Checklist jurídico e de privacidade para sites de PMEs antes do lançamento

Não existe um pacote idêntico para todos os negócios. Os documentos dependem do tipo de operação, das informações coletadas, do público atendido e das ferramentas utilizadas. Ainda assim, a maioria dos sites institucionais precisa avaliar pelo menos política de privacidade, política de cookies e termos de uso.

A política de privacidade explica, em linguagem acessível, quem controla o tratamento, quais dados são coletados, as finalidades, as bases legais aplicáveis, os compartilhamentos, os prazos de retenção, os direitos do titular e os canais de contato. Ela deve mencionar situações reais, como envio de formulário, atendimento pelo WhatsApp, cadastro em newsletter e análise de navegação.

A política de cookies detalha os arquivos e tecnologias usados no navegador. O texto deve indicar categorias, finalidades, duração aproximada, terceiros envolvidos e formas de gerenciamento. Cookies estritamente necessários podem ter tratamento diferente de cookies de análise, publicidade ou personalização, mas todos precisam ser inventariados.

Os termos de uso estabelecem as regras de utilização do site. Podem abordar propriedade intelectual, responsabilidade pelas informações, links externos, disponibilidade do serviço, condutas proibidas e canais de contato. Para um site institucional simples, o documento pode ser objetivo, desde que seja compatível com o funcionamento efetivo das páginas.

Clínicas, consultórios e empresas que recebem informações sobre saúde devem adotar cautela adicional, porque dados referentes à saúde são dados pessoais sensíveis na LGPD. Um formulário com sintomas, exames ou histórico clínico não deve ser tratado como um simples pedido de orçamento sem avaliação jurídica e técnica específica.

Também vale verificar se há necessidade de aviso de direitos autorais, autorização de uso de imagem, regras para promoções ou informações específicas do setor. A legislação disponibilizada pela ANPD ajuda a acompanhar normas e orientações oficiais relacionadas à proteção de dados.

O aviso de cookies deve aparecer antes da ativação de tecnologias que dependem de escolha do visitante, quando essa for a base adotada para o tratamento. Uma caixa visualmente discreta, com um único botão de aceitação e nenhum caminho equivalente para recusar, dificulta uma decisão livre e informada.

Uma estrutura mais transparente oferece opções como “Aceitar selecionados”, “Recusar não essenciais” e “Configurar preferências”. O visitante deve conseguir consultar as categorias, entender suas finalidades e alterar a decisão posteriormente, sem precisar procurar um contato escondido no site.

O banner não deve carregar antecipadamente tags de publicidade ou análise apenas porque a pessoa visualizou a página. A implementação precisa respeitar a ordem de consentimento definida no projeto, inclusive quando Google Analytics, Google Tag Manager, pixels, mapas incorporados, vídeos externos ou ferramentas de atendimento estão presentes.

Cookies necessários para funções solicitadas pelo usuário, como manter uma sessão ou proteger um formulário, exigem classificação cuidadosa. Não é adequado chamar toda tecnologia de “necessária” para evitar pedir escolha, especialmente quando ela também cria perfis, mede comportamento ou apoia campanhas.

Mantenha um registro técnico da versão do banner, categorias apresentadas, data da escolha e alterações realizadas. O registro deve ser proporcional à realidade da PME e não precisa guardar mais dados pessoais do que o necessário para demonstrar a preferência.

O Google oferece documentação própria sobre modo de consentimento e sinais de consentimento. A configuração da plataforma, porém, não substitui a definição jurídica da finalidade, da base legal e da política de privacidade da empresa.

A revisão jurídica precisa acontecer junto com os testes técnicos. Abra o site em uma janela anônima, limpe os cookies e verifique quais tecnologias são carregadas antes de qualquer interação; depois, repita o teste aceitando apenas algumas categorias para confirmar se o comportamento muda.

Envie dados fictícios por todos os formulários e acompanhe o destino da mensagem. Confira se o e-mail recebido contém somente o necessário, se o painel do site restringe acessos e se o lead não está sendo copiado automaticamente para uma ferramenta que não aparece na política.

Teste também o caminho de recusa e a alteração de preferências. Se o visitante recusar cookies não essenciais, as tags correspondentes não devem disparar; se revogar uma escolha, a solução deve respeitar a nova decisão dentro dos limites técnicos da ferramenta.

Confira se os links de política de privacidade, cookies e termos estão visíveis no rodapé e nas áreas de coleta. Em uma landing page usada em campanhas, não esconda as informações legais em uma página inacessível ou em fonte que prejudique a leitura no celular.

Faça uma auditoria específica para integrações de terceiros. Um mapa incorporado, um vídeo, um botão de WhatsApp ou um sistema de agendamento pode transmitir dados ao fornecedor quando é carregado ou utilizado, por isso a política e o aviso precisam refletir esse fluxo.

A segurança básica também entra no checklist: HTTPS ativo, painel protegido, usuários administrativos revisados, cópias de segurança funcionando e componentes atualizados. A orientação sobre recuperação de desastres e backups para sites de PMEs ajuda a complementar essa etapa.

Por fim, documente a data do teste, o navegador utilizado, as ferramentas observadas e as correções feitas. O checklist pré-lançamento com testes para geração de contatos pode ser usado em conjunto, porque conversão e privacidade devem ser verificadas no mesmo fluxo, não em projetos separados.