O que precisa, e o que não precisa.

O banner de cookie não é obrigatório por lei: obrigatório é o consentimento para o que não é estritamente necessário. Um site sem analytics, sem pixel, sem vídeo incorporado e com as fontes hospedadas no próprio domínio não tem o que pedir, e o banner simplesmente não serve. Este site está nessa condição.

No momento em que entram Google Analytics, Meta Pixel, um mapa, um vídeo do YouTube ou uma fonte carregada de CDN, o banner passa a ser obrigatório. O Guia Orientativo da ANPD sobre cookies pede consentimento granular, recusa possível e informação clara; na Itália, as diretrizes do Garante vão mais longe e proíbem cookie wall e rolagem como consentimento.

• Sem analytics, pixel, vídeo incorporado e fonte de CDN: nenhum banner
• Basta um rastreador e o banner passa a ser obrigatório
• ANPD: consentimento granular, recusa possível e informação clara
• Na Itália, o Garante ainda proíbe cookie wall e rolagem como consentimento

Basta um formulário de contato para acionar o aviso de privacidade do artigo 9 da LGPD: finalidade, forma e duração do tratamento, identificação e contato do controlador, compartilhamento e os direitos do titular do artigo 18.

A LGPD também exige poder demonstrar o consentimento. Em todo formulário que construímos, o texto exato da caixa e o momento do envio viajam junto da mensagem: o próprio e-mail recebido já é o registro.

• Um formulário de contato já aciona o aviso do artigo 9 da LGPD
• Finalidade, forma, duração, controlador, compartilhamento e direitos do artigo 18
• O consentimento precisa ser demonstrável: texto da caixa e hora do envio vão com a mensagem

Licença de fonte para desktop não cobre uso na web. Imagem de banco tem vínculo de uso que muda sem aviso. Tema e plugin comercial licenciam por site, não por agência. Biblioteca sob GPL vincula o que for distribuído junto, e site entregue a cliente é distribuição.

É a linha que gera a conta mais cara, porque chega por carta de escritório de advocacia e não por aviso do navegador.

• Licença de fonte para desktop não cobre uso na web
• Tema e plugin comercial licenciam por site, não por agência
• Biblioteca sob GPL vincula o que for distribuído junto do site
• Imagem de banco muda vínculo de uso sem aviso

No Brasil, a Lei Brasileira de Inclusão obriga sites de empresas com sede ou representação comercial no país a serem acessíveis, sem corte por porte nem por faturamento. Na Europa, o European Accessibility Act passou a valer em 28 de junho de 2025 e alcança comércio eletrônico ao consumidor, bancos, transporte e telecomunicações, deixando microempresa de fora.

A referência técnica é o WCAG em nível AA. Feita durante o projeto custa pouco; refeita depois custa um projeto inteiro.

• Lei Brasileira de Inclusão: sem corte por porte nem por faturamento
• European Accessibility Act, desde 28 de junho de 2025: comércio eletrônico, bancos, transporte, telecomunicações
• Microempresa fica de fora da regra europeia
• Referência técnica: WCAG em nível AA

HTTPS com renovação automática, cabeçalhos de segurança no servidor, backup com restauração testada e log preservado, que o Marco Civil manda guardar por seis meses. Em site estático a lista termina aqui.

Em CMS começa o custo recorrente: atualização de núcleo, tema e plugin, remoção de plugin abandonado, que é o vetor de invasão mais comum, e monitoramento. Vai no orçamento como linha separada, com preço.

• HTTPS com renovação automática e cabeçalhos de segurança no servidor
• Backup com restauração testada e log guardado por seis meses, como manda o Marco Civil
• Em CMS: atualização de núcleo, tema e plugin, mais monitoramento
• Plugin abandonado é o vetor de invasão mais comum