- O Consent Mode v2 é a forma de um site informar às tags do Google a que um visitante deu consentimento, com quatro sinais: ad_storage, analytics_storage, ad_user_data e ad_personalization.
- O Consent Mode não coleta o consentimento: quem faz isso é o seu banner de cookies, e o Consent Mode repassa a resposta ao Google.
- Na UE, os cookies de rastreamento para publicidade exigem consentimento prévio, e todo uso de dados pessoais precisa de uma base legal segundo o GDPR.
- O rastreamento server-side muda de onde os dados são enviados, não se você pode enviá-los, então não elimina a necessidade de consentimento.
- O ROASaurus não define sinais do Consent Mode para as suas tags do Google. No Shopify, ele segue a Customer Privacy API; em outras lojas online, lê a sua ferramenta de consentimento, incluindo o Google Consent Mode.
O Consent Mode v2 é a forma que o Google criou para um site informar às suas tags do Google se um visitante concordou com os cookies e com o uso dos dados dele para anúncios. Ele usa quatro sinais: ad_storage, analytics_storage, ad_user_data e ad_personalization. Ele mesmo não pede consentimento. Quem pergunta é o seu banner de cookies, e o Consent Mode repassa a resposta ao Google.
Este guia explica os quatro sinais, o Consent Mode básico e avançado, o que a lei da UE exige de uma loja online em linhas gerais, como o rastreamento server-side se encaixa e como o ROASaurus lida com o consentimento.
O que é o Consent Mode v2?
O Consent Mode é um recurso do Google para sites e apps. O site define um estado de consentimento padrão para cada visitante, geralmente negado, e o atualiza quando o visitante responde ao banner de cookies. As tags do Google leem esse estado e mudam o comportamento. Com consentimento, funcionam normalmente. Sem consentimento, não leem nem gravam cookies de publicidade e enviam dados limitados ou nenhum, conforme a sua configuração.
A versão 2 acrescentou dois sinais, ad_user_data e ad_personalization. O Google os introduziu ao reforçar a aplicação da sua política de consentimento de usuários da UE. Para os visitantes do Espaço Econômico Europeu (EEE), os anunciantes que quiserem usar a personalização de anúncios e a medição precisam coletar o consentimento e compartilhar os sinais de consentimento com o Google. A política em si abrange os visitantes do EEE, do Reino Unido e da Suíça.
Os quatro sinais de consentimento
| Sinal | O que ele controla | Quando é negado |
|---|---|---|
ad_storage | Cookies e identificadores de dispositivo para publicidade | Nenhum cookie de publicidade é gravado nem lido |
analytics_storage | Cookies e identificadores para análise, como a duração da visita | Nenhum cookie de análise é gravado nem lido |
ad_user_data | Envio de dados do usuário ao Google para publicidade | Os dados pessoais para anúncios não são coletados, incluindo os dados com hash das conversões otimizadas |
ad_personalization | Publicidade personalizada | O remarketing e outros anúncios personalizados não recebem dados |
Um banner de cookies associa as suas próprias categorias a esses sinais. Uma associação comum é: a categoria de marketing ou publicidade define ad_storage, ad_user_data e ad_personalization, e a categoria de análise ou estatísticas define analytics_storage. Confira como a sua ferramenta de consentimento faz isso, porque um único erro de associação envia a resposta errada a todas as tags do Google do seu site.
Consent Mode básico e avançado
O Google oferece duas formas de implementar o Consent Mode. A diferença está no que acontece antes e sem o consentimento.
- As tags do Google não carregam até o visitante responder ao banner
- Se o visitante recusa, nenhum dado vai para o Google, nem mesmo o estado de consentimento
- A modelagem de conversões usa um modelo geral
- As tags do Google carregam de imediato, com o consentimento negado por padrão
- Sem consentimento, as tags enviam medições sem cookies
- A modelagem de conversões usa um modelo criado para o anunciante
Tecnicamente, o Consent Mode funciona com dois comandos. O comando default define o estado de consentimento antes de qualquer tag do Google enviar dados. O comando update o altera quando o visitante responde ao banner.
// On every page, before any Google tag sends data:
gtag('consent', 'default', {
ad_storage: 'denied',
ad_user_data: 'denied',
ad_personalization: 'denied',
analytics_storage: 'denied'
});
// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
ad_storage: 'granted',
ad_user_data: 'granted',
ad_personalization: 'granted',
analytics_storage: 'granted'
});As plataformas de gerenciamento de consentimento costumam enviar esses comandos por você. Confira se enviam e se o update é enviado em todas as páginas depois que o visitante responde, e não só na página em que o banner foi exibido.
O que a lei da UE exige de uma loja online
Duas leis da UE pesam mais no rastreamento de anúncios, e o Google acrescenta a sua própria política por cima. Este é um resumo em linhas gerais.
As regras de ePrivacy sobre cookies
A Diretiva ePrivacy cobre o armazenamento de informações no dispositivo do visitante, como cookies, e a leitura delas depois. Os cookies estritamente necessários para um serviço que o visitante pediu, como o carrinho de compras ou um login, não precisam de consentimento. Os cookies de rastreamento para publicidade precisam. Segundo as orientações da UE para empresas, o consentimento vem primeiro: esses cookies não podem ser definidos quando a página abre pela primeira vez. O consentimento deve ser dado por finalidade, e retirá-lo deve ser tão fácil quanto concedê-lo.
O GDPR sobre dados pessoais
O GDPR se aplica a todo uso de dados pessoais, como um endereço de e-mail, um número de telefone ou os detalhes de um pedido. Cada uso precisa de uma das seis bases legais, por exemplo consentimento, contrato ou legítimo interesse. Você só pode tratar os dados de que precisa para a finalidade. Um serviço que trata dados pessoais por você, como uma ferramenta de rastreamento, precisa de um contrato por escrito com você.
A política de consentimento de usuários da UE do Google
Se você usa os produtos de anúncios do Google, essa política acrescenta uma obrigação contratual. Para os visitantes do EEE, do Reino Unido e da Suíça, você precisa obter consentimento válido para os cookies, quando a lei exige, e para o uso de dados pessoais na personalização de anúncios. Você precisa manter registros do consentimento, explicar como retirá-lo e nomear claramente cada parte que recebe os dados.
| Regra | O que ela abrange | Exemplo em uma loja online |
|---|---|---|
| Diretiva ePrivacy | Armazenar informações no dispositivo e lê-las de volta | O cookie do pixel do Meta, um cookie de ID de visitante |
| GDPR | Qualquer tratamento de dados pessoais | Enviar um e-mail com hash junto com uma compra a uma plataforma de anúncios |
| Política de consentimento de usuários da UE do Google | Produtos de anúncios do Google usados para visitantes do EEE, do Reino Unido e da Suíça | Repassar os sinais do Consent Mode às tags do Google |
O rastreamento server-side precisa de consentimento?
O rastreamento server-side muda de onde um evento é enviado: do seu servidor, em vez do navegador do visitante. Ele não muda o que você pode enviar. Dois pontos mostram por quê.
Primeiro, a maioria das configurações server-side ainda começa no navegador. Um script lê o ID de clique na URL da página de destino e o guarda no dispositivo, então as regras de ePrivacy se aplicam a essa etapa. Segundo, enviar a uma plataforma de anúncios uma compra com e-mail com hash, endereço IP ou ID de clique é tratamento de dados pessoais. Isso exige uma base legal segundo o GDPR, seja qual for o caminho dos dados. O nosso guia sobre o que é rastreamento server-side explica o lado técnico.
Minimização de dados e hash
Envie o que a plataforma precisa para associar e contar a conversão, não o pedido inteiro. As plataformas de anúncios pedem que campos pessoais, como e-mail e telefone, sejam normalizados e passem por hash SHA-256 antes do envio. O hash protege o valor original a caminho da plataforma, mas não é anonimização: a plataforma compara o hash com os próprios dados de usuário para encontrar uma correspondência. Trate os dados com hash como dados pessoais.
O que uma loja online envia com e sem consentimento
Como exemplo de onde uma ferramenta traça o limite, veja o que o ROASaurus faz no Shopify com Respect visitor consent ativado, que é o padrão.
| Dados | O visitante permite cookies de marketing | O visitante recusa |
|---|---|---|
| Cookie de ID de visitante | Definido | Não definido |
| IDs de clique e UTMs | Armazenados | Não armazenados |
| Eventos de navegação, como visualizações de página e itens adicionados ao carrinho | Armazenados com o ID de visitante | Mantidos sem ID de visitante, endereço IP ou detalhes do navegador, e não enviados às plataformas de anúncios |
| Pixels do navegador do Meta, do TikTok e de outros | Carregados e enviando eventos | Não carregados, sem eventos do navegador |
| Conversão do Google Ads a partir do checkout do Shopify | Enviada | Não enviada |
| Pedido pago, enviado via server-side | Enviado com IDs de clique, dados de cliente com hash do pedido e o endereço IP e o user agent | Enviado para Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft e Taboola com dados de cliente com hash do pedido e com o endereço IP e o user agent do pedido, sem IDs de clique. O LinkedIn e os destinos adicionados depois dele não recebem nada; o GA4 recebe uma venda anônima |
| Endereço da página de destino de um pedido do Shopify | Usado nos relatórios de atribuição do ROASaurus, não enviado às plataformas de anúncios | Usado nos relatórios de atribuição do ROASaurus, não enviado às plataformas de anúncios |
Se o pedido pago de um visitante que recusou pode ser enviado é uma questão jurídica, e a resposta pode variar por loja e por país. O ROASaurus o envia por padrão. Se a sua assessoria jurídica disser que os eventos de compra também precisam de consentimento prévio, fale com o ROASaurus antes de ativar as compras via server-side. Consentimento e privacidade traz os detalhes para o Shopify e outras lojas online.
Como o ROASaurus lida com o consentimento e com os sinais do Consent Mode
O ROASaurus não define sinais do Google Consent Mode para as suas tags do Google. Ele lê a escolha do visitante de uma fonte diferente conforme a sua loja online:
- No Shopify, o script da vitrine e os pixels do checkout leem a Customer Privacy API do Shopify, que o seu banner de cookies preenche. O pixel do checkout também segue uma escolha que o comprador altera durante o checkout. O guia de rastreamento server-side no Shopify mostra como isso funciona passo a passo.
- Em outras lojas online, o script do ROASaurus lê OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, banners IAB TCF, os comandos
consentdo Google Consent Mode e a WP Consent API. Com o Google Consent Mode, consentimento de marketing significa quead_storageead_user_dataestão concedidos, e você pode mapear outras categorias por ferramenta. Com outro banner, chametlq('consent', true)outlq('consent', false)quando o visitante escolher. - As conversões do Google Ads são enviadas apenas pelo checkout do Shopify. O ROASaurus carrega ali a tag do Google somente para compradores que permitem cookies de marketing, mas não envia sinais do Consent Mode com ela.
- Pelo servidor, o ROASaurus repassa a escolha nos próprios campos de consentimento do Google: os eventos do Google Analytics 4 levam
ad_user_dataead_personalization, concedidos para visitantes que consentiram e negados para pedidos enviados como vendas anônimas, e os envios de leads ao Google Ads levam o consentimentoad_user_data.
As suas próprias tags do Google ainda precisam do Consent Mode. Se você roda tags do Google Ads ou do Google Analytics no seu site, o seu banner ou a sua ferramenta de consentimento precisa enviar os sinais a elas. Se você anuncia para visitantes do EEE, confirme com o fornecedor da sua ferramenta de consentimento ou com o seu desenvolvedor se a sua configuração completa, incluindo as conversões do Google Ads do checkout, atende aos requisitos do Google para a sua conta.
Uma checklist de consentimento para lojas online
- Instale um banner de cookies
Ele deve bloquear os cookies de marketing, e os cookies de análise onde a sua lei exigir, até o visitante concordar. No Shopify, use um banner que grave na Customer Privacy API.
- Associe o banner ao Consent Mode
Defina os quatro sinais como negados por padrão e atualize-os a partir do banner, para que as suas tags do Google sigam a escolha do visitante.
- Configure a sua ferramenta de rastreamento para respeitar o consentimento
No ROASaurus, mantenha Respect visitor consent ativado em Store settings. Em lojas online que não sejam Shopify, confira se o ROASaurus lê a sua ferramenta de consentimento ou passe a escolha com
tlq('consent', …). - Decida sobre as compras via server-side
Pergunte à sua assessoria jurídica se os pedidos pagos de visitantes que recusaram podem ser enviados e com qual base legal.
- Atualize o seu aviso de privacidade e os seus contratos
Nomeie cada plataforma de anúncios que recebe dados, explique como retirar o consentimento e assine um contrato de tratamento de dados com cada operador.
- Teste as duas respostas
Recuse os cookies em uma janela privativa do navegador e confira nas ferramentas do desenvolvedor que nenhum pixel de anúncios carrega e nenhum cookie de ID de visitante é definido. Depois aceite e confira se os dois aparecem.
Fontes
- Google for Developers: Consent mode overview
- Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
- Google: EU user consent policy
- Your Europe: Online privacy, how to use cookies on your website
- Your Europe: Data protection under GDPR
No ROASaurus
- Ajuda: consentimento e privacidade
- Rastreamento server-side no ROASaurus
- Integração com o Google Ads
- Integração com o Shopify