Entenda como transformar os fluxos de dados da empresa em uma política de privacidade clara, acessível, verificável e alinhada à LGPD.

Uma pequena loja virtual coleta nome, endereço, telefone e dados do pedido para vender e entregar produtos. Ela também utiliza uma empresa de pagamento, contrata uma transportadora, mantém registros de atendimento e envia ofertas para parte de sua base. Quando o cliente procura a Privacy Policy, espera descobrir o que acontece com essas informações. Com frequência, porém, encontra um texto genérico que poderia pertencer a qualquer negócio.

A diferença entre uma página meramente publicada e uma política confiável está na correspondência com a operação. A empresa precisa saber quais dados entram, de onde vêm, por que são utilizados, em quais sistemas permanecem, com quem circulam e como são eliminados ou anonimizados. Também precisa conseguir cumprir os direitos e os canais descritos no documento.

Este guia apresenta uma sequência prática para sair do diagnóstico e chegar a uma política pronta para publicação. As referências à LGPD servem como orientação geral e não substituem a análise jurídica do caso concreto, especialmente na escolha de bases legais, na avaliação de interesse legítimo, em transferências internacionais ou em tratamentos de maior risco.

Principais pontos

• Uma política de privacidade só transmite confiança quando corresponde aos fluxos reais de dados da empresa.
• O mapa de dados deve registrar fonte, finalidade, responsável interno, operador, sistema, base legal, retenção e descarte.
• Consentimento é apenas uma das bases legais da LGPD; a definição da hipótese aplicável depende da finalidade e do fluxo concreto.
• Transparência, livre acesso e prestação de contas podem ser avaliados por critérios objetivos de clareza, disponibilidade, rastreabilidade e capacidade de atendimento.
• A política deve ser testada em celulares, leitores de tela, navegação por teclado e pontos contextuais de coleta.
• Mudanças em produtos, fornecedores, tecnologias, públicos ou finalidades podem exigir uma nova versão do documento.

O que significa Privacy Policy

Privacy Policy significa política de privacidade. O termo em inglês aparece em sites, aplicativos e plataformas para identificar a comunicação que explica como uma organização coleta, utiliza, compartilha, armazena e protege dados pessoais relacionados a visitantes, clientes, leads, usuários ou outras pessoas.

Imagine a loja virtual informando que recebe o endereço durante a compra e encaminha à transportadora apenas os dados necessários para realizar a entrega. Essa explicação cumpre uma função de comunicação ao titular. A simples existência da página, entretanto, não comprova adequação real à LGPD se sistemas, contratos, formulários e rotinas internas seguirem práticas diferentes.

A política é, portanto, uma representação pública do tratamento. Ela não substitui inventários internos, registros das operações, avaliações de risco, contratos com operadores, controles de segurança ou procedimentos de atendimento. Seu conteúdo deve ser sustentado por esses elementos e atualizado quando a realidade mudar.

Por que a política de privacidade importa para a empresa e para o titular

Na LGPD, os princípios de transparência e livre acesso estão relacionados à disponibilização de informações claras, precisas e acessíveis sobre o tratamento. A política ajuda o cliente da loja a compreender, por exemplo, por que seu telefone pode ser usado na entrega, quais categorias de parceiros recebem dados e onde solicitar acesso ou correção.

Para a empresa, o documento cria uma referência comum para atendimento, marketing, tecnologia, segurança e gestão de fornecedores. Ele não elimina riscos, não impede sanções e não substitui medidas técnicas, administrativas ou contratuais. Sua função é organizar a comunicação externa e contribuir para a demonstração de que a organização conhece e governa seus tratamentos.

A qualidade não deve ser avaliada apenas pela presença de determinados títulos. Uma política transparente permite que uma pessoa sem conhecimento jurídico identifique o controlador, os dados tratados, as finalidades e os destinatários sem precisar deduzir informações. O livre acesso exige que o documento e o canal de contato sejam fáceis de localizar e utilizar. Já a prestação de contas depende de coerência verificável entre o que foi publicado e os registros, sistemas, contratos e procedimentos internos.

• Transparência: cada finalidade é concreta e está ligada a categorias identificáveis de dados e titulares.
• Livre acesso: a página é gratuita, localizável antes ou no momento da coleta e oferece um canal funcional.
• Clareza: termos técnicos são explicados e expressões vagas não escondem usos relevantes.
• Coerência: formulários, banners, contratos, sistemas e respostas do atendimento confirmam o texto publicado.
• Prestação de contas: há responsáveis, registros de aprovação, histórico de versões e evidências dos testes realizados.

Política de privacidade não é o mesmo que termos de uso ou aviso de cookies

A política de privacidade explica o tratamento de dados pessoais, enquanto os termos de uso estabelecem regras para utilizar um serviço. O aviso de cookies trata das tecnologias instaladas ou acessadas durante a navegação. Já a política interna orienta funcionários e prestadores autorizados, sem substituir a informação destinada ao público.

Os documentos podem apontar uns para os outros, mas uma informação relevante não deve ficar escondida em uma página inadequada. Se um formulário de ofertas usa dados para uma finalidade diferente da compra, a explicação contextual precisa aparecer junto ao campo ou em camada facilmente acessível. O nome do documento pesa menos que sua clareza, acessibilidade e fidelidade à operação.

Diferenças entre documentos relacionados à operação digital

Documento	Para quem se destina	O que explica	Onde costuma ser disponibilizado
Política de privacidade	Titulares de dados	Coleta, fontes, usos, compartilhamentos, retenção e direitos	Site, aplicativo e pontos de coleta
Aviso de cookies	Visitantes	Categorias, finalidades, duração e controles de tecnologias de rastreamento	Banner, painel de preferências e página específica
Termos de uso	Usuários do serviço	Regras de acesso, responsabilidades e condições de utilização	Cadastro, site ou aplicativo
Política interna	Funcionários e prestadores autorizados	Procedimentos, controles e responsabilidades internas	Ambiente corporativo restrito

O que levantar antes de começar a escrever

Antes da redação, construa um mapa de dados. Na loja virtual, o cadastro alimenta a plataforma de comércio eletrônico, os dados necessários ao pagamento seguem para um fornecedor e o endereço chega à transportadora. Cookies podem registrar eventos de navegação, enquanto o atendimento mantém mensagens associadas ao pedido.

O levantamento deve acompanhar o dado desde a fonte até o descarte. Além de perguntar o que é coletado, registre de quem veio, quem responde internamente pelo processo, qual operador participa, em que sistema a informação fica armazenada, para qual finalidade é usada, qual base legal foi avaliada e como se define a retenção.

Quando uma finalidade, uma base legal ou um destinatário ainda não são conhecidos, existe uma lacuna de diagnóstico. Frases amplas não resolvem o problema. A área responsável deve confirmar o fluxo e submeter as associações jurídicas à análise adequada. Execução de contrato, obrigação legal e interesse legítimo não devem ser atribuídos automaticamente a uma atividade apenas porque ela é comum no comércio eletrônico.

O exemplo abaixo é ilustrativo, não uma definição jurídica para toda loja. A base legal, a necessidade dos dados e os prazos precisam ser revistos conforme contratos, obrigações aplicáveis, configuração dos sistemas e orientação vigente da ANPD.

Exemplo preenchido de mapa de dados para um fluxo de entrega

Campo	Exemplo
Titular e dados	Cliente; nome, endereço de entrega, telefone e identificador do pedido
Fonte	Formulário de checkout preenchido pelo cliente
Finalidade	Preparar, despachar e acompanhar a entrega do pedido
Responsável interno	Equipe de operações ou logística
Operador ou destinatário	Plataforma de comércio eletrônico e transportadora contratada, conforme o papel efetivamente exercido
Sistema	Plataforma da loja e sistema de gestão de pedidos
Base legal em avaliação	Hipótese a ser validada conforme a necessidade do tratamento para a relação contratual e as características concretas do fluxo
Retenção	Prazo ou critério definido com base na necessidade operacional e em obrigações aplicáveis
Descarte	Exclusão segura, anonimização ou bloqueio ao término do critério de retenção, conforme o caso
Evidência	Configuração do sistema, contrato do fornecedor, procedimento interno e teste do fluxo

Quais informações devem aparecer em uma Privacy Policy

A política pode ser estruturada como um documento navegável, em vez de concentrar todos os requisitos em um único bloco. A abertura deve identificar a organização que toma as decisões sobre o tratamento e apresentar um meio adequado de contato. Quando necessário, explique os papéis dos participantes sem chamar todo fornecedor de operador automaticamente, pois a qualificação depende das atividades efetivamente exercidas.

Em seguida, apresente as categorias de dados e suas fontes. Uma redação concreta seria: “Recebemos nome, endereço e informações do pedido diretamente de você durante o checkout. Também registramos eventos relacionados ao processamento e à entrega do pedido”. A frase permite distinguir dados fornecidos pela pessoa de informações geradas durante a operação.

As finalidades devem ocupar uma seção própria e ser relacionadas às categorias pertinentes. Em vez de afirmar apenas “usamos dados para melhorar sua experiência”, explique a atividade: “Analisamos erros de navegação para identificar falhas no checkout e corrigir etapas que impedem a conclusão da compra”. Quanto maior o impacto, a sensibilidade, a expectativa de reutilização ou a distância entre coleta e finalidade, maior deve ser o nível de detalhe.

A seção sobre bases legais precisa ser redigida com cautela. Dados necessários para processar uma compra podem, conforme o fluxo concreto, estar associados à execução de contrato ou a procedimentos preliminares. A manutenção de documentos fiscais pode decorrer de obrigação legal ou regulatória aplicável. O interesse legítimo exige avaliação própria, consideração das expectativas do titular, necessidade, balanceamento e salvaguardas; não funciona como autorização genérica para publicidade ou usos futuros.

A política também deve explicar compartilhamentos, transferências internacionais quando existentes, critérios de retenção, direitos dos titulares, canais de exercício, medidas gerais de segurança e data de vigência. Não é necessário revelar configurações que facilitem ataques, mas expressões como “segurança de nível máximo” devem ser evitadas por transmitirem uma garantia que a empresa não consegue assegurar.

Uma estrutura editorial funcional pode seguir esta ordem: quem somos e como contatar; quais dados e fontes estão envolvidos; para que usamos os dados; bases legais avaliadas; compartilhamentos e transferências; retenção e descarte; direitos e canais; segurança; cookies; alterações e versão. Se determinado tema não se aplicar, não é preciso criar uma seção artificial apenas para imitar outro documento.

• Use mais detalhe quando houver dados sensíveis, crianças ou adolescentes, monitoramento, decisões automatizadas, grande escala ou efeitos relevantes.
• Explique separadamente finalidades que o titular não esperaria no contexto original da coleta.
• Prefira categorias compreensíveis, mas nomeie destinatários quando isso for necessário para evitar ambiguidade relevante.
• Adote camadas para que o resumo não elimine informações importantes disponíveis no conteúdo completo.

Como transformar o mapeamento em uma política pronta para publicação

A transformação começa pela seleção das linhas do mapa que precisam ser comunicadas externamente. Agrupe tratamentos semelhantes sem apagar diferenças importantes. Na loja, cadastro, pagamento e entrega podem aparecer dentro da jornada de compra, enquanto ofertas, análise de navegação e prevenção a fraudes merecem explicações próprias quando tiverem finalidades, dados ou critérios distintos.

Depois, converta cada linha técnica em uma sequência compreensível: contexto da coleta, categoria de dado, finalidade, destinatário e critério de retenção. A base legal deve ser validada internamente antes de ser publicada. Não use a política para criar uma justificativa que ainda não existe no processo.

Um trecho inicial inadequado poderia dizer: “Poderemos usar quaisquer informações para melhorar nossos serviços e compartilhar com parceiros confiáveis”. A frase não delimita dados, finalidade nem destinatários. Uma versão mais informativa seria: “Durante a compra, usamos os dados de contato e do pedido para confirmar a transação, prestar atendimento e coordenar a entrega. Compartilhamos as informações necessárias com os fornecedores que sustentam essas etapas, como a plataforma de pagamento e a transportadora, de acordo com a função desempenhada em cada fluxo”.

A segunda versão ainda precisa ser ajustada ao mapa real. Se a loja não recebe determinados dados do cartão porque o pagamento ocorre diretamente no ambiente do fornecedor, a política não deve afirmar que os armazena. Se recebe apenas um identificador da transação, essa distinção melhora a precisão.

Por fim, conduza uma validação humana. Tecnologia confirma sistemas e integrações; segurança verifica a descrição dos controles; marketing revisa campanhas e cookies; atendimento testa o canal; compras ou gestão de fornecedores confere destinatários; e o responsável jurídico ou especialista avalia questões legais conforme o risco. Ferramentas automatizadas podem acelerar a estruturação, mas não conhecem sozinhas todas as práticas da empresa.

1. Congele uma versão do mapa usada como fonte editorial.
2. Agrupe os fluxos por jornada, público e finalidade.
3. Redija cada bloco em linguagem direta e conecte dados, uso e destinatários.
4. Valide bases legais, retenção e papéis conforme o caso concreto.
5. Compare o rascunho com sistemas, contratos, formulários e avisos contextuais.
6. Teste leitura, canais, links e funcionamento em dispositivos diferentes.
7. Aprove, publique e registre versão, data de vigência e responsáveis.

Onde publicar e como apresentar o documento

No site da loja, mantenha o link visível no rodapé e ofereça acesso contextual perto do cadastro, checkout, atendimento ou formulário de ofertas. A pessoa não deveria precisar concluir uma compra para descobrir como os dados informados naquela etapa serão utilizados.

Nos formulários curtos, a informação em camadas melhora a experiência: uma mensagem breve explica a finalidade imediata e aponta para o conteúdo completo. Essa camada não deve esconder condições inesperadas. O link precisa ter nome descritivo, abrir o destino correto e continuar disponível antes e depois do envio do formulário.

A apresentação da política não significa consentimento. Marcar uma caixa declarando leitura não transforma automaticamente todas as operações em tratamentos baseados nessa hipótese legal. Se uma atividade realmente depender de consentimento, o pedido deve observar os requisitos aplicáveis e ficar separado de uma simples confirmação de leitura.

A acessibilidade pode ser verificada por testes, não apenas por expressões como “layout acessível”. Como referência prática, as WCAG recomendam contraste de pelo menos 4,5 para 1 para texto comum e 3 para 1 para texto grande, ressalvadas as situações previstas no próprio padrão. O conteúdo deve manter sua função com ampliação de texto em até 200%, sem perda de informações ou controles.

Em celular, teste a política em uma largura estreita, com orientação vertical e horizontal. Títulos, tabelas e links não devem exigir movimentos horizontais contínuos para a leitura do texto principal. Botões e links precisam ser acionáveis por toque, e o foco deve permanecer visível durante a navegação por teclado.

Antes da publicação, abra todos os links contextuais em ambiente de teste e em produção. Confirme destino, carregamento, certificado seguro, texto do link e retorno ao fluxo original. Repita o teste sem autenticação, quando a política for pública, e verifique se leitores de tela reconhecem títulos, listas, tabelas e controles na ordem esperada.

• Contraste medido, texto ampliável e foco de teclado visível.
• Leitura em celular sem corte de conteúdo ou bloqueio por banners.
• Títulos hierárquicos e links com nomes que indiquem o destino.
• Página pública disponível sem cadastro ou autenticação desnecessária.
• Links do rodapé, checkout, cadastro e preferências testados em produção.

O que observar ao revisar a qualidade da política

A revisão precisa separar compreensão, atendimento a titulares, retenção, segurança e gestão de incidentes. Misturar esses assuntos em uma única pergunta pode produzir uma aprovação superficial. Cada dimensão deve ter evidência, responsável e resultado registrado.

No teste de compreensão, peça a alguém que não participou da redação para identificar quais dados são usados, de onde vêm, para quais objetivos e com quem circulam. Se a resposta depender de suposições ou de explicações externas, o texto precisa de ajustes.

No atendimento a titulares, simule pedidos e confirme se o canal recebe a mensagem, gera encaminhamento e permite localizar dados em sistemas e fornecedores. O artigo 19 da LGPD distingue as modalidades: a confirmação de existência ou o acesso em formato simplificado devem ser fornecidos imediatamente; a declaração clara e completa, com as informações previstas na lei, deve ser fornecida em até 15 dias contados do requerimento. O procedimento interno deve reconhecer essa diferença e evitar a aplicação indiscriminada de um único prazo.

Na retenção, compare o que foi publicado com regras fiscais, contratuais, regulatórias, probatórias e operacionais efetivamente aplicáveis. A política não deve prometer exclusão imediata de todos os registros quando houver fundamento válido para conservação, mas também não deve usar obrigações genéricas para justificar retenção indefinida.

Na gestão de incidentes, a Resolução CD/ANPD nº 15/2024 exige comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante. Para as comunicações abrangidas, o prazo geral é de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvado prazo específico previsto em legislação. Agentes de tratamento de pequeno porte devem verificar as regras diferenciadas e respectivas condições da Resolução CD/ANPD nº 2/2022, sem presumir automaticamente uma extensão.

A falta de todas as informações não autoriza simplesmente ignorar o prazo inicial. A Resolução nº 15/2024 admite comunicação preliminar e posterior complementação dentro do prazo regulamentar aplicável. Nem todo evento de segurança gera comunicação obrigatória: a empresa deve documentar a avaliação sobre dados afetados, titulares, consequências, salvaguardas e presença de risco ou dano relevante.

Critérios distintos para a revisão operacional

Dimensão	Pergunta de controle	Evidência esperada
Compreensão	Uma pessoa externa à redação entende dados, fontes, finalidades e destinatários?	Resultado do teste de leitura e correções realizadas
Atendimento	O canal recebe, classifica e encaminha solicitações?	Teste de ponta a ponta, responsáveis e registros de prazo
Retenção	Sistemas e fornecedores seguem os critérios publicados?	Matriz de retenção, configurações e evidências de descarte
Segurança	A descrição pública é verdadeira e evita garantias absolutas?	Validação das áreas de tecnologia e segurança
Incidentes	A equipe consegue avaliar risco, escalar e comunicar quando obrigatório?	Plano, simulação, decisão documentada e contatos atualizados

Erros comuns que tornam a política genérica ou pouco confiável

Erros aparecem quando a redação tenta ampliar permissões em vez de explicar práticas. Copiar outra empresa pode inserir fornecedores inexistentes, mencionar dados que nunca são recebidos e omitir o processador de pagamentos realmente usado. O resultado é uma página incompatível com contratos, banners e telas de cadastro.

Outro problema é manter um canal sem responsável. A empresa precisa definir quem monitora as mensagens, como reduz riscos de divulgação indevida ao confirmar a identidade do solicitante e para quais áreas encaminha cada demanda. Linguagem jurídica excessiva também afasta o leitor e dificulta a transparência esperada pela LGPD.

A correção deve trocar abstrações por relações verificáveis. Isso não significa publicar segredos técnicos nem criar uma lista interminável de fornecedores. Significa informar o suficiente para que a pessoa compreenda o contexto, os efeitos e as possibilidades de contato.

Exemplos de redação inadequada e versões mais claras

Frase inadequada	Problema	Versão corrigida
Usamos seus dados para quaisquer finalidades relacionadas ao negócio.	Não delimita finalidade nem contexto.	Usamos seus dados de contato para confirmar o pedido, prestar atendimento e enviar atualizações sobre a entrega.
Ao acessar o site, você concorda com todo tratamento.	Confunde informação, acesso e consentimento.	Este aviso explica os tratamentos realizados no site. Quando uma atividade depender de consentimento, apresentaremos uma solicitação específica.
Compartilhamos informações com parceiros confiáveis.	Não permite compreender quem participa do fluxo.	Compartilhamos os dados necessários com categorias de fornecedores que apoiam pagamento, hospedagem, atendimento e logística, conforme cada atividade.
Seus dados estão totalmente seguros.	Promete segurança absoluta.	Adotamos medidas técnicas e administrativas compatíveis com os riscos identificados e revisamos os controles aplicáveis.
Guardamos os dados pelo tempo necessário.	Não apresenta nenhum critério.	Mantemos os dados enquanto forem necessários para as finalidades informadas e pelos períodos exigidos ou permitidos pelas obrigações aplicáveis, observando critérios internos de retenção e descarte.
Podemos usar os dados com base em interesse legítimo.	Apresenta a base como permissão genérica.	Quando avaliarmos interesse legítimo para uma finalidade específica, consideraremos necessidade, expectativas do titular, impactos e salvaguardas aplicáveis.

Quando atualizar a política de privacidade

A revisão deve acompanhar cada gatilho de mudança no tratamento. Um novo programa de fidelidade, outra ferramenta de análise, uma integração com inteligência artificial ou a substituição da transportadora podem alterar dados, fontes, finalidades, sistemas e destinatários. Correções ortográficas simples diferem de mudanças relevantes que justificam nova versão e, conforme o impacto e o contexto, comunicação destacada aos titulares.

Privacy by Design significa incorporar considerações de privacidade desde a concepção e durante todo o ciclo de vida de produtos, serviços e processos. Na prática, a política não deve ser revisada apenas depois do lançamento. O fluxo de aprovação de mudanças deve incluir perguntas sobre novos dados, necessidade, acesso, compartilhamento, retenção, segurança, direitos e comunicação antes de colocar a funcionalidade em produção.

Uma conferência anual pode funcionar como controle administrativo, mas não é prazo legal universal e não substitui revisão imediata após mudanças significativas. O procedimento mínimo deve começar pela comparação entre a versão publicada e o mapa atualizado. Em seguida, as áreas confirmam sistemas e fornecedores, o atendimento testa os canais, o responsável jurídico revê as questões sensíveis e a aprovação fica registrada.

Ao concluir a revisão, classifique as mudanças. Ajustes editoriais podem apenas gerar uma versão corrigida. Novas finalidades, categorias de dados, transferências ou formas de compartilhamento podem exigir explicação destacada e reavaliação dos avisos apresentados nos pontos de coleta. Preserve o histórico para demonstrar qual texto esteve vigente em cada período.

• Novo produto, serviço, cadastro ou formulário.
• Mudança de finalidade, público ou base legal avaliada.
• Entrada ou substituição de fornecedor relevante.
• Nova tecnologia de rastreamento, automação ou transferência internacional.
• Alteração dos critérios de retenção ou do canal de atendimento.
• Incidente que revele divergência entre o texto e a operação.
• Mudança legal, regulatória ou em orientação aplicável à atividade.

Perguntas frequentes

Toda empresa precisa ter uma política de privacidade?

A LGPD exige transparência e acesso a informações sobre o tratamento, mas não determina para toda operação um documento com nome único. Uma política pública costuma ser uma solução prática quando a empresa coleta dados em sites, aplicativos, lojas ou formulários, desde que corresponda às atividades reais.

Privacy Policy e política de privacidade são a mesma coisa?

Sim. Privacy Policy é a expressão em inglês para política de privacidade. A escolha do idioma ou do título não substitui clareza, acessibilidade e correspondência com as práticas da organização.

A política de privacidade precisa do consentimento do usuário?

Não. A política informa como os dados são tratados; ela não depende de consentimento para existir. Quando uma operação utilizar essa base legal, a solicitação deve ser avaliada e apresentada de forma específica, sem ser confundida com uma simples confirmação de leitura.

Posso copiar a política de privacidade de outro site?

Não é recomendável. Outra empresa pode coletar dados diferentes, usar outros sistemas, contratar fornecedores distintos e adotar bases legais incompatíveis com o seu fluxo. Um modelo pode ajudar na estrutura, mas precisa ser preenchido a partir do mapeamento e validado.

É necessário informar o nome de todos os fornecedores?

A resposta depende do contexto e do nível de transparência necessário. Categorias de destinatários podem ser suficientes em algumas situações, mas compartilhamentos relevantes não devem ser escondidos por descrições vagas. Também é preciso avaliar o papel efetivamente exercido por cada participante.

Com que frequência a política de privacidade deve ser atualizada?

Não existe um intervalo universal aplicável a todas as empresas. Revise o documento quando mudarem dados, finalidades, sistemas, fornecedores, públicos ou regras aplicáveis. Uma conferência periódica adicional pode funcionar como controle interno.

A política de privacidade também deve falar sobre cookies?

Sim, quando cookies ou tecnologias semelhantes estiverem relacionados ao tratamento de dados pessoais. A explicação pode aparecer na política geral ou em um aviso específico conectado a ela e aos controles disponíveis.

Qual é o prazo da LGPD para responder a um pedido de acesso?

O artigo 19 distingue modalidades. A confirmação de existência ou o acesso em formato simplificado devem ser fornecidos imediatamente. A declaração clara e completa, com as informações previstas no dispositivo, deve ser fornecida em até 15 dias contados do requerimento.

Todo incidente de segurança deve ser comunicado em três dias úteis?

Não. Segundo a Resolução CD/ANPD nº 15/2024, a comunicação à ANPD e aos titulares é obrigatória quando o incidente puder acarretar risco ou dano relevante. Para os casos abrangidos, o prazo geral é de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvado prazo específico em legislação. Regras diferenciadas aplicáveis a agentes de pequeno porte e a possibilidade de complementação devem ser verificadas nos atos normativos correspondentes.

Conclusão

Uma Privacy Policy adequada nasce do conhecimento da operação, não da escolha de um modelo bem escrito. Na loja virtual, isso significa conectar cadastro, pagamento, entrega, atendimento, análise de navegação e marketing a explicações verificáveis, critérios de retenção, destinatários identificáveis e canais que realmente funcionem.

O trabalho não termina na publicação. A política precisa permanecer coerente com sistemas, contratos, formulários e decisões internas. Mapeamento atualizado, validação entre áreas, testes de acessibilidade, simulações de atendimento e controle de versões transformam transparência em uma prática operacional.

O primeiro passo é escolher um fluxo real, preencher o mapa de dados e compará-lo com o texto hoje disponível ao público. As divergências encontradas indicarão quais processos e trechos devem ser corrigidos antes da próxima publicação.