Guia · Lei estadual dos EUA

TDPSA: a lei do Texas explicada para quem tem anúncios

A lei do Texas não usa número de visitantes para decidir quem precisa cumprir. Ela olha se a empresa é pequena pelos critérios federais. Neste guia você entende essa regra, o que o visitante pode recusar e como o procurador-geral do Texas vem fiscalizando.

Auditar meu site para o Texas Ler o guia

✓Baseado na lei e na página do procurador-geral do Texas
✓Exemplos pensados para sites com AdSense e Ad Manager
✓Auditoria somente leitura, sem alterar o site

2avisos com texto obrigatório para quem vende dados sensíveis ou biométricos

30 diasprazo para corrigir uma falha depois do aviso do procurador-geral, antes da ação

US$ 7.500multa civil máxima por violação

45 diasprazo para responder aos pedidos dos consumidores, prorrogável por mais 45

O que é

Uma lei estadual com alcance amplo e fiscalização ativa

A Texas Data Privacy and Security Act, ou TDPSA, está no capítulo 541 do Código de Negócios e Comércio do Texas. Ela foi aprovada em 2023 e passou a valer em 1º de julho de 2024.

A estrutura é parecida com a da Virgínia: direitos do consumidor, opt-out de publicidade direcionada e de venda, consentimento para dados sensíveis e avaliações de proteção de dados. A grande diferença está em quem precisa cumprir.

Em vez de exigir um número mínimo de visitantes, a TDPSA vale para quem faz negócios no Texas ou tem produtos ou serviços consumidos por texanos, trata dados pessoais e não é pequena empresa pelos critérios da agência federal de pequenas empresas, a SBA.

Para um site com anúncios, isso significa que o tamanho da empresa importa mais do que o tráfego. E o procurador-geral do Texas já mostrou que usa a lei: em janeiro de 2025 processou a seguradora Allstate e a empresa de dados Arity com base nela.

Checklist

O que você precisa cumprir

Se a sua empresa não é pequena pelos critérios da SBA e tem visitantes do Texas, esta é a lista básica.

Publicar um aviso de privacidade completo
O aviso precisa ser claro e fácil de achar. Ele lista os dados tratados, as finalidades, os dados repassados, as categorias de terceiros, os canais de pedido e como recorrer.
Exemplo
Link Política de privacidade no rodapé de todas as páginas, levando ao aviso completo.
Dizer que há anúncio direcionado e como recusar
Quem vende dados ou faz publicidade direcionada precisa dizer isso de forma clara e visível. Junto, precisa explicar como o visitante recusa.
Exemplo
Frase no aviso: usamos seus dados para publicidade direcionada. Para recusar, use o link Do Not Sell or Share My Personal Information.
Usar a frase exata se vender dados sensíveis
A lei manda publicar um aviso com texto fixo, em inglês, para quem vende dados sensíveis ou biométricos.
Exemplo
NOTICE: We may sell your sensitive personal data. Para dados biométricos: NOTICE: We may sell your biometric personal data.
Pedir consentimento para dados sensíveis
Dados sensíveis só podem ser tratados com consentimento. Até a pequena empresa precisa de consentimento antes de vender esses dados.
Exemplo
Antes de usar a localização precisa do visitante, mostre uma pergunta com as opções Permitir e Não permitir.
Aceitar a recusa enviada pelo navegador
Desde 1º de janeiro de 2025, o visitante pode recusar por uma configuração global do navegador ou do aparelho. Atenda quando der para verificar o pedido.
Exemplo
Visitante com GPC ligado: trate como se ele tivesse clicado em recusar.
Receber pedidos sem exigir conta nova
Ofereça pelo menos dois canais seguros para pedidos e não exija conta nova. Responda em até 45 dias, prorrogáveis por mais 45, e tenha um caminho de recurso.
Exemplo
Segundo o procurador-geral, o negócio só online com relação direta com o consumidor pode oferecer apenas um e-mail, como privacidade@seusite.com.
Fazer a avaliação de proteção de dados
Publicidade direcionada, venda de dados e dados sensíveis exigem uma avaliação escrita de riscos e benefícios. O procurador-geral pode pedir esse documento.
8
Levar a recusa até o Google
O Google não exige CMP para os estados dos EUA. Use a mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, ou ligue o processamento restrito de dados, o RDP, na tag para quem recusou. Com GPP, o Google lê a seção US National para o Texas.
Exemplo
AdSense ou Ad Manager: Privacidade e mensagens, cartão Regulamentos estaduais dos EUA, Criar. Em seguida escolha os sites e publique.
```
// Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});
```

Na prática

Certo e errado

ErradoRecusa escondida ou que obriga o visitante a criar uma conta.
CertoLink de recusa visível em todas as páginas, que abre a tela de escolha sem pedir cadastro.
ErradoO site ignora a configuração do navegador porque o visitante não clicou no banner.
CertoO navegador manda o GPC e o site trata como recusa de venda e de anúncio direcionado.
ErradoO site vende a localização precisa do visitante sem aviso e sem consentimento.
CertoO site pede consentimento antes de usar ou vender dado sensível, como a localização precisa.
ErradoPolítica vaga, sem os direitos, sem os terceiros e sem a frase obrigatória.
CertoPolítica completa, fácil de achar e com a frase NOTICE quando há venda de dados sensíveis.

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para as leis estaduais dos EUA. Você pode usar a mensagem do próprio Google ou ligar o RDP na tag.

A quem se aplica

A regra da pequena empresa

A TDPSA não tem limite de visitantes nem de faturamento próprio. A pergunta principal é se a sua empresa é pequena pelos critérios da SBA.

Negócios ligados ao Texas

Fazer negócios no Texas ou ter produtos e serviços consumidos por moradores do estado. Um site com público texano pode se encaixar.

Tratar ou vender dados

Processar dados pessoais ou vender esses dados. Cookies e identificadores de anúncios são dados pessoais.

Não ser pequena empresa

A SBA define pequena empresa por setor, com base em faturamento ou número de funcionários. Quem passa desse tamanho entra na lei.

Exceção que vale para todos

Mesmo a pequena empresa precisa de consentimento do consumidor antes de vender dados sensíveis dele.

Definições

Os termos que importam para quem vende anúncios

O Texas define venda de forma ampla, incluindo trocas que não envolvem dinheiro.

Dado pessoal

Informação ligada ou que possa ser razoavelmente ligada a uma pessoa identificada ou identificável. Dados anonimizados e públicos ficam de fora.

Dado sensível

Origem racial ou étnica, religião, saúde mental ou física, sexualidade, situação migratória, dados genéticos e biométricos, dados de criança conhecida e localização precisa.

Venda

Compartilhar, divulgar ou transferir dados pessoais a um terceiro em troca de dinheiro ou de outro valor. Parcerias de dados em troca de serviço podem contar.

Publicidade direcionada

Anúncio escolhido com base em dados das atividades da pessoa ao longo do tempo em sites e apps de outras empresas. Anúncio contextual não entra.

Obrigações do site

Aviso de privacidade com frases obrigatórias

A empresa precisa de um aviso de privacidade claro e acessível. Ele lista as categorias de dados tratados, as finalidades, como exercer os direitos e recorrer, as categorias de dados repassados a terceiros e as categorias desses terceiros.

O Texas exige textos exatos em dois casos. Quem vende dados sensíveis deve incluir no aviso a frase NOTICE: We may sell your sensitive personal data. Quem vende dados biométricos deve incluir NOTICE: We may sell your biometric personal data. Os avisos aparecem em inglês, como manda a lei.

Quem vende dados ou faz publicidade direcionada também precisa mostrar isso de forma clara e visível, junto com o caminho para recusar. A recusa não pode exigir a criação de uma conta nova.

Dados sensíveis só podem ser tratados com consentimento. Para criança conhecida, menor de 13 anos, vale a lei federal COPPA, com consentimento dos pais.

Direitos, opt-out e avaliações

Direitos do visitante, recusa pelo navegador e avaliações

O visitante do Texas pode saber se a empresa trata seus dados, acessá-los, levar uma cópia, corrigir, excluir e recusar publicidade direcionada, venda e certos perfis, sem sofrer represália. A empresa responde em até 45 dias, prorrogáveis por mais 45, e precisa oferecer recurso para quem tiver o pedido negado.

Desde 1º de janeiro de 2025, a lei permite que o visitante recuse publicidade direcionada e venda de dados por meio de uma tecnologia, como uma configuração global do navegador ou do aparelho, que funciona como um agente autorizado. A empresa deve atender quando conseguir verificar a identidade e a autorização. A lei não cita o Global Privacy Control pelo nome, mas o GPC é o exemplo mais conhecido desse tipo de configuração.

Na prática, o caminho mais seguro é a CMP detectar o GPC, marcar o visitante como recusado e repassar essa recusa a todos os parceiros de anúncios antes do primeiro pedido.

A empresa também precisa fazer avaliações de proteção de dados para publicidade direcionada, venda de dados, dados sensíveis e certos perfis. A avaliação compara benefícios e riscos e pode ser pedida pelo procurador-geral numa investigação.

Linha do tempo

As datas da lei do Texas

Datas confirmadas na página do procurador-geral do Texas e em comunicados oficiais.

2023
Lei aprovada
O Texas aprova a TDPSA, que entra no capítulo 541 do Código de Negócios e Comércio.
1º de julho de 2024
Entrada em vigor
Passam a valer os direitos, os avisos obrigatórios, o opt-out e as avaliações.
1º de janeiro de 2025
Recusa pelo navegador
Passa a valer a recusa por meio de uma configuração global do navegador ou do aparelho.
janeiro de 2025
Processo contra a Allstate
O procurador-geral processa a Allstate e a Arity pelo uso de dados de localização sem aviso e consentimento.

Fiscalização e multas

Procurador-geral com poder exclusivo e prazo de 30 dias

O procurador-geral do Texas tem competência exclusiva para aplicar a TDPSA. Ele pode exigir documentos, pedir ordem judicial, cobrar multas e honorários. O cidadão não pode processar a empresa, mas pode registrar reclamação no site do procurador-geral.

Antes de entrar com a ação, o procurador-geral precisa avisar por escrito. A empresa tem 30 dias para corrigir e enviar uma declaração escrita com documentos que mostrem a correção, inclusive mudanças em políticas internas. Esse prazo não tem data para acabar.

Quem não corrige no prazo ou descumpre a declaração enviada fica sujeito a multa civil de até US$ 7.500 por violação.

Em janeiro de 2025, o procurador-geral acusou a Allstate e a Arity de coletar e vender localização precisa de motoristas por meio de aplicativos, sem o aviso e o consentimento exigidos para dados sensíveis.

AdSense e Ad Manager

Como o Google trata o visitante do Texas

O IAB Tech Lab tem uma seção do Texas na string GPP, mas o Google não a lista entre as seções aceitas pelo AdSense. Para o Texas, o Google lê a seção US National.

Quando a US National indica recusa de venda, de compartilhamento ou de publicidade direcionada, o Google ativa o processamento restrito de dados, o RDP, e mostra só anúncios não personalizados.

A Mensagem de privacidade para estados dos EUA, no AdSense e no Ad Manager, inclui o Texas e grava a escolha na seção US National. Com outra CMP, confira se ela envia a US National aos visitantes texanos e se marca a recusa quando o GPC está ligado.

Outra opção é ativar o RDP direto na tag de anúncios, por exemplo com restrictDataProcessing na GPT, para quem recusou. A recusa também precisa chegar a header bidding, vídeo e pixels.

Na prática

O que pode e o que não pode no Texas

Exemplos para um site com anúncios que está dentro da lei.

Pode

Mostrar anúncios personalizados a adultos sem pedir permissão antes, com link de recusa visível
Tratar o GPC e outras configurações globais como recusa de publicidade direcionada
Gravar a recusa na seção US National da GPP
Mostrar anúncios contextuais a quem recusou
Corrigir a falha e mandar a declaração escrita dentro dos 30 dias após uma notificação

Não pode

Vender dados sensíveis sem consentimento, mesmo sendo pequena empresa
Vender dados sensíveis sem a frase de aviso obrigatória na política
Exigir criação de conta para recusar a publicidade direcionada
Ignorar uma configuração global de recusa porque o visitante não clicou no banner
Coletar localização precisa por app sem aviso e consentimento

Erros comuns

Onde os sites costumam errar com o Texas

A ausência de limite de visitantes confunde muita gente.

Procurar um número de visitantes

A empresa procura um limite de 100 mil visitantes que não existe no Texas e não confere se é pequena empresa pela SBA.

Seção estadual sem US National

A CMP envia só a seção do Texas, que o AdSense não aceita, e os anúncios seguem personalizados.

Configuração global ignorada

O site respeita o GPC só para a Califórnia e esquece que, desde 2025, a lei do Texas prevê recusa por configuração global do navegador.

Política sem o aviso exigido

A empresa vende dados sensíveis, mas a política não traz a frase obrigatória.

No ConsentMode

O que a auditoria confere sobre a TDPSA

Abre o site como visitante do Texas com o GPC desligado e ligado e compara os pedidos de anúncio.
Lê a string GPP e mostra se a seção US National está presente e indica a recusa.
Procura o link de recusa em lugar visível e confere se ele leva a uma tela de escolha, sem cadastro.
Identifica a CMP e confere se as tags de anúncios e de header bidding esperam a resposta dela.
Lê a política de privacidade e aponta se faltam os direitos, os terceiros, a publicidade direcionada e as frases obrigatórias quando há venda de dados sensíveis.

Fazer uma auditoria Ver tudo o que é conferido

Perguntas frequentes sobre a lei do Texas

Meu site é pequeno. A TDPSA vale para mim?

Se a empresa é pequena pelos critérios da SBA, a maior parte da lei não se aplica. A exceção é a venda de dados sensíveis, que exige consentimento de qualquer empresa. Os critérios da SBA mudam por setor, então vale conferir com o seu contador ou advogado.

Preciso de banner de consentimento para o Texas?

Para anúncios personalizados de adultos, não. A lei pede opt-out. O consentimento é exigido para dados sensíveis.

O Texas obriga a respeitar o GPC?

Desde 1º de janeiro de 2025, a lei manda atender recusas enviadas por uma configuração global do navegador ou do aparelho, quando for possível verificar a identidade e a autorização. A lei não cita o GPC pelo nome, mas ele é o exemplo mais conhecido, e respeitá-lo é o caminho mais seguro.

Qual seção da GPP devo enviar para o Texas?

Para o Google, a US National. A seção do Texas existe no padrão do IAB, mas o AdSense não a lista como aceita.

O ConsentMode diz se sou pequena empresa?

Não. Essa é uma análise jurídica e contábil. O ConsentMode audita o site de fora e mostra se o link, os sinais e a política estão no lugar.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja se a recusa do Texas chega aos anúncios

A auditoria abre o site como visitante do Texas, com e sem GPC, e mostra o que corrigir sem alterar nada.

Começar a auditoria

TDPSA: a lei do Texas explicada para quem tem anúncios

Uma lei estadual com alcance amplo e fiscalização ativa

O que você precisa cumprir

Publicar um aviso de privacidade completo

Dizer que há anúncio direcionado e como recusar

Usar a frase exata se vender dados sensíveis

Pedir consentimento para dados sensíveis

Aceitar a recusa enviada pelo navegador

Receber pedidos sem exigir conta nova

Fazer a avaliação de proteção de dados

Levar a recusa até o Google