Entenda quais são os documentos obrigatórios para site, o que o aviso de privacidade, o aviso de cookies e os termos de uso precisam dizer e o que a lei exige a mais de uma loja virtual.

Colocar um site no ar costuma ser tratado como uma tarefa de design e tecnologia. A empresa organiza as páginas, instala um formulário de contato, conecta o pixel das redes sociais e, quando vende pela internet, ativa o carrinho e os meios de pagamento. A pergunta sobre quais são os documentos obrigatórios para site geralmente aparece só no final, quando alguém percebe que o rodapé ainda está vazio.

É nesse momento que muitas empresas copiam o texto de outro site ou usam um gerador automático, e o assunto parece resolvido. O problema é que esses documentos não são um complemento do rodapé: eles precisam descrever o que o site efetivamente faz com os dados de quem o visita e, no caso das lojas virtuais, as condições reais de venda. Um texto que não corresponde à prática cumpre a formalidade, mas não cumpre a lei.

Não existe uma lei única com a lista do que um site deve ter. As exigências vêm da Lei Geral de Proteção de Dados (LGPD), do Marco Civil da Internet e das regras de defesa do consumidor para o comércio eletrônico, e se somam conforme o que o site faz. É essa soma que este artigo organiza.

Quais documentos são obrigatórios para um site?

A resposta depende do que o site faz, mas há um ponto comum: quase todo site coleta algum dado pessoal, nem que seja o nome e o e-mail de um formulário de contato ou as informações de navegação captadas por ferramentas de análise. Sempre que isso acontece, o aviso de privacidade e a indicação de um canal para o titular dos dados se tornam obrigatórios. Os demais documentos entram conforme as funções do site, como mostra a tabela abaixo.

Na prática, um site institucional com formulário e ferramenta de medição de audiência costuma precisar das três primeiras linhas, e uma loja virtual precisa de todas. Entre esses dois extremos, cada função nova acrescenta uma obrigação, e os documentos precisam acompanhar essas mudanças.

Aviso de privacidade: o que ele precisa informar

O aviso de privacidade, que muitos sites ainda chamam de política de privacidade, é o texto que explica ao visitante o que acontece com os dados dele. O termo “aviso” vem sendo usado para diferenciá-lo das políticas internas da empresa, mas o que define se o documento cumpre a lei é o conteúdo, e não o título.

A LGPD lista o que o titular tem direito de saber, e essa lista funciona como roteiro do documento. O aviso deve dizer para que os dados são usados, de que forma e por quanto tempo ficam guardados, qual empresa é responsável por eles e como contatá-la, com quem os dados são compartilhados e com qual objetivo, e quais direitos o visitante pode exercer, como pedir acesso, correção ou exclusão. Tudo isso em linguagem clara e em local fácil de encontrar, normalmente no rodapé e junto de cada formulário.

O aviso precisa refletir os usos reais, inclusive os que surgem depois da publicação. Se os contatos recebidos pelo formulário passam a alimentar uma lista de transmissão, por exemplo, essa finalidade deve estar descrita, e o envio precisa respeitar os limites que explicamos no artigo sobre marketing via WhatsApp e LGPD.

Quem cuida dos dados e como falar com ele

A lei exige que a empresa indique um encarregado pelo tratamento de dados pessoais, a pessoa ou empresa que recebe as solicitações dos titulares e se comunica com a Agência Nacional de Proteção de Dados (ANPD). A regulamentação da ANPD determina que o nome e o contato do encarregado sejam divulgados no site, em local de destaque e de fácil acesso, e mantidos atualizados. Na prática, essa informação costuma aparecer no próprio aviso de privacidade e no rodapé.

Empresas de pequeno porte, como microempresas e startups dentro dos limites de faturamento previstos em lei, podem deixar de indicar um encarregado. Essa dispensa, no entanto, não as libera de oferecer um canal de comunicação com o titular, como um e-mail específico para o tema, e não vale para quem realiza tratamento de alto risco, como o uso em larga escala de dados sensíveis. Por isso, a análise depende do perfil do negócio, e não apenas do tamanho da empresa.

Todo site precisa de aviso de cookies?

Não necessariamente, mas a maioria precisa. Cookies são pequenos arquivos que o site grava no navegador do visitante. Alguns são indispensáveis para o funcionamento da página, como os que mantêm os itens no carrinho ou a sessão do cliente que fez login. Outros servem para medir a audiência ou exibir anúncios, como os pixels das redes sociais e as ferramentas de análise de terceiros. Quando o site usa apenas os primeiros, basta informar a existência deles; quando usa os segundos, o visitante precisa poder escolher.

O guia da ANPD sobre cookies orienta como essa escolha deve ser oferecida. O banner exibido no primeiro acesso deve trazer, com o mesmo destaque, a opção de aceitar e a de rejeitar os cookies não necessários, além de um caminho para configurar a escolha por categoria. Os cookies que dependem de consentimento devem vir desativados, e o banner com um único botão de “aceitar” é apontado pelo guia como prática a evitar. Em outras palavras, recusar precisa ser tão simples quanto aceitar.

Cabe uma ressalva: o guia é um documento de orientação, e não uma norma com força de lei, mas mostra como a autoridade interpreta a LGPD. Os cookies de publicidade dependem, em regra, do consentimento do visitante, enquanto os de medição de audiência admitem discussão sobre outras justificativas legais, o que precisa ser avaliado caso a caso.

Termos de uso: quando eles são indispensáveis

Ao contrário do aviso de privacidade, os termos de uso não são exigidos por lei de todo site. Um site institucional, que apenas apresenta a empresa e recebe mensagens, pode funcionar sem eles. A situação muda quando o visitante passa a usar o site para algo mais, como criar uma conta, contratar uma assinatura, publicar conteúdo, comprar ou acessar uma plataforma. Nesses casos, os termos de uso são o contrato que organiza a relação, e operar sem eles deixa a empresa sem regras escritas justamente quando surge um problema.

Os termos definem o que é permitido, a quem pertencem os conteúdos publicados, as responsabilidades de cada parte e como funcionam o cancelamento e a suspensão de contas. Em plataformas e softwares oferecidos pela internet, eles se aproximam de uma licença de uso, tema que detalhamos no artigo sobre contrato de licenciamento de software.

O clique em “li e aceito” tem valor de aceite contratual, como explicamos no artigo sobre a validade da assinatura eletrônica, mas esse valor depende de o usuário ter tido acesso real ao texto antes de concordar. Por isso, o ideal é que os termos fiquem disponíveis antes da contratação, em versão que possa ser guardada. Também não convém esconder dentro deles a autorização para usar dados pessoais: o Marco Civil da Internet determina que o consentimento para a coleta e o uso de dados seja expresso e apareça destacado das demais cláusulas.

O que a lei exige a mais de uma loja virtual

Quem vende pela internet ao consumidor final está sujeito, além da LGPD, às regras do decreto que regulamenta o comércio eletrônico dentro do Código de Defesa do Consumidor. Elas não exigem um documento com nome específico, mas determinam informações e funcionalidades que precisam estar no site, e o descumprimento sujeita a empresa às sanções aplicadas pelos órgãos de defesa do consumidor, como o Procon.

Identificação da empresa e condições da oferta

O site deve mostrar, em local de destaque e de fácil visualização, o nome empresarial e o CNPJ, ou o CPF no caso de vendedor pessoa física, o endereço físico e o endereço eletrônico, além das demais informações para contato. Cada oferta precisa apresentar as características essenciais do produto ou serviço, inclusive eventuais riscos à saúde e à segurança, o preço com a indicação das despesas adicionais, como frete e seguro, e as condições completas, incluindo formas de pagamento, disponibilidade e prazo de entrega. Deixar o CNPJ visível apenas na etapa de pagamento, portanto, não atende bem a uma exigência que pede destaque desde a oferta.

Resumo do contrato e confirmação da compra

Antes de concluir a compra, o consumidor deve ver um resumo do contrato com as informações necessárias para decidir, com ênfase nas cláusulas que limitam direitos, e precisa ter ferramentas para corrigir erros, como alterar a quantidade ou o endereço de entrega. Concluída a compra, a loja deve confirmar o pedido imediatamente e deixar o contrato disponível em formato que permita guardá-lo e reproduzi-lo. Os meios de pagamento e o tratamento dos dados do cliente também precisam seguir mecanismos de segurança eficazes.

Canal de atendimento e direito de arrependimento

A loja virtual precisa manter um serviço de atendimento pela internet que permita ao consumidor tirar dúvidas, reclamar, suspender ou cancelar o contrato, com confirmação imediata do recebimento da mensagem e resposta em até cinco dias.

O direito de arrependimento também precisa estar informado e ser fácil de exercer. Nas compras feitas pela internet, o consumidor pode desistir em até sete dias, contados da compra ou do recebimento do produto, e tem direito à devolução imediata do que pagou, com correção. A loja deve explicar como exercer esse direito, aceitar o pedido pelo mesmo meio usado na compra e comunicar a administradora do cartão para que a cobrança não seja lançada ou seja estornada. A política de trocas e devoluções, por sua vez, merece um documento próprio, alinhado a essas regras.

Quando o site precisa de cuidados além do básico

Alguns perfis de site trazem obrigações que vão além do aviso de privacidade, dos cookies e dos termos de uso. Dois deles aparecem com frequência e merecem atenção.

Site ou aplicativo acessado por crianças e adolescentes

Desde março de 2026 está em vigor o Estatuto Digital da Criança e do Adolescente, conhecido como ECA Digital. Ele se aplica a produtos e serviços digitais direcionados a crianças e adolescentes ou que tenham acesso provável por esse público, uma avaliação que considera o tipo de conteúdo, a facilidade de acesso e os riscos envolvidos. Entre outras exigências, a lei determina que as configurações mais protetivas sejam o padrão, proíbe o uso de perfis de comportamento para direcionar publicidade a esse público e exige mecanismos confiáveis de verificação de idade para conteúdos impróprios, em que a simples autodeclaração não basta. Para quem atende esse público, os documentos do site precisam ser revistos à luz dessas regras.

Fornecedores que recebem os dados captados pelo site

Os dados que entram pelo site raramente ficam só com a empresa: a plataforma da loja, o sistema de gestão de clientes e a ferramenta de e-mails também os recebem. O aviso de privacidade deve mencionar esses compartilhamentos, e a relação com cada fornecedor precisa estar organizada em contrato, já que a empresa que coleta os dados continua responsável por eles. Explicamos esses cuidados no artigo sobre compartilhamento de dados com fornecedores.

O que acontece se o site não tiver esses documentos?

A falta dos documentos, ou a existência de documentos que não correspondem à realidade, pode gerar consequências em três frentes. A primeira é a fiscalização da ANPD, que pode aplicar desde advertência com prazo para correção até multa calculada sobre o faturamento, divulgação pública da infração e bloqueio ou eliminação dos dados envolvidos. Nos casos mais graves, e depois de outras sanções, pode chegar à suspensão das atividades de tratamento. A escolha da sanção considera, entre outros fatores, a gravidade da infração, a boa-fé, a condição econômica da empresa e a adoção de medidas de correção.

A segunda frente é a de defesa do consumidor: nas lojas virtuais, a falta das informações obrigatórias pode levar a autuações do Procon. A terceira é a judicial, já que, sem termos de uso, a empresa perde a principal referência escrita do que foi combinado com o usuário. Nenhuma dessas consequências é automática, e o risco concreto depende do tipo de dado tratado, do volume de usuários e do histórico da empresa, mas corrigir de forma preventiva costuma ser mais simples do que responder a um questionamento já iniciado.

Por que o modelo copiado de outro site não resolve

Copiar o aviso de privacidade de outra empresa ou usar um gerador automático é a saída mais comum, e o problema está justamente no ponto que a lei mais valoriza: a correspondência com a realidade. Um modelo pode citar ferramentas que o seu site não usa e deixar de mencionar o pixel de publicidade que ele usa, prometer prazos de guarda que a empresa não pratica ou indicar um contato que ninguém acompanha. Nesses casos, o documento existe, mas informa errado, e informar errado é uma forma de não cumprir o dever de transparência.

O caminho mais seguro começa por um levantamento do próprio site: quais formulários existem, quais ferramentas estão instaladas, quais cookies são gravados, para onde os dados vão e quem tem acesso a eles. A partir desse mapa, os documentos são redigidos, e precisam ser revistos sempre que uma ferramenta nova entra no ar. Nossa equipe atua nesse diagnóstico e na redação dos documentos de proteção de dados para sites, lojas virtuais e plataformas.

O documento certo é o que descreve o seu site

Os documentos obrigatórios para site não são uma lista fixa a ser preenchida uma única vez. Eles acompanham o que o site faz: um formulário pede aviso de privacidade, uma ferramenta de anúncios pede um banner que permita recusar, um cadastro pede termos de uso e uma loja virtual pede as informações que a lei de consumo exige. Quando o texto descreve com fidelidade a operação, ele protege a empresa e informa o visitante ao mesmo tempo.

Se você está colocando um site ou uma loja virtual no ar, ou se o seu site já funciona com textos copiados e você não tem certeza de que eles correspondem ao que as ferramentas instaladas fazem, converse com a nossa equipe. Vamos entender como o seu site funciona e organizar os documentos com clareza e responsabilidade.