maxburst/cookie-privacy-compliance

Conformidade de cookies, rastreamento e privacidade

Esta skill leva um site de "achamos que temos um banner de cookies" para "aqui está a evidência de que o site se comporta de forma legal para os visitantes que atende". O trabalho tem quatro fases: escopo, auditoria, implementação, verificação. Uma solicitação pode precisar apenas de algumas delas (um engajamento só de auditoria para após o relatório), mas elas sempre rodam nesta ordem, porque cada uma depende da anterior.

Três ideias impulsionam tudo aqui.

O comportamento é o que importa, e ele precisa ser medido. Reguladores e autores de ações judiciais testam o que o navegador realmente faz: quais cookies existem e quais terceiros são contactados antes de uma escolha, após uma recusa, após uma retirada. Um banner não prova nada. A maioria dos achados reais é um banner que está presente e parece ok enquanto as tags disparam de qualquer forma. Portanto, nunca conclua a partir da presença de uma ferramenta de consentimento, de uma configuração de plugin ou de uma linha de código; conclua a partir de uma varredura.

As regras dependem de quem são os visitantes. A Europa é opt-in (nada não essencial antes do consentimento). Os EUA são opt-out com bolsões de opt-in e um grande risco de litígio. Grande parte do resto do mundo fica no meio. O mesmo site pode estar ok para um público e ilegal para outro, então o escopo vem primeiro e cada achado é declarado contra um regime nomeado.

Um banner que mente é pior do que nenhum banner. Um botão "Rejeitar" que não para as tags transforma uma lacuna de conformidade em uma alegação de engano (este é o padrão factual em quase toda ação de execução da Califórnia). Nunca publique ou deixe no lugar um banner decorativo. Se algo ainda não pode ser bloqueado, diga isso e remova a promessa.

Você não é o advogado do usuário. Dê achados claros e práticos com a regra por trás de cada um, sinalize os lugares onde a lei é instável ou os fatos precisam de um julgamento legal, e diga isso no relatório. Também não se esconda atrás de isenções de responsabilidade: o usuário quer saber o que corrigir.

Arquivos de referência

Leia o que o engajamento precisa, não tudo.

Arquivo	Leia quando
references/jurisdictions.md	Sempre, durante o escopo. Mapeia o público do site para regimes de consentimento e informa qual arquivo de lei abrir.
references/law-europe.md	Qualquer visitante da UE/EEE, Reino Unido ou Suíça. Diferenças por país, regras de design de banner, isenções de analytics, execução.
references/law-us.md	Qualquer visitante dos EUA. Limiares de leis estaduais, GPC, especificidades da Califórnia, litígio de interceptação, saúde/crianças/finanças.
references/law-rest-of-world.md	Canadá, América Latina, Ásia-Pacífico, Oriente Médio, África.
references/audit-playbook.md	Executando a auditoria: uso do scanner, leitura de resultados, inspeção de código e configuração, diagnóstico de uma ferramenta de consentimento existente.
references/failure-patterns.md	Interpretando resultados de varredura. 27 padrões que explicam a maioria dos achados.
references/implementation.md	Planejando e fazendo a correção: escolher ou reparar uma ferramenta de consentimento, ordem de implantação, políticas, GPC.
references/consent-signals.md	Conectando um fornecedor específico: Google Consent Mode v2, Meta, Microsoft, TikTok, TCF/GPP, Shopify, WP Consent API.
references/consent-tools.md	Escolhendo entre ferramentas de consentimento, ou encontrando o nome do cookie, marcação e API JS de uma ferramenta.
references/script-blocking.md	Bloqueando uma tag, embed, fonte ou evento server-side; especificidades de WordPress, Shopify, Next.js e SPA.
references/testing-tools.md	Verificação: a matriz de testes completa, verificações de acessibilidade e desempenho, simulação geográfica.
references/report-template.md	Escrevendo o relatório de auditoria ou o relatório de verificação.

Os arquivos de lei foram verificados em 2026-11-11 e marcam cada afirmação com uma tag de confiança. A lei de privacidade muda mensalmente. Quando uma recomendação depende de um detalhe que está marcado como incerto, listado em "coisas em fluxo", ou com mais de alguns meses de idade, verifique-o contra uma fonte primária atual antes de confiar nele, e informe ao usuário quais pontos você reverificou.

Fase 1: Escopo

Estabeleça estes antes de escanear. Encontre o que puder sozinho (o site, seu rodapé, suas políticas, o código-fonte), depois pergunte ao usuário apenas o que não conseguir encontrar. Mantenha-se em uma rodada de perguntas.

1. Quais sites e hosts. Domínio principal, subdomínios, um domínio separado de checkout ou app, staging.
2. Onde os visitantes estão. Pergunte pelo público real e verifique contra evidências: idiomas, moedas, países de envio, geografia de analytics se tiver acesso. "Só EUA" de uma loja em inglês que envia para o mundo todo não é só EUA. Um site é alcançado por uma lei quando ele atinge ou atende pessoas lá, onde quer que o negócio esteja.
3. O que o site faz com os dados. Anúncios e remarketing, analytics, email marketing, contas, e-commerce, mídia incorporada, chat, replay de sessão. E se algo toca numa área sensível: saúde, crianças ou adolescentes, finanças, localização precisa, qualquer coisa revelando uma característica protegida. Áreas sensíveis mudam a resposta em todas as jurisdições.
4. Tamanho, para a lei dos EUA. Receita anual aproximada e volume de visitantes por estado decidem quais leis estaduais se aplicam. Visitantes únicos com um cookie de anúncio contam como "consumidores", então os limiares são alcançados mais cedo do que os proprietários esperam.
5. Que acesso você tem. Site público somente leitura, login de admin, repositório de código, hospedagem ou SSH, gerenciador de tags, painel da ferramenta de consentimento, contas de plataforma de anúncio. Isso define o quão profunda a auditoria pode ir e se você pode implementar.
6. O que o usuário quer como resultado. Apenas relatório de auditoria, ou corrigir e verificar também. Qualquer métrica que eles não podem perder. Orçamento para ferramentas pagas.

Quando ainda não há site para escanear (o usuário pede um plano, um orçamento ou conselho e não dá URL, ou descreve o site de memória): não pule a medição, mova-a. Trate o que foi dito como uma hipótese, escreva o plano contra ela, e torne "escanear de cada região-alvo para confirmar o ponto de partida" o primeiro passo do plano, com os comandos do scanner preenchidos. Diga quais partes do plano dependem de fatos que você não observou.

Então abra references/jurisdictions.md e anote os regimes-alvo: para cada público, o regime que se aplica e as duas ou três regras que vão guiar os achados. Apresente isso ao usuário em poucas linhas antes da auditoria. Se o público é desconhecido ou mundial, o padrão é opt-in estrito para todos, relaxado apenas para uma lista curta de países onde a lei está estabelecida.

Fase 2: Auditoria

Siga references/audit-playbook.md. Em resumo:

1. Escaneie o site ao vivo com o scanner incluído. Ele carrega o site em um navegador limpo sob cenários separados (sem interação, rejeitar, aceitar, Global Privacy Control, opcionalmente retirar) e registra cookies, web storage, requisições de terceiros e sinais de consentimento do Google em cada fase.

   # configuração única
   npm install --prefix <skill-dir>/scripts && npx --prefix <skill-dir>/scripts playwright install chromium
   
   node <skill-dir>/scripts/scan.mjs https://example.com --out ./scan-rapido            # olhada rápida: página inicial + alguns links
   node <skill-dir>/scripts/scan.mjs https://example.com --coverage types --out ./scan-eua       # auditoria: cada tipo de página no sitemap
   node <skill-dir>/scripts/scan.mjs https://example.com --coverage all --out ./scan-completo     # toda URL do sitemap (lento)
   node <skill-dir>/scripts/scan.mjs https://example.com --coverage types --scenarios baseline,reject,accept,withdraw \
        --proxy http://user:pass@de-proxy:8080 --locale de-DE --timezone Europe/Berlin --out ./scan-de
   

   Use --coverage types para qualquer coisa que se torne um relatório: os modelos de página diferem (artigos incorporam vídeo, páginas de produto carregam widgets, páginas de contato carregam captcha), e uma varredura da página inicial perde a maior parte. Adicione carrinho, checkout e páginas de agradecimento manualmente; eles não estão nos sitemaps.

   Leia a tabela "Fatos" no topo de summary.md primeiro, depois as capturas de tela, depois o detalhe por cenário que você precisa (em sites pesados de anúncio o detalhe é longo; pesquise em vez de ler tudo). O scanner relata de onde ele rodou. Ferramentas de consentimento mudam de comportamento por país do visitante, então uma varredura descreve apenas aquele país. Escaneie de cada regime-alvo (através de um proxy ou VPN) ou declare claramente no relatório quais regimes não foram observados. Nunca apresente uma varredura de IP dos EUA como evidência sobre visitantes da UE.

2. Olhe por trás do navegador tanto quanto seu acesso permitir: onde cada tag é injetada (tema, plugin, gerenciador de tags, hard-coded, edge), como a ferramenta de consentimento está configurada, rastreamento server-side que uma varredura de navegador não pode ver, camadas de cache e otimização de script que reordenam coisas.

   Dois tipos de site precisam de mais que a execução padrão, e o playbook cobre ambos: sites cujo otimizador segura todo script até o primeiro movimento do mouse ou um timer de idle (uma varredura rápida destes parece limpa quando não está), e sites tipo opt-out dos EUA sem botão de rejeitar, onde a questão é se o opt-out e o GPC alcançam toda a pilha de anúncios. Quando o scanner não consegue responder a uma questão da qual o engajamento depende, escreva uma sonda curta com a mesma biblioteca do navegador e mantenha-a com a evidência.

3. Diagnostique a ferramenta de consentimento que já está lá. Geralmente uma está instalada e meio configurada. Descubra exatamente por que ela falha (o playbook tem uma sequência de decisão) porque a correção é muito mais frequentemente um reparo do que uma substituição.

4. Verifique o lado documental: política de privacidade, política de cookies, links e redação exigidos, formulários e sua linguagem de consentimento, rota de solicitação de direitos, registros de consentimento.

5. Escreva achados contra os regimes-alvo. Cada achado: o que foi observado (com evidência da varredura), qual regra ele viola para qual público, quão grave, e a correção. Use references/report-template.md. O relatório tem duas camadas: um resumo em linguagem simples que o proprietário do site pode usar, depois o detalhe técnico para quem implementa.

Pare aqui se o engajamento for apenas de auditoria. Não mude nada em um site durante uma auditoria.

Fase 3: Implementação

Siga references/implementation.md. O essencial:

• Combine o plano primeiro. Mostre ao usuário o que vai mudar, qual métrica eles vão perder ou manter, qualquer plano pago necessário, e obtenha um sim. Remover ou bloquear um rastreador muda o relatório de alguém e o desempenho de anúncios; isso é decisão deles, não sua.
• Trabalhe em algum lugar seguro. Staging se existir. Em produção: faça backup primeiro, mude uma coisa de cada vez, saiba como reverter, e nunca deixe um site em um estado onde o banner promete algo que as tags não fazem.
• Corrija na ordem de dependência: remova o que não é usado, estabeleça uma ferramenta de consentimento como a única proprietária do consentimento, defina padrões de consentimento antes de qualquer tag carregar, bloqueie toda tag e embed através dela, conecte sinais de fornecedores (Consent Mode e o resto), trate GPC e links de opt-out dos EUA, faça a retirada funcionar, então atualize as políticas para corresponder ao que o site agora faz.
• Limpe toda camada de cache após as mudanças (cache de página, CDN, minify/combine bundles), ou você testará o site de ontem.

Fase 4: Verificação

Nada está corrigido até que uma nova varredura mostre. Re-execute o scanner com os mesmos cenários e pontos de observação da auditoria e compare com a execução da auditoria. references/testing-tools.md tem a matriz completa; o mínimo para aprovação é:

• Públicos opt-in: zero cookies não essenciais e zero requisições de rastreadores antes de uma escolha e após rejeitar, inclusive após movimento real do mouse e scroll; rejeitar na primeira camada com igual destaque; aceitar realmente carrega as tags; retirar as para e remove cookies de rastreador first-party; a escolha persiste entre páginas e não é perguntada novamente.
• Públicos opt-out: o link de opt-out e o GPC cada um para as tags de venda/compartilhamento/publicidade direcionada sem mais cliques; visitantes da Califórnia veem confirmação de que o sinal foi honrado; nada dispara antes do consentimento em páginas que tocam dados sensíveis.
• Em todo lugar: sinais de consentimento nos hits de saída do Google correspondem ao estado que o visitante escolheu; resultados são os mesmos em carregamentos em cache e sem cache, em mobile, e nos tipos de página que importam (produto, checkout, agradecimento, formulários); a política de cookies lista o que a varredura encontra.

Relate o que passou, o que falhou e o que não pôde ser testado (por exemplo, uma região para a qual você não teve ponto de observação, ou eventos server-side aos quais não teve acesso). Uma verificação não testada é relatada como não testada, nunca como aprovada.

Notas de trabalho

• Evidência sobre afirmação. Cite o nome do cookie, o host da requisição, o parâmetro de consentimento, a captura de tela. Um achado sem evidência é uma opinião.
• Cookies e hosts desconhecidos são achados a resolver, não para ignorar. Identifique-os (quem os define, para quê) ou liste-os como não resolvidos.
• Gravidade segue a exposição real: quem é o público, quais dados estão envolvidos, quão visível é a falha, quão ativamente essa regra é aplicada ou litigada. Um pixel de anúncio disparando antes do consentimento para visitantes franceses, ou em uma página de saúde dos EUA, é crítico. Um link de imprint faltando não é.
• Mantenha a métrica do usuário onde a lei permite. Conformidade não significa deletar analytics. Prefira a opção que satisfaz a regra e mantém o máximo de dados úteis: tags bloqueadas por consentimento, Consent Mode, analytics cookieless ou em configuração isenta, comportamento específico por região. Explique o trade-off e deixe o usuário escolher.
• Diga o que você não verificou. Aplicativos mobile, pixels de rastreamento de email, compartilhamento de dados offline, contratos de fornecedores e papelada de transferência internacional fazem parte da conformidade de privacidade e estão majoritariamente fora de uma varredura de site. Nomeie os que parecem relevantes para que não sejam assumidos como feitos.