Cookies e consentimento (CMP)

CMP (Consent Management Platform) é um banner de consentimento de cookies mais a mecânica que realmente bloqueia scripts de terceiros antes de o visitante clicar em "Aceitar". Uma "faixa no rodapé da tela" não basta para o GDPR: antes do consentimento, a analítica e os pixels de publicidade não devem ser executados de forma alguma.

Nosso CMP funciona tanto na nossa vitrine quanto no seu próprio site — com o mesmo código.

Onde configurar:

Marketing → "Meu site" → cartão "Cookies e consentimento" (para site externo);
ou Site → "Configurar site" → seção "Cookies e consentimento (CMP)" (para a nossa vitrine).

Como ativar#

Insira no site o código de instalação da seção "Meu site" — o banner de cookies carrega primeiro entre todos os widgets, para que os demais scripts vejam a decisão já tomada.
Ative o botão do widget.
Execute o scanner — ele montará a lista de cookies do seu site.
Publique a página "Política de cookies" ou informe um link para a sua.

O banner detecta automaticamente o idioma da página e é exibido nele — as traduções para 45 idiomas já estão prontas.

Para WordPress há um plugin separado Cenaly Consent: você o instala no seu painel de administração do WP, clica em "Conectar", escolhe a unidade na janela que se abre — a tag e as configurações chegam sozinhas, sem precisar inserir o código manualmente.

Quanto custa#

O banner em si e o bloqueio de rastreadores são gratuitos em qualquer plano — tanto na nossa vitrine quanto no seu próprio site. A conformidade com a lei não é vendida em partes: 45 idiomas, bloqueio automático, Consent Mode v2, central de preferências e página hospedada de "Política de cookies" fazem parte da plataforma.

À parte, vende-se o nível "Cookies Pro" — cartão "Cookies e consentimento" na Loja de aplicativos, 9 $ por mês ou 90 $ por ano por unidade. Não é o acesso à seção, mas a escala do serviço: varredura do site mais profunda e frequente (incluindo áreas restritas), registro longo de consentimentos com exportação como prova, regras próprias por país, personalização completa do design e textos substitutos por idioma, remoção do selo "Feito com Cenaly". A composição atual do nível e o preço estão no próprio cartão na loja.

A marcação por IA de cookies não reconhecidos não faz parte do nível e não é vendida à parte: ela está disponível em qualquer nível, e cada chamada é paga com o saldo de IA da conta. Em marcas na nuvem Yandex (cenaly.ru) não há scanner automático de site (veja abaixo), por isso essa parte do nível não funciona lá; o registro de consentimentos e a exportação existem.

Categorias e o que é bloqueado antes do consentimento#

Quatro categorias padrão:

Categoria	O que entra nela	Por padrão
Necessários	Carrinho, sessão, segurança	Sempre ativados, não é possível desativar
Preferências	Idioma, moeda, unidade escolhida anteriormente	Decisão do visitante
Estatística	Google Analytics, Яндекс.Метрика, Matomo, Clarity	Decisão do visitante
Marketing	Facebook Pixel, VK, TikTok, pixels de publicidade e remarketing	Decisão do visitante

Enquanto não há consentimento, os scripts e iframes dessas categorias não são carregados: seus endereços são conferidos com o registro integrado de rastreadores, e você pode adicionar seus próprios padrões. Um iframe bloqueado (por exemplo, um vídeo do YouTube) exibe um espaço reservado com o link "permitir".

Além disso, sinais de consentimento são transmitidos aos sistemas de publicidade: Google Consent Mode v2 (antes do consentimento — modo sem cookies), Microsoft UET, Meta (fbq), Clarity Consent API. Os sinais do navegador GPC e Do Not Track são considerados.

O prazo de validade do consentimento é configurável (por padrão 365 dias, permitido de 30 a 730), após o qual o banner perguntará novamente. A recusa do visitante é memorizada — não perguntaremos de novo a cada visita. É possível ativar o consentimento geral para todos os subdomínios e indicar um link para a lista de sites que ele cobre.

Modos por país#

O modo é o comportamento do banner antes de o visitante clicar em qualquer coisa. Ele é escolhido assim:

sua regra para o país do visitante (se definida),
seu modo padrão,
o mapa de países integrado,
a heurística pelo fuso horário do navegador.

O país do visitante é determinado pelo IP. ⚠️ Esta é uma escolha de comportamento que você configurou, e não uma conclusão sobre qual lei se aplica a você.

Cinco modos#

Modo	O que acontece antes da decisão do visitante	O que o visitante vê
opt-in	tudo, exceto o necessário, fica bloqueado	banner "Aceitar / Recusar / Configurar"
opt-out	permitido até uma recusa explícita	banner + "Do Not Sell or Share"; o sinal do navegador GPC ou Do Not Track é considerado recusa automática de marketing
suave	permitido, nada é bloqueado	banner informativo
aviso	permitido	uma linha de mensagem, não pedimos consentimento
oculto	permitido	não há banner algum; as configurações abrem por um link `#cenaly-consent` no seu site

Separadamente dos modos, existe o complemento "aviso em vez de solicitação de consentimento": você o habilita e, se o relatório do scanner comprovou que fora da categoria "necessários" não há nada no site, a primeira camada informa em vez de perguntar. Ele não remove o bloqueio: se surgir um novo rastreador, ele ainda será bloqueado até a autorização do visitante.

Mapa de países integrado#

Aplica-se quando você não definiu nem uma regra para o país, nem seu modo padrão:

opt-in — 32 países: 27 países da União Europeia mais Islândia, Liechtenstein e Noruega (juntos — EEE), Reino Unido e Suíça;
opt-out — EUA;
todos os demais países — não há regra: entra em ação seu modo padrão e, se ele também não estiver definido, a heurística pelo fuso horário do navegador (Europe/* → opt-in, America/* → opt-out, nos demais casos opt-in). O padrão seguro é opt-in.

⚠️ O mapa é nossa configuração padrão, e não uma classificação jurídica dos países. Países onde é praxe pedir consentimento, mas que não estão no mapa (Turquia, Rússia, Brasil e dezenas de outros), cairão sob seu padrão ou sob a heurística. Se você precisa de um modo específico em um país específico, defina-o por regra, e não confie no mapa.

⚠️ A determinação do país por IP não existe em todos os lugares. Nas marcas na nuvem Yandex (cenaly.ru) não há endpoint de geolocalização, e o widget cai imediatamente na heurística por fuso horário — ela é mais grosseira: um visitante da UE em viagem pelos EUA receberá America/* → opt-out. Se isso for importante para você, defina o modo padrão explicitamente. O país de sete fusos horários o widget ainda reconhece (Moscou → RU, Istambul → TR, Tbilisi → GE, Kiev → UA, Londres → GB, Erevan → AM, Tirana → AL): sua regra para esse país funcionará mesmo com um modo padrão definido.

Onde se configura: o cartão "Cookies e consentimento" → engrenagem → "Modo de consentimento padrão" e "Regras por país" (país no formato ISO-2 → modo).

O que o modo NÃO faz#

não escolhe a jurisdição por você — qual modo habilitar em cada país é decisão sua (e do seu advogado);
não altera os textos dos documentos: o conjunto de páginas jurídicas e suas formulações é uma ferramenta separada, com seus próprios países, veja Documentos jurídicos;
não cobre aplicativos móveis — é um script para páginas web;
não emite a string TCF do IAB Europe: se um parceiro de publicidade exige exatamente um CMP certificado do framework TCF, nosso banner não servirá para ele. Transmitimos os sinais de consentimento diretamente — Google Consent Mode v2, Microsoft UET, Meta, Clarity.

De onde vêm as expectativas habituais do mercado#

⚖️ Estas são referências informativas, e não consultoria jurídica nem afirmação de que esta ou aquela norma se aplica a você. Citamos as fontes primárias nas quais nós mesmos nos baseamos; verifique a atualidade e a aplicabilidade ao seu negócio com um advogado.

Onde	Norma	O que ela diz sobre cookies	Fonte primária
UE / EEE	Diretiva 2002/58/EC (ePrivacy), art. 5(3), mais implementações nacionais	o acesso ao dispositivo do usuário para cookies não estritamente necessários — somente com consentimento prévio; os estritamente necessários — sem consentimento	eur-lex.europa.eu/eli/dir/2002/58
França	recomendações da CNIL sobre cookies e rastreadores	os botões "Aceitar" e "Recusar" devem ter igual destaque; continuar a navegação não é considerado consentimento	cnil.fr
Reino Unido	PECR 2003 (com alterações do Data (Use and Access) Act 2025)	cookies não essenciais e tecnologias similares — somente com consentimento ativo explícito; caixas pré-marcadas não servem	legislation.gov.uk/uksi/2003/2426
EUA, Califórnia	CCPA/CPRA e regulamentos da CPPA	modelo de recusa: opt-out da "venda/compartilhamento" e reconhecimento obrigatório do sinal Global Privacy Control. Aplica-se acima de limites (em particular, de receita) — um pequeno negócio típico pode não se enquadrar neles	cppa.ca.gov
Turquia	guia da KVKK sobre cookies (2022) e decisão do Kurulu nº 2022/1358	cookies não essenciais — consentimento explícito; continuar a visualização do site não é considerado consentimento	kvkk.gov.tr
Rússia	não há lei específica sobre cookies — normas gerais da 152-ФЗ, art. 9	o consentimento para o tratamento de dados pessoais — explícito, separado, revogável	consultant.ru, 152-ФЗ
Geórgia	não há lei específica sobre cookies — Lei de Proteção de Dados Pessoais	a base do tratamento — consentimento; cookies técnicos — informar	matsne.gov.ge

Há mais países no mundo do que linhas nesta tabela: a lista é incompleta de propósito — elencamos apenas o que nós mesmos usamos ao configurar o produto.

Aparência e textos#

Layout: faixa, cartão, janela modal; a posição é uma das seis opções de borda/canto.
Tela de configurações: expansão em cartão ou painel lateral deslizante.
Paleta por elemento separadamente para tema claro e escuro, seu próprio logotipo, seu próprio CSS (até 10 KB).
Alternadores dos botões: X, "Rejeitar tudo", "Configurar". O botão "Aceitar" não pode ser ocultado, e no modo opt-in o painel administrativo avisará sobre os riscos se "Rejeitar" for removido.
As categorias podem ser exibidas como caixas de seleção diretamente na primeira camada do banner.
Qualquer texto do banner é editado por idioma sobre as nossas traduções.
A pré-visualização no painel alterna entre desktop, tablet e celular.
Configura-se separadamente o botão flutuante "Configurações de cookies" (esquerda/direita/desativado) e a lista de páginas em que o banner não é exibido.

Scanner de cookies e declaração#

⚠️ O scanner não está disponível nas marcas na nuvem Yandex (cenaly.ru). Lá, a lista de cookies para a declaração é mantida manualmente na mesma tabela abaixo — a página de política continua ativa —, e não há notificações em vez de solicitação de consentimento nem marcação por IA, que dependem do relatório do scan.

O scanner abre o seu site no navegador e coleta cookies reais e serviços de terceiros. Cada página é percorrida duas vezes — sem consentimento (assim é possível ver violações de prior consent) e com consentimento total (assim é coletada a declaração completa):

varredura por robots.txt, sitemap.xml e links das páginas iniciais, com limite no número de páginas;
agendamento: mensal ou semanal, e no painel é possível ver a data do próximo scan;
histórico de scans — quantas páginas foram percorridas, quantos cookies foram encontrados e quantos deles são novos em comparação com a vez anterior;
scan com login — para páginas de área logada;
classificador por IA: cookies desconhecidos recebem uma categoria sugerida com explicação, e você confirma ou altera. A chamada é paga — é debitada do saldo de IA da conta em qualquer nível.

Declaração de cookies — tabela de todos os cookies por categoria: nome, fornecedor, prazo de armazenamento, finalidade. É possível adicionar seus próprios registros, editar descrições e traduções. Dessa mesma tabela é montada a lista para o banner e para a página de política.

Não confunda o scanner com a página pública “Verificação do site”: ela está disponível sem login no painel, mas lê apenas o HTML de origem de uma página — mostrará rastreadores no código, a presença de banner de consentimento e a nossa tag, mas não verá os cookies reais nem o que os scripts carregam no navegador. É uma vitrine-ímã para “ver o que tenho no site”; a declaração completa é coletada justamente pelo scanner acima.

Página “Política de cookies”#

O link no banner leva à sua página existente ou a um documento que nós geramos e publicamos: ele é montado a partir dos resultados do scan, publicado em 45 idiomas e atualizado junto com a declaração — a tabela de cookies nele está sempre ativa.

Se você também precisar das demais páginas jurídicas (política de privacidade, termos, devoluções, entrega) — consulte Documentos jurídicos.

Registro de consentimentos e relatórios#

ℹ️ Nas marcas na nuvem Yandex (cenaly.ru), o registro é coletado de outra forma, mas com a mesma completude. Na infraestrutura principal da solução, os dados são transferidos para o registro durante a noite, e no cenaly.ru — no momento em que você abre o registro, as tendências ou a exportação: a primeira abertura do dia pode levar alguns segundos a mais, mas as decisões recentes ficam visíveis imediatamente. O formato, a deduplicação e os prazos de armazenamento são comuns, portanto a exportação-comprovação é igual nas duas nuvens.

O registro é a prova de consentimento (proof of consent) para eventuais verificações:

data, identificador anônimo, categorias selecionadas, versão da política, país e idioma;
exportação em CSV e registro individual;
tendências: aceito / rejeitado / parcial por dia e por país;
contador de exibições do banner.

O botão “Perguntar a todos novamente agora” eleva a versão da política — após mudanças significativas, o banner pergunta a todos de novo.

Limitações#

O “prior consent” estrito exige uma tag separada. Por meio do carregador unificado, o banner de cookies é carregado primeiro entre os nossos widgets, mas não vai se antecipar à analítica de terceiros fixada no <head> acima do nosso código. Se for necessário que nenhum script de terceiros inicie antes da resposta do visitante, coloque a tag do banner na primeira linha do <head>, antes de todas as outras.
Uma configuração quebrada ou indisponível remove o bloqueio, e não o ativa. Widget desativado, página nas exceções, configuração não lida — os rastreadores no site funcionam normalmente. Não é possível manter o site de terceiros bloqueado por causa de uma falha nossa, então verifique se o banner realmente está sendo exibido.
Bloqueia-se o que é conhecido. Scripts e iframes são comparados com o registro integrado de rastreadores; um contador não padrão ou próprio precisa ser adicionado com seu próprio padrão — caso contrário, ele será carregado antes do consentimento.
O portão de idade 18+ é uma seção separada e textos separados. Ele vem desativado por padrão, e seus rótulos existem em inglês, russo, georgiano e turco, com fallback para o inglês, enquanto o próprio banner fala 45 idiomas: defina a formulação para o seu mercado com seus próprios textos.
A cobertura de regiões é uma configuração, não uma certificação. O mapa integrado conhece 32 países com opt-in e os EUA com opt-out; o restante você define com regras; o banner não pode e não tenta verificar a conformidade da sua jurisdição — detalhes e fontes primárias na seção “Modos por país”.
Não temos o framework TCF (IAB Europe). Se uma rede de anúncios exigir um CMP certificado com string TCF, o nosso banner não servirá: nós transmitimos o consentimento diretamente — Google Consent Mode v2, Microsoft UET, Meta, Clarity.
Este é um banner web. Ele não é destinado a aplicativos móveis (SDKs próprios, solicitações de rastreamento do sistema).
O banner não substitui a política. O link para a página “Política de cookies” (a nossa publicada ou a sua própria) precisa estar preenchido — sem ele, o visitante não tem onde ver a que está consentindo.

Solução de problemas#

O banner não aparece no site. A tag não foi inserida ou não está em todas as páginas do template (clique em “Verificar instalação”); a tag tem um data-domain de outro site; o botão do Widget está desligado; as alterações ainda não chegaram — os arquivos dos Widgets são distribuídos via CDN com cache de 5 minutos. A tag que o Google Tag Manager insere já no navegador não será vista pela verificação de instalação — isso não é um erro, veja o site com os próprios olhos; a lista completa desses casos está em “O que a verificação de instalação não vê”.

O banner aparece, mas os rastreadores carregam antes do Consentiu. Provavelmente, um script de terceiros está no <head> acima da nossa tag — mova a nossa tag para primeiro. O segundo caso comum é o contador não estar no registro integrado: adicione o endereço dele com seu próprio padrão.

O banner é exibido repetidamente. Verifique o prazo de validade do Consentiu e se a política não foi reeditada: a reedição eleva a versão, e o banner pergunta de novo — é assim que deve funcionar.

Ferramentas de diagnóstico:

Verificar instalação — lemos o HTML de origem da sua página e informamos se o código foi encontrado e se está dentro do <head>.
Enviar código ao desenvolvedor — abre um e-mail pronto com o snippet no seu programa de e-mail.
Guia do Google Tag Manager — como instalar o banner com uma tag GTM.
Modo de depuração: abra o site com ?cenaly_consent_debug=1 — o console exibirá os eventos do Consent Mode (default/update) e o modo de região determinado, mostrando exatamente o que o Google e outros sistemas recebem.

Seções relacionadas#

Meu site — código de instalação e os demais Widgets
Documentos jurídicos — política de privacidade, termos, devoluções
Análise — o que é visível após o Consentiu

Perguntas frequentes#

O banner é obrigatório? Essa é uma pergunta para o seu advogado, não para nós: a obrigação depende de onde você atua, de onde vêm os visitantes e quais scripts estão no site. Do lado do produto, a resposta é esta: nosso banner tem cinco modos; por padrão, em 32 países do EEE, no Reino Unido e na Suíça, ativa-se o opt-in estrito; nos EUA, o opt-out com “Do Not Sell”; nos demais países, o comportamento é definido por você. As referências e fontes primárias estão reunidas acima, na seção “Modos por país”.

O CMP vai bloquear minha própria análise? Antes do Consentiu — sim, é o trabalho dele. A análise da plataforma, nesse caso, continua contando visitas no modo cookieless do Consent Mode v2.

O que acontece com os Consentius antigos após a edição da política? Nada, até você clicar em “Perguntar a todos novamente agora” ou reeditar a política — aí a versão sobe e o banner pergunta de novo.

Isso funciona se o site não estiver na nossa plataforma? Sim — é o cenário principal. Uma tag em qualquer site e, para WordPress, o plugin Cenaly Consent, que instala a tag para você.