A maioria dos projetos de personalização B2B bate na mesma parede na segunda semana. O marketing tem os segmentos e as variantes de título prontos, aí alguém do jurídico pergunta como funciona a identificação de visitantes sob o GDPR, e ninguém tem uma resposta por escrito. O projeto fica parado.
Este artigo é a resposta que gostaríamos de ter por escrito. Ele aborda a privacidade de dados na personalização de sites B2B sob os três conjuntos de regras que geram a maioria das dúvidas (o GDPR, as regras de ePrivacy da UE sobre cookies e acesso a dispositivos e a CCPA/CPRA da Califórnia), o que cada um realmente exige e um checklist de lançamento que você pode entregar à sua equipe jurídica. Não é aconselhamento jurídico. O objetivo é colocar marketing e jurídico na mesma conversa mais rapidamente, com as fontes primárias em link para que seu advogado possa conferi-las.
Por que a personalização B2B tem um perfil de privacidade diferente
A maioria das orientações de privacidade é escrita para cenários de consumo: rastreamento de anúncios entre sites de compras, perfis comportamentais vendidos a terceiros. A personalização de sites B2B geralmente é diferente:
- O principal insumo são dados no nível da empresa (setor, porte, localização, tecnologia usada), normalmente derivados do endereço IP do visitante.
- O resultado é sutil: um visitante da indústria vê estudos de caso da indústria em vez de estudos de fintechs.
- Muitos visitantes vêm de empresas para as quais você já vende ou que já são alvo, então existe um motivo comercial plausível para mostrar a eles conteúdo relevante.
Nada disso isenta a personalização B2B das leis de privacidade. Ainda há uma pessoa por trás de cada endereço IP, e as leis protegem essa pessoa, não a empresa. O que muda é o nível de risco e qual base legal é realista. Acertar essa classificação é a maior parte do trabalho.
GDPR: a questão do endereço IP
A primeira pergunta que o jurídico vai fazer é se um endereço IP conta como dado pessoal. A resposta honesta é "muitas vezes sim, dependendo de quem o detém". No caso Breyer (Processo C-582/14), o Tribunal de Justiça da UE decidiu que um endereço IP dinâmico é um dado pessoal para o operador de um site se esse operador tiver os meios legais de identificar o visitante com informações adicionais mantidas pelo provedor de internet. O caso foi julgado sob a antiga Diretiva de Proteção de Dados, mas a definição de dado pessoal do GDPR no Artigo 4(1) lista explicitamente "um identificador online" como algo que pode tornar uma pessoa identificável, então o mesmo raciocínio se aplica.
Nossa visão: planeje como se todo endereço IP que você processa fosse um dado pessoal. Argumentar o contrário economiza muito pouco e faz a sua documentação parecer evasiva para um regulador.
Como escolher uma base legal
O artigo 6 do GDPR lista seis bases legais. Duas são relevantes para a personalização de sites:
| Base legal | Onde se encaixa | O que você deve ao visitante |
|---|---|---|
| Legítimo interesse, Art. 6(1)(f) | Personalização no nível da empresa a partir de uma consulta de IP, sem nada armazenado no dispositivo | Um teste de ponderação documentado (Legitimate Interest Assessment), um aviso de privacidade claro e uma forma funcional de se opor com base no Artigo 21 |
| Consentimento, Art. 6(1)(a) | Qualquer coisa que exija cookies ou acesso semelhante ao dispositivo, e qualquer perfil vinculado a uma pessoa identificada | Consentimento livre, específico, informado e inequívoco, que pode ser retirado com a mesma facilidade com que foi dado (Article 7(3)) |
Dois detalhes importam aqui. Primeiro, o comunicado de imprensa sobre o caso Breyer também destaca o entendimento do Tribunal de que o operador de um site pode ter um interesse legítimo em tratar dados de visitantes, desde que esse interesse seja ponderado em relação aos direitos do visitante. É esse exercício de ponderação que a sua LIA precisa demonstrar. Segundo, se a personalização fizer parte de marketing direto, o Artigo 21(2) e (3) dá ao visitante o direito absoluto de se opor: depois que ele se opõe, você para. Construa o opt-out antes do lançamento, não depois da primeira reclamação.
Quanto um erro de GDPR pode custar
Pelo Artigo 83(5), violações dos princípios de tratamento, das regras de base legal do Artigo 6, das condições de consentimento do Artigo 7 e dos direitos dos titulares dos Artigos 12 a 22 podem gerar multas de até € 20 milhões ou 4% do faturamento anual mundial, o que for maior. São valores máximos, não multas típicas. O custo mais realista para um time B2B mid-market é uma investigação do regulador que obriga você a pausar a personalização enquanto produz documentos que já deveria ter.
ePrivacy: onde o “sem cookies” é mal interpretado
A Diretiva ePrivacy (2002/58/EC, Article 5(3)) é a regra por trás dos banners de cookies. Ela exige consentimento antes de armazenar informações no dispositivo do usuário ou de acessar informações nele, a menos que o armazenamento ou o acesso seja estritamente necessário para um serviço que o usuário solicitou. Ela se aplica junto com o GDPR, e não importa se a informação é ou não um dado pessoal.
No Reino Unido, a regra equivalente está no PECR. As orientações do ICO deixam claro que o consentimento precisa ser dado de forma ativa e clara, e que cookies apenas úteis ou convenientes também precisam dele. Os cookies de personalização se enquadram nesse grupo.
Aqui está a parte que muitos blogs de fornecedores pulam. Muito marketing de personalização diz “é no servidor e sem cookies, então não precisa de consentimento”. Isso é simplista demais. As Guidelines 2/2023 on the technical scope of Article 5(3) do EDPB (versão final de outubro de 2024) dizem que o rastreamento baseado apenas em endereços IP pode se enquadrar no artigo 5(3) e que, a menos que você consiga garantir que um endereço IP não se origina do dispositivo do usuário, é preciso tratá-lo como abrangido. As mesmas diretrizes dizem que o artigo 5(3) se aplica quando um código no navegador instrui o navegador a enviar identificadores para você.
O que isso significa na prática:
- Uma consulta de IP pontual, no servidor, usada para escolher o título da visualização de página atual é o padrão de menor risco. Alguns advogados ainda vão querer que ela esteja coberta por consentimento ou por uma análise clara de isenção com base nas diretrizes do EDPB, então consulte o seu.
- Usar o endereço IP para acompanhar um visitante entre páginas ou sessões é rastreamento, e o entendimento do EDPB é que isso exige a mesma análise de consentimento que os cookies.
- Qualquer snippet JavaScript que leia ou defina identificadores no navegador (cookies, armazenamento local, sinais de fingerprinting) precisa de consentimento antes de rodar, a menos que seja estritamente necessário.
Uma observação sobre prazos: o planejado Regulamento ePrivacy, que deveria substituir a Diretiva, não existe mais. A Comissão Europeia anunciou em seu programa de trabalho de 2025 que retiraria a proposta, e a Diretiva atual, junto com as leis nacionais que a implementam, continua em vigor. Não espere novas regras de cookies da UE para configurar o consentimento corretamente.
CCPA/CPRA: ela se aplica a você?
A lei da Califórnia só se aplica a empresas com fins lucrativos que fazem negócios na Califórnia e atendem a pelo menos um limite. Segundo a California Privacy Protection Agency, eles são:
- Receita bruta anual de US$ 26,625 milhões ou mais (valor atualizado a partir de 1º de janeiro de 2025).
- Comprar, vender ou compartilhar informações pessoais de 100.000 ou mais residentes ou domicílios da Califórnia.
- Obter 50% ou mais da receita anual com a venda ou o compartilhamento de informações pessoais de residentes da Califórnia.
Para equipes B2B, o histórico importante é que a isenção temporária para dados de contato comercial e dados de funcionários expirou em 1º de janeiro de 2023. Um comprador navegando no seu site a partir de um notebook de trabalho na Califórnia é um consumidor perante a lei.
Se você estiver no escopo, as obrigações que afetam a personalização são:
- Informe na sua política de privacidade que você coleta dados derivados de IP para personalização e quais categorias de dados usa.
- Se parceiros de enriquecimento ou de anúncios receberem dados de visitantes de um jeito que conte como "venda" ou "compartilhamento" (compartilhamento inclui publicidade comportamental entre contextos), ofereça um link "Não vender nem compartilhar minhas informações pessoais" e respeite os opt-outs.
- Responda a solicitações de acesso, exclusão ou correção em até 45 dias corridos, prorrogáveis por mais 45 dias se você avisar a pessoa, conforme o FAQ da CPPA.
As penalidades foram corrigidas pela inflação em 1º de janeiro de 2025: multas administrativas de até US$ 2.663 por violação e US$ 7.988 por violação intencional, segundo o comunicado da CPPA. Outros estados americanos têm suas próprias leis abrangentes de privacidade, com limites diferentes, então, se você tem tráfego relevante desses estados, mapeie-os separadamente, em vez de presumir que a análise da Califórnia cobre você.
Um framework prático: três níveis de dados
O jeito mais fácil de tornar isso administrável é classificar cada dado de entrada que a sua personalização usa antes de construir qualquer coisa.
| Nível | Dados | Posição jurídica típica | Ordem de lançamento |
|---|---|---|---|
| 1. No nível da empresa, por requisição | Setor, porte e localização a partir de uma consulta de IP no servidor, sem nada armazenado no dispositivo | Interesse legítimo do GDPR com uma LIA; verifique a questão da ePrivacy com o jurídico | Primeiro |
| 2. Comportamental, baseado no dispositivo | Visitas recorrentes, páginas visualizadas, pontuações de engajamento armazenadas em cookies ou no armazenamento local | Consentimento nos termos da ePrivacy antes de qualquer coisa ser gravada; base legal nos termos do GDPR | Depois que a sua configuração de consentimento estiver funcionando |
| 3. Perfil individual | Contatos nomeados, e-mails vinculados à navegação, estágio do negócio no CRM, enriquecimento de terceiros sobre a pessoa | Consentimento ou uma base legal cuidadosamente documentada, DPAs com todos os fornecedores, todos os direitos dos titulares dos dados | Por último, e só onde compensa |
Nossa visão: comece pelo Nível 1. Mostrar a uma empresa de logística seu case de logística não exige saber nada sobre a pessoa que está lendo. A maioria dos ganhos óbvios de personalização (título por setor, prova relevante, ênfase de preços por porte de empresa) está no Nível 1. Os Níveis 2 e 3 agregam valor, mas também trazem dependências de consentimento e burocracia, então adicione-os quando o Nível 1 estiver medido e estável.
Passo a passo: como lançar em conformidade
1. Divida a experiência em função do consentimento
O erro comum é bloquear toda a personalização até o visitante clicar em "Aceitar". Um desenho melhor:
- Antes do consentimento: apenas personalização de nível 1 a partir de uma consulta no servidor, sem identificadores armazenados no dispositivo. Sem histórico comportamental.
- Depois do consentimento para cookies de personalização: comece a registrar visitas de retorno e engajamento e use-os nas regras de Nível 2.
- Depois do envio de um formulário: vincule a conta aos dados do CRM (Tier 3) quando o seu aviso de privacidade e a sua base legal cobrirem isso.
Teste do jeito mais simples: abra o site em um perfil de navegador limpo, recuse tudo e confira a aba Application nas DevTools. Nenhum cookie de personalização ou chave de local storage deve aparecer. Depois, aceite e confira de novo.
2. Faça as categorias de consentimento corresponderem à realidade
Um visitante que aceita “analytics” não concordou com “personalização”. Se sua ferramenta de consentimento tem categorias granulares, adicione uma categoria de personalização (ou coloque a personalização em uma categoria existente de “funcionalidade” ou “marketing” que a descreva com precisão) e garanta que o script de personalização respeite especificamente essa categoria.
3. Audite todos os fornecedores do fluxo de dados
Para cada fornecedor que lida com dados de visitantes (enriquecimento de IP, analytics, CDP, CRM, ferramenta de consentimento), anote:
- Quais dados eles recebem do seu site e o que enviam de volta.
- Onde armazenam e processam os dados e qual mecanismo de transferência cobre qualquer transferência para fora do EEE.
- Se eles usam seus dados de visitantes para os próprios produtos. Se usarem, podem estar atuando como controladores, e não como operadores, o que muda seus contratos e seu aviso de privacidade.
- Se um contrato de tratamento de dados foi assinado e onde está arquivado.
O contrato cobre só metade; a outra metade é como cada fornecedor protege os dados na prática. Se a sua equipe não tem especialistas em segurança, serviços de cibersegurança externos podem avaliar os controles de acesso e o armazenamento dos fornecedores antes de você assinar.
Exemplo do que esta auditoria costuma pegar (ilustrativo): uma ferramenta de analytics cujos termos permitem usar dados dos clientes para criar os próprios produtos de audiência. Isso não é uma relação de operador, e você precisa renegociar, divulgar isso adequadamente ou trocar por uma ferramenta que permaneça no papel de operador, como uma configuração de analytics de personalização que só trata dados segundo as suas instruções.
4. Escreva os três documentos
- Seção da política de privacidade. O que você coleta (dados de empresa derivados do IP, dados comportamentais com consentimento), por quê (para mostrar conteúdo relevante), base legal, retenção, fornecedores e como se opor.
- Avaliação de legítimo interesse. Teste de finalidade (mostrar conteúdo relevante a visitantes corporativos), teste de necessidade (por que dados no nível da empresa bastam e você não precisa de mais) e teste de ponderação (nenhum dado sensível, resultado no nível da empresa, oposição fácil, retenção curta).
- Política de cookies. Cada cookie ou chave de armazenamento que o sistema de personalização define, com finalidade, duração e categoria.
5. Defina limites de retenção que você consiga cumprir
O princípio da limitação da conservação do GDPR, no Article 5(1)(e), significa manter dados pessoais apenas pelo tempo que a finalidade exige. A lei não define um número, então escolha um e justifique. Exemplo: dados comportamentais por 90 dias, dados enriquecidos de contas por 12 meses para cobrir um ciclo de vendas B2B típico. Seja qual for a escolha, configure-a nas ferramentas para que a exclusão aconteça automaticamente.
6. Ensaie uma solicitação de titular de dados
Pelo artigo 12(3), você precisa responder a pedidos de acesso, exclusão e oposição sem demora injustificada e em até um mês, prazo prorrogável por mais dois meses quando necessário. A Califórnia dá 45 dias. Faça um pedido de teste antes do lançamento: escolha um colega que tenha visitado o site e tente encontrar, exportar e excluir tudo o que a sua stack guarda sobre ele. Se a sua ferramenta de identificação de visitantes não consegue fazer isso por endereço IP ou por contato, você tem um problema a resolver antes de entrar no ar.
Erros comuns de conformidade
Chamar dados de empresas de “anônimos”
Identificar uma empresa não é o mesmo que tratar dados anônimos. O endereço IP que você usou na consulta é dado pessoal na maioria dos cenários realistas. Diga isso na sua documentação, apoie-se em uma base legal documentada e siga em frente.
Presumir que "server-side" significa "sem necessidade de consentimento"
Como vimos acima, o EDPB interpreta o Artigo 5(3) de forma ampla o bastante para abranger o rastreamento baseado em IP e a coleta de identificadores no navegador. Consultas de empresa no servidor, por requisição, são o desenho de menor risco, mas são uma escolha de arquitetura a discutir com o jurídico, não uma isenção automática.
Sem caminho para oposição
Se a sua base legal é o legítimo interesse, o visitante pode se opor. Um link na política de privacidade que leva a uma caixa de e-mail que ninguém monitora não conta. Dê a ele uma configuração que desliga a personalização e respeite-a no motor de personalização.
Alimentar dados de intenção de terceiros sem verificar a procedência
Os dados de intenção de terceiros muitas vezes são construídos a partir da navegação entre sites. Se o provedor não consegue mostrar como o consentimento ou outra base legal foi obtido para essa coleta, você herda essa fragilidade no momento em que passa a usá-los. Peça a documentação de procedência dos dados antes de assinar e prefira sinais comportamentais primários. Tratamos dessas escolhas com mais detalhes no nosso guia de dados de intenção para personalização de sites B2B.
Retenção por tempo indeterminado
Ferramentas de personalização muitas vezes guardam tudo por padrão. Verifique a configuração de retenção de cada ferramenta da stack, não só da plataforma principal de personalização.
Checklist pré-lançamento
- Inventário de dados concluído, cada entrada classificada como Tier 1, 2 ou 3.
- Base legal documentada por nível, com uma LIA para o nível 1.
- Análise de ePrivacy da consulta de IP e de qualquer script no navegador revisada pelo jurídico.
- O banner de consentimento tem uma categoria que cobre personalização, e um teste em navegador limpo confirma que nada é armazenado antes do consentimento.
- DPAs assinados com todos os fornecedores; locais de armazenamento e mecanismos de transferência registrados.
- Política de privacidade e política de cookies atualizadas.
- O caminho de oposição e descadastro funciona e é respeitado pelo mecanismo de personalização.
- Limites de retenção configurados em todas as ferramentas.
- Solicitação de teste de titular dos dados concluída dentro dos prazos do GDPR e do CCPA.
- Escopo da CCPA verificado em relação aos três limites, e outras leis estaduais dos EUA mapeadas se você tiver tráfego lá.
Por que as restrições de privacidade levam a uma personalização melhor
Esta é a parte de opinião, e algumas equipes vão discordar. Trabalhar dentro das regras de privacidade empurra você para a personalização que tende a funcionar de qualquer forma.
Segmentos no nível da empresa alcançam todos os visitantes, inclusive os que recusam cookies, então o seu primeiro teste não fica limitado ao grupo que clicou em "Aceitar". Menos segmentos, mais amplos (por exemplo, cinco ou seis por setor e porte da empresa), são mais fáceis de abastecer com bom conteúdo do que dezenas de microssegmentos criados a partir de padrões de navegação, e cada segmento recebe tráfego suficiente para ser medido. E quando você não pode contar com dados de terceiros, investe em uma estratégia de dados primários baseada em como as pessoas realmente usam o seu site, que são os dados que refletem o interesse delas especificamente por você.
Se você quer um ponto de partida para esses segmentos, nosso post sobre segmentos firmográficos que convertem mostra como escolhê-los, e como funciona a identificação de visitantes no nível da empresa explica o que a consulta de IP consegue e não consegue dizer.
Começar sem travar na revisão jurídica
O risco realista para a maioria das equipes B2B não é uma multa. São meses de idas e vindas porque ninguém deu ao jurídico um desenho concreto para revisar. Entregue um:
- Um diagrama de fluxo de dados de uma página mostrando a consulta de IP, o que é retornado e o que é armazenado.
- A tabela de níveis acima, preenchida para a sua stack.
- Um rascunho de LIA e de seção da política de privacidade.
- Os resultados do teste de consentimento em navegador limpo.
Depois, lance o Nível 1 em algumas páginas de alto tráfego, meça por 30 dias e adicione o Nível 2 quando o consentimento estiver funcionando e os números o justificarem.
A Markettailor se encaixa nessa ordem de operações: sua segmentação firmográfica trabalha com dados no nível da empresa, então você pode começar com regras de Nível 1 enquanto o trabalho de consentimento é concluído. Se quiser comparar planos antes de falar com o jurídico, veja os preços da Markettailor.