Tem uma pergunta que muita gente faz quando descobre que uma nova lei de privacidade entrou em vigor em outro país:

"Mas isso me afeta mesmo?"

No caso da Texas Data Privacy and Security Act, a TDPSA, a resposta é direta: se o seu site tem visitantes do Texas, sim. Não importa se a sua empresa é brasileira, europeia ou de qualquer outra parte do mundo. Se você coleta dados de residentes do estado do Texas e não é uma pequena empresa nos termos da lei, a TDPSA se aplica a você.

E um dos primeiros documentos que ela exige é o que a lei chama de Privacy Notice. Em português: Aviso de Privacidade, ou como a maioria das pessoas conhece no dia a dia, a Política de Privacidade.

Esse artigo vai fundo nisso. O que a TDPSA exige da sua Política de Privacidade, ponto a ponto, com citação dos artigos da lei. O que não pode faltar. O que diferencia uma política que protege sua empresa de uma política que não protege ninguém.

Sem enrolação, sem juridiquês.

A Texas Data Privacy and Security Act (Tex. Bus. & Com. Code Ann. § 541.001 et seq.) entrou em vigor em 1º de julho de 2024. É a lei estadual de proteção de dados do Texas e faz parte de um movimento que vem crescendo nos Estados Unidos desde a CCPA californiana de 2020.

A lei tem um objetivo claro: devolver o controle dos dados pessoais para as pessoas. Ela cria direitos para os consumidores, define obrigações para as empresas, e estabelece penalidades para quem não cumprir.

O Sec. 541.002(a) define quem precisa se adequar: qualquer pessoa que conduza negócios no Texas ou produza um produto ou serviço consumido por residentes do estado, que processe ou venda dados pessoais, e que não seja uma pequena empresa conforme a definição da Small Business Administration federal.

Repare que a lei não fala em ter um escritório no Texas. Fala em atender residentes do Texas. Se o seu site recebe tráfego de lá e coleta dados dessas pessoas, você está no escopo da lei.

A única exceção relevante para pequenas empresas é que, mesmo sendo small business, se você vende dados sensíveis, precisa obter consentimento do consumidor antes. Isso está no Sec. 541.107.

O Privacy Notice é o documento central de transparência da TDPSA. É o equivalente ao que chamamos de Política de Privacidade no Brasil.

O Sec. 541.102 define exatamente o que esse documento precisa conter. E aqui está o ponto fundamental: não é um documento opcional. Não é uma sugestão de boa prática. É uma obrigação legal com requisitos específicos e detalhados.

A TDPSA ainda exige que esse documento seja "reasonably accessible and clear", ou seja, razoavelmente acessível e claro. Não dá para esconder a Política de Privacidade em um link cinza no rodapé com fonte tamanho 9. Ela precisa ser encontrada com facilidade.

Vamos percorrer cada obrigação do Sec. 541.102 e o que ela significa na prática.

Sec. 541.102(a)(1): o documento precisa listar as categorias de dados pessoais que a empresa coleta e processa. Se algum desses dados for considerado dado sensível pela lei, isso também precisa ser informado.

O Sec. 541.001(19) define dados pessoais como qualquer informação, incluindo dados sensíveis, vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável. Isso inclui dados pseudonimizados quando usados com informações adicionais que permitam identificar a pessoa.

Isso é bem parecido com o que a LGPD define no seu Art. 5º: "dado pessoal: informação relacionada a pessoa natural identificada ou identificável." A lógica é a mesma nos dois lados do Atlântico.

Na prática, sua Política de Privacidade precisa listar categorias como:

Dados de identificação como nome, endereço, e-mail, número de telefone.

Dados de navegação como endereço IP, tipo de navegador, páginas visitadas, tempo de permanência.

Dados de comportamento como histórico de compras, preferências, interações com o site.

Dados de localização quando coletados.

Dados fornecidos voluntariamente em formulários, cadastros, inscrições.

E se algum dado coletado se enquadrar na definição de dado sensível do Sec. 541.001(29), isso precisa ser explicitamente informado.

O que são dados sensíveis para a TDPSA? Dados que revelam origem racial ou étnica, crenças religiosas, diagnósticos de saúde mental ou física, sexualidade, cidadania ou status de imigração. Dados genéticos ou biométricos processados para identificar um indivíduo. Dados de crianças menores de 13 anos. E dados de geolocalização precisa (dentro de um raio de 1.750 pés, conforme o Sec. 541.001(21)).

Esses dados têm tratamento especial na lei. Precisam de consentimento explícito antes de qualquer processamento, conforme o Sec. 541.101(b)(4).

Sec. 541.102(a)(2): a Política precisa explicar para que os dados pessoais coletados são utilizados.

E aqui vale a mesma lógica que a LGPD já estabelece no seu Art. 6º, I: o tratamento deve ser realizado "para propósitos legítimos, específicos, explícitos e informados ao titular".

Finalidades vagas não funcionam. "Para melhorar sua experiência" não é uma finalidade específica. "Para personalizar o conteúdo exibido com base no histórico de navegação" é.

O Sec. 541.101(a)(1) reforça isso ao exigir que a coleta de dados seja limitada ao que é adequado, relevante e razoavelmente necessário em relação às finalidades informadas. Você não pode coletar tudo e depois decidir para que vai usar.

Na prática, para cada categoria de dado listada na sua Política, você precisa explicar por que está coletando e o que faz com ele:

E-mail coletado em formulário de cadastro: enviado para comunicar sobre novidades, atualizações e ofertas, conforme preferências configuradas pelo usuário.

Dados de navegação coletados via analytics: utilizados para analisar o comportamento de uso do site, identificar páginas com maior abandono e melhorar a experiência de navegação.

Dados de localização: utilizados para personalizar resultados e exibir conteúdo relevante com base na região do usuário.

Quanto mais específico, melhor. Isso vale para a TDPSA, para a LGPD e para o GDPR.

Sec. 541.102(a)(3): o documento precisa explicar como os consumidores podem exercer os direitos previstos no Subchapter B da lei, incluindo como podem apelar de uma decisão da empresa caso seu pedido seja negado.

Isso é um dos pontos mais práticos e muitas vezes mal implementados nas Políticas de Privacidade. A lei diz que você precisa explicar o processo. Não apenas mencionar que os direitos existem.

Que direitos são esses?

O Sec. 541.051(b) lista os direitos dos consumidores sob a TDPSA:

Direito de confirmar se a empresa está processando seus dados e de acessar esses dados.

Direito de corrigir imprecisões nos seus dados pessoais.

Direito de solicitar a exclusão dos dados fornecidos por ou coletados sobre o consumidor.

Direito de obter uma cópia dos seus dados em formato portátil e utilizável, se disponível em formato digital.

Direito de opt-out do processamento para fins de publicidade segmentada, venda de dados pessoais, e perfilamento com efeitos legais ou significativos.

Para cada um desses direitos, a sua Política precisa informar como o consumidor faz o pedido. Qual é o canal. Qual é o prazo de resposta. O que acontece se o pedido for negado e como recorrer.

O Sec. 541.053 estabelece que a empresa precisa criar um processo de apelação que seja conspicuamente disponível e semelhante ao processo de solicitação original. E se negar a apelação, precisa informar ao consumidor como entrar em contato com o Procurador Geral do Texas para registrar uma reclamação.

Isso precisa estar descrito na sua Política de Privacidade. Não em uma página separada que ninguém encontra. No próprio documento.

Sec. 541.102(a)(4): se a empresa compartilha dados pessoais com terceiros, as categorias de dados compartilhados precisam estar informadas na Política.

Isso é direto ao ponto. Se você usa ferramentas de marketing como HubSpot, CRMs, plataformas de e-mail, ferramentas de analytics, ou qualquer serviço que recebe dados dos seus usuários, esses compartilhamentos precisam estar documentados.

A LGPD também exige isso no Art. 18, VII: o titular tem direito de saber "informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados."

A lógica é simples: o usuário tem o direito de saber quem está recebendo as informações dele. Não só que você as coleta, mas para onde elas vão.

Sec. 541.102(a)(5): além de listar os tipos de dados compartilhados, a Política precisa listar as categorias de terceiros que recebem esses dados.

Isso não significa necessariamente listar o nome de cada empresa. "Fornecedores de serviços de e-mail marketing", "plataformas de analytics", "redes de publicidade digital", "provedores de CRM" são exemplos de categorias válidas.

Mas se a empresa vende dados a terceiros ou usa dados para publicidade segmentada, o Sec. 541.103 vai um passo além: exige uma divulgação clara e conspícua sobre essa prática e sobre como o consumidor pode fazer opt-out.

E se a empresa vender dados sensíveis, o Sec. 541.102(b) exige um aviso específico e visível: "NOTICE: We may sell your sensitive personal data."

Se vender dados biométricos, o Sec. 541.102(c) exige: "NOTICE: We may sell your biometric personal data."

Esses avisos precisam estar no mesmo local e com o mesmo destaque do restante da Política.

Sec. 541.102(a)(6): a Política precisa descrever os métodos pelos quais os consumidores podem submeter solicitações para exercer seus direitos, conforme os mecanismos exigidos pelo Sec. 541.055.

O Sec. 541.055(a) exige que a empresa estabeleça dois ou mais métodos seguros e confiáveis para receber essas solicitações.

Isso na prática significa ter pelo menos dois canais, como e-mail dedicado mais formulário no site, ou formulário online mais endereço postal. O ponto é que a pessoa precisa ter mais de uma forma de te contatar para exercer seus direitos.

O Sec. 541.055(b) ainda proíbe expressamente que a empresa exija a criação de uma nova conta para que o consumidor exerça seus direitos. Mas pode exigir o uso de uma conta existente para fins de autenticação.

A TDPSA é bastante específica sobre cada direito. E a sua Política de Privacidade precisa explicar todos eles de forma que uma pessoa comum consiga entender e agir.

Vamos ver cada um:

O consumidor pode perguntar: "Você tem dados meus? Quais?"

O Sec. 541.051(b)(1) garante o direito de confirmar se a empresa está processando dados do consumidor e de acessar esses dados.

Sua Política precisa informar como o consumidor faz esse pedido, como a empresa verifica a identidade (autenticação), e em quanto tempo responde.

O prazo é definido no Sec. 541.052(b): no máximo 45 dias após receber a solicitação. Com possibilidade de extensão por mais 45 dias em casos complexos, desde que o consumidor seja informado dentro do prazo inicial.

O consumidor pode dizer: "Esses dados estão errados. Corrija."

O Sec. 541.051(b)(2) garante o direito de corrigir imprecisões nos dados pessoais, levando em conta a natureza dos dados e a finalidade do processamento.

Sua Política precisa explicar como o consumidor solicita a correção e qual o processo interno para atender.

Esse direito também está na LGPD no Art. 18, III: "correção de dados incompletos, inexatos ou desatualizados."

O consumidor pode pedir: "Delete tudo o que você tem sobre mim."

O Sec. 541.051(b)(3) garante o direito de solicitar a exclusão dos dados pessoais fornecidos pelo consumidor ou coletados sobre ele.

Isso inclui dados obtidos diretamente da pessoa e dados obtidos de fontes externas. O Sec. 541.052(f) prevê que a empresa pode cumprir esse direito mantendo um registro mínimo da solicitação de exclusão para garantir que os dados permaneçam deletados, sem usar essas informações para outro fim.

Na prática: a empresa não precisa se destruir para provar conformidade, mas precisa garantir que os dados não voltem à base depois de deletados.

O LGPD Art. 18, IV e VI prevê direito semelhante.

O consumidor pode pedir: "Quero levar meus dados para outro serviço."

O Sec. 541.051(b)(4) garante o direito de obter uma cópia dos dados pessoais em formato portátil e, tanto quanto tecnicamente viável, em formato utilizável que permita a transmissão para outro controlador.

Esse direito existe quando os dados estão disponíveis em formato digital.

A LGPD prevê isso no Art. 18, V: portabilidade dos dados a outro fornecedor de serviço ou produto, conforme regulamentação da autoridade nacional.

O consumidor pode dizer: "Não quero que meus dados sejam usados para isso."

O Sec. 541.051(b)(5) garante o direito de opt-out do processamento de dados para três finalidades específicas:

Publicidade segmentada: exibição de anúncios baseados em dados coletados das atividades do consumidor ao longo do tempo e em diferentes sites ou aplicativos (Sec. 541.001(31)).

Venda de dados pessoais: compartilhamento, divulgação ou transferência de dados para terceiros por consideração monetária ou outra de valor (Sec. 541.001(28)).

Perfilamento com efeitos legais ou similares: processamento automatizado para avaliar aspectos pessoais do consumidor que resulte em decisões sobre serviços financeiros, habitação, saúde, emprego, educação, justiça criminal, ou acesso a necessidades básicas (Sec. 541.001(24) e (11)).

Sua Política de Privacidade precisa explicar claramente como o consumidor exerce esse opt-out. Com link direto para o mecanismo de configuração se houver um.

O Sec. 541.055(e) ainda reconhece que o consumidor pode usar um agente autorizado, incluindo tecnologias como o Global Privacy Control (GPC), para sinalizar o opt-out. A empresa precisa respeitar esse sinal quando conseguir verificar a identidade do consumidor.

O consumidor que exerce seus direitos não pode ser penalizado por isso.

O Sec. 541.101(b)(3) proíbe expressamente que a empresa discrimine consumidores que exercem direitos previstos na lei, seja negando produtos ou serviços, cobrando preços diferentes, ou oferecendo qualidade inferior.

Isso precisa estar na Política. O usuário precisa saber que exercer seus direitos não vai custar nada para ele.

Se a empresa negar um pedido, o consumidor pode recorrer.

O Sec. 541.053 exige que a empresa crie um processo de apelação que seja:

Conspicuamente disponível.

Semelhante ao processo original de solicitação.

Com resposta em até 60 dias após receber a apelação.

Se a apelação for negada, a empresa precisa informar ao consumidor como contatar o Procurador Geral do Texas para registrar uma reclamação.

A TDPSA tem um tratamento especial para dados sensíveis que vai além da maioria das leis estaduais americanas. E sua Política de Privacidade precisa refletir isso claramente.

O Sec. 541.001(29) define dados sensíveis como aqueles que revelam origem racial ou étnica, crenças religiosas, diagnósticos de saúde, sexualidade, cidadania ou status de imigração, dados genéticos ou biométricos, dados de crianças menores de 13 anos, e dados de geolocalização precisa.

O Sec. 541.101(b)(4) é direto: a empresa não pode processar dados sensíveis sem obter o consentimento explícito do consumidor antes.

Se você coleta qualquer dado que se enquadre nessas categorias, seja por meio de formulários, integrações com terceiros ou qualquer outra forma, sua Política de Privacidade precisa:

Identificar explicitamente que dados sensíveis são coletados.

Explicar para que finalidade são usados.

Informar como o consentimento é obtido.

Explicar como o consumidor pode revogar esse consentimento.

E se você vende dados sensíveis, o aviso específico do Sec. 541.102(b) precisa estar visível na Política.

Para crianças menores de 13 anos, a lei remete ao Children's Online Privacy Protection Act (COPPA), e o Sec. 541.005 estabelece que quem cumpre os requisitos de consentimento parental da COPPA está em conformidade com a TDPSA nesse ponto. Mas a Política precisa informar que dados de crianças não são intencionalmente coletados ou como o consentimento parental é obtido.

A TDPSA não é apenas sobre direitos e transparência. Também exige que as empresas se comprometam com a segurança dos dados que coletam.

O Sec. 541.101(a)(2) determina que o controlador estabeleça, implemente e mantenha práticas razoáveis de segurança de dados, apropriadas ao volume e à natureza dos dados em questão, para proteger a confidencialidade, integridade e acessibilidade das informações.

Isso não é um padrão técnico específico. É um princípio de proporcionalidade: quanto mais dados sensíveis você coleta, mais robustas precisam ser as suas medidas de segurança.

Na sua Política de Privacidade, isso se traduz em uma seção que informe:

Que medidas gerais de segurança técnica e administrativa são adotadas para proteger os dados.

Que nenhum sistema é 100% seguro, mas que a empresa adota as melhores práticas disponíveis.

O que acontece em caso de incidente de segurança e como o consumidor será notificado.

Esse compromisso com segurança também está previsto na LGPD no Art. 6º, VII: "segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão."

Além da Política de Privacidade, a TDPSA exige que as empresas conduzam Data Protection Assessments, ou Avaliações de Proteção de Dados, para determinadas atividades.

O Sec. 541.105(a) lista quando essa avaliação é obrigatória:

Processamento para fins de publicidade segmentada.

Venda de dados pessoais.

Perfilamento que apresente risco razoavelmente previsível de dano ao consumidor.

Processamento de dados sensíveis.

Qualquer atividade de processamento que apresente risco elevado de dano.

Essas avaliações precisam identificar e pesar os benefícios do processamento contra os riscos para os direitos dos consumidores, levando em conta o uso de dados desidentificados, as expectativas razoáveis dos consumidores, o contexto do processamento e a relação entre a empresa e o consumidor (Sec. 541.105(b)).

As avaliações não precisam constar na Política de Privacidade, mas precisam ser documentadas internamente e disponibilizadas ao Procurador Geral do Texas mediante solicitação, conforme o Sec. 541.105(c). Elas são confidenciais e não precisam ser divulgadas publicamente (Sec. 541.105(d)).

A TDPSA estabelece um princípio que precisa estar implícito em toda a sua Política de Privacidade: os dados só podem ser usados para os fins que foram informados ao consumidor no momento da coleta.

O Sec. 541.101(b)(1) proíbe o processamento de dados para finalidades que não sejam razoavelmente necessárias ou compatíveis com as finalidades informadas, a menos que o consumidor dê consentimento para o uso adicional.

Isso é o princípio da finalidade, e ele aparece em praticamente toda lei de privacidade moderna. Na LGPD está no Art. 6º, I: "realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades."

No GDPR está no Art. 5(1)(b): "collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes."

A lógica é a mesma em todas as legislações: você coleta com uma finalidade, usa para aquela finalidade, e ponto. Se quiser usar para outra coisa, precisa de consentimento novo ou de nova base legal.

Na prática, se você coletar o e-mail do usuário para enviar a confirmação de uma compra, não pode usar esse e-mail para campanhas de marketing sem permissão adicional. Isso precisa estar claro na sua Política de Privacidade.

Se a sua empresa contrata prestadores de serviço que processam dados em seu nome, como ferramentas de CRM, plataformas de e-mail, serviços de hosting ou qualquer outro sistema que toque nos dados dos seus usuários, você é o controlador e eles são os operadores.

O Sec. 541.104(b) detalha o que precisa constar no contrato entre controlador e operador. Isso inclui instruções claras para o processamento, natureza e finalidade, tipos de dados envolvidos, duração do processamento, e direitos e obrigações de ambas as partes.

O contrato com operadores não precisa estar na Política de Privacidade, mas a Política precisa informar que esses terceiros existem (como categorias, conforme o Sec. 541.102(a)(5)), que eles processam dados em nome da empresa, e que estão sujeitos a obrigações contratuais de proteção dos dados.

Para quem já tem uma Política de Privacidade ajustada para a LGPD ou para o GDPR, a boa notícia é que há muita sobreposição.

A estrutura central é a mesma nas três leis: informar o que é coletado, para que é usado, com quem é compartilhado, por quanto tempo é retido, como os direitos são exercidos, e como a empresa garante a segurança dos dados.

As diferenças estão nos detalhes:

A LGPD exige que a Política de Privacidade informe a base legal de cada tratamento, algo que a TDPSA não exige de forma explícita.

O GDPR exige opt-in antes de qualquer processamento de dados não necessários. A TDPSA opera mais com opt-out, exceto para dados sensíveis.

A TDPSA exige o aviso específico sobre venda de dados sensíveis com o texto exato definido no Sec. 541.102(b) e (c), o que não existe de forma idêntica na LGPD ou no GDPR.

O GDPR tem o direito ao esquecimento mais amplo que a TDPSA.

A LGPD tem a ANPD como autoridade regulatória. A TDPSA tem o Procurador Geral do Texas, sem autoridade regulatória independente.

Para quem opera em múltiplos mercados, a estratégia mais inteligente é uma Política de Privacidade que atenda ao conjunto de requisitos mais completo, que geralmente é o GDPR, e adapte os elementos específicos de cada lei, como os avisos de venda de dados da TDPSA.

O Sec. 541.052 define os prazos que a empresa tem para responder aos consumidores. Esses prazos precisam estar na sua Política de Privacidade porque os consumidores precisam saber o que esperar.

Prazo padrão: 45 dias após receber a solicitação.

Prazo estendido: mais 45 dias quando necessário, desde que o consumidor seja informado dentro do prazo inicial.

Prazo para resposta à apelação: 60 dias.

Custo: gratuito para o consumidor, pelo menos duas vezes por ano por consumidor (Sec. 541.052(d)). Em casos de solicitações manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar uma taxa administrativa razoável ou recusar o atendimento.

Esses números precisam estar na Política. Não são optionais.

Além de listar o que precisa estar na Política, vale entender o que a lei proíbe, porque algumas dessas proibições afetam como o documento é escrito e apresentado.

O Sec. 541.001(6) define o que não é consentimento válido. Em particular, a lei diz que aceitar termos gerais de uso que contenham descrições de processamento de dados junto com outras informações não relacionadas não configura consentimento.

Isso é relevante para a Política de Privacidade porque muitas empresas misturam tudo num documento só e pedem um único aceite. A TDPSA diz que isso não funciona para fins de consentimento.

O Sec. 541.001(10) define dark patterns como interfaces projetadas para subverter ou prejudicar a autonomia, tomada de decisão ou escolha do usuário. A lei proíbe que consentimento seja obtido por meio de dark patterns.

O Sec. 541.101(b)(3) proíbe discriminação contra consumidores que exercem seus direitos.

O Sec. 541.055(b) proíbe exigir criação de nova conta para exercício de direitos.

Nada disso pode estar configurado de forma diferente na prática do que está escrito na Política. O documento precisa refletir a realidade operacional da empresa.

A fiscalização da TDPSA é competência exclusiva do Procurador Geral do Texas, conforme o Sec. 541.151.

O processo começa com uma notificação escrita ao infrator com 30 dias para corrigir (Sec. 541.154). Se a empresa corrigir, documentar, notificar o consumidor afetado se possível, e apresentar evidências da correção, a ação pode não ser ajuizada.

Mas se não corrigir dentro do prazo, ou se apresentar declaração falsa ao Procurador, a penalidade é de até US$ 7.500 por violação (Sec. 541.155(a)).

A conta é por violação, não por caso. Uma Política de Privacidade ausente ou inadequada que afeta milhares de usuários pode gerar milhares de violações.

O Procurador Geral pode também buscar injunção, ou seja, ordem judicial para que a empresa pare a prática infratora, além de recuperar taxas e despesas legais.

A TDPSA não prevê direito de ação privada (Sec. 541.156). Consumidores não podem processar a empresa diretamente. Mas isso não é motivo para relaxar: o Procurador Geral pode agir de ofício com base em denúncias de consumidores, e o site oficial para registrar reclamações é indicado no próprio Sec. 541.152.

Baseado diretamente nos artigos da lei:

Categorias de dados pessoais processados (Sec. 541.102(a)(1)), incluindo menção explícita a dados sensíveis se aplicável.

Finalidade do processamento para cada categoria de dado (Sec. 541.102(a)(2)), com descrições específicas e não vagas.

Como os consumidores exercem seus direitos (Sec. 541.102(a)(3)), com descrição do processo para cada direito do Subchapter B.

Categorias de dados compartilhados com terceiros (Sec. 541.102(a)(4)), se houver compartilhamento.

Categorias de terceiros que recebem dados (Sec. 541.102(a)(5)), se houver compartilhamento.

Métodos para envio de solicitações (Sec. 541.102(a)(6) e Sec. 541.055), com ao menos dois canais disponíveis.

Aviso específico sobre venda de dados sensíveis (Sec. 541.102(b)), se aplicável.

Aviso específico sobre venda de dados biométricos (Sec. 541.102(c)), se aplicável.

Divulgação sobre publicidade segmentada e opt-out (Sec. 541.103), se o site usa dados para esse fim.

Prazos de resposta de 45 dias (Sec. 541.052(b)) e informação sobre gratuidade do serviço.

Processo de apelação descrito com clareza (Sec. 541.053).

Direito de não discriminação por exercer direitos (Sec. 541.101(b)(3)).

Informação sobre segurança de dados adotada (Sec. 541.101(a)(2)).

Tratamento especial de dados de crianças menores de 13 anos (Sec. 541.001(5) e (29)).

Data da última atualização do documento.

Uma boa Política de Privacidade é o documento. A AdOpt é a tecnologia que faz o documento ganhar vida.

Porque de nada adianta ter escrito na Política que você bloqueia cookies antes do consentimento, se na prática os cookies disparam antes de qualquer interação do usuário. De nada adianta dizer que o consentimento é granular por categoria, se o seu banner só tem o botão de "aceitar tudo".

A AdOpt escaneia automaticamente as tecnologias do seu site, configura o aviso de cookies com as opções reais de escolha que a lei exige, bloqueia o que precisa ser bloqueado, e registra cada consentimento com segurança jurídica.

O log de consentimentos é justamente o que você precisaria apresentar ao Procurador Geral do Texas se questionado: prova de que o usuário foi informado e que escolheu o que aceitava.

Tudo isso funcionando em paralelo para LGPD, GDPR, CCPA e TDPSA, sem que você precise reconfigurar do zero para cada legislação.

Mais de 60 mil sites já confiam na AdOpt para cuidar dessa parte. Tá na AdOpt, tá bem.

Quer saber como a AdOpt pode ajudar o seu site a estar em conformidade com a TDPSA e as demais leis globais de privacidade?

1. O que diferencia o Privacy Notice da TDPSA de uma Política de Privacidade comum?

O Privacy Notice exigido pela TDPSA no Sec. 541.102 tem requisitos específicos e obrigatórios: categorias de dados, finalidade, compartilhamento com terceiros, como exercer direitos, e métodos de contato. Uma Política de Privacidade genérica copiada da internet raramente cobre todos esses pontos com a especificidade que a lei exige. O risco de ter um documento incompleto é o mesmo de não ter nenhum: violação da lei.

2. Posso usar a mesma Política de Privacidade para LGPD e TDPSA?

Sim, é possível criar um documento unificado que atenda às duas leis simultaneamente, e é a abordagem mais eficiente. Os requisitos têm muita sobreposição. As diferenças principais estão nos avisos específicos sobre venda de dados sensíveis (exigidos pela TDPSA, Sec. 541.102(b) e (c)) e na necessidade de mencionar base legal para cada tratamento (exigida pela LGPD, não explicitamente pela TDPSA). Com uma boa estrutura, um único documento atende aos dois mercados.

3. Em quanto tempo preciso responder a um pedido de exclusão de dados de um residente do Texas?

O Sec. 541.052(b) determina que a resposta seja dada sem demora indevida, no máximo em 45 dias. O prazo pode ser estendido por mais 45 dias em casos complexos, desde que o consumidor seja notificado dentro do prazo inicial. A resposta deve ser gratuita, pelo menos duas vezes por ano por consumidor.

4. Minha empresa não está nos EUA. A TDPSA ainda se aplica?

Sim. A lei se aplica a qualquer empresa que conduza negócios no Texas ou produza produtos ou serviços consumidos por residentes do estado (Sec. 541.002(a)(1)). A localização da empresa não é critério de isenção. O que importa é se você está atendendo residentes do Texas.

5. O que acontece se o Procurador Geral do Texas identificar que minha Política de Privacidade está inadequada?

O Sec. 541.154 determina que o Procurador Geral envie uma notificação escrita com 30 dias para corrigir a violação. Se a empresa corrigir dentro do prazo e documentar adequadamente, a ação pode não ser ajuizada. Se não corrigir ou apresentar declaração falsa, a penalidade pode chegar a US$ 7.500 por violação, conforme o Sec. 541.155(a).

Uma Política de Privacidade bem feita não é um documento que você cria para cumprir tabela. É um comprometimento público com as pessoas que visitam o seu site. É a prova de que a sua empresa entende que dados pessoais pertencem às pessoas, não às empresas.

Quem trata isso com seriedade não está apenas evitando multa. Está construindo confiança.

Tá na AdOpt, tá bem.

Pronto para colocar o seu site em conformidade com a TDPSA e as demais legislações globais de privacidade? Fale com a nossa equipe.