Requisitos Legais para Websites e Aplicativos: Brasil

O Brasil possui três conjuntos de normas importantes para websites ou aplicativos, com diferentes alcances e vias de fiscalização. A LGPD rege os dados pessoais com deveres no estilo do GDPR e sem limite mínimo de tamanho de empresa. O Código de Defesa do Consumidor (CDC), somado ao decreto do e-commerce, rege as vendas ao consumidor — incluindo um direito de arrependimento de 7 dias e o dever de exibir seu CNPJ e endereço completo. O Marco Civil rege o conteúdo gerado pelo usuário, e suas regras de responsabilidade mudaram significativamente após o julgamento do STF em 2025. Avalie também o ECA Digital, estatuto de proteção de crianças e adolescentes em vigor desde 17 de março de 2026, e a norma de acessibilidade digital ABNT NBR 17225. Priorize de acordo com o produto: uma loja precisa de divulgação precisa do vendedor e de cancelamento, enquanto um aplicativo que lida com dados sensíveis precisa de uma avaliação de privacidade detalhada. Nem a fiscalização do consumidor nem a de privacidade podem ser descartadas com base em uma suposta sequência de reclamações. Este é o capítulo Brasil do nosso checklist jurídico pré-lançamento. Execute essa sequência de prompts primeiro, depois aplique o que está aqui.

Principais pontos

• A LGPD aplica-se a qualquer pessoa que processe dados de pessoas no Brasil, ou ofereça bens e serviços ao Brasil — sem limite de tamanho de empresa, onde quer que você esteja sediado.
• O consentimento é uma das dez bases legais do Artigo 7; dados sensíveis têm regras separadas. Escolha uma base para cada finalidade e documente-a.
• Cookies: a ANPD espera botões de aceitar/rejeitar de tamanhos iguais, nada pré-selecionado, escolha granular, retirada fácil e documentação em português.
• Transferências internacionais precisam de um mecanismo aplicável. A adequação da UE sob a Resolução ANPD 32/2026 é uma via; as Cláusulas Contratuais Padrão (SCCs) permanecem relevantes para outras transferências.
• Vendas online: exiba CNPJ e endereço completo, forneça um resumo do contrato antes da compra, responda às demandas do consumidor dentro de 5 dias e honre o direito de arrependimento de 7 dias pelo mesmo canal usado na compra.
• ECA Digital (Lei 15.211/2025), em vigor desde 17 de março de 2026: verificação real de idade, controle parental, proibição de perfil de anúncios de menores, proibição de loot-boxes. As multas chegam a 10% do faturamento do grupo econômico no Brasil, limitadas a R$ 50 milhões por infração.
• Incidentes de segurança qualificáveis geralmente exigem comunicação à ANPD e aos indivíduos afetados dentro de 3 dias úteis; verifique o teste de risco e quaisquer regras de prazos aplicáveis a agentes de pequeno porte.

LGPD: o que ela pede de um pequeno produto

Dez bases legais, não apenas uma. Consentimento, execução de contrato, obrigação legal, legítimo interesse, proteção ao crédito, tutela da saúde, pesquisa, processo judicial e políticas públicas. O consentimento é a mais frágil — deve ser livre, informado, específico e revogável, e não pode ser agrupado nos seus termos de uso. A execução de contrato cobre o processamento necessário para esse contrato; o legítimo interesse precisa de uma avaliação documentada de balanceamento.

Nove direitos dos titulares, incluindo confirmação de processamento, acesso, correção, anonimização ou exclusão de dados desnecessários, portabilidade, informações sobre com quem você compartilhou e revogação do consentimento. Confirmação e acesso possuem disposições de resposta simplificada imediata ou completa em 15 dias; não aplique esse prazo automaticamente a todo direito. Verifique a solicitação aplicável e as exceções.

Um encarregado (DPO). O Artigo 41 exige que controladores nomeiem um e publiquem seus detalhes de contato. A Resolução 2/2022 da ANPD pode dispensar agentes de tratamento de pequeno porte da obrigatoriedade de nomeação formal, sujeitos às exclusões do regulamento, mas eles ainda precisam de um canal de comunicação publicado para os titulares e para a ANPD. Publique um endereço de e-mail de qualquer forma; não custa nada.

Transferências internacionais. A Resolução 19/2024 da ANPD estabeleceu a estrutura e aprovou as Cláusulas Contratuais Padrão que devem ser adotadas sem modificação. Contratos existentes precisaram ser adequados até 22 de agosto de 2025. A UE é reconhecida como adequada sob a Resolução ANPD 32/2026. Avalie cada destino e transferência subsequente: SCCs são um mecanismo, não obrigatórias para toda transferência. Mapeie suas transferências; o inventário de dados do checklist principal é a base.

Incidentes de segurança. Sob a Resolução 15/2024 da ANPD, avalie o teste de risco relevante e geralmente notifique a ANPD e os indivíduos afetados dentro de 3 dias úteis; agentes de pequeno porte qualificados podem ter prazos diferentes sob a Resolução 2/2022. Decida com antecedência quem fará isso.

Registros e relatórios de impacto. Mantenha um registro das operações de processamento. Um RIPD (Relatório de Impacto à Proteção de Dados Pessoais) é esperado para processamentos de maior risco, e a ANPD pode solicitar um a qualquer momento.

Cookies e consentimento

A orientação da ANPD sobre cookies é próxima da prática europeia e explícita sobre a interface:

• Opções de rejeitar, aceitar e gerenciar devem ser de tamanhos iguais e igualmente proeminentes
• Cookies não essenciais desativados por padrão, nunca pré-selecionados
• Escolha granular por finalidade, em linguagem clara que um não especialista possa ler
• O consentimento deve ser revogável de forma simples e sem custos
• Avalie a finalidade e a base legal para cada cookie. Consentimento é um padrão apropriado para rastreamento opcional; legítimo interesse tem suas próprias necessidades e requisitos de balanceamento. A orientação da ANPD não é uma regra de que todo cookie não essencial deve usar a mesma base
• A política de cookies deve estar vinculada, ser específica sobre finalidades e retenção, e estar disponível em português

Vendas para consumidores brasileiros

O direito do consumidor brasileiro é protetivo, e o decreto de e-commerce (Decreto 7.962/2013) é incomumente específico sobre o que seu site deve mostrar.

Exiba de forma proeminente: o nome da sua empresa e CNPJ (ou CPF para pessoa física), endereço físico, e-mail e dados de contato; as características do produto ou serviço, incluindo riscos à saúde ou segurança; todos os custos adicionais, como frete e seguro, discriminados separadamente; e todas as condições da oferta, incluindo métodos de pagamento, prazos e restrições.

Antes de concluir a compra: mostre um resumo do contrato com os termos essenciais, forneça ferramentas para corrigir erros antes de finalizar, confirme o recebimento do pedido imediatamente e disponibilize o contrato em um formato que o consumidor possa salvar.

Atendimento ao cliente: mantenha um canal de atendimento eletrônico eficaz, confirme o recebimento das demandas do consumidor e responda dentro de 5 dias. Empresas de setores regulados a nível federal estão adicionalmente sujeitas ao decreto do SAC (Decreto 11.034/2022), com regras sobre disponibilidade telefônica, proibição de publicidade não solicitada durante o atendimento e processamento imediato de pedidos de cancelamento.

Direito de arrependimento: 7 dias a partir do recebimento ou da contratação, para qualquer coisa comprada fora de uma loja física, sem necessidade de justificativa e sem penalidade. O detalhe crítico de implementação: o consumidor deve poder exercê-lo através da mesma ferramenta usada para realizar a compra — se ele comprou em dois cliques no seu aplicativo, não pode ser enviado para uma fila telefônica. Contratos acessórios são cancelados sem custos, você deve notificar imediatamente o provedor de pagamento para cancelar ou estornar a cobrança, e deve enviar a confirmação de que recebeu a solicitação.

Idioma e moeda. Informações voltadas ao consumidor — termos, preços, políticas, suporte — em português. Preços em reais brasileiros com todos os encargos incluídos.

Conteúdo gerado pelo usuário após o julgamento do STF

O julgamento do STF em 2025 mudou a responsabilidade de intermediários sob o Artigo 19. Seu tratamento varia conforme o conteúdo e o serviço; uma regra universal de notificação e remoção não é um resumo preciso. Um formulário de denúncia por si só não resolve a responsabilidade.

Mapeie se você hospeda postagens comuns de usuários, comunicações privadas, promoções pagas ou outro conteúdo. Implemente um registro de notificações, processo de escalonamento e revisão, e obtenha uma avaliação brasileira sobre os requisitos de responsabilidade e representação aplicáveis. Consulte as notícias institucionais e julgamentos do STF.

Crianças: ECA Digital

A Lei 15.211/2025 está em vigor desde 17 de março de 2026 e alcança qualquer produto ou serviço de tecnologia da informação direcionado a crianças e adolescentes ou suscetível de ser acessado por eles — incluindo empresas estrangeiras que atendem ao Brasil. "Acesso provável" é julgado pelo apelo a menores, facilidade de acesso e risco, não pelo que seus termos dizem.

Obrigações principais: verificação de idade confiável (autodeclaração por si só não basta), vinculação de contas de redes sociais de crianças e adolescentes com menos de 16 anos a um responsável legal conforme exigido por lei, ferramentas de controle parental sobre tempo de tela, recomendações e recursos sensíveis como geolocalização, design apropriado para a idade, moderação impedindo o acesso a conteúdo ilegal ou inadequado, proibição de perfil de menores para publicidade direcionada e de certas tecnologias para esse fim, e proibição de loot-boxes em jogos acessíveis a crianças. Serviços com um milhão ou mais de usuários crianças publicam relatórios semestrais de moderação.

As multas chegam a 10% do faturamento do grupo econômico no Brasil, limitadas a R$ 50 milhões por infração, além da suspensão ou proibição das atividades. O Decreto 12.880 de 18 de março de 2026 fornece regras de implementação; as orientações detalhadas da ANPD continuam a se desenvolver.

Acessibilidade

A Lei Brasileira de Inclusão (Lei 13.146/2015) exige sites acessíveis desde 2016; o cenário normativo ficou muito mais claro com a ABNT NBR 17225:2025, a primeira norma técnica brasileira de acessibilidade digital, que se alinha aos princípios WCAG. Sites do governo federal também seguem o eMAG. O descumprimento é passível de ação judicial por discriminação e através de canais de defesa do consumidor e direitos civis, incluindo ações civis públicas movidas pelo Ministério Público.

Na prática: o trabalho de WCAG é reutilizável, mas verifique os requisitos brasileiros aplicáveis e a norma ABNT relevante em vez de presumir que a equivalência técnica estabelece conformidade.

O que ainda está por vir

Um projeto de lei de IA (PL 2338/2023) tem avançado no Congresso em um modelo baseado em risco semelhante ao EU AI Act; ainda não está em vigor. O Decreto de implementação do ECA Digital 12.880/2026 existe; verifique as últimas orientações técnicas da ANPD. Mantenha os recursos de IA documentados e verifique os requisitos operacionais antes de habilitar funções afetadas.

O prompt específico para o Brasil

Execute isso após os dez prompts no checklist principal:

Add Brazil compliance mechanics to this app. All user-facing text must be in Brazilian Portuguese. Implement each item and report exactly what changed:

1. A footer block on every page showing company name, CNPJ, full physical address and contact email, using placeholders [[RAZAO SOCIAL]], [[CNPJ]], [[ENDERECO]], [[EMAIL]] for anything I must supply.
2. A cookie banner where accept, reject and manage options are the same size and equally prominent, nothing non-essential is pre-selected, choices are granular by purpose, and consent can be withdrawn at any time from a permanent footer link. No non-essential script may load before a choice is made.
3. A privacy policy in Portuguese that states, for each processing purpose, which LGPD legal basis applies — and inserts [[BASE LEGAL]] where you are not certain rather than guessing. Include the nine data subject rights, retention periods, and a published contact channel for the encarregado.
4. Self-service data rights: access, correction, portability, deletion and revocation of consent, each reachable in at most two clicks, with a log of requests and response dates.
5. List every third-party service in this app that stores or receives personal data outside Brazil, so I can put international transfer clauses in place. Report the list; do not attempt to draft the clauses.
6. If the app sells anything: show total price in BRL with all charges itemised before checkout, display a contract summary the user must review before confirming, send an immediate order confirmation the user can save, and add a cancellation flow that lets the user exercise the 7-day right of regret through the same interface used to purchase, in at most two clicks, with an automatic acknowledgement email.
7. A support channel that records incoming consumer demands with a timestamp and confirms receipt automatically.
8. If minors could plausibly use this app: an age check that is not a simple yes/no self-declaration, restricted defaults for accounts under 18, and no profiling or personalised advertising for those accounts.
9. An accessibility pass against WCAG 2.1 Level AA — report findings by severity before fixing anything.

For each item report PASS or explain what blocked it. Do not invent law citations in user-facing text.
Copiar prompt

Checklist pré-lançamento — Brasil

• CNPJ, nome da empresa, endereço e contato visíveis no site
• Política de privacidade em português com base legal por finalidade e canal de encarregado publicado
• Banner de cookies com botões iguais, nada pré-marcado, granular e revogável
• Autoatendimento de direitos dos dados funcionando de ponta a ponta
• Transferências internacionais mapeadas e suportadas por adequação, SCCs ou outro mecanismo aplicável
• Plano de resposta a incidentes nomeando quem notifica a ANPD dentro de 3 dias úteis
• Vendas: resumo do contrato antes da compra, confirmação imediata, compromisso de resposta em 5 dias, direito de arrependimento de 7 dias pelo mesmo canal
• Conteúdo do usuário: processo de denúncia e revisão; avaliar deveres de representação aplicáveis
• Menores: verificação real de idade e padrões restritos se o ECA Digital puder se aplicar
• Acessibilidade auditada em conformidade com WCAG 2.1 AA

O que as verificações da build estabelecem

Os prompts são solicitações de implementação, não uma certificação legal. Controles de dois cliques e padrões de consentimento primeiro são escolhas de design práticas, não requisitos estatutários universais. Confirme jurisdição, exceções, retenção e contratos com provedores separadamente. Verifique os controles com contas de teste e comportamento real de navegador/rede; um PASS do construtor baseado apenas na inspeção de código é uma evidência incompleta.

Fontes oficiais e escopo da revisão

Atualizado em 14 de setembro de 2026. As fontes vinculadas suportam o escopo e as correções discutidas aqui; esta é uma revisão editorial, não uma opinião jurídica exaustiva ou uma certificação do seu produto. Verifique a norma vigente ao agir.

• Mecanismos de transferência da ANPD e adequação da UE
• Implementação do ECA Digital pela ANPD
• Lei do ECA Digital
• Regras para agentes de pequeno porte
• Esclarecimento do STF sobre responsabilidade de intermediários

• Decreto do e-commerce brasileiro
• Guia de cookies da ANPD

Adapte seus controles de consumo e privacidade ao produto que você realmente opera. Comece com o checklist pré-lançamento, execute o prompt do Brasil acima e compare com os Estados Unidos, a União Europeia, o Reino Unido, o Canadá, a Austrália e Israel se você vender lá também. Você consegue construir isso.