Loja na Nuvemshop: o que a LGPD cobra dos cookies

Pelo Guia da ANPD, uma loja Nuvemshop precisa em regra do consentimento antes dos cookies de medição e de anúncio. O visitante precisa poder recusar, e a LGPD cobra do lojista a prova de cada consentimento. O aviso de cookies que vem no tema e o Google Analytics ligado pelo painel não pedem esse consentimento.

O passo a passo da instalação do banner está em banner de cookies na Nuvemshop.

Quem responde pelos cookies de uma loja Nuvemshop?

O lojista, pelos cookies de medição e de anúncio que a loja liga. Na versão de 8 de maio de 2026, o adendo de tratamento de dados da Nuvemshop diz que o controlador é o lojista e a operadora é a Nuvemshop. A central de atendimento da Nuvemshop repete que a plataforma é operadora dos dados pessoais dos consumidores.

A LGPD chama de controlador quem toma as decisões sobre o tratamento dos dados (art. 5º, VI). O operador trata os dados em nome do controlador (art. 5º, VII) e segue as instruções dele (art. 39). Quando o Pixel da Meta carrega antes da escolha do visitante, quem responde por essa decisão é o lojista.

O adendo também diz o que fica com a loja:

• publicar a própria política de privacidade (item 5.1);
• ter os consentimentos necessários para tratar os dados dos clientes (item 5.2);
• manter um canal para os pedidos dos titulares (item 5.3).

No mesmo documento, a Nuvemshop avisa que não dá assessoria jurídica sobre essas obrigações.

Quais cookies da loja dependem de consentimento?

Em regra, os que a loja não precisa para funcionar. O Guia Orientativo de cookies da ANPD chama de não necessário o cookie cuja desativação não impede o uso do site. Entre os exemplos estão os cookies que medem o desempenho da página e os que exibem anúncios.

Para publicidade, o Guia diz que o legítimo interesse dificilmente será a base mais apropriada. Nesse caso, o consentimento pode ser considerado a hipótese mais apropriada. Para medição de audiência, o Guia admite o legítimo interesse em certos contextos. Ele aceita esse caminho para dados agregados, sem formação de perfil e sem combinação com outro rastreamento. No exemplo dele, os dados nem vão para terceiros.

Na loja, o cookie de sessão e o de carrinho são necessários. O Pixel da Meta e a tag do Google Ads dependem da escolha do visitante. Os critérios completos do Guia estão em cookies e LGPD à luz do Guia da ANPD. O scanner gratuito mostra o que a sua loja carrega antes de qualquer escolha.

O aviso de cookies do tema vale como consentimento?

Pelo Guia da ANPD, não. O tema base que a Nuvemshop publica no GitHub traz um aviso fixo no pé da página, e o mesmo aviso aparece em lojas no ar com outros temas. Em português, a frase do aviso diz "Ao navegar por este site você aceita o uso de cookies para agilizar a sua experiência de compra". O único botão diz "Entendi". No script do tema, o clique marca o aviso como lido e o esconde.

O Guia da ANPD desaconselha os traços centrais desse aviso. Na página 19, ele diz que não é recomendável presumir consentimento porque o visitante continuou navegando. Na página 33, ele lista as práticas desaconselhadas no desenho do banner.

Se a sua loja mostra essa frase, o visitante fica sem a opção de recusar que o Guia descreve.

O GA4 ligado pelo painel respeita a escolha do visitante?

Não. Na integração nativa, o lojista informa o ID de medição e um valor secreto da API em Configurações › Códigos externos, e a plataforma monta a tag (central da Nuvemshop). Esse código aparece no começo da página das lojas com o GA4 ligado pelo painel, como mostra banner de cookies na Nuvemshop. Ele usa uma fila de dados só da Nuvemshop, a dataLayerTN, e declara concedidos os sinais de medição e de anúncio. A documentação do Consent Mode chama esse comando de consent default, o valor de cada sinal antes de o visitante consentir.

Com o script do Concedo no topo do tema, o banner segura o gtag.js até o aceite de estatísticas e declara o padrão negado no dataLayer comum do Google. Instalado pelo GTM, o Concedo chega depois dessa tag e não a segura. Nos dois casos, ele não trata a dataLayerTN. No topo do tema, quem aceita só estatísticas libera o GA4 com os sinais de anúncio concedidos pela Nuvemshop. Pelo GTM, ele roda até para quem recusa. A saída é tirar o GA4 da integração nativa e carregá-lo pelo tema ou pelo Google Tag Manager, como mostra o guia de instalar com GTM. O campo ID do Google GTM só existe nos planos pagos. Para ferramentas como Hotjar e Pinterest, a Nuvemshop também indica o GTM.

Parte dos envios sai do servidor da Nuvemshop, longe da página. Ao conectar o portfólio da Meta, a API de Conversões é ativada automaticamente. Pelo servidor vão os eventos de carrinho, início da compra, pagamento e compra. O valor secreto do GA4 serve para enviar as conversões pelo servidor, segundo a ajuda do GA4 na Nuvemshop. O banner do Concedo não alcança esses envios, porque eles saem do servidor da Nuvemshop.

O que dispara na finalização da compra sem o banner?

As tags que a loja não condicionou à escolha do visitante. O script colado no tema fica de fora dessa etapa, porque ela não usa o tema da loja (banner de cookies na Nuvemshop). Pelo GTM, a tag do banner é de HTML personalizado, e a central da Nuvemshop avisa que esse tipo de tag é bloqueado na finalização da compra. Os códigos personalizados dessa etapa só existem no plano Next e são escritos para o NubeSDK (ajuda sobre códigos na finalização). O NubeSDK roda esse código isolado e sem acesso direto à página. O script do banner age sobre a página e não roda ali.

Sem o banner nessa etapa, as tags do Google no GTM tratam o visitante como se ele tivesse aceitado tudo. Cada tag que dispara na finalização da compra precisa de uma condição no acionador sobre o cookie do Concedo, como mostra o guia do GTM.

Os códigos de conversão do painel rodam na última etapa da compra. Uma tag de anúncio colada nesse campo dispara até para quem recusou. Nos planos pagos, o caminho é tirá-la do campo e levá-la ao GTM numa tag que não seja de HTML personalizado, com essa condição no acionador.

O que a loja precisa guardar para provar o consentimento?

O registro de cada escolha. A LGPD põe no controlador o ônus de provar que o consentimento foi obtido conforme a lei (art. 8º, § 2º). Na Nuvemshop, esse controlador é o lojista. O clique em "Entendi" não deixa escolha a provar, porque o aviso não oferece recusa.

O registro de consentimento do Concedo guarda cada escolha com a data e as categorias escolhidas, ligada à versão da política que estava no ar. No Free, o registro fica guardado por 90 dias. Nos planos pagos, o histórico não expira. Com o script no topo do tema, o bloqueio prévio segura os rastreadores conhecidos até o visitante decidir. Os envios que saem do servidor da Nuvemshop ficam fora dele.

Siga o Concedo no Instagram e no Facebook.