CCPA Privacy Policy: O Guia Definitivo (com Checklist) para Não Levar Multa

CCPA e CPRA: O Novo Pesadelo (ou Oportunidade) dos Negócios

Você já leu os Termos de Serviço do Instagram? Pois é, ninguém leu. Mas a CCPA (California Consumer Privacy Act) e sua irmã mais nova, a CPRA, não são brincadeira. Se você coleta dados de californianos – mesmo que sua empresa seja no Brasil –, precisa de uma Privacy Policy que não pareça escrita por um robô entediado.

A boa notícia? O Attorney General da Califórnia liberou um template oficial que serve como guia. A má notícia? Seguir só o template pode te deixar vulnerável. Vamos destrinchar os requisitos com uma pitada de humor (porque falar de lei seca é tão divertido quanto limpar rejunte de piso com escova de dente).

O Link Mágico: 'Do Not Sell or Share My Personal Information'

Esse link é o equivalente ao botão de emergência do avião: tem que estar visível, funcionando e sem coisinhas atrapalhando. Na sua Privacy Policy, ele precisa aparecer de forma clara – nada de letras cinzas em fundo preto. A CCPA exige que o consumidor possa, com um clique, dizer “não venda meus dados”. E a CPRA adicionou o “compartilhar” (para publicidade comportamental).

Dica de amigo: coloque esse link também no rodapé do site, não só na política. E teste se ele realmente funciona – nada de link quebrado na hora H.

Categorização de Dados: Seja Específico, Não Genérico

Não adianta escrever “coletamos informações pessoais”. A CCPA exige que você liste as categorias de dados coletados nos últimos 12 meses, e também as categorias de dados vendidos ou compartilhados. Exemplo: identificadores (nome, email), informações comerciais (histórico de compras), dados de navegação (cookies), etc.

Se você vende dados (sim, vender dados é mais comum do que parece), precisa listar quais categorias foram vendidas para cada tipo de terceiro. É chato? Sim. Mas menos chato que uma multa de US$ 2.500 por violação (ou US$ 7.500 se for intencional).

Canais para Exercício de Direitos: Não Faça o Consumidor Pular Obstáculos

O consumidor tem direito a saber quais dados você coletou, solicitar a exclusão, e opt-out da venda. E você precisa fornecer pelo menos dois canais para isso: um telefone gratuito (se você tem modelo de negócio que justifique) e um formulário online. Ah, e não pode exigir que a pessoa crie uma conta só para exercer os direitos – isso é considerado barreira.

Se você receber uma solicitação, tem 45 dias para responder (prorrogáveis por mais 45, se avisar). E não pode discriminar o consumidor que exerceu os direitos – ou seja, nada de aumentar o preço ou negar serviço.

Checklist Visual: Sua Privacy Policy em Ordem

Para ajudar, criei um widget interativo (em CSS puro, sem JavaScript) que você pode copiar e colocar no seu site. Marque os itens conforme for implementando. É como uma lista de compras, mas com menos vontade de comer chocolate.

Pronto. Agora você tem um guia prático para não ser pego de surpresa. Lembre-se: a CCPA não é um bicho de sete cabeças, mas se ignorada, pode morder o seu bolso. Atualize sua Privacy Policy hoje – seu eu do futuro (e o Attorney General) agradecem.