Modelo de política de privacidade para sites e empresas
Encontre orientações para elaborar uma política de privacidade clara para site, loja virtual ou empresa. O conteúdo explica quando usar o documento, quais informações incluir, como preencher o modelo editável e quais cuidados ajudam a atender à LGPD.
Sumário
- 01 O que é política de privacidade e para que serve
- 02 Quando usar um modelo de política de privacidade
- 03 Base legal e transparência na LGPD
- Consentimento não é aviso genérico
- 04 Informações que não podem faltar no documento
- 05 Como preencher o modelo editável desta página
- 06 Modelo de Modelo de política de privacidade para sites e empresas
- 07 Dados pessoais, dados sensíveis e dados de crianças
- Evite coletar o que não é necessário
- 08 Tipos e variações de política de privacidade
- 09 Cuidados e erros comuns ao publicar a política
- 10 Política de privacidade, termos de uso e contratos
- 11 Perguntas frequentes sobre modelo de política de privacidade
- Uma pequena empresa precisa ter política de privacidade?
- Posso usar o mesmo texto para site e loja virtual?
- Preciso colocar CPF na política de privacidade?
- A política de privacidade precisa ter assinatura?
- Com que frequência a política deve ser atualizada?
- 12 Referências
- 13 Vídeo explicativo
- 14 Aviso importante
Uma política de privacidade é o documento que explica, de forma acessível, como uma pessoa ou empresa coleta, utiliza, armazena, compartilha e protege dados pessoais. Para quem mantém um site, loja virtual, aplicativo, formulário de contato ou atendimento digital, esse texto é uma medida importante de transparência com clientes, visitantes, fornecedores e demais titulares de dados.
O modelo de política de privacidade desta página foi estruturado para servir como ponto de partida na organização dessas informações. Ele precisa ser personalizado conforme a atividade efetivamente realizada: não basta copiar um texto genérico se o site usa formulários, ferramentas de análise, meios de pagamento, plataformas de envio de e-mail ou outros serviços que tratem dados pessoais.
O que é política de privacidade e para que serve
A política de privacidade é uma comunicação dirigida ao titular dos dados. Seu objetivo principal é informar quais dados podem ser tratados, para quais finalidades, em que hipóteses ocorre compartilhamento, por quanto tempo os dados são mantidos e quais canais o titular pode usar para exercer seus direitos.
No Brasil, a Lei Geral de Proteção de Dados Pessoais, a LGPD, disciplina o tratamento de dados pessoais por pessoas físicas e jurídicas, de direito público ou privado, nas hipóteses previstas em seu texto. Uma política bem redigida ajuda a demonstrar transparência, mas não substitui práticas reais de segurança, governança e atendimento ao titular.
O documento também contribui para alinhar a operação interna. Ao descrevê-la, a empresa precisa identificar seus formulários, cadastros, sistemas, parceiros e fluxos de dados. Esse levantamento reduz o risco de publicar promessas que não correspondem ao funcionamento do negócio.
“As informações deverão ser disponibilizadas de forma clara, adequada e ostensiva.”
Lei nº 13.709/2018, art. 9º
Quando usar um modelo de política de privacidade
O documento é indicado sempre que uma atividade coleta ou utiliza informações relacionadas a pessoa natural identificada ou identificável. Isso pode ocorrer mesmo em negócios pequenos e em situações aparentemente simples, como o recebimento de uma mensagem por formulário de contato.
Em geral, é recomendável disponibilizar uma política de privacidade quando houver:
- site institucional com formulário de contato, orçamento ou cadastro;
- loja virtual com criação de conta, pedidos, pagamentos ou entrega;
- captação de contatos para newsletter, lista de espera ou campanhas;
- atendimento por canais digitais e registro de solicitações de clientes;
- uso de ferramentas de estatísticas, publicidade, chat, CRM ou automação;
- aplicativo, área restrita, plataforma de cursos ou sistema de agendamento.
A necessidade de transparência não depende apenas do volume de dados. O ponto central é compreender a operação. Se a empresa recebe nome, telefone, e-mail, endereço, documento de identificação, dados de pagamento ou informações de navegação, deve avaliar cuidadosamente como comunicará o tratamento ao titular.
Base legal e transparência na LGPD
A política não cria, por si só, autorização para tratar dados. Cada operação precisa estar vinculada a uma das bases legais previstas na LGPD. O consentimento é apenas uma das possibilidades e não deve ser presumido nem usado como justificativa automática para toda coleta.
Conforme o caso concreto, o tratamento pode estar relacionado à execução de contrato ou de procedimentos preliminares solicitados pelo titular, ao cumprimento de obrigação legal ou regulatória, ao exercício regular de direitos, à proteção do crédito, ao legítimo interesse ou a outra hipótese prevista em lei. A definição exige análise da finalidade, do tipo de dado, do contexto da relação e dos impactos para o titular.
Ao preparar o texto, consulte a Lei Geral de Proteção de Dados Pessoais no Portal da Legislação. A leitura é especialmente útil para compreender princípios, direitos dos titulares, bases legais, segurança e responsabilidades dos agentes de tratamento.
Consentimento não é aviso genérico
Se determinada atividade realmente depender de consentimento, a solicitação deve ser apresentada de modo destacado e vinculada a uma finalidade determinada. Uma cláusula ampla, escondida ou condicionada sem necessidade pode não atender aos requisitos legais. Além disso, a pessoa precisa ter meios viáveis para revogar o consentimento quando essa for a base aplicável.
Informações que não podem faltar no documento
Uma política eficiente deve refletir a realidade da organização. O leitor deve conseguir entender, sem linguagem excessivamente técnica, o percurso básico de seus dados e os canais disponíveis para contato.
| Item | O que informar | Exemplo de aplicação |
|---|---|---|
| Identificação do controlador | Nome, CNPJ quando houver e canal de contato | Empresa responsável pelo site e pelo atendimento |
| Dados coletados | Categorias de informações efetivamente tratadas | Nome, e-mail, telefone, endereço e dados de navegação |
| Finalidades e bases legais | Motivos do tratamento e hipótese legal correspondente | Responder pedido, entregar produto ou cumprir obrigação |
| Compartilhamento | Com quem os dados podem ser compartilhados e por quê | Meios de pagamento, hospedagem, entrega e contabilidade |
| Direitos e atendimento | Como o titular apresenta sua solicitação | E-mail ou formulário do canal de privacidade |
Também é prudente indicar a existência de medidas de segurança proporcionais aos riscos, o critério de retenção ou descarte de dados, a possibilidade de atualização da política e a forma de comunicar alterações relevantes. Evite afirmar que a segurança é absoluta: nenhum ambiente digital elimina integralmente todos os riscos.
Como preencher o modelo editável desta página
Antes de publicar o documento, faça um mapeamento simples do tratamento de dados. Não é necessário criar uma política longa se a operação for reduzida, mas é indispensável que o texto seja verdadeiro, específico e compreensível.
- Identifique o responsável. Preencha a razão social ou o nome da pessoa responsável, o CNPJ ou CPF conforme aplicável e um canal de contato funcional.
- Liste os pontos de coleta. Verifique formulários, cadastros, checkout, atendimento, newsletter, área do cliente, cookies e integrações externas.
- Classifique os dados coletados. Relacione apenas as categorias necessárias, como nome, e-mail, telefone, endereço, dados de faturamento e dados de navegação.
- Defina as finalidades. Explique objetivamente para que cada grupo de dados é usado, sem expressões vagas como “quaisquer finalidades necessárias”.
- Analise a base legal. Para cada finalidade, valide a hipótese legal pertinente e registre internamente essa decisão.
- Mapeie os destinatários. Informe os prestadores ou categorias de terceiros que recebem dados para viabilizar a operação.
- Estabeleça o canal do titular. Indique um e-mail ou outro meio capaz de receber e acompanhar pedidos relacionados aos dados pessoais.
- Revise e publique. Confirme se a redação coincide com as práticas reais e deixe o acesso visível no site ou ambiente digital.
Depois de preencher, mantenha uma versão arquivada da política e registre as alterações relevantes. Se o negócio passar a usar uma nova plataforma, iniciar campanhas de marketing ou alterar seus meios de pagamento, revise o documento e os processos internos.
Modelo editável
Modelo Editável Aqui
Clique em “Editar documento” para preencher os campos entre colchetes. As alterações ficam salvas apenas neste navegador.
POLÍTICA DE PRIVACIDADE
IDENTIFICAÇÃO DO CONTROLADOR
Esta Política de Privacidade é adotada por [NOME EMPRESARIAL OU NOME COMPLETO], inscrito(a) no [CNPJ OU CPF], com sede ou endereço em [ENDEREÇO COMPLETO], doravante denominado(a) CONTROLADOR(A). Esta política aplica-se aos dados pessoais tratados por meio de [NOME DO SITE, LOJA VIRTUAL, APLICATIVO OU CANAL DIGITAL], disponível em [ENDEREÇO DO SITE OU IDENTIFICAÇÃO DO CANAL], bem como pelos canais de atendimento relacionados à atividade do(a) CONTROLADOR(A).
O(A) CONTROLADOR(A) valoriza a privacidade e busca tratar os dados pessoais de maneira transparente, segura e compatível com as finalidades informadas nesta política e com a legislação aplicável.
1. OBJETO E FINALIDADE DESTA POLÍTICA
1.1. Esta Política de Privacidade tem por finalidade informar como o(a) CONTROLADOR(A) pode coletar, utilizar, armazenar, compartilhar, proteger e eliminar dados pessoais de visitantes, clientes, potenciais clientes, fornecedores, parceiros e demais pessoas naturais que interajam com seus canais de comunicação e serviços.
1.2. Este documento também explica os direitos dos titulares de dados pessoais e informa o canal disponibilizado para solicitações, dúvidas, correções e demais comunicações relacionadas ao tratamento de dados.
1.3. O tratamento de dados pessoais será realizado somente quando necessário, de acordo com finalidades legítimas, específicas e previamente informadas, observadas as bases legais aplicáveis.
2. DADOS PESSOAIS QUE PODEM SER COLETADOS
2.1. O(A) CONTROLADOR(A) poderá coletar dados fornecidos diretamente pelo titular, tais como: nome completo, nome empresarial, CPF, CNPJ, endereço de e-mail, número de telefone, endereço postal, dados de faturamento, informações contidas em mensagens, solicitações de orçamento, pedidos, reclamações, documentos enviados voluntariamente e demais dados necessários à execução da relação mantida com o titular.
2.2. Durante a navegação em [NOME DO SITE OU PLATAFORMA], também poderão ser coletados dados técnicos e de uso, conforme as ferramentas efetivamente utilizadas, incluindo endereço de protocolo de internet, data e horário de acesso, páginas visualizadas, dispositivo, navegador, sistema operacional, origem de acesso e registros relacionados ao funcionamento e à segurança do ambiente digital.
2.3. Quando aplicável, o(a) CONTROLADOR(A) poderá receber dados de terceiros que participem da execução de serviços, pagamentos, entregas, cadastros ou atendimentos, desde que esse recebimento seja necessário e esteja amparado por base legal adequada.
2.4. O(A) CONTROLADOR(A) não solicita dados pessoais sensíveis, salvo quando estritamente necessário para a atividade desenvolvida, para o cumprimento de obrigação legal ou para outra hipótese autorizada pela legislação. Caso haja necessidade de tratamento dessa categoria de dados, serão adotados cuidados adicionais compatíveis com a natureza da informação e a finalidade envolvida.
3. FINALIDADES DO TRATAMENTO DE DADOS
3.1. Os dados pessoais poderão ser tratados para as seguintes finalidades, conforme aplicável ao relacionamento com o titular:
- identificar e autenticar o titular em cadastros, áreas restritas ou canais de atendimento;
- receber e responder mensagens, pedidos de contato, solicitações de orçamento e dúvidas;
- elaborar propostas, formalizar contratos, executar serviços e acompanhar obrigações assumidas;
- processar pedidos, pagamentos, faturamentos, entregas, trocas, devoluções e atendimentos pós-venda;
- emitir documentos fiscais, cumprir obrigações legais, regulatórias, contábeis e tributárias;
- prevenir fraudes, proteger direitos, manter a segurança do site e registrar evidências necessárias;
- enviar comunicações relacionadas a produtos, serviços, pedidos ou relacionamento comercial, quando permitido pela legislação aplicável;
- aprimorar produtos, serviços, conteúdos, atendimento e funcionamento dos canais digitais.
3.2. O(A) CONTROLADOR(A) não utilizará os dados pessoais para finalidade incompatível com aquela informada ao titular, salvo quando houver justificativa legal e comunicação adequada, conforme o caso.
4. BASES LEGAIS PARA O TRATAMENTO
4.1. O tratamento de dados pessoais poderá ocorrer, conforme o caso concreto, para cumprimento de obrigação legal ou regulatória, execução de contrato ou de procedimentos preliminares relacionados a contrato do qual o titular seja parte, exercício regular de direitos, proteção do crédito, atendimento de interesse legítimo do(a) CONTROLADOR(A) ou de terceiro, consentimento do titular ou outra hipótese prevista na legislação aplicável.
4.2. Quando o tratamento depender de consentimento, o(a) CONTROLADOR(A) solicitará manifestação livre, informada e inequívoca do titular para a finalidade específica apresentada. O consentimento poderá ser revogado pelo titular, quando aplicável, mediante solicitação enviada ao canal indicado nesta política, sem prejuízo dos tratamentos realizados anteriormente de forma legítima.
5. COMPARTILHAMENTO DE DADOS PESSOAIS
5.1. O(A) CONTROLADOR(A) poderá compartilhar dados pessoais apenas na medida necessária à realização das finalidades descritas nesta política, inclusive com prestadores de serviços, plataformas de hospedagem, fornecedores de tecnologia, sistemas de atendimento, meios de pagamento, instituições financeiras, empresas de logística, contabilidade, assessorias, autoridades públicas e demais parceiros indispensáveis à atividade desenvolvida.
5.2. Os destinatários dos dados deverão tratar as informações de acordo com as finalidades autorizadas, com as obrigações contratuais aplicáveis e com a legislação vigente. O compartilhamento não autoriza o uso dos dados para finalidades próprias e incompatíveis sem base legal adequada.
5.3. Caso haja transferência internacional de dados pessoais em razão da utilização de serviços tecnológicos, hospedagem, armazenamento ou fornecedores localizados no exterior, o(a) CONTROLADOR(A) buscará observar os requisitos legais aplicáveis a essa transferência.
6. COOKIES E TECNOLOGIAS SEMELHANTES
6.1. O site ou plataforma poderá utilizar cookies e tecnologias semelhantes para permitir o funcionamento de recursos essenciais, lembrar preferências, compreender padrões de navegação, medir desempenho e, quando aplicável, oferecer conteúdos ou comunicações mais relevantes.
6.2. O titular poderá gerenciar cookies por meio das configurações do navegador ou do mecanismo disponibilizado em [NOME DO SITE OU PLATAFORMA], quando existente. A desativação de determinados cookies poderá afetar o funcionamento de algumas funcionalidades do ambiente digital.
6.3. O(A) CONTROLADOR(A) deverá ajustar esta cláusula para refletir as tecnologias efetivamente utilizadas, incluindo ferramentas de análise, publicidade, chat, formulários e integrações de terceiros.
7. ARMAZENAMENTO, RETENÇÃO E SEGURANÇA
7.1. Os dados pessoais serão armazenados pelo período necessário ao atendimento das finalidades informadas, à execução de contratos, ao cumprimento de obrigações legais e regulatórias, à proteção de direitos e à defesa em processos administrativos, judiciais ou arbitrais, quando cabível.
7.2. Após o término da necessidade de tratamento, os dados poderão ser eliminados, anonimizados ou mantidos nas hipóteses permitidas pela legislação aplicável.
7.3. O(A) CONTROLADOR(A) adota medidas técnicas, administrativas e organizacionais razoáveis e proporcionais aos riscos para proteger os dados pessoais contra acessos não autorizados, perda, alteração, divulgação ou destruição indevida. Nenhum sistema é integralmente imune a riscos; por isso, o(a) CONTROLADOR(A) mantém esforços contínuos de prevenção e aperfeiçoamento de suas práticas de segurança.
8. DIREITOS DO TITULAR DOS DADOS
8.1. O titular poderá solicitar informações e exercer os direitos previstos na legislação aplicável, incluindo, quando cabível, confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos, inexatos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, informação sobre compartilhamentos, revogação do consentimento e revisão de decisões automatizadas, quando aplicável.
8.2. Para proteger a segurança e a privacidade do titular, o(a) CONTROLADOR(A) poderá solicitar informações ou documentos razoáveis para confirmar a identidade de quem realiza a solicitação.
9. CANAL DE PRIVACIDADE E ATENDIMENTO AO TITULAR
9.1. Solicitações, dúvidas, reclamações e comunicações relacionadas ao tratamento de dados pessoais deverão ser encaminhadas para [E-MAIL DE PRIVACIDADE], ou por meio de [FORMULÁRIO, ENDEREÇO OU OUTRO CANAL DE ATENDIMENTO].
9.2. O(A) CONTROLADOR(A) analisará as solicitações recebidas e responderá dentro dos prazos e condições previstos na legislação aplicável, observadas as limitações técnicas, legais e de segurança eventualmente existentes.
10. ATUALIZAÇÕES DESTA POLÍTICA
10.1. Esta Política de Privacidade poderá ser atualizada sempre que houver alteração nas atividades, nos serviços, nas ferramentas utilizadas, nas práticas de tratamento de dados ou na legislação aplicável.
10.2. A versão vigente estará disponível em [LOCAL DE PUBLICAÇÃO DA POLÍTICA]. Recomenda-se que o titular consulte este documento periodicamente para acompanhar eventuais modificações.
11. DISPOSIÇÕES FINAIS
11.1. Esta política deve ser interpretada de acordo com a legislação brasileira aplicável, especialmente as normas relacionadas à proteção de dados pessoais, privacidade, relações de consumo e contratos eletrônicos, quando pertinentes.
11.2. Caso alguma disposição desta política seja considerada inválida ou inexequível, as demais disposições permanecerão válidas na máxima extensão permitida pela legislação.
[CIDADE] – [UF], [DIA] de [MÊS] de [ANO].
________________________________________
[NOME EMPRESARIAL OU NOME COMPLETO]
[CNPJ OU CPF]
Dados pessoais, dados sensíveis e dados de crianças
Nem toda informação possui o mesmo nível de risco. Dados pessoais são informações relacionadas a pessoa natural identificada ou identificável. Dados pessoais sensíveis, por sua vez, recebem proteção específica na LGPD e incluem informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos quando vinculados a uma pessoa natural.
Se o seu negócio trata dados sensíveis, a política precisa ser ainda mais precisa, mas a redação do documento não resolve sozinha as exigências aplicáveis. Avalie necessidade, base legal, medidas de proteção, acesso restrito e riscos envolvidos.
O tratamento de dados de crianças e adolescentes exige atenção especial ao melhor interesse desse público. Quando esse cenário existir, recomenda-se orientação profissional antes da publicação, pois o fluxo de coleta, as informações fornecidas e os mecanismos de confirmação precisam ser adequados ao caso.
Evite coletar o que não é necessário
O princípio da necessidade orienta a limitação do tratamento ao mínimo necessário para a finalidade informada. Se um formulário de orçamento precisa somente de nome, contato e descrição da demanda, pedir documento de identificação ou endereço completo pode ser inadequado. Menos coleta, quando suficiente, também reduz exposição em caso de incidente.
Tipos e variações de política de privacidade
Não existe um único texto ideal para todos os negócios. A estrutura básica pode ser semelhante, mas as cláusulas devem acompanhar a finalidade e o canal de relacionamento utilizado.
- Política para site institucional: costuma abordar formulários, contatos comerciais, currículos e dados de navegação.
- Política para loja virtual: normalmente inclui cadastro, compras, faturamento, pagamentos, entrega, trocas e prevenção a fraudes.
- Política para prestação de serviços: pode contemplar dados recebidos em propostas, contratos, execução de serviços e atendimento pós-venda.
- Política para aplicativo ou plataforma: exige detalhamento adicional sobre contas, funcionalidades, registros de acesso, comunicações e integrações.
- Política interna para colaboradores: trata de relações de trabalho e não deve ser simplesmente misturada à política pública destinada a clientes e visitantes.
Também pode ser necessário criar um aviso específico para cookies. A política de privacidade pode mencionar o uso dessas tecnologias, mas ferramentas não essenciais, especialmente as relacionadas a publicidade ou monitoramento, merecem avaliação própria quanto à transparência e ao mecanismo de escolha oferecido ao usuário.
Cuidados e erros comuns ao publicar a política
Publicar uma política copiada de outro site pode causar inconsistências graves. Um texto que menciona operações inexistentes confunde o titular; outro que omite práticas reais deixa de cumprir seu propósito de transparência. O documento deve acompanhar o funcionamento efetivo do negócio.
- não usar modelos prontos sem adaptar os campos e as cláusulas;
- não informar coleta de dados que a empresa não realiza;
- não omitir ferramentas externas que recebem dados dos usuários;
- não usar finalidade genérica, sem explicar a utilidade concreta do tratamento;
- não exigir consentimento para todas as situações de forma automática;
- não deixar um canal de atendimento inativo ou sem responsável;
- não prometer proteção absoluta ou retenção indefinida sem justificativa;
- não confundir política de privacidade com termos de uso, contrato de compra ou aviso de cookies.
O controlador deve adotar medidas de segurança técnicas e administrativas adequadas à proteção dos dados. Para uma visão institucional sobre o tema, vale consultar a página da Receita Federal do Brasil apenas quando houver necessidade de orientar o contribuinte sobre canais oficiais e obrigações fiscais; ela não substitui a análise das regras de privacidade aplicáveis ao seu negócio.
Política de privacidade, termos de uso e contratos
Esses documentos têm finalidades diferentes, embora possam coexistir em um mesmo site. A política de privacidade informa o tratamento de dados pessoais. Os termos de uso estabelecem regras de acesso e utilização de uma plataforma. Já contratos regulam obrigações entre partes, como prestação de serviços, compra e venda, parceria ou licenciamento.
Em uma loja virtual, por exemplo, o cliente pode encontrar termos de uso, política de privacidade, política de trocas e condições comerciais. Cada texto deve ser coerente com os demais. Se o contrato prevê comunicação por e-mail, a política precisa explicar como os dados de contato são utilizados nesse contexto, sem transformar essa explicação em autorização ilimitada para marketing.
Perguntas frequentes sobre modelo de política de privacidade
Uma pequena empresa precisa ter política de privacidade?
Quando trata dados pessoais em site, atendimento, vendas, cadastros ou outros canais, a pequena empresa deve observar as regras aplicáveis da LGPD. Uma política clara e compatível com a operação é uma ferramenta importante de transparência. O porte do negócio pode influenciar a forma de implementação de algumas medidas, mas não elimina a necessidade de cuidado com dados pessoais.
Posso usar o mesmo texto para site e loja virtual?
Somente se as práticas forem efetivamente iguais, o que nem sempre ocorre. Uma loja virtual costuma tratar dados adicionais para pagamento, faturamento, entrega, suporte e prevenção a fraudes. Por isso, adapte o conteúdo à operação concreta e informe os destinatários envolvidos.
Preciso colocar CPF na política de privacidade?
A identificação do responsável deve ser suficiente para que o titular saiba quem controla seus dados e consiga entrar em contato. Empresas normalmente utilizam a razão social e o CNPJ. Profissionais ou negócios sem pessoa jurídica devem avaliar a forma mais adequada de identificação e exposição de informações, considerando seu contexto e os riscos envolvidos.
A política de privacidade precisa ter assinatura?
Em regra, uma política disponibilizada em site funciona como aviso de transparência e não depende de assinatura do visitante para existir. Contudo, determinadas atividades podem exigir registros específicos, aceite de termos ou coleta de consentimento, conforme a base legal e a finalidade. Esses mecanismos devem ser analisados separadamente.
Com que frequência a política deve ser atualizada?
Revise o documento sempre que houver mudança relevante no tratamento de dados, como inclusão de nova ferramenta, alteração nas finalidades, novos compartilhamentos ou mudança no canal de atendimento. Mesmo sem alterações aparentes, uma revisão periódica ajuda a verificar se o texto continua fiel à realidade.
Referências
Vídeo explicativo
Sobre o autor
Stefano Barcellos
Editor e curador de modelos de documentos
Stefano Barcellos é editor do MSG Center e responsável pela curadoria dos modelos de documentos publicados no portal, com foco em linguagem clara, estrutura organizada e atualização constante do conteúdo.
