Cookie Confirm

Modelo de política de privacidade

O que a política de privacidade do teu site ou loja online tem de conter segundo o RGPD e a Lei n.º 58/2019, onde a deves mostrar, os erros mais comuns e um modelo gratuito em português para copiar e completar, com a CNPD já indicada.

Verificado em 16 outubro 2026

Em resumo

  • Diz quem és, para que usas os dados, com que fundamento jurídico e durante quanto tempo os guardas.
  • Indica quem recebe os dados e se saem da Europa, e com que garantia.
  • Explica os direitos das pessoas, incluindo retirar o consentimento e apresentar queixa à CNPD.
  • Coloca um link em todas as páginas e junto de cada formulário que recolhe dados pessoais.

O que é uma política de privacidade?

Uma política de privacidade, também chamada aviso de privacidade ou política de proteção de dados, é o texto em que explicas o que fazes com os dados pessoais das pessoas. Num site é normalmente uma página própria, com link no rodapé.

A obrigação vem do RGPD. O artigo 12.º diz que a informação tem de ser prestada de forma concisa, transparente, inteligível e de fácil acesso, numa linguagem clara e simples. Os artigos 13.º e 14.º enumeram o que tens de dizer: o artigo 13.º quando recolhes os dados junto da própria pessoa, por exemplo através de um formulário, e o artigo 14.º quando os obténs de outra fonte. A informação é gratuita.

Em Portugal, o RGPD é completado pela Lei n.º 58/2019, de 8 de agosto, que assegura a sua execução na ordem jurídica nacional. Essa lei designa a Comissão Nacional de Proteção de Dados (CNPD) como a autoridade de controlo nacional. É a CNPD que tens de indicar na tua política como a entidade a quem as pessoas podem apresentar queixa.

O que tem de constar?

Quando recolhes dados pessoais junto de alguém, o artigo 13.º exige esta informação:

  • Quem és: o nome e os contactos da tua organização e, se estiveres fora da UE mas venderes para cá, do teu representante.
  • O teu encarregado da proteção de dados, se tiveres um, com os respetivos contactos.
  • As finalidades e o fundamento jurídico. Para cada finalidade, o fundamento em que te baseias: consentimento, contrato, obrigação legal ou interesse legítimo. As orientações europeias sobre transparência sublinham que as finalidades e o fundamento têm de ser claros.
  • O teu interesse legítimo, se for esse o fundamento. Diz qual é o interesse concreto.
  • Os destinatários: quem recebe os dados, incluindo subcontratantes como o teu fornecedor de alojamento ou de e-mail. Segundo as orientações, nomear os destinatários concretos é em regra o mais útil; se indicares apenas categorias, sê o mais específico possível.
  • Transferências para fora da UE ou do EEE: que a transferência acontece, se há uma decisão de adequação e, se não houver, que garantia usas e como se pode obter uma cópia. As orientações dizem que os países devem, em regra, ser indicados.
  • Durante quanto tempo guardas os dados, ou os critérios para o definir. "Pelo tempo necessário" não chega, segundo as orientações.
  • Os direitos da pessoa: acesso, retificação, apagamento, limitação, oposição e portabilidade.
  • O direito de retirar o consentimento a qualquer momento, quando te baseias nele.
  • O direito de apresentar queixa a uma autoridade de controlo, em Portugal a CNPD.
  • Se a pessoa é obrigada a fornecer os dados, por exemplo porque precisas deles para um contrato, e o que acontece se não os fornecer. As orientações acrescentam que os formulários online devem mostrar claramente que campos são obrigatórios.
  • Decisões automatizadas, incluindo a definição de perfis, se tiverem efeitos jurídicos ou igualmente significativos, com informação útil sobre a lógica e as consequências.

O direito de oposição merece atenção especial: o artigo 21.º exige que seja levado explicitamente ao conhecimento das pessoas, de forma clara e separada de outra informação, o mais tardar no momento da primeira comunicação com elas.

Onde a deves mostrar

O artigo 13.º exige a informação no momento da recolha dos dados. As orientações europeias sobre transparência, aprovadas pelo Comité Europeu para a Proteção de Dados (CEPD), explicam o que isso significa num site:

  • Um link em todas as páginas. Todos os sites devem publicar uma declaração de privacidade, com um link direto e bem visível em cada página, com um nome habitual como Privacidade ou Política de privacidade. Um link difícil de ver por causa da posição ou da cor não é de fácil acesso.
  • No ponto de recolha. Como boa prática, coloca um link para a política de privacidade junto de cada formulário que recolhe dados pessoais, ou dá a informação na mesma página.
  • Não escondida nos termos e condições. As pessoas não devem ter de a procurar no meio de outra informação.
  • Por camadas, se for longa. Uma política por camadas permite saltar diretamente para a parte que interessa. A informação completa deve continuar disponível num só sítio.
  • Na língua do visitante. Se o teu site se dirige ao público português, a política deve estar em português; se te diriges a pessoas de outras línguas, com uma tradução fiel.

Política de privacidade, política de cookies e banner de cookies

Os três têm funções diferentes:

  • O banner de cookies pede o consentimento antes de colocares cookies não essenciais e tem link para os detalhes.
  • A política de cookies explica que cookies e tecnologias semelhantes usas, quem os coloca e quanto tempo duram.
  • A política de privacidade abrange todos os dados pessoais que tratas, também fora dos cookies: formulários, encomendas, newsletters, apoio ao cliente.

Devem remeter umas para as outras. A tua política de privacidade menciona as ferramentas de análise e de marketing, o fundamento (normalmente o consentimento, que em Portugal é obrigatório para os cookies de análise, como explicamos em A lei dos cookies em Portugal) e eventuais transferências para fora da Europa, como as do Google Analytics, e remete para a política de cookies quanto aos pormenores. O banner tem link para as duas. Retirar o consentimento tem de ser tão fácil como dá-lo, por isso diz nos dois textos onde se pode alterar a escolha de cookies.

O Cookie Confirm mostra um banner que regista o consentimento de cada visitante e tem link para a tua política de cookies e para a tua política de privacidade.

Extra para lojas online

Uma loja online trata mais dados do que um site comum, por isso a política de privacidade tem de dizer mais:

  • Encomendas: os dados de que precisas para entregar, com base no contrato. Diz que sem eles não podes entregar.
  • Faturas: o artigo 52.º do Código do IVA obriga a arquivar e conservar os registos e os documentos de suporte durante os 10 anos civis seguintes. O fundamento é uma obrigação legal; indica esse prazo na política.
  • Pagamentos: indica o prestador de pagamentos e se recebes tu os dados do cartão ou da conta.
  • Entregas: indica as transportadoras que recebem a morada de entrega.
  • Newsletter: em Portugal, o artigo 13.º-A da Lei n.º 41/2004 exige o consentimento prévio e expresso para enviar marketing por e-mail ou SMS a particulares. Há uma exceção para clientes: segundo a Diretriz 2022/1 da CNPD, podes enviar-lhes marketing sobre produtos ou serviços análogos aos que compraram, com base no interesse legítimo, desde que possam recusar fácil e gratuitamente, tanto no momento da recolha como em cada mensagem. Para produtos diferentes, precisas de consentimento. Diz na tua política em qual das duas situações te baseias.
  • Avaliações: se um serviço de avaliações convida os clientes depois da compra, indica-o e diz que dados partilhas com ele.
  • Contas de cliente: diz durante quanto tempo guardas uma conta e o que acontece em caso de inatividade.

Erros comuns

  • Copiar um texto genérico. Uma política de outro site ou de um gerador descreve outras ferramentas e outros dados. Se não corresponder ao que o teu site faz, não é transparente.
  • Finalidades vagas. As orientações europeias dão exemplos de frases pouco claras, como usar os dados para desenvolver novos serviços, para investigação ou para oferecer serviços personalizados, sem dizer o que isso significa.
  • Sem fundamento por finalidade. Uma frase geral como "tratamos os dados de acordo com o RGPD" não diz nada.
  • Ferramentas americanas sem informação sobre transferências. Ferramentas de análise, e-mail marketing e alojamento são muitas vezes americanas. Indica o fornecedor, o país e a garantia, como o EU-US Data Privacy Framework ou as cláusulas contratuais-tipo.
  • "Pelo tempo necessário." Indica um prazo ou os critérios.
  • Sem referência à CNPD. As pessoas têm de saber que podem apresentar queixa a uma autoridade de controlo.
  • Desatualizada. Cada novo plugin, ferramenta ou subcontratante pode mudar o que tens de dizer.

O modelo

Abaixo tens um modelo que podes copiar. Preenche tudo o que está entre [parênteses retos], retira as secções de que não precisas e acrescenta o tratamento que faltar, para que o texto descreva o que o teu site faz realmente. Um modelo não é aconselhamento jurídico: se não tens a certeza de que se adequa à tua situação, pede a um advogado que o reveja.

Fontes

Modelo de política de privacidade

Política de privacidade de [Nome da empresa]

Última atualização: [data]

Quem somos
A [Nome da empresa] ("nós") gere o site [endereço do site] [e a loja online em [endereço]]. Somos os responsáveis pelo tratamento dos dados pessoais descritos nesta política.
[Nome da empresa], [rua e número], [código postal e localidade], Portugal
NIPC: [número]
E-mail: [endereço de e-mail para questões de privacidade]
[Se tiveres um encarregado da proteção de dados: Podes contactar o nosso encarregado da proteção de dados através de [endereço de e-mail].]

O que abrange esta política
Esta política explica que dados pessoais recolhemos quando visitas o nosso site, nos contactas, subscreves a nossa newsletter ou fazes uma encomenda, para que os usamos e que direitos tens. Os cookies e tecnologias semelhantes estão explicados na nossa política de cookies: [link para a política de cookies].

Quando nos contactas
Se usares o nosso formulário de contacto ou nos enviares um e-mail, usamos o teu nome, endereço de e-mail, [número de telefone] e a tua mensagem para responder à tua pergunta.
Fundamento: o nosso interesse legítimo em responder a quem nos contacta[, ou diligências pré-contratuais a teu pedido].
Guardamos estas mensagens durante [prazo, por exemplo 12 meses] depois de respondermos, salvo se derem origem a uma encomenda.

Quando fazes uma encomenda
Para processar e entregar a tua encomenda, usamos o teu nome, morada, endereço de e-mail, número de telefone, os produtos que encomendas e o estado do pagamento. [Se pedires fatura com NIF: e o teu número de identificação fiscal.]
Fundamento: execução do contrato contigo. Sem estes dados não conseguimos entregar a tua encomenda.
Guardamos os dados da encomenda durante [prazo]. As faturas e os respetivos documentos de suporte são guardados durante 10 anos, porque a lei fiscal o exige.
Fundamento para guardar as faturas: cumprimento de uma obrigação legal.
[Se os clientes puderem criar uma conta: Se criares uma conta, guardamos os dados da conta até a apagares ou após [prazo] de inatividade.]

Pagamentos
Os pagamentos são tratados por [prestador de pagamentos, por exemplo a entidade que gera Multibanco, MB WAY ou cartão]. Recebemos a confirmação de que pagaste, mas não os dados completos do teu cartão ou da tua conta. [Prestador de pagamentos] trata os teus dados de pagamento [como nosso subcontratante / como responsável pelo tratamento autónomo, segundo a sua própria política de privacidade: link].

Entregas
Partilhamos o teu nome, morada [e endereço de e-mail ou número de telefone] com [transportadora], para que possa entregar a tua encomenda e avisar-te quando chega.

Newsletter
[Escolhe:]
[Se subscreveres a newsletter, usamos o teu endereço de e-mail [e o teu nome próprio] para ta enviar. Fundamento: o teu consentimento. Podes cancelar a subscrição a qualquer momento através do link em cada newsletter ou por e-mail. Isso não afeta o que fizemos antes de retirares o consentimento.]
[Enquanto cliente, podemos enviar-te e-mails sobre produtos ou serviços nossos análogos aos que compraste. Fundamento: o nosso interesse legítimo. Podes opor-te gratuitamente a qualquer momento, através do link em cada e-mail, e já te demos essa possibilidade quando recolhemos o teu endereço de e-mail.]
Usamos [fornecedor de e-mail marketing] para enviar a newsletter. Guardamos o teu endereço de e-mail até cancelares a subscrição.

Avaliações
[Se aplicável: Depois da tua encomenda, podemos pedir-te que avalies a compra através de [serviço de avaliações]. Para isso, partilhamos o teu nome, endereço de e-mail e número de encomenda com [serviço de avaliações]. Fundamento: [o nosso interesse legítimo em recolher avaliações de clientes / o teu consentimento]. Se publicares uma avaliação, esta aparece com [o teu nome próprio / o nome que escolheres].]

Estatística e marketing
Usamos [ferramenta de análise] para perceber como os visitantes usam o nosso site e [ferramentas de marketing, por exemplo Google Ads, Meta Pixel] para medir e mostrar os nossos anúncios. Estas ferramentas usam cookies ou tecnologias semelhantes. Só as usamos se deres o teu consentimento no nosso banner de cookies. Podes alterar a tua escolha a qualquer momento através de [o link "Definições de cookies" no fundo de cada página]. Que cookies usamos, quem os coloca e quanto tempo duram está na nossa política de cookies: [link].

Quem recebe os teus dados
Não vendemos os teus dados pessoais. Só os partilhamos nos casos descritos nesta política ou quando a lei o exige. Estas empresas tratam dados por nossa conta, ao abrigo de um contrato de subcontratação:
- [Fornecedor de alojamento] – alojamento do nosso site [e da loja online]
- [Fornecedor de e-mail] – envio de e-mails e newsletters
- [Plataforma de loja online] – a nossa loja online
- [Software de faturação / contabilista certificado] – faturação e contabilidade
[Acrescenta ou retira destinatários para que a lista corresponda à tua situação.]

Dados fora da Europa
Algumas destas empresas estão situadas fora do Espaço Económico Europeu ou podem aceder aos dados a partir de lá:
- [Fornecedor] em [país]. Garantia: [a decisão de adequação da Comissão Europeia para o EU-US Data Privacy Framework / cláusulas contratuais-tipo].
Podes pedir uma cópia destas garantias através de [endereço de e-mail para questões de privacidade]. [Se não houver: Não transferimos dados pessoais para fora do Espaço Económico Europeu.]

Durante quanto tempo guardamos os teus dados
Não guardamos os teus dados mais tempo do que o necessário para as finalidades acima. Os prazos estão indicados em cada secção. Depois disso, apagamos ou anonimizamos os dados.

Decisões automatizadas
Não tomamos decisões sobre ti baseadas exclusivamente em tratamento automatizado, incluindo a definição de perfis, que produzam efeitos jurídicos ou te afetem de forma igualmente significativa. [Se o fizeres, por exemplo controlos automáticos de fraude, descreve-os, a lógica subjacente e as consequências para o cliente.]

Os teus direitos
Tens o direito de:
- aceder aos dados pessoais que temos sobre ti;
- corrigir dados incorretos;
- pedir o apagamento dos teus dados;
- limitar o tratamento dos teus dados;
- receber os dados que nos forneceste num formato estruturado, de uso corrente, ou pedir que os enviemos a outra empresa, quando os tratamos com base no teu consentimento ou num contrato (portabilidade);
- retirar o teu consentimento a qualquer momento, quando nos baseamos nele. Isso não afeta o que fizemos antes de o retirares.

O teu direito de oposição
Quando nos baseamos no nosso interesse legítimo, podes opor-te ao tratamento dos teus dados por motivos relacionados com a tua situação particular. Podes sempre opor-te ao marketing direto, e nesse caso deixamos de usar os teus dados para esse fim.

Para exerceres qualquer um destes direitos, envia um e-mail para [endereço de e-mail para questões de privacidade]. Respondemos no prazo de um mês. Se o pedido for complexo, podemos prolongar esse prazo por mais dois meses; nesse caso, avisamos-te dentro do primeiro mês. Podemos pedir-te primeiro que confirmes a tua identidade.

Reclamações
Se não estiveres satisfeito com a forma como tratamos os teus dados, contacta-nos primeiro através de [endereço de e-mail para questões de privacidade]. Tens também o direito de apresentar queixa a uma autoridade de controlo, em especial no país onde vives ou trabalhas, ou onde consideres que ocorreu a infração. Em Portugal, essa autoridade é a Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, telefone 213 928 400, geral@cnpd.pt. Podes apresentar uma queixa em www.cnpd.pt/cidadaos/participacoes/.

Alterações a esta política
Podemos atualizar esta política quando os nossos serviços ou a lei mudarem. A data no topo indica a última atualização. Se fizermos alterações importantes, avisamos-te [por e-mail / com um aviso no site].

Preferes não ser tu a preencher?A Cookie Confirm escreve a tua declaração de cookies a partir do que o scanner encontra no teu site e mantém-na atualizada quando os cookies mudam.

Perguntas frequentes

A política de privacidade é obrigatória num site?

Se o teu site recolhe dados pessoais, por exemplo através de um formulário de contacto, de uma newsletter, de encomendas ou de ferramentas de análise, o RGPD obriga-te a dar às pessoas a informação dos artigos 13.º e 14.º. A lei não exige uma página chamada "política de privacidade", mas uma política com link em todas as páginas é a forma habitual de o fazer.

Posso usar um gerador de política de privacidade?

Um gerador ou um modelo é um bom ponto de partida, desde que confirmes cada frase com aquilo que o teu site faz realmente: que dados, que ferramentas, que destinatários e durante quanto tempo os guardas. Um texto copiado de outro site descreve outras ferramentas e outros dados.

Qual é a diferença entre política de privacidade, aviso de privacidade e política de proteção de dados?

Na prática, são o mesmo: o texto público que explica como usas os dados pessoais das pessoas. O RGPD não usa nenhum destes nomes; fala apenas da informação a prestar ao titular dos dados.

Posso juntar a política de privacidade e a política de cookies?

Sim. Alguns sites põem tudo num só documento, outros mantêm duas páginas com links de uma para a outra. O que importa é que a informação esteja completa e seja fácil de encontrar, e que o banner de cookies tenha link para ela.

Onde apresento uma queixa sobre proteção de dados em Portugal?

Na CNPD, a Comissão Nacional de Proteção de Dados, que é a autoridade de controlo nacional para efeitos do RGPD e da Lei n.º 58/2019. A CNPD tem formulários de participação no seu site, em cnpd.pt/cidadaos/participacoes. A tua política de privacidade deve dizer às pessoas que têm esse direito.

Com que frequência devo atualizar a política de privacidade?

Sempre que o tratamento muda: uma nova ferramenta, um novo subcontratante, uma nova finalidade ou uma transferência para fora da Europa. Coloca a data da última atualização no topo e avisa as pessoas ativamente das alterações importantes.

Este guia é informação geral, não aconselhamento jurídico. Revemo-lo com regularidade, mas as leis e as orientações mudam. Não tens a certeza sobre a tua situação? Fala com um advogado.

Continuar a ler

Mais guias

Todos os guias →

Aproveita os primeiros 7 dias totalmente grátis

Cria uma conta grátis e vê se a Cookie Confirm é a solução certa para ti. Online em 5 minutos.

  • Não é preciso cartão de crédito
  • Depois, 7,95 € por mês
  • Instalação plug-and-play
Começar o meu teste grátis

4,9/5 5 000+ sites