A tua loja recolhe dados de clientes todos os dias. Endereços de email no checkout. Números de telefone para o envio. Informação de pagamento. Endereços IP vindos da análise. Histórico de navegação vindo de pixels de acompanhamento. Cada dado que recolhes traz consigo a responsabilidade legal de o proteger e de dizer aos clientes como o usas.
É aqui que entram a política de privacidade, o consentimento de cookies e o RGPD. Não são meras formalidades legais. São as regras que definem como recolhes, guardas e usas a informação dos clientes. Se falhares, arriscas multas, desconfiança dos clientes e problemas legais. Se acertares, crias confiança na tua marca.
A maioria dos donos de lojas ignora a privacidade porque parece aborrecida e complicada. É complicada. Mas este artigo explica o que realmente precisas de fazer.
O que é o RGPD e quem afeta
RGPD significa Regulamento Geral sobre a Proteção de Dados (em inglês, GDPR). É uma lei da União Europeia que define regras para a forma como as empresas recolhem e usam dados pessoais. Se tens um único cliente na UE, o RGPD aplica-se a ti. Se a tua loja serve algum cliente na UE, tens de cumprir o RGPD.
O RGPD não é opcional. Não é uma sugestão. A Comissão Europeia multou empresas em milhares de milhões de euros por o violarem. Uma grande empresa de software pagou 20 milhões de USD. O Facebook pagou 5 mil milhões de USD. São empresas enormes. Uma pequena loja online pode pagar multas menores, mas o princípio é o mesmo: as violações do RGPD saem caras.
O princípio central do RGPD é simples: os clientes são donos dos seus dados. Tu tens-os emprestados, temporariamente. Tens de pedir autorização antes de os recolher. Tens de explicar o que fazes com eles. E tens de os apagar quando eles pedirem.
Regras principais do RGPD para lojas online
Precisas de autorização antes de recolher dados
Não podes simplesmente recolher endereços de email, números de telefone ou qualquer informação pessoal sem consentimento claro. No checkout, precisas de caixas de aceitação explícita, não de caixas já marcadas. Se um cliente desmarcar uma caixa que diz "Aceito receber emails de marketing", não podes subscrevê-lo ao marketing. Precisas do acordo ativo e informado dele.
Isto aplica-se a listas de marketing, ao acompanhamento de análise e aos cookies de publicidade. Se usas o Google Analytics, tens de dizer aos clientes que o usas e dar-lhes forma de recusar. Se usas o Facebook Pixel para fazer retargeting, precisas de consentimento antes de o pixel ser ativado.
Tens de explicar o que fazes com os dados
A tua política de privacidade não é só um documento legal. É uma comunicação com os teus clientes. Tens de explicar em linguagem simples (sem jargão jurídico) que dados recolhes, porque os recolhes, durante quanto tempo os guardas e quem tem acesso a eles. O RGPD exige que esta informação seja "de fácil acesso" e "em linguagem clara e simples".
Uma política de privacidade escondida atrás de 5 cliques ou escrita em jargão jurídico não cumpre o critério de "clara e simples".
Tens de apagar os dados quando to pedirem
Os clientes têm o direito de pedir que apagues a informação deles. Chama-se "direito ao esquecimento". Se um cliente te enviar um email a pedir para apagar a conta e os dados, tens 30 dias para cumprir. Não lhe podes cobrar por isso. Não podes ignorar o pedido. Tens de apagar e confirmar que desapareceu.
Tens de comunicar violações de dados
Se os dados dos teus clientes forem comprometidos ou roubados, tens 72 horas para o comunicar às autoridades europeias. Tens também de notificar os clientes afetados. Não podes esconder uma violação nem esperar que ninguém repare. Só este requisito tornou o RGPD custoso para muitas empresas, porque obriga à transparência e à responsabilização. Para boas práticas de segurança no checkout, lê como manter seguro o checkout da tua loja online.
As transferências de dados exigem aprovação
Se guardas dados de clientes fora da UE, tens de usar mecanismos de transferência aprovados. Isto importa se o teu processador de pagamentos estiver nos EUA, se usares um serviço de email sediado nos EUA ou se fizeres cópias de segurança num centro de dados americano. Não podes simplesmente mover dados de clientes da UE para qualquer lado. Precisas de enquadramentos legais em vigor.
O que é uma política de privacidade e porque precisas de uma
Uma política de privacidade é um documento que explica como a tua loja recolhe, usa e protege a informação dos clientes. É exigida pelo RGPD, por muitas leis estaduais nos EUA e por normas do setor. Sem uma, estás a violar a lei e os clientes não têm forma de perceber como tratas os dados deles.
A tua política de privacidade tem de cobrir:
Que dados recolhes
Lista todos os tipos de dados que reúnes. Isto inclui coisas óbvias, como endereços de email e moradas de envio, mas também coisas menos óbvias, como endereços IP do servidor do teu website, cookies de análise, acompanhamento de comportamento e dados de localização. Sê específico. Não digas apenas "informação pessoal". Diz "endereço de email, número de telefone, morada de envio, histórico de compras e comportamento de navegação". Se aceitas pagamentos através de um gateway de pagamento, a tua política de privacidade tem de explicar que dados de pagamento são tratados pelo teu processador. Lê como funcionam os gateways de pagamento para perceberes que dados passam pelo teu sistema de pagamentos.
Como os recolhes
Recolhes dados através de formulários, páginas de checkout ou cookies? Através de interações de apoio ao cliente ou pedidos de suporte? Através de ferramentas de análise ou pixels de publicidade? Explica os métodos. É aqui que mencionas o Google Analytics, o Facebook Pixel, o teu processador de pagamentos ou as outras ferramentas que usas para recolher dados.
Porque os recolhes
Recolhes endereços de email para processar encomendas e enviar atualizações de envio. Recolhes números de telefone para o apoio ao cliente. Recolhes dados de análise para perceber como os visitantes usam o teu site. Usas cookies para te lembrares dos clientes, para que não tenham de iniciar sessão de cada vez. Explica a razão de negócio de cada tipo de recolha de dados.
Durante quanto tempo os guardas
Não guardas dados para sempre. Tens de definir prazos de conservação. Podes guardar o histórico de compras durante 7 anos por razões fiscais e legais. Podes guardar endereços de email durante 3 anos depois da última compra, para marketing. Podes guardar pedidos de suporte durante 1 ano. Seja qual for a tua política de conservação, indica-a com clareza.
Quem tem acesso a eles
Se usas um processador de pagamentos, ele tem acesso aos dados de pagamento. Se usas um transportador, ele tem acesso às moradas e pode usar essa informação para a entrega. Se subcontratas o apoio ao cliente, a tua equipa de apoio vê os nomes e os emails dos clientes. Lista todos os terceiros que podem ver dados de clientes e explica porquê. Para detalhes sobre como funcionam os envios, lê como configurar os envios da tua loja online.
Como os proteges
Usas certificados SSL para encriptar os dados em trânsito? Exiges palavras-passe fortes? Fazes cópias de segurança com regularidade? Formas a tua equipa em segurança de dados? Explica as tuas medidas de segurança. Se a tua segurança for fraca, di-lo na mesma, mas compromete-te a melhorá-la.
Direitos dos clientes
Segundo o RGPD, os clientes têm o direito de aceder aos seus dados, de os corrigir, de os apagar e de os transferir para outro serviço. A tua política de privacidade tem de lhes dizer como exercer estes direitos. Inclui um endereço de email ou um formulário de contacto onde os clientes possam pedir o acesso ou o apagamento dos dados.
Consentimento de cookies e acompanhamento
Os cookies são pequenos ficheiros que os websites guardam no computador do cliente para se lembrarem dele. Servem para manter a sessão iniciada, para lembrar os artigos no carrinho e para acompanhar o teu comportamento entre websites.
O RGPD distingue entre cookies necessários e cookies não necessários. Os cookies necessários (como os do carrinho de compras ou os de sessão) não exigem consentimento. Todos os outros exigem.
Cookies necessários que não precisam de consentimento
Os cookies do carrinho de compras são necessários porque, sem eles, os clientes perderiam o carrinho de cada vez que navegassem para uma página nova. Os cookies de sessão que mantêm a sessão iniciada são necessários. Os cookies de segurança que previnem fraude são necessários. Podes usar estes cookies sem pedir autorização, porque são indispensáveis para a loja funcionar.
Cookies não necessários que exigem consentimento
Os cookies de análise (Google Analytics, ferramentas de mapas de calor, análise de produto) não são necessários para gerir a tua loja. Ajudam-te a perceber o comportamento, mas a loja funciona bem sem eles. Perceber os dados dos visitantes é útil para otimizar, mas os clientes devem consentir antes de os acompanhares. Os cookies de marketing e os pixels de retargeting (Facebook Pixel, acompanhamento de conversões do Google Ads) não são, de todo, necessários. Estes cookies acompanham os clientes pela internet para lhes mostrar anúncios. Exigem consentimento explícito antes de serem ativados. Para uma visão geral do que podes aprender com a análise, lê como usar a análise para perceber o comportamento dos visitantes.
Como implementar o consentimento de cookies
Precisas de um banner de consentimento de cookies que apareça quando um cliente visita o teu site pela primeira vez. O banner tem de explicar que cookies usas e porquê. Deve ter pelo menos três opções: Aceitar tudo, Rejeitar não essenciais e Personalizar. Aceitar tudo deve ser um só botão. Rejeitar deve ser igualmente fácil de clicar (não enterrado num menu). Os clientes devem poder dizer não aos cookies de análise e de marketing sem perderem a possibilidade de comprar.
Não tornes o consentimento confuso com padrões enganadores, como "Aceitar" em letras azuis grandes e "Rejeitar" em texto cinzento minúsculo. Isso viola o RGPD. As duas opções têm de ser igualmente visíveis e fáceis de clicar.
Podes usar uma ferramenta de consentimento de cookies. Estes serviços tratam do banner, do consentimento de acompanhamento e da atualização das tuas preferências. Custam dinheiro, mas poupam-te riscos legais.
Privacidade para lojas fora da UE
O RGPD é lei da UE, mas existem regulamentos de privacidade em todo o lado. Se a tua loja opera na Califórnia, estás sujeito ao CCPA (California Consumer Privacy Act). Se estás na Virgínia, há o VDPA. O Canadá tem o PIPEDA. O Brasil tem a LGPD. A Austrália tem os APPs.
Estas leis não são idênticas ao RGPD, mas seguem princípios semelhantes: os clientes são donos dos seus dados, tens de pedir autorização, tens de ser transparente e tens de apagar os dados quando to pedirem.
Se tens clientes em várias regiões, não podes ter uma política de privacidade que sirva em todo o lado. Tens de seguir a lei mais exigente que se aplica a ti. Para a maioria das lojas, é o RGPD, por ser o mais exigente. Se cumpres o RGPD, provavelmente cumpres também a maioria das outras leis de privacidade.
Termos e condições versus política de privacidade
A política de privacidade e os termos e condições são documentos diferentes, com objetivos diferentes.
A política de privacidade cobre como tratas os dados: o que recolhes, porquê, durante quanto tempo os guardas e como os clientes podem aceder a eles ou apagá-los.
Os termos e condições cobrem como os clientes podem usar a tua loja: condições de pagamento, política de devoluções, política de reembolsos, limites de responsabilidade e o que os clientes não podem fazer. Um cliente pode estar de acordo com o teu tratamento de dados (privacidade) mas discordar da tua política de não reembolso (termos).
Precisas dos dois documentos. Para detalhes sobre como escrever termos e condições, lê como escrever termos e condições para a tua loja online.
Como a WEMASY ajuda na privacidade e na conformidade
O criador de websites da WEMASY inclui encriptação SSL integrada para todos os dados em trânsito. Os dados dos teus clientes ficam em servidores seguros, com cópias de segurança regulares. A WEMASY permite também acrescentar uma política de privacidade e banners de consentimento de cookies diretamente ao teu site, sem código à medida. Podes configurar que cookies são necessários e quais exigem consentimento, e deixar a WEMASY gerir o fluxo de consentimento.
Isto não te retira a responsabilidade legal de ter uma política de privacidade clara, mas facilita a implementação. Vê o que está incluído no teu plano WEMASY.
Lista de verificação de privacidade para a tua loja
Antes de entrares no ar, percorre esta lista:
Política de privacidade
Tens uma política de privacidade no teu site? É de acesso público? Explica que dados recolhes, porque os recolhes, durante quanto tempo os guardas e quem tem acesso? Inclui informação de contacto para pedidos sobre dados? Não copies a política de privacidade de outra pessoa. As políticas genéricas não explicam as tuas práticas específicas.
Consentimento de cookies
Se usas cookies de análise ou de marketing, tens um banner de consentimento de cookies? Dá aos clientes uma escolha real de recusar? O botão de rejeitar é tão fácil de clicar como o de aceitar? O banner explica o que faz cada tipo de cookie?
Segurança necessária
Usas SSL (HTTPS) em toda a loja? Exiges palavras-passe fortes? Tens um plano para o que fazer se os dados forem comprometidos? Fazes cópias de segurança dos dados dos clientes com regularidade?
Ferramentas de terceiros
Lista todas as ferramentas que usas e que tratam dados de clientes: processador de pagamentos, transportador, serviço de email, plataforma de análise, ferramenta de marketing, software de apoio. A tua política de privacidade menciona-as todas? Leste as políticas de privacidade delas? Cumprem o RGPD ou as leis locais?
Processo de apagamento de dados
Se um cliente te enviar um email a pedir para apagar os dados, tens um processo para o fazer? Sabes como apagar dados do sistema da tua loja, do teu processador de pagamentos, do teu serviço de email e de quaisquer outras ferramentas? Precisas de um processo documentado, não de um palpite.
Aconselhamento jurídico
Consultaste um advogado sobre privacidade? Não precisas de um advogado para cada pergunta, mas, na tua primeira loja, vale a pena gastar 1 a 2 horas de tempo jurídico para teres a certeza de que estás no caminho certo. Muitos advogados revêem uma política de privacidade básica por 200 a 400 EUR.
Perguntas frequentes
Preciso de uma política de privacidade se a minha loja for pequena?
Sim. O RGPD e outras leis de privacidade aplicam-se independentemente da dimensão da loja. Mesmo uma loja com 10 clientes por mês tem a obrigação legal de proteger os dados deles e de explicar como os usa. Uma política de privacidade é o mínimo legal.
Posso usar um modelo de política de privacidade?
Sim, mas só como ponto de partida. Os geradores de políticas de privacidade criam políticas com base nas tuas ferramentas e práticas específicas. Não copies palavra por palavra a política de um concorrente. A política tem de corresponder às tuas práticas reais com os dados. Se a tua política diz que apagas os dados ao fim de 1 ano mas na verdade os guardas durante 7 anos, estás a criar responsabilidade legal.
E se eu não tiver clientes na UE?
Podes ainda assim ter obrigações de privacidade. Os EUA têm o CCPA na Califórnia e o VDPA na Virgínia. O Canadá tem o PIPEDA. O Brasil tem a LGPD. A maioria dos países tem alguma forma de lei de privacidade. Mesmo que te dirijas apenas a clientes dos EUA, é mais seguro seguir o RGPD, por ser o mais exigente. Cumprir o RGPD costuma significar cumprir também as leis menos exigentes.
Quanto custa realmente uma política de privacidade?
Podes gerar uma política básica gratuitamente com um gerador de políticas de privacidade. Para uma política personalizada, escrita por um advogado, conta com 500 a 2000 EUR. A maioria das lojas pequenas começa com uma política gerada e pede a um advogado que a reveja por 200 a 400 EUR, para garantir que cobre a sua configuração específica.
Qual é a diferença entre o RGPD e o CCPA?
O RGPD é lei da UE. O CCPA é lei do estado da Califórnia. O RGPD é mais exigente. Ambos dão aos clientes o direito de aceder aos dados, apagá-los e corrigi-los. Ambos exigem consentimento ativo para marketing. O RGPD exige consentimento antes de recolher a maioria dos dados. O CCPA permite a recolha, mas exige opções de recusa. Se cumpres o RGPD, provavelmente cumpres também o CCPA.
Como respondo a um pedido de apagamento de dados de um cliente?
Quando um cliente pede para apagar os seus dados, responde no prazo de 30 dias. Apaga a conta dele do sistema da tua loja. Apaga-o da tua lista de email marketing. Remove-o da tua análise. Diz ao teu processador de pagamentos que apague os dados dele. Confirma por escrito que os dados foram apagados. Guarda documentação do apagamento, para o caso de precisares de provar que cumpriste.