Se crianças menores de 13 anos usam seu aplicativo, jogam seu jogo ou visitam seu site — mesmo que você nunca o tenha projetado para elas — a lei federal pode já tratá-lo como uma empresa voltada para crianças. E como a primeira grande atualização dessa lei em mais de uma década entrou em pleno vigor este ano, as obrigações são mais rigorosas do que a maioria dos pequenos operadores imagina.
A lei é a Lei de Proteção à Privacidade Online das Crianças, ou COPPA. Ela existe desde 2000, mas a reformulação da Regra COPPA pela Comissão Federal de Comércio (FTC) — finalizada em janeiro de 2025 com conformidade exigida dos operadores até abril de 2026 — reescreveu o manual prático: permissão parental separada antes de você compartilhar dados de uma criança com qualquer pessoa, limites rígidos sobre quanto tempo você os mantém, e um programa de segurança escrito para protegê-los. As penalidades civis chegam a mais de US$ 50.000 por violação, ajustadas para cima pela inflação todos os anos.
Este guia explica quem a COPPA realmente cobre, o que a regra atualizada exige, e a lista de verificação concreta que uma pequena equipe pode executar sem contratar um departamento de privacidade.
Quem a COPPA Cobre: Não São Apenas Sites para Crianças
O equívoco mais caro sobre a COPPA é a crença de que ela se aplica apenas a produtos "feitos para crianças". A FTC afirma o contrário, explicitamente: a regra não é apenas para sites infantis.
Sites e serviços "direcionados a crianças"
Um site ou aplicativo é considerado direcionado a crianças quando, olhando o quadro geral, ele atrai menores de 13 anos. A FTC pondera fatores como assunto, estilo visual e personagens, música, linguagem, evidências de uso real por crianças e publicidade voltada para crianças. Um jogo com animações coloridas, um criador de avatares de desenho animado ou um canal de unboxing de produtos com público jovem podem todos se qualificar — independentemente do que seu plano de marketing diz sobre seu público-alvo.
"Conhecimento real" alcança todos os outros
Até mesmo um serviço de audiência geral torna-se coberto no momento em que seu operador tem conhecimento real de que está coletando informações pessoais de uma criança menor de 13 anos. Esse conhecimento pode chegar por meio de um e-mail de suporte mencionando a idade de um usuário, um campo de data de nascimento no seu formulário de inscrição, uma reclamação de um pai ou análises mostrando uma base de usuários jovens que você optou por não examinar. Uma vez que você sabe, não pode des-saber: a partir desse ponto, os deveres de consentimento e tratamento de dados da COPPA se aplicam às informações dessa criança.
Serviços de audiência mista têm um caminho intermediário
Se seu público realmente abrange crianças e adultos, a regra permite que você faça uma triagem por idade e aplique as proteções da COPPA apenas aos usuários menores de 13 anos que você identificar — mas a triagem deve ser neutra e eficaz. Um campo de data de nascimento autodeclarado que silenciosamente permite que um usuário mude sua resposta até ser "velho o suficiente", ou que tenha como padrão um ano adulto, não o protegerá. Projete a triagem para que não possa ser manipulada com um clique, e trate qualquer pessoa identificada como menor de 13 anos como totalmente coberta.
O Que a Atualização de 2025 Mudou
As alterações com as quais os operadores tiveram que cumprir a partir de abril de 2026 são a primeira revisão significativa desde 2013, e se concentram em três temas: os pais devem aprovar especificamente o compartilhamento e a monetização, os dados das crianças não podem ser acumulados, e a segurança deve ser documentada em vez de presumida.
Consentimento separado antes de compartilhar ou direcionar anúncios
Anteriormente, um único consentimento parental poderia cobrir coleta, uso e divulgação juntos. Agora você deve obter um consentimento distinto e opcional antes de divulgar informações pessoais de uma criança a terceiros — incluindo para publicidade direcionada. Na prática, isso significa que seu fluxo de integração precisa de duas solicitações separadas e claramente descritas: uma para coletar e usar as informações da criança para o próprio serviço, e outra antes que qualquer uma delas flua para redes de anúncios, fornecedores de análise ou outros terceiros. Caixas pré-marcadas e botões agrupados de "aceitar tudo" não satisfazem o padrão.
Mantenha os dados das crianças apenas pelo tempo necessário — depois exclua-os
A regra atualizada mantém o padrão de retenção "razoavelmente necessário", mas adiciona uma proibição explícita de manter informações pessoais de crianças indefinidamente. Você deve publicar uma política de retenção de dados para informações de crianças e manter um cronograma interno para excluí-las. Concretamente: defina, para cada categoria de dados que você possui (contas, registros de chat, tickets de suporte, backups), por quanto tempo você os mantém e por quê, e depois exclua nesse cronograma. "Podemos precisar disso um dia" não é mais uma razão legal de retenção.
Um programa de segurança escrito é obrigatório
Os operadores agora devem estabelecer, implementar e manter um programa de segurança de informações pessoais de crianças por escrito, com salvaguardas apropriadas à sensibilidade dos dados. Para uma pequena equipe, isso não exige ferramentas empresariais — mas exige escrever quem pode acessar os dados das crianças, como eles são criptografados em trânsito e em repouso, como você avalia fornecedores com acesso e como responde a um incidente — e depois realmente seguir o documento.
Definições mais amplas e avisos mais precisos
A atualização adiciona identificadores biométricos à definição de informações pessoais, então impressões de voz, geometria facial ou impressões digitais coletadas de crianças são totalmente cobertas. Seu aviso direto aos pais também deve ser mais granular: detalhe o que você coleta, como usa, e especificamente quais terceiros o recebem e para quais finalidades. Um parágrafo genérico de "podemos compartilhar dados com parceiros" não é mais suficiente.
Consentimento Parental Verificável, na Prática
O consentimento da COPPA deve ser "verificável" — você precisa de um método razoavelmente calculado para confirmar que a pessoa que consente é realmente o pai da criança, não a criança. A FTC reconhece várias abordagens, e a certa depende do que você faz com os dados:
- Verificação de pagamento. Uma pequena cobrança ou etapa de verificação de cartão confirma que um adulto detém o instrumento de pagamento. Comum para assinaturas e aplicativos pagos.
- Formulários de consentimento assinados. Um pai assina e devolve um formulário por correio, fax ou upload digitalizado. Baixa tecnologia e confiável para escolas, acampamentos e programas com inscrição offline.
- Videoconferência. Uma verificação de vídeo ao vivo com pessoal treinado. Forte garantia, mas trabalhosa em escala.
- Verificação de identidade com documento governamental. Verificar uma carteira de motorista ou outro documento contra um banco de dados. Eficaz, mas você então detém documentos sensíveis dos pais que precisam de sua própria proteção e cronograma de exclusão.
- Autenticação baseada em conhecimento. Perguntas de desafio extraídas de registros que apenas o pai provavelmente saberia. A FTC aprovou implementações específicas deste método.
- E-mail-plus — uso interno apenas. Para dados que você coleta e usa exclusivamente dentro da sua própria operação (nunca divulgados a terceiros), você pode usar o método mais leve de "e-mail plus": um e-mail do pai seguido por uma confirmação atrasada através de um segundo canal. No momento em que qualquer terceiro recebe os dados, e-mail-plus deixa de ser suficiente.
Qualquer que seja o método escolhido, mantenha registros do consentimento: quando foi dado, o que cobriu e como foi verificado. Registros de consentimento são tanto um escudo legal quanto documentação comercial comum.
Sua Lista de Verificação de Conformidade
Trabalhe através destes passos em ordem. Cada um se baseia no anterior, e juntos eles cobrem os deveres que o próprio plano de conformidade de seis passos da FTC enfatiza.
1. Mapeie o que você coleta e de quem
Inventarie cada campo de dados que seu produto toca: formulários de inscrição, SDKs de análise, relatores de falhas, módulos de anúncios, recursos de chat, ferramentas de suporte, newsletters. Para cada um, observe se poderia vir de um usuário menor de 13 anos e quais fornecedores o recebem. A maioria das pequenas equipes descobre pelo menos um SDK transmitindo silenciosamente identificadores de dispositivo ou dados de localização que nunca escolheram conscientemente coletar.
2. Decida sua postura de audiência
Você é direcionado a crianças, de audiência mista ou de audiência geral? Documente o raciocínio. Se for de audiência mista, construa a tela de idade neutra descrita acima. Se for de audiência geral, decida com antecedência como você responderá quando ganhar conhecimento real de um usuário jovem — quem revisa o sinalizador, com que rapidez a coleta de dados para e quando a exclusão acontece.
3. Reescreva sua política de privacidade e aviso aos pais
Publique uma política clara e completa: quais informações das crianças você coleta, como usa, com quem compartilha e por quê, seus períodos de retenção, os direitos dos pais de revisar, corrigir e excluir os dados de seus filhos, e como entrar em contato com você. Depois, escreva o aviso direto aos pais em linguagem simples — ele deve nomear os terceiros e finalidades específicas, não se esconder atrás de generalidades.
4. Construa o fluxo de consentimento de duas vias
Separe o consentimento para operar seu serviço do consentimento para compartilhar dados com terceiros ou exibir anúncios direcionados. Registre ambos. Torne retirar o consentimento tão fácil quanto dá-lo, e faça a retirada realmente parar os fluxos downstream — incluindo dizer aos fornecedores para excluir o que você enviou a eles.
5. Proteja fornecedores com contratos
Liste cada provedor de serviços, rede de anúncios, ferramenta de análise e plataforma que toca dados de crianças. Seus contratos devem limitar seu uso dos dados às suas finalidades declaradas, proibi-los de reutilização independente ou monetização, e exigir exclusão mediante solicitação. Um fornecedor cujos termos permitem manter ou revender dados para seus próprios fins é um passivo da COPPA dentro da sua pilha.
6. Publique o cronograma de retenção e execute-o
Escreva a política de retenção que a regra agora exige: categorias de dados, finalidades, limites de tempo, método de exclusão e quem é responsável. Coloque exclusões recorrentes no calendário — purgas trimestrais de tickets de suporte expirados, registros envelhecidos e backups obsoletos. Lembre-se de que a exclusão deve alcançar backups e cópias de fornecedores em um tempo razoável.
7. Escreva o programa de segurança
Documente controles de acesso, criptografia, treinamento de funcionários, avaliação de fornecedores e resposta a incidentes especificamente para dados de crianças. Revise-o pelo menos anualmente e após qualquer incidente ou grande mudança de produto.
Erros Que Continuam Aparecendo
- Tratar a classificação etária da loja de aplicativos como conformidade. Classificações de loja e COPPA são sistemas separados. Um rótulo "4+" ou "Livre" nem satisfaz nem isenta os deveres da regra.
- Esquecer os SDKs. Kits de análise, atribuição e mediação de anúncios são a fonte mais comum de coleta não divulgada. Audite-os a cada atualização do aplicativo, não apenas no lançamento.
- Assumir que "não miramos crianças" encerra a investigação. Conhecimento real e uso de audiência mista colocam produtos de audiência geral no escopo, independentemente da intenção.
- Uma caixa de seleção para tudo. Consentimento agrupado falha no requisito de aceitação separada para divulgação e publicidade direcionada.
- Manter dados "por via das dúvidas". Retenção indefinida agora é expressamente proibida. Se você não pode nomear a finalidade, exclua os dados.
- Ignorar leis estaduais. Vários estados promulgaram seus próprios estatutos de privacidade infantil e adolescente com deveres de design que vão além da COPPA. Conformidade federal é o piso, não o teto — verifique os estados onde seus usuários vivem.
O Que Custa a Não Conformidade
Violações da COPPA são tratadas como práticas injustas ou enganosas, e tribunais podem impor penalidades civis superiores a US$ 50.000 por violação — com cada criança afetada e cada violação distinta potencialmente contando separadamente. Essa aritmética é como ações de execução alcançaram dezenas e centenas de milhões de dólares contra grandes plataformas. Pequenos operadores raramente enfrentam multas em escala de manchetes, mas a FTC repetidamente perseguiu pequenos desenvolvedores de aplicativos e startups, e procuradores-gerais estaduais podem mover suas próprias ações. Além das penalidades, ordens tipicamente exigem a exclusão de dados coletados ilegalmente — incluindo quaisquer modelos ou perfis construídos a partir deles — além de anos de monitoramento de conformidade. A remediação geralmente custa muito mais do que a conformidade teria custado.
Trate a Conformidade como a Despesa Comercial que Ela É
Cada item na lista acima custa algo: serviços de verificação de consentimento, revisões de contrato, auditorias de SDK, ferramentas de exclusão, tempo de equipe. Trate-os como centros de custo comuns em seus livros, não surpresas únicas. Marque contratos de fornecedores que tocam dados de crianças para que renovações acionem uma nova revisão de uso de dados. Registre execuções de cronogramas de retenção como você registra backups — um registro datado de que exclusões aconteceram é em si evidência de conformidade. E quando você orçar o próximo recurso que coleta dados de usuário, inclua o fluxo de consentimento, a atualização do aviso e o ciclo de vida de armazenamento antecipadamente, da mesma forma que você orçaria hospedagem. Trabalho de privacidade que vive no seu plano de contas é financiado; trabalho de privacidade que vive em boas intenções é esquecido.
Simplifique Sua Gestão Financeira
Enquanto você incorpora fluxos de consentimento, cronogramas de retenção e revisões de fornecedores em suas operações, manter registros financeiros claros desse gasto com conformidade é essencial. Beancount.io fornece contabilidade em texto simples que lhe dá total transparência e controle sobre seus dados financeiros — sem caixas pretas, sem dependência de fornecedor. Comece grátis e veja por que desenvolvedores e profissionais de finanças estão migrando para a contabilidade em texto simples.
