Cookies e privacidade no website de um spa

Um website de spa pode usar sem consentimento os cookies estritamente necessários ao funcionamento, mas precisa do consentimento prévio do visitante para cookies de análise e de marketing, em regra. O aviso de cookies deve permitir aceitar e recusar com igual facilidade, e a política de cookies deve listar o que é usado e porquê. Esta é informação geral e não substitui aconselhamento jurídico: confirme o seu caso com um profissional.

O que são cookies e porque é que afetam o website de um spa?

Cookies são pequenos ficheiros que o site guarda no dispositivo do visitante. Servem para lembrar preferências, manter uma sessão, medir visitas ou seguir pessoas para mostrar anúncios. Tecnologias semelhantes, como pixels e armazenamento local, seguem as mesmas regras.

Num spa, os cookies entram por vários caminhos: o próprio site, uma ferramenta de estatísticas, um mapa incorporado, um vídeo, um botão de rede social, um sistema de marcações ou um pixel de anúncios. Mesmo que não os tenha configurado, podem estar ativos. A primeira tarefa é saber o que o seu site realmente faz.

Na auditoria da LARGO a 504 websites que abriram, 41% não tinham analytics. Isso não é, só por si, um problema de privacidade: mas significa que muitos negócios não medem nada, e que há margem para escolher uma solução simples e respeitadora desde o início. Veja a auditoria a 672 sites de espaços de bem-estar.

Que cookies são essenciais, de análise e de marketing?

Dividem-se, em termos gerais, em três grupos, com tratamento diferente:

• Essenciais: necessários para o site funcionar, por exemplo guardar a sua escolha no aviso de cookies, manter segurança ou uma sessão de marcação. Em regra, não precisam de consentimento, mas devem ser mencionados.
• De análise (estatísticas): medem visitas, páginas vistas e origem do tráfego. Em regra, exigem consentimento, salvo soluções que cumpram condições específicas e que deve confirmar com um profissional.
• De marketing: seguem o visitante entre sites para mostrar anúncios ou medir campanhas, como os pixels de plataformas de anúncios. Exigem consentimento.

Existem ainda cookies de preferências (idioma, por exemplo), que costumam seguir o regime do consentimento quando não são estritamente necessários. A classificação exata depende de cada cookie, por isso peça a quem gere o site uma lista com nome, fornecedor, finalidade e duração.

Como deve funcionar o aviso de consentimento?

O aviso, ou banner de cookies, não é um enfeite: é o mecanismo pelo qual o visitante decide. Os princípios básicos, em termos gerais:

1. Antes de ativar: os cookies não essenciais só são ativados depois de o visitante aceitar. Um aviso que apenas informa, com os cookies já a funcionar, não cumpre o objetivo.
2. Escolha clara: aceitar e recusar devem ter o mesmo destaque e a mesma facilidade, sem botões escondidos nem cores enganadoras.
3. Por categoria: permita escolher análise e marketing separadamente.
4. Informação acessível: uma ligação visível para a política de cookies e para a política de privacidade.
5. Possível de alterar: o visitante deve poder rever a escolha a qualquer momento, por exemplo através de uma ligação no rodapé.
6. Registo: guarde prova da escolha feita.

Verifique que o aviso funciona de facto. Abra o site num separador anónimo, recuse tudo e confirme que os pixels e as estatísticas não são carregados. É um teste simples e revelador.

Que opções de analytics respeitam mais a privacidade?

Medir visitas é útil, e há várias abordagens em termos gerais:

• Ferramentas mais comuns, com consentimento: oferecem muita informação, mas exigem aviso de cookies e uma configuração cuidada.
• Ferramentas de estatísticas simples, que não usam cookies ou guardam dados anonimizados: algumas são pensadas para reduzir a recolha. Mesmo assim, verifique nos termos do fornecedor onde os dados ficam e se precisa de consentimento no seu caso.
• Medição do próprio alojamento: alguns serviços oferecem relatórios básicos de tráfego sem scripts adicionais no navegador.
• Eventos que realmente importam: cliques em ligar, em WhatsApp e envios de formulário. Para muitos spas, isto basta.

Pergunte-se o que precisa de saber: em geral, de onde vêm os contactos e que páginas os geram. Quanto mais simples for a pergunta, menos dados precisa de recolher. Se vai anunciar, a medição ganha peso, e o artigo sobre quanto investir em anúncios para um spa mostra que indicadores acompanhar.

Tipos de letra, mapas e vídeos incorporados contam?

Contam. Muitos sites carregam recursos de servidores de terceiros sem que o proprietário se aperceba:

• Tipos de letra: carregar fontes de um serviço externo envia o endereço IP do visitante a esse serviço. Uma alternativa é alojar as fontes no próprio servidor.
• Mapas incorporados: costumam carregar scripts e cookies do fornecedor do mapa. Pode substituí-los por uma imagem com ligação, ou carregar o mapa apenas após consentimento.
• Vídeos incorporados: muitos fornecedores têm modo de privacidade reforçada, ou pode carregar o vídeo só depois de o visitante clicar.
• Botões e feeds de redes sociais: costumam seguir os visitantes, por isso convém apresentá-los como simples ligações.
• Sistemas de marcação e chat: verifique que dados recolhem e que cookies instalam.

Um site bem construído tem poucos recursos externos, o que também o torna mais rápido. Desenhar assim desde o início é uma das abordagens de um website para spas feito à medida.

O que deve constar da política de cookies?

A política de cookies deve ser escrita para o seu site, não copiada de outro. Em termos gerais, inclua:

1. uma explicação simples do que são cookies;
2. a lista dos cookies e tecnologias usadas, por categoria, com nome, fornecedor, finalidade e duração;
3. a indicação de quais exigem consentimento e como o dar ou retirar;
4. como gerir cookies nas definições do navegador;
5. a identificação do responsável e o contacto para dúvidas;
6. a data da última atualização.

Atualize-a quando acrescentar uma ferramenta, como um pixel de anúncios ou um novo sistema de marcações. A política de cookies complementa a política de privacidade, descrita no checklist de RGPD para o website de um terapeuta.

Como começar sem complicar?

Um percurso realista para um spa pequeno:

• liste o que o site carrega (um profissional pode fazê-lo em pouco tempo);
• retire o que não usa: scripts antigos, pixels sem campanha, incorporações supérfluas;
• escolha uma medição simples e coerente com o seu uso;
• configure o aviso e teste-o;
• escreva as políticas com base no que de facto existe;
• reveja tudo quando mudar de ferramentas ou lançar anúncios.

Como saber se o seu site está em ordem?

Um teste de cinco minutos mostra muito. Abra o site num separador anónimo e siga estes passos:

1. Observe se o aviso aparece antes de qualquer ferramenta ser carregada.
2. Recuse tudo e navegue por três ou quatro páginas, incluindo a de contacto.
3. Nas ferramentas do navegador, abra o separador de rede ou de armazenamento e veja se há cookies de análise ou marketing criados após a recusa.
4. Aceite e confirme que as ferramentas passam a funcionar como esperado.
5. Procure a ligação para alterar a escolha e verifique que funciona.

Se não se sentir à vontade com as ferramentas do navegador, peça a quem gere o site que lhe mostre o resultado. Guarde uma nota com a data do teste, o que encontrou e o que corrigiu: serve de registo e facilita a revisão seguinte. Em caso de dúvida, procure um profissional de proteção de dados.

Próximo passo

A LARGO constrói websites com poucos recursos externos e espaço para as suas políticas, e pode ajudar a escolher uma medição simples. Peça uma prévia gratuita, sem custo e sem compromisso: fale connosco. Para a parte jurídica, confirme com um profissional.