Se utiliza a identificação de visitantes ao nível da empresa, a sua política de privacidade tem de o declarar. Não numa nota de rodapé, não numa névoa jurídica e não numa página separada que ninguém liga — mas sim no mesmo documento que os seus visitantes já sabem consultar. Este é um guia prático sobre o parágrafo que lhes deve, onde colocá-lo e como redigi-lo sem o tornar mais complexo do que o necessário.
Nota
Este é um artigo de marketing, não aconselhamento jurídico. Utilize o snippet no final como ponto de partida e peça ao seu DPO ou consultor jurídico que o adapte ao seu processamento real.
Onde colocar o parágrafo
O local correto é a sua política de privacidade existente — geralmente na secção intitulada algo como "Analytics do website", "Utilização dos seus dados" ou "Processamento neste website". Adicione-o como uma nova subsecção com um título claro, perto da secção de analítica, mas distinto desta. O objetivo é que um visitante com dez segundos e Ctrl+F o consiga encontrar sob "identificação de visitantes" ou "dados de empresas".
Não o esconda dentro da sua política de cookies. As políticas de cookies referem-se ao armazenamento no dispositivo; a identificação ao nível da empresa normalmente não utiliza cookies, e colocá-lo lá confunde toda a gente.
O que o parágrafo deve cobrir
Seis elementos, sensivelmente nesta ordem. Nenhum deles precisa de ser longo.
- O que faz: identificar a empresa (organização) por trás de uma visita ao website, não a pessoa individual.
- Que dados processa: o endereço IP do visitante durante uma breve janela técnica, além das páginas visitadas e carimbos de data/hora.
- Como os processa: o IP é resolvido para uma organização utilizando uma base de dados de IP-para-empresa; o IP bruto não é retido após a resolução.
- Porquê: interesse legítimo ao abrigo do Art. 6(1)(f) do GDPR — marketing direto e inteligência de contas — com o teste de ponderação devidamente arquivado.
- Retenção: quanto tempo as visitas identificadas são mantidas nos seus sistemas.
- Direitos e opt-out: um link para a sua página de opt-out e uma nota informando que os visitantes podem opor-se a qualquer momento.
O que fazer e o que evitar na redação
| Fazer | Evitar |
|---|---|
| Dizer "identificamos a empresa (organização) visitante" | Dizer "identificamos visitantes" (ambíguo — soa a pessoal) |
| Nomear a base legal explicitamente (Art. 6(1)(f)) | Referir consentimento quando a base é o interesse legítimo |
| Descrever a transformação do IP (IP → empresa, não armazenado em bruto após resolução) | Omitir a janela de retenção — o silêncio é interpretado como para sempre |
| Ligar diretamente à página de opt-out | Apenas indicar às pessoas que "nos contactem para oposição" |
| Nomear o subcontratante se utilizar um, com link para o DPA/lista de sub-processadores | Deixar o processamento por terceiros implícito |
| Utilizar linguagem simples a par dos termos jurídicos | Confiar apenas em latim e números de artigos |
Um snippet pronto a usar (adapte à sua configuração)
"Identificação de visitantes do website (nível de empresa). Quando visita o nosso site, processamos o seu endereço IP durante uma breve janela técnica para determinar a organização por trás da visita — não a pessoa individual. O IP é resolvido para uma empresa através de uma pesquisa de IP-para-organização e não é retido de forma bruta após essa resolução. Combinamos a empresa resolvida com as páginas que visualizou e a hora da sua visita, para que possamos compreender quais as organizações interessadas nos nossos serviços e entrar em contacto quando apropriado. Base legal: interesse legítimo ao abrigo do Artigo 6.º, n.º 1, alínea f) do GDPR (marketing direto e inteligência de contas), documentado num teste de ponderação interno disponível mediante solicitação. Retenção: as visitas identificadas são armazenadas por [12 meses] e depois eliminadas. Tem o direito de se opor a qualquer momento; pode autoexcluir-se deste processamento em [link para a sua página /opt-out]."
Substitua [12 meses] pelo seu período de retenção real. Substitua o link de opt-out pelo seu. Se utilizar um subcontratante, adicione: "Utilizamos o [nome do fornecedor] como subcontratante para este fim. O nosso acordo de processamento de dados (DPA) está disponível em [link]."
Duas âncoras que vale a pena ligar
O parágrafo torna-se mais robusto quando faz a ligação para duas outras páginas: o seu DPA (para a relação com o fornecedor) e a sua lista de sub-processadores. Ambos sinalizam que "pensámos nisto de ponta a ponta" a qualquer potencial cliente cuja equipa de segurança leia a sua política — e eles leem.
O que mais muda quando adiciona este parágrafo
Um parágrafo raramente é a única edição. Duas páginas vizinhas são habitualmente atualizadas ao mesmo tempo: a lista de sub-processadores (adicione o seu fornecedor de identificação) e o registo de atividades de processamento do seu lado. Se tiver um banner de cookies, este parágrafo não pertence às categorias do banner — a identificação ao nível da empresa não necessita de consentimento via banner, desde que o teste de ponderação seja realizado. Uma breve nota interna explicando isto ao seu administrador de CMP evitará um ticket confuso daqui a seis meses.
Assim que o parágrafo estiver online, tire uma captura de ecrã da secção e arquive-a junto ao seu teste de ponderação. Se um regulador alguma vez perguntar como os visitantes foram informados a 3 de agosto do ano X, ficará satisfeito por ter essa captura de ecrã datada.
Este artigo serve apenas para informação geral de equipas B2B e não constitui aconselhamento jurídico. Peça ao seu DPO ou consultor jurídico para confirmar a redação final para o seu processamento específico.
Publicado por
lead.box Team
Mais artigos
Veja o lead.box no seu próprio tráfego
Comece gratuitamente — sem cartão, sem necessidade de chamada de vendas. Ou reserve uma demonstração de 20 minutos se preferir uma visita guiada.