privacidade em aplicativos•

03 de novembro de 2026

•

Together Team

Rastreadores em aplicativos: lições do caso FNAC

Sua equipe sabe quais informações o aplicativo envia a outras empresas quando alguém navega por produtos? Os rastreadores em aplicativos podem realizar tarefas úteis, como medir o uso ou personalizar recomendações. Mas, se a empresa não conhece os dados enviados nem respeita as escolhas do usuário, uma função discreta pode virar um problema de privacidade.

Foi o que a autoridade francesa de proteção de dados examinou no aplicativo da FNAC. O caso ajuda gestores de produto, tecnologia e marketing a olhar além do aviso de privacidade. Neste artigo, você verá como identificar rastreadores, mapear fornecedores e testar se as escolhas feitas na tela realmente funcionam. A análise também mostra o que conferir nas versões para celulares e nas informações exibidas nas lojas de aplicativos.

O que aconteceu no caso FNAC

Em 22 de outubro de 2026, a autoridade francesa de proteção de dados, conhecida como CNIL, aplicou multas que somam 7 milhões de euros a duas empresas do grupo FNAC. A decisão foi divulgada em 29 de outubro. Segundo a comunicação oficial da CNIL, a fiscalização encontrou um rastreador que coletava informações de navegação sem o consentimento dos usuários.

A autoridade identificou o envio de um identificador atribuído pela FNAC e de informações sobre a atividade no aplicativo, como produtos visualizados, para um endereço de internet de outra empresa. Esses dados serviam para apresentar recomendações personalizadas e treinar o sistema de recomendações. A CNIL considerou que esse uso não se enquadrava nas exceções da lei francesa para dispensar o consentimento prévio.

A autoridade também determinou que as empresas demonstrassem, em até um mês após a notificação, que a nova ferramenta obtinha consentimento quando necessário. O descumprimento poderia gerar cobrança de 10 mil euros por dia de atraso. Trata-se de uma decisão baseada na legislação francesa; para empresas brasileiras, o caso oferece uma oportunidade de revisar suas próprias práticas à luz da LGPD.

O que são rastreadores em aplicativos?

Rastreadores em aplicativos são recursos que coletam ou acessam informações sobre o dispositivo ou a atividade de quem usa o serviço. Eles podem ajudar a manter uma sessão, medir o desempenho de uma funcionalidade ou permitir que outra empresa ofereça anúncios e recomendações. O efeito sobre a privacidade depende dos dados, do objetivo do uso e de como a ferramenta funciona.

Alguns desses recursos chegam por meio de um SDK, sigla para um conjunto de ferramentas prontas incorporado ao aplicativo. Um SDK pode facilitar pagamentos, analisar acessos ou conectar um serviço de publicidade. A equipe ganha tempo ao usá-lo, mas ainda precisa entender que informações ele recebe e para quem as envia.

Nem todo rastreador tem a mesma função, e nem todo envio para um fornecedor ocorre pelo mesmo mecanismo. No caso FNAC, a CNIL descreveu solicitações enviadas a um terceiro por uma interface de comunicação entre sistemas. O ponto para a empresa é identificar a operação concreta, em vez de presumir que o nome da ferramenta explica tudo.

Por que a escolha na tela precisa funcionar

Depois de identificar os rastreadores em aplicativos, examine o que acontece quando uma pessoa aceita, recusa ou altera uma preferência de privacidade. Uma tela pode mostrar opções claras e, ainda assim, o aplicativo enviar informações antes da escolha ou continuar enviando após uma recusa. Para descobrir isso, é preciso conferir o comportamento do aplicativo, não apenas o texto exibido.

No caso francês, a CNIL apontou que a escolha do usuário de não consentir com o acompanhamento da navegação não havia sido respeitada. A empresa que usa uma ferramenta de personalização deve, portanto, saber em que momento ela começa a funcionar e como recebe a informação sobre a escolha feita. O teste precisa alcançar a comunicação com terceiros, além da aparência da tela.

No Brasil, a LGPD exige que o uso de dados pessoais tenha um motivo permitido pela lei e respeite princípios como o uso para objetivos específicos, a coleta apenas do necessário e a transparência. Consentimento é uma dessas possibilidades, mas não é a única. Quando a empresa se baseia no consentimento, precisa observar os requisitos da lei e permitir que a pessoa retire essa autorização.

A ANPD orienta sobre cookies e proteção de dados, incluindo transparência e escolhas relacionadas ao uso dessas tecnologias. O guia trata principalmente de cookies; ao avaliar aplicativos, a empresa deve examinar as operações e os dados envolvidos e analisar a justificativa de cada função. Para complementar a análise, veja nosso guia sobre cookies e LGPD em sites. É aí que o mapeamento ajuda.

Rastreadores em aplicativos: descubra o que sai do celular

Para entender os rastreadores em aplicativos, o mapa precisa acompanhar a jornada dentro do produto. A autoridade identificou o envio de um identificador do usuário e dos produtos consultados a um terceiro. A questão para sua equipe é descobrir se há informações semelhantes saindo do seu próprio aplicativo, em qual etapa e para quem.

Peça à equipe técnica que teste uma instalação nova e anote a versão do aplicativo e o sistema do celular. Em seguida, percorra a abertura, a entrada na conta e a visualização de produtos. Para cada etapa, registre a empresa que recebe informações e o objetivo informado para aquele envio.

Uma conexão com um fornecedor não revela sozinha tudo o que ele faz depois de receber os dados. Compare os registros do teste com a documentação do fornecedor e as configurações contratadas. O guia da TOGETHER sobre cookies e LGPD em sites explica como organizar o inventário, avaliar os motivos permitidos pela lei e registrar as decisões; aqui o foco segue nas particularidades do aplicativo.

Um SDK pode coletar dados além da função contratada?

Pode. Um SDK é um conjunto de ferramentas prontas incluído no aplicativo para executar uma função. A empresa precisa entender não só o que pediu ao fornecedor, mas o que o código incorporado efetivamente coleta e compartilha. A Apple apresenta como exemplo uma ferramenta de entrada na conta que também pode usar dados para publicidade em outros aplicativos.

Isso não significa que toda ferramenta de entrada faça esse uso. Significa que o nome comercial, sozinho, não responde à pergunta. Peça ao fornecedor a lista dos dados coletados, as empresas que os recebem, seus próprios usos e as opções para desligar funções que não serão usadas.

Confira também a versão do SDK presente em cada aplicativo. A equipe pode ter atualizado o componente no Android e mantido uma versão anterior no iPhone, por exemplo. Registre quem aprova a inclusão ou atualização e repita a análise quando a documentação ou a configuração mudar.

Compare o que acontece no Android e no iPhone

Os rastreadores em aplicativos podem variar entre as versões para Android e iPhone, que têm ferramentas e configurações próprias. Por isso, uma verificação feita em um sistema não comprova o comportamento do outro. Comece pela versão mais usada pela empresa e planeje a conferência da outra com responsáveis e prazo.

No Android, examine se o aplicativo ou seus parceiros usam o identificador de publicidade do aparelho. É um código que pode ser redefinido pelo usuário nas configurações. As orientações do Android para desenvolvedores explicam que a redefinição deve ser respeitada e tratam das condições para relacionar o identificador novo ao anterior.

No iPhone, a Apple possui uma solicitação específica para certas formas de rastreamento entre aplicativos e sites de outras empresas. Confira se os usos praticados pelo seu aplicativo entram nessa política e como a resposta chega aos fornecedores. A política da Apple para privacidade e uso de dados explica que a empresa desenvolvedora também responde pelo código de terceiros incluído no aplicativo.

As regras das lojas e sistemas são compromissos próprios dessas plataformas; elas não substituem a avaliação das leis aplicáveis. Também não basta conferir se uma janela apareceu. É preciso entender que informação foi transmitida, a quem e com qual objetivo em cada versão do aplicativo.

Rastreadores em aplicativos e a ficha de privacidade

Antes de instalar um aplicativo, a pessoa pode consultar informações de privacidade na loja. Essa ficha também ajuda a explicar o uso de rastreadores em aplicativos. Compare essas informações com o mapa de dados e com o que os testes mostraram. Se uma ferramenta externa recebe dados para análise ou publicidade, a ficha precisa refletir corretamente a prática do aplicativo segundo as regras da loja.

O Google Play orienta os desenvolvedores a considerar na seção de segurança dos dados a coleta e o compartilhamento feitos por códigos e SDKs de terceiros. A Apple também pede informações sobre as práticas dos parceiros cujo código está integrado ao aplicativo. Em ambos os casos, a equipe precisa conhecer o uso real da ferramenta para preencher a declaração.

Uma ficha preenchida uma vez pode ficar desatualizada quando uma nova versão muda a coleta. Inclua sua revisão na lista de lançamento, junto com a conferência da política de privacidade e da documentação do fornecedor. Se houver divergência, atribua a correção a uma pessoa e mantenha o registro da versão verificada.

Como testar rastreadores em aplicativos

Use o caso como roteiro: selecione uma tela de produto, registre qual informação é enviada ao fornecedor e pergunte se ela é usada para recomendar itens. Em um ambiente de testes, faça o percurso antes de qualquer escolha, após a recusa e após a aceitação, quando houver uma escolha de consentimento. Compare o que o aplicativo prometeu com o que foi observado em cada situação.

Teste também a mudança posterior da preferência e a reabertura do aplicativo. A equipe deve verificar se a escolha permanece e se chega às ferramentas que dependem dela. Caso o sistema da empresa que recebe e envia informações também envie registros ao fornecedor, a inspeção no celular pode não mostrar todo o caminho. Inclua esse sistema na investigação.

Não use dados reais de clientes sem necessidade para registrar o teste. Guarde a versão do aplicativo, a ação realizada, o destino da comunicação e o resultado esperado. Quando encontrar diferença, corrija, repita a jornada e registre o novo resultado; isso permite verificar se a mudança resolveu o problema.

Quando uma atualização muda a resposta

Rastreadores em aplicativos podem mudar quando novas versões incluem recursos de análise, publicidade ou recomendação. Uma atualização aparentemente pequena pode alterar o momento em que uma ferramenta é iniciada ou os dados compartilhados com um parceiro. Inclua essas perguntas na revisão anterior a cada mudança relevante.

Se o fornecedor atualizar um SDK, peça a documentação da nova versão e compare suas funções com a versão anterior. Verifique se alguma coleta foi adicionada, se as escolhas continuam sendo respeitadas e se a ficha da loja precisa ser atualizada. A equipe de produto pode definir o objetivo da mudança; tecnologia verifica a implementação; privacidade ajuda na análise dos dados.

Remova ferramentas que não têm mais função comprovada e acompanhe as pendências com fornecedores. Após a alteração, repita os testes adequados aos riscos identificados, nas versões afetadas. Assim, o mapeamento permanece ligado ao aplicativo que as pessoas realmente usam.

Como a TOGETHER ajuda

A TOGETHER inicia o trabalho pelo mapeamento de dados: identifica os caminhos das informações, as ferramentas usadas e os fornecedores envolvidos. Com esse retrato, a empresa consegue priorizar dúvidas sobre compartilhamento, escolhas dos usuários e medidas de proteção. O resultado apoia decisões concretas de produto e tecnologia. Ele também ajuda a equipe a identificar quais fornecedores precisam esclarecer suas práticas.

Na consultoria em LGPD, a TOGETHER ajuda a revisar processos e responsabilidades de fornecedores. Com o DPO as a Service, serviço de apoio contínuo de um responsável por proteção de dados, a TOGETHER ajuda a equipe a acompanhar solicitações, mudanças e decisões sobre privacidade. O objetivo é construir uma rotina que continue funcionando depois da primeira revisão. Assim, cada atualização pode ser avaliada com base nas informações já reunidas.

Conclusão

O caso FNAC mostra como uma recomendação personalizada pode depender de um fluxo de dados que o usuário não vê. Para a empresa, a pergunta é se ela conhece esse fluxo, entende seu objetivo e consegue fazer valer as escolhas apresentadas no aplicativo. A resposta exige olhar para contratos, configurações e testes em conjunto. No celular, também é preciso conferir as versões de cada sistema e os dados informados nas lojas.

Comece listando os rastreadores em aplicativos e os fornecedores que recebem informações em cada etapa da jornada. Depois, teste o que acontece antes e depois das escolhas do usuário e trate as diferenças encontradas. A TOGETHER pode apoiar sua equipe no mapeamento e na organização desse trabalho.

Perguntas frequentes

Todo rastreador em aplicativo é proibido?

Não. O objetivo do uso e o modo de uso importam. A empresa deve identificar as informações envolvidas e avaliar o motivo permitido pela lei e as demais exigências legais aplicáveis a cada operação.

Um aviso de privacidade resolve o problema?

Não sozinho. O aviso ajuda a informar as pessoas, mas a empresa também precisa avaliar as ferramentas e verificar se o aplicativo funciona conforme as escolhas apresentadas. Testes e revisão de fornecedores fazem parte dessa conferência.

SDK e rastreador são a mesma coisa?

Não necessariamente. Um SDK é um conjunto de ferramentas incorporado ao aplicativo e pode conter recursos que coletam informações. Um rastreador é um recurso usado para acessar ou coletar informações; ele pode existir dentro ou fora de um SDK.

A multa francesa significa que a LGPD foi aplicada à FNAC?

Não. A CNIL aplicou a legislação francesa sobre rastreadores no caso examinado. Para uma empresa no Brasil, a decisão serve como alerta prático para revisar suas operações segundo as regras aplicáveis aqui.

Com que frequência devo conferir o aplicativo?

Crie uma rotina compatível com as mudanças e os riscos do produto. Novas ferramentas, atualizações relevantes e alterações nos objetivos do uso são bons momentos para revisar o mapa e repetir os testes necessários.