Web push e GDPR: pelo que você é responsável

Este guia não é aconselhamento jurídico. Sou fundador, não advogado, e a sua configuração depende do seu país, do seu mercado e do que você envia. Converse com quem cuida de proteção de dados onde você trabalha.

O que eu posso fazer é descrever as peças, porque muita gente supõe que a caixa de diálogo de permissão do navegador resolve tudo. Não resolve.

A GDPR, o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD em Portugal), é o que este guia tem em mente.

O que o pedido do navegador cobre

Quando um visitante clica em permitir, ele dá ao navegador permissão para mostrar notificações do seu site. É uma escolha clara e ativa, e é uma boa base.

Ele não diz ao visitante quem você é em sentido jurídico, o que você vai enviar, que dados você guarda sobre ele ou quem mais os processa. O navegador não tem como saber nada disso. Essas partes são suas.

Uma inscrição de push é dado pessoal

Quando alguém se inscreve, o navegador cria uma inscrição: um endereço de endpoint no serviço de push do fabricante do navegador e chaves para criptografar as mensagens destinadas a ele. Essa inscrição identifica um navegador num dispositivo.

O mais seguro é tratá-la como dado pessoal, junto com tudo o que você associa a ela: quais páginas o inscrito leu, em quais segmentos está, idioma ou país, quando clicou.

Isso significa que as obrigações normais da GDPR se aplicam a ela.

Pelo que você é responsável

Uma base legal. Para notificações de marketing, normalmente é o consentimento, que o opt-in dá a você quando é informado. Informado é a palavra importante. Um pedido que diz o que as pessoas vão receber é melhor do que um que só diz "Permitir".

Transparência. O seu aviso de privacidade deve dizer que você usa notificações do navegador, o que envia, que dados guarda sobre os inscritos, por quanto tempo e quais fornecedores estão envolvidos.

Retirada fácil. As pessoas precisam conseguir parar com a mesma facilidade com que começaram. Na prática, bloquear as notificações no navegador interrompe a entrega. Garanta que o seu aviso explique como, e remova as inscrições que voltam como expiradas ou inexistentes.

Minimização. Guarde o que você precisa para enviar mensagens relevantes e medi-las. Evite coletar coisas "por via das dúvidas".

Operadores. O seu fornecedor de push processa dados de inscritos em seu nome, então você precisa de um acordo de processamento de dados com ele e deve saber quais subprocessadores ele usa.

Retenção e exclusão. Decida por quanto tempo guarda dados de pessoas que se descadastraram ou cuja inscrição parou de funcionar, e consiga excluir um inscrito quando ele pedir.

O fabricante do navegador faz parte da cadeia

As mensagens de web push são entregues pelo serviço de push mantido pelo fabricante do navegador. O padrão Web Push criptografa o conteúdo da mensagem entre o seu servidor e o navegador do inscrito, então o serviço de push transporta uma mensagem que não consegue ler. Ele ainda vê que uma mensagem está sendo entregue a um endpoint.

Isso faz parte de como o web push funciona para qualquer fornecedor, e vale saber quando você descreve o fluxo no seu aviso de privacidade.

O que evitar

• Pedidos feitos para parecer caixas de diálogo do sistema, ou que escondem com o que as pessoas estão concordando.
• Enviar categorias de conteúdo em que as pessoas não se inscreveram. Quem se inscreveu para resultados de partidas não concordou com ofertas de compras.
• Montar perfis detalhados de que você não precisa para enviar mensagens relevantes.
• Manter inscrições mortas para sempre porque a lista parece maior.

O que o EngageNudge faz

O EngageNudge é feito na Suécia, EU-first, com minimização de dados como padrão. Os endpoints das inscrições de push são armazenados criptografados. Os dados de cada cliente ficam isolados, e os clientes usam as próprias chaves VAPID.

Para localização guardamos país e região no momento da inscrição, não endereços IP nem user agents brutos. Inscrições que voltam como expiradas ou inexistentes são limpas automaticamente e nunca cobradas. Os caminhos de exportação da audiência e de exclusão estão documentados, e o DPA e a lista de subprocessadores são públicos neste site.

Nada disso substitui o seu próprio aviso de privacidade nem a sua avaliação jurídica. Significa que a ferramenta não deixa o trabalho mais difícil.