Consentimento e privacidade

Como o ROASaurus lida com o consentimento de cookies, os dados dos clientes e as solicitações do GDPR.

O ROASaurus funciona na sua loja como seu operador de dados. Você decide se o consentimento do visitante é necessário. Quando um visitante recusa, ele não recebe ID de visitante, então os cliques em anúncios e as visitas não ficam vinculados a ele, e os eventos do navegador não são enviados às plataformas de anúncios. O pedido pago em si ainda é enviado via server-side com dados do pedido em hash, como explicado abaixo.

A configuração de consentimento

Cada loja tem uma configuração Consent em Store settings:

Respect visitor consent (o padrão, e obrigatório na UE). O ROASaurus verifica o consentimento de marketing do visitante antes de rastreá-lo.
Strict. Nada é enviado e nada é lido ou gravado no dispositivo até o visitante consentir, e o servidor descarta qualquer evento do navegador sem consentimento explícito. Quando o visitante consente depois, só a visualização daquela página é enviada.
Always track. Somente para lojas que vendem onde o consentimento não é exigido.

A opção Anonymous measurement vem desativada por padrão. Quando você a ativa, os visitantes que recusaram ou não escolheram são contados, nunca rastreados: uma pequena requisição por visualização de página, visualização de produto, adição ao carrinho e checkout iniciado, sem cookies, armazenamento, IDs ou pixels de anúncios, somada aos totais diários. Se isso é permitido para os seus visitantes é uma questão jurídica, então o ROASaurus nunca a ativa sozinho. A página Consent no dashboard mostra a taxa de consentimento e os pedidos e a receita por estado de consentimento.

No Shopify

Com Respect visitor consent, o script da loja e o pixel de checkout leem a Customer Privacy API do Shopify, preenchida pelo seu banner de cookies (o do próprio Shopify ou um app de consentimento). Quando um visitante não deu consentimento de marketing:

nenhum cookie de ID de visitante é definido e nenhum ID de clique ou UTM da navegação dele é guardado;
os pixels do navegador (Meta, TikTok, Snapchat, Pinterest, Reddit e os demais) não são carregados;
visualizações de página, adições ao carrinho e checkouts são registrados sem ID de visitante, endereço IP, detalhes do navegador nem dados de contato, e sem a query string do endereço da página, onde ficam os IDs de clique e as tags de campanha. Eles não são enviados às plataformas de anúncios.

Se o visitante mudar de escolha depois, inclusive durante o checkout, o ROASaurus segue a nova escolha. Se a loja não tiver nenhum banner de cookies, a API do Shopify não informa nada e o ROASaurus trata o visitante como consentindo, exceto no modo Strict, então instale um banner antes de vender na UE.

O Shopify inclui o endereço da landing page do pedido nos dados do pedido, e esse endereço pode conter tags de campanha e IDs de clique. O ROASaurus o usa apenas nos seus próprios relatórios, como alternativa para a atribuição; ele não é enviado às plataformas de anúncios.

Em outras lojas online

O script do ROASaurus lê a escolha do visitante na sua ferramenta de consentimento: OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, qualquer banner IAB TCF, o Google Consent Mode ou a WP Consent API (que outros plugins de consentimento do WordPress preenchem). Nas configurações de consentimento da loja, você pode escolher a ferramenta e mapear as categorias dela para análise e marketing. Com outra ferramenta, chame tlq('consent', true) quando o visitante aceitar os cookies de marketing e tlq('consent', false) quando ele os recusar. Enquanto o visitante não aceitar, valem as mesmas regras do Shopify: sem ID de visitante, sem IDs de clique nem dados de contato e sem pixels do navegador. Se a página não tiver nenhuma ferramenta de consentimento, o ROASaurus trata o visitante como consentindo, exceto no modo Strict.

O plugin do WooCommerce guarda os cookies de rastreamento em um pedido somente quando o visitante permitiu os cookies de marketing.

Compras enviadas pelo servidor

As compras vêm dos dados dos seus pedidos (o webhook de pedidos do Shopify ou o conector da sua plataforma), não do navegador. Para um pedido cujo visitante recusou, não há ID de visitante nem ID de clique para anexar. O evento de compra ainda é montado a partir do pedido: ele inclui os dados do cliente daquele pedido, com hash, e o endereço IP e o navegador de onde o pedido foi feito. Ele vai para Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft e Taboola; o LinkedIn e os destinos adicionados depois dele não recebem nada por um pedido assim, e o Google Analytics 4 o recebe como uma venda anônima. Se a sua assessoria jurídica indicar que eventos de compra também exigem consentimento prévio, fale conosco antes de ativar as compras server-side.

O que é guardado e enviado

E-mails, telefones e endereços passam por hash SHA-256 antes de serem enviados a uma plataforma de anúncios.
O cookie de ID de visitante _tl é definido no domínio da sua loja por 365 dias, somente com consentimento. O ROASaurus lê os cookies das próprias plataformas (como _fbp e _fbc) quando existem.
Sem fingerprinting de navegador. Crawlers, geradores de pré-visualização de links e navegadores headless são filtrados no servidor.
Tokens de plataformas e chaves de API são criptografados em repouso.
Os proprietários escolhem por quanto tempo os eventos brutos e os dados de visitantes são guardados, de 30 dias a 2 anos.
Os dados são armazenados em Amsterdã, na Holanda. Os subprocessadores estão listados no acordo de processamento de dados.

Solicitações do GDPR

As solicitações de privacidade do Shopify (webhooks) são tratadas automaticamente. A exclusão de um cliente remove os dados pessoais desse cliente dos pedidos que o ROASaurus armazena, além dos dados de contato, endereços IP e dados do navegador das visitas vinculadas a esses pedidos. A exclusão de uma loja, 48 horas depois de você desinstalar o app, apaga todos os registros da loja. Em uma solicitação de dados do cliente, o ROASaurus reúne o que tem sobre o cliente (pedidos, eventos da loja vinculados, cliques em anúncios e respostas de pesquisa), envia um e-mail aos proprietários e administradores da loja e permite que eles baixem esses dados na página Shopify da loja para enviar ao cliente. Cada solicitação fica listada ali. Remover uma loja no dashboard apaga os dados dela imediatamente. Para outras lojas online, escreva para hello@roasaurus.com com o e-mail do cliente e cuidamos da solicitação. Nosso próprio papel e os prazos de retenção estão na política de privacidade.

Ainda com dúvidas? Escreva para nós.