Sua empresa coleta dados de visitantes do Tennessee.

Você tem um formulário de contato, um pixel de publicidade, uma ferramenta de analytics, um chat de suporte. Cada um desses sistemas toca dados pessoais de alguma forma.

A Tennessee Information Protection Act (TIPA), em vigor desde 1º de julho de 2025, exige que você explique tudo isso de forma clara, acessível e específica em um documento público: a Política de Privacidade.

Não uma política genérica copiada de algum gerador online. Não um texto cheio de artigos e parágrafos que ninguém lê. Um documento que realmente comunica o que você faz com os dados de quem visita o seu site.

Este artigo é focado exclusivamente nisso: o que a TIPA exige da sua Política de Privacidade, ponto a ponto, com paralelos para quem já gerencia conformidade sob a LGPD ou outras legislações globais.

A TIPA não usa exatamente o termo "Política de Privacidade". A lei fala em Privacy Notice, ou Aviso de Privacidade. Mas na prática estamos falando do mesmo documento: aquele que informa ao consumidor como a empresa coleta, usa, armazena e compartilha os dados dele.

A lei exige que esse documento seja "razoavelmente acessível e claro". Essa definição é propositalmente aberta, mas o que ela quer dizer na prática é direto: o documento precisa ser encontrado com facilidade, precisa estar em linguagem que uma pessoa comum consiga entender, e precisa estar disponível antes que qualquer dado seja coletado.

O Attorney General do Tennessee é responsável pela fiscalização. E ele deixou claro nas orientações publicadas que transparência real, e não apenas formal, é o que a lei exige.

Esse é um ponto que muita empresa ignora.

A TIPA exige que o aviso de privacidade seja publicado de forma acessível no site do controlador. Na prática, isso significa que a Política de Privacidade precisa estar em um link visível, geralmente no rodapé do site, e esse link precisa funcionar em todas as páginas.

Além disso, o documento precisa estar disponível em cada idioma no qual a empresa oferece produtos ou serviços. Se o seu site tem versão em português e em inglês, a Política de Privacidade precisa existir nas duas línguas.

E precisa ser acessível para pessoas com deficiência. Isso é um requisito explícito da lei, não uma sugestão.

Esse padrão de acessibilidade e disponibilidade também está na LGPD no Art. 9º: as informações sobre o tratamento de dados precisam ser disponibilizadas de forma clara, adequada e ostensiva.

Vamos ponto a ponto no que a lei exige que esteja no documento.

A Política precisa listar as categorias de dados pessoais que a empresa processa e a finalidade de cada uma.

Dados pessoais sob a TIPA é qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável. Isso inclui nome, e-mail, telefone, endereço IP, histórico de navegação, dados de localização, histórico de compras, preferências e qualquer outro dado que permita identificar uma pessoa, direta ou indiretamente.

Para cada categoria, a finalidade precisa ser específica. Não funciona escrever "para melhorar nossos serviços" e deixar por aí. A lei exige finalidades legítimas, específicas e claramente informadas.

Exemplos de como fazer certo:

"Dados de e-mail coletados em formulários de cadastro: utilizados para enviar comunicações sobre novidades, promoções e atualizações, conforme as preferências configuradas pelo usuário."

"Dados de navegação coletados via ferramentas de analytics: utilizados para analisar o comportamento de uso do site e identificar oportunidades de melhoria de conteúdo e experiência."

"Dados de localização: utilizados para exibir conteúdo e ofertas relevantes com base na região do usuário."

Quanto mais específico, mais protegida fica a empresa. E mais confiança o consumidor deposita na marca.

Dados sensíveis têm tratamento especial na TIPA e precisam ser explicitamente identificados na Política de Privacidade.

A lei define como dados sensíveis: origem racial ou étnica, crenças religiosas, diagnósticos de saúde física ou mental, orientação sexual ou vida sexual, status de cidadania ou imigração, dados genéticos ou biométricos usados para identificação individual, dados de geolocalização precisa, e dados de crianças menores de 13 anos.

Se a empresa coleta qualquer dado que se enquadre nessas categorias, a Política precisa identificar isso de forma explícita e informar como o consentimento é obtido para esse processamento específico.

Dados sensíveis não podem ser processados sem consentimento explícito do consumidor antes de qualquer coleta. Esse ponto não tem exceção na TIPA.

Isso é alinhado com o que a LGPD exige no Art. 11 para dados sensíveis: consentimento específico e destacado, separado dos demais.

Se a empresa compartilha dados pessoais com terceiros, a Política precisa informar as categorias de dados compartilhados e as categorias de terceiros que os recebem.

Isso inclui ferramentas de e-mail marketing, CRMs, plataformas de analytics, redes de publicidade, parceiros comerciais, processadores de pagamento, e qualquer outro serviço que receba dados dos seus usuários.

A TIPA vai um passo além quando há venda de dados ou publicidade segmentada: nesses casos, a divulgação precisa ser clara e conspícua, e a Política precisa incluir um mecanismo visível para o consumidor fazer opt-out.

Se a empresa vende dados sensíveis, existe um aviso específico e obrigatório que precisa estar na Política de Privacidade com o texto exato: "NOTICE: We may sell your sensitive personal data." Em versões em português, o equivalente direto e claro precisa estar presente.

Esse nível de especificidade sobre compartilhamento com terceiros também é exigido pela LGPD no Art. 18, VII, que garante ao titular o direito de saber com quais entidades os dados foram compartilhados.

Para agências de marketing digital que gerenciam sites de clientes, esse ponto impacta diretamente os contratos de serviço. O site do cliente é controlador. A agência geralmente é operadora. Isso precisa estar refletido nos documentos de privacidade de cada cliente.

A Política de Privacidade precisa explicar como os consumidores do Tennessee podem exercer os direitos garantidos pela lei. E não apenas listar os direitos. O processo precisa estar descrito.

Quais canais usar para enviar uma solicitação. Como funciona a verificação de identidade. Qual o prazo de resposta (45 dias). O que acontece se o pedido for negado. Como recorrer.

Esse processo de exercício de direitos é o coração de qualquer relação de conformidade. Uma Política que lista direitos sem explicar como exercê-los cumpre a letra, mas não o espírito da lei.

O encarregado de dados ou a pessoa responsável pela conformidade na empresa precisa ter esse processo mapeado e funcionando antes de publicar a Política.

A TIPA exige que o controlador ofereça mecanismos efetivos para os consumidores exercerem seus direitos, que sejam pelo menos tão fáceis de usar quanto o mecanismo utilizado para dar consentimento.

A Política precisa descrever esses métodos: formulário online, e-mail dedicado, telefone ou o que for oferecido. O mínimo recomendado é dois canais.

A empresa não pode exigir que o consumidor crie uma nova conta para exercer seus direitos. Pode usar uma conta existente para autenticação, mas não pode criar barreiras artificiais.

A TIPA determina que as respostas a solicitações sejam dadas em até 45 dias. A Política precisa comunicar esse compromisso ao consumidor.

Precisa também deixar claro que o serviço é gratuito, pelo menos duas vezes por ano por consumidor. Exceções para pedidos manifestamente excessivos ou repetitivos existem, mas a regra geral é gratuidade.

A Política de Privacidade precisa mencionar que existe um processo de recurso para os casos em que um pedido for negado. Esse processo precisa ser tão acessível quanto o processo de solicitação original.

O prazo de resposta a recursos é de 60 dias. E se o recurso for negado, a empresa precisa informar ao consumidor como contatar o Attorney General do Tennessee para registrar uma reclamação.

A Política de Privacidade precisa ter a data em que foi atualizada pela última vez.

Isso parece simples, mas tem implicações operacionais importantes. Toda vez que a empresa passa a usar uma nova ferramenta de analytics, adiciona um novo parceiro de dados, ou muda a finalidade de uso de alguma categoria de dado, a Política precisa ser atualizada. E o consumidor precisa ser notificado sobre mudanças materiais, com oportunidade de revogar o consentimento se discordar das novas práticas.

Uma Política desatualizada que não reflete a realidade operacional do site é uma violação da TIPA. E é uma das falhas mais fáceis de identificar em uma investigação do Attorney General.

O mapeamento de dados interno precisa estar sincronizado com o que está publicado na Política. Toda vez que algo muda no site, alguém precisa avaliar se a Política precisa ser atualizada.

Essa é uma dúvida frequente para quem está estruturando a documentação de conformidade.

A TIPA não exige documentos separados. A Política de Privacidade pode ser um documento único que cobre todas as práticas de coleta e tratamento de dados, incluindo cookies e rastreadores.

Mas dependendo do volume de ferramentas que operam no site, uma seção dedicada a cookies dentro da Política pode não ser suficientemente detalhada. Nesse caso, ter uma Política de Cookies separada, com link direto no banner de consentimento e na Política de Privacidade, é a abordagem mais clara e auditável.

O que a lei não aceita é ter um documento genérico que menciona cookies em duas linhas e não explica nada. A transparência real exige especificidade.

Existe uma diferença enorme entre uma Política de Privacidade que existe para cumprir tabela e uma que realmente serve ao consumidor e protege a empresa.

A que não protege ninguém:

Usa finalidades vagas como "melhorar a experiência do usuário" sem especificação.

Lista direitos sem explicar como exercê-los.

Não menciona quais terceiros recebem dados.

Não tem data de última atualização.

Não menciona dados sensíveis mesmo que o site os colete.

Está desatualizada em relação às ferramentas que o site usa atualmente.

A que funciona de verdade:

Tem finalidades específicas para cada categoria de dado coletado.

Descreve o processo completo para cada direito do consumidor, com prazo e canal.

Lista as categorias de terceiros que recebem dados e para qual finalidade.

Identifica se dados sensíveis são coletados e como o consentimento é obtido.

Tem data de última atualização visível.

É revisada sempre que há mudança nas práticas de tratamento.

Está alinhada com o que realmente acontece no site.

A segunda abordagem não só cumpre a TIPA como também está alinhada com o que a LGPD, o GDPR e as demais legislações globais de privacidade exigem.

A TIPA tem um mecanismo único entre as leis estaduais americanas: a defesa afirmativa. Se a empresa mantém um programa de conformidade alinhado ao NIST Privacy Framework ou ao ISO 27701, ela pode usar isso como defesa em uma ação do Attorney General.

A Política de Privacidade é uma das peças visíveis desse programa. Um documento bem estruturado, específico e atualizado é evidência de que a empresa leva conformidade a sério.

Aplicar o conceito de privacy by design desde a concepção dos produtos e processos é o que faz essa evidência ser consistente e defensável, e não apenas uma política bonita que não reflete a operação real.

A regra prática é: sempre que houver mudança material nas práticas de tratamento de dados.

Isso inclui:

Adição de uma nova ferramenta de analytics, CRM, chat ou publicidade que não estava listada.

Novo parceiro de dados ou nova categoria de terceiros que recebe informações.

Mudança na finalidade de uso de alguma categoria de dado já coletada.

Início do processamento de dados sensíveis que antes não eram coletados.

Alteração nos canais de exercício de direitos ou no prazo de resposta.

A frequência mínima recomendada é uma revisão anual. Mas para sites com ambiente digital que muda com frequência, revisar a cada seis meses é mais seguro.

O ROPA é a ferramenta que organiza internamente o registro de todas as atividades de tratamento. Quando o ROPA é atualizado, é um sinal de que a Política de Privacidade também precisa ser revisada.

Para quem já tem uma política de privacidade estruturada para a LGPD ou para o GDPR, a boa notícia é que há muita sobreposição.

A estrutura central é a mesma nas três legislações: informar o que é coletado, para que é usado, com quem é compartilhado, como os direitos são exercidos, e como a empresa protege os dados.

As diferenças relevantes:

A LGPD exige que a base legal de cada tratamento seja informada. A TIPA não tem um sistema explícito de bases legais, mas o princípio de finalidade específica e necessidade é o mesmo.

O GDPR exige informação sobre o período de retenção dos dados para cada categoria. A TIPA não especifica esse requisito no mesmo nível de detalhe, mas o princípio de necessidade implica que os dados não podem ser mantidos além do necessário.

A TIPA tem o aviso específico obrigatório sobre venda de dados sensíveis, com texto exato definido pela lei. Isso não existe de forma idêntica na LGPD ou no GDPR.

Para quem quer uma política que atenda múltiplas jurisdições, o caminho mais eficiente é construir com base no conjunto mais exigente de requisitos, geralmente o GDPR, e adaptar os elementos específicos de cada lei.

A AdOpt não escreve a Política de Privacidade por você. Mas garante que o que está escrito no documento tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas no site, o que alimenta a lista de categorias de dados e terceiros que precisam estar na Política. A plataforma de gestão de consentimentos garante que o mecanismo de consentimento e opt-out funciona conforme descrito no documento.

O registro de consentimentos documenta cada interação do usuário com o aviso de cookies, o que é a evidência que a empresa precisaria apresentar ao Attorney General em caso de investigação.

E quando a lei muda, a plataforma atualiza automaticamente para manter a conformidade sem que você precise reconfigurar do zero.

Mais de 60 mil sites já operam com a AdOpt. Desde o plano gratuito até soluções para grandes operações com audiência global.

Privacidade não é um banner. É posicionamento.

Quer entender como estruturar a Política de Privacidade do seu site em conformidade com a TIPA? Fale com a nossa equipe.

Link visível e acessível em todas as páginas do site, geralmente no rodapé.

Disponível em todos os idiomas nos quais o controlador oferece produtos ou serviços.

Acessível para pessoas com deficiência, conforme exigência explícita da lei.

Categorias de dados pessoais coletados, com descrição específica de cada uma.

Finalidade do processamento para cada categoria, sem descrições vagas ou genéricas.

Identificação de dados sensíveis coletados e como o consentimento prévio é obtido para cada categoria.

Categorias de terceiros que recebem dados e quais categorias de dados são compartilhadas com eles.

Divulgação clara de venda de dados ou publicidade segmentada, com mecanismo de opt-out acessível.

Aviso específico sobre venda de dados sensíveis, se aplicável, com o texto exato exigido pela lei.

Como exercer cada direito garantido pela TIPA, com descrição do processo, canal e prazo de 45 dias.

Processo de recurso para pedidos negados, com prazo de 60 dias e informação sobre como contatar o Attorney General.

Política de não discriminação para consumidores que exercem seus direitos.

Gratuidade do serviço para pelo menos dois atendimentos por consumidor por ano.

Tratamento de dados de crianças menores de 13 anos, com declaração de como o consentimento parental é obtido ou que dados de menores não são coletados intencionalmente.

Data da última atualização do documento, visível e atualizada.

1. A TIPA exige um documento chamado especificamente "Política de Privacidade"?

Não pelo nome. A lei exige um Privacy Notice, um Aviso de Privacidade, que seja razoavelmente acessível e claro. Na prática, estamos falando da Política de Privacidade que a maioria dos sites já tem. O que a TIPA especifica é o conteúdo obrigatório desse documento e onde ele precisa estar publicado.

2. Posso usar a mesma Política de Privacidade para a TIPA e para a LGPD?

Sim, com os ajustes corretos. A estrutura central se sobrepõe bastante entre as duas legislações. As diferenças estão em detalhes como a exigência de base legal para cada tratamento na LGPD, e os avisos específicos sobre venda de dados sensíveis na TIPA. Com uma política bem estruturada, é possível atender os dois mercados a partir de um único documento adaptado.

3. Com que frequência devo atualizar a Política de Privacidade?

No mínimo anualmente. Mas a revisão precisa acontecer sempre que houver mudança material nas práticas de tratamento: nova ferramenta, novo parceiro de dados, nova categoria de dado coletada, ou mudança de finalidade. O encarregado de dados ou responsável pela conformidade deve monitorar essas mudanças e acionar a atualização do documento.

4. O que acontece se o Attorney General identificar que minha Política está incompleta?

O processo começa com uma notificação escrita com 30 dias para corrigir. Se a empresa corrigir e documentar adequadamente, a ação pode não ser ajuizada. Se não corrigir, as penalidades podem chegar a US$ 7.500 por violação, com o Attorney General podendo ainda buscar injunção e honorários advocatícios.

5. A Política de Privacidade e a Política de Cookies precisam ser documentos separados?

Não necessariamente. A TIPA não exige documentos separados. A Política de Privacidade pode cobrir cookies em uma seção dedicada. Mas para sites com muitas ferramentas de rastreamento, ter uma Política de Cookies separada com link direto no banner de consentimento e na Política de Privacidade é a abordagem mais clara, mais auditável e mais fácil de manter atualizada.

Privacidade não é um banner. É posicionamento.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a TIPA? Fale com a nossa equipe.