RGPD e tracking de afiliados: o que muda nos cookies, IPs e dados pessoais

Um programa de afiliados trata dados pessoais: de quem clica, de quem compra e dos próprios afiliados. Isto é um resumo prático, não aconselhamento jurídico; confirma o teu caso com quem te apoia na proteção de dados.

Que dados o tracking recolhe

• De quem clica: endereço IP, tipo de dispositivo, país e a página de origem.
• De quem compra: normalmente só um identificador da encomenda e o valor. A plataforma de afiliados não precisa do nome nem do email do cliente.
• Dos afiliados: contacto e dados de pagamento.

Cookies e consentimento

O tracking por postback liga a venda ao clique através de um click ID que o anunciante guarda, sem cookies de terceiros. O pixel depende do browser e de cookies, e é aí que as regras de consentimento pesam mais. Vê postback ou pixel.

Boas práticas

1. Recolhe o mínimo: não envies nomes nem emails de clientes nos postbacks.
2. Protege os IPs: guarda-os em forma pseudonimizada e apaga-os ao fim de um prazo curto.
3. Define prazos de retenção para cliques e conversões.
4. Tem um contrato de subcontratação com a plataforma, que trata os dados por tua conta.
5. Responde aos pedidos: tens de conseguir exportar e apagar os dados de uma pessoa.

O que pedir à plataforma

• Onde ficam os dados e quem lhes acede?
• Os IPs são guardados inteiros?
• Os dados de cada cliente estão isolados dos outros?
• Há 2FA e registo de auditoria?

No RastroAff

Os IPs ficam guardados só como hash e em forma truncada; a forma truncada é apagada por defeito ao fim de 30 dias. Os dados de cada rede são isolados na base de dados, os dados de pagamento dos afiliados são cifrados, os administradores usam 2FA e as ações sensíveis ficam em auditoria. Cada utilizador pode exportar os seus dados e pedir a eliminação da conta.