Os termos de uso são parte essencial de diversos sites, na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Apesar de constantemente ignorados, os Termos de Uso são literalmente o contrato firmado entre você e a empresa que oferece aquele produto ou serviço, de maneira digital. Assim, não apenas o desenvolvimento deles, mas também eventuais alterações requerem bastante cuidado.

Esse cuidado se refere tanto às situações em que tais alterações podem ou devem ser aplicadas quanto à forma de alteração e aos reflexos disso. Confira, no texto que segue, como funciona cada um desses aspectos e garanta a validade dos seus termos, bem como a [adequação à LGPD, GDPR, CCPA, PIPEDA, POPIA](https://goadopt.io) entre outras.

## Quais os principais temas tratados nos Termos de Uso?

Antes de adentrarmos especificamente nos porquês de uma eventual alteração dos Termos de Uso, e a melhor maneira de fazê-la, vamos analisar rapidamente alguns dos principais capítulos/temas distribuídos que costumam ser encontrados em qualquer documento padrão.

Tendo como base os próprios Termos de Uso da [AdOpt](https://goadopt.io/termos-de-uso), a divisão do texto é a seguinte:

### 1. Objeto

### 2. Funcionalidades

### 3. Contratação e Prestação de Serviços

### 4. Prazo

### 5. Remuneração

**6. Interrupção dos serviços.**

### 7. Responsabilidades

### 8. Tratamento de Dados Pessoais

Abaixo um breve resumo do que cada seção trata:

1. **Objeto**
 Identificação das partes envolvidas e detalhamento dos serviços prestados, suas características e definições operacionais.

2. **Funcionalidades**
No caso de um software como o da AdOpt, dedica-se esta seção à listagem das funcionalidades envolvidas e o respectivo detalhamento dentro dos planos.

3. **Contratação e Prestação de Serviços**
Descritivo dos processos e detalhamentos necessários para a contratação do serviço.

4. **Prazo**
Periodicidade de entrega e, ou disponibilidade do produto/serviço após/durante a compra.

5. **Remuneração**
Como será feito o pagamento, preço, prazos e condições de pagamento.

6. **Interrupção dos serviços**
Situações onde a interrupção dos serviços é prescrita, necessária e justificada. Bem como, fatos que podem levar à interrupção.

7. **Responsabilidades**
Ambas as partes têm responsabilidades mediante o aceite dos termos. De um lado o contratado em prestar o serviço, e o cliente em realizar os pagamentos e em utilizar o sistema/plataforma conforme necessário para a entrega do serviço.

8. **Tratamento de Dados Pessoais**
Definição dos papéis de [controlador vs. operador de dados](https://goadopt.io/blog/tag/controlador-e-operador/), dentro dos processos criados pelo contrato. Caso sejam coletados dados, é feito o devido enquadramento de base legal utilizada, e, responsabilidades dos processos advindos da operação.

9. **Disposições gerais**
Declarações que posicionam o contrato geograficamente, estabelecem condições para eventuais atualizações, direcionamento caso uma das partes descumpra o contrato e foro.

## Por que alterar os termos de uso?

As alterações nesses documentos, embora muitos sequer se atentem, são necessárias sempre que haja alguma alteração significativa no descritivo do seu conteúdo. Aspectos como: objeto da entrega do serviço ou produto da empresa, condições de atendimento ao público, dados oficiais, e agora aos aspectos obrigatórios pela LGPD.

Tanto a [LGPD (Lei Geral de Proteção de Dados)](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), bem como às outras normas que se apliquem no caso, especificam aspectos sobre a coleta, tratamento e processamento de dados que podem fazer parte do objeto do serviço ou produto, logo devem fazer parte dos termos de uso.

Ainda, muitas vezes as alterações são necessárias para adequação do conteúdo dos termos de uso à realidade da marca. Afinal, tais termos devem ser um reflexo da realidade da empresa e não uma história fictícia.

Em caso contrário corre-se o risco de que não haja compatibilidade entre os termos de uso do site e a realidade dele, dos seus serviços, regras e normas que lhe atingem. Portanto, é como se ele fosse inútil.

Aspectos da nossa vida mudam constantemente e isso também é uma verdade quando nos referimos às marcas, às formas de atuação delas e às regras às quais elas se submetem.

Uma vez que os termos de uso dizem respeito a essas questões, qualquer mudança nelas também deve refletir sobre eles para que continuem sendo válidos e relevantes, bem como prestem o papel que lhes cabe frente à marca.

## Quando, então, é necessário alterar os termos de uso?

Em termos gerais, sempre que houver identificação de algum desses aspectos:

- Alteração no modo de operação do site;
- Adição ou mudança nos serviços e produtos disponíveis;
- Mudanças legais que reflitam sobre as regras que um site pode aplicar, bem como nos deveres e direitos que impõe;
- Inadequação entre os termos e a realidade da marca (como suas características, o que oferta e como opera), ou, então, entre eles e as leis vigentes (como LGPD ou Código do Consumidor, por exemplo).

Portanto, são vários os motivos que podem levar à alteração dos termos de uso. E todas elas são relevantes especialmente para manter a validade desse documento, bem como sua aplicabilidade.

## Preciso de autorização para a alteração dos termos de uso?

Sim! Os termos estão entre os documentos que esclarecem ao público como são as regras vigentes naquele espaço, ou seja, no site.

Ele se junta, então, à [política de privacidade ](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)e o aviso de cookies para promover a transparência com o usuário. Enquanto os termos indicam as regras válidas ali, direitos e deveres, a política diz respeito à privacidade e ao uso de dados, coisa que os [cookies](https://goadopt.io/blog/cookies-e-lgpd/) também fazem parte.

Todos esses documentos são importantes porque ajudam no cumprimento das regras da LGPD. Ela tem como norte a transparência.

Sendo assim, sequer faria sentido a alteração dos termos de uso poder ocorrer sem a anuência do usuário, certo?! Não se trata necessariamente de uma autorização; afinal, cabe ao titular decidir se aceita os termos, mantendo seu acesso a serviços do site e deixando disponível a ele suas informações, ou se abre mão disso e retira seu aceite.

Concluindo: sempre que houver alteração em regras e políticas que atinjam usuários e titulares de dados estes devem ser notificados para que se manifestem sobre. Ou seja, para que demonstrem a aceitação ou não das novas normas e diretrizes vigentes.

Por isso que alterações são sempre anunciadas para uma data futura, dando aos usuários um tempo hábil para a leitura e compreensão das mudanças.

## Meus termos de uso possuem cláusula indicando possibilidade de alteração deles, preciso notificar os usuários mesmo assim?

Mais uma vez a resposta é positiva. Por mais que muitos termos e políticas prevejam a possibilidade de alteração deles, não é uma boa ideia alterá-los sem qualquer notificação e obtenção da anuência do titular de dados.

Afinal, isso se revela em uma alteração unilateral. Uma vez que os termos de uso funcionam como um contrato online, essa não é uma decisão interessante e pode ser vista como abusiva. Igualmente, como contrária à LGPD, para quem a transparência e o consentimento são essenciais.

## Como notificar seus usuários na alteração dos termos de uso?

É indispensável que você dê ciência aos seus usuários e clientes quanto à alteração das suas políticas de privacidade e termos. Por isso, veja dicas de como fazê-lo para não deixar isso passar em branco.

## Notificação por mensagem

Uma das possibilidades de notificar seus usuários quanto a alteração dos termos de uso do seu site é por notificação por mensagem. Nesse caso, então, é possível optar por e-mail ou por outros meios de comunicação que tenham sido cedidos pelo titular (SMS, etc.).

Nessa hipótese, então, busque informar sobre as alterações, bem como dê acesso ao indivíduo aos novos termos. Da mesma forma, certifique-se de que ao acessar o documento o visitante tenha a chance de manifestar se aceita ou não essas alterações (na famosa caixinha de “Declaro que li e aceito os termos de uso”.

Ainda, é claro, garanta que esse tipo de concessão de alteração será identificado e devidamente arquivado como prova.

## Notificação no acesso ao site
Outra possibilidade é fazer com que assim que o usuário acesse o seu site ele se depare com um banner que indique a alteração dos termos de uso. Nesse cenário é interessante impedir que ele navegue pela página até que leia e concorde (ou não) com os novos termos.

Geralmente essa prática é utilizada quando os novos termos já entraram em vigor. Pois, podem ser mais drásticas no aspecto da experiência do usuário. Mas, essenciais para ambos.

## Cuidado! Quem cala não consente

Por fim, nossa última dica ao alterar os termos de uso é ter cuidado quanto ao silêncio. Aqui, diferentemente do que consideramos muitas vezes, quem cala não consente. É essencial que haja a obtenção expressa do aceite do titular de dados quanto às alterações dos termos.

## Ajude o visitante na leitura dos novos termos de uso!

Nem todos os seus visitantes, para não dizer a minoria, têm a paciência e o interesse pela leitura dos seus Termos de Uso. Sim, isso é preocupante dada a sua importância mas, este é o fato que observamos diariamente.

Então, uma vez que você já vai ter que notificar os usuários quanto às alterações, uma boa prática é já destacar quais foram as principais mudanças, e se elas afetam o usuário para que ele já tenha os principais pontos de maneira destacada, acelerando a compreensão e, consequentemente, a coleta do aceite dos termos.

Então, uma vez que você já vai ter que notificar os usuários quanto às alterações, uma boa prática é já destacar quais foram as principais mudanças, e se elas afetam o usuário para que ele já tenha os principais pontos de maneira destacada, acelerando a compreensão e, consequentemente, a coleta do aceite dos termos.

Ficou com alguma dúvida, ou trabalha como como [Encarregado de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) e pode contribuir com esseas dicas?

Conta pra gente como podemos melhorar, estamos sempre abertos a feedbacks!


Dicas para notificação de usuários na alteração dos Termos de Uso.

João Bruno Soares

Ignorar os Termos de Uso e a sua importância dentro de um site, principalmente agora com a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), é um erro comum que tanto os consumidores quanto os donos do site cometem com frequência.

Os primeiros a ignoram e os segundos simplesmente as copiam de outros sites e ignoram os pontos principais.

Afinal, é chato perder tempo lendo esses documentos ou pensando no desenvolvimento deles, certo? Errado! É claro que a leitura não promete um deleite literário, eu bem sei.

Porém, ela é necessária para que se garanta a segurança tanto do usuário quanto do proprietário da página. Não à toa está presente na maioria dos [banners de cookies](https://goadopt.io/blog/banner-de-cookies/) espalhados por aí…

Não perca mais tempo, então, e confira abaixo tudo sobre eles, bem como os Termos de Uso se tornaram essenciais em tempos de LGPD.
## Termos de Uso: O que são?
Termos de Uso correspondem a um documento que traz em detalhes questões sobre o funcionamento do site, a contratação dos serviços/produtos ofertados (ou uso de informações ali presentes) e limites de responsabilidades das partes.

Ele, então, é um documento em texto que traz normas sobre o funcionamento e a utilização do site e dos seus serviços. Estes podem ser comerciais, informativos, de prestação de serviços e por aí vai.

Termos de Uso e  LGPD, [Políticas de Privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/), coleta de dados... são tantos os termos que surgem nas conversas sobre proteção de dados e obrigações dos sites que navegar na internet passou a necessitar de um dicionário e de um diploma em Direito e TI.

Calma, mesmo que você já seja o [Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) do seu site, por livre espontânea pressão, estamos aqui para te ajudar! :D

Mas você não precisa disso tudo para entender como esses termos conversam e qual é a importância deles. Hoje veremos de forma simples e sem complicações que exijam termos técnicos sobre o assunto.

## E para que servem os Termos de Uso?
Os Termos de Uso servem justamente como um contrato!

E você já imaginou assinar um contrato sem lê-lo com antecedência? Ou, ainda, copiar um contrato qualquer que diz respeito sobre as regras que lhe protegem, sem saber se elas cabem ao seu caso?

Pois é, é por isso mesmo que ignorar os Termos de Uso não é mais uma opção. Na verdade é uma grande irresponsabilidade, convenhamos.

Ele serve, então, para impor regras para que os usuários ou clientes utilizem o site ou plataforma. Ou seja, quando você aceita os termos, aceita as condições que a página impôs. Ao fazer uma compra nesse e-commerce, segue as regras ali impostas.

É claro que esse documento também segue regras como o Código de Defesa do Consumidor, mas no geral, o contrato é imposto pelo site. Por isso, é de responsabilidade dele o desenvolver com qualidade, transparência e acessibilidade (fácil leitura).

Da mesma forma, cabe ao visitante ler os termos e, caso não concorde com eles, abandonar o site ou o uso. Afinal, caso concorde, deverá seguir os limites dele (desde que não abusivos, mas isso já é papo jurídico).

Os Termos de Uso servem, em resumo, para estabelecer os limites de uso do site, de responsabilidade dele, o uso correto dos serviços, os deveres e direitos de cada um e o que se oferece ali.

Além disso, cabe lembrar que cada tipo de Termos é diferente. Afinal, um site de notícias não oferece os mesmos serviços (e nem tem as mesmas responsabilidades) que uma página que vende produtos.

Por isso, pensar nesse documento é sempre muito importante para quem tem sites. Da mesma forma, é importante para você, leitor, pois indica seus direitos e deveres.
## Qual é a relação entre os Termos de Uso e a LGPD?
Os Termos de Uso fazem parte da transparência que os sites devem aos seus visitantes e usuários. Eles acompanham, então, as Políticas de Privacidade. Estas indicam como é feito o tratamento, colhimento e segurança de dados que eventualmente são colhidos ali.

E são justamente essas documentos que são a formalização dos temas centrais da [LGPD, a Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Ela é recente e entrou em vigor em Agosto de 2020.

Por isso, mais do que nunca é essencial que os sites se atentem à necessidade de desenvolver esses documentos que atingem a privacidade e os direitos do consumidor/visitante de acordo com a LGPD. Em caso contrário, correm risco de receberem penalidades. Dentre estas, multas bem significativas.

Embora muitos sites optem por apresentá-los em um documento só, é de suma importância que eles estejam dispostos no site em documentos separados e únicos. Ou seja, um para os Termos de Uso e outro sobre a Política de Privacidade.

Enquanto os Termos de Uso trazem as limitações sobre possibilidade de uso dos dados e serviços ali disponíveis, de responsabilidades das partes, direitos, deveres e propriedades intelectuais. Já as Políticas de Privacidade trazem informações sobre tratamento e obtenção dos dados dos usuários e visitantes.
## Como desenvolver os Termos de Uso do meu site?
Ao criar os Termos de Uso de acordo com a LGPD existem alguns cuidados que são indispensáveis.

Primeiramente, embora os Termos de Uso correspondam a um contrato para uso do site e dos seus serviços, ele não requer linguagem jurídica. Na verdade, quando mais claro puder ser nele, melhor!

Afinal, é imprescindível que todos os visitantes sejam capazes de compreender os termos ali dispostos, pois dizem respeito aos seus direitos e deveres no uso da página. Por isso, lembre-se de manter a simplicidade.

Outra questão diz respeito à especificidade dos termos. Lembra que citamos antes o (péssimo) hábito de alguns sites que simplesmente copiam os Termos de Uso de outros? Pois bem. Isso é errado justamente porque esse documento deve se relacionar de forma específica ao que cada página oferta.

Por exemplo, um site informativo, um de e-commerce e um que ofereça ferramentas de cálculos online terão, cada uma, Termos de Uso específicos e diferentes. Ainda, mesmo entre os e-commerces isso varia.

Outro ponto que deve ser considerado são as delimitações, dentro da LGPD, sobre os papéis de [Controlador e Operador de Dados](https://goadopt.io/blog/tag/controlador-e-operador/). Pois, muitas vezes esses papéis podem ser confundidos ou até mesmo invertidos durante a prestação de serviços.

Afinal, devem conter dados sobre os tipos de produtos que comercializa, os dados necessários para compra, dentre outras questões que são extremamente únicas de cada negócio.

Por fim, lembre-se de que os Termos de Uso devem conter, além de delimitação dos serviços, a limitação das responsabilidades e obrigações, bem como declarações de direitos autorais e de propriedade industrial.

Com tudo isso é possível garantir Termos de Uso de acordo com a LGPD, seguros, claros e completos! Se quiser, pode usar os [Termos de Uso da AdOpt](https://goadopt.io/termos-de-uso/) como referência.

## Quer se aprofundar no assunto?

Temos este outro artigo, que te ajuda com [dicas para quando precisar atualizar os seus Termos](https://goadopt.io/blog/notificacao-usuarios-termos-de-uso)



O que são Termos de Uso e qual a sua importância na LGPD?

## New Hampshire NHDPA: Tudo o Que Você Precisa Saber

Mais um estado americano entrou no mapa da privacidade de dados.

A New Hampshire Data Privacy Act (NHDPA), codificada em RSA 507-H, entrou em vigor em 1º de janeiro de 2025. Ela garante direitos para os consumidores do estado e cria obrigações claras para as empresas que tratam os dados dessas pessoas.

Se o seu site atende usuários de New Hampshire, este guia é para você.

## O que é a NHDPA?

A New Hampshire Data Privacy Act (RSA 507-H) é a lei estadual de proteção de dados pessoais de New Hampshire. Ela segue a mesma lógica das principais legislações modernas de privacidade: devolver às pessoas o controle sobre os dados que as empresas coletam delas.

Se você já conhece a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), o GDPR ou a CCPA, a estrutura da NHDPA vai soar familiar. As diferenças estão nos detalhes, e alguns desses detalhes importam bastante.

A fiscalização é competência da Data Privacy Unit, dentro do Consumer Protection and Antitrust Bureau do Departamento de Justiça de New Hampshire. O Attorney General do estado tem autoridade exclusiva para aplicar a lei.

## Quando a NHDPA entrou em vigor?

Em **1º de janeiro de 2025**.

Não há período de carência. Não há avisos amigáveis da fiscalização. Qualquer empresa dentro dos critérios já deveria estar adequada.

## Quem precisa cumprir a NHDPA?

Conforme o RSA 507-H:2, a lei se aplica a pessoas que conduzem negócios em New Hampshire ou produzem produtos ou serviços direcionados a residentes do estado e que, durante um ano civil:

Controlam ou processam dados pessoais de pelo menos **35.000 consumidores únicos**, excluindo dados processados exclusivamente para completar uma transação de pagamento, ou

Controlam ou processam dados pessoais de pelo menos **10.000 consumidores únicos** e obtêm mais de **25% da receita bruta** da venda de dados pessoais.

A lei não foca em onde a empresa está sediada. Foca em quem são os usuários. Se você tem tráfego de New Hampshire e processa dados dessas pessoas em escala, a lei pode alcançar você.

Entender a diferença entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é o primeiro passo para definir qual papel sua empresa ocupa e quais são as suas responsabilidades.

### Isenções da NHDPA

Conforme RSA 507-H:3, estão isentos:

Órgãos e agências governamentais estaduais e suas subdivisões.

Organizações sem fins lucrativos.

Instituições de ensino superior.

Instituições financeiras reguladas pela Gramm-Leach-Bliley Act.

Entidades reguladas pela HIPAA.

Associações nacionais de valores mobiliários registradas na SEC.

## O que é dado pessoal sob a NHDPA?

Conforme RSA 507-H:1, XIX, dado pessoal é qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável. Isso inclui nome, e-mail, endereço IP, histórico de navegação, dados de localização, identificadores de dispositivos, e qualquer informação que permita rastrear uma pessoa.

Dados desidentificados e informações publicamente disponíveis estão excluídos.

Um [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) bem feito revela onde esses dados estão sendo gerados e processados no seu ambiente digital.

## O que são dados sensíveis na NHDPA?

Conforme RSA 507-H:1, XXVIII, dados sensíveis incluem:

Dados revelando origem racial ou étnica, crenças religiosas, condição ou diagnóstico de saúde mental ou física, vida sexual, orientação sexual, status de cidadania ou imigração.

Dados genéticos ou biométricos processados para identificar um indivíduo.

Dados pessoais coletados de crianças conhecidas (menores de 13 anos conforme COPPA).

Dados de geolocalização precisa (dentro de um raio de 1.750 pés).

Dados sensíveis não podem ser processados sem o consentimento explícito e prévio do consumidor, conforme RSA 507-H:6, I, d.

## Proteção especial para adolescentes entre 13 e 15 anos

A NHDPA vai além da proteção de crianças menores de 13 anos. O RSA 507-H:6, I, g proíbe expressamente que o controlador processe dados de consumidores para fins de publicidade segmentada ou venda de dados sem consentimento quando o controlador tem conhecimento real e deliberadamente ignora que o consumidor tem entre 13 e 15 anos.

Essa proteção adicional para adolescentes é um diferencial da NHDPA em relação a outras leis estaduais americanas.

## Quais são os direitos dos consumidores sob a NHDPA?

Conforme RSA 507-H:4, a lei garante aos residentes de New Hampshire os seguintes direitos:

**Direito de acesso e confirmação:** saber se a empresa processa seus dados e obter uma cópia em formato legível.

**Direito de correção:** corrigir imprecisões nos dados pessoais.

**Direito de exclusão:** solicitar a exclusão dos dados fornecidos ou coletados sobre eles.

**Direito de portabilidade:** obter os dados em formato portátil e utilizável, quando o processamento é feito por meios automatizados.

**Direito de opt-out:** recusar o processamento para publicidade segmentada, venda de dados pessoais e perfilamento com efeitos legais ou igualmente significativos.

**Direito de apelação:** recorrer de qualquer pedido negado pelo controlador.

O controlador tem **45 dias** para responder. O prazo pode ser estendido por mais 45 dias em casos complexos, desde que o consumidor seja informado dentro do prazo inicial (RSA 507-H:4, III, a).

O atendimento é **gratuito uma vez por ano** por consumidor. Para solicitações manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável ou recusar, mas o ônus de provar o caráter excessivo é da empresa (RSA 507-H:4, III, c).

## Consentimento: a base da NHDPA

Conforme RSA 507-H:1, VII, consentimento é um ato afirmativo claro que signifique a concordância livre, específica, informada e inequívoca do consumidor.

O que não é consentimento válido: aceitar termos gerais de uso que contenham descrições de tratamento de dados junto com outras informações não relacionadas, passar o mouse sobre ou fechar um conteúdo, e qualquer concordância obtida por meio de dark patterns.

Dark patterns, definidos em RSA 507-H:1, XII, são interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, a tomada de decisão ou a escolha do usuário.

### O prazo de 15 dias para cessação após revogação

Um ponto específico e importante da NHDPA está no RSA 507-H:6, I, f: após a revogação do consentimento pelo consumidor, a empresa precisa cessar o processamento dos dados o mais rápido possível, mas **no máximo em 15 dias** após receber a solicitação.

Esse é um prazo mais curto do que o de resposta a DSARs e impacta diretamente a configuração dos sistemas de marketing e rastreamento.

## Obrigações do controlador sob a NHDPA

Conforme RSA 507-H:6, o controlador precisa:

Limitar a coleta de dados ao que é adequado, relevante e razoavelmente necessário para as finalidades informadas.

Não processar dados para finalidades incompatíveis com as declaradas, salvo com consentimento.

Implementar práticas razoáveis de segurança técnica, administrativa e física proporcionais ao volume e natureza dos dados.

Não processar dados sensíveis sem consentimento prévio.

Não discriminar consumidores que exercem seus direitos.

Oferecer mecanismo de revogação do consentimento tão fácil quanto o mecanismo de consentimento.

Fornecer aviso de privacidade claro e significativo com os elementos exigidos por lei.

Conduzir Data Protection Assessments para atividades de alto risco.

O [ROPA](https://goadopt.io/blog/ropa-lgpd/) atualizado documenta todas essas atividades e serve como evidência de conformidade em caso de investigação.

## Cookies e a NHDPA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão diretamente no escopo da NHDPA.

Antes de disparar qualquer cookie não essencial, o site precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, obter consentimento afirmativo, bloquear os rastreadores até o aceite, e oferecer opções reais de recusa sem dark patterns.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies são necessários e quais precisam de consentimento.

A lei também exige respeito ao opt-out preference signal, como o Global Privacy Control (GPC), conforme RSA 507-H:6, V, a, 1, B. Mas com uma nuance importante: o sinal só é válido quando o consumidor o configurou de forma afirmativa e livre, não como padrão automático do dispositivo.

## Fiscalização e penalidades

Conforme RSA 507-H:11, o Attorney General tem autoridade exclusiva para fiscalizar a NHDPA. Não existe direito de ação privada.

**Em 2025** (RSA 507-H:11, II): o Attorney General era obrigado a emitir notificação de violação e dar ao controlador **60 dias** para corrigir antes de ajuizar ação.

**A partir de 2026** (RSA 507-H:11, III): o período de cura passou a ser **discricionário**. O Attorney General pode ou não conceder o prazo de cura, considerando fatores como o número de violações, o tamanho e complexidade da empresa, a natureza do processamento, o risco à população, e se a violação foi causada por erro humano ou técnico. Não há mais garantia automática de oportunidade para corrigir.

As violações são enquadradas como prática desleal de comércio sob o RSA 358-A:2 (Consumer Protection Act de New Hampshire), que prevê [penalidades](https://goadopt.io/blog/multas-na-lgpd/) civis significativas. O valor de referência de mercado é de até **US$ 10.000 por violação**.

## Como se adequar à NHDPA na prática

### 1. Mapeamento de dados
Entenda o que você coleta, onde está, como é usado e com quem é compartilhado. O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) é a base de tudo.

### 2. Atualize sua política de privacidade
O documento precisa cobrir todos os requisitos do RSA 507-H:6, III, com data de última atualização visível.

### 3. Implemente um aviso de cookies funcional
Um [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) que bloqueia, registra, respeita o GPC como escolha afirmativa, e oferece opções reais de controle.

### 4. Crie canais para DSARs
Pelo menos um mecanismo seguro e confiável para receber solicitações. Sem exigência de criação de nova conta.

### 5. Configure o prazo de 15 dias
Garanta que seus sistemas consigam cessar o processamento em até 15 dias após revogação de consentimento.

### 6. Documente tudo
[ROPA](https://goadopt.io/blog/ropa-lgpd/), avaliações de proteção de dados, contratos com operadores. Essa documentação é a sua defesa.

Aplicar [privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/) desde a concepção dos produtos é o que torna a conformidade sustentável.

## Como a AdOpt ajuda com a NHDPA

A AdOpt registra cada consentimento, bloqueia rastreadores antes do aceite, respeita o GPC automaticamente quando configurado pelo usuário, e gera o log auditável que você precisaria apresentar em uma investigação.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à NHDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando NHDPA com outras leis de privacidade

| Lei | Estado | Volume de Consumidores | Penalidade | Vigência |
|---|---|---|---|---|
| NHDPA | New Hampshire | 35K ou 10K + 25% receita | Até US$ 10K/violação | Jan 2025 |
| TIPA | Tennessee | 175K ou 25K + 50% receita | US$ 7.500/violação | Jul 2025 |
| TDPSA | Texas | 25K residentes | US$ 7.500/violação | Jul 2024 |
| MTCDPA | Montana | 25K residentes | US$ 7.500/violação | Out 2025 |
| CPA | Colorado | 100K residentes | US$ 20.000/violação | Jul 2023 |

Para entender como essas [legislações de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) se comparam em termos de estrutura, nosso guia comparativo aprofunda o tema.

## A NHDPA na prática: os três documentos

A adequação à NHDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/new-hampshire-nhdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/new-hampshire-nhdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/new-hampshire-nhdpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: New Hampshire NHDPA

**1. O que é a NHDPA e quando entrou em vigor?**
A New Hampshire Data Privacy Act (RSA 507-H) é a lei estadual de proteção de dados de New Hampshire. Entrou em vigor em 1º de janeiro de 2025. Ela garante direitos aos consumidores do estado e impõe obrigações de conformidade para empresas que processam os dados dessas pessoas.

**2. Quem precisa cumprir a NHDPA?**
Empresas que conduzem negócios em New Hampshire ou direcionam produtos e serviços a seus residentes, e que processam dados de pelo menos 35.000 consumidores únicos por ano, ou de pelo menos 10.000 consumidores obtendo mais de 25% da receita com venda de dados pessoais (RSA 507-H:2).

**3. Qual é a penalidade por descumprimento?**
Violações são enquadradas como prática desleal de comércio sob o RSA 358-A:2. O valor de referência é de até US$ 10.000 por violação. Em 2025 havia garantia de 60 dias para cura. A partir de 2026, o prazo de cura é discricionário e pode não ser concedido (RSA 507-H:11).

**4. Em quanto tempo a empresa precisa responder a uma solicitação de consumidor?**
45 dias a partir do recebimento da solicitação autenticada. O prazo pode ser estendido por mais 45 dias em casos complexos, com notificação dentro do prazo inicial. Para apelações, 60 dias. Gratuito uma vez por ano por consumidor (RSA 507-H:4, III).

**5. Qual é o prazo para cessar o processamento após revogação do consentimento?**
15 dias a partir do recebimento da solicitação de revogação, conforme RSA 507-H:6, I, f. Esse prazo é diferente do prazo de resposta a DSARs e precisa ser considerado na configuração dos sistemas de marketing e rastreamento.

Tá na AdOpt, tá bem.

[Quer adequar seu site à NHDPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


New Hampshire NHDPA e Cookies: Tudo o que você precisa saber

Aviso de Cookies na VTEX: como configurar e manter sua loja em conformidade

Utah é o estado mais business-friendly do cenário de privacidade nos EUA.

A Utah Consumer Privacy Act (UCPA), Utah Code § 13-61-101 et seq., entrou em vigor em **31 de dezembro de 2023**. Ela é a lei estadual de proteção de dados pessoais mais enxuta entre as aprovadas até agora nos EUA, com menos obrigações para as empresas e mais proteção para o modelo de negócios tradicional.

Mas "enxuta" não significa ignorável. O threshold de receita de US$ 25 milhões cria um escopo bem definido, e o Attorney General do Utah tem autoridade exclusiva de enforcement.

## O que é a UCPA?

A Utah Consumer Privacy Act é a lei estadual de proteção de dados pessoais do Utah. Ela garante direitos básicos aos residentes do estado e cria obrigações para as empresas que processam seus dados.

A fiscalização segue um modelo de dois estágios: a Division of Consumer Protection recebe e investiga reclamações de consumidores. Se encontrar violação substancial, encaminha ao **Attorney General do Utah**, que tem autoridade exclusiva para iniciar ações de enforcement.

Não há direito de ação privada.

## Quando a UCPA entrou em vigor?

Em **31 de dezembro de 2023**.

## Quem precisa cumprir a UCPA?

Conforme Utah Code § 13-61-102(1), a lei se aplica a controladores ou processadores que:

Conduzem negócios no Utah ou produzem produtos ou serviços direcionados a consumidores residentes do estado;

Têm **receita anual de US$ 25.000.000 ou mais**; e

Atendem a pelo menos um dos seguintes critérios:

Controlam ou processam dados pessoais de **100.000 ou mais consumidores** durante um ano civil; ou

Derivam mais de **50% da receita bruta** da venda de dados pessoais e controlam ou processam dados pessoais de **25.000 ou mais consumidores**.

**O diferencial em relação a outras leis:** a UCPA exige que a empresa satisfaça o requisito de receita de US$ 25 milhões E pelo menos um dos thresholds de volume de dados. Outras leis estaduais usam um ou outro. Aqui é necessário os dois. Isso reduz significativamente o número de empresas no escopo.

Entender a distinção entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é fundamental para definir as responsabilidades de cada parte.

### Isenções da UCPA

Conforme Utah Code § 13-61-102(2), estão isentos:

Entidades governamentais e terceiros contratados agindo em seu nome.

Tribos indígenas.

Instituições de ensino superior.

Organizações sem fins lucrativos.

Entidades cobertas (covered entities) e associadas de negócios (business associates) sob a HIPAA.

Informações protegidas pela HIPAA e dados relacionados à saúde em situações específicas.

Informações de pesquisa clínica regulada.

Dados de crédito ao consumidor regulados pelo Fair Credit Reporting Act.

Instituições financeiras e dados regulados pelo Gramm-Leach-Bliley Act.

Dados regulados pelo Driver's Privacy Protection Act.

Dados regulados pelo FERPA.

Dados regulados pelo Farm Credit Act.

Dados de funcionários, candidatos a emprego e agentes em contexto de emprego.

Dados processados para uso pessoal ou doméstico.

Transportadoras aéreas.

## O que é dado pessoal sob a UCPA?

Conforme Utah Code § 13-61-101(24), dado pessoal é qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável.

Não são dados pessoais: dados desidentificados, dados agregados, e informações publicamente disponíveis.

A UCPA também define dados pseudonimizados (§ 13-61-101(28)) como dados pessoais que não podem ser atribuídos a um indivíduo específico sem o uso de informações adicionais mantidas separadas e sob medidas técnicas e organizacionais adequadas. Dados pseudonimizados têm proteção limitada sob a UCPA.

## O que são dados sensíveis na UCPA?

Conforme Utah Code § 13-61-101(32), dados sensíveis incluem:

Dados pessoais que revelam origem racial ou étnica, crenças religiosas, orientação sexual, cidadania ou status de imigração, ou informações sobre histórico médico, condição de saúde física ou mental, ou tratamento ou diagnóstico médico.

Processamento de dados genéticos pessoais ou dados biométricos, quando o processamento é para identificar um indivíduo específico.

Dados de geolocalização específica.

**Atenção ao modelo de dados sensíveis da UCPA:** ao contrário da CPRA e de várias outras leis estaduais, a UCPA não exige consentimento para processar dados sensíveis. Ela exige apenas que a empresa apresente um aviso claro e ofereça uma oportunidade de opt-out antes de processar. Esse é um dos aspectos que tornam a UCPA mais favorável às empresas do que outras leis estaduais.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 13-61-102(3)).

## O que são dados de geolocalização específica na UCPA?

Conforme Utah Code § 13-61-101(33), dados de geolocalização específica são informações derivadas de tecnologia, incluindo coordenadas GPS, que identificam diretamente a localização específica de um indivíduo com precisão de **1.750 pés ou menos**.

## Quais são os direitos dos consumidores sob a UCPA?

Conforme Utah Code § 13-61-201, os residentes do Utah têm quatro direitos:

**Direito de confirmação e acesso:** confirmar se o controlador está processando dados pessoais e acessar esses dados (§ 13-61-201(1)).

**Direito de exclusão:** solicitar a exclusão dos dados pessoais que o consumidor forneceu ao controlador. Atenção: a UCPA limita o direito de exclusão a dados que o consumidor forneceu. Dados que o controlador obteve de outras fontes não precisam ser excluídos por força da lei (§ 13-61-201(2)).

**Direito de portabilidade:** obter uma cópia dos dados em formato portátil e utilizável, quando tecnicamente viável e praticável, para transmissão a outro controlador sem obstáculos, quando o processamento é realizado por meios automatizados (§ 13-61-201(3)).

**Direito de opt-out:** recusar o processamento de dados pessoais para fins de publicidade direcionada ou venda de dados pessoais (§ 13-61-201(4)).

### O que a UCPA não tem em comparação com outras leis

Não há direito de correção de dados imprecisos. A UCPA não garante esse direito, ao contrário de CPRA, OCPA, VCDPA e outras leis.

Não há direito de opt-out de perfilamento. A UCPA cobre apenas publicidade direcionada e venda de dados.

Não há direito de apelação formal estruturado. A lei não define um processo de apelação de decisões do controlador.

## Prazos de resposta às solicitações

Conforme Utah Code § 13-61-203:

**45 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação ao consumidor dentro do prazo inicial.

**Gratuito para a primeira solicitação** de cada consumidor por período de 12 meses (§ 13-61-203(4)(a)).

A partir da segunda solicitação no mesmo período de 12 meses, pode cobrar taxa razoável ou recusar, se o pedido for excessivo, repetitivo, tecnicamente inviável, manifestamente infundado, ou se o controlador razoavelmente acreditar que o objetivo principal não é exercer um direito.

O ônus de demonstrar o caráter excessivo é da empresa.

## Dados sensíveis: opt-out, não consentimento

Este é um dos pontos mais importantes da UCPA para empresas que já estão adequadas a outras leis.

Conforme Utah Code § 13-61-302(3), o controlador não pode processar dados sensíveis coletados de um consumidor sem antes:

Apresentar ao consumidor um aviso claro; e

Oferecer ao consumidor a oportunidade de opt-out do processamento.

Esse modelo de opt-out para dados sensíveis é substancialmente menos restritivo do que o modelo de opt-in (consentimento prévio) exigido pela CPRA, OCPA, CTDPA e VCDPA. Empresas que já cumprem as leis mais restritivas estarão automaticamente em conformidade com a UCPA nesse ponto.

## Obrigações do controlador sob a UCPA

Conforme Utah Code § 13-61-302, o controlador precisa:

**Privacidade notice:** fornecer um aviso de privacidade razoavelmente acessível e claro que inclua: categorias de dados pessoais processados, finalidades do processamento, como os consumidores podem exercer seus direitos, categorias de dados compartilhados com terceiros (se houver), e categorias de terceiros com quem os dados são compartilhados.

**Segurança de dados:** estabelecer, implementar e manter práticas razoáveis de segurança administrativa, técnica e física, proporcionais ao volume e natureza dos dados.

**Divulgação de venda e publicidade direcionada:** se a empresa vende dados ou usa dados para publicidade direcionada, precisa informar o consumidor de forma clara e conspícua e oferecer mecanismo de opt-out.

**Não discriminação:** não pode discriminar consumidores que exercem seus direitos negando bens ou serviços, cobrando preços diferentes, ou oferecendo qualidade diferente.

**Contratos com processadores:** antes de contratar processadores, o controlador precisa firmar contrato que inclua instruções de processamento, natureza e finalidade, tipo de dados, duração, direitos e obrigações, e requisitos de confidencialidade.

## Cookies e a UCPA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão no escopo da UCPA.

O site precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, disponibilizar opt-out de publicidade direcionada e venda de dados, e descrever no aviso de privacidade como os consumidores podem exercer seus direitos.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies configuram publicidade direcionada ou venda de dados.

A UCPA define publicidade direcionada em § 13-61-101(34) como anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados. Anúncios baseados em atividades dentro do próprio site do controlador não se enquadram.

**A UCPA não exige GPC.** Diferentemente da CPRA (Califórnia) e da CTDPA (Connecticut), a UCPA não menciona a obrigação de honrar sinais de opt-out universal como o Global Privacy Control. No entanto, implementar o GPC é uma boa prática que já cobre os requisitos de outras jurisdições.

## Fiscalização e penalidades

Conforme Utah Code § 13-61-402, o Attorney General do Utah tem autoridade exclusiva de enforcement.

O processo segue dois estágios:

**Estágio 1:** o consumidor registra reclamação na Division of Consumer Protection. A Division investiga e, se encontrar evidências substanciais de violação, encaminha ao Attorney General.

**Estágio 2:** o Attorney General notifica o controlador por escrito, identificando as violações e fornecendo **30 dias garantidos para correção**.

Se o controlador corrigir a violação dentro dos 30 dias e fornecer declaração escrita de que a violação foi sanada e não se repetirá, nenhuma ação é iniciada.

Se a violação continuar ou o controlador descumprir a declaração fornecida, o AG pode iniciar ação e recuperar:

Danos reais ao consumidor.

Até **US$ 7.500 por violação**.

O período de cura de 30 dias é **garantido permanentemente** pela UCPA, ao contrário de outras leis como OCPA e CPRA que eliminaram o cure period. Isso torna o enforcement da UCPA mais previsível para as empresas.

## Como a AdOpt ajuda com a UCPA

A AdOpt registra cada consentimento e opt-out, bloqueia rastreadores antes do aceite, e gera o log auditável que você precisaria apresentar em uma investigação do Attorney General.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados necessário para o aviso de privacidade. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à UCPA do Utah? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando UCPA com outras leis de privacidade

| Lei | Estado | Threshold | Dados Sensíveis | Correção | Cure Period | Vigência |
|---|---|---|---|---|---|---|
| UCPA | Utah | US$ 25M + 100K ou 25K + 50% | Opt-out (aviso prévio) | Não previsto | 30 dias garantidos | Dez 2023 |
| OCPA | Oregon | 100K (excl. pagamentos) ou 25K + 25% | Opt-in (consentimento) | Previsto | Eliminado (jan/2026) | Jul 2024 |
| CTDPA | Connecticut | 100K (excl. pagamentos) ou 25K + 25% | Opt-in (consentimento) | Previsto | Discricionário | Jul 2023 |
| VCDPA | Virgínia | 100K ou 25K + 50% | Opt-in (consentimento) | Previsto | 30 dias garantidos | Jan 2023 |
| CPRA | Califórnia | US$ 25M ou 100K ou 50% | Opt-in + Limitação SPI | Previsto | Eliminado | Jan 2023 |

## A UCPA na prática: os três documentos

A adequação à UCPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/utah-ucpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/utah-ucpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/utah-ucpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Utah UCPA

**1. O que torna a UCPA diferente das outras leis estaduais americanas?**
A UCPA é a lei estadual de privacidade mais favorável às empresas entre as aprovadas até agora nos EUA. As principais diferenças: exige receita de US$ 25 milhões E um dos thresholds de volume (operador duplo), enquanto outras leis usam um ou outro; usa opt-out para dados sensíveis, enquanto a maioria das outras leis exige opt-in (consentimento); não tem direito de correção de dados; não tem direito de opt-out de perfilamento; e mantém o período de cura de 30 dias garantido permanentemente, enquanto outras leis estão eliminando esse período.

**2. Por que a UCPA usa opt-out para dados sensíveis em vez de opt-in?**
A UCPA reflete a filosofia do legislativo do Utah de criar uma lei que proteja consumidores sem criar barreiras excessivas para as empresas. O modelo de opt-out para dados sensíveis (Utah Code § 13-61-302(3)) exige que a empresa informe o consumidor e dê a ele a oportunidade de recusar, mas não exige consentimento prévio ativo. Isso é suficiente para proteger a privacidade na visão do legislativo do Utah, embora seja significativamente menos restritivo do que o padrão de consentimento exigido pela CPRA, OCPA e outras leis.

**3. A UCPA tem direito de correção de dados?**
Não. Esse é um dos direitos ausentes mais notáveis da UCPA. A lei garante apenas quatro direitos: confirmação/acesso, exclusão (limitada a dados fornecidos pelo consumidor), portabilidade, e opt-out de publicidade direcionada e venda. Correção de dados imprecisos não está entre eles. Isso diferencia a UCPA da VCDPA, OCPA, CTDPA e CPRA, que todas incluem o direito de correção.

**4. O que significa a limitação do direito de exclusão da UCPA?**
O direito de exclusão da UCPA (§ 13-61-201(2)) se aplica apenas a dados pessoais que o consumidor forneceu ao controlador. Dados que o controlador obteve de outras fontes, como data brokers, listas de terceiros, ou inferências criadas a partir de outros dados, não precisam ser excluídos sob a UCPA. Isso é uma diferença importante em relação à OCPA e CTDPA, que exigem exclusão de dados obtidos de qualquer fonte.

**5. Qual é a penalidade por descumprimento da UCPA?**
O Attorney General pode recuperar danos reais ao consumidor e até US$ 7.500 por violação. Antes de iniciar qualquer ação, o AG é obrigado a notificar o controlador e conceder 30 dias para correção (§ 13-61-402(3)). Esse período de 30 dias é garantido permanentemente pela UCPA. Se o controlador corrigir a violação e fornecer declaração escrita, nenhuma ação é iniciada. Não há direito de ação privada para consumidores (§ 13-61-305).

Tá na AdOpt, tá bem.

[Quer adequar seu site à UCPA do Utah? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


UCPA Utah e Cookies: Tudo o que você precisa saber

Uma nova regulamentação estadual, a **Lei de Privacidade de Dados de Connecticut (CTDPA)**, chegou para proteger a privacidade dos residentes de Connecticut. Ela orienta como as empresas devem gerenciar dados pessoais, com foco em dar aos consumidores mais controle sobre suas informações. Isso, claro, inclui os **[cookies](https://goadopt.io/blog/cookies-e-lgpd/ )**, e este artigo vai guiar você por todas as novidades de privacidade de dados que ela traz.

Se sua empresa coleta ou processa dados de residentes de Connecticut, entender a CTDPA é fundamental. A lei exige transparência sobre quais informações pessoais são coletadas e como serão usadas e armazenadas. Para o consumidor, isso significa mais controle e segurança. Para as empresas, estar em conformidade com a CTDPA é uma oportunidade de construir confiança e credibilidade.

## Quem Precisa se Adequar à Lei de Privacidade de Dados de Connecticut?

A CTDPA se aplica a qualquer entidade que:

- Processa ou controla informações pessoais de pelo menos 100.000 residentes de Connecticut anualmente; ou
- Obtém mais de 25% de sua receita bruta com a venda de dados pessoais, enquanto controla ou processa dados de pelo menos 25.000 consumidores.

Isso abrange serviços de varejo, tecnologia e marketing digital. Se o seu negócio se enquadra nesses critérios, a adequação é necessária e representa um passo importante para fortalecer a relação com seus clientes.

## Principais Disposições da CTDPA

A CTDPA reflete várias disposições de leis de privacidade de outros estados, como a Lei de Privacidade do Colorado (CPA) e a Lei de Proteção de Dados do Consumidor da Virgínia (CDPA). Assim como elas, a CTDPA concede aos consumidores direitos como acesso, correção, exclusão de dados pessoais e a opção de não participar da venda e processamento de seus dados. Um bom **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/ )** é o primeiro passo para atender a esses direitos com eficiência.

Uma característica notável da CTDPA é a ausência de um limite de receita, o que a posiciona como uma das leis de privacidade estaduais mais focadas no consumidor.

## Isenções na CTDPA

Algumas entidades e tipos de dados estão isentos da CTDPA. É crucial entender essas exceções para determinar se sua organização precisa se adequar. As entidades isentas incluem agências estaduais, organizações sem fins lucrativos, instituições de ensino superior e outras especificadas na lei, como aquelas já reguladas por leis federais como GLBA e HIPAA.

Além disso, a CTDPA não se aplica a empresas que processam dados exclusivamente para atividades pessoais ou domésticas. Compreender o escopo da sua operação é fundamental para a conformidade.

## Requisitos de Consentimento de Cookies

Solicitar consentimento expresso e inequívoco dos usuários para coletar seus dados por meio de cookies é uma necessidade sob a CTDPA. Se você utiliza rastreamento para fins analíticos, por exemplo, isso implica em ter um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )** claro, explicando os dados que serão coletados e como serão usados.

Uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/ )** (CMP), como a AdOpt, pode automatizar esse processo, garantindo que seus mecanismos de consentimento de cookies estejam em conformidade e personalizados para sua marca. É essencial também detalhar os tipos de cookies que seu site usa, diferenciando entre os essenciais e os não essenciais, como os de análise e publicidade. A transparência na **[categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/ )** ajuda a construir a confiança do usuário.

Os usuários devem ter uma opção fácil para desativar os cookies e retirar o consentimento a qualquer momento. O processo de opt-out deve ser tão simples quanto o de aceitar, fortalecendo a confiança e a experiência do usuário. Manter registros de consentimento é outra exigência importante para demonstrar conformidade.

## Boas Práticas com os Requisitos de Cookies da CTDPA

- **Liberdade de escolha:** O acesso ao site não deve ser condicionado à aceitação de cookies. Ofereça ao usuário total liberdade para navegar.
- **Respeito à decisão:** Após a recusa, o banner não deve ser exibido repetidamente. Respeitar a escolha do visitante é essencial para uma boa experiência.
- **Facilidade de uso:** Recusar cookies deve ser tão simples quanto aceitar. Botões claros e processos diretos demonstram respeito pelo usuário.
- **Consentimento ativo:** As caixas de consentimento não devem vir pré-marcadas. Os usuários devem fazer uma escolha ativa sobre quais cookies habilitar.
- **Linguagem clara:** Seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/ )** deve usar textos simples e transparentes, facilitando a compreensão do visitante.
- **Política completa:** Sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/ )** deve ser abrangente e de fácil acesso, explicando como os dados são coletados, usados e protegidos.

## Penalidades e a Importância da Conformidade

O cumprimento da CTDPA traz benefícios diretos para a reputação da sua marca. As multas podem chegar a $7.500 por infração, mas o verdadeiro valor da conformidade está em demonstrar ao seu público que sua empresa leva a privacidade a sério. Investir em transparência é investir na confiança do cliente.

## Como Garantir a Conformidade com a CTDPA?

Estar em conformidade com a CTDPA é mais simples do que parece. Um mecanismo de **[consentimento](https://goadopt.io/blog/consentimento-site-lgpd/ )** (opt-in) funcional é um componente essencial. Isso exige que os usuários aceitem claramente os cookies antes que qualquer informação seja coletada, por meio de um aviso claro e informativo.

Gerenciar o consentimento de opt-in e opt-out é muito mais simples com uma solução de CMP robusta como a AdOpt. Uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/ )** ajuda a manter um inventário de consentimentos, rastreia as permissões e garante que suas políticas estejam sempre atualizadas, melhorando a experiência do usuário e garantindo a conformidade.

## A CTDPA e os Direitos do Consumidor

Sob a CTDPA, os consumidores têm o direito de acessar, corrigir e solicitar a exclusão de seus dados pessoais. As empresas devem fornecer essas informações em um formato claro e acessível. Ser transparente sobre os dados que você coleta e como os utiliza é a chave para construir confiança e garantir a conformidade. Um **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/ )** pode ser um grande aliado nesse processo.

### Tabela Comparativa de Leis de Privacidade dos EUA

| Lei | Estado | Limite de Receita | Processamento de Dados | Consentimento | Multas por Violação |
|---|---|---|---|---|---|
| **CTDPA** | **Connecticut** | **N/A** | **100.000 residentes ou 25% da receita** | **Sim** | **Até $7.500** |
| TIPA | Tennessee | N/A | 25.000 residentes ou 50% da receita | Sim | Até $7.500 |
| TDPSA | Texas | $25M | 50.000 residentes | Sim | Até $7.500 |
| CCPA | Califórnia | $25M | 50.000 residentes ou 50% da receita | Sim | Até $7.500 |
| VCDPA | Virgínia | $25M | 100.000 residentes ou 50% da receita | Sim | Até $7.500 |
| OCPA | Oregon | $25M | 100.000 residentes | Sim | Até $7.500 |
| CPA | Colorado | $25M | 100.000 residentes ou 25% da receita | Sim | Até $20.000 |
| UCPA | Utah | $25M | 100.000 residentes ou 50% da receita | Sim | Até $7.500 |

## Pronto para Garantir a Conformidade?

A Plataforma de Gestão de Consentimentos da AdOpt foi projetada para ajudar sua empresa a se adequar com tranquilidade e transformar a conformidade em uma vantagem competitiva.

**[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria )** e descubra como a AdOpt pode facilitar a conformidade e fortalecer a confiança dos seus clientes.

## A CTDPA na prática: os três documentos

A adequação à CTDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/connecticut-ctdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/connecticut-ctdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/connecticut-ctdpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.


Connecticut CTDPA e Cookies: Tudo o que você precisa saber

Tennessee TIPA e Cookies: Tudo o que você precisa saber

Quando o California Consumer Privacy Act (CCPA) entrou em vigor em 1º de janeiro de 2020, os Estados Unidos ainda não tinham uma lei federal de privacidade. A Califórnia decidiu não esperar e aprovou a lei mais abrangente de proteção de dados do país, que se tornaria referência para praticamente tudo que veio depois.

Dois anos depois, os californianos foram às urnas e aprovaram a Proposição 24, que criou o California Privacy Rights Act (CPRA). E aí as coisas ficam um pouco confusas para quem está de fora.

Este guia explica o que é cada uma, o que mudou, e o que a legislação vigente da Califórnia exige de quem trata dados de consumidores do estado.

## CCPA e CPRA: a mesma lei ou leis diferentes?

Boa pergunta, e a resposta não é simples.

A **CCPA** (California Consumer Privacy Act) é a lei original. Foi aprovada como AB 375 em 2018 e entrou em vigor em 1º de janeiro de 2020. Ela está codificada no California Civil Code § 1798.100 a § 1798.199.100.

A **CPRA** (California Privacy Rights Act) é a Proposição 24, aprovada por referendo popular em 3 de novembro de 2020, com a maioria das disposições operativas a partir de 1º de janeiro de 2023. A CPRA não criou uma lei separada. Ela **emendou e expandiu** a CCPA. Ou seja: o que existe hoje é a CCPA com as mudanças da CPRA incorporadas.

### O que a CCPA tinha originalmente

A CCPA de 2020 garantia aos consumidores californianos direitos básicos: saber o que era coletado, pedir a exclusão dos dados, e recusar a venda dos dados. Era uma lei pioneira e importante, mas com lacunas significativas.

### O que a CPRA mudou a partir de 2023

A CPRA fez alterações profundas:

**Criou a California Privacy Protection Agency (CPPA):** uma agência reguladora independente com poder administrativo exclusivo para implementar e fiscalizar a lei. Antes, era o Attorney General quem fiscalizava. Agora a CPPA tem estrutura própria, poderes investigativos, competência para multas administrativas, e orçamento garantido.

**Adicionou novos direitos:** o direito de corrigir dados imprecisos e o direito de limitar o uso e a divulgação de informações pessoais sensíveis.

**Criou a categoria de "compartilhamento":** separou "venda" de "compartilhamento" para publicidade comportamental contextual cruzada. Isso significa que compartilhar dados com plataformas de anúncios para targeting, mesmo sem receber dinheiro diretamente, passou a exigir opt-out.

**Expandiu a definição de dados sensíveis:** incluiu dados genéticos, dados neurais, informações de saúde, orientação sexual e vida sexual.

**Exigiu o link "Limit the Use of My Sensitive Personal Information":** além do já existente "Do Not Sell or Share My Personal Information."

**Impôs requisitos de minimização de dados e retenção proporcionada.**

| Aspecto | CCPA (2020) | CCPA + CPRA (2023) |
|---|---|---|
| Fiscalização | Attorney General | CPPA (agência independente) + AG |
| Direitos do consumidor | 5 direitos | 7 direitos |
| Links obrigatórios | "Do Not Sell My Personal Information" | "Do Not Sell or Share" + "Limit Sensitive PI" |
| Dados sensíveis | Categoria básica | Expandida (inclui dados neurais) |
| Ação privada | Apenas violações de segurança | Apenas violações de segurança |
| Vigência plena | Jan 2020 | Jan 2023 |

Nos artigos sobre a Califórnia neste blog, tratamos a lei vigente: **CCPA conforme emendada pela CPRA**. Quando precisar consultar apenas as mudanças específicas da CPRA, temos um guia dedicado sobre a [Califórnia CPRA](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber).

## O que é a CCPA/CPRA hoje?

O California Consumer Privacy Act, conforme emendado pela CPRA, é a lei de proteção de dados mais abrangente dos Estados Unidos. Ela garante direitos amplos aos consumidores californianos e cria obrigações detalhadas para empresas que tratam seus dados.

A fiscalização hoje é compartilhada entre a **California Privacy Protection Agency (CPPA)** e o **Attorney General da Califórnia**, com poderes distintos e complementares.

## Quando a CCPA entrou em vigor?

A CCPA original entrou em vigor em **1º de janeiro de 2020**.

As emendas da CPRA tornaram-se operativas em **1º de janeiro de 2023**.

A versão atual da lei, com todos os direitos e obrigações vigentes, aplica-se desde janeiro de 2023.

## Quem precisa cumprir a CCPA?

Conforme § 1798.140(d), a lei se aplica a empresas com fins lucrativos que fazem negócios na Califórnia, coletam dados pessoais de consumidores, e atendem a pelo menos **um** dos seguintes critérios:

Receita bruta anual superior a **US$ 25 milhões** no ano civil anterior.

Compra, vende ou compartilha dados pessoais de pelo menos **100.000 consumidores ou domicílios** por ano.

Deriva **50% ou mais** da receita anual da venda ou compartilhamento de dados pessoais de consumidores.

O threshold de US$ 25 milhões é o mais baixo entre todas as leis estaduais americanas, tornando a CCPA a lei com maior alcance em termos de empresas afetadas.

Entender a distinção entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é fundamental para definir as responsabilidades de cada parte.

### Isenções da CCPA

Estão isentos da maioria das obrigações:

Informações de saúde protegidas pela HIPAA e dados de entidades cobertas.

Dados regulados pela California Confidentiality of Medical Information Act.

Informações de crédito ao consumidor reguladas pelo Fair Credit Reporting Act.

Dados financeiros regulados pelo Gramm-Leach-Bliley Act ou pela California Financial Information Privacy Act.

Dados regulados pelo Driver's Privacy Protection Act.

Dados de pesquisas acadêmicas ou de saúde pública com salvaguardas adequadas.

Dados de funcionários e candidatos a emprego quando usados nessa capacidade.

## O que é dado pessoal sob a CCPA?

Conforme § 1798.140(v), dado pessoal é qualquer informação que identifica, se relaciona com, descreve, é razoavelmente capaz de ser associada, ou poderia razoavelmente ser vinculada direta ou indiretamente a um consumidor ou domicílio específico.

Isso inclui identificadores como nome, endereço, IP, e-mail, número de previdência social, carteira de motorista e passaporte. Também inclui informações comerciais, histórico de navegação, dados de geolocalização, informações de áudio e visual, dados de emprego, dados de educação, e inferências derivadas para criar perfis.

Dados desidentificados e informações publicamente disponíveis estão excluídos.

Um [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) completo revela onde esses dados estão sendo gerados e processados no seu ambiente digital.

## O que são informações pessoais sensíveis na CCPA/CPRA?

A CCPA, após as emendas da CPRA, tem uma categoria expandida de "informações pessoais sensíveis" (§ 1798.140(ae)):

Número de previdência social, carteira de motorista, número de identificação do estado ou passaporte.

Login de conta, número de conta financeira, cartão de débito ou crédito em combinação com código de segurança ou senha.

Geolocalização precisa (raio de 1.850 pés ou menos).

Origem racial ou étnica, cidadania ou status de imigração, crenças religiosas ou filosóficas, ou associação sindical.

Conteúdo de e-mails, correspondências e mensagens de texto, exceto quando a empresa é o destinatário pretendido.

Dados genéticos.

Dados neurais: informações geradas pela medição da atividade do sistema nervoso central ou periférico do consumidor.

Processamento de informações biométricas para identificação única.

Informações de saúde coletadas e analisadas.

Informações sobre vida sexual ou orientação sexual.

A inclusão de dados neurais é exclusiva da CCPA/CPRA entre as leis estaduais americanas.

## Quais são os direitos dos consumidores sob a CCPA/CPRA?

A lei garante sete direitos principais:

**Direito de saber e acessar:** confirmar se a empresa processa seus dados e obter as informações específicas coletadas, incluindo categorias de dados, fontes, finalidades, terceiros, e as peças específicas da informação. A solicitação cobre os **12 meses anteriores** ao pedido (§ 1798.110, 1798.115).

**Direito de exclusão:** solicitar a exclusão dos dados pessoais coletados, com obrigação de a empresa notificar prestadores de serviço e terceiros para também excluir (§ 1798.105).

**Direito de correção:** solicitar a correção de dados pessoais imprecisos, adicionado pela CPRA (§ 1798.106).

**Direito de opt-out da venda e do compartilhamento:** recusar que a empresa venda ou compartilhe seus dados, exercível a qualquer momento (§ 1798.120).

**Direito de limitar o uso de informações pessoais sensíveis:** restringir o uso das informações pessoais sensíveis ao necessário para fornecer os produtos ou serviços esperados. Adicionado pela CPRA (§ 1798.121).

**Direito de não discriminação:** exercer qualquer direito sem ser discriminado pela empresa (§ 1798.125).

**Direito de ação privada por violações de segurança:** entrar com ação judicial por danos de US$ 100 a US$ 750 por consumidor por incidente. Único entre as leis estaduais americanas (§ 1798.150).

O controlador tem **45 dias** para responder. O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, com notificação dentro do prazo inicial. O atendimento é gratuito. A empresa não precisa atender ao mesmo consumidor mais de **duas vezes em 12 meses** (§ 1798.130(b)).

## Os dois links obrigatórios no site

A CCPA/CPRA exige links específicos nas páginas iniciais do site (§ 1798.135):

**"Do Not Sell or Share My Personal Information":** link claro e conspícuo para página de opt-out da venda e compartilhamento.

**"Limit the Use of My Sensitive Personal Information":** link que permite limitar o uso de informações sensíveis ao necessário para o serviço.

A empresa pode usar um único link combinado para os dois propósitos, desde que permita exercer as duas opções claramente.

Também é possível cumprir honrando o sinal de preferência de opt-out do **Global Privacy Control (GPC)** quando enviado pelo usuário.

## O que é "venda" vs "compartilhamento" na CCPA/CPRA?

Essa distinção criada pela CPRA é fundamental.

**Venda** (§ 1798.140(ad)): transferência de dados por contrapartida monetária **ou outro valor valioso** a terceiros.

**Compartilhamento** (§ 1798.140(ah)): transferência de dados com terceiros para **publicidade comportamental contextual cruzada**, com ou sem contrapartida monetária.

Publicidade comportamental contextual cruzada (§ 1798.140(k)) são anúncios direcionados baseados em dados obtidos das atividades do consumidor em diferentes empresas, sites e aplicações de marcas distintas.

Na prática: passar dados para uma plataforma de anúncios para exibir anúncios personalizados com base no comportamento em outros sites é "compartilhamento" sob a CCPA/CPRA, mesmo sem receber dinheiro diretamente.

## Cookies e a CCPA/CPRA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão diretamente no escopo da CCPA/CPRA.

Antes de disparar qualquer cookie não essencial, o site precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, oferecer opt-out de venda e compartilhamento, bloquear rastreadores não consentidos, e respeitar o GPC.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies configuram venda ou compartilhamento e quais requerem os links de opt-out.

## Proteção para menores de 16 anos

O § 1798.120(c) proíbe a venda ou compartilhamento de dados de consumidores com menos de 16 anos sem autorização afirmativa:

Para consumidores entre 13 e 15 anos: a própria autorização do consumidor.

Para consumidores com menos de 13 anos: autorização do pai, mãe ou responsável legal.

Uma empresa que deliberadamente desconsidera a idade do consumidor é tratada como tendo conhecimento real dela.

## A California Privacy Protection Agency (CPPA)

A CPPA (§ 1798.199.10) é governada por um conselho de cinco membros com mandatos de até oito anos. Ela tem poder para:

Aplicar multas administrativas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores.

Investigar empresas por conta própria ou com base em reclamações.

Conduzir auditorias.

Emitir e revogar regulamentações.

O Attorney General mantém poder para buscar **penalidades civis** de até US$ 2.500 por violação e US$ 7.500 por violação intencional ou envolvendo menores.

Não há prazo garantido de correção antes de ações da CPPA. A agência tem discricionariedade para investigar e agir sem obrigação de conceder prazo prévio.

## O número de telefone gratuito é obrigatório

O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações. Um desses métodos deve ser, no mínimo, um **número de telefone gratuito (0800)**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

## Aviso de privacidade: atualização a cada 12 meses

O § 1798.130(a)(5) exige que a empresa atualize o aviso de privacidade **pelo menos uma vez a cada 12 meses**, incluindo listas das categorias de dados coletados, vendidos, compartilhados e divulgados para fins de negócios nos 12 meses anteriores.

## Como a AdOpt ajuda com a CCPA/CPRA

A AdOpt registra cada consentimento e opt-out, respeita o GPC quando enviado pelo usuário, bloqueia rastreadores antes do aceite, e gera o log auditável que a empresa precisaria apresentar em uma investigação da CPPA ou do Attorney General.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à CCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando CCPA/CPRA com outras leis de privacidade

| Lei | Estado | Threshold | Penalidade | Fiscal | Vigência |
|---|---|---|---|---|---|
| CCPA/CPRA | Califórnia | US$ 25M OU 100K consumidores OU 50% receita | Até US$ 7,5K/violação | CPPA + AG | Jan 2020/Jan 2023 |
| VCDPA | Virgínia | 100K ou 25K + 50% receita | Até US$ 7,5K/violação | AG | Jan 2023 |
| FDBR | Flórida | US$ 1B+ receita global | Até US$ 50K/violação | Dep. Legal Affairs | Jul 2024 |
| NHDPA | New Hampshire | 35K ou 10K + 25% receita | Até US$ 10K/violação | AG | Jan 2025 |
| CPA | Colorado | 100K ou 25K + 50% receita | Até US$ 20K/violação | AG | Jul 2023 |

Para entender como essas [legislações de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) se comparam, nosso guia comparativo aprofunda o tema.

## A CCPA na prática: os três documentos

A adequação à CCPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/california-ccpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/california-ccpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/california-ccpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Califórnia CCPA/CPRA

**1. Qual a diferença entre CCPA e CPRA?**
A CCPA é a lei original de privacidade da Califórnia, em vigor desde 1º de janeiro de 2020. A CPRA (Proposição 24) foi aprovada por referendo em novembro de 2020 e emendou a CCPA com vigência plena a partir de janeiro de 2023. A CPRA não é uma lei separada: ela modificou e expandiu a CCPA. As mudanças mais importantes foram a criação da California Privacy Protection Agency (CPPA), a adição dos direitos de correção e limitação de dados sensíveis, a separação entre "venda" e "compartilhamento", e a expansão da definição de informações pessoais sensíveis.

**2. Quem precisa cumprir a CCPA?**
Empresas com fins lucrativos que fazem negócios na Califórnia e atendem a pelo menos um critério: receita anual superior a US$ 25 milhões; compra, venda ou compartilhamento de dados de 100.000 ou mais consumidores ou domicílios por ano; ou derivação de 50% ou mais da receita da venda ou compartilhamento de dados (§ 1798.140(d)).

**3. Qual a diferença entre "venda" e "compartilhamento" na CCPA/CPRA?**
"Venda" é a transferência de dados por contrapartida monetária ou outro valor valioso a terceiros. "Compartilhamento" é a transferência para publicidade comportamental contextual cruzada, com ou sem contrapartida monetária. A distinção garante que práticas de targeting publicitário também estejam sujeitas ao opt-out, mesmo sem pagamento direto ao site.

**4. O que são os links "Do Not Sell or Share" e "Limit the Use of My Sensitive Personal Information"?**
São links obrigatórios nas páginas iniciais do site (§ 1798.135). O primeiro permite ao consumidor recusar a venda e o compartilhamento. O segundo permite limitar o uso de informações sensíveis. Podem ser dois links separados ou um único combinado que permita exercer as duas opções.

**5. O que é o direito de ação privada na CCPA e por que ele é único?**
O § 1798.150 garante ao consumidor o direito de entrar com ação judicial quando dados não criptografados forem expostos em uma violação de segurança por falha da empresa. O consumidor pode recuperar de US$ 100 a US$ 750 por incidente ou danos reais quando maiores. Esse direito é exclusivo da CCPA entre as leis estaduais americanas de privacidade.

[Quer adequar seu site à CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA e Cookies: Tudo o que você precisa saber

A **California Privacy Rights Act (CPRA)** é uma legislação abrangente de privacidade de dados que amplia as proteções para os residentes da Califórnia. Ela altera a lei anterior, a **CCPA**, introduzindo novas regras para garantir ainda mais transparência e controle para os consumidores.

Sob a **CPRA**, os indivíduos ganharam direitos reforçados sobre seus dados pessoais, incluindo a capacidade de acessar, excluir e corrigir informações mantidas pelas empresas. A lei exige que as empresas obtenham consentimento explícito antes de coletar, compartilhar ou vender dados.

Além disso, a **CPRA** estabelece diretrizes rígidas para o tratamento de **dados sensíveis**, como informações de saúde ou financeiras. Para fiscalizar tudo isso, foi criada a California Privacy Protection Agency (CPPA), tornando esta uma das **[leis de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/ )** mais rigorosas dos EUA.

Para as empresas, a conformidade exige manter a transparência total e responder prontamente às solicitações dos usuários. Por isso, muitas marcas estão recorrendo a soluções como a **[AdOpt](https://goadopt.io/blog/o-que-e-uma-cmp/ )** para garantir que todos os requisitos sejam atendidos.

## Quem precisa cumprir a CPRA?

A CPRA se aplica a empresas que coletam, processam ou compartilham dados de residentes da Califórnia. No entanto, existem critérios específicos para determinar se uma empresa está sob o escopo da lei:

1. **Receita**: Empresas com receita bruta anual de **US$ 25 milhões ou mais**.
2. **Volume de Dados**: Negócios que coletam dados de **100.000 ou mais consumidores** ou dispositivos anualmente.
3. **Publicidade Direcionada**: Se a empresa vende ou compartilha dados para fins de publicidade segmentada.
4. **Dados Sensíveis**: Empresas que lidam com categorias especiais de dados (origem racial, biometria, saúde, etc.) devem seguir regras ainda mais estritas.

Mesmo que sua empresa não atinja esses limites, se você tem presença na Califórnia ou lida com dados sensíveis, a conformidade é essencial. Usar uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/ )** ajuda a simplificar esse processo.

## Diferenças fundamentais entre CCPA e CPRA

Embora ambas protejam os residentes da Califórnia, a CPRA trouxe mudanças significativas que as empresas precisam conhecer:

### 1. Escopo dos Dados
Enquanto a CCPA focava em dados pessoais gerais, a CPRA introduziu a categoria de **dados pessoais sensíveis**. Isso dá ao consumidor muito mais controle sobre como informações delicadas, como dados financeiros e biométricos, são usadas.

### 2. Novos Direitos do Consumidor
A CPRA fortaleceu os direitos existentes, permitindo que os usuários:

- Solicitem a **correção** de dados imprecisos.
- Limitem o uso de suas informações sensíveis.
- Optem por não participar do **compartilhamento** de dados para publicidade (não apenas da venda).

### 3. Fiscalização e Penalidades
A criação da CPPA trouxe um braço executor independente para a lei. Além disso, as penalidades para violações envolvendo dados de menores de 16 anos tornaram-se muito mais severas.

Para garantir que sua empresa não se perca nessas mudanças, entender a diferença entre **[cookies e local storage](https://goadopt.io/blog/diferenca-cookies-local-storage-session-storage/ )** é um bom ponto de partida técnico.

## Direitos do Consumidor sob a CPRA

A CPRA empodera o cidadão com diversos direitos fundamentais:

- **Direito de Acesso**: Saber exatamente o que a empresa coletou e para quê.
- **Direito de Exclusão**: Solicitar que seus dados sejam apagados (o "direito ao esquecimento").
- **Direito de Correção**: Corrigir informações que estejam erradas ou desatualizadas.
- **Direito de Opt-Out**: Impedir a venda ou o compartilhamento de dados para marketing.
- **Direito de Portabilidade**: Receber seus dados em um formato estruturado para levar para outro serviço.

Respeitar esses direitos é a base para construir uma relação de confiança. Uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/ )** eficiente automatiza o recebimento dessas solicitações, garantindo que nada passe batido.

## A CPRA exige consentimento para Cookies?

Sim! A CPRA exige transparência total sobre o uso de rastreadores. Se um cookie coleta informações como endereço IP ou histórico de navegação para fins de publicidade ou perfil, o consentimento é necessário.

As empresas devem usar um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )** claro, que informe as finalidades da coleta e ofereça opções granulares de escolha. O usuário deve poder gerenciar ou retirar seu consentimento a qualquer momento de forma simples.

## O papel do Encarregado de Dados (DPO)

Ter um **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/ )** é uma das melhores práticas para garantir a conformidade contínua. Esse profissional atua como a ponte entre a empresa, os usuários e as autoridades reguladoras.

O DPO ajuda a implementar o conceito de **Privacy by Design**, garantindo que a privacidade seja considerada desde o início de qualquer projeto ou produto. Para apoiar esse trabalho, o uso de ferramentas de **[categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/ )** é indispensável.

## Como escrever uma Política de Privacidade ideal?

Sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/ )** deve ser clara, sem "juridiquês" e fácil de entender. Ela precisa detalhar:

- Quais dados são coletados.
- Para quais finalidades.
- Com quem são compartilhados.
- Como o usuário pode exercer seus direitos.
- Por quanto tempo os dados são retidos.

Manter esse documento atualizado é um requisito legal e uma prova de respeito ao seu cliente. Se você usa o WordPress, existem **[plugins](https://goadopt.io/blog/plugin-cookies-wordpress/ )** que facilitam a integração do seu aviso de privacidade.

## Simplifique sua jornada com a AdOpt

Adequar-se à CPRA não precisa ser um pesadelo burocrático. A AdOpt oferece uma solução completa para gerenciar consentimentos, cookies e direitos dos usuários de forma automatizada e elegante.

**[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria )** e veja como podemos ajudar sua empresa a estar em conformidade com as leis de privacidade mais exigentes do mundo.

## A CPRA na prática: os três documentos

A adequação à CPRA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/california-cpra-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/california-cpra-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/california-cpra-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.


CPRA California e Cookies: Tudo o que você precisa saber

Florida FDBR e Cookies: Tudo o que você precisa saber

Iowa tem o prazo de resposta a solicitações de consumidores mais longo de todas as leis estaduais americanas de privacidade.

A Iowa Consumer Data Protection Act (ICDPA), Iowa Code § 715D, entrou em vigor em **1º de janeiro de 2025**. Foi sancionada pela governadora Kim Reynolds em março de 2023, dando às empresas quase dois anos para se adequar.

O diferencial que mais chama atenção: **90 dias** para responder a uma solicitação de consumidor, com possibilidade de extensão por mais 45. E o cure period de **90 dias** garantido antes de qualquer ação do Attorney General, o mais longo entre as leis estaduais vigentes.

## O que é a ICDPA?

A ICDPA é a lei estadual de proteção de dados pessoais do Iowa. Ela garante direitos aos residentes do estado e cria obrigações para as empresas que processam seus dados.

A lei segue o modelo de outras leis estaduais americanas, com estrutura próxima à VCDPA da Virgínia e à UCPA do Utah. Mas tem prazos consideravelmente mais longos para empresas responderem.

A fiscalização é responsabilidade exclusiva do **Attorney General do Iowa**. Não há direito de ação privada (§ 715D.8(4)).

## Quando a ICDPA entrou em vigor?

Em **1º de janeiro de 2025**.

A lei foi sancionada em março de 2023, com quase dois anos de prazo para as empresas se adequarem.

## Quem precisa cumprir a ICDPA?

Conforme Iowa Code § 715D.2(1), a lei se aplica a pessoas que conduzem negócios no Iowa ou produzem produtos ou serviços direcionados a consumidores residentes do estado e que, durante um ano civil:

Controlam ou processam dados pessoais de pelo menos **100.000 consumidores**; ou

Controlam ou processam dados pessoais de pelo menos **25.000 consumidores** e derivam mais de **50% da receita bruta** da venda de dados pessoais.

**Diferença importante em relação à UCPA do Utah:** a ICDPA não exige receita mínima de US$ 25 milhões como critério adicional. Se a empresa controla ou processa dados de 100.000 consumidores do Iowa, está no escopo, independentemente do faturamento. Isso pode trazer empresas menores para o escopo da ICDPA que estariam fora do escopo da UCPA.

Entender a distinção entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é fundamental para definir as responsabilidades de cada parte.

### Isenções da ICDPA

Conforme § 715D.2(2) e (3), estão isentos:

O estado do Iowa e suas subdivisões políticas.

Instituições financeiras, afiliadas, e dados sujeitos ao Gramm-Leach-Bliley Act.

Entidades sujeitas e em conformidade com a HIPAA.

Organizações sem fins lucrativos.

Instituições de ensino superior.

Informações de saúde protegidas pela HIPAA e registros de saúde.

Dados de pesquisa clínica regulada.

Dados de crédito regulados pelo Fair Credit Reporting Act.

Dados regulados pelo Driver's Privacy Protection Act.

Dados regulados pelo FERPA.

Dados regulados pelo Farm Credit Act.

Dados de funcionários, candidatos a emprego e agentes em contexto de emprego.

Dados processados em conformidade com a COPPA.

## O que é dado pessoal sob a ICDPA?

Conforme § 715D.1(18), dado pessoal é qualquer informação vinculada ou razoavelmente vinculável a uma pessoa natural identificada ou identificável.

Não são dados pessoais: dados desidentificados, dados agregados, e informações publicamente disponíveis.

## O que são dados sensíveis na ICDPA?

Conforme § 715D.1(26), dados sensíveis incluem:

Origem racial ou étnica, crenças religiosas, diagnóstico de saúde mental ou física, orientação sexual, ou cidadania ou status de imigração (exceto quando usados para evitar discriminação com base em classe protegida).

Dados genéticos ou biométricos processados para identificação única de pessoa natural.

Dados pessoais coletados de crianças conhecidas (menores de 13 anos).

Dados de geolocalização precisa.

**Modelo de dados sensíveis:** tal qual a UCPA, a ICDPA usa o modelo de **opt-out** para dados sensíveis. O controlador não pode processar dados sensíveis sem antes apresentar aviso claro e oferecer oportunidade de opt-out (§ 715D.4(2)). Não é necessário consentimento prévio.

## O que são dados de geolocalização precisa?

Conforme § 715D.1(19), geolocalização precisa são informações derivadas de tecnologia, incluindo coordenadas GPS, que identificam a localização específica de uma pessoa natural com precisão dentro de um raio de **1.750 pés**.

## Quais são os direitos dos consumidores sob a ICDPA?

Conforme § 715D.3(1), os residentes do Iowa têm quatro direitos:

**Confirmação e acesso:** confirmar se o controlador processa dados pessoais e acessar esses dados (§ 715D.3(1)(a)).

**Exclusão:** solicitar a exclusão dos dados pessoais que o consumidor forneceu ao controlador (§ 715D.3(1)(b)). Assim como na UCPA, o escopo é limitado a dados fornecidos pelo consumidor.

**Portabilidade:** obter cópia dos dados em formato portátil e utilizável, quando tecnicamente praticável, para transmissão a outro controlador sem obstáculos (§ 715D.3(1)(c)).

**Opt-out da venda:** recusar a venda de dados pessoais (§ 715D.3(1)(d)).

**Diferença em relação à UCPA:** a ICDPA lista apenas o opt-out de venda como direito formal em § 715D.3(1)(d), não o opt-out de publicidade direcionada. No entanto, a Seção § 715D.4(6) exige que, se o controlador vende dados ou realiza publicidade direcionada, informe o consumidor e descreva como exercer o opt-out de ambas as atividades. Isso significa que o opt-out de publicidade direcionada precisa existir na prática, mesmo que não seja listado como direito formal.

### O que a ICDPA não tem

Sem direito de correção de dados imprecisos (igual à UCPA).

Sem opt-out de perfilamento (igual à UCPA).

Sem processo de apelação formal estruturado (tem, mas com 60 dias).

## Prazos de resposta às solicitações: os mais longos de todas as leis estaduais

Este é o diferencial mais marcante da ICDPA. Conforme § 715D.3(2)(a):

**90 dias** para responder a partir do recebimento da solicitação.

Extensão de **+45 dias** quando razoavelmente necessário por complexidade ou volume, com notificação dentro do prazo inicial.

Comparativo de prazos:

| Lei | Prazo base | Extensão |
|---|---|---|
| ICDPA (Iowa) | 90 dias | +45 dias |
| VCDPA (Virgínia) | 45 dias | +45 dias |
| UCPA (Utah) | 45 dias | +45 dias |
| OCPA (Oregon) | 45 dias | +45 dias |
| CTDPA (Connecticut) | 45 dias | +45 dias |

**Gratuidade:** até **2 vezes por ano** por consumidor (§ 715D.3(2)(c)). A partir da terceira solicitação no mesmo período de 12 meses, o controlador pode cobrar taxa razoável ou recusar, se a solicitação for manifestamente infundada, excessiva, repetitiva, tecnicamente inviável, ou se o objetivo principal não for exercer um direito.

## Direito de apelação: 60 dias

Conforme § 715D.3(3), o controlador precisa estabelecer um processo de apelação. O processo precisa ser conspicuamente disponível e similar ao método de submissão original. Dentro de **60 dias** do recebimento da apelação, o controlador deve informar o consumidor por escrito de qualquer ação tomada ou não tomada, com explicação dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online para contatar o Attorney General e registrar reclamação.

## Obrigações do controlador sob a ICDPA

Conforme § 715D.4, o controlador precisa:

Adotar e implementar práticas razoáveis de segurança administrativa, técnica e física, proporcionais ao volume e natureza dos dados.

Não processar dados sensíveis sem apresentar aviso claro e oferecer opt-out antes.

Não discriminar consumidores que exercem seus direitos.

Fornecer aviso de privacidade razoavelmente acessível, claro e significativo com os cinco elementos exigidos.

Divulgar de forma clara e conspícua se vende dados ou realiza publicidade direcionada, com método de opt-out para cada atividade.

Estabelecer meios seguros e confiáveis para submissão de solicitações de direitos, descritos no aviso de privacidade.

Não exigir que o consumidor crie nova conta para exercer direitos.

## Cookies e a ICDPA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão no escopo da ICDPA.

O site precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, oferecer opt-out de venda de dados e de publicidade direcionada, e descrever no aviso de privacidade como os consumidores podem exercer seus direitos.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies configuram publicidade direcionada ou venda de dados.

A ICDPA define publicidade direcionada em § 715D.1(28) como anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados. Anúncios baseados em atividades dentro do próprio site ou sites afiliados não se enquadram.

A ICDPA usa "venda" como contraprestação monetária (§ 715D.1(25)), sem incluir o conceito de "compartilhamento" para publicidade comportamental sem pagamento, como a CPRA faz.

## Fiscalização e penalidades

Conforme § 715D.8, o Attorney General do Iowa tem autoridade exclusiva de enforcement.

**Cure period: 90 dias garantidos.** Antes de iniciar qualquer ação, o AG deve notificar o controlador por escrito identificando as violações e concedendo **90 dias para correção** (§ 715D.8(2)). Esse é o cure period mais longo de todas as leis estaduais americanas.

Se o controlador corrigir a violação dentro dos 90 dias e fornecer declaração escrita expressa de que as violações foram sanadas e não se repetirão, nenhuma ação é iniciada.

Se a violação continuar ou o controlador descumprir a declaração fornecida, o AG pode iniciar ação e buscar:

Injunção para cessar as violações.

Penalidades civis de até **US$ 7.500 por violação** (§ 715D.8(3)).

## Como a AdOpt ajuda com a ICDPA

A AdOpt registra cada consentimento e opt-out, bloqueia rastreadores antes do aceite, e gera o log auditável que você precisaria apresentar em uma investigação do Attorney General.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados necessário para o aviso de privacidade. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à ICDPA do Iowa? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando ICDPA com outras leis de privacidade

| Lei | Estado | Threshold | Prazo Resposta | Apelação | Cure Period | Gratuidade |
|---|---|---|---|---|---|---|
| ICDPA | Iowa | 100K ou 25K + 50% | 90 dias | 60 dias | 90 dias | 2x/ano |
| UCPA | Utah | US$ 25M + 100K ou 25K + 50% | 45 dias | Não estruturada | 30 dias | 1x/ano |
| VCDPA | Virgínia | 100K ou 25K + 50% | 45 dias | 60 dias | 30 dias | 2x/ano |
| OCPA | Oregon | 100K ou 25K + 25% | 45 dias | 45 dias | Eliminado | 1x/ano |
| CTDPA | Connecticut | 100K ou 25K + 25% | 45 dias | 60 dias | Discricionário | 1x/ano |

## A ICDPA na prática: os três documentos

A adequação à ICDPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/iowa-icdpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/iowa-icdpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/iowa-icdpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Iowa ICDPA

**1. O que é a ICDPA e qual é o seu principal diferencial?**
A Iowa Consumer Data Protection Act (Iowa Code § 715D) é a lei estadual de proteção de dados pessoais do Iowa. Entrou em vigor em 1º de janeiro de 2025. Seu principal diferencial é o prazo de resposta a solicitações de consumidores: 90 dias, com possibilidade de extensão por mais 45. É o prazo mais longo de todas as leis estaduais americanas vigentes, comparado com 45 dias nas leis da Virgínia, Oregon, Utah, Connecticut e demais estados. O cure period de 90 dias garantido antes de qualquer ação do AG também é o mais longo entre as leis estaduais.

**2. Por que a ICDPA tem prazo de 90 dias em vez de 45 como as outras leis?**
A ICDPA foi projetada com prazos mais amplos para reduzir a carga operacional sobre as empresas. O § 715D.3(2)(a) estabelece explicitamente o prazo de 90 dias, que é o dobro do padrão de 45 dias adotado pela maioria das leis estaduais americanas. Isso significa que, na prática, as empresas têm mais tempo para organizar seus processos de DSAR, autenticar solicitações e preparar respostas. Mas o prazo mais longo para as empresas responderem também significa que os consumidores esperam mais para receber uma resposta.

**3. O que diferencia o threshold da ICDPA do da UCPA do Utah?**
A UCPA exige que a empresa satisfaça tanto o requisito de receita de US$ 25 milhões quanto um dos thresholds de volume de dados (operador duplo). A ICDPA não tem esse requisito de receita mínima. Se a empresa controla ou processa dados de 100.000 consumidores do Iowa, está no escopo, independentemente do faturamento. Isso pode trazer empresas menores para o escopo da ICDPA que estariam fora do escopo da UCPA. O threshold de 25.000 consumidores + 50% de receita da venda de dados é idêntico nas duas leis.

**4. A ICDPA tem opt-out de publicidade direcionada como direito formal?**
A ICDPA lista o opt-out de venda de dados como direito formal em § 715D.3(1)(d), mas não lista o opt-out de publicidade direcionada como direito formal da mesma forma. No entanto, a Seção § 715D.4(6) exige que, se o controlador realiza publicidade direcionada, informe o consumidor e descreva o método de opt-out. Na prática, o controlador precisa oferecer opt-out de publicidade direcionada no aviso de privacidade, mesmo que seja uma obrigação de divulgação e não um direito listado formalmente.

**5. Qual é a penalidade por descumprimento da ICDPA?**
O Attorney General pode buscar injunção e penalidades civis de até US$ 7.500 por violação (§ 715D.8(3)). Antes de iniciar qualquer ação, o AG é obrigado a notificar o controlador e conceder 90 dias para correção. Esse período de 90 dias é garantido pela lei e é o mais longo entre as leis estaduais americanas. Se o controlador corrigir e fornecer declaração escrita, nenhuma ação é iniciada. Não há direito de ação privada para consumidores (§ 715D.8(4)).

[Quer adequar seu site à ICDPA do Iowa? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


Iowa ICDPA e Cookies: Tudo o que você precisa saber

Ecommerce no Brasil: Guia para se adequar e vender mais

Valquiria Rumor

## A Plataforma de Gestão de Consentimentos (CMP)
A escolha de uma **Plataforma de Gestão de Consentimentos (CMP)** é essencial para garantir que seu site esteja em conformidade com a LGPD, quando você opta por usar uma solução como a [AdOpt CMP](https://goadopt.io/), está investindo em uma ferramenta que garante a **transparência e a segurança** no tratamento de dados dos usuários.

Para auxiliar você nessa escolha, é **importante** considerar alguns fatores.

## Como escolher uma CMP (Plataforma de Gestão de Consentimentos)?
Ao escolher uma CMP, busque uma que ofereça recursos robustos e que se adeque às necessidades do seu site, um bom ponto de partida é verificar se a plataforma fornece um **[GUIA ORIENTATIVO](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)** que explique claramente como funciona a gestão de consentimentos.

Além disso, a CMP deve facilitar a implementação de políticas de privacidade e o **[notificacão usuários termos de uso](https://goadopt.io/blog/notificacao-usuarios-termos-de-uso)**, garantindo que os usuários saibam exatamente o que estão aceitando.
Busque uma CMP que traga informações ricas.

Uma boa CMP deve oferecer dados detalhados sobre o consentimento dos usuários. Isso inclui relatórios que permitem **entender melhor** como os visitantes interagem com seu aviso de cookies.

Ao usar a [AdOpt CMP] (https://goadopt.io/), você terá acesso a análises que ajudam a otimizar a experiência do usuário e a **adequação às [bases legais LGPD](https://goadopt.io/blog/bases-legais-da-lgpd)**.

### **Dê preferência à CMP que permita personalização dos consentimentos um a um**.

A personalização dos consentimentos é vital, você deve ter a liberdade de ajustar as **preferências de cookies** de cada visitante, permitindo que eles aceitem ou rejeitem categorias específicas, isso não só melhora a **experiência do usuário**, mas também garante o que chamamos de "consentimento de verdade", com a [AdOpt CMP](https://goadopt.io/), você pode implementar essa granularidade facilmente.

## Pense além do seu país.
Se o seu site atende a um público internacional, é **fundamental** considerar a conformidade com legislações de privacidade em diferentes países, como a [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) na Europa, escolher uma CMP com experiência internacional, como a [AdOpt](https://goadopt.io/), garante que você esteja protegido em diversas jurisdições.

## Saiba qual é o tipo de segurança que a plataforma concede aos dados.
A **segurança dos dados** é um aspecto que não pode ser negligenciado. Certifique-se de que a CMP utiliza tecnologias de [registro e armazenamento criptografado dos seus consentimentos](https://goadopt.io/) para proteger as informações dos usuários de forma eficaz. Isso não apenas ajuda na **conformidade com a LGPD**, mas também constrói a confiança dos usuários em seu site.

## Qual é, então, a melhor plataforma de CMP?
A melhor plataforma de CMP é aquela que combina todas essas características: **personalização, segurança, compliance e usabilidade, a [AdOpt](https://goadopt.io/)** se destaca nesse aspecto, oferecendo uma interface intuitiva e suporte 24/7 para garantir que você esteja **sempre** em conformidade.

## Adequando mais de 40.000 sites pelo mundo
A [AdOpt](https://goadopt.io/) já ajudou mais de **40.000 sites em todo o mundo** a se adequarem às legislações de privacidade, garantindo que cada um deles tenha um aviso de cookies eficiente e elegante, ao optar pela AdOpt, você se junta a uma comunidade que valoriza a transparência e o respeito à privacidade do usuário. Esse alcance ganhou outra escala quando a [AdOpt passou a integrar o grupo Axeptio](https://goadopt.io/blog/axeptio-adopt-brazil/).

## Você não está sozinho na adequação à LGPD
Muitos empresários e gestores de sites podem sentir-se sobrecarregados com a adequação à LGPD, porém, é essencial entender que **você não está sozinho** nessa jornada, a [AdOpt CMP](https://goadopt.io/) está aqui para ajudar, oferecendo suporte contínuo e soluções práticas para tornar a conformidade uma parte natural da operação do seu site.

## Trabalhamos 24/7 pela sua adequação
Na [AdOpt](https://goadopt.io/), temos um **compromisso** com nossos clientes: suporte 24/7, isso significa que, a qualquer momento, você pode contar com nossa equipe para resolver dúvidas ou problemas relacionados à **gestão de consentimentos**, esse nível de suporte é fundamental para que você possa focar no que realmente importa: seu negócio.

## Reconhecida no [G2](https://www.g2.com/products/adopt-adopt/reviews) pela facilidade de uso
Reconhecida como uma das plataformas mais fáceis de usar no G2, a [AdOpt](https://goadopt.io/) se destaca pela sua interface **intuitiva e funcionalidades práticas**, com ela, você pode configurar seu aviso de cookies rapidamente e sem complicações, permitindo que seus usuários tenham uma experiência agradável e transparente.

[Instale agora](https://goadopt.io/) e veja como é fácil garantir a conformidade do seu site com a LGPD.
Tecnologia de ponta trabalhando 24/7 pela melhor comunicação.

A tecnologia por trás da [AdOpt](https://goadopt.io/) é de ponta, garantindo que sua comunicação com os usuários seja sempre **clara e eficiente**, com um sistema que permite o [funcionamento aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies) e o armazenamento seguro de dados, você pode ter a certeza de que está fazendo o melhor para seus visitantes.

## Registro e armazenamento criptografado dos seus consentimentos.
Além de garantir a transparência sobre o uso de cookies, a [AdOpt](https://goadopt.io/) utiliza **registros criptografados**, assegurando que os consentimentos dos usuários sejam armazenados de forma segura e acessível, isso não só é uma exigência da LGPD, mas também uma **prática recomendada** para qualquer site que preze pela segurança dos dados dos seus usuários.

## Aviso multilegislações e idiomas
A AdOpt oferece uma solução robusta que se adapta a diversas legislações, permitindo que os usuários configurem seu aviso de cookies de maneira a atender às exigências locais, um exemplo disso é a integração com o **Google Tag Manager (GTM) e o Google Consent Mode**, que facilitam a implementação do aviso de cookies sem complicações.

Isso garante que o site esteja em conformidade com as diretrizes da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) no Brasil e com a GDPR na Europa.

Além disso, a AdOpt CMP é compatível com o **TCF (Transparency & Consent Framework)**, que padroniza como as empresas devem gerenciar o consentimento dos usuários, este framework é essencial para garantir que os dados sejam tratados de forma transparente e em conformidade com as legislações vigentes, adicionalmente, a implementação do **GPC (Global Privacy Control)** e **GPP (Global Privacy Platform)** permite que os usuários tenham controle total sobre suas preferências de privacidade, tornando a experiência ainda mais segura e ajustada às suas necessidades.

Para aqueles que utilizam plataformas populares como Tray e WordPress, a AdOpt oferece plugins que **simplificam** a integração, com apenas alguns cliques, você pode configurar um aviso de cookies que atende às exigências legais de privacidade, e mais, a utilização de callbacks, **webhooks e APIs** proporciona um nível adicional de personalização e automação, permitindo que você gerencie consentimentos de forma eficaz.

Aviso de Cookies seguro e intuitivo
Personalizar o estilo do seu aviso de cookies é uma das **vantagens** que a AdOpt oferece, com uma interface fácil de usar, você pode criar um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** que não apenas cumpre as exigências legais, mas também se alinha à identidade visual do seu site, isso garante que o aviso não seja um obstáculo, mas uma parte integrante da experiência do usuário.

Identificar as tags do seu site é **fundamental para um gerenciamento** eficaz dos consentimentos, a AdOpt facilita esse processo com ferramentas que permitem escanear e categorizar as tags de forma rápida, isso garante que você esteja sempre em conformidade com as **[boas práticas na categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)**, evitando surpresas desagradáveis.

### **Gerenciar indicadores e métricas é outra característica essencial da AdOpt CMP**.

Com **relatórios detalhados**, você pode acompanhar o desempenho do seu aviso de cookies e entender como os usuários estão interagindo com ele, isso permite que você faça ajustes e melhore continuamente a experiência do usuário.

Por fim, criar um aviso de cookies em **7 passos** é uma tarefa simples com a AdOpt, desde a personalização do design até a configuração das preferências de consentimento, cada etapa é intuitiva e **orientada** para que você possa implementar um aviso eficaz e em conformidade com a legislação, para saber mais sobre como implementar essa solução, consulte nosso **[guia orientativo](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)**.

Por que escolher AdOpt?
Ao optar pela AdOpt, você **garante** um aviso de cookies elegante, seguro e rápido, que respeita a privacidade do usuário e a legislação vigente, com suporte **24/7** e uma interface amigável, você pode personalizar seu aviso de cookies de acordo com as necessidades do seu negócio e de seus usuários.

Pronto para começar? **[Instale agora](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo)** e veja a diferença.

FAQ — Perguntas Frequentes
## 1) O que exatamente é uma CMP e por que eu preciso disso?
É a camada que informa, coleta e registra o consentimento do visitante antes que tags e cookies (não necessários) disparem, além de atender à LGPD, uma CMP bem implementada melhora a experiência, avisos claros, escolha fácil, sem “parede da privacidade”.
### A AdOpt segue as exigências legais de primeiro e segundo nível (aceitar/rejeitar, categorias, granularidade).
## 2) A AdOpt atende só LGPD?
Não. A plataforma é multi-idiomas e multi-legislações (ex.: GDPR/Europa, CCPA/Califórnia, entre outras).
## 3) A AdOpt é validada pelo Google e compatível com TCF?
Sim. A AdOpt tornou-se CMP validada pelo [Google CMP Partner](https://cmppartnerprogram.withgoogle.com/) e TCF 2.2.
## 4) Ela integra com Google Consent Mode?
Sim. Há [guias oficializados](https://goadopt.io/blog/guia-google-consent-mode-basico-avancado/) e integração para enviar os consentimentos ao Google (GA4/Ads), garantindo resposta dos serviços de acordo com a escolha do usuário, disponível em todos os planos.
### 5) Como os consentimentos ficam protegidos?
Todos os consentimentos são registrados em banco criptografado, com infraestrutura replicada.
### 6) Dá para personalizar o banner ao visual do meu site?
Sim: cores, posição, formatos e até a imagem do controlador, o objetivo é um aviso elegante e coerente com a sua marca.
### 7) O usuário consegue escolher por categoria/finalidade?
Sim. A AdOpt escaneia e classifica seus scripts, e o segundo nível do banner permite granularidade por categoria/finalidade (consentimento de verdade).
### 8) E quanto ao LocalStorage (não é cookie, né)?
 A AdOpt identifica e descreve também o LocalStorage, aumentando a transparência no dashboard e no aviso.
### 9) A plataforma bloqueia tags até o usuário consentir?
Sim. O bloqueio de terceiros impede o disparo de cookies antes do consentimento, [inclusive com tutorial](https://www.youtube.com/watch?v=lTuAkEwBvhU&t=6s) para GTM (bloqueio automático).
### 10) Existe Portal do Titular (opt-out, solicitações de direitos)?
Sim. Fornecemos a página para requisições; as demandas chegam com segurança ao e-mail do DPO/encarregado de dados.
### 11) Quais relatórios e métricas vou ter?
Relatórios de consentimentos (opt-ins/opt-outs, aceitações por tag/categoria).
### 12) Posso operar múltiplos sites e equipes?
Sim. Gerencie várias organizações, permissões por usuário e tenha auditoria do que é feito na plataforma.
### 13) Existem boas práticas de UX (ex.: “rejeitar” visível)?
Sim, inclusive com opção de botões “Aceitar” e “Rejeitar” com a mesma ênfase/cor, seguindo o princípio de escolha clara.
### 14) O scanner encontra cookies em áreas logadas?
Sim, com o “escâner autenticado” para mapear páginas que pedem login.
### 15) Qual o nível de suporte?
Suporte humano, em português, por chat/ticket, além de playlist de tutoriais.
### 16) A AdOpt é reconhecida pelo mercado (G2)?
Sim, destaque nas avaliações do G2 pela facilidade e performance percebida.
### 17) Qual o impacto em escala?
Mais de 40.000 empresas já estão seguras com a AdOpt, maturidade de produto e operação global. Em escala de mídia, o [case do Grupo NZN](https://goadopt.io/blog/adopt-nzn-case/) mostra milhões de consentimentos coletados por mês nos portais do grupo.
### 18) Há plano gratuito para começar?
Sim. Entregamos adequação desde o plano grátis e evolui conforme a sua necessidade.
### 19) Como fica a renovação de consentimento/validade?
Você pode ajustar a validade do cookie da AdOpt (ex.: forçar novo consentimento após X dias) útil para novas tags e mudanças frequentes.
### 20) Consigo versionar Política de Privacidade/Termos e auditar mudanças?
Sim. Há controle de versão e seção de Auditoria.

## Mais que um CMP: Um Parceiro de Confiança
A escolha de uma Plataforma de Gestão de Consentimentos vai além de apenas exibir um banner de cookies. Trata-se de construir uma relação de transparência com seus usuários e garantir a tranquilidade jurídica para o seu negócio.
A AdOpt foi desenhada para cuidar de toda a complexidade técnica e legal, permitindo que você foque no que realmente importa: crescer.

Com a confiança de milhares de empresas, validação oficial do Google e o reconhecimento do G2 pela nossa facilidade de uso, sua jornada para a conformidade total está a apenas um clique de distância.

Comece gratuitamente e junte-se aos mais de 40.000 sites que já estão em conformidade.

**[Experimente a AdOpt agora](https://meetings.hubspot.com/murilo-andrade/adopt-meeting1-murilo)**



AdOpt CMP: Consent Management Platform

Monetizar com o Google AdSense exige mais do que apenas gerar tráfego nas suas campanhas de **[marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)**.

Afinal, se não fossem os **criadores de conteúdo**, não teríamos internet, no entanto, o processo não se resume a apenas colar um código e esperar o dinheiro cair.

Para que essa engrenagem rode, ocorre o tratamento de dados pessoais. O Google utiliza tecnologias como **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** de terceiros para coletar informações e mostrar anúncios personalizados. No Brasil e na Europa, essa operação deve obedecer rigorosamente à **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)** e à **GDPR**.

Monetização sem **estrutura de privacidade** é um risco triplo: jurídico, contratual e reputacional. O Google suspende permanentemente contas que violam as suas políticas, e **[ignorar a LGPD](https://goadopt.io/blog/ignorar-a-lgpd/)** pode gerar **[multas](https://goadopt.io/blog/multas-na-lgpd/)** severas.

A pergunta não é se você **pode** usar o AdSense, a pergunta é: **você está jogando dentro das regras e garantindo noites de sono tranquilas com a sua operação?**

---

## 1. A Responsabilidade é Sua (O Google Exige Isso)

Ao usar o AdSense, você aceita as *Políticas para Editores do Google*. Elas são claras: você é obrigado a ter uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** transparente que divulgue que terceiros podem inserir e ler cookies no navegador dos seus utilizadores.

Perante a lei, ao decidir monetizar o seu site, você assume o papel de **[controlador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)** desses dados. Não adianta terceirizar a culpa ou simplesmente copiar **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)** genéricos da internet. A adequação não é só coisa de advogado, é a base da sua monetização.

---

## 2. O Que Você Não Pode Fazer (Linhas Vermelhas)

Tanto o Google quanto às **[bases legais da LGPD](https://goadopt.io/blog/bases-legais-da-lgpd/)** traçam limites claros. Para manter a sua conta ativa e rodando sem sustos, evite falhas nos seus **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)**:

- **Violar a Privacidade:** Rastrear utilizadores sem **[consentimento](https://goadopt.io/blog/consentimento-site-lgpd/)** explícito.
- **Conteúdo Proibido:** Tentar monetizar páginas com discurso de ódio, pirataria ou conteúdo sexualmente explícito.
- **Gerar Cliques Artificiais:** Clicar nos próprios anúncios ou usar robôs para inflar impressões. Tentar **[apagar cookies](https://goadopt.io/blog/apagar-cookies-cache-navegador)** repetidamente para simular novas visitas resulta em banimento imediato.

---

## 3. O "Banner de Cookies" que Funciona de Verdade

Para estar seguro, o seu site precisa de gestão técnica real, aplicando o conceito de **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**. Ter apenas uma **[política de privacidade ideal](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)** escondida numa página não serve de nada. E não é porque é lei que tem de ser feio, quadrado ou formal.

Para compreender o verdadeiro **[significado da LGPD](https://goadopt.io/blog/significado-da-lgpd/)**, o seu **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** precisa garantir:

1. **Bloqueio Prévio (Zero Cookies):** Os scripts do AdSense não devem carregar antes do clique de aceite.
2. **Escolha Real:** O utilizador não deve ser forçado. Ele precisa de ter a opção de aceitar ou rejeitar de forma clara num **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** funcional.
3. **Design Equilibrado:** Tentar enganar o utilizador disfarçando o botão de rejeitar é infração grave.

---

## 4. Google Consent Mode v2: A Peça Chave

Muitos *publishers* temem perder receita ao pedir consentimento. É aqui que entra o **Google Consent Mode v2**.

Esta ferramenta ajusta o comportamento das tags consoante a escolha do utilizador. Se o visitante recusa os cookies, o Google utiliza modelagem de dados para recuperar métricas de forma anónima, sem violar a lei.

Para que isto funcione, o seu **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** precisa garantir que a **[categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/)** do site está perfeitamente alinhada com o seu **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)**.

---

## 5. Cenários Específicos: Arbitragem e Agências

Diferentes modelos de negócio exigem cuidados específicos com o AdSense:

### Para Arbitragem de Mídia (Compra de Tráfego)
Se você compra tráfego barato para monetizar com AdSense, o cuidado é dobrar! O Google monitoriza ferozmente a qualidade desse tráfego. Sem um banner de consentimento válido, o tráfego pode ser classificado como "inválido", levando à retenção do seu pagamento.

### Para Agências
Se você é uma **[agência de marketing](https://goadopt.io/blog/lgpd-oportunidade-agencia-marketing-digital/)** e gere contas AdSense para terceiros, garantir a conformidade dos sites dos seus clientes é uma responsabilidade sua. Um site bloqueado por falta de adequação mancha a reputação da agência.

---

## 6. Por que usar uma CMP Certificada?

O Google exige que *publishers* que operam em zonas reguladas utilizem uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/)** certificada. Seguindo qualquer **[guia orientativo](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)** atual, esta é a única forma de operar com segurança.

Uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)** certificada garante:

- Integração nativa com o **Google Consent Mode v2**;
- Bloqueio automático de scripts antes do consentimento;
- Registo legal válido de quem aceitou os termos.

Nós ensinamos a adequar a sua empresa de verdade, não a dar um "jeitinho". Ferramentas gratuitas que não bloqueiam scripts colocam a sua conta em risco de "Ad Serving Limited" (limitação de anúncios).

---

## FAQ: Respostas Rápidas

**1. Preciso de consentimento para usar o AdSense no Brasil?**
**Sim.** A LGPD exige base legal. Como o AdSense usa rastreamento via cookies de terceiros, o consentimento prévio é a via exigida pela lei e pelo Google.
<br>

**2. O banner pode liberar os anúncios automaticamente se o utilizador rolar a página?**
**Depende.** Em caso de personalização do banner e retargeting, SIM. Logo, o consentimento deve ser uma ação afirmativa e prévia. Liberar scripts antes do "Aceitar" viola frontalmente as regras.

Contudo, se você conseguir amarrar tudo muito bem em sua política de privacidade e no setup do ADSense - que os anúncios veiculados ANTES do aceite não tenham absolutamente NENHUMA segmentação, ou como o mercado chama: "Anúncios de mar aberto", aqui temos uma boa oportunidade para não prejudicar o Publisher atraíndo risco para a sua operação.

Pois, tais anúncios poderiam se embasar na Base Legal do Legítimo interesse e não no consentimento.

O mesmo poderia acontecer em áreas logadas aonde teríamos a base legal da "execução de contratos" (termos de uso) permitindo que a publicidade seja personalizada e veiculada livremente neste ambiente, desde que muito bem amarrada em suas políticas e termos.
<br>

**3. Posso clicar nos meus próprios anúncios do AdSense?**
**Não.** O sistema do Google é implacável com fraudes. Clicar nos próprios anúncios gera suspensão permanente por tráfego inválido.
<br>

**4. A falta de consentimento gera bloqueio da conta?**
**Sim.** O Google pode limitar a exibição de anúncios em sites que não apresentam mecanismos de transparência adequados ou suspender a monetização.
<br>

---

## Transforme Consentimento em Estratégia

Se você usa dados para monetizar, precisa de governança. O consentimento válido não é apenas uma trava burocrática; é o selo de qualidade que garante que o seu inventário de anúncios seja seguro e "premium". O consentimento não é a solução para tudo, mas é um excelente começo.

A AdOpt é uma CMP certificada que ajuda a alinhar monetização, conformidade legal e performance. Você foca em crescer o seu negócio, nós cuidamos dos cookies.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**



Política AdSense: Guia Completo de Conformidade para Editores em 2026

Em um cenário digital cada vez mais interconectado, a proteção de dados pessoais tornou-se um pilar fundamental para a confiança entre empresas e consumidores. Nos Estados Unidos, a **Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA)** se destaca como um exemplo de legislação estadual que promove a privacidade. No Brasil, a **[Lei Geral de Proteção de Dados (LGPD)](https://goadopt.io/blog/cookies-e-lgpd/)** cumpre um papel similar, estabelecendo um novo padrão para o tratamento de dados pessoais.

Este artigo explora as semelhanças e diferenças entre a VCDPA e a LGPD, mostrando como ambas as leis capacitam os consumidores e oferecem às empresas uma oportunidade de ouro para fortalecer a reputação, a transparência e a lealdade do cliente. Entender essas nuances é um passo estratégico para qualquer negócio que busca prosperar no ambiente digital atual.

## VCDPA: Fortalecendo a Privacidade na Virgínia

A **VCDPA** entrou em vigor em 1º de janeiro de 2023, estabelecendo um marco para a proteção de dados na Virgínia. Ela garante aos residentes do estado direitos importantes sobre suas informações pessoais, como o acesso, a correção e a exclusão de dados. Além disso, a lei enfatiza a necessidade de transparência por parte das empresas sobre como os dados são coletados e utilizados.

Para as empresas, a VCDPA incentiva a adoção de práticas de dados mais responsáveis, como a minimização da coleta de informações e a implementação de medidas de segurança robustas.

A lei também aborda o uso de **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** e outras tecnologias de rastreamento, exigindo que as empresas ofereçam aos usuários a opção de recusar o uso de seus dados para publicidade direcionada ou venda a terceiros. Uma **[plataforma de gestão de consentimentos (CMP)](https://goadopt.io/blog/o-que-e-uma-cmp/)** é uma ferramenta valiosa para gerenciar esses requisitos de forma eficiente.

## LGPD: O Marco da Proteção de Dados no Brasil

A **[LGPD](https://goadopt.io/blog/cookies-e-lgpd/)**, em vigor desde setembro de 2020, revolucionou a forma como os dados pessoais são tratados no Brasil. Inspirada no GDPR europeu, a LGPD estabelece um conjunto abrangente de regras que se aplicam a qualquer operação de tratamento de dados realizada em território brasileiro ou que envolva dados de cidadãos brasileiros. Seu objetivo principal é proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

Entre os pilares da LGPD estão o **consentimento explícito** para o tratamento de dados, a necessidade de uma **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** clara e acessível, e a criação de um **[Encarregado de Dados (DPO)](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)** para atuar como ponte entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). A lei também impõe requisitos rigorosos para a segurança dos dados e a notificação de incidentes, promovendo uma cultura de **[privacy by design](https://goadopt.io/blog/o-que-e-privacy-by-design/)**.

## Semelhanças que Unem: VCDPA e LGPD em Harmonia

Apesar de suas origens geográficas distintas, VCDPA e LGPD compartilham princípios fundamentais que visam empoderar os indivíduos e promover a responsabilidade corporativa:

-   **Direitos do Titular dos Dados**: Ambas as leis concedem aos consumidores direitos essenciais, como o acesso aos seus dados, a correção de informações imprecisas e a solicitação de exclusão. Isso permite que os indivíduos mantenham o controle sobre suas pegadas digitais.
-   **Transparência**: Tanto a VCDPA quanto a LGPD exigem que as empresas sejam transparentes sobre suas práticas de coleta e uso de dados. Isso se manifesta na necessidade de **[avisos de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)** claros e **[políticas de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)** detalhadas, que informem os usuários de forma compreensível.
-   **Segurança dos Dados**: A proteção contra acessos não autorizados e vazamentos de dados é uma prioridade para ambas as legislações. Empresas devem implementar medidas de segurança robustas para salvaguardar as informações pessoais, demonstrando um compromisso com a integridade dos dados.
-   **Mecanismos de Opt-Out**: Ambas as leis oferecem aos consumidores a capacidade de optar por não participar de certas atividades de processamento de dados, como a venda de informações pessoais ou o uso para publicidade direcionada. Isso reforça a autonomia do usuário sobre suas escolhas de privacidade.

## Diferenças Cruciais: Adaptando-se a Cada Contexto

Embora compartilhem objetivos, VCDPA e LGPD possuem diferenças importantes que as empresas devem considerar:

| Característica Principal | VCDPA (Virgínia) | LGPD (Brasil) |
|:-------------------------|:-----------------|:--------------|
| **Escopo de Aplicação** | Empresas que operam na Virgínia ou direcionam serviços a residentes, com critérios de volume de dados ou receita. | Aplica-se a qualquer operação de tratamento de dados realizada no Brasil ou que envolva dados de cidadãos brasileiros, independentemente da localização da empresa. |
| **Base Legal para Tratamento** | Foca principalmente no consentimento e no direito de opt-out. | Possui 10 bases legais para o tratamento de dados, incluindo consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse, entre outras. |
| **Consentimento para Cookies** | Não exige explicitamente consentimento prévio para todos os cookies, mas sim opt-out para venda de dados e publicidade direcionada. | Exige consentimento explícito (opt-in) para cookies não essenciais, como os de marketing e analytics. |
| **Autoridade Fiscalizadora** | Procurador-Geral da Virgínia. | Autoridade Nacional de Proteção de Dados (ANPD). |
| **Período de Cura** | Oferece um período de 30 dias para corrigir violações antes da aplicação de multas. | Não há um período de cura formalmente estabelecido na lei, embora a ANPD possa considerar a boa-fé e a pronta correção. |
| **Direito de Ação Privada** | Não prevê o direito de ação privada por parte dos consumidores. | Permite que os titulares dos dados busquem reparação judicial diretamente. |
| **Dados Sensíveis** | Define e exige proteção adicional para dados sensíveis, com foco no consentimento. | Define e exige consentimento explícito e bases legais específicas para o tratamento de dados sensíveis. |

## Oportunidades de Negócio na Conformidade

Estar em conformidade com a VCDPA e a LGPD não é apenas uma obrigação legal; é uma estratégia inteligente de negócios. Empresas que demonstram um compromisso genuíno com a privacidade dos dados colhem benefícios como:

-   **Aumento da Confiança do Cliente**: Consumidores preferem marcas que respeitam sua privacidade. A conformidade se traduz em lealdade e uma imagem positiva.
-   **Vantagem Competitiva**: Em um mercado onde a privacidade é cada vez mais valorizada, empresas em conformidade se destacam da concorrência.
-   **Melhora na Governança de Dados**: O processo de adequação leva a uma melhor organização e gestão dos dados, otimizando **[processos de marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)** e operacionais.
-   **Redução de Riscos**: A conformidade minimiza a exposição a multas e danos à reputação, garantindo uma operação mais segura e estável.

## AdOpt: Sua Parceira Estratégica na Jornada de Conformidade

Navegar pelas complexidades da VCDPA, LGPD e outras leis de privacidade pode ser um desafio. É aqui que a AdOpt se torna sua aliada estratégica. Nossa **[plataforma de gestão de consentimentos (CMP)](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)**, certificada pelo Google, oferece uma solução completa para automatizar a coleta e o gerenciamento de consentimentos, garantindo que seu site esteja sempre em dia com as regulamentações globais.

Com a AdOpt, você pode:

-   Implementar **[banners de cookies](https://goadopt.io/blog/banner-de-cookies/)** personalizáveis e em conformidade com as leis.
-   Gerenciar as preferências de consentimento dos usuários de forma intuitiva.
-   Manter registros detalhados de consentimento para auditorias.
-   Integrar facilmente com seu site, mantendo o design e a experiência do usuário impecáveis.

Transforme a conformidade em uma oportunidade para construir relações mais fortes e transparentes com seus clientes. A AdOpt faz o trabalho pesado para que você possa focar no crescimento do seu negócio com total tranquilidade.

## Pronto para Fortalecer a Confiança e a Conformidade?

Não deixe a complexidade das leis de privacidade atrapalhar o potencial do seu negócio. **[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)** e descubra como a AdOpt pode simplificar sua jornada de conformidade com a VCDPA, LGPD e outras regulamentações, transformando desafios em oportunidades de crescimento.


VCDPA vs. LGPD: Construindo Confiança e Conformidade

## Ecommerce Brasil: o impacto da LGPD no seu ecommerce

O Brasil tem mais de 87 milhões de consumidores digitais. O ecommerce brasileiro movimentou mais de R$ 185 bilhões em 2023 e esse número cresce todo ano.

É um mercado vibrante, competitivo e cheio de oportunidade.

Mas junto com a oportunidade veio a **[LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)** e ela não é opcional.

Se você tem um ecommerce no Brasil, trata dados pessoais todos os dias: nome, endereço, CPF, e-mail, telefone, histórico de compras, comportamento de navegação, dados de cartão de crédito.

Cada uma dessas informações é um dado pessoal regulado por lei.

A pergunta que muitos donos de ecommerce ainda relutam em responder com honestidade é simples: **o meu ecommerce está realmente adequado à LGPD?**

Este artigo vai ajudar você a responder isso com clareza e a entender exatamente o que precisa mudar.

---

## 1. O Que a LGPD Exige Especificamente dos Ecommerces

A LGPD não foi escrita para grandes corporações com departamentos jurídicos. Ela se aplica a qualquer pessoa natural ou jurídica que trate dados pessoais incluindo a sua loja virtual, independente do tamanho.

O Art. 3º deixa claro: a lei se aplica a qualquer operação de tratamento realizada em território nacional, ou quando os dados coletados sejam de pessoas localizadas no Brasil.

Isso significa que o dono de uma loja virtual no Shopify com sede nos EUA mas que vende para brasileiros também precisa se adequar.

### 1.1 O Que É "Tratamento de Dados" no Ecommerce

Tratamento é qualquer operação feita com dados pessoais: coleta, armazenamento, uso, compartilhamento, exclusão. No contexto de um ecommerce, isso inclui:

- **Cadastro do cliente:** nome, e-mail, CPF, endereço, telefone.
- **Processamento de pagamento:** dados do cartão (mesmo que via gateway), histórico de compras.
- **Navegação e rastreamento:** páginas visitadas, produtos visualizados, tempo de sessão coletados via **[cookies](https://goadopt.io/blog/cookies-e-lgpd/)** e pixels.
- **Comunicação:** envio de e-mails transacionais, newsletters, SMS de remarketing.
- **Logística:** repasse de endereço para transportadora.
- **Atendimento:** registros de tickets, histórico de conversas no chat.

Cada uma dessas operações precisa ter uma **base legal válida** na LGPD.

### 1.2 O Que Muda na Prática Para Quem Vende Online

Antes da LGPD, era comum:

- Cadastrar o e-mail do cliente na newsletter automaticamente no momento da compra.
- Compartilhar dados de clientes com parceiros de marketing sem aviso.
- Manter dados de clientes inativos indefinidamente "por precaução".
- Usar pixels do Facebook e Google sem nenhum controle de consentimento.

Tudo isso viola a LGPD. E a multa pode chegar a **2% do faturamento da empresa**, limitada a R$ 50 milhões por infração.

---

## 2. Dados do Ecommerce e as Bases Legais Corretas

Nem tudo precisa de consentimento explícito. A LGPD tem dez bases legais, e escolher a certa para cada tipo de tratamento é o que torna a adequação inteligente sem tornar a experiência de compra um interrogatório.

### 2.1 Execução de Contrato

Esta é a base legal mais utilizada nos ecommerces para dados essenciais à operação:

- **Endereço de entrega:** você precisa do endereço para entregar. Não precisa de consentimento separado é execução de contrato.
- **CPF para emissão de nota fiscal:** exigência legal e fiscal.
- **E-mail para confirmação do pedido:** comunicação essencial ao contrato.
- **Repasse de dados à transportadora:** necessário para cumprir a entrega contratada.

**Atenção:** essa base legal cobre apenas o que é *necessário* para cumprir o contrato. Usar o endereço do cliente para enviar publicidade não está coberto aqui.

### 2.2 Consentimento

Para tudo que vai além da operação essencial, o consentimento é necessário:

- **Newsletter e e-mail marketing:** o usuário precisa optar ativamente. A caixinha pré-marcada "aceito receber comunicações" não vale.
- **Cookies de marketing e rastreamento:** o **[aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/)** precisa estar presente e funcional antes que qualquer pixel carregue.
- **Remarketing e retargeting:** anúncios que perseguem o usuário pelo Google e Facebook dependem de cookies de terceiros — que precisam de consentimento prévio.
- **Personalização de experiência baseada em perfil:** se você usa dados de comportamento para personalizar a vitrine, informe e peça consentimento.

### 2.3 Legítimo Interesse

O legítimo interesse permite algumas operações sem consentimento, desde que documentadas:

- **Prevenção a fraudes:** analisar padrões de comportamento para detectar fraudes em transações.
- **Segurança do sistema:** logs de acesso, monitoramento de tentativas de invasão.
- **Comunicação pós-compra de produtos relacionados** (com critérios bem definidos e possibilidade de opt-out).

### 2.4 Obrigação Legal

Manter dados fiscais pelo tempo exigido pela Receita Federal, responder a requisições judiciais, cumprir obrigações com a SEFAZ tudo isso tem base legal própria e não precisa de consentimento.

---

## 3. O Pixel do Facebook e o Google Ads: O Risco Que Ninguém Fala

Este é o ponto onde a maioria dos ecommerces brasileiros está em situação irregular e nem sabe.

O **Meta Pixel** (antigo Facebook Pixel) e a tag de conversão do **Google Ads** são scripts que rastreiam o comportamento dos visitantes do seu site: o que visualizaram, o que adicionaram ao carrinho, o que compraram. Esses dados vão direto para os servidores do Facebook e do Google.

Isso é **transferência de dados pessoais para terceiros** e precisa de base legal.

### 3.1 O Que Acontece Sem Controle de Consentimento

Quando um usuário acessa seu site sem que você tenha um mecanismo de consentimento funcional:

1. O pixel carrega imediatamente.
2. Dados de comportamento são enviados ao Facebook/Google sem que o usuário saiba ou tenha autorizado.
3. Seu ecommerce viola o Art. 7º da LGPD (tratamento sem base legal).
4. O usuário tem o direito de acionar a ANPD.
5. Você está sujeito a multa e à suspensão do tratamento.

Além do risco legal, o próprio Google exige que publishers e anunciantes em zonas reguladas implementem o **Google Consent Mode v2** caso contrário, a conta pode ter limitações na exibição de anúncios.

### 3.2 A Solução: CMP + Consent Mode

O caminho correto é ter uma **[CMP (Consent Management Platform)](https://goadopt.io/blog/o-que-e-uma-cmp/)** que:

1. Exibe o **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/)** antes que qualquer pixel carregue.
2. Bloqueia os scripts até que o usuário aceite.
3. Registra o consentimento de forma juridicamente válida.
4. Integra com o Google Consent Mode v2 para manter a performance das campanhas mesmo com usuários que recusaram.

Sem essa estrutura, você está operando em não-conformidade e gastando dinheiro em anúncios que podem ser limitados pelo próprio Google.

---

## 4. Política de Privacidade para Loja Virtual: O Que Precisa Ter

Ter uma **[política de privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)** não é diferencial é obrigação legal. O Art. 9º da LGPD exige que o titular tenha acesso fácil às informações sobre o tratamento de dados.

Mas copiar um template genérico da internet não atende. A política precisa ser específica ao seu negócio e cobrir:

### 4.1 Informações Obrigatórias

- **Quais dados você coleta** e em quais momentos (cadastro, compra, navegação, contato).
- **Para qual finalidade** cada dado é usado.
- **Com quem você compartilha** os dados (gateways de pagamento, transportadoras, plataformas de e-mail marketing, ferramentas de analytics, pixels de publicidade).
- **Por quanto tempo** você mantém cada tipo de dado.
- **Qual a base legal** para cada tratamento.
- **Como o titular pode exercer seus direitos** (acesso, correção, exclusão, portabilidade, revogação de consentimento).
- **Quem é o encarregado de dados** e como contatá-lo.
- **Como você notifica** o titular em caso de vazamento.

### 4.2 Onde Exibir a Política

A política precisa ser facilmente acessível. No ecommerce, isso significa:

- Link no rodapé de todas as páginas.
- Link durante o processo de checkout (antes da finalização da compra).
- Link no formulário de cadastro.
- Mencionada no e-mail de boas-vindas ao novo cadastro.

Uma política escondida em seis cliques não atende ao requisito de transparência.

---

## 5. Os Termos de Uso do Ecommerce e a LGPD

Os **[termos de uso](https://goadopt.io/blog/termos-de-uso-lgpd/)** regulam a relação contratual entre você e o cliente.

Eles são diferentes da política de privacidade mas precisam dialogar com ela.

Nos termos de uso, você deve incluir:

- Condições de compra, entrega e devolução.
- Responsabilidades de cada parte.
- Condições de uso do cadastro.
- Referência à política de privacidade.
- Como o usuário pode encerrar o cadastro e solicitar exclusão de dados.

A ANPD tem orientado que os termos de uso não devem ser o lugar onde você esconde condições desfavoráveis em letras miúdas especialmente as relacionadas ao uso de dados pessoais.

---

## 6. Carrinho Abandonado e E-mail Marketing: Como Fazer Certo

O e-mail de carrinho abandonado é uma das ferramentas mais lucrativas do ecommerce e uma das mais problemáticas do ponto de vista da LGPD.

### 6.1 Quando É Legal Enviar o E-mail de Carrinho Abandonado

Cenário 1 — **Cliente cadastrado que fez login:** Ele tem cadastro ativo e iniciou uma compra. O envio pode se basear em legítimo interesse (relação comercial existente) desde que haja opt-out fácil e o e-mail seja sobre o produto do carrinho, não publicidade genérica.

Cenário 2 — **Visitante que digitou o e-mail no checkout mas não finalizou:** Aqui é mais delicado. Se o formulário não teve um checkbox de consentimento para esse uso específico, o envio é questionável.

Cenário 3 — **Visitante identificado apenas por cookie:** Você não pode enviar e-mail se não tem dados de contato com base legal.

### 6.2 Newsletter: A Caixinha Pré-marcada Que Custa Caro

A caixinha "aceito receber promoções e novidades" pré-marcada é prática comum e prática ilegal.

O consentimento para e-mail marketing precisa ser:

- **Ativo:** o usuário precisa marcar a caixa, não desmarcar.
- **Separado:** não pode ser mesclado com a aceitação dos termos de uso.
- **Específico:** "aceito receber e-mails sobre meus pedidos" é diferente de "aceito receber e-mails de marketing".
- **Revogável:** todo e-mail precisa ter link de descadastro funcional.

---

## 7. Logística e Compartilhamento de Dados com Terceiros

Quando você envia o pedido pela Correios, Total Express, Jadlog ou qualquer outra transportadora, está transferindo dados pessoais do cliente para um terceiro.

A LGPD exige que esse compartilhamento seja:

1. **Informado** na política de privacidade.
2. **Coberto por base legal** (neste caso, execução de contrato).
3. **Regulado por contrato** com a transportadora ela assume o papel de operadora dos dados.

O mesmo vale para gateways de pagamento (Cielo, PagSeguro, Mercado Pago, Stripe), plataformas de atendimento (Zendesk, Freshdesk), ferramentas de e-mail marketing (RD Station, Mailchimp, Klaviyo) e qualquer outro parceiro que receba dados dos seus clientes.

O **[mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)** é o instrumento que permite visualizar todo esse fluxo quem recebe o quê, com qual base legal, e por quanto tempo.

---

## 8. Retenção de Dados: Por Quanto Tempo Guardar

Muitos ecommerces mantêm dados de clientes indefinidamente "por precaução". Isso viola o princípio da **necessidade** da LGPD você só pode manter dados pelo tempo necessário para a finalidade declarada.

### 8.1 Prazos Recomendados por Categoria

- **Dados de pedido e nota fiscal:** mínimo 5 anos (obrigação tributária).
- **Dados de cadastro de cliente ativo:** enquanto a relação comercial existir.
- **Dados de cliente inativo:** 2 a 5 anos, dependendo do ciclo de compra do negócio, depois anonimizar ou excluir.
- **Logs de navegação e cookies:** 12 a 24 meses (alinhado com a finalidade de analytics).
- **Dados de consentimento:** pelo menos tão longo quanto o período de uso dos dados para provar que o consentimento existia.

### 8.2 O Direito ao Esquecimento no Ecommerce

O titular tem o direito de solicitar a exclusão dos seus dados. Seu ecommerce precisa ter um processo claro para atender essa solicitação:

1. **Canal de contato** identificado (e-mail do encarregado ou formulário específico).
2. **Prazo de resposta** (a LGPD não define prazo, mas a ANPD recomenda 15 dias úteis).
3. **Processo de exclusão** em todas as bases de dados incluindo sistemas de terceiros (ESP, CRM, analytics).
4. **Exceções documentadas** você pode manter dados que a lei exige manter (fiscais, por exemplo), e precisa comunicar isso ao titular.

---

## 9. O Impacto da Não Conformidade no Ecommerce

As **[multas da LGPD](https://goadopt.io/blog/multas-na-lgpd/)** são sérias, mas a multa financeira não é o único risco. O impacto da não conformidade no ecommerce tem várias dimensões:

### 9.1 Risco Financeiro

- Multa simples: até 2% do faturamento, limitada a R$ 50 milhões por infração.
- Multa diária para cessação da infração.
- Ressarcimento por danos ao titular.

### 9.2 Risco Operacional

- Suspensão ou bloqueio do tratamento de dados o que pode paralisar operações de marketing digital e remarketing.
- Limitação de anúncios pelo Google por não conformidade com o Consent Mode v2.
- Bloqueio de integração com plataformas internacionais (Meta, Google, Shopify) que exigem compliance como condição de uso.

### 9.3 Risco Reputacional

Em um mercado onde a confiança é o ativo mais valioso, um vazamento de dados ou uma notificação pública da ANPD pode destruir anos de construção de marca. O consumidor brasileiro está cada vez mais atento à privacidade e cada vez mais disposto a escolher lojas que respeitam seus dados.

---

## 10. Checklist de Conformidade para Ecommerces

Use esta lista para fazer um diagnóstico rápido da situação da sua loja:

### Documentação Legal
- [ ] Política de privacidade completa e atualizada, acessível no rodapé
- [ ] Termos de uso publicados e linkados no checkout
- [ ] Encarregado de dados identificado e canal de contato publicado

### Consentimento e Cookies
- [ ] CMP instalada com aviso de cookies funcional
- [ ] Pixels do Facebook e Google bloqueados antes do aceite
- [ ] Google Consent Mode v2 implementado
- [ ] Newsletter e e-mail marketing com opt-in ativo (sem caixinha pré-marcada)

### Processos Internos
- [ ] Mapeamento de dados atualizado com todos os tratamentos
- [ ] Contratos de operador assinados com transportadoras, gateways e plataformas de marketing
- [ ] Processo documentado para atender solicitações de titulares (acesso, correção, exclusão)
- [ ] Política de retenção de dados definida

### Segurança
- [ ] Dados de cartão de crédito nunca armazenados diretamente (delegar ao gateway)
- [ ] Acesso ao painel administrativo com autenticação forte (2FA)
- [ ] Plano de resposta a incidentes de segurança documentado
- [ ] Processo de notificação à ANPD em caso de vazamento (prazo: 2 dias úteis)

---

## 11. Adequar Sem Parar as Vendas: Estratégia Inteligente

A maior resistência dos donos de ecommerce é: "se eu pedir consentimento, vou perder conversão". Essa é uma preocupação legítima mas a lógica é inversa ao que parece.

Estudos mostram que usuários que deram consentimento explícito têm taxas de engajamento **maiores** do que usuários rastreados sem permissão. Eles sabem que recebem comunicações porque escolheram e isso muda a relação.

Além disso, o **Google Consent Mode v2** foi criado justamente para minimizar o impacto da recusa de cookies nas métricas de campanha. Com uma CMP certificada e o Consent Mode v2 ativo, você mantém a inteligência dos anúncios mesmo para usuários que recusam cookies.

A **[adequação ao marketing digital](https://goadopt.io/blog/como-adequar-o-marketing-digital-a-lgpd/)** não é o oposto da performance é o caminho para uma performance sustentável e juridicamente segura.

---

## FAQ: LGPD e Ecommerce no Brasil

**1. Todo ecommerce precisa ter aviso de cookies?**

Sim, se o site usa cookies de terceiros (Google Analytics, pixel do Facebook, tags de remarketing, ferramentas de heatmap). A LGPD exige base legal para esse tratamento, e o consentimento via aviso de cookies é a forma mais segura de obtê-la.

**2. Posso usar o CPF do cliente para fins de marketing?**

Não sem base legal específica. O CPF foi coletado para emissão de nota fiscal essa é a finalidade. Usar o CPF para cruzar dados em campanhas de marketing foge da finalidade original e viola o princípio da finalidade da LGPD.

**3. Minha loja está no Shopify ou VTEX. A plataforma cuida da LGPD por mim?**

Não completamente. A plataforma pode oferecer recursos de compliance (como campo de opt-in ou integração com CMP), mas a responsabilidade jurídica pela adequação é sua. Você é o controlador dos dados dos seus clientes.

**4. Preciso do consentimento do cliente para enviar o e-mail de rastreamento do pedido?**

Não. E-mails transacionais (confirmação de pedido, código de rastreamento, nota fiscal) têm base legal na execução do contrato o cliente comprou e precisa da informação. Consentimento é necessário apenas para comunicações de marketing.

**5. Como funciona o processo de exclusão de dados de um cliente?**

O cliente entra em contato pelo canal de comunicação com o encarregado de dados. Você tem o dever de excluir os dados dele de todos os sistemas salvo aqueles que há obrigação legal de manter (dados fiscais, por exemplo). É recomendável responder em até 15 dias úteis e confirmar as exclusões realizadas.

---

## Adequação Não É Custo — É Investimento em Longevidade

Muitos donos de ecommerce ainda enxergam a LGPD como uma obrigação chata, um custo sem retorno. Mas o mercado já mostrou o contrário: lojas adequadas constroem uma base de clientes mais engajada, têm menos risco de sustos regulatórios e estão posicionadas para crescer em um ambiente onde os gigantes do digital (Google, Meta, Apple) estão tornando a privacidade requisito, não opção.

Adequar o seu ecommerce não precisa ser um projeto de meses com consultoria cara. Com as ferramentas certas incluindo uma CMP certificada como a AdOpt é possível implementar a estrutura essencial de forma rápida e sem impactar a experiência de compra.

A AdOpt é uma CMP certificada pelo Google, bem avaliada no G2, e especialista no universo do ecommerce brasileiro. Você foca em vender, nós garantimos que os dados chegam legalmente.

**[Agende uma reunião com a nossa equipe da AdOpt](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria?uuid=e1bc9e87-710e-4f13-894e-4ade5ce7af10)**


Todos artigos