Política de Privacidade x Termos de Uso: as diferenças e um bizu para fazer os seus

Leitura estimada: 10 minutos. Este artigo considera o contexto brasileiro.

O site ficou bonito. O cadastro funciona. O botão de pagamento está no lugar. Aí alguém lembra das duas páginas que costumam aparecer no rodapé: Política de Privacidade e Termos de Uso.

Começa a caça ao modelo. Copia um texto daqui, troca o nome da empresa ali, pede para a IA deixar mais profissional e pronto.

Pronto mesmo?

Se o documento diz que você não compartilha dados, mas o sistema envia informações para hospedagem, pagamentos, métricas e uma API de inteligência artificial, já temos uma conversa pendente. Se os Termos prometem uma funcionalidade que o produto não entrega, temos outra.

Esses textos precisam acompanhar o funcionamento do serviço. E, embora apareçam juntos no rodapé, cada um responde a perguntas diferentes. Vamos separar as coisas e chegar ao bizu: um jeito prático de começar os dois documentos sem escrever ficção jurídica.

Política de Privacidade e Termos de Uso: qual é a diferença?

A Política de Privacidade explica o que acontece com os dados pessoais. Os Termos de Uso estabelecem as condições de utilização do serviço.

Pergunta	Política de Privacidade	Termos de Uso
Qual é o assunto principal?	Tratamento de dados pessoais.	Funcionamento e regras do serviço.
O que o usuário deve entender?	Quais dados são usados, para quê, por quem e durante quanto tempo.	O que está sendo oferecido, quais são as condições e quais responsabilidades existem.
Exemplos de conteúdo	Cadastro, cookies, fornecedores, direitos e canal de privacidade.	Conta, planos, pagamento, cancelamento, usos proibidos e suporte.
Qual confusão evitar?	Tratar o aviso como autorização para qualquer uso dos dados.	Achar que uma cláusula pode eliminar qualquer responsabilidade.

Uma observação de nomenclatura: no site, o que chamamos de Política de Privacidade costuma funcionar como um aviso de privacidade dirigido ao público. Isso é diferente de uma política interna de proteção de dados, que orienta a organização. O guia do Governo Digital sobre avisos de privacidade faz essa distinção.

Para facilitar a leitura, vou manter aqui o nome mais conhecido: Política de Privacidade.

O que precisa entrar na Política de Privacidade?

Comece pelas perguntas que uma pessoa faria antes de entregar suas informações:

• Quem está por trás do serviço? Identifique o responsável pelas decisões sobre os dados e os canais de contato.
• Quais dados entram e por quê? Relacione as categorias de dados às finalidades reais, incluindo informações recebidas de terceiros.
• Qual é o fundamento do uso? Avalie a base legal de cada finalidade, em vez de colocar uma justificativa genérica para tudo.
• Com quem os dados circulam? Levante fornecedores, integrações e eventual transferência internacional.
• Por quanto tempo ficam? Informe prazos ou critérios compreensíveis, coerentes com a necessidade e as obrigações aplicáveis.
• Como a pessoa exerce seus direitos? Explique o canal e o procedimento para fazer uma solicitação.

O artigo 9º da LGPD exige transparência sobre aspectos como finalidade, duração, identificação do controlador, compartilhamento e direitos. Portanto, uma frase simpática dizendo que a empresa valoriza a privacidade não resolve o conteúdo inteiro.

Também vale explicar, em nível adequado ao público, os cuidados de segurança efetivamente adotados e como serão comunicadas mudanças relevantes. Evite prometer invulnerabilidade ou descrever controles que ainda não existem.

Sobre os direitos, a ANPD apresenta orientações específicas sobre confirmação, acesso, correção, eliminação e outras possibilidades. Há condições e exceções: encerrar uma conta não significa necessariamente apagar, no mesmo instante, todo registro cuja conservação tenha fundamento legal.

O “aceito tudo” merece atenção

Aqui mora uma confusão frequente: aceitar os Termos de Uso, tomar ciência da Política de Privacidade e consentir com determinado tratamento de dados são coisas diferentes.

Consentimento é uma das bases legais previstas na LGPD. Conforme a finalidade e o caso concreto, o tratamento pode se apoiar em execução de contrato, obrigação legal ou outra hipótese cabível. A ANPD explica essas bases em suas perguntas frequentes.

Quando o consentimento for a base escolhida e adequada, ele precisa atender aos requisitos legais, com finalidade definida e possibilidade de revogação. Um aceite genérico escondido no meio do contrato não resolve isso: o artigo 8º da LGPD exige destaque para o consentimento escrito e invalida autorizações genéricas.

Na interface, pense em ações com significados claros: concordar com as condições do serviço; acessar as informações de privacidade; e, quando aplicável, escolher separadamente uma finalidade opcional baseada em consentimento, como receber determinada comunicação promocional.

O objetivo é que a pessoa entenda o que está fazendo. Uma caixinha marcada não substitui essa compreensão.

E os cookies?

Eles entram no levantamento. Identifique finalidades, duração e terceiros envolvidos. O guia de cookies da ANPD orienta manter desativados por padrão os cookies baseados em consentimento e facilitar a rejeição dos não necessários e a revisão das escolhas.

Se o botão de recusa aparece, mas o rastreador continua funcionando do mesmo jeito, o problema está também na implementação. O banner precisa cumprir o que oferece.

O que precisa entrar nos Termos de Uso?

Pense nos Termos como a explicação organizada da relação entre quem fornece o serviço e quem o utiliza. Um roteiro inicial pode incluir:

1. Identificação e escopo: quem fornece, o que o produto faz e quais são seus limites.
2. Acesso e conta: condições de cadastro, cuidados com credenciais e regras para usuários autorizados.
3. Uso permitido: condutas proibidas, respeito a direitos de terceiros e tratamento de conteúdo enviado pelo usuário.
4. Condições comerciais: planos, cobranças, renovação, cancelamento e reembolso, quando houver.
5. Operação: suporte, manutenção, dependências externas e comunicação de mudanças.
6. Encerramento e conflitos: hipóteses e procedimentos de suspensão, término da relação e canais para resolver problemas.

Esse roteiro precisa de adaptação. Uma ferramenta gratuita, um SaaS por assinatura e uma plataforma com conteúdo de usuários têm diferenças relevantes.

No comércio eletrônico sujeito ao CDC, o Decreto nº 7.962/2013 prevê informações claras, resumo antes da contratação, disponibilização do contrato e atendimento para demandas como cancelamento. O direito de arrependimento, quando aplicável, também deve ser respeitado.

E não adianta colocar uma cláusula dizendo que a empresa nunca responde por nada. O CDC, especialmente nos artigos 46 e 51, protege a compreensão do contrato e trata da nulidade de cláusulas abusivas.

Há ainda exigências específicas por tipo de operação. A regulamentação do Marco Civil foi atualizada pelo Decreto nº 12.975/2026, que inclui disposições sobre termos e condições, notificações e transparência para provedores de aplicações. O enquadramento do serviço precisa ser verificado; um modelo antigo não cobre automaticamente essas obrigações.

Dois exemplos próximos da minha realidade

No trabalho com integrações de marketplaces na Oombe, convivo com um ponto que ajuda a entender essa diferença: um software também depende de outros sistemas.

Em um SaaS desse tipo, os Termos devem esclarecer as funcionalidades contratadas e como são tratadas limitações ou mudanças nas integrações. A Política de Privacidade deve explicar os fluxos de dados envolvidos nessas operações.

São assuntos relacionados, com funções diferentes. Explicar uma dependência externa também não equivale a transferir automaticamente toda responsabilidade para o fornecedor da API.

Outro exemplo: quando pensei em um gerador de currículos para o Pinheiral Digital, a proposta era permitir que a pessoa criasse e baixasse o documento sem conta e sem armazenamento dos currículos.

Essa intenção precisa ser confirmada pela arquitetura. O PDF será gerado no navegador? Os campos chegarão ao servidor? Algum serviço externo receberá informações? O que ficará nos registros técnicos?

Mesmo sem cadastro, um servidor pode registrar informações de acesso. A documentação do Apache, por exemplo, mostra registros que podem conter endereço do cliente, horário e recurso solicitado, conforme a configuração.

Nesse projeto, os Termos poderiam esclarecer a necessidade de revisar o currículo e a ausência de garantia de contratação. A Política explicaria o percurso efetivo dos dados. São exemplos de conteúdo a validar, não uma descrição de uma implementação já auditada.

“Não armazenamos os currículos” é uma afirmação específica. “Não tratamos nenhum dado” exige uma verificação muito mais ampla.

O bizu: faça uma ficha do sistema antes de pedir o texto

Abra um documento simples e responda às perguntas abaixo. Se precisar, sente com quem desenvolve, opera, atende os clientes e cuida das questões jurídicas.

Bloco	O que levantar
Serviço	O que entrega, para quem, em quais condições e com quais limites?
Dados	Quais informações entram por formulários, integrações, cookies e registros técnicos?
Finalidade	Para que serve cada uso e qual fundamento precisa ser validado?
Caminho	Onde ocorre o processamento, quem recebe os dados e quais fornecedores participam?
Duração	O que é apagado, quando, como e o que precisa ser conservado?
Relação com o usuário	Como funcionam cobrança, suporte, cancelamento, suspensão e pedidos de privacidade?
Evidências	Quem confirmou cada resposta e o que ainda está pendente?

Não sabe uma resposta? Escreva “a confirmar”. Isso é mais útil do que preencher a lacuna com uma promessa bonita.

A lógica tem apoio em uma referência oficial: o Guia para Elaboração de Avisos de Privacidade do Governo Digital, de junho de 2026 recomenda usar o registro das operações de tratamento como fonte para o aviso. O guia se dirige à administração pública federal; a ideia de começar pela operação real é uma referência útil a adaptar a outros projetos.

Com a ficha preenchida, você já tem matéria-prima para os dois documentos. Também pode descobrir que um dado nem precisa ser coletado ou que uma regra comercial ainda não foi decidida.

Pode usar IA? Pode. Dê contexto e peça perguntas

A IA pode ajudar a organizar a ficha e melhorar a redação. Uma forma prática de começar é usar este comando:

Vou fornecer a descrição de um serviço digital que opera no Brasil. Ajude-me a preparar dois rascunhos separados: uma Política de Privacidade voltada ao usuário e Termos de Uso.

Antes de redigir, faça perguntas para identificar lacunas sobre o serviço, público, dados, finalidades, fornecedores, retenção, segurança, cobrança, cancelamento e atendimento.

Use apenas fatos confirmados. Marque informações ausentes como [A CONFIRMAR]. Não invente prazos, controles de segurança, fornecedores ou bases legais. Quando houver questão jurídica, sinalize o que precisa de validação profissional.

Diferencie aceite contratual, transparência e consentimento. Não crie autorizações genéricas nem promessas de segurança absoluta. Considere as particularidades de serviços públicos, crianças, dados sensíveis ou conteúdo de terceiros, se aparecerem na descrição.

Entregue os textos em linguagem simples, uma lista das pendências e um roteiro de conferência entre cada afirmação e o funcionamento real do sistema. Não declare conformidade com a legislação.

Descrição confirmada do serviço: [INSERIR A FICHA].

Para preencher essa ficha, use categorias e exemplos fictícios. Não é necessário colar dados pessoais de clientes, senhas ou tokens de integração no comando.

A resposta será um ponto de partida. Quem conhece a operação precisa conferir os fatos; a revisão jurídica precisa avaliar o enquadramento e as cláusulas. A IA não tem como adivinhar o que sua hospedagem registra ou qual processo a equipe realmente consegue cumprir.

Depois de escrever, teste o que prometeu

Minha sugestão é fazer uma revisão pelo caminho do usuário: criar uma conta, ler os documentos no celular, cancelar um plano de teste, recusar cookies e enviar uma solicitação de privacidade.

O canal funciona? A equipe sabe responder? A exclusão segue o procedimento descrito? As condições aparecem antes da contratação?

Mantenha versão e data dos documentos. Quando houver aceite, organize evidências proporcionais da versão apresentada, do momento e da ação realizada, sem coletar dados em excesso. Isso ajuda a demonstrar o processo; não transforma cláusula inválida em válida.

Reveja os textos quando mudar o produto, o fornecedor, a finalidade de uso dos dados ou a regra comercial. E confira se as traduções continuam dizendo a mesma coisa.

O melhor documento é aquele que o usuário consegue entender e que a operação consegue cumprir.

Começar por essa coerência dá mais trabalho do que trocar o nome da empresa em um modelo. Também evita descobrir, depois, que o rodapé prometeu um serviço que nunca existiu.

Este artigo é um roteiro educativo, não um parecer jurídico nem um modelo pronto para qualquer negócio. Os documentos finais devem ser ajustados à operação e às normas aplicáveis, com revisão profissional adequada ao caso.

Fontes e referências

• Lei Geral de Proteção de Dados Pessoais — LGPD.
• ANPD — Perguntas frequentes e Direito dos Titulares.
• ANPD — Guia orientativo sobre cookies e proteção de dados pessoais.
• Governo Digital — Guia para Elaboração de Avisos de Privacidade, versão 1.0, junho de 2026.
• Código de Defesa do Consumidor e Decreto nº 7.962/2013 — Comércio eletrônico.
• Decreto nº 12.975/2026 — Atualização da regulamentação do Marco Civil da Internet.
• Apache HTTP Server — Documentação de registros de acesso.