A VTEX é a plataforma de ecommerce enterprise mais usada no Brasil. Grandes varejistas, marcas globais e lojas de médio porte confiam nela para operar. É robusta, escalável, e tem uma série de recursos de compliance embutidos.

Mas aqui está o que muitos gestores de lojas VTEX ainda não sabem: a VTEX não resolve o problema de cookies por você.

Os scripts de rastreamento do Google Ads, o pixel do Meta, as ferramentas de analytics, os chatbots de terceiros, tudo isso está instalado na sua loja, carregando no momento em que qualquer visitante acessa, sem que ele tenha dado qualquer tipo de consentimento.

Isso é violação da LGPD. É também potencial limitação da sua conta Google. E é, acima de tudo, um risco que tem solução simples e definitiva.

Este guia é técnico e prático. Vamos cobrir desde o que é uma CMP, por que ecommerces VTEX precisam de uma, até o passo a passo completo de instalação, categorização de tags e integração com Google Tag Manager.

---

,
CMP significa Consent Management Platform, plataforma de gestão de consentimentos. Em termos simples, é o sistema responsável por:

1. Exibir o aviso de cookies ao visitante.
2. Coletar e registrar o consentimento (ou a recusa).
3. Bloquear scripts de terceiros até que o consentimento seja dado.
4. Comunicar o estado do consentimento para ferramentas como Google Analytics e Meta Ads.
5. Manter um registro auditável de quem consentiu, quando e com qual versão do aviso.

Uma CMP não é apenas um banner bonito. É uma infraestrutura técnica e jurídica que operacionaliza a conformidade com a LGPD.

A VTEX tem recursos de compliance relevantes:

• VTEX SHIELD: módulo de segurança enterprise com logs de auditoria e controle de acesso granular.
• Campos de consentimento configuráveis no checkout (opt-in para newsletter, aceite de termos).
• Data Processing Agreements (DPAs) como parte do contrato com a plataforma.
• Política de retenção de dados gerenciável via APIs de dados do cliente.
• Master Data: permite exportar e excluir dados de clientes mediante solicitação (direitos de titulares).

A VTEX gerencia os dados que ela mesma processa. Mas ela não gerencia os dados coletados pelos terceiros que você instalou na sua loja:

• Google Analytics 4
• Google Ads (tags de conversão e remarketing)
• Meta Pixel (Facebook/Instagram)
• TikTok Pixel
• Hotjar, Microsoft Clarity (heatmaps)
• Criteo, RTB House (retargeting)
• RD Station, HubSpot (CRM e automação)
• Intercom, Zendesk (chatbots)

Cada uma dessas ferramentas instala cookies e coleta dados de comportamento dos visitantes. Sem uma CMP, todos esses scripts rodam livremente desde o primeiro acesso, sem consentimento, sem base legal, sem registro. A configuração completa do aviso de cookies na VTEX resolve isso na origem, e quem ainda está comparando alternativas encontra os critérios em plugin de cookies para VTEX.

---

Para entender por que a situação é problemática, é preciso entender como os cookies funcionam tecnicamente no contexto de uma loja VTEX.

1. Visitante acessa a loja VTEX.
2. A página carrega, incluindo todos os scripts instalados via GTM ou código customizado.
3. Google Analytics registra a sessão.
4. Meta Pixel registra o acesso e começa a construir o perfil do visitante.
5. Tags de remarketing ativam e começam a "marcar" o visitante para futuras campanhas.
6. Nenhum consentimento foi solicitado.
7. Nenhum dado de consentimento foi registrado.
8. Tudo isso aconteceu antes que o visitante fizesse qualquer coisa.

Do ponto de vista da LGPD, os dados foram coletados sem base legal. Do ponto de vista do Google, o Consent Mode não recebeu nenhum sinal, o que pode resultar em limitações de dados.

Muitas lojas VTEX têm um banner de cookies, mas ele é apenas visual. O script do Google Analytics continua carregando antes do aceite. O pixel do Meta continua ativo. O banner é apenas uma fachada que não bloqueia nada.

Isso não é conformidade. A ANPD avalia não apenas a presença do aviso, mas se ele é tecnicamente eficaz em bloquear o rastreamento antes do consentimento. O que separa um banner decorativo de um banner válido está detalhado no guia prático do banner de cookies na VTEX.

Uma CMP válida precisa implementar bloqueio prévio de scripts (pre-consent blocking). Isso significa que as tags de terceiros precisam estar configuradas para não disparar até que o usuário tome uma decisão de consentimento.

Isso é implementado de duas formas:

• Via Google Tag Manager: as tags são configuradas com um consent check que impede o disparo sem consentimento confirmado.
• Via código customizado: a CMP insere um script de controle que bloqueia outras tags até o consentimento.

---

O Google Consent Mode v2 é um requisito do Google para publishers e anunciantes em zonas reguladas, e o Brasil é uma delas.

O Consent Mode v2 é um framework que permite que as ferramentas do Google (GA4, Google Ads, Floodlight) adaptem seu comportamento com base no estado do consentimento do usuário:

• Usuário aceita todos os cookies: as ferramentas funcionam normalmente, coletando todos os dados.
• Usuário recusa cookies: as ferramentas operam em modo "sem cookies", enviando sinais de comportamento agregados e anônimos.

O Google usa modelagem estatística para recuperar as métricas.

O resultado é que você não fica "às cegas" mesmo com usuários que recusam, e fica em conformidade com a lei.

O Consent Mode v2 utiliza quatro parâmetros de consentimento:

Uma CMP certificada pelo Google precisa ser capaz de configurar esses quatro parâmetros com base na escolha do usuário no banner de cookies.

• "Consent Required" no Google Ads: a partir de março de 2024, o Google exige Consent Mode v2 para campanhas que atingem usuários na UE e no EEA. No Brasil, a pressão está aumentando progressivamente.
• Dados desconectados: sem Consent Mode, conversões de usuários que recusaram cookies simplesmente desaparecem dos relatórios, sem a modelagem estatística que recupera parte dessas métricas.
• Audiências incompletas: a criação de audiências de remarketing depende de dados de cookies. Sem Consent Mode, audiências ficam menores e menos precisas.

---

A AdOpt pode ser instalada na VTEX de duas formas principais: via Google Tag Manager (recomendado para a maioria dos cenários) ou via código customizado no tema.

Antes de começar, certifique-se de que:

• Você tem acesso ao painel administrativo da VTEX.
• O Google Tag Manager está instalado e funcionando na loja (ou você tem acesso ao tema para inserir código).
• Você tem uma conta na AdOpt e o banner está configurado.
• Você tem acesso ao Google Tag Manager para reconfigurar as tags de terceiros.

Se o GTM ainda não está instalado, acesse o admin da VTEX em:
Configurações da Conta → Gerenciamento de conta → Código de acompanhamento

Insira os snippets do GTM (head e body) nos campos correspondentes. Em lojas VTEX com arquitetura FastStore ou IO, a instalação é feita no arquivo de configuração do theme ou via app do GTM na VTEX App Store.

No GTM:

1. Acesse Tags → Nova.
2. Selecione "HTML Personalizado".
3. Cole o código de instalação da AdOpt (disponível no painel AdOpt em Instalação → Código).
4. Configure o acionador como "All Pages", a AdOpt precisa carregar em todas as páginas e antes de qualquer outra tag.
5. Defina a prioridade de disparo da tag AdOpt como a mais alta (ex: 999). Isso garante que ela carregue antes de qualquer outra tag.

Na AdOpt, ative a integração com Google Consent Mode v2 (painel → Integrações → Google Consent Mode v2). A AdOpt vai injetar automaticamente os sinais de consentimento para o Google.

No GTM, você precisará adicionar um acionador de inicialização de consentimento:

1. Acesse Acionadores → Novo.
2. Selecione "Inicialização de consentimento - Todas as páginas".
3. Use este acionador na tag da AdOpt (em substituição ao "All Pages" padrão, ou em adição a ele para garantir a ordem).

Para cada tag de terceiro no GTM (GA4, Google Ads, Meta Pixel, etc.):

1. Abra a tag.
2. Acesse "Configurações de Consentimento Avançadas".
3. Defina os tipos de consentimento necessários:
   • Google Analytics → analytics_storage
   • Google Ads → ad_storage, ad_user_data, ad_personalization
   • Meta Pixel → ad_storage
4. Selecione "Não disparar quando o consentimento exigido for negado".

Após essas configurações, as tags só disparam quando o usuário aceita as categorias correspondentes.

Use o modo de preview do GTM para simular um acesso e verificar:

• A tag da AdOpt dispara primeiro.
• As tags de terceiros não disparam antes do aceite.
• Após o aceite, as tags de terceiros disparam corretamente.
• Após a recusa, as tags de terceiros permanecem bloqueadas (exceto as essenciais).

Após os testes, publique o container do GTM. O aviso de cookies estará ativo e funcional.

Para lojas com temas legados da VTEX (Legacy CMS) ou situações em que o GTM não é uma opção:

1. Acesse o admin da VTEX em Storefront → Layout.
2. No arquivo de template principal (geralmente home.html ou o arquivo de cabeçalho), insira o código da AdOpt antes de qualquer outro script de terceiro.
3. A posição correta é imediatamente após a tag <head> e antes de qualquer tag do Google ou Meta.

Para lojas VTEX IO / FastStore, a instalação é feita no arquivo de layout do componente de cabeçalho, seguindo a documentação específica da arquitetura.

---

Instalar o banner é a parte visível. Mas a categorização de tags é o que garante que o sistema funciona corretamente do ponto de vista legal.

A classificação mais usada no mercado, alinhada com as diretrizes do GDPR e do guia orientativo da ANPD, divide os cookies em:

Cada categoria tem um nível de consentimento separado. O usuário deve poder aceitar apenas analytics sem aceitar marketing, por exemplo.

A AdOpt tem um scanner automático que varre o seu site e identifica todos os cookies e scripts ativos. Para uma loja VTEX:

1. No painel AdOpt, vá em Scanner → Novo Scan.
2. Insira a URL da loja.
3. O scanner vai identificar todos os cookies presentes e sugerir categorias.
4. Revise as sugestões, o scanner é preciso, mas às vezes precisa de ajuste manual para scripts customizados da VTEX.

Scripts instalados via código customizado na VTEX (especialmente em temas legados) podem não ser detectados automaticamente. Faça uma auditoria manual:

• Acesse o código-fonte da loja em produção.
• Procure por <script> tags que chamem domínios externos.
• Identifique cada domínio e a qual ferramenta corresponde.
• Categorize manualmente na CMP.

Essa auditoria deve ser repetida sempre que uma nova ferramenta for instalada na loja.

---

O checkout da VTEX roda em um subdomínio separado (checkout.nominaloja.com.br) e tem limitações para scripts de terceiros. O aviso de cookies precisa estar presente tanto no storefront quanto no checkout.

Para garantir que o consentimento dado no storefront seja válido no checkout:

• Use cookies de consentimento com escopo de domínio pai (.nominaloja.com.br), não apenas o subdomínio do storefront.
• Verifique nas configurações da AdOpt se o escopo do cookie de consentimento está configurado corretamente.
• No GTM do checkout (se separado), configure o Consent Mode v2 para ler o estado de consentimento salvo.

A VTEX App Store tem dezenas de apps que podem instalar scripts na sua loja automaticamente. Cada app instalado pode trazer novos cookies de terceiros que precisam ser:

• Identificados no próximo ciclo de scan.
• Categorizados na CMP.
• Informados na política de privacidade.

Crie uma rotina de verificação de compliance sempre que instalar ou atualizar um app da VTEX App Store. Quando a loja também opera como marketplace, a divisão de responsabilidade sobre os dados muda, e cada mudança dessas precisa aparecer na política de privacidade da loja.

Arquiteturas headless (NextJS com VTEX API, FastStore) têm mais flexibilidade para instalar a CMP, mas também exigem mais atenção técnica:

• A CMP deve ser instalada no _document.js ou equivalente, garantindo que carrega antes de qualquer script de terceiro.
• O React Suspense e lazy loading precisam ser verificados para garantir que scripts de analytics não carregam em paralelo antes do consentimento.
• Server-side rendering (SSR) tem implicações: cookies definidos no servidor precisam ser avaliados separadamente.

---

Com várias CMPs disponíveis no mercado, como escolher a certa? Aqui estão os critérios que importam para uma loja VTEX:

A CMP deve ser certificada pelo Google para operar o Consent Mode v2. Sem essa certificação, a integração com Google Ads e Analytics pode não funcionar corretamente. A lista de CMPs certificadas está disponível no site do IAB Tech Lab.

A AdOpt é uma CMP certificada pelo Google, você pode verificar na lista oficial.

Confirme que a CMP bloqueia scripts antes do consentimento, não apenas após a recusa. Muitas CMPs baratas apenas "registram" o consentimento sem realmente bloquear nada.

A CMP precisa manter um log auditável com:

• ID único do consentimento.
• Data e hora.
• IP (ou hash do IP).
• Versão do aviso exibida.
• Escolhas feitas (aceito tudo / apenas essenciais / personalizado).

Esse registro é sua prova legal em caso de questionamento da ANPD ou processo judicial.

O banner de cookies precisa ser consistente com o design da sua loja. Uma CMP que não permite customização vai parecer um elemento estranho na experiência, e pode até prejudicar a taxa de conversão.

Para uma loja brasileira, suporte em PT-BR não é luxo, é necessidade. Problemas técnicos precisam de resposta rápida, e barreiras de idioma atrasam a resolução.

Compare:

---

Implementar a CMP é o início, não o fim. O compliance de cookies na VTEX exige monitoramento contínuo porque:

• Novas ferramentas são instaladas: cada app, pixel ou script novo introduz novos cookies.
• A lei evolui: a ANPD publica novas orientações regularmente. O guia orientativo da ANPD sobre cookies é atualizado periodicamente.
• O Google atualiza requisitos: as exigências do Consent Mode evoluem.
• Redesigns e migrações: mudanças na plataforma podem quebrar configurações de CMP.

• Mensal: novo scan da AdOpt para detectar cookies novos ou alterados.
• Trimestral: revisão da política de privacidade e do texto do aviso de cookies.
• A cada nova instalação de app ou ferramenta: scan imediato e categorização.
• A cada atualização de tema ou migração de plataforma: teste completo do fluxo de consentimento.

---

1. O aviso de cookies da VTEX nativo é suficiente para conformidade com a LGPD?

Não. A VTEX não tem uma CMP nativa. O que ela oferece são campos de opt-in no checkout e controles de dados de clientes via Master Data, mas não há bloqueio prévio de scripts de terceiros, nem registro auditável de consentimento para cookies. Uma CMP externa é necessária.

2. Preciso de CMP mesmo que minha loja seja pequena?

Sim, se você usa scripts de terceiros (Google Analytics, Meta Pixel, etc.), e praticamente toda loja VTEX usa. O tamanho da loja não muda a obrigação legal. O que muda é a complexidade da implementação.

3. Quanto tempo leva para instalar a AdOpt na VTEX?

Via GTM, um desenvolvedor experiente consegue implementar em 2 a 4 horas. Isso inclui instalação, configuração do Consent Mode v2, atualização das tags e testes. Via código no tema, pode levar mais tempo dependendo da arquitetura.

4. O aviso de cookies vai afetar minha taxa de conversão?

Quando bem configurado e bem desenhado, o impacto na conversão é mínimo, estudos de mercado indicam menos de 1% de impacto na taxa de adição ao carrinho. O design do banner importa: opções claras, texto objetivo e visual integrado ao site minimizam a fricção.

5. O Google Consent Mode v2 é obrigatório para lojas VTEX no Brasil?

Tecnicamente não é uma obrigação legal brasileira, é um requisito do Google para manter o pleno funcionamento das ferramentas de anúncios. Na prática, lojas sem Consent Mode v2 reportam dados incompletos no GA4 e têm performance de campanhas afetada. Para lojas com tráfego europeu, é obrigatório pelo GDPR.

---

Conformidade com LGPD e Google Ads não são objetivos conflitantes, são complementares. Uma loja VTEX com CMP certificada, Consent Mode v2 ativo e tags devidamente categorizadas opera com:

• Segurança jurídica: base legal documentada para todos os cookies.
• Performance de campanhas preservada: modelagem estatística do Google mantém a inteligência dos anúncios.
• Dados confiáveis: analytics baseado em consentimento real, não em rastreamento duvidoso.
• Reputação protegida: o visitante vê que a loja respeita sua privacidade — e isso converte.

A AdOpt é a CMP brasileira certificada pelo Google, criada para o ecossistema de ecommerce nacional. Temos integração documentada com VTEX, GTM, GA4, Meta Ads e as principais ferramentas de marketing utilizadas pelas lojas brasileiras.

Agende uma reunião com a nossa equipe da AdOpt