Toda empresa que coleta dados de residentes de New Hampshire precisa de um documento público que explique, de forma clara e específica, o que faz com essas informações.

Esse documento é a Política de Privacidade.

A New Hampshire Data Privacy Act (NHDPA, RSA 507-H), em vigor desde 1º de janeiro de 2025, define o que precisa estar nesse documento, como ele precisa ser publicado, e o que acontece quando está incompleto ou desatualizado.

Este artigo é focado exclusivamente nisso: o que a NHDPA exige da sua Política de Privacidade, ponto a ponto, verificado no texto integral da lei.

A lei usa o termo Privacy Notice, Aviso de Privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem.

O RSA 507-H:6, III determina que o controlador forneça aos consumidores um aviso de privacidade "claro e significativo em formato razoavelmente acessível". O documento pode ser publicado online, em aplicativos móveis ou em dispositivos pelos quais os consumidores interagem com o controlador.

Duas exigências específicas do RSA 507-H:6, III merecem atenção:

O documento precisa ser razoavelmente acessível a consumidores com deficiência, inclusive por meio de ferramentas digitais de acessibilidade.

O documento precisa incluir a data em que foi atualizado pela última vez.

O RSA 507-H:6, III lista os elementos obrigatórios do aviso de privacidade. Vamos ponto a ponto.

O documento precisa listar as categorias de dados pessoais que a empresa processa (RSA 507-H:6, III, a).

Dados pessoais sob a NHDPA é qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável, conforme RSA 507-H:1, XIX. Isso inclui nome, e-mail, IP, histórico de navegação, dados de localização e qualquer identificador que permita rastrear uma pessoa.

O documento precisa explicar para que os dados são usados (RSA 507-H:6, III, b).

E as finalidades precisam ser específicas. O RSA 507-H:6, I, b determina que a empresa não pode processar dados para finalidades que não sejam razoavelmente necessárias ou compatíveis com as declaradas, sem novo consentimento.

Finalidades vagas como "melhorar sua experiência" não atendem à exigência. "Dados de navegação coletados via analytics: utilizados para analisar o comportamento de uso do site e identificar páginas com maior taxa de abandono" é uma finalidade específica.

O documento precisa descrever como os consumidores podem exercer os direitos garantidos pela NHDPA, incluindo como apelar de uma decisão do controlador (RSA 507-H:6, III, c).

Não basta listar que os direitos existem. O processo precisa estar descrito: qual canal usar, como funciona a verificação de identidade, qual o prazo de resposta de 45 dias, e como recorrer se o pedido for negado.

O encarregado de dados ou responsável pela conformidade precisa ter esse processo mapeado e funcionando antes de publicar a Política.

Se a empresa compartilha dados com terceiros, o documento precisa informar quais categorias de dados são compartilhadas (RSA 507-H:6, III, d).

Isso inclui ferramentas de e-mail marketing, CRMs, plataformas de analytics, redes de publicidade, processadores de pagamento, e qualquer outro serviço que receba dados dos seus usuários.

Para agências de marketing digital que gerenciam sites de clientes, esse ponto é crítico. O site do cliente é controlador. A agência geralmente é operadora. A Política precisa refletir essa estrutura.

Além dos tipos de dados, a Política precisa informar quais categorias de terceiros os recebem (RSA 507-H:6, III, e).

Categorias como "plataformas de anúncios digitais", "ferramentas de analytics", "sistemas de CRM" são exemplos válidos. Não é necessário listar o nome de cada produto, mas as categorias precisam ser identificáveis.

O RSA 507-H:6, III, f exige um endereço de e-mail ativo ou outro mecanismo online pelo qual o consumidor possa contatar o controlador.

Não pode ser um formulário que não funciona, um e-mail que ninguém monitora ou um link quebrado. O canal precisa estar operacional.

O RSA 507-H:6, III, g torna obrigatório incluir a data em que o aviso de privacidade foi atualizado pela última vez.

Toda vez que houver mudança material nas práticas de tratamento de dados, o documento precisa ser atualizado e essa data precisa ser refletida.

Se a empresa vende dados pessoais a terceiros ou os processa para publicidade segmentada, o RSA 507-H:6, IV exige que essa prática seja claramente declarada, junto com o mecanismo pelo qual o consumidor pode exercer o opt-out.

O RSA 507-H:6, V, a exige que a Política descreva pelo menos um meio seguro e confiável para o consumidor submeter solicitações. Esse meio precisa incluir um link claro e conspícuo para uma página onde o consumidor pode exercer o opt-out de publicidade segmentada ou venda de dados.

A empresa não pode exigir que o consumidor crie uma nova conta para exercer seus direitos.

Dados sensíveis têm tratamento especial na NHDPA e precisam ser identificados na Política de Privacidade.

Conforme RSA 507-H:1, XXVIII, são dados sensíveis: origem racial ou étnica, crenças religiosas, saúde física ou mental, vida sexual, orientação sexual, cidadania, dados genéticos ou biométricos usados para identificação, dados de crianças conhecidas menores de 13 anos, e dados de geolocalização precisa.

Se a empresa coleta qualquer dado dessa categoria, a Política precisa:

Identificar explicitamente que dados sensíveis são coletados.

Informar para qual finalidade específica cada categoria é usada.

Descrever como o consentimento explícito e prévio é obtido, conforme exigido pelo RSA 507-H:6, I, d.

Explicar como esse consentimento pode ser revogado.

E sobre revogação: após receber a solicitação de revogação do consentimento, a empresa tem no máximo 15 dias para cessar o processamento, conforme RSA 507-H:6, I, f. Esse prazo precisa estar refletido na Política.

O RSA 507-H:6, I, g proíbe processar dados de consumidores para publicidade segmentada ou vendê-los sem consentimento quando o controlador tem conhecimento real de que o consumidor tem entre 13 e 15 anos.

Essa proteção vai além da proteção de crianças menores de 13 anos. Se o site pode ter usuários adolescentes nessa faixa etária, a Política de Privacidade precisa mencionar como essa proteção é implementada.

O RSA 507-H:8 exige que os controladores conduzam e documentem Data Protection Assessments para atividades que apresentem risco elevado ao consumidor, incluindo publicidade segmentada, venda de dados, perfilamento com risco previsível de dano, e processamento de dados sensíveis.

As avaliações não precisam ser publicadas na Política, mas precisam ser documentadas e disponibilizadas ao Attorney General mediante solicitação. Elas são confidenciais e isentas de divulgação pública (RSA 507-H:8, III).

O ROPA é o documento interno que organiza o registro dessas atividades.

Um ponto que impacta a urgência da adequação: em 2025, o Attorney General era obrigado a dar 60 dias para a empresa corrigir antes de ajuizar ação (RSA 507-H:11, II). A partir de 2026, esse período de cura passou a ser discricionário (RSA 507-H:11, III).

Isso significa que uma Política de Privacidade inadequada em 2026 pode resultar em ação direta, sem garantia de prazo para correção.

As violações são enquadradas sob o RSA 358-A:2, com penalidades de referência de até US$ 10.000 por violação.

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A plataforma de gestão de consentimentos garante que o mecanismo de consentimento e revogação funciona conforme descrito.

O registro de cada consentimento e revogação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Privacidade do seu site em conformidade com a NHDPA? Fale com a nossa equipe.

Link visível e acessível em todas as páginas do site.

Acessível para pessoas com deficiência, inclusive via ferramentas digitais (RSA 507-H:6, III).

Categorias de dados pessoais processados, com descrição específica (RSA 507-H:6, III, a).

Finalidade do processamento para cada categoria, sem descrições vagas (RSA 507-H:6, III, b).

Como exercer cada direito garantido pela NHDPA, com processo, canal e prazo de 45 dias (RSA 507-H:6, III, c).

Categorias de dados compartilhados com terceiros (RSA 507-H:6, III, d).

Categorias de terceiros que recebem dados (RSA 507-H:6, III, e).

Canal de contato ativo, e-mail ou mecanismo online funcional (RSA 507-H:6, III, f).

Data da última atualização visível (RSA 507-H:6, III, g).

Divulgação de publicidade segmentada ou venda de dados com opt-out acessível (RSA 507-H:6, IV).

Identificação de dados sensíveis e como o consentimento prévio é obtido (RSA 507-H:6, I, d).

Prazo de 15 dias para cessação após revogação (RSA 507-H:6, I, f).

Proteção para adolescentes de 13 a 15 anos (RSA 507-H:6, I, g).

Processo de apelação descrito com prazo de 60 dias.

Política de não discriminação para consumidores que exercem seus direitos.

Gratuidade de uma vez por ano por consumidor.

1. A NHDPA exige um documento chamado especificamente "Política de Privacidade"?
A lei exige um Privacy Notice claro e significativo em formato razoavelmente acessível, conforme RSA 507-H:6, III. Na prática, é a Política de Privacidade. O que a lei especifica é o conteúdo mínimo obrigatório com sete elementos listados diretamente no texto da lei.

2. A gratuidade de atendimento a DSARs é para quantas solicitações por ano?
Uma vez por ano por consumidor, conforme RSA 507-H:4, III, c. A partir da segunda solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar se considerar excessiva, mas precisa provar o caráter excessivo da solicitação.

3. Com que frequência devo revisar a Política de Privacidade?
Sempre que houver mudança material nas práticas de tratamento. A lei exige que a data de última atualização esteja visível no documento (RSA 507-H:6, III, g). O encarregado de dados deve monitorar mudanças nas ferramentas do site e acionar a atualização quando necessário.

4. O que mudou na fiscalização a partir de 2026?
Em 2025, o Attorney General era obrigado a dar 60 dias para cura antes de ajuizar (RSA 507-H:11, II). A partir de 2026, o período de cura é discricionário (RSA 507-H:11, III). O Attorney General pode ou não conceder o prazo, considerando fatores como número de violações, tamanho da empresa e probabilidade de dano ao público.

5. A Política de Privacidade precisa cobrir a proteção de adolescentes?
Sim. O RSA 507-H:6, I, g proíbe publicidade segmentada e venda de dados de consumidores entre 13 e 15 anos sem consentimento, quando a empresa tem conhecimento dessa faixa etária. Se o site pode ter usuários adolescentes, a Política precisa mencionar essa proteção.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a NHDPA? Fale com a nossa equipe.