A LGDP já é uma realidade e, todo o mercado digital segue passando pela sua transformação e adequação.

A [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) foi sancionada em 2018 e começou a valer  desde agosto de 2020 no Brasil.

Com ela, todas as  empresa que coletam dados pessoais como e-mail, nome, telefone entre outros, devem estar atentos às suas diretrizes e obrigações. E com a chegada de novas leis, alguns termos começam tomar destaque, um deles é o Privacy by Design,  saiba mais na leitura desse post.

## O que é _Privacy by Design_?

_Privacy by Design_ é um conceito que foi desenvolvido nos anos 90 pela Doutora Ann Cavoukian, ex-Comissária de Informação e Privacidade da Província de Ontário. Ela observou a necessidade de  um mecanismos para garantir a privacidade do usuário.

O  mecanismo tem por objetivo garantir que ocorra a proteção de dados e privacidade de ponta a ponta. Desde a concepção das atividades de processamento e práticas do negócio, passando por todo o ciclo de vida do dado.

Se você quer garantir segurança e privacidade dos usuários através da abordagem do Privacy by Design, um bom começo é se basear pelos 7 princípios criados pela Doutora:

[Fique por dentro de Tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)

## Os 7 princípios fundamentais

**1. Preventivo não reativo** – Antecipe  e evite eventos de invasão à privacidade. Não espere  os riscos se materializarem para tomar uma ação.

**2. Privacidade como a configuração padrão** – Procure entregar o máximo nível de privacidade automaticamente, garantindo que os dados pessoais sejam protegidos por padrão em qualquer tipo de negócios, ou seja, sem a necessidade do usuário configurar.

**3. Privacidade embutida no Design** –  Privacidade é um componente essencial da funcionalidade do sistema e não um componente opcional (add-ons).

**4. Funcionalidade completa** – soma positiva, não soma zero – Garantir que a proteção de dados pessoais aconteça alinhado com os interesses legítimos de quem é responsável pelo tratamento dessas informações. E que aconteça em uma perspectiva positiva, “ganha-ganha” entre o titular e os agentes de tratamento.

**5. Segurança de Ponta a Ponta** –  A proteção de dados deve ocorrer em todo o ciclo de vida do dado – coleta, armazenamento, tratamento, processamento, uso e descarte.

**6. Visibilidade e Transparência** – Visão clara dos dados coletados assim como os motivos da coleta e com quem estão sendo compartilhados. Podendo estes serem verificados a qualquer momento pelo titular.

**7.** Respeito a privacidade do cliente –  Acima de tudo, o desejo do consumidor. Dispor de mecanismos que protejam seus dados, mantendo os mesmos informados de maneira clara e apropriada.

## Privacy by Design e a LGPD

Buscar formas de se adequar a Lei Geral de Proteção de Dados, que entrou em vigor em Agosto de 2020, é uma necessidade recorrente de muitas empresas.

Os princípios fundamentais do Privacy by Design são um excelente começo e muitos deles influenciaram a construção  do Marco Civil da Internet antes mesmo da LGPD.

No artigo 6º da lei por exemplo, possui pontos como os de finalidade, necessidade, transparência e segurança que não seriam novidade para quem já segue os princípios do Privacy by Design.

Claro que a lei engloba outros aspectos que não são contemplados pelo PbD, no entanto para quem ainda não iniciou seu planejamento para a LGPD pode ser um bom pontapé inicial.

Quer se aprofundar mais nos temas da LGPD? Que tal aprofundar um pouco alguns aspectos sobre a [Política de Privacidade?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)


O que é Privacy by Design?

LGPD & COOKIES - ANPD lança “Guia orientativo: Cookies e Proteção de Dados Pessoais”

João Bruno Soares

Decifrar se uma nova lei de privacidade de dados se aplica ao seu negócio pode parecer um quebra-cabeça complicado. Mas nós estamos aqui para facilitar a sua vida e proteger a sua **[coleta de dados](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

A Lei de Privacidade de Dados do Consumidor de Montana (MTCDPA) traz regras muito claras e objetivas. Vamos destrinchar exatamente quem precisa estar em conformidade com o uso de um bom **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)**.

Não se desespere com os termos técnicos internacionais. Entender o **[significado da LGPD](https://goadopt.io/blog/significado-da-lgpd/)** no Brasil já ajuda muito a compreender essas novas regulamentações americanas na internet.

## Quem deve cumprir: Os limites para as empresas em Montana

Encare os requisitos da MTCDPA como uma lista de verificação bem simples. Se a sua empresa marcar apenas uma das duas opções a seguir, você precisará adequar as suas **[políticas de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** imediatamente.

A lei americana se aplica a qualquer companhia que faça negócios em Montana ou produza serviços direcionados aos residentes do estado. Para isso, o uso da **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** será essencial.

Você está na mira da lei se:

1. Controla ou processa os dados pessoais de pelo menos 50.000 consumidores.
2. Controla ou processa dados de pelo menos 25.000 consumidores e obtém mais de 25% da sua receita bruta com a venda de dados em seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**.

Vamos definir esses termos rapidamente. Um consumidor aqui é simplesmente um residente de Montana. E um dado pessoal é qualquer informação que identifique uma pessoa capturada pelo seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)**.

Já uma venda não é apenas uma transação financeira direta em dinheiro. A lei entende como venda a troca de dados pessoais por qualquer outro benefício que impacte o **[marketing digital](https://goadopt.io/blog/lgpd-oportunidade-agencia-marketing-digital/)**.

Diferente de outras leis estaduais, a regulamentação de Montana não possui um limite mínimo de faturamento. Por isso, nunca decida **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** baseando-se apenas no tamanho atual da sua empresa.

### Datas importantes: Quando a MTCDPA entra em vigor?

Marque com destaque no seu calendário de adequação. A Lei de Privacidade de Dados do Consumidor de Montana entra em vigor totalmente no dia 1º de outubro de 2024. O ideal é nomear logo o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)**.

Esse é o prazo final e inegociável para que o seu negócio esteja rodando dentro da lei com tranquilidade. Os mecanismos para lidar com os direitos dos consumidores precisam estar operacionais e listados no **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)**.

Existe uma segunda data crucial na sua operação: 1º de janeiro de 2025. A partir desse dia, as empresas deverão reconhecer os sinais universais de opt-out. Saber **[o que é uma CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)** ajuda a resolver esse desafio técnico.

Esse padrão permite aos usuários sinalizarem as suas preferências de privacidade em todos os sites que visitam através do navegador. Fazer essa leitura funcionar exige aplicar o conceito de **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** desde a raiz.

### Isenções: Quem está fora do radar da lei?

Nem todas as organizações são cobertas pela MTCDPA de forma automática e impositiva. A legislação cria isenções inteligentes para evitar burocracia em indústrias que já fazem um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** rigoroso.

Você não precisará **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** com base na MTCDPA se a sua corporação for um órgão governamental, ONG, instituição de ensino superior ou regulada por leis federais como HIPAA e GLBA.

## As Novas Regras para Cookies e Consentimento: O Opt-Out Explicado

A abordagem de Montana muda de forma fundamental a interação com os dados dos visitantes. Diferente do modelo rigoroso da Europa, a MTCDPA usa uma estrutura focada no opt-out gerido pela sua **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)**.

Entender essa pequena diferença técnica é a chave principal para o sucesso e para evitar o temido risco de sofrer **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** ou ações legais no exterior.

### Modelo Opt-Out: O que isso significa para o seu Aviso de Cookies

Em um sistema prático de opt-out, você pode coletar e processar a maioria dos dados por padrão logo no acesso inicial. Porém, deve dar aos consumidores uma maneira visual e fácil de dizer não nos seus **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)**.

Você não precisa implorar por permissão antes de colocar a maioria dos rastreadores de publicidade nas máquinas. Entretanto, garantir o perfeito **[funcionamento do aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)** para quem deseja recusar é obrigatório.

Ele não é mais apenas um alerta passivo no rodapé. Ele é uma ferramenta poderosa e ativa. O seu site precisa fornecer um link totalmente visível na **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** para os usuários recusarem a venda dos dados.

Se o usuário escolher sair da base de captação, a sua tecnologia de retenção precisa desativar os scripts imediatamente. Realizar boas **[práticas na categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)** garante que isso funcione nos bastidores de forma invisível.

### Dados Sensíveis: Quando você precisa absolutamente do Opt-In

A regra liberal do opt-out tem uma exceção que não pode ser contornada: os dados sensíveis. Para essa categoria, você deve obter o consentimento explícito e afirmativo. Ter um bom **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** liderando isso é vital.

Os dados sensíveis sob a MTCDPA incluem: raça, religião, saúde física ou mental, orientação sexual, biometria e localização precisa. Isso exige um controle muito mais refinado através da sua **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)**.

Para essas informações, o silêncio do usuário não significa consentimento em hipótese alguma. Você deve pedir um sim claro. Isso impede que **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)** invasivos sejam ativados sem autorização.

### Proteções Especiais para Menores: Um Padrão Mais Rigoroso

A MTCDPA oferece proteções muito elevadas para os jovens, criando um sistema de dois níveis. Para crianças menores de 13 anos, a lei exige consentimento verificável dos pais antes de alimentar o seu **[ROPA LGPD](https://goadopt.io/blog/ropa-lgpd/)**.

Para menores entre os 13 e 16 anos, existe uma diferença marcante. Você deve obter o próprio opt-in do menor de idade de forma explícita na tela do seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** antes de vender as informações dele.

O grande desafio operacional da tecnologia aqui é descobrir de forma lícita a idade real de quem está navegando. Essa dificuldade enorme reforça a importância de adotar os pilares sólidos do **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**.

### Definindo a Venda de Dados e a Publicidade Direcionada

A publicidade direcionada é a exibição de anúncios com base no histórico rastreado do usuário. É a tecnologia de remarketing que persegue os visitantes e exige atenção para não gerar **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)**.

Já a venda de dados pessoais não significa apenas enviar uma lista fria de e-mails em troca de dinheiro. A nova lei define isso amplamente como a troca constante de dados por qualquer benefício. Avalie bem se vale a pena **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** e seguir com essas práticas.

## O seu plano de ação de 4 passos para a conformidade com a MTCDPA

Alcançar a adequação com uma nova lei de privacidade pode parecer um projeto gigante. Mas ao dividir isso em um plano de ação claro, fatiado e gerenciável, você pode **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** da sua agência em semanas.

### Passo 1: Atualize a sua Política de Privacidade

A sua página de política digital é a base fundamental de toda a sua transparência. Ela deve listar as categorias exatas de dados capturados e informar os direitos plenos do cidadão de forma clara na sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)**.

Reserve um bom bloco de tempo na agenda para revisar meticulosamente esse texto. Criar um documento ideal é sobre honestidade da marca, não apenas sobre emaranhar termos jurídicos complexos que confundem o leitor sobre o **[funcionamento do aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)**.

### Passo 2: Implemente uma Ferramenta de Gestão de Cookies

Uma política escrita é na melhor das hipóteses apenas uma promessa. Para atender com destreza técnica aos requisitos de opt-out impostos, você precisa inevitavelmente de uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** robusta.

Uma tecnologia profissional cuida de todo o ciclo ininterrupto. Ela exibe majestosamente um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** claro, bloqueia rastreadores não autorizados e grava a prova de aceite com segurança.

### Passo 3: Prepare-se para as Requisições dos Consumidores (DSRs)

A regulamentação capacita todos os cidadãos de Montana a assumirem o protagonismo online. A sua equipe precisa treinar para suportar sem erros os pedidos oficiais que devem subir em volume para o **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)**.

Conduzir um trabalho minucioso voltado estritamente para o **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** é o pulo do gato operacional. Sem isso, você não saberá onde os dados estão quando o usuário pedir para apagá-los.

### Passo 4: Realize uma Avaliação de Proteção de Dados

Para certas atividades que apresentam alto risco, a MTCDPA exige que você execute uma Avaliação de Proteção de Dados. Isso documenta internamente os riscos e ações tomadas pela sua equipe ao **[adequar o marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

Se a sua empresa vende dados, processa informações sensíveis ou roda anúncios direcionados, aplicar as diretrizes do **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** ajudará a provar que a sua operação age com total responsabilidade.

## Direitos do Consumidor que você deve honrar sob a MTCDPA

A lei concede aos residentes de Montana direitos específicos e inegociáveis para controlar as suas próprias informações. A sua empresa tem o dever legal e imediato de atender a essas demandas rapidamente.

Garantir que os usuários possam exercer esses direitos sem atritos é tão importante quanto saber escrever uma boa **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)**.

- **Direito de Acesso e Correção:** O consumidor pode exigir uma cópia exata do que você tem salvo sobre ele e pedir a correção de dados errados ou desatualizados.
- **Direito de Exclusão:** O famoso direito de ser esquecido. Quando solicitado, você deve apagar os dados do seu CRM e listas, validando tudo através da sua **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)**.
- **Direito à Portabilidade:** O usuário pode levar os seus dados para a concorrência em um formato estruturado e legível, como um simples arquivo CSV exportável.
- **Direito de Opt-Out:** O usuário pode bloquear o uso dos seus dados para vendas ou anúncios. É exatamente aqui que o seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** entra em ação desativando rastreadores.

## O que acontece se você não cumprir? Fiscalização e Penalidades

Saber as regras é metade da batalha; conhecer as punições é a outra metade. Ignorar as suas obrigações de privacidade não é e nunca será uma estratégia recomendada. As **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** já nos provaram isso.

Ao contrário de outras leis, a MTCDPA não permite que o cidadão processe a sua empresa diretamente. É o Procurador-Geral de Montana quem detém a autoridade exclusiva para fazer toda a fiscalização oficial.

### O Período de Cura (e o seu fim em 2026)

Se o Procurador-Geral determinar que a sua empresa violou as regras, você receberá uma notificação e terá exatos 60 dias para corrigir a falha sem sofrer grandes sanções financeiras.

No entanto, essa colher de chá acaba definitivamente no dia 1º de abril de 2026. Depois dessa data, as autoridades poderão prosseguir diretamente para ações severas contra quem **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** ou leis americanas.

### Existem multas sob a MTCDPA?

Curiosamente, a lei não especifica valores exatos de multas tabeladas como acontece na Europa. Mas isso não significa que não existam consequências gigantescas.

O Procurador-Geral pode exigir penalidades financeiras pesadas através da justiça, obrigando a sua empresa a mudar práticas e assumir processos caros. Utilizar uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** profissional evita esses pesadelos diários.

## A MTCDPA na prática: os três documentos

A adequação à MTCDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/montana-mtcdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/montana-mtcdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/montana-mtcdpa-dsar/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Perguntas Frequentes sobre a MTCDPA

**Quando a Lei de Privacidade de Montana entra em vigor?**
A MTCDPA entra em vigor no dia 1º de outubro de 2024. Há um prazo adicional até 1º de janeiro de 2025 para reconhecer sinais universais de opt-out (GPC) no seu **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)**.

**A minha empresa precisa cumprir a MTCDPA?**
Sim, se operar em Montana e processar dados de 50.000 consumidores ou processar dados de 25.000 pessoas obtendo mais de 25% da receita através da venda de informações em seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**.

**O que são dados sensíveis sob a lei?**
São informações que exigem alta proteção, como origem racial, crenças religiosas, diagnóstico de saúde, orientação sexual, biometria e localização precisa. Use o **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)** para protegê-los.

**Quanto tempo tenho para responder às solicitações dos consumidores?**
A sua equipe e o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** têm exatamente 45 dias para responder a uma solicitação do usuário, podendo prorrogar por mais 45 dias em casos complexos.

**Preciso de consentimento explícito para dados sensíveis?**
Com certeza. A lei exige que você obtenha um consentimento de opt-in afirmativo e claro no seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** antes de coletar qualquer dado dessa categoria especial.

**O que acontece se a minha empresa violar a MTCDPA?**
O Procurador-Geral pode tomar ações legais imediatas. Até abril de 2026, existe um período de cura de 60 dias para resolver a falha. Depois disso, as penalidades financeiras não terão aviso prévio. Não espere pelas **[multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/)** ou fora do país.

---

Plataformas intuitivas como a **[AdOpt](https://goadopt.io)** ajudam você a ficar em conformidade rapidamente sem complicar o design ou a velocidade do seu site.

Quer proteger a sua operação e vender com segurança? **[Agende uma ligação](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)** com um dos nossos especialistas agora mesmo!


Montana MTCDPA e Cookies: Tudo o que você precisa saber

Aviso de Cookies na VTEX: como configurar e manter sua loja em conformidade

Uma nova regulamentação estadual, a **Lei de Privacidade de Dados de Connecticut (CTDPA)**, chegou para proteger a privacidade dos residentes de Connecticut. Ela orienta como as empresas devem gerenciar dados pessoais, com foco em dar aos consumidores mais controle sobre suas informações. Isso, claro, inclui os **[cookies](https://goadopt.io/blog/cookies-e-lgpd/ )**, e este artigo vai guiar você por todas as novidades de privacidade de dados que ela traz.

Se sua empresa coleta ou processa dados de residentes de Connecticut, entender a CTDPA é fundamental. A lei exige transparência sobre quais informações pessoais são coletadas e como serão usadas e armazenadas. Para o consumidor, isso significa mais controle e segurança. Para as empresas, estar em conformidade com a CTDPA é uma oportunidade de construir confiança e credibilidade.

## Quem Precisa se Adequar à Lei de Privacidade de Dados de Connecticut?

A CTDPA se aplica a qualquer entidade que:

- Processa ou controla informações pessoais de pelo menos 100.000 residentes de Connecticut anualmente; ou
- Obtém mais de 25% de sua receita bruta com a venda de dados pessoais, enquanto controla ou processa dados de pelo menos 25.000 consumidores.

Isso abrange serviços de varejo, tecnologia e marketing digital. Se o seu negócio se enquadra nesses critérios, a adequação é necessária e representa um passo importante para fortalecer a relação com seus clientes.

## Principais Disposições da CTDPA

A CTDPA reflete várias disposições de leis de privacidade de outros estados, como a Lei de Privacidade do Colorado (CPA) e a Lei de Proteção de Dados do Consumidor da Virgínia (CDPA). Assim como elas, a CTDPA concede aos consumidores direitos como acesso, correção, exclusão de dados pessoais e a opção de não participar da venda e processamento de seus dados. Um bom **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/ )** é o primeiro passo para atender a esses direitos com eficiência.

Uma característica notável da CTDPA é a ausência de um limite de receita, o que a posiciona como uma das leis de privacidade estaduais mais focadas no consumidor.

## Isenções na CTDPA

Algumas entidades e tipos de dados estão isentos da CTDPA. É crucial entender essas exceções para determinar se sua organização precisa se adequar. As entidades isentas incluem agências estaduais, organizações sem fins lucrativos, instituições de ensino superior e outras especificadas na lei, como aquelas já reguladas por leis federais como GLBA e HIPAA.

Além disso, a CTDPA não se aplica a empresas que processam dados exclusivamente para atividades pessoais ou domésticas. Compreender o escopo da sua operação é fundamental para a conformidade.

## Requisitos de Consentimento de Cookies

Solicitar consentimento expresso e inequívoco dos usuários para coletar seus dados por meio de cookies é uma necessidade sob a CTDPA. Se você utiliza rastreamento para fins analíticos, por exemplo, isso implica em ter um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )** claro, explicando os dados que serão coletados e como serão usados.

Uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/ )** (CMP), como a AdOpt, pode automatizar esse processo, garantindo que seus mecanismos de consentimento de cookies estejam em conformidade e personalizados para sua marca. É essencial também detalhar os tipos de cookies que seu site usa, diferenciando entre os essenciais e os não essenciais, como os de análise e publicidade. A transparência na **[categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/ )** ajuda a construir a confiança do usuário.

Os usuários devem ter uma opção fácil para desativar os cookies e retirar o consentimento a qualquer momento. O processo de opt-out deve ser tão simples quanto o de aceitar, fortalecendo a confiança e a experiência do usuário. Manter registros de consentimento é outra exigência importante para demonstrar conformidade.

## Boas Práticas com os Requisitos de Cookies da CTDPA

- **Liberdade de escolha:** O acesso ao site não deve ser condicionado à aceitação de cookies. Ofereça ao usuário total liberdade para navegar.
- **Respeito à decisão:** Após a recusa, o banner não deve ser exibido repetidamente. Respeitar a escolha do visitante é essencial para uma boa experiência.
- **Facilidade de uso:** Recusar cookies deve ser tão simples quanto aceitar. Botões claros e processos diretos demonstram respeito pelo usuário.
- **Consentimento ativo:** As caixas de consentimento não devem vir pré-marcadas. Os usuários devem fazer uma escolha ativa sobre quais cookies habilitar.
- **Linguagem clara:** Seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/ )** deve usar textos simples e transparentes, facilitando a compreensão do visitante.
- **Política completa:** Sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/ )** deve ser abrangente e de fácil acesso, explicando como os dados são coletados, usados e protegidos.

## Penalidades e a Importância da Conformidade

O cumprimento da CTDPA traz benefícios diretos para a reputação da sua marca. As multas podem chegar a $7.500 por infração, mas o verdadeiro valor da conformidade está em demonstrar ao seu público que sua empresa leva a privacidade a sério. Investir em transparência é investir na confiança do cliente.

## Como Garantir a Conformidade com a CTDPA?

Estar em conformidade com a CTDPA é mais simples do que parece. Um mecanismo de **[consentimento](https://goadopt.io/blog/consentimento-site-lgpd/ )** (opt-in) funcional é um componente essencial. Isso exige que os usuários aceitem claramente os cookies antes que qualquer informação seja coletada, por meio de um aviso claro e informativo.

Gerenciar o consentimento de opt-in e opt-out é muito mais simples com uma solução de CMP robusta como a AdOpt. Uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/ )** ajuda a manter um inventário de consentimentos, rastreia as permissões e garante que suas políticas estejam sempre atualizadas, melhorando a experiência do usuário e garantindo a conformidade.

## A CTDPA e os Direitos do Consumidor

Sob a CTDPA, os consumidores têm o direito de acessar, corrigir e solicitar a exclusão de seus dados pessoais. As empresas devem fornecer essas informações em um formato claro e acessível. Ser transparente sobre os dados que você coleta e como os utiliza é a chave para construir confiança e garantir a conformidade. Um **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/ )** pode ser um grande aliado nesse processo.

### Tabela Comparativa de Leis de Privacidade dos EUA

| Lei | Estado | Limite de Receita | Processamento de Dados | Consentimento | Multas por Violação |
|---|---|---|---|---|---|
| **CTDPA** | **Connecticut** | **N/A** | **100.000 residentes ou 25% da receita** | **Sim** | **Até $7.500** |
| TIPA | Tennessee | N/A | 25.000 residentes ou 50% da receita | Sim | Até $7.500 |
| TDPSA | Texas | $25M | 50.000 residentes | Sim | Até $7.500 |
| CCPA | Califórnia | $25M | 50.000 residentes ou 50% da receita | Sim | Até $7.500 |
| VCDPA | Virgínia | $25M | 100.000 residentes ou 50% da receita | Sim | Até $7.500 |
| OCPA | Oregon | $25M | 100.000 residentes | Sim | Até $7.500 |
| CPA | Colorado | $25M | 100.000 residentes ou 25% da receita | Sim | Até $20.000 |
| UCPA | Utah | $25M | 100.000 residentes ou 50% da receita | Sim | Até $7.500 |

## Pronto para Garantir a Conformidade?

A Plataforma de Gestão de Consentimentos da AdOpt foi projetada para ajudar sua empresa a se adequar com tranquilidade e transformar a conformidade em uma vantagem competitiva.

**[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria )** e descubra como a AdOpt pode facilitar a conformidade e fortalecer a confiança dos seus clientes.

## A CTDPA na prática: os três documentos

A adequação à CTDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/connecticut-ctdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/connecticut-ctdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/connecticut-ctdpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.


Connecticut CTDPA e Cookies: Tudo o que você precisa saber

Tennessee TIPA e Cookies: Tudo o que você precisa saber

Quando o California Consumer Privacy Act (CCPA) entrou em vigor em 1º de janeiro de 2020, os Estados Unidos ainda não tinham uma lei federal de privacidade. A Califórnia decidiu não esperar e aprovou a lei mais abrangente de proteção de dados do país, que se tornaria referência para praticamente tudo que veio depois.

Dois anos depois, os californianos foram às urnas e aprovaram a Proposição 24, que criou o California Privacy Rights Act (CPRA). E aí as coisas ficam um pouco confusas para quem está de fora.

Este guia explica o que é cada uma, o que mudou, e o que a legislação vigente da Califórnia exige de quem trata dados de consumidores do estado.

## CCPA e CPRA: a mesma lei ou leis diferentes?

Boa pergunta, e a resposta não é simples.

A **CCPA** (California Consumer Privacy Act) é a lei original. Foi aprovada como AB 375 em 2018 e entrou em vigor em 1º de janeiro de 2020. Ela está codificada no California Civil Code § 1798.100 a § 1798.199.100.

A **CPRA** (California Privacy Rights Act) é a Proposição 24, aprovada por referendo popular em 3 de novembro de 2020, com a maioria das disposições operativas a partir de 1º de janeiro de 2023. A CPRA não criou uma lei separada. Ela **emendou e expandiu** a CCPA. Ou seja: o que existe hoje é a CCPA com as mudanças da CPRA incorporadas.

### O que a CCPA tinha originalmente

A CCPA de 2020 garantia aos consumidores californianos direitos básicos: saber o que era coletado, pedir a exclusão dos dados, e recusar a venda dos dados. Era uma lei pioneira e importante, mas com lacunas significativas.

### O que a CPRA mudou a partir de 2023

A CPRA fez alterações profundas:

**Criou a California Privacy Protection Agency (CPPA):** uma agência reguladora independente com poder administrativo exclusivo para implementar e fiscalizar a lei. Antes, era o Attorney General quem fiscalizava. Agora a CPPA tem estrutura própria, poderes investigativos, competência para multas administrativas, e orçamento garantido.

**Adicionou novos direitos:** o direito de corrigir dados imprecisos e o direito de limitar o uso e a divulgação de informações pessoais sensíveis.

**Criou a categoria de "compartilhamento":** separou "venda" de "compartilhamento" para publicidade comportamental contextual cruzada. Isso significa que compartilhar dados com plataformas de anúncios para targeting, mesmo sem receber dinheiro diretamente, passou a exigir opt-out.

**Expandiu a definição de dados sensíveis:** incluiu dados genéticos, dados neurais, informações de saúde, orientação sexual e vida sexual.

**Exigiu o link "Limit the Use of My Sensitive Personal Information":** além do já existente "Do Not Sell or Share My Personal Information."

**Impôs requisitos de minimização de dados e retenção proporcionada.**

| Aspecto | CCPA (2020) | CCPA + CPRA (2023) |
|---|---|---|
| Fiscalização | Attorney General | CPPA (agência independente) + AG |
| Direitos do consumidor | 5 direitos | 7 direitos |
| Links obrigatórios | "Do Not Sell My Personal Information" | "Do Not Sell or Share" + "Limit Sensitive PI" |
| Dados sensíveis | Categoria básica | Expandida (inclui dados neurais) |
| Ação privada | Apenas violações de segurança | Apenas violações de segurança |
| Vigência plena | Jan 2020 | Jan 2023 |

Nos artigos sobre a Califórnia neste blog, tratamos a lei vigente: **CCPA conforme emendada pela CPRA**. Quando precisar consultar apenas as mudanças específicas da CPRA, temos um guia dedicado sobre a [Califórnia CPRA](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber).

## O que é a CCPA/CPRA hoje?

O California Consumer Privacy Act, conforme emendado pela CPRA, é a lei de proteção de dados mais abrangente dos Estados Unidos. Ela garante direitos amplos aos consumidores californianos e cria obrigações detalhadas para empresas que tratam seus dados.

A fiscalização hoje é compartilhada entre a **California Privacy Protection Agency (CPPA)** e o **Attorney General da Califórnia**, com poderes distintos e complementares.

## Quando a CCPA entrou em vigor?

A CCPA original entrou em vigor em **1º de janeiro de 2020**.

As emendas da CPRA tornaram-se operativas em **1º de janeiro de 2023**.

A versão atual da lei, com todos os direitos e obrigações vigentes, aplica-se desde janeiro de 2023.

## Quem precisa cumprir a CCPA?

Conforme § 1798.140(d), a lei se aplica a empresas com fins lucrativos que fazem negócios na Califórnia, coletam dados pessoais de consumidores, e atendem a pelo menos **um** dos seguintes critérios:

Receita bruta anual superior a **US$ 25 milhões** no ano civil anterior.

Compra, vende ou compartilha dados pessoais de pelo menos **100.000 consumidores ou domicílios** por ano.

Deriva **50% ou mais** da receita anual da venda ou compartilhamento de dados pessoais de consumidores.

O threshold de US$ 25 milhões é o mais baixo entre todas as leis estaduais americanas, tornando a CCPA a lei com maior alcance em termos de empresas afetadas.

Entender a distinção entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é fundamental para definir as responsabilidades de cada parte.

### Isenções da CCPA

Estão isentos da maioria das obrigações:

Informações de saúde protegidas pela HIPAA e dados de entidades cobertas.

Dados regulados pela California Confidentiality of Medical Information Act.

Informações de crédito ao consumidor reguladas pelo Fair Credit Reporting Act.

Dados financeiros regulados pelo Gramm-Leach-Bliley Act ou pela California Financial Information Privacy Act.

Dados regulados pelo Driver's Privacy Protection Act.

Dados de pesquisas acadêmicas ou de saúde pública com salvaguardas adequadas.

Dados de funcionários e candidatos a emprego quando usados nessa capacidade.

## O que é dado pessoal sob a CCPA?

Conforme § 1798.140(v), dado pessoal é qualquer informação que identifica, se relaciona com, descreve, é razoavelmente capaz de ser associada, ou poderia razoavelmente ser vinculada direta ou indiretamente a um consumidor ou domicílio específico.

Isso inclui identificadores como nome, endereço, IP, e-mail, número de previdência social, carteira de motorista e passaporte. Também inclui informações comerciais, histórico de navegação, dados de geolocalização, informações de áudio e visual, dados de emprego, dados de educação, e inferências derivadas para criar perfis.

Dados desidentificados e informações publicamente disponíveis estão excluídos.

Um [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) completo revela onde esses dados estão sendo gerados e processados no seu ambiente digital.

## O que são informações pessoais sensíveis na CCPA/CPRA?

A CCPA, após as emendas da CPRA, tem uma categoria expandida de "informações pessoais sensíveis" (§ 1798.140(ae)):

Número de previdência social, carteira de motorista, número de identificação do estado ou passaporte.

Login de conta, número de conta financeira, cartão de débito ou crédito em combinação com código de segurança ou senha.

Geolocalização precisa (raio de 1.850 pés ou menos).

Origem racial ou étnica, cidadania ou status de imigração, crenças religiosas ou filosóficas, ou associação sindical.

Conteúdo de e-mails, correspondências e mensagens de texto, exceto quando a empresa é o destinatário pretendido.

Dados genéticos.

Dados neurais: informações geradas pela medição da atividade do sistema nervoso central ou periférico do consumidor.

Processamento de informações biométricas para identificação única.

Informações de saúde coletadas e analisadas.

Informações sobre vida sexual ou orientação sexual.

A inclusão de dados neurais é exclusiva da CCPA/CPRA entre as leis estaduais americanas.

## Quais são os direitos dos consumidores sob a CCPA/CPRA?

A lei garante sete direitos principais:

**Direito de saber e acessar:** confirmar se a empresa processa seus dados e obter as informações específicas coletadas, incluindo categorias de dados, fontes, finalidades, terceiros, e as peças específicas da informação. A solicitação cobre os **12 meses anteriores** ao pedido (§ 1798.110, 1798.115).

**Direito de exclusão:** solicitar a exclusão dos dados pessoais coletados, com obrigação de a empresa notificar prestadores de serviço e terceiros para também excluir (§ 1798.105).

**Direito de correção:** solicitar a correção de dados pessoais imprecisos, adicionado pela CPRA (§ 1798.106).

**Direito de opt-out da venda e do compartilhamento:** recusar que a empresa venda ou compartilhe seus dados, exercível a qualquer momento (§ 1798.120).

**Direito de limitar o uso de informações pessoais sensíveis:** restringir o uso das informações pessoais sensíveis ao necessário para fornecer os produtos ou serviços esperados. Adicionado pela CPRA (§ 1798.121).

**Direito de não discriminação:** exercer qualquer direito sem ser discriminado pela empresa (§ 1798.125).

**Direito de ação privada por violações de segurança:** entrar com ação judicial por danos de US$ 100 a US$ 750 por consumidor por incidente. Único entre as leis estaduais americanas (§ 1798.150).

O controlador tem **45 dias** para responder. O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, com notificação dentro do prazo inicial. O atendimento é gratuito. A empresa não precisa atender ao mesmo consumidor mais de **duas vezes em 12 meses** (§ 1798.130(b)).

## Os dois links obrigatórios no site

A CCPA/CPRA exige links específicos nas páginas iniciais do site (§ 1798.135):

**"Do Not Sell or Share My Personal Information":** link claro e conspícuo para página de opt-out da venda e compartilhamento.

**"Limit the Use of My Sensitive Personal Information":** link que permite limitar o uso de informações sensíveis ao necessário para o serviço.

A empresa pode usar um único link combinado para os dois propósitos, desde que permita exercer as duas opções claramente.

Também é possível cumprir honrando o sinal de preferência de opt-out do **Global Privacy Control (GPC)** quando enviado pelo usuário.

## O que é "venda" vs "compartilhamento" na CCPA/CPRA?

Essa distinção criada pela CPRA é fundamental.

**Venda** (§ 1798.140(ad)): transferência de dados por contrapartida monetária **ou outro valor valioso** a terceiros.

**Compartilhamento** (§ 1798.140(ah)): transferência de dados com terceiros para **publicidade comportamental contextual cruzada**, com ou sem contrapartida monetária.

Publicidade comportamental contextual cruzada (§ 1798.140(k)) são anúncios direcionados baseados em dados obtidos das atividades do consumidor em diferentes empresas, sites e aplicações de marcas distintas.

Na prática: passar dados para uma plataforma de anúncios para exibir anúncios personalizados com base no comportamento em outros sites é "compartilhamento" sob a CCPA/CPRA, mesmo sem receber dinheiro diretamente.

## Cookies e a CCPA/CPRA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão diretamente no escopo da CCPA/CPRA.

Antes de disparar qualquer cookie não essencial, o site precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, oferecer opt-out de venda e compartilhamento, bloquear rastreadores não consentidos, e respeitar o GPC.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies configuram venda ou compartilhamento e quais requerem os links de opt-out.

## Proteção para menores de 16 anos

O § 1798.120(c) proíbe a venda ou compartilhamento de dados de consumidores com menos de 16 anos sem autorização afirmativa:

Para consumidores entre 13 e 15 anos: a própria autorização do consumidor.

Para consumidores com menos de 13 anos: autorização do pai, mãe ou responsável legal.

Uma empresa que deliberadamente desconsidera a idade do consumidor é tratada como tendo conhecimento real dela.

## A California Privacy Protection Agency (CPPA)

A CPPA (§ 1798.199.10) é governada por um conselho de cinco membros com mandatos de até oito anos. Ela tem poder para:

Aplicar multas administrativas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores.

Investigar empresas por conta própria ou com base em reclamações.

Conduzir auditorias.

Emitir e revogar regulamentações.

O Attorney General mantém poder para buscar **penalidades civis** de até US$ 2.500 por violação e US$ 7.500 por violação intencional ou envolvendo menores.

Não há prazo garantido de correção antes de ações da CPPA. A agência tem discricionariedade para investigar e agir sem obrigação de conceder prazo prévio.

## O número de telefone gratuito é obrigatório

O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações. Um desses métodos deve ser, no mínimo, um **número de telefone gratuito (0800)**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

## Aviso de privacidade: atualização a cada 12 meses

O § 1798.130(a)(5) exige que a empresa atualize o aviso de privacidade **pelo menos uma vez a cada 12 meses**, incluindo listas das categorias de dados coletados, vendidos, compartilhados e divulgados para fins de negócios nos 12 meses anteriores.

## Como a AdOpt ajuda com a CCPA/CPRA

A AdOpt registra cada consentimento e opt-out, respeita o GPC quando enviado pelo usuário, bloqueia rastreadores antes do aceite, e gera o log auditável que a empresa precisaria apresentar em uma investigação da CPPA ou do Attorney General.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à CCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando CCPA/CPRA com outras leis de privacidade

| Lei | Estado | Threshold | Penalidade | Fiscal | Vigência |
|---|---|---|---|---|---|
| CCPA/CPRA | Califórnia | US$ 25M OU 100K consumidores OU 50% receita | Até US$ 7,5K/violação | CPPA + AG | Jan 2020/Jan 2023 |
| VCDPA | Virgínia | 100K ou 25K + 50% receita | Até US$ 7,5K/violação | AG | Jan 2023 |
| FDBR | Flórida | US$ 1B+ receita global | Até US$ 50K/violação | Dep. Legal Affairs | Jul 2024 |
| NHDPA | New Hampshire | 35K ou 10K + 25% receita | Até US$ 10K/violação | AG | Jan 2025 |
| CPA | Colorado | 100K ou 25K + 50% receita | Até US$ 20K/violação | AG | Jul 2023 |

Para entender como essas [legislações de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) se comparam, nosso guia comparativo aprofunda o tema.

## A CCPA na prática: os três documentos

A adequação à CCPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/california-ccpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/california-ccpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/california-ccpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Califórnia CCPA/CPRA

**1. Qual a diferença entre CCPA e CPRA?**
A CCPA é a lei original de privacidade da Califórnia, em vigor desde 1º de janeiro de 2020. A CPRA (Proposição 24) foi aprovada por referendo em novembro de 2020 e emendou a CCPA com vigência plena a partir de janeiro de 2023. A CPRA não é uma lei separada: ela modificou e expandiu a CCPA. As mudanças mais importantes foram a criação da California Privacy Protection Agency (CPPA), a adição dos direitos de correção e limitação de dados sensíveis, a separação entre "venda" e "compartilhamento", e a expansão da definição de informações pessoais sensíveis.

**2. Quem precisa cumprir a CCPA?**
Empresas com fins lucrativos que fazem negócios na Califórnia e atendem a pelo menos um critério: receita anual superior a US$ 25 milhões; compra, venda ou compartilhamento de dados de 100.000 ou mais consumidores ou domicílios por ano; ou derivação de 50% ou mais da receita da venda ou compartilhamento de dados (§ 1798.140(d)).

**3. Qual a diferença entre "venda" e "compartilhamento" na CCPA/CPRA?**
"Venda" é a transferência de dados por contrapartida monetária ou outro valor valioso a terceiros. "Compartilhamento" é a transferência para publicidade comportamental contextual cruzada, com ou sem contrapartida monetária. A distinção garante que práticas de targeting publicitário também estejam sujeitas ao opt-out, mesmo sem pagamento direto ao site.

**4. O que são os links "Do Not Sell or Share" e "Limit the Use of My Sensitive Personal Information"?**
São links obrigatórios nas páginas iniciais do site (§ 1798.135). O primeiro permite ao consumidor recusar a venda e o compartilhamento. O segundo permite limitar o uso de informações sensíveis. Podem ser dois links separados ou um único combinado que permita exercer as duas opções.

**5. O que é o direito de ação privada na CCPA e por que ele é único?**
O § 1798.150 garante ao consumidor o direito de entrar com ação judicial quando dados não criptografados forem expostos em uma violação de segurança por falha da empresa. O consumidor pode recuperar de US$ 100 a US$ 750 por incidente ou danos reais quando maiores. Esse direito é exclusivo da CCPA entre as leis estaduais americanas de privacidade.

[Quer adequar seu site à CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA e Cookies: Tudo o que você precisa saber

Inteligência Artificial e LGPD: tudo o que você precisa saber

Monetizar com o Google AdSense é um processo inteligente em tempo real que conecta anúncios ao seu conteúdo.

Afinal, se não fossem os **criadores de conteúdo**, não teríamos internet, no entanto, o processo não se resume a apenas **"se tem AdSense vou estar ganhando dinheiro"**.

Para que essa engrenagem rode, ocorre o tratamento de dados pessoais. O Google utiliza tecnologias como **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** e *pixels* da Web para coletar informações.

No Brasil, essa operação deve obedecer rigorosamente à **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)**.

Monetização sem **estrutura de privacidade** é um risco triplo: jurídico, contratual e reputacional.

O Google pode suspender contas que violem suas [políticas](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/), e a LGPD prevê [multas](https://goadopt.io/blog/multas-na-lgpd/) que pode sao de 2% por infracao sobre o faturamento anual da empresa.

A pergunta não é se você **pode** usar o AdSense, a pergunta é: **você está jogando dentro das regras e garantindo noites de sono tranquilas com a sua operação?**

---

## 1. A Responsabilidade é Sua (O Google Exige Isso)

Ao usar o AdSense, você aceita as *Políticas para Editores do Google*. Elas são claras: você é obrigado a ter uma **[Política de Privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** que divulgue que terceiros (como o Google) podem inserir e ler cookies no navegador dos seus usuários.

Pela LGPD, ao decidir monetizar seu site e permitir essa coleta, você assume o papel de **[Controlador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)**. Não adianta terceirizar a culpa para a ferramenta. Se você coleta dados para oferta de bens, serviços ou analisar o comportamento de indivíduos no Brasil, a lei se aplica a você. E lembre-se: a adequação não é só coisa de advogado.

---

## 2. O Que Você Não Pode Fazer (Linhas Vermelhas)

Tanto a lei quanto as políticas do Google traçam limites claros. Para manter sua conta ativa e rodando sem sustos, evite:

- **Violar a Privacidade:** Coletar dados que identifiquem usuários pessoalmente sem aviso e [consentimento](https://goadopt.io/blog/site-precisa-consentimento-lgpd/) explícito.
- **Segmentar Dados Sensíveis:** As políticas do Google proíbem estritamente publicidade personalizada baseada em saúde, raça, religião, afiliação política ou orientação sexual.
- **Gerar Cliques Artificiais:** Clicar nos próprios anúncios ou usar robôs para inflar impressões.

---

## 3. O "[Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/)" que Funciona de Verdade

Para estar seguro, seu site precisa de gestão técnica real. Um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** que só enfeita a tela não serve para nada. Além disso, não é porque é lei que tem que ser feio, quadrado ou formal.

Para ser válido perante o Google e a LGPD sem ferir o design do seu site, o [banner](https://goadopt.io/blog/banner-de-cookies/) precisa ter:

1.  **Escolha Real e Granular:** O usuário não deve ser forçado a "Aceitar Tudo". Ele precisa ter a opção de escolher categorias ([Marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/), Estatística, etc.).
2.  **Bloqueio Prévio (Zero Cookies):** Scripts de publicidade não devem carregar antes do clique de aceite.
3.  **Design Equilibrado:** Botões de "Aceitar" e "Rejeitar" devem ter o mesmo destaque visual. Tentar enganar o usuário (Dark Patterns) é infração.
4.  **Revogação Fácil:** O usuário deve conseguir mudar de ideia a qualquer momento, de forma simples e acessível.

---

## 4. Google Consent Mode v2: A Peça Chave

Muitos *publishers* temem perder receita ao pedir consentimento. É aqui que entra o **Google Consent Mode**.

Essa ferramenta ajusta o comportamento das [tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) do Google (Analytics e Ads) com base no status de consentimento do usuário.

- **Se o usuário aceita:** O AdSense funciona normalmente, com personalização total.
- **Se o usuário recusa:** O Google usa modelagem de dados para recuperar parte das conversões e métricas sem usar cookies invasivos.

Integrar o Consent Mode com uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) Certificada pelo Google** (como a AdOpt) é essencial para manter a inteligência das suas campanhas sem violar a lei.

---

## 5. Cenários Específicos: E-commerce, Arbitragem e Blogs

Diferentes modelos de negócio exigem cuidados específicos com o AdSense:

### Para [E-commerce](https://goadopt.io/blog/impacto-ecommerce-lgpd/)
Lojas virtuais usam AdSense e Remarketing intensamente. A LGPD exige que o consentimento seja obtido *antes* de ativar tags de remarketing. Sem isso, você corre o risco de "sujar" sua base de leads com dados ilegais, o que inviabiliza campanhas futuras.

### Para Arbitragem de Mídia (Compra de Tráfego)
Se você compra tráfego barato para monetizar com AdSense, cuidado redobrado! O Google monitora ferozmente a qualidade desse tráfego. Se o seu site não tiver um banner de consentimento claro e política de privacidade robusta, o Google pode classificar seu tráfego como "inválido" ou de baixa qualidade, levando à retenção de pagamentos ou banimento.

### Newsletters e Captação de Leads
Ao capturar e-mails, o consentimento para marketing deve ser explícito. Não use caixas de seleção pré-marcadas. Alinhe a coleta de leads com sua política de privacidade para manter um bom RPM sem sacrificar a confiança do usuário.

---

## 6. Por que usar uma CMP Certificada?

O Google agora exige que *publishers* que servem anúncios para a Europa (e recomenda fortemente para o Brasil devido à LGPD) usem uma **CMP ([Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)) Certificada**.

Uma CMP Certificada garante:

- Integração nativa com o **Google Consent Mode v2**;
- Transparência nos padrões da IAB (Transparency and Consent Framework);
- Bloqueio automático de scripts antes do consentimento.

Usar plugins gratuitos não certificados é o famoso "jeitinho" que pode colocar sua conta em risco de "Ad Serving Limited" (limitação de anúncios). Nós ensinamos a adequar sua empresa de verdade, não a dar um jeitinho.

---

## FAQ: Respostas Rápidas

**1. Preciso de consentimento para AdSense no Brasil?**
**Sim.** A LGPD exige base legal. Para rastreamento via cookies, o consentimento é a via mais segura, ética e exigida pelo Google.

**2. O banner pode liberar os anúncios automaticamente?**
**Jamais.** O consentimento deve ser prévio. Liberar scripts antes da ação ativa do usuário viola frontalmente a LGPD.

**3. Posso segmentar anúncios por saúde ou religião?**
**Não.** As políticas do Google proíbem estritamente personalização baseada em categorias sensíveis.

**4. A falta de consentimento gera bloqueio?**
**Sim.** O Google pode limitar a exibição de anúncios (limit ad serving) em sites que não apresentam mecanismos de transparência e escolha adequados.

---

## Transforme Consentimento em Estratégia

Se você usa dados para monetizar, precisa de governança. O consentimento válido não é apenas uma trava burocrática; é o selo de qualidade que garante que seu inventário de anúncios seja considerado "premium" e seguro pelos anunciantes. O consentimento não é a solução para tudo, mas é um excelente começo.

A AdOpt é uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/) certificada que ajuda você a alinhar monetização, LGPD e performance. Você foca em crescer o seu negócio, nós cuidamos dos cookies.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**



Consentimento ADSense: Guia de Adequação à LGPD e às Políticas do Google

Plugin de Cookies para VTEX: como escolher, integrar e configurar na sua loja

Política de Privacidade para VTEX: guia completo para e-commerces em conformidade com a LGPD

Shopify e LGPD: Garanta que o seu e-commerce esteja em conformidade com as leis de privacidade

A **Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA)** é uma legislação estadual que estabelece padrões claros sobre como as empresas devem coletar, usar e proteger os dados pessoais dos residentes da Virgínia. Ela oferece às pessoas mais controle sobre suas informações e torna as empresas mais responsáveis pela transparência e respeito no tratamento desses dados.

Para empresas que trabalham com **rastreamento online, publicidade ou analytics**, essa lei impacta diretamente o uso de ferramentas como cookies, pixels e tags de terceiros. Uma das ideias centrais da VCDPA é o consentimento, o que significa que os usuários devem ter uma **escolha clara** sobre a coleta de seus dados, especialmente para fins como anúncios direcionados.

É nesse ponto que um bom **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** ou uma **[Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** (CMP) se torna essencial. As empresas agora precisam explicar quais dados são coletados e por quê, permitindo que os usuários aceitem ou recusem de uma forma fácil de entender e acessível a qualquer momento.

A VCDPA não se trata apenas de evitar multas; é sobre construir confiança com seus usuários. Quando um site exibe um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** bem projetado e uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** direta, ele envia uma mensagem clara: "Nós nos preocupamos com suas escolhas e sua privacidade".

## Quando a VCDPA entrou em vigor?

A VCDPA entrou oficialmente em vigor em **1º de janeiro de 2023**. Isso significa que, desde o início de 2023, as empresas que se enquadram no escopo da lei devem estar totalmente em conformidade com seus requisitos. Não é algo que "está por vir"; já está valendo e a fiscalização já começou.

Se o seu site ainda coleta dados sem o consentimento adequado ou usa **cookies de rastreamento** sem um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** válido, você pode estar colocando seu negócio em risco. A boa notícia é que a conformidade não precisa ser complicada.

A maioria dos requisitos pode ser resolvida com algumas atualizações estratégicas: uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** clara, uma **[Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** confiável como a AdOpt e um sistema adequado para organizar e gerenciar os cookies e rastreadores do seu site.

Essas não são apenas ferramentas técnicas; fazem parte do compromisso da sua marca com a transparência e a privacidade. E os usuários de hoje, especialmente aqueles cientes de seus direitos, estão prestando muita atenção. Portanto, se você não revisa sua configuração desde antes de 2023, **agora é a hora**.

## Quem precisa se adequar à VCDPA?

A Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA) se aplica principalmente a empresas que operam na Virgínia ou direcionam produtos ou serviços para os residentes de lá. Mas não se trata apenas de ter um escritório físico no estado.

Se o seu site ou aplicativo coleta dados de residentes da Virgínia, mesmo que sua empresa esteja em outro estado ou país, você ainda pode estar sujeito à lei. A VCDPA se aplica a empresas que lidam com dados de pelo menos 100.000 consumidores da Virgínia por ano, ou àquelas que processam dados de apenas **25.000 consumidores** se mais de **50%** de sua receita vier da venda de dados pessoais.

Isso significa que mesmo pequenas e médias empresas com uma forte presença online podem ser afetadas. Se você não tem certeza se precisa se adequar, é melhor ser cauteloso e avaliar suas práticas de dados agora. Considere começar com um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** para entender onde e como você coleta dados pessoais.

## O que a VCDPA considera como "dados pessoais"?

De acordo com a VCDPA, "dados pessoais" referem-se a qualquer informação que esteja vinculada, ou possa ser razoavelmente vinculada, a um indivíduo identificado ou identificável. Isso é mais amplo do que muitos imaginam e inclui **nomes, endereços de e-mail, endereços residenciais, números de telefone e até endereços IP** quando associados a um perfil de usuário.

O que torna a VCDPA especialmente importante é como ela trata os "dados sensíveis", uma categoria que inclui informações **sobre raça, religião, saúde, geolocalização precisa e dados de crianças menores de 13 anos**. Se o seu site coleta qualquer um desses dados, você deve obter um **[consentimento / site](https://goadopt.io/blog/consentimento-site-lgpd/)** claro do usuário antes de processá-los.

No contexto do seu site ou aplicativo, os **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** frequentemente coletam esse tipo de dado pessoal em segundo plano, seja para analytics, anúncios ou preferências do usuário. É por isso que configurar um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** em conformidade não é apenas uma boa prática, mas muitas vezes um requisito.

## A VCDPA se aplica a cookies e rastreamento de sites?

Sim, e esta é uma das áreas-chave onde a VCDPA impacta diretamente seu site. A lei não menciona "cookies" como uma palavra da moda, mas se aplica totalmente ao tipo de dado pessoal que os **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** coletam. Quando eles rastreiam o comportamento do usuário, endereços IP ou geolocalização, isso se enquadra na definição de "dados pessoais" da VCDPA.

A VCDPA exige transparência e controle do usuário. Isso significa que você deve ser claro sobre quais tipos de cookies estão rodando em seu site, quais dados eles coletam e por quê. Um simples banner dizendo "usamos cookies" não é mais suficiente. Você precisará de um **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** adequado que dê aos usuários a opção de aceitar ou rejeitar cookies não essenciais.

Para tornar as coisas mais fáceis e em conformidade, ferramentas como as **[Plataformas de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** (CMPs) são essenciais. Uma CMP certificada como a AdOpt ajuda a categorizar cookies, acioná-los somente após o consentimento e armazenar esse **[consentimento / site](https://goadopt.io/blog/consentimento-site-lgpd/)** de forma verificável, passos críticos para a conformidade com a VCDPA.

### O que a VCDPA define como "venda" de dados pessoais?

Quando ouvimos a palavra "vender", a maioria de nós pensa em troca de dinheiro. Mas, sob a VCDPA, "vender" dados pessoais significa algo muito mais amplo. De acordo com a lei, refere-se à troca de dados pessoais por contrapartida monetária ou outra consideração de valor a um terceiro.

Isso se torna especialmente relevante para sites e plataformas que usam serviços de terceiros para **[marketing / processos](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)** ou publicidade. Muitos desses serviços dependem de dados pessoais coletados via cookies e rastreadores para construir perfis de usuário. Se você está repassando esses dados e recebendo em troca recursos de anúncios direcionados ou analytics, você pode estar "vendendo" dados sob a VCDPA.

Essa definição é importante porque, se sua empresa "vende" dados pessoais, você deve divulgar isso claramente em sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** e fornecer aos usuários uma maneira de optar por não participar. O rastreamento baseado em cookies, por exemplo, deve ser claramente explicado em seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)**.

### É necessário consentimento prévio para cookies sob a VCDPA?

Diferente do **GDPR / Cookies** na Europa, a VCDPA não exige explicitamente que os sites coletem consentimento prévio para usar cookies. No entanto, isso não significa que você está livre das responsabilidades de conformidade com os **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)**.

O que a VCDPA exige é **transparência** e controle do usuário, especialmente quando dados pessoais estão sendo coletados, compartilhados ou "vendidos" por meio de tecnologias de rastreamento. A lei dá grande ênfase aos direitos de opt-out, particularmente para publicidade direcionada e venda de dados pessoais.

Muitos cookies, especialmente os de marketing e analytics de terceiros, são usados exatamente para esses fins. Portanto, mesmo que o consentimento prévio não seja obrigatório, dar aos usuários a opção de recusar ou gerenciar cookies é uma necessidade prática. É aqui que uma **[Plataforma de Gestão de Consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** (CMP) se torna essencial.

## Como cumprir os requisitos de consentimento de cookies da VCDPA

Estar em conformidade com os requisitos de cookies da VCDPA significa mais do que apenas adicionar um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** ao seu site. Começa com a transparência: os usuários devem ser informados sobre **quais dados você está coletando**, como são usados e com quem você os compartilha.

Isso geralmente é feito por meio de uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** bem escrita e um aviso de cookies claro. Mesmo que a lei tenda para o opt-out em vez do opt-in, os usuários ainda precisam de uma maneira fácil de exercer seus direitos. Isso significa que sua solução de cookies deve oferecer uma forma de rejeitar ou gerenciar certas categorias de cookies.

É aqui que as **[CMPs](https://goadopt.io/blog/o-que-e-uma-cmp/)** brilham. Uma CMP confiável como a AdOpt ajuda você a categorizar seus cookies corretamente, exibir banners apenas quando necessário e manter um registro das preferências do usuário. Se você não tem certeza de como organizar os cookies por tipo, confira nosso guia sobre **[tags / categorização](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)**.

Outra dica importante de conformidade é garantir que sua operação de cookies esteja alinhada com sua governança de dados. Isso significa não apenas exibir um banner, mas garantir que os cookies só disparem depois que os usuários derem o **[consentimento / site](https://goadopt.io/blog/consentimento-site-lgpd/)** adequado ou que possam optar por não participar quando a lei permitir.

## Quais direitos os consumidores têm sob a VCDPA?

A Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA) oferece às pessoas na Virgínia mais controle sobre como seus dados pessoais são usados. Pense nisso como um conjunto de ferramentas que permite aos usuários espiar por trás da cortina do seu site ou negócio.

Por exemplo, os consumidores podem pedir para ver quais dados você coletou sobre eles, corrigir algo que esteja errado ou solicitar que seus dados sejam totalmente excluídos. Outro direito importante é a capacidade de optar por não participar (opt-out).

Sob a VCDPA, os consumidores podem dizer não ao uso de seus dados para anúncios direcionados, venda a terceiros ou criação de perfis. Se sua empresa usa cookies ou outros rastreadores para marketing personalizado, **você precisa tornar essas opções de opt-out fáceis** de encontrar e usar, geralmente por meio de um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** bem configurado.

### Direito de acesso, exclusão e correção de dados

A VCDPA concede aos consumidores na Virgínia direitos importantes, e três dos mais significativos são o direito de acessar, excluir e corrigir seus dados. Em resumo, se uma **pessoa quiser saber quais informações uma empresa coletou sobre ela**, ela tem o direito de perguntar.

Se algo estiver errado ou desatualizado, ela pode pedir uma correção. E se simplesmente quiser que seus dados desapareçam, pode solicitar a exclusão. Para as empresas, isso significa estar pronto para responder a esses tipos de solicitações de maneira oportuna e organizada.

Você precisará de sistemas que possibilitem identificar todos os dados vinculados a um indivíduo específico, o que pode ser um desafio se você não fez um **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** em suas plataformas. Ter uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** bem documentada que descreva como os usuários podem fazer tais solicitações também faz parte da transparência.

## Quais são os requisitos da VCDPA para as empresas?

Se sua empresa coleta dados de pessoas que vivem na Virgínia, a VCDPA estabelece algumas responsabilidades importantes. Uma das principais é o **dever de transparência**. Você deve informar claramente aos consumidores sobre quais dados pessoais você coleta, por que os coleta e como eles serão usados.

Outro requisito fundamental é a **minimização de dados**. As empresas devem coletar apenas os dados pessoais que sejam razoavelmente necessários para os fins que foram divulgados ao consumidor. Isso ajuda a evitar o acúmulo de informações desnecessárias e está alinhado com o princípio de **[Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**.

As empresas também são obrigadas a implementar e manter medidas de segurança de dados razoáveis para proteger a confidencialidade, integridade e acessibilidade dos dados pessoais. Além disso, a lei exige que as empresas realizem **Avaliações de Impacto sobre a Proteção de Dados (DPIAs)** para atividades de processamento que apresentam um risco maior.

## Como a VCDPA é fiscalizada e quais são as penalidades?

Diferente de algumas leis de privacidade globais que dão aos consumidores o direito de processar diretamente, a VCDPA é fiscalizada exclusivamente pelo Procurador-Geral da Virgínia. Isso significa que, se uma empresa for considerada infratora, cabe ao principal órgão jurídico do estado tomar uma atitude.

Quando violações são encontradas, as empresas recebem **30 dias** para corrigir o problema. Este é um "período de notificação e cura". Se a empresa não resolver o problema nesse tempo, o Procurador-Geral pode impor uma multa de até US$ 7.500 por violação.

E "por violação" pode somar rapidamente. Pense em cada cookie disparado sem o **[consentimento / site](https://goadopt.io/blog/consentimento-site-lgpd/)** adequado ou em cada solicitação de opt-out ignorada. Além das **penalidades financeiras**, há o risco de danos à reputação. Ser sinalizado por violações de privacidade pode corroer rapidamente a confiança do usuário.

---

Pronto para garantir que seu site esteja em conformidade e construa confiança com seus usuários? A AdOpt simplifica a gestão de consentimento e ajuda você a se alinhar com as leis de privacidade mais recentes.

**[Agende uma demonstração da AdOpt hoje mesmo!](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)**

## A VCDPA na prática: os três documentos

A adequação à VCDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/virginia-vcdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/virginia-vcdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/virginia-vcdpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.


Todos artigos