Engenhariadeprivacidade:meçasemcookies,convertasemmultas
As multas RGPD ultrapassaram os 7.100M€ acumulados. Os ad blockers afetam 30-40 % do seu tráfego. O tracking client-side está avariado. Implementamos server-side tracking, CMPs e analítica privacy-first para que continue a medir sem depender de cookies de terceiros.
Serviços de engenharia de privacidade
Implementação técnica, não assessoria jurídica.
Entregáveis do serviço
O que recebe em cada projeto de engenharia de privacidade.
- Auditoria de privacidade técnica (relatório 20+ páginas)
- Implementação de CMP com Consent Mode v2
- Contentor GTM Server-Side em subdomínio próprio
- Configuração de Conversion APIs (Meta CAPI, TikTok, Google)
- Dashboard de cumprimento em Looker Studio
- Documentação técnica para DPO
- Formação à equipa de marketing e dados
- Monitorização mensal de cookies e scripts (opcional)
Client-side vs server-side tracking
Porque o tracking clássico está avariado em 2026.
O tracking client-side depende de JavaScript no navegador: os ad blockers eliminam-no, o Safari ITP limita cookies a 7 dias e os utilizadores recusam consentimento. O tracking server-side envia dados a partir do seu servidor: não depende do navegador, usa first-party cookies e é você quem controla exatamente o que é partilhado com terceiros. É a base de qualquer estratégia de medição séria pós-cookies.
Para o CEO
O custo real de não cumprir.
As multas RGPD atingiram 1.200M€ em 2025, somando 7.100M€ desde 2018. Mas a multa não é o maior risco: é a perda de dados. Se 30-40 % do seu tráfego usa ad blockers e o seu tracking é client-side, está a tomar decisões de investimento com dados incompletos.
O mercado de serviços de privacidade cresce 12,2 % ao ano (de 4.500 M USD em 2024 para 12.200 M USD em 2033). As empresas que implementam privacy-first não só evitam sanções: recuperam dados que estavam a perder e geram confiança junto dos seus clientes.
O investimento é contido: a implementação completa demora 6-8 semanas e a infraestrutura server-side custa entre 20 e 100€/mês. Face a um paid media que perde 30-40 % das suas conversões por ad blockers, recuperar essa medição paga-se a si própria.
Para o CTO
Arquitetura técnica de privacidade.
Server-side GTM via Stape ou Google Cloud Run: o contentor corre na sua infraestrutura, os dados nunca tocam servidores de terceiros antes de os filtrar. First-party cookies servidas a partir de um subdomínio próprio (track.seudominio.com), imunes a ITP e ad blockers.
Consent Mode v2 integrado: quando o utilizador recusa cookies, o GA4 ativa modelação estatística para estimar conversões sem dados individuais. As Conversion APIs (Meta CAPI, TikTok Events API) enviam eventos server-to-server, eliminando a dependência de píxeis JavaScript.
Para ambientes onde o GA4 não é viável por transferências para os EUA, implementamos Matomo (self-hosted, dados na UE), Plausible (SaaS leve, sem cookies) ou Piwik Pro (enterprise, DPA incluído). Todas com integração bidirecional ao seu stack de marketing.
É para si?
A engenharia de privacidade faz sentido se faz paid media na UE ou depende de dados para decisões de marketing.
Para quem
- Empresas com paid media ativo (Google Ads, Meta, TikTok) que perdem dados por ad blockers.
- E-commerce ou SaaS que necessitam de atribuição de conversões precisa cumprindo o RGPD.
- Organizações com requisitos de compliance rigorosos (DPO, auditorias, setor regulado).
- Equipas que querem migrar do GA4 para analítica alojada na UE.
- Negócios que já receberam advertências de DPAs ou querem antecipar-se.
Para quem não
- Sites com muito pouco tráfego onde GA4 básico com Consent Mode é suficiente.
- Empresas que não fazem paid media nem dependem de tracking para decisões.
- Organizações que procuram assessoria jurídica (somos engenheiros, não advogados).
- Negócios sem orçamento para infraestrutura server-side (mínimo 20-100€/mês).
- Se o seu único requisito é um banner de cookies, não precisa de engenharia de privacidade.
Serviços de implementação
Cinco áreas onde atuamos.
Implementação de CMP
Configuração completa de CookieBot, Didomi ou OneTrust. Categorização de cookies, textos legais personalizados, integração com GTM e Consent Mode v2. Testes A/B de taxas de aceitação para maximizar dados sem violar a norma.
Migração para server-side tracking
Contentor GTM Server-Side em Stape ou Google Cloud. Configuração de subdomínios próprios, tags server-side para GA4, Google Ads e Meta. First-party cookies com duração controlada. Recuperação de 30-40 % dos dados perdidos.
Analítica sem cookies
Implementação de Matomo, Plausible ou Piwik Pro como alternativa ou complemento ao GA4. Self-hosted em servidores UE. Dashboards equivalentes. Migração de objetivos e segmentos. Sem transferências internacionais.
Conversion APIs
Implementação de Meta CAPI, TikTok Events API e Enhanced Conversions do Google. Envio de eventos de compra, lead e registo server-to-server. Deduplicação com eventos client-side. Melhoria de match rate.
Auditoria e monitorização contínua
Rastreio automatizado de cookies e scripts de terceiros. Relatório mensal de cumprimento. Alerta antecipado de alterações regulatórias. Revisão de fluxos de dados transfronteiriços. Documentação para DPO.
Processo de implementação
Da auditoria ao cumprimento em 4-8 semanas.
Auditoria de privacidade técnica
Rastreio de cookies, scripts de terceiros, fluxos de dados e configuração de consentimento atual. Relatório com falhas RGPD e prioridades de correção.
Migração server-side e CMP
Implementação do contentor server-side, configuração de CMP, Consent Mode v2 e first-party cookies. Período de duplo tracking para validar dados.
Conversion APIs e analítica alternativa
Configuração de Meta CAPI, TikTok Events API, Enhanced Conversions. Se aplicável, implementação de Matomo ou Plausible. Dashboards de transição.
Validação, documentação e monitorização
Validação de integridade de dados. Documentação técnica para DPO. Configuração de alertas e rastreio automatizado de cookies.
Mitigação de riscos
Transparência sobre o que pode correr mal.
Perda de dados durante a migração para server-side
Período de duplo tracking obrigatório (client + server) durante 2-4 semanas. Validação cruzada de eventos antes de desativar client-side.
Taxa de consentimento baixa que reduz dados disponíveis
Testes A/B de banners de consentimento para maximizar aceitação. Consent Mode v2 ativa modelação estatística para utilizadores que recusam.
Alteração regulatória que invalida a configuração
Monitorização contínua de DPAs europeias. Arquitetura modular que permite adaptar sem reconstruir. Alertas de alterações normativas.
Incompatibilidade com plataformas de paid media
As Conversion APIs são o padrão oficial da Meta, TikTok e Google. Server-side melhora o match rate, não o piora.
Custo de infraestrutura server-side inesperado
Estimativa detalhada de custos antes de começar. Tipicamente 20-100€/mês em Stape ou Cloud Run. Escalamento automático conforme o tráfego.
Privacidade que gera dados, não os destrói
Implementamos server-side tracking e CMPs desde antes de ser tendência. Cada projeto parte de uma auditoria técnica, não de uma checklist genérica. Integramos a privacidade na arquitetura de dados, não como um remendo de última hora.
Porquê investir em engenharia de privacidade
Dados que justificam a decisão.
Perguntas frequentes
O que os nossos clientes perguntam antes de começar.
É legal usar GA4 na União Europeia?
Depende da implementação. Várias DPAs europeias (Áustria, França, Itália) determinaram que o GA4 com configuração padrão viola o RGPD por transferências de dados para os EUA. Com server-side tracking e anonimização de IP antes de enviar dados ao Google, pode cumprir. Alternativa: Matomo ou Piwik Pro self-hosted na UE.
O que é o server-side tracking exatamente?
Em vez de o navegador do utilizador enviar dados diretamente ao GA4, Meta, etc., os dados são enviados primeiro para um servidor seu (contentor GTM Server-Side). A partir daí, o seu servidor reenvia apenas os dados que decide para cada plataforma. Vantagens: bypass de ad blockers, first-party cookies, controlo total de dados.
Quanto custa implementar e manter um CMP?
As licenças de CMP oscilam entre 0€ (CookieBot free, até 100 páginas) e 300-600€/mês (OneTrust, Didomi enterprise). A implementação técnica (integração com GTM, Consent Mode v2, categorização de cookies) é um projeto único de 2-3 semanas. A manutenção é mínima se o rastreio for automatizado.
Matomo vs GA4: qual me convém?
GA4: gratuito, potente em modelação de atribuição, integração nativa com Google Ads. Risco: transferências EUA. Matomo: self-hosted na UE, sem riscos de transferência, 100 % seu. Desvantagem: menos integrações nativas, requer servidor próprio. Recomendamos Matomo se a DPA do seu país já sancionou o GA4, ou se o seu setor é especialmente regulado.
O server-side tracking afeta o desempenho do meu site?
Melhora-o. Com server-side, reduz scripts JavaScript no navegador (menos tags client-side). O contentor servidor processa os dados fora do navegador do utilizador. Tipicamente vemos melhorias de 200-500 ms em Time to Interactive ao migrar tags pesados para server-side.
Que multas RGPD se aplicam ao meu setor?
As multas são proporcionais: até 4 % da faturação global anual ou 20M€, o que for maior. Em 2025, as maiores sanções foram em tecnologia, telecomunicações e serviços financeiros. Mas qualquer empresa que processe dados pessoais de residentes da UE está sujeita ao RGPD, independentemente da sua dimensão ou setor.
Como meço conversões sem cookies de terceiros?
Três estratégias combinadas: Consent Mode v2 (modelação estatística de conversões para utilizadores sem consentimento), Conversion APIs (envio server-to-server de eventos para Meta/Google/TikTok), e first-party data (captura direta de emails, IDs de utilizador). O resultado é medição completa sem depender de cookies de terceiros.
Quanto tempo demora a implementação completa?
CMP + Consent Mode v2: 2-3 semanas. Acrescentar server-side GTM: 4-6 semanas. Implementação completa com Conversion APIs, analítica alternativa e documentação: 6-8 semanas. Cada fase é funcional de forma independente, portanto começa a obter valor a partir da semana 2.
O seu tracking cumpre o RGPD?
Auditoria de privacidade técnica gratuita. Rastreamos cookies, scripts de terceiros e fluxos de dados. Relatório com falhas e prioridades em 48 h. Sem compromisso.
Solicitar auditoria de privacidade Consulta
técnica inicial.
IA, segurança e desempenho. Diagnóstico com proposta faseada.
A sua primeira reunião é com um Arquiteto de Soluções, não com um comercial.
Solicitar diagnóstico
