem o direito de apelar da decisão.

O processo de apelação precisa:

Ser conspicuamente disponível, fácil de encontrar.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta por escrito dentro de **60 dias**, com a decisão e a justificativa.

Se a apelação for negada, a empresa precisa informar ao consumidor como ele pode contatar o Attorney General da Virgínia para registrar uma reclamação. O Va. Code § 59.1-577 C especifica que, se disponível, o mecanismo para contatar o Attorney General deve ser online.

## Quais são os prazos para responder?

A VCDPA é direta nos prazos.

**45 dias** a partir do recebimento da solicitação autenticada (Va. Code § 59.1-577 B, 1).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

**60 dias** para responder a apelações (Va. Code § 59.1-577 C).

Esses prazos começam a contar quando a solicitação é recebida e autenticada. Se for necessário solicitar informações adicionais para verificar a identidade do consumidor, o prazo fica suspenso até que a verificação seja concluída.

## O que conta como "recebimento" da solicitação?

O Va. Code § 59.1-577 B usa o termo "receipt of the request". Para fins de contagem do prazo, a solicitação é recebida quando a empresa tem as informações mínimas para processar o pedido.

O processo de verificação de identidade pode influenciar esse marco. Se a empresa solicita informações adicionais para autenticar o consumidor, o prazo fica interrompido até que a autenticação seja concluída, conforme Va. Code § 59.1-577 B, 4.

Por isso, o processo de verificação precisa ser ágil, proporcional ao tipo de dado envolvido, e descrito claramente no canal de submissão.

## Como deve ser o canal para submissão de solicitações

Conforme Va. Code § 59.1-578 E, o controlador precisa estabelecer e descrever na Política de Privacidade pelo menos um meio seguro e confiável para os consumidores submeterem solicitações.

Esse meio precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir que o controlador autentique a identidade do consumidor.

Não exigir que o consumidor crie uma nova conta. A empresa pode exigir o uso de uma conta existente, mas não pode forçar o cadastro de uma nova conta apenas para exercer um direito garantido por lei.

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (acesso, correção, exclusão, portabilidade, opt-out).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

## Verificação de identidade: como fazer sem criar barreiras

A VCDPA exige que o controlador autentique a identidade do consumidor usando esforços comercialmente razoáveis, conforme Va. Code § 59.1-577 B, 4.

Se não for possível autenticar com esforços razoáveis, a empresa não é obrigada a cumprir a solicitação, mas pode pedir informações adicionais razoavelmente necessárias.

Na prática, isso significa:

Para dados de baixo risco: uma confirmação por e-mail pode ser suficiente.

Para dados sensíveis ou situações com maior risco: um segundo fator de verificação pode ser justificado.

O que nunca é aceitável: exigir documentos físicos para acesso a dados simples de comportamento de navegação, criar processos deliberadamente trabalhosos para desencorajar solicitações, ou negar pedidos com base em autenticação impossível quando métodos mais simples são disponíveis.

## Gratuidade: o que a lei determina

Conforme Va. Code § 59.1-577 B, 3, o atendimento de solicitações é gratuito **até 2 vezes por ano** por consumidor.

Esse é um ponto de diferença importante em relação a outras leis estaduais. A NHDPA, por exemplo, garante gratuidade apenas uma vez por ano. A VCDPA garante duas.

A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar, caso a solicitação seja manifestamente infundada, excessiva ou repetitiva. O ônus de demonstrar o caráter excessivo é da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso

Receba e autentique a identidade do titular.

Localize todos os dados pessoais que a empresa mantém sobre esse consumidor em todos os sistemas.

Prepare uma cópia em formato legível e acessível.

Inclua na resposta: categorias de dados, finalidades do processamento, terceiros com quem os dados foram compartilhados.

Envie dentro do prazo de 45 dias.

Um inventário de dados atualizado é o que torna esse processo viável em larga escala.

### Solicitação de correção

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Corrija nos sistemas primários e, quando aplicável, notifique os terceiros que receberam o dado para que façam a correção do lado deles.

Confirme ao consumidor que a correção foi realizada.

### Solicitação de exclusão

Receba e autentique.

Verifique se existe exceção legal que permita reter o dado (obrigação legal, defesa judicial, finalidade protegida).

Se não houver exceção: exclua dos sistemas ativos. Para dados obtidos de terceiros, há a alternativa de reter o mínimo necessário para garantir a não utilização futura (Va. Code § 59.1-577 B, 5).

Notifique terceiros que receberam os dados para exclusão quando aplicável.

Confirme ao consumidor o que foi excluído e, se houver retenção parcial justificada, explique.

### Solicitação de portabilidade

Receba e autentique.

Gere um arquivo com os dados do consumidor em formato portátil e tecnicamente utilizável, como JSON ou CSV.

Entregue ao consumidor de forma segura dentro do prazo.

### Solicitação de opt-out

O opt-out de publicidade segmentada, venda de dados ou perfilamento com efeitos significativos precisa resultar na cessação efetiva do processamento para essas finalidades.

A VCDPA não especifica um prazo de cessação separado do prazo geral de 45 dias, mas o critério legal é "without undue delay" (sem demora indevida). Na prática, sistemas bem configurados processam opt-outs em tempo real ou em poucas horas.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) integrada aos sistemas da empresa automatiza esse fluxo.

## O que acontece quando a empresa nega um pedido?

A empresa pode negar uma solicitação quando:

Não consegue autenticar a identidade do consumidor com esforços comercialmente razoáveis.

O pedido é manifestamente infundado ou excessivo.

Há exceção legal que justifica a retenção ou o processamento continuado.

Em todos os casos, a recusa precisa ser comunicada ao consumidor dentro do prazo de 45 dias, com:

A justificativa da recusa.

Instruções claras sobre como apelar da decisão (Va. Code § 59.1-577 B, 2).

O processo de apelação precisa resultar em resposta por escrito dentro de 60 dias. Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General da Virgínia.

## Proteção contra discriminação

O Va. Code § 59.1-578 A, 4 proíbe que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção são programas voluntários de fidelidade, recompensas, funcionalidades premium ou descontos que oferecem benefícios em troca do uso de dados, desde que o consumidor participe voluntariamente.

## Proteção especial para crianças e menores

O Va. Code § 59.1-578 F proíbe processar dados de crianças conhecidas menores de 13 anos para publicidade segmentada, venda de dados ou perfilamento com efeitos significativos.

Para plataformas de redes sociais, a partir de janeiro de 2026, a proteção se estende a menores de 16 anos, com limite de 1 hora de uso diário (Va. Code § 59.1-577.1).

Se o seu portal recebe solicitações de usuários nessas faixas etárias, o processo precisa ter tratamento diferenciado.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada (cumprida, recusada, ou alternativa adotada).

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Em caso de apelação: histórico completo e decisão final.

Essa documentação é o que protege a empresa em caso de investigação do Attorney General. Sem registro, não há como demonstrar que os processos foram cumpridos dentro dos prazos.

## O cure period e sua relação com os DSARs

Antes de iniciar qualquer ação, o Attorney General precisa enviar notificação com **30 dias de prazo** para a empresa corrigir a violação (Va. Code § 59.1-584 B). Se a empresa corrigir e fornecer declaração escrita de que as violações foram sanadas, nenhuma ação é iniciada.

Empresas sem processo estruturado para DSARs têm grande dificuldade de corrigir em 30 dias o que deveria ter sido implementado desde o início. O cure period é uma garantia, não uma estratégia de conformidade.

Se a violação continuar, as penalidades podem chegar a **US$ 7.500 por violação**, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade segmentada via Portal do Titular, o sistema atualiza automaticamente os disparadores de cookies e rastreadores.

O log auditável da AdOpt serve como evidência de que os processos foram cumpridos conforme determinado pela VCDPA. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a VCDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a VCDPA

**Canal de submissão de solicitações** sem exigência de criação de nova conta (Va. Code § 59.1-578 E).

**Cobertura dos 5 direitos** garantidos pela VCDPA: acesso, correção, exclusão, portabilidade e opt-out.

**Processo de apelação** conspicuamente disponível e comparável ao canal de submissão original (Va. Code § 59.1-577 C).

**Prazo de 45 dias** para resposta, com extensão de mais 45 com notificação quando necessário (Va. Code § 59.1-577 B, 1).

**Prazo de 60 dias** para resposta a apelações (Va. Code § 59.1-577 C).

**Processo de autenticação de identidade** com esforços comercialmente razoáveis (Va. Code § 59.1-577 B, 4).

**Atendimento gratuito duas vezes por ano** por consumidor (Va. Code § 59.1-577 B, 3).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Informação sobre como contatar o Attorney General** em caso de apelação negada (Va. Code § 59.1-577 C).

**Proteção contra discriminação** de consumidores que exercem seus direitos (Va. Code § 59.1-578 A, 4).

**Tratamento diferenciado** para dados de crianças menores de 13 anos (Va. Code § 59.1-578 F).

**Notificação a terceiros** quando aplicável para exclusão ou correção dos dados compartilhados.

## Comparativo: prazos do Portal do Titular na VCDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, correção, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (publicidade, venda, perfilamento) | 45 dias | +45 dias com notificação |
| Apelação de decisão | 60 dias | Não especificado |
| Cure period para violações | 30 dias garantidos | Não há extensão |

## FAQ: VCDPA e Portal do Titular

**1. A VCDPA exige obrigatoriamente um Portal do Titular dedicado?**
Não pelo nome. O Va. Code § 59.1-578 E exige que o controlador estabeleça e descreva na Política de Privacidade pelo menos um meio seguro e confiável para submissão de solicitações. Um Portal do Titular dedicado é a forma mais organizada de atender a esse requisito, mas um formulário de contato estruturado ou um e-mail monitorado também podem cumprir a exigência, desde que atendam aos critérios de segurança e confiabilidade.

**2. A VCDPA tem um prazo específico para cessar o processamento após opt-out?**
Não da mesma forma que a NHDPA, que especifica 15 dias. A VCDPA usa o critério "without undue delay" (sem demora indevida) para a resposta geral, com prazo máximo de 45 dias (Va. Code § 59.1-577 B, 1). Na prática, para opt-outs de publicidade segmentada, o esperado é que a cessação seja processada com a maior agilidade tecnicamente razoável, dentro do prazo de resposta formal.

**3. Quantas vezes por ano a empresa precisa atender gratuitamente?**
Duas vezes por ano por consumidor, conforme Va. Code § 59.1-577 B, 3. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar se a solicitação for manifestamente infundada, excessiva ou repetitiva. O ônus de provar o caráter excessivo é da empresa.

**4. O que acontece se a empresa não tiver processo para atender DSARs quando receber uma notificação do Attorney General?**
O Attorney General envia notificação com 30 dias de prazo para correção (Va. Code § 59.1-584 B). Se a empresa não implementar o processo dentro do prazo ou descumprir a declaração escrita de correção fornecida, o AG pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser uma violação separada, o que eleva o impacto financeiro rapidamente.

**5. Como a VCDPA trata dados de consumidores obtidos de terceiros no contexto de exclusão?**
O Va. Code § 59.1-577 B, 5 oferece uma alternativa específica para esse caso. A empresa que obteve dados de uma fonte que não o próprio consumidor pode cumprir o pedido de exclusão de duas formas: excluindo o dado de fato, ou retendo o mínimo necessário para garantir que o dado permaneça excluído das bases ativas e não seja usado para nenhuma finalidade além de garantir essa exclusão. Essa alternativa não existe na NHDPA nem em algumas outras leis estaduais americanas.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a VCDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Virginia VCDPA: DSAR Portal do Titular

Saiba o que é uma DSAR sob a CCPA/CPRA, quais são os direitos garantidos, como estruturar o Portal do Titular, os prazos exatos, e o que acontece quando a empresa não cumpre.

Esta página cobre uma parte do quadro. Para o escopo completo da CCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CCPA e cookies](https://goadopt.io/blog/ccpa-california-e-cookies-tudo-o-que-voce-precisa-saber/).

## O que é uma DSAR sob a CCPA/CPRA?

DSAR é a sigla para Data Subject Access Request, ou Solicitação do Consumidor na linguagem da CCPA. É qualquer pedido formal de um residente da Califórnia para exercer os direitos que a lei garante sobre os próprios dados.

Sob a CCPA/CPRA, o consumidor pode fazer solicitações verificáveis para exercer seis direitos principais, mais o direito de ação privada por violações de segurança, que tem fluxo próprio.

Se você já conhece a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura do Portal do Titular é familiar. A CCPA/CPRA usa o termo "verifiable consumer request" para descrever solicitações autenticadas.

## Quais são os direitos dos consumidores sob a CCPA/CPRA?

### 1. Direito de saber e acessar (§ 1798.110, 1798.115)

O consumidor pode solicitar que a empresa confirme se processa seus dados e divulgue:

As categorias de informações pessoais coletadas.

As categorias de fontes.

A finalidade comercial ou de negócios para coleta, venda ou compartilhamento.

As categorias de terceiros com quem os dados foram compartilhados.

As **peças específicas** de informações pessoais coletadas sobre o consumidor.

A resposta deve cobrir os **12 meses anteriores** ao recebimento da solicitação.

Se a empresa vende ou compartilha dados, a solicitação também cobre:

As categorias de dados vendidos ou compartilhados, por categoria de terceiro.

As categorias de dados divulgados para fins de negócios, separadamente.

### 2. Direito de exclusão (§ 1798.105)

O consumidor pode solicitar a exclusão de qualquer informação pessoal que a empresa coletou sobre ele.

A empresa deve excluir os dados dos próprios registros e **notificar prestadores de serviço, contratistas e terceiros** para também excluirem, a menos que isso seja impossível ou envolva esforço desproporcional.

A empresa pode manter um registro confidencial de solicitações de exclusão apenas para evitar que o dado do consumidor que pediu exclusão seja revendido.

Há exceções que permitem reter os dados mesmo após solicitação de exclusão, incluindo: completar transações em andamento, garantir segurança, depurar erros, exercer liberdade de expressão, cumprir a lei, realizar pesquisa pública aprovada, e cumprir obrigação legal.

### 3. Direito de correção (§ 1798.106)

Adicionado pela CPRA. O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas, considerando a natureza dos dados e os propósitos do processamento.

A empresa deve usar esforços comercialmente razoáveis para corrigir os dados conforme instruído pelo consumidor.

### 4. Direito de opt-out da venda e compartilhamento (§ 1798.120)

O consumidor pode, a qualquer momento, ordenar à empresa que não venda ou compartilhe suas informações pessoais com terceiros.

Após receber a direção do consumidor, a empresa não pode vender ou compartilhar os dados a menos que o consumidor posteriormente forneça consentimento.

A empresa deve aguardar pelo menos **12 meses** antes de solicitar novamente que o consumidor autorize a venda ou compartilhamento (§ 1798.135(c)(4)).

Para consumidores menores de 16 anos que não consentiram com a venda ou compartilhamento, a empresa deve aguardar pelo menos **12 meses** antes de solicitar o consentimento novamente, ou até o consumidor completar 16 anos (§ 1798.135(c)(5)).

### 5. Direito de limitar o uso de informações pessoais sensíveis (§ 1798.121)

Adicionado pela CPRA. O consumidor pode ordenar à empresa que limite o uso das informações pessoais sensíveis ao que é necessário para fornecer os produtos ou serviços razoavelmente esperados.

Após receber a direção do consumidor, a empresa não pode usar as informações sensíveis para outros fins a menos que o consumidor forneça novo consentimento.

### 6. Direito de não discriminação (§ 1798.125)

O consumidor não pode ser discriminado por exercer qualquer direito garantido pela CCPA/CPRA. A empresa não pode negar produtos ou serviços, cobrar preços diferentes, oferecer qualidade inferior, ou sugerir tratamento diferenciado.

A exceção são programas de incentivo financeiro voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam para a empresa.

### O direito de ação privada por violações de segurança (§ 1798.150)

Esse direito tem um fluxo diferente dos demais. O consumidor cujos dados não criptografados e não redigidos forem acessados ou expostos em uma violação de segurança pode entrar com ação judicial para recuperar de **US$ 100 a US$ 750** por consumidor por incidente, ou danos reais quando maiores, além de medidas cautelares.

Antes de iniciar qualquer ação por danos estatutários, o consumidor deve notificar a empresa por escrito com **30 dias de antecedência**, identificando as violações específicas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita de que não ocorrerão mais violações, nenhuma ação pode ser iniciada.

## Quais são os prazos para responder?

A CCPA/CPRA é específica nos prazos.

**45 dias** a partir do recebimento de uma solicitação verificável do consumidor (§ 1798.130(a)(2)(A)).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando a complexidade e o número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa e a razão do atraso (§ 1798.145(h)(1)).

O atendimento é gratuito. A empresa não é obrigada a atender ao mesmo consumidor mais de **duas vezes em um período de 12 meses** (§ 1798.130(b)).

## O que é uma "solicitação verificável do consumidor"?

A CCPA/CPRA usa o termo "verifiable consumer request" (§ 1798.140(ak)) para descrever solicitações que a empresa pode verificar que foram feitas pelo próprio consumidor, por um filho menor, por representante autorizado, ou por detentor de procuração.

A empresa pode autenticar a solicitação usando métodos comercialmente razoáveis. Pode exigir autenticação proporcional à natureza das informações solicitadas, mas não pode exigir que o consumidor crie uma nova conta para fazer a solicitação. Se o consumidor já tem conta, pode exigir o uso dela.

Os dados coletados para verificação de identidade só podem ser usados para essa finalidade, não para outros propósitos (§ 1798.130(a)(7)).

## Como deve ser o canal para submissão de solicitações

O § 1798.130(a)(1) exige dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um **número de telefone gratuito**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

Se a empresa mantém um site, deve disponibilizá-lo como canal de submissão.

A empresa não pode exigir que o consumidor crie uma nova conta, mas pode exigir uso de conta existente.

Um Portal do Titular estruturado oferece:

Formulário de submissão com categorias claras (saber/acessar, excluir, corrigir, opt-out de venda/compartilhamento, limitar uso de dados sensíveis).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento.

Registro de cada solicitação, ação tomada e resposta enviada.

## Solicitações de representantes autorizados

O consumidor pode autorizar outra pessoa a exercer os direitos em seu nome, incluindo por meio do sinal de preferência de opt-out do GPC (§ 1798.135(e)).

Um agente autorizado pode submeter solicitações. A empresa pode exigir prova de que o agente foi devidamente autorizado pelo consumidor.

Pais ou responsáveis podem exercer direitos em nome de filhos menores.

## Gratuidade: o que a lei determina

O atendimento é gratuito (§ 1798.130(a)(2)(A)). Mas a empresa não é obrigada a fornecer as mesmas informações ao mesmo consumidor mais de **duas vezes em um período de 12 meses** (§ 1798.130(b)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar. O ônus de demonstrar o caráter excessivo é da empresa (§ 1798.145(h)(3)).

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e informação

Receba e autentique a identidade do consumidor.

Localize todos os dados pessoais coletados sobre esse consumidor nos 12 meses anteriores em todos os sistemas.

Prepare resposta cobrindo: categorias de dados, categorias de fontes, finalidades, categorias de terceiros, e as peças específicas de informação.

Se a empresa vendeu ou compartilhou dados: liste por categoria de dado e categoria de terceiro (em listas separadas para "vendidos/compartilhados" e "divulgados para fins de negócios").

Entregue em formato prontamente utilizável que permita transmissão de uma entidade para outra sem obstáculos.

Envie dentro do prazo de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal que permita reter os dados.

Se não houver exceção: exclua dos próprios registros e notifique prestadores de serviço, contratistas e terceiros para também excluírem.

Mantenha apenas o registro confidencial da solicitação para evitar futura revenda.

Confirme ao consumidor.

### Solicitação de correção

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Use esforços comercialmente razoáveis para corrigir conforme instruído pelo consumidor.

Confirme a correção.

Se a solicitação for de correção de informações de saúde e a empresa rejeitar por considerar os dados precisos, o consumidor tem o direito de incluir um adendo de até 250 palavras ao registro.

### Solicitação de opt-out de venda e compartilhamento

Receba a solicitação (pode ser via link "Do Not Sell or Share", via GPC, ou via representante autorizado).

Cesse imediatamente a venda e o compartilhamento dos dados desse consumidor.

Não solicite novamente o consentimento por pelo menos 12 meses.

Notifique quaisquer terceiros que receberam os dados recentemente sobre o opt-out.

### Solicitação de limitação de uso de dados sensíveis

Receba via link "Limit the Use of My Sensitive Personal Information" ou outro mecanismo.

Cesse o uso das informações pessoais sensíveis do consumidor para fins além do necessário para fornecer os produtos ou serviços razoavelmente esperados.

Notifique prestadores de serviço sobre a limitação para que também cessem usos não autorizados.

## Proteção contra discriminação

O § 1798.125 proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. A empresa não pode:

Negar produtos ou serviços.

Cobrar preços ou taxas diferentes.

Fornecer qualidade diferente de produtos ou serviços.

Sugerir que o consumidor receberá tratamento diferenciado.

Retaliar funcionários, candidatos a emprego, ou contratistas independentes que exercem seus direitos.

A exceção são programas de incentivos financeiros voluntários. A empresa pode oferecer compensação financeira, descontos ou benefícios em troca do uso dos dados, desde que o consumidor consinta expressamente e os incentivos não sejam injustos, irrazoáveis, coercitivos ou abusivos.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA ou do Attorney General.

## A fiscalização compartilhada: CPPA e Attorney General

A **California Privacy Protection Agency (CPPA)** tem poder administrativo para:

Investigar empresas por conta própria ou com base em reclamações.

Aplicar multas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores.

O **Attorney General da Califórnia** pode buscar penalidades civis nos mesmos valores em ação civil.

Não há prazo garantido de correção antes de ações da CPPA. A agência decide por discricionariedade se e quando inicia uma investigação.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e limitação de uso com timestamp e identificador único. Quando o consumidor exerce o opt-out de venda e compartilhamento, o sistema atualiza automaticamente os rastreadores correspondentes.

O GPC é respeitado automaticamente. O log auditável da AdOpt serve como evidência de conformidade. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CCPA/CPRA

**Dois ou mais métodos de submissão**, incluindo número de telefone gratuito (§ 1798.130(a)(1)).

**Site disponível** como canal de submissão se a empresa mantém um site.

**Cobertura dos 6 direitos** da CCPA/CPRA: acesso/informação, exclusão, correção, opt-out de venda/compartilhamento, limitação de dados sensíveis, e não discriminação.

**Lookback de 12 meses** para solicitações de acesso (§ 1798.130(a)(2)(B)).

**Prazo de 45 dias** para resposta, com extensão de +45 dias com notificação (§ 1798.130(a)(2)(A)).

**Atendimento gratuito** mas limitado a duas vezes por consumidor em 12 meses (§ 1798.130(b)).

**Processo de autenticação** proporcional à natureza dos dados, sem exigência de nova conta.

**Aceitação de solicitações de representantes** autorizados, incluindo pais de menores.

**Link "Do Not Sell or Share My Personal Information"** no site quando há venda ou compartilhamento.

**Link "Limit the Use of My Sensitive Personal Information"** quando aplicável.

**Respeito ao GPC** quando enviado pelo usuário.

**Prazo de 12 meses** antes de solicitar novamente consentimento após opt-out.

**Notificação de terceiros** para exclusão dos dados quando a solicitação de exclusão é atendida.

**Registro confidencial** de solicitações de exclusão para garantir não-revenda.

**Documentação** de cada solicitação, ação e resposta.

## Comparativo: prazos do Portal do Titular na CCPA/CPRA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso/informação, exclusão, correção | 45 dias | +45 dias com notificação |
| Opt-out de venda/compartilhamento | Imediato após recebimento | Não se aplica |
| Limitação de dados sensíveis | Imediato após recebimento | Não se aplica |
| Recontato após opt-out | 12 meses mínimo | Não há extensão |
| Notificação pré-ação privada (segurança) | 30 dias para empresa corrigir | Não há extensão |

## FAQ: CCPA/CPRA e Portal do Titular

**1. A CCPA exige um número de telefone gratuito para o Portal do Titular?**
Sim. O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito. A exceção são empresas que operam exclusivamente online com relação direta com o consumidor, que podem se limitar a um endereço de e-mail. Para a maioria das empresas com um site, o número gratuito é obrigatório.

**2. O que é o "lookback de 12 meses" e como ele afeta as solicitações de acesso?**
O § 1798.130(a)(2)(B) determina que a resposta a uma solicitação de acesso deve cobrir os 12 meses anteriores ao recebimento da solicitação. Isso significa que o Portal do Titular precisa ser capaz de recuperar dados coletados nos 12 meses anteriores à data de cada solicitação, o que exige sistemas de rastreamento e retenção adequados.

**3. Quantas vezes por ano a empresa precisa atender gratuitamente?**
Duas vezes em um período de 12 meses por consumidor, conforme § 1798.130(b). Para solicitações além desse limite, ou que sejam manifestamente infundadas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar, demonstrando o caráter excessivo.

**4. Como funciona o direito de ação privada na CCPA e o que o Portal do Titular tem a ver com isso?**
O § 1798.150 garante ao consumidor o direito de entrar com ação por violações de segurança de dados. Antes de iniciar ação por danos estatutários, o consumidor deve notificar a empresa por escrito com 30 dias de antecedência. O Portal do Titular deve ser o canal por onde essas notificações são recebidas e processadas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita adequada, nenhuma ação pode ser iniciada.

**5. A empresa precisa notificar terceiros quando atende a uma solicitação de exclusão?**
Sim. O § 1798.105(c)(1) exige que a empresa notifique qualquer prestador de serviço ou contratista para excluir os dados, e também notifique todos os terceiros para quem os dados foram vendidos ou compartilhados, a menos que isso seja impossível ou envolva esforço desproporcional. A empresa também pode manter um registro confidencial da solicitação de exclusão apenas para garantir que os dados do consumidor que pediu exclusão não sejam revendidos.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA: DSAR Portal do Titular

A Colorado Privacy Act (CPA) tem um conjunto de regras para o Portal do Titular que vai além da lei. O Attorney General promulgou as Colorado Privacy Act Rules (4 CCR 904-3), que especificam exatamente como cada aspecto do processo de DSAR precisa funcionar, incluindo o conteúdo mínimo do registro de cada solicitação, o prazo de manutenção dos registros, e como lidar com agentes autorizados.

Esta página cobre uma parte do quadro. Para o escopo completo da CPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CPA e cookies](https://goadopt.io/blog/cpa-colorado-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo cobre tudo isso: o que é uma DSAR sob a CPA, quais são os cinco direitos garantidos, os prazos específicos da lei, o Universal Opt-Out Mechanism, e o que as regulamentações exigem do processo.

## O que é uma DSAR sob a CPA?

DSAR é a sigla para Data Subject Access Request, ou Solicitação de Direitos de Dados na linguagem da CPA. É qualquer pedido formal de um consumidor do Colorado para exercer os direitos que a lei garante sobre os próprios dados.

Conforme C.R.S. § 6-1-1306(1), o consumidor pode submeter uma solicitação a qualquer momento usando os métodos especificados pelo controlador no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A CPA acrescenta o Universal Opt-Out Mechanism como canal alternativo para exercer o opt-out de publicidade segmentada e venda de dados.

## Quais são os direitos dos consumidores sob a CPA?

Conforme C.R.S. § 6-1-1306(1), os residentes do Colorado têm cinco direitos:

### Direito de opt-out

O consumidor pode recusar o processamento de seus dados para três finalidades (C.R.S. § 6-1-1306(1)(a)):

Publicidade segmentada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou igualmente significativos (acesso a serviços financeiros, habitação, seguros, educação, justiça criminal, emprego, saúde, ou bens essenciais).

O consumidor também pode exercer o opt-out através de agente autorizado, inclusive via UOM (como o GPC), quando o controlador consegue autenticar a identidade do consumidor e a autoridade do agente com esforço comercialmente razoável (C.R.S. § 6-1-1306(1)(a)(II)).

As regulamentações (4 CCR 904-3, Regra 4.03(A)(1)(b)) detalham: se o opt-out for submetido online e o controlador não conseguir identificar o consumidor para cessar o processamento de dados offline conectados, pode pedir informações adicionais. E se um consumidor submeteu múltiplas DSARs, o opt-out deve ser processado primeiro.

### Direito de acesso

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (C.R.S. § 6-1-1306(1)(b)).

As regulamentações (4 CCR 904-3, Regra 4.04(A)(1)) esclarecem que "peças específicas de dados pessoais" incluem decisões finais de perfilamento, inferências, dados derivados, perfis de marketing, e qualquer outro dado pessoal criado pelo controlador vinculado ao consumidor.

A resposta precisa ser fornecida em formato eletrônico comum e acessível, no idioma que o consumidor usa para interagir com o controlador, sem códigos internos incompreensíveis.

O controlador não precisa divulgar, em resposta a uma solicitação de acesso: números de identificação governamental, números de contas financeiras, dados biométricos ou identificadores biométricos. Mas deve informar ao consumidor que tem esses tipos de dados (ex: "Coletamos dados biométricos únicos incluindo digitalização de impressão digital" sem revelar a impressão em si).

### Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (C.R.S. § 6-1-1306(1)(c)).

As regulamentações (4 CCR 904-3, Regra 4.05) detalham:

O controlador corrige nos sistemas ativos, mas pode adiar para sistemas de arquivo ou backup até que sejam restaurados ou acessados.

Se a correção pode ser feita pelo próprio consumidor através das configurações da conta, o controlador pode fornecer instruções, desde que o processo não seja excessivamente trabalhoso.

O controlador pode pedir documentação para verificar a precisão dos dados.

Se o controlador não recebeu o dado diretamente do consumidor e não tem documentação de suporte, a declaração do consumidor sobre a imprecisão é suficiente para estabelecer que o dado é impreciso.

### Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais (C.R.S. § 6-1-1306(1)(d)).

As regulamentações (4 CCR 904-3, Regra 4.06) detalham:

O controlador apaga permanente e completamente dos sistemas ativos, ou desidentifica de forma que não seja razoavelmente associável ao indivíduo.

Também instrui os operadores a excluírem.

Pode adiar para sistemas de arquivo ou backup até que sejam restaurados.

Para dados obtidos de terceiros (não do próprio consumidor), pode cumprir retendo apenas o registro da solicitação e o mínimo necessário para garantir que os dados permaneçam excluídos, ou optando o consumidor para fora do processamento.

Se houver retenção parcial justificada por exceção legal, deve informar ao consumidor quais categorias não foram excluídas e qual exceção se aplica.

### Direito de portabilidade

Quando exercendo o direito de acesso, o consumidor pode obter os dados em formato portátil e tecnicamente utilizável que permita transmissão a outra entidade sem obstáculos (C.R.S. § 6-1-1306(1)(e)).

A portabilidade pode ser exercida **no máximo duas vezes por ano civil**. Isso é diferente de outras leis estaduais americanas que não impõem esse limite ao direito de portabilidade.

O controlador não é obrigado a fornecer os dados de forma que revele segredos comerciais. Mas deve fornecer o máximo possível em formato portátil sem revelar o segredo.

## Quais são os prazos para responder?

Os prazos da CPA têm uma estrutura específica.

**45 dias** a partir do recebimento da solicitação para responder (C.R.S. § 6-1-1306(2)(a)).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando complexidade e número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

Para **apelações**: **45 dias** para responder, extensível por mais **60 dias** em casos de complexidade ou grande número de solicitações (C.R.S. § 6-1-1306(3)(b)).

A primeira solicitação é gratuita. Para solicitações subsequentes no mesmo período de 12 meses, a empresa pode cobrar taxa calculada conforme C.R.S. § 24-72-205(5)(a).

## O apelo: um processo com prazos diferentes

A CPA tem um processo de apelação bem específico (C.R.S. § 6-1-1306(3)):

O controlador deve estabelecer um processo interno de apelação que seja conspicuamente disponível e tão fácil de usar quanto o processo de submissão de solicitações original.

O processo deve ser acionável em período razoável após o consumidor receber a notificação de recusa.

A resposta à apelação deve incluir a decisão e a justificativa por escrito.

Se a apelação for negada, o controlador deve **informar o consumidor sobre a capacidade de contatar o Attorney General** (C.R.S. § 6-1-1306(3)(c)).

## Como deve ser o canal para submissão de solicitações

As regulamentações (4 CCR 904-3, Regra 4.02(B)) detalham os requisitos:

**Empresas exclusivamente online com relação direta com o consumidor:** apenas um endereço de e-mail é suficiente.

**Demais empresas:** dois ou mais métodos designados, sendo que se a empresa mantém site, aplicativo ou presença digital, um dos métodos deve ser através dessa presença digital (formulário web).

**Empresas que interagem presencialmente:** devem considerar um método presencial (formulário impresso, tablet/computador com formulário online, ou telefone para ligação gratuita).

O método precisa:

Levar em conta como os consumidores normalmente interagem com o controlador.

Habilitar o consumidor a submeter a solicitação a qualquer momento.

Usar medidas razoáveis de segurança de dados.

Ser fácil de executar, com número mínimo de etapas.

Não exigir criação de nova conta (mas pode exigir uso de conta existente protegida por senha).

## Autenticação: como fazer certo

As regulamentações (4 CCR 904-3, Regra 4.08) são específicas:

O controlador deve usar método comercialmente razoável para autenticar cada solicitação. Para determinar o que é razoável, considera:

O direito exercido, o tipo, sensibilidade, valor e volume de dados envolvidos.

O nível de possível dano por acesso indevido.

O custo de autenticação para o controlador.

O controlador deve evitar solicitar dados pessoais adicionais se consegue autenticar com os dados que já tem.

O controlador não pode cobrar taxa de autenticação do consumidor. Por exemplo, não pode exigir reconhecimento em cartório sem compensar o consumidor pelo custo.

Se não conseguir autenticar com esforços razoáveis, não é obrigado a cumprir. Mas deve informar ao consumidor que a identidade não pôde ser autenticada e como remediar as deficiências.

## Documentação obrigatória por 24 meses

As regulamentações (4 CCR 904-3, Regra 6.11(A)) exigem que os registros de todas as DSARs sejam mantidos por pelo menos **24 meses**. Cada registro deve incluir no mínimo:

A data da solicitação.

O tipo da solicitação.

A data da resposta do controlador.

A natureza da resposta.

O fundamento para negação se o pedido foi negado total ou parcialmente.

A existência e resolução de qualquer apelação.

Os registros de DSARs com que o controlador já cumpriu também devem ser mantidos por 24 meses e disponibilizados ao novo controlador em caso de fusão, aquisição ou outra transação onde um terceiro assuma o controle dos dados pessoais.

## O Universal Opt-Out Mechanism no Portal do Titular

O UOM (incluindo o GPC) não substitui o Portal do Titular, mas cobre o opt-out de publicidade segmentada e venda de dados.

Quando o consumidor envia um sinal de UOM válido, o controlador deve:

Cessar o processamento para as finalidades indicadas o mais rápido possível, sem demora indevida (4 CCR 904-3, Regra 4.03(A)(1)).

Manter o registro do opt-out (4 CCR 904-3, Regra 4.03(A)(2)).

Continuar tratando o navegador, dispositivo e consumidor como tendo exercido opt-out até que o consumidor consinta novamente (4 CCR 904-3, Regra 5.08(A)(2)).

Se o consumidor quer exercer opt-out de perfilamento com efeitos significativos, isso ainda precisa ser feito via Portal do Titular, pois o UOM cobre apenas publicidade segmentada e venda de dados.

## Proteção contra discriminação

O C.R.S. § 6-1-1308(1)(c)(II) proíbe que o controlador, com base apenas no exercício de um direito e não relacionado à viabilidade ou ao valor de um serviço, aumente o custo ou diminua a disponibilidade do produto ou serviço.

A exceção são programas de fidelidade, recompensas, funcionalidades premium, descontos ou cartões de clube (C.R.S. § 6-1-1308(1)(d)). As regulamentações (4 CCR 904-3, Regra 6.05) detalham extensamente as obrigações relacionadas a programas de fidelidade.

## Fiscalização: AG e District Attorneys

A CPA é fiscalizada pelo **Attorney General** e pelos **District Attorneys** do Colorado (C.R.S. § 6-1-1311). Não há direito de ação privada.

A partir de 1º de janeiro de 2025, o cure period de 60 dias foi revogado. AG e DAs têm discricionariedade para agir sem prazo prévio de correção.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único, mantendo documentação por 24 meses conforme exigido pelas regulamentações.

O GPC e outros UOMs são detectados e honrados automaticamente. Quando o consumidor exerce opt-out via Portal ou via UOM, o sistema atualiza os rastreadores correspondentes. O log auditável serve como evidência para o AG ou District Attorneys.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CPA

**Dois ou mais métodos de submissão** para empresas não exclusivamente online, incluindo canal digital se a empresa mantém presença digital (4 CCR 904-3, Regra 4.02(B)(1)(b)).

**Apenas e-mail** para empresas exclusivamente online com relação direta com o consumidor (4 CCR 904-3, Regra 4.02(B)(1)(a)).

**Cobertura dos 5 direitos**: opt-out, acesso, correção, exclusão, portabilidade.

**Portabilidade limitada a 2x por ano civil** (C.R.S. § 6-1-1306(1)(e)).

**Universal Opt-Out Mechanism** honrado automaticamente a partir de julho de 2024 (C.R.S. § 6-1-1306(1)(a)(IV)(B)).

**Processo de apelação** conspicuamente disponível e tão fácil quanto o processo original.

**Prazos**: 45 dias para resposta (+45 ext.); 45 dias para apelação (+60 ext.).

**Informação ao consumidor** sobre como contatar o AG em caso de apelação negada.

**Autenticação** com esforço comercialmente razoável, sem cobrar taxa, sem solicitar dados desnecessários.

**Registros mantidos por 24 meses** com os 6 campos obrigatórios (4 CCR 904-3, Regra 6.11(A)).

**Gratuidade na primeira solicitação**; segunda pode ser cobrada conforme C.R.S. § 24-72-205(5)(a).

**Renovação de consentimento** configurada para 24 meses de inatividade do consumidor.

**Notificação a operadores** quando uma exclusão ou correção é atendida.

## Comparativo: prazos do Portal do Titular na CPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Opt-out, acesso, correção, exclusão | 45 dias | +45 dias com notificação |
| Portabilidade (máx. 2x/ano) | 45 dias | +45 dias com notificação |
| Apelação de decisão | 45 dias | +60 dias com notificação |
| Cure period (violações gerais) | Discricionário (2025) | Não há garantia |

## FAQ: CPA e Portal do Titular

**1. A CPA exige Portal do Titular dedicado ou um e-mail é suficiente?**
Depende do tipo de empresa. Empresas exclusivamente online com relação direta com o consumidor só precisam de um endereço de e-mail (4 CCR 904-3, Regra 4.02(B)(1)(a)). As demais precisam de dois ou mais métodos, sendo que uma empresa com site deve oferecer uma opção digital (formulário web). Um Portal do Titular dedicado é a forma mais organizada, mas não é o nome que a lei exige.

**2. Como funciona o limite de 2x por ano para portabilidade?**
O direito de portabilidade sob a CPA pode ser exercido no máximo duas vezes por ano civil (C.R.S. § 6-1-1306(1)(e)). Esse é um limite exclusivo da CPA entre as leis estaduais americanas. O direito de acesso (sem formato portátil) não tem esse limite explícito na lei, embora a primeira solicitação seja gratuita e subsequentes possam ser cobradas.

**3. O que o controlador deve fazer quando um consumidor não interagiu por 24 meses?**
As regulamentações (4 CCR 904-3, Regra 7.08) exigem que o controlador renove o consentimento para processamento de dados sensíveis e para finalidades secundárias que envolvam perfilamento com efeitos significativos, quando o consumidor não interagiu nos últimos 24 meses. Isso significa que o Portal do Titular e os sistemas de gestão de consentimento precisam rastrear a última interação do consumidor e disparar fluxos de renovação de consentimento.

**4. O que acontece após apelação negada na CPA?**
O C.R.S. § 6-1-1306(3)(c) exige que o controlador informe o consumidor sobre a capacidade de contatar o Attorney General. Isso é diferente de outras leis que exigem fornecer instruções específicas de como contatar a autoridade. A CPA é mais aberta: o controlador precisa comunicar que essa opção existe. O consumidor pode então submeter reclamação ao AG ou ao District Attorney da jurisdição.

**5. A CPA tem alguma obrigação específica sobre dados encontrados durante uma solicitação de acesso que o controlador não pode divulgar?**
Sim. As regulamentações (4 CCR 904-3, Regra 4.04(D)) listam categorias de dados que o controlador não precisa divulgar na resposta de acesso: números de identificação governamentais, números de contas financeiras, dados de seguros de saúde ou identificação médica, senhas, questões de segurança, dados biométricos e identificadores biométricos. Mas o controlador deve informar ao consumidor que tem esse tipo de dado, com detalhe suficiente (ex: "Coletamos dados biométricos únicos, incluindo digitalização de impressão digital"), sem revelar o dado em si.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Colorado CPA: DSAR Portal do Titular

A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem algumas peculiaridades no processo de DSAR que a diferenciam das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da CTDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CTDPA e cookies](https://goadopt.io/blog/ctdpa-connecticut-e-cookies-tudo-o-que-voce-precisa-saber/).

A mais importante: as solicitações de opt-out **não precisam de autenticação**, mas o controlador pode negar se tiver crença documentada de fraude. E a apelação tem prazo de **60 dias** para resposta, não 45 como o prazo inicial.

Este artigo cobre tudo isso: o que é uma DSAR sob a CTDPA, quais são os cinco direitos garantidos, os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Connecticut.

## O que é uma DSAR sob a CTDPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Connecticut para exercer os direitos que a CTDPA garante sobre os próprios dados.

Conforme a Seção 4(b), o consumidor exerce seus direitos por meios seguros e confiáveis estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A CTDPA adiciona regras específicas sobre autenticação de opt-outs e o papel dos agentes autorizados via tecnologia.

## Quais são os direitos dos consumidores sob a CTDPA?

Conforme a Seção 4(a), os residentes do Connecticut têm cinco direitos:

### 1. Direito de confirmação e acesso

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (Seção 4(a)(1)).

Uma limitação específica da CTDPA: se a confirmação ou o acesso exigirem que o controlador **revele segredo comercial**, o controlador não é obrigado a fazê-lo. Isso é diferente de outras leis que não mencionam segredos comerciais no contexto do direito de acesso.

### 2. Direito de correção

O consumidor pode solicitar correção de imprecisões nos dados pessoais, levando em conta a natureza dos dados e os propósitos do processamento (Seção 4(a)(2)).

### 3. Direito de exclusão

O consumidor pode solicitar a exclusão de dados pessoais fornecidos por ele ou obtidos sobre ele (Seção 4(a)(3)).

Para dados obtidos de terceiros (não do próprio consumidor), o controlador pode cumprir retendo apenas o registro da solicitação de exclusão e o mínimo necessário para garantir que os dados permaneçam excluídos (sem usar esses dados para outra finalidade), ou optando o consumidor para fora do processamento desses dados (Seção 4(c)(5)).

### 4. Direito de portabilidade

O consumidor pode obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável para transmissão a outro controlador sem obstáculos, onde o processamento é realizado por meios automatizados (Seção 4(a)(4)).

O controlador **não é obrigado a revelar segredos comerciais** para atender à solicitação de portabilidade.

### 5. Direito de opt-out

O consumidor pode recusar o processamento de dados para três finalidades (Seção 4(a)(5)):

Publicidade segmentada.

Venda de dados pessoais (exceto como previsto na Seção 6(b) sobre programas de fidelidade).

Perfilamento em apoio a decisões **exclusivamente automatizadas** que produzem efeitos legais ou igualmente significativos sobre o consumidor.

O terceiro ponto é a diferença mais importante da CTDPA em relação a outras leis: o opt-out de perfilamento se aplica apenas a decisões **exclusivamente** automatizadas. Se houver qualquer revisão humana na decisão final, esse opt-out pode não se aplicar.

## Quais são os prazos para responder?

Conforme a Seção 4(c)(1):

**45 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e número de solicitações, com notificação dentro do prazo inicial.

**Gratuito** uma vez por consumidor durante qualquer período de 12 meses (Seção 4(c)(3)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas: pode cobrar taxa razoável ou recusar, com ônus da prova do caráter excessivo recaindo sobre o controlador.

## O processo de apelação: 60 dias, não 45

A CTDPA tem uma peculiaridade: o prazo para resposta à apelação é de **60 dias**, não 45 como o prazo inicial (Seção 4(d)).

O processo de apelação precisa ser:

Conspicuamente disponível e similar ao processo de submissão de solicitações.

Acionável dentro de período razoável após o consumidor receber a decisão.

A resposta deve incluir qualquer ação tomada ou não tomada, junto com explicação escrita dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online, se disponível, ou outro método pelo qual o consumidor pode contatar o **Attorney General** para submeter reclamação.

## Autenticação: a regra especial para opt-outs

A CTDPA tem uma regra de autenticação diferente para opt-outs (Seção 4(c)(4)):

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: se o controlador não conseguir autenticar usando esforços comercialmente razoáveis, não é obrigado a cumprir. Deve notificar o consumidor que não conseguiu autenticar e que precisa de informação adicional.

Para **solicitações de opt-out**: o controlador **não é obrigado a autenticar**, mas **pode negar** se tiver crença de boa-fé, razoável e documentada de que a solicitação é fraudulenta. Se negar, deve enviar notificação ao solicitante explicando que acredita que é fraudulenta, por quê acredita nisso, e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem exigir autenticação, mas o controlador pode ter um processo de verificação de fraude.

## Os agentes autorizados e os sinais de opt-out

A Seção 5 permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia, como link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de **1º de janeiro de 2025**, o controlador que processa para publicidade segmentada ou vende dados deve aceitar opt-outs via sinal enviado por plataforma ou mecanismo com o consentimento do consumidor (Seção 6(e)(1)(A)(ii)). Isso inclui o Global Privacy Control (GPC).

## Como deve ser o canal para submissão de solicitações

A Seção 6(e)(1) exige que o controlador estabeleça e descreva no aviso de privacidade um ou mais meios seguros e confiáveis para submissão de solicitações. Os meios devem levar em conta:

As formas como os consumidores normalmente interagem com o controlador.

A necessidade de comunicação segura e confiável.

A capacidade de verificar a identidade do consumidor.

O controlador não pode exigir criação de nova conta. Pode exigir uso de conta existente.

Além disso, a Seção 6(e)(1)(A)(i) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade segmentada e venda de dados.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso

Receba e autentique a identidade do titular com esforços comercialmente razoáveis.

Localize todos os dados pessoais do consumidor nos sistemas.

Verifique se a confirmação ou acesso revelaria segredos comerciais: se sim, pode negar nessa parte específica.

Prepare resposta em formato acessível dentro de 45 dias.

### Solicitação de correção

Receba e autentique.

Identifique o dado impreciso.

Corrija nos sistemas principais.

Confirme ao consumidor dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal.

Para dados obtidos de terceiros: escolha entre excluir ou optar o consumidor para fora do processamento.

Confirme ao consumidor.

### Solicitação de portabilidade

Receba e autentique.

Gere arquivo com dados do consumidor em formato portátil, sem revelar segredos comerciais.

Entregue de forma segura dentro de 45 dias.

### Opt-out de publicidade segmentada e venda

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC).

Não é necessário autenticar para processar, mas monitore sinais de fraude.

Se houver suspeita razoável e documentada de fraude: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

Atenção especial: se o sinal de opt-out conflita com configuração específica ou programa de fidelidade do consumidor, cumpra o opt-out mas pode notificar o conflito.

### Opt-out de perfilamento exclusivamente automatizado

Receba via Portal.

Avalie se o perfilamento em questão é **exclusivamente automatizado** (sem revisão humana). Se houver revisão humana significativa, o opt-out pode não se aplicar.

Se for exclusivamente automatizado: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado.

## O que acontece quando o controlador nega uma solicitação?

Conforme a Seção 4(c)(2), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

## Revogação de consentimento: 15 dias

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 6(a)(6) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento no máximo em **15 dias** após o recebimento da revogação.

Esse prazo de 15 dias precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

## Proteção especial para crianças e adolescentes

Para crianças conhecidas (menores de 13 anos sob a COPPA): os pais ou responsáveis legais podem exercer os direitos em nome da criança (Seção 4(b)).

Para consumidores sob tutela, curatela ou outro arranjo de proteção: o tutor ou curador pode exercer os direitos em nome do consumidor (Seção 4(b)).

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade segmentada ou venda sem o consentimento desses consumidores (Seção 6(a)(7)).

## Proteção contra discriminação

A Seção 6(a) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam.

## Fiscalização: AG exclusivo

A Seção 11(a) confere ao Attorney General do Connecticut **autoridade exclusiva** para fiscalizar a CTDPA. Não há District Attorneys envolvidos (diferente do Colorado) e não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode considerar múltiplos fatores antes de agir ou não.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento e garante a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CTDPA

**Um ou mais canais seguros e confiáveis** descritos no aviso de privacidade (Seção 6(e)(1)).

**Link claro e conspícuo** no site para opt-out de publicidade segmentada/venda (Seção 6(e)(1)(A)(i)).

**Opt-out preference signal** honrado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

**Cobertura dos 5 direitos**: acesso/confirmação, correção, exclusão, portabilidade, opt-out.

**Perfilamento: apenas exclusivamente automatizado** coberto pelo opt-out (Seção 4(a)(5)(C)).

**Opt-out sem autenticação obrigatória**: processo que aceita opt-outs sem exigir verificação (Seção 4(c)(4)).

**Processo de denúncia de fraude** documentado se opt-outs forem negados por suspeita de fraude.

**Agentes autorizados** aceitos para opt-out (Seção 5).

**Prazos**: 45 dias para resposta (+45 ext.); **60 dias** para apelação (não 45).

**Mecanismo de apelação** conspicuamente disponível e similar ao processo original.

**Referência ao AG** fornecida quando apelação é negada (Seção 4(d)).

**Gratuidade** na primeira solicitação por período de 12 meses (Seção 4(c)(3)).

**Revogação de consentimento honrada em 15 dias** (Seção 6(a)(6)).

**Pais/responsáveis** podem exercer direitos por crianças (Seção 4(b)).

**Tutores** podem exercer direitos por consumidores sob tutela (Seção 4(b)).

**Proteção para adolescentes 13-15**: processo para obter consentimento antes de processar para publicidade/venda.

## Comparativo: prazos do Portal do Titular na CTDPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, correção, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (não requer autenticação) | Sem prazo específico | Imediato recomendado |
| Apelação de decisão | **60 dias** | Não especificado |
| Revogação de consentimento | **Máx. 15 dias** | Não há extensão |
| Cure period (violações gerais) | Discricionário (2025) | Não há garantia |

## FAQ: CTDPA e Portal do Titular

**1. Por que o opt-out não precisa de autenticação na CTDPA?**
A Seção 4(c)(4) estabelece que o controlador não é obrigado a autenticar solicitações de opt-out. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode, no entanto, negar se tiver crença documentada de fraude e deve notificar o solicitante com a justificativa. Isso equilibra a facilidade de exercício do direito com a proteção contra abusos.

**2. Por que a apelação tem prazo de 60 dias e não 45 como as solicitações iniciais?**
A Seção 4(d) estabelece explicitamente 60 dias para resposta a apelações, enquanto as solicitações iniciais têm prazo de 45 dias (Seção 4(c)(1)). O prazo maior para apelações provavelmente reflete a necessidade de revisão mais cuidadosa de uma decisão já tomada. Não há extensão mencionada para o prazo de apelações.

**3. O opt-out de perfilamento na CTDPA é mais restrito do que em outras leis?**
Sim. A Seção 4(a)(5)(C) limita o opt-out de perfilamento a decisões **exclusivamente** automatizadas com efeitos legais ou significativos. A VCDPA da Virgínia e a CPA do Colorado cobrem decisões com esses efeitos sem o requisito de exclusividade. Na prática, se o controlador usa perfilamento automatizado mas um humano revisa e toma a decisão final, o opt-out de perfilamento da CTDPA pode não se aplicar.

**4. Quem pode exercer direitos em nome de outros consumidores na CTDPA?**
A Seção 4(b) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças conhecidas, e que tutores ou curadores exercem direitos em nome de consumidores sob esses arranjos de proteção. Além disso, a Seção 5 permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

**5. O que acontece se o controlador negar um opt-out por suspeita de fraude?**
A Seção 4(c)(4) permite a negação se houver crença de boa-fé, razoável e documentada de que o opt-out é fraudulento. Mas exige notificação ao solicitante com três informações: que o controlador acredita que a solicitação é fraudulenta, por que acredita nisso, e que não cumprirá. Sem essa notificação, a negação pode ser considerada violação da lei.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Connecticut CTDPA: DSAR Portal do Titular

A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem algumas particularidades no processo de DSAR que a distinguem das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da OCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da OCPA e cookies](https://goadopt.io/blog/ocpa-oregon-e-cookies-tudo-o-que-voce-precisa-saber/).

A mais importante: as solicitações de opt-out **não precisam de autenticação**. E o direito de listar os terceiros que receberam os dados foi o mais frequentemente negado no primeiro ano de enforcement. O relatório do Attorney General Dan Rayfield (agosto de 2025) mostrou que empresas simplesmente não tinham esse registro estruturado.

Este artigo cobre tudo: o que é uma DSAR sob a OCPA, quais são os direitos garantidos pelo sistema L.O.C.K.E.D., os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Oregon.

## O que é uma DSAR sob a OCPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Oregon para exercer os direitos que a OCPA garante sobre os próprios dados.

Conforme a Seção 4(1), o consumidor exerce seus direitos por meios estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar. A OCPA adiciona regras específicas sobre dados derivados, opt-out sem autenticação, e o papel dos sinais de opt-out universal via tecnologia.

## Quais são os direitos dos consumidores sob a OCPA?

O sistema **L.O.C.K.E.D.** do Departamento de Justiça do Oregon resume os direitos da Seção 3(1) da OCPA:

### L: Direito de listar os terceiros

O consumidor pode solicitar uma lista das entidades específicas para as quais o controlador divulgou seus dados pessoais, ou uma lista de qualquer dado pessoal divulgado (Seção 3(1)(a)(B)).

O controlador pode escolher fornecer: (i) lista de terceiros específicos que receberam os dados do consumidor, ou (ii) lista de terceiros que receberam qualquer dado pessoal do controlador.

Esse foi o direito mais frequentemente negado no primeiro ano de enforcement. Empresas não tinham o registro de com quem compartilharam dados estruturado de forma que permitisse responder a essa solicitação.

### K: Direito de saber e confirmar

O consumidor pode obter confirmação de que o controlador processa ou processou seus dados e quais categorias de dados pessoais estão envolvidas (Seção 3(1)(a)(A)).

### C: Direito de cópia

O consumidor pode obter cópia de **todos** os dados pessoais que o controlador processou, em formato portável e prontamente utilizável quando tecnicamente viável (Seção 3(1)(a)(C)).

Esse escopo inclui dados derivados. Perfis de marketing, scores de comportamento e classificações de segmento criados a partir dos dados do consumidor fazem parte da cópia que deve ser entregue.

O relatório de enforcement identificou que empresas não estavam incluindo dados de "back-end" como perfis de marketing nas respostas às solicitações de cópia. Isso configura violação direta da lei.

### E: Direito de correção

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (Seção 3(1)(b)).

### D: Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais, incluindo (Seção 3(1)(c)):

Dados que o consumidor forneceu diretamente à empresa.

Dados que a empresa obteve de outras fontes sobre o consumidor.

Dados derivados criados pela empresa a partir de outros dados.

Para dados obtidos de terceiros, a OCPA prevê uma alternativa. O controlador pode cumprir a solicitação de exclusão de duas formas: excluindo os dados de fato; ou fazendo opt-out do consumidor do processamento de seus dados para qualquer finalidade que não seja uma das isentas pela Seção 2(3) (Seção 4(7)).

### O: Direito de opt-out

O consumidor pode recusar o processamento de dados para três finalidades (Seção 3(1)(d)):

Publicidade direcionada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou de significância similar (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

## Quais são os prazos para responder?

Conforme a Seção 4(5)(a):

**45 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

**Apelação: 45 dias** para resposta, com decisão e justificativa por escrito (Seção 4(6)(d)).

**Gratuito** uma vez por período de 12 meses por consumidor (Seção 4(5)(c)). Para solicitações subsequentes, pode cobrar taxa razoável, exceto quando verifica o cumprimento de correção ou exclusão anterior.

Um ponto de distinção em relação à CTDPA do Connecticut: a OCPA estabelece 45 dias para apelações, enquanto a CTDPA estabelece 60 dias. A OCPA é mais ágil nesse ponto.

## O processo de apelação

A Seção 4(6) exige que o controlador estabeleça processo de apelação conspicuamente disponível e similar ao processo original de submissão.

O processo deve:

Permitir um prazo razoável para o consumidor apelar após receber a recusa.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta escrita dentro de **45 dias** com decisão e justificativa.

Se a apelação for negada, o aviso deve fornecer ou especificar informações que permitam ao consumidor contatar o Attorney General para registrar uma reclamação (Seção 4(6)(d)).

## Autenticação: a regra especial para opt-outs

A Seção 4(5)(e) da OCPA tem regra de autenticação diferente para opt-outs:

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: o controlador pode solicitar informações adicionais razoavelmente necessárias para autenticar. Se não conseguir autenticar, não é obrigado a cumprir, mas deve notificar o consumidor (Seção 4(5)(d)).

Para **solicitações de opt-out**: o controlador **não pode exigir autenticação**. Pode solicitar apenas informações necessárias para identificar quem está pedindo o opt-out. Se tiver crença documentada, razoável e de boa-fé de que a solicitação é fraudulenta, pode negar. Mas deve notificar o solicitante explicando que acredita que é fraudulenta e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem barreiras de autenticação.

## Os agentes autorizados e os sinais de opt-out

A Seção 4(4) permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia: link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de **1º de janeiro de 2026**, o controlador que processa para publicidade direcionada ou vende dados deve aceitar opt-outs via sinal enviado com o consentimento do consumidor (Seção 5(5)(c)). Isso inclui o Global Privacy Control (GPC).

## Como deve ser o canal para submissão de solicitações

A Seção 5(4)(i) e 5(5) exige que o controlador estabeleça e descreva no aviso de privacidade o método para submissão de solicitações. Esse método precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir segurança e confiabilidade nas comunicações.

Permitir autenticação da identidade do consumidor.

Fornecer link claro e conspícuo para opt-out de publicidade direcionada.

O controlador não pode exigir criação de nova conta (Seção 4(2)). Pode exigir uso de conta existente.

Além disso, a Seção 5(5)(b) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade direcionada e venda de dados.

A partir de **1º de janeiro de 2026**, o canal também precisa reconhecer e honrar sinais de opt-out universal como o GPC, conforme a Seção 5(5)(c).

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (lista de terceiros, acesso/cópia, correção, exclusão, opt-out de publicidade/venda/perfilamento).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

## Como processar cada tipo de DSAR na prática

### Solicitação de lista de terceiros

Receba e autentique a identidade do titular.

Consulte o registro de compartilhamentos de dados.

Decida se vai fornecer: (i) lista de terceiros específicos que receberam dados do consumidor, ou (ii) lista de qualquer terceiro que recebeu qualquer dado.

Prepare resposta dentro de 45 dias.

Atenção: sem esse registro estruturado, é impossível cumprir. Construir o mapeamento de compartilhamentos é pré-requisito.

### Solicitação de acesso e cópia

Receba e autentique.

Localize todos os dados pessoais nos sistemas, incluindo dados derivados como perfis de marketing e scores de comportamento.

Prepare resposta em formato portável dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal (Seção 2(3)).

Para dados do próprio consumidor: exclua de todos os sistemas relevantes.

Para dados obtidos de terceiros: exclua de fato ou faça opt-out do processamento para finalidades não isentas (Seção 4(7)).

Confirme ao consumidor dentro de 45 dias.

### Opt-out de publicidade direcionada e venda

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC a partir de 2026).

**Não é necessário autenticar** para processar.

Monitore sinais de fraude. Se houver suspeita documentada: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

### Opt-out de perfilamento

Receba via Portal.

Identifique se o perfilamento em questão é para decisões com efeitos legais ou de significância similar.

Se sim: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado dentro de 45 dias.

## O que acontece quando o controlador nega uma solicitação?

Conforme a Seção 4(5)(b), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

## Revogação de consentimento: 15 dias

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 5(1)(d) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento o mais rápido possível, mas **no máximo em 15 dias** após o recebimento da revogação.

Esse prazo precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

## Proteção especial para crianças e adolescentes

A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos.

A Seção 4(3) também permite que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outra proteção similar.

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade direcionada ou venda sem o consentimento desses consumidores (Seção 5(2)(c)).

A partir de janeiro de 2026: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada.

## Proteção contra discriminação

A Seção 5(2)(d) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença está razoavelmente relacionada ao valor que os dados representam (Seção 5(3)(b)).

## O fim do período de cura e os DSARs

Até 1º de janeiro de 2026, o AG precisava notificar a empresa e conceder 30 dias para correção antes de iniciar ação formal.

**A partir de 1º de janeiro de 2026, esse período foi eliminado.** O AG pode agir diretamente (Seção 11 da OCPA).

Empresas sem processo estruturado para DSARs não conseguem corrigir em 30 dias o que deveria estar implementado desde o início. Sem o período de cura, o risco é ainda maior. As penalidades podem chegar a **US$ 7.500 por violação**, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC a partir de 2026, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento garantindo a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a OCPA

**Canal de submissão de solicitações** sem exigência de criação de nova conta (Seção 4(2)).

**Link claro e conspícuo** no site para opt-out de publicidade direcionada e venda (Seção 5(5)(b)).

**Opt-out preference signal** honrado a partir de janeiro de 2026 (Seção 5(5)(c)).

**Cobertura de todos os direitos L.O.C.K.E.D.**: lista de terceiros, acesso/confirmação, cópia (incluindo dados derivados), correção, exclusão, opt-out.

**Dados derivados incluídos** no escopo de cópia e exclusão (Seção 3(1)(a)(C) e 3(1)(c)).

**Opt-out sem autenticação obrigatória** para publicidade direcionada, venda e perfilamento (Seção 4(5)(e)).

**Processo de denúncia de fraude** documentado se opt-outs forem negados por suspeita de fraude.

**Agentes autorizados** aceitos para opt-out, incluindo via tecnologia (Seção 4(4)).

**Prazos**: 45 dias para resposta (+45 ext.); **45 dias** para apelação.

**Mecanismo de apelação** conspicuamente disponível e similar ao processo original (Seção 4(6)).

**Referência ao AG** fornecida quando apelação é negada (Seção 4(6)(d)).

**Gratuidade** na primeira solicitação por período de 12 meses (Seção 4(5)(c)).

**Revogação de consentimento honrada em 15 dias** (Seção 5(1)(d)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Pais/responsáveis** podem exercer direitos por crianças menores de 13 anos (Seção 4(3)).

**Tutores** podem exercer direitos por consumidores sob tutela (Seção 4(3)).

**Proteção para adolescentes 13-15**: processo para consentimento antes de processar para publicidade/venda.

## Comparativo: prazos do Portal do Titular na OCPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, lista, cópia, correção, exclusão | 45 dias | +45 dias com notificação |
| Opt-out (sem autenticação obrigatória) | Sem prazo específico | Imediato recomendado |
| Apelação de decisão | 45 dias | Não especificado |
| Revogação de consentimento | Máx. 15 dias | Não há extensão |
| Cure period para violações | Eliminado (jan/2026) | Não há garantia |

## FAQ: OCPA e Portal do Titular

**1. Por que o opt-out não precisa de autenticação na OCPA?**
A Seção 4(5)(e) estabelece que para solicitações de opt-out de publicidade direcionada, venda e perfilamento, o controlador deve cumprir sem exigir autenticação. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode negar apenas se tiver crença documentada de boa-fé de que a solicitação é fraudulenta, e deve notificar o solicitante com a justificativa. Sem essa notificação, a negação pode ser considerada violação da lei.

**2. Por que o direito de listar terceiros foi o mais negado no primeiro ano da OCPA?**
O relatório do AG Dan Rayfield (agosto de 2025) identificou que empresas simplesmente não tinham o registro estruturado de com quem compartilharam dados pessoais. Para cumprir a Seção 3(1)(a)(B), o controlador precisa saber exatamente quais entidades receberam dados de determinado consumidor, ou quais entidades receberam qualquer dado pessoal do controlador. Sem um mapeamento de compartilhamentos atualizado, é impossível responder a essa solicitação.

**3. O que torna a exclusão de dados derivados um diferencial importante da OCPA?**
A OCPA inclui explicitamente dados derivados na definição de dado pessoal (Seção 1(13)) e no escopo do direito de exclusão (Seção 3(1)(c)). Isso significa que quando o consumidor solicita a exclusão, perfis de marketing, scores de propensão e classificações de segmento criados a partir dos dados dele também precisam ser excluídos. O relatório de enforcement identificou que empresas não estavam incluindo esses dados nas respostas, o que configurou violação direta.

**4. Quem pode exercer direitos em nome de outros consumidores na OCPA?**
A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos, e que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outros arranjos de proteção. Além disso, a Seção 4(4) permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

**5. O que acontece se o controlador não tiver processo de DSAR quando o Attorney General investigar?**
A partir de janeiro de 2026, não existe mais o período de cura de 30 dias. O AG pode iniciar ação diretamente (Seção 11 da OCPA). Se identificar violações, pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser contado como violação separada, o que eleva rapidamente o impacto financeiro. O relatório de enforcement de 2025 mostrou que formulários de direitos inacessíveis ou não funcionais foram um dos problemas mais comuns nas investigações.

Tá na AdOpt, tá bem.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Oregon OCPA: DSAR Portal do Titular

A Utah Consumer Privacy Act (UCPA, Utah Code § 13-61-101) tem o processo de DSAR mais simples entre as leis estaduais americanas vigentes.

Esta página cobre uma parte do quadro. Para o escopo completo da UCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da UCPA e cookies](https://goadopt.io/blog/ucpa-utah-e-cookies-tudo-o-que-voce-precisa-saber/).

Quatro direitos. Nenhum processo de apelação formal. Sem distinção de autenticação entre opt-out e outros direitos. E o prazo de resposta é o mesmo para todos: 45 dias.

Mas existem particularidades que merecem atenção: o direito de exclusão é mais restrito do que em outras leis, e a UCPA tem regras específicas sobre cobrança de taxa e proteção contra fraude em solicitações.

Este artigo cobre tudo isso.

## O que é uma DSAR sob a UCPA?

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um consumidor residente do Utah para exercer os direitos que a UCPA garante sobre os próprios dados.

Conforme Utah Code § 13-61-202(1), o consumidor exerce seus direitos submetendo uma solicitação ao controlador, pelos meios prescritos pelo controlador, especificando qual direito pretende exercer.

Se você já conhece o [portal do titular da LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura é familiar, mas simplificada. A UCPA não tem processo de apelação formal e o escopo de alguns direitos é mais restrito.

## Quais são os direitos dos consumidores sob a UCPA?

Conforme Utah Code § 13-61-201, os residentes do Utah têm quatro direitos:

### 1. Direito de confirmação e acesso

O consumidor pode confirmar se o controlador está processando seus dados pessoais e acessar esses dados (§ 13-61-201(1)).

A resposta precisa ser fornecida em formato acessível dentro de 45 dias.

### 2. Direito de exclusão

O consumidor pode solicitar a exclusão dos dados pessoais que forneceu ao controlador (§ 13-61-201(2)).

**Atenção ao escopo restrito:** a UCPA limita o direito de exclusão a dados que o consumidor **forneceu** ao controlador. Dados que o controlador obteve de outras fontes, como data brokers, listas de terceiros, ou inferências criadas a partir de outros dados, não precisam ser excluídos por força da UCPA.

Isso é substancialmente diferente de leis como OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte, incluindo dados derivados.

### 3. Direito de portabilidade

O consumidor pode obter uma cópia dos dados pessoais que forneceu ao controlador, em formato portátil quando tecnicamente viável e praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 13-61-201(3)).

O escopo é também limitado a dados que o consumidor forneceu, não a todos os dados que o controlador possui sobre o consumidor.

### 4. Direito de opt-out

O consumidor pode recusar o processamento de seus dados para publicidade direcionada ou venda de dados pessoais (§ 13-61-201(4)).

**O que a UCPA não inclui no opt-out:** perfilamento. A UCPA não garante opt-out de perfilamento para decisões com efeitos legais ou significativos, ao contrário de OCPA, VCDPA e CTDPA. O opt-out cobre apenas publicidade direcionada e venda de dados.

## O que a UCPA não tem: direitos ausentes em comparação com outras leis

Para empresas que já processam DSARs para outras jurisdições, vale destacar o que a UCPA não prevê:

**Sem direito de correção.** A UCPA não garante o direito de corrigir dados imprecisos. Leis como CPRA, OCPA, VCDPA e CTDPA todas incluem esse direito.

**Sem processo de apelação formal.** Quando o controlador nega uma solicitação, a UCPA não exige um processo de apelação estruturado. O consumidor pode registrar reclamação na Division of Consumer Protection.

**Sem opt-out de perfilamento.** A UCPA cobre apenas publicidade direcionada e venda de dados no opt-out, excluindo perfilamento para decisões com efeitos legais.

**Exclusão limitada a dados fornecidos pelo consumidor.** Dados de terceiros e dados derivados não precisam ser excluídos.

## Quais são os prazos para responder?

Conforme Utah Code § 13-61-203:

**45 dias** para responder a partir do recebimento da solicitação (§ 13-61-203(2)(a)).

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor antes do prazo inicial expirar (§ 13-61-203(2)(b)(c)).

Se o controlador suspeitar razoavelmente que a solicitação é fraudulenta e não conseguir autenticar dentro do prazo, o prazo de 45 dias não se aplica até a autenticação ser concluída (§ 13-61-203(2)(d)).

**Gratuito para a primeira solicitação** de cada consumidor por período de 12 meses (§ 13-61-203(4)(a)).

## Quando a empresa pode cobrar taxa ou recusar

Utah Code § 13-61-203(4)(b) permite ao controlador cobrar taxa razoável ou recusar agir se a solicitação:

For excessiva, repetitiva, tecnicamente inviável ou manifestamente infundada.

O controlador razoavelmente acreditar que o objetivo principal de submeter a solicitação é algo diferente de exercer um direito.

A solicitação, individualmente ou como parte de esforço organizado, assediar, interromper ou impor carga indevida sobre os recursos da empresa.

O controlador que cobrar taxa ou recusar agir com base nesses critérios assume o ônus de demonstrar que a solicitação satisfaz um dos critérios listados.

## Autenticação: sem distinção especial para opt-out

Uma diferença importante da UCPA em relação à OCPA: a UCPA não tem regra especial de autenticação para opt-out. Conforme § 13-61-203(5), se o controlador não conseguir autenticar a solicitação usando esforços comercialmente razoáveis, não é obrigado a cumprir, mas pode pedir informações adicionais razoavelmente necessárias para autenticar.

Essa regra se aplica igualmente a todos os tipos de solicitação, incluindo opt-out. Isso difere da OCPA, que proíbe exigir autenticação para opt-out de publicidade direcionada.

## Como deve ser o canal para submissão de solicitações

Conforme Utah Code § 13-61-203(1) e 302(1)(a)(iii), o controlador precisa estabelecer meios pelos quais os consumidores podem submeter solicitações, e descrever esses meios no aviso de privacidade.

O controlador não pode exigir que o consumidor crie uma nova conta apenas para exercer um direito. A lei permite usar conta existente (§ 13-61-202(1) refere ao uso dos "meios prescritos pelo controlador").

Um Portal do Titular bem estruturado para a UCPA inclui:

Formulário com as quatro categorias de direitos.

Processo de verificação de identidade proporcional.

Confirmação de recebimento.

Registro da solicitação, ação tomada, e resposta enviada.

O [consentimento no site](https://goadopt.io/blog/consentimento-site-lgpd/) e o Portal do Titular precisam estar integrados para que as preferências de opt-out sejam refletidas nos sistemas da empresa.

## Proteção de crianças e adolescentes

Conforme Utah Code § 13-61-202(2), no caso de processamento de dados pessoais de uma criança conhecida, o pai ou responsável legal deve exercer os direitos em nome da criança.

Conforme § 13-61-202(3), no caso de processamento de dados de um consumidor sob tutela, curatela ou outro arranjo de proteção, o tutor ou curador exerce os direitos em nome do consumidor.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 13-61-102(3)), incluindo consentimento parental verificável antes de qualquer coleta de dados.

## O que acontece quando o controlador nega uma solicitação?

Conforme Utah Code § 13-61-203(3), o controlador que decidir não agir sobre uma solicitação deve informar o consumidor dentro de 45 dias, com as razões para não tomar ação.

A UCPA não descreve um processo formal de apelação. Não há prazo específico para apelação, nem obrigação de informar sobre como contatar o regulador em caso de negativa.

O consumidor pode registrar reclamação na Division of Consumer Protection, que poderá investigar e, se encontrar evidências substanciais de violação, encaminhar ao Attorney General.

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e confirmação

Receba e autentique com esforços comercialmente razoáveis.

Confirme se os dados do consumidor estão sendo processados.

Localize os dados pessoais do consumidor nos sistemas relevantes.

Prepare resposta em formato acessível dentro de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Verifique se há exceção legal que justifica a retenção.

Exclua os dados identificados dos sistemas relevantes.

**Nota importante:** dados que o controlador obteve de fontes que não o próprio consumidor (data brokers, listas de terceiros, dados derivados) não precisam ser excluídos sob a UCPA.

### Solicitação de portabilidade

Receba e autentique.

Identifique quais dados o consumidor forneceu diretamente.

Prepare resposta em formato portátil e utilizável.

Entregue ao consumidor dentro de 45 dias.

### Opt-out de publicidade direcionada e venda

Receba a solicitação pelo canal designado.

Autentique com esforços comercialmente razoáveis.

Cesse o processamento para as finalidades indicadas.

Atualize os sistemas de rastreamento correspondentes.

Informe o consumidor dentro de 45 dias.

## Proteção contra discriminação

Utah Code § 13-61-302(4) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários e situações onde o consumidor optou por sair da publicidade direcionada e a empresa ajustou o preço em consequência (desde que o preço diferente seja razoavelmente relacionado ao valor que os dados representam para a empresa).

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de direito solicitado.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa quando a Division of Consumer Protection investigar reclamações ou quando o caso for encaminhado ao Attorney General.

## O cure period e os DSARs

Antes de iniciar qualquer ação, o Attorney General deve notificar o controlador e conceder **30 dias para correção** (§ 13-61-402(3)). Esse prazo é garantido permanentemente.

Empresas sem processo estruturado para DSARs têm dificuldade de implementar em 30 dias o que deveria estar em vigor desde o início. O cure period é uma garantia, não uma estratégia de conformidade.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade direcionada, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para a Division of Consumer Protection e o Attorney General. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a UCPA

**Canal de submissão de solicitações** descrito no aviso de privacidade (§ 13-61-302(1)(a)(iii)).

**Cobertura dos 4 direitos**: confirmação/acesso, exclusão (dados fornecidos pelo consumidor), portabilidade, opt-out de publicidade direcionada e venda.

**Ausência de exigência de criação de nova conta** para exercer direitos.

**Prazo de 45 dias** para resposta (+45 ext. com notificação) (§ 13-61-203(2)).

**Autenticação com esforços comercialmente razoáveis** para todos os tipos de solicitação (§ 13-61-203(5)).

**Gratuidade** para a primeira solicitação por período de 12 meses (§ 13-61-203(4)(a)).

**Registro documentado** de cada solicitação, ação tomada e resposta enviada.

**Proteção para crianças**: pais/responsáveis exercem direitos por crianças conhecidas (§ 13-61-202(2)).

**Conformidade com COPPA** para dados de crianças menores de 13 anos (§ 13-61-102(3)).

**Proteção contra discriminação** de consumidores que exercem direitos (§ 13-61-302(4)).

## Comparativo: prazos do Portal do Titular na UCPA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso, exclusão, portabilidade | 45 dias | +45 dias com notificação |
| Opt-out (publicidade direcionada e venda) | 45 dias | +45 dias com notificação |
| Apelação de decisão | Não estruturado pela UCPA | Não se aplica |
| Cure period para violações | 30 dias garantidos | Não há extensão |

## FAQ: UCPA e Portal do Titular

**1. Por que o direito de exclusão da UCPA é mais restrito do que em outras leis?**
Utah Code § 13-61-201(2) limita o direito de exclusão a "dados pessoais que o consumidor forneceu ao controlador." Isso exclui dados que o controlador obteve de terceiros, dados inferidos ou derivados a partir de outros dados, e dados obtidos de fontes que não o próprio consumidor. Em contraste, leis como OCPA e CTDPA exigem exclusão de dados obtidos de qualquer fonte. A UCPA reflete a filosofia do legislativo do Utah de proteger consumidores sem criar obrigações excessivamente onerosas para as empresas.

**2. A UCPA tem processo formal de apelação quando o controlador nega uma solicitação?**
Não. Ao contrário da OCPA (45 dias para apelação), CTDPA (60 dias) e VCDPA (60 dias), a UCPA não define um processo de apelação estruturado. Quando o controlador nega uma solicitação, deve informar o consumidor das razões dentro de 45 dias (§ 13-61-203(3)). O consumidor pode então registrar reclamação na Division of Consumer Protection, que poderá investigar e encaminhar ao Attorney General se encontrar evidências substanciais de violação.

**3. A UCPA exige opt-out de perfilamento?**
Não. O direito de opt-out da UCPA cobre apenas publicidade direcionada e venda de dados (§ 13-61-201(4)). Leis como VCDPA, OCPA e CTDPA incluem opt-out de perfilamento para decisões com efeitos legais ou significativos. A UCPA é a única entre as principais leis estaduais americanas que não inclui esse direito.

**4. O Portal do Titular precisa diferir o processo de opt-out do processo de outros direitos?**
Não de forma especial. Ao contrário da OCPA, que proíbe exigir autenticação para opt-out, a UCPA usa o mesmo padrão de autenticação com "esforços comercialmente razoáveis" para todos os tipos de solicitação (§ 13-61-203(5)). O opt-out não precisa de um fluxo de autenticação separado ou mais simples do que o acesso ou a exclusão.

**5. O que acontece se o controlador suspeitar que uma solicitação é fraudulenta?**
Utah Code § 13-61-203(2)(d) estabelece que o prazo de 45 dias não se aplica se o controlador razoavelmente suspeitar que a solicitação é fraudulenta e não conseguir autenticar antes do prazo expirar. O controlador pode solicitar informações adicionais para autenticação (§ 13-61-203(5)(b)). Se a suspeita de fraude for razoável e documentada, o controlador pode cobrar taxa ou recusar agir, assumindo o ônus de demonstrar o caráter fraudulento.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a UCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Todos artigos