Como lidar com consentimento em vários domínios e subdomínios

Como lidar com consentimento em vários domínios e subdomínios

Gerenciar consentimento de cookies em um único site já é algo fácil de errar. Gerenciar consentimento em vários domínios e subdomínios é mais difícil.

Uma empresa pode ter um site principal, um blog, um domínio de checkout, um portal do cliente, landing pages, sites regionais e subdomínios de produto. Do ponto de vista do usuário, tudo isso pode parecer uma única experiência de marca. Do ponto de vista técnico e jurídico, eles podem se comportar como sites separados.

Essa diferença importa. Se um usuário aceitar analytics no seu site principal, esse consentimento também vale para o subdomínio do app? Se rejeitar cookies de marketing em uma landing page, essa rejeição deve acompanhá-lo até o domínio de checkout? Se o usuário mudar o consentimento em um lugar, como você atualiza o restante?

---

Por que o consentimento em múltiplos domínios é complicado

O consentimento depende de contexto, finalidade e tecnologia.

O Information Commissioner's Office do Reino Unido explica que as regras de cookies exigem que as organizações informem as pessoas de que cookies existem, expliquem o que fazem e por quê, e obtenham consentimento antes de armazenar ou acessar informações no dispositivo do usuário, a menos que uma exceção se aplique. Você pode ler a orientação do ICO aqui: Cookies e tecnologias semelhantes.

Isso parece simples até que seu site esteja dividido entre domínios diferentes.

Exemplos comuns incluem um site de marketing em um domínio e checkout em outro, um site SaaS com um subdomínio separado para o app, um blog hospedado em outra plataforma, domínios regionais, portais de suporte e landing pages de campanha criadas em outra ferramenta.

Cada lugar pode carregar scripts diferentes, definir cookies diferentes e usar fornecedores diferentes. Se o consentimento for tratado separadamente em cada site, a experiência do usuário pode ficar confusa. Se for compartilhado de forma ampla demais, o risco de conformidade aumenta.

---

Domínios vs subdomínios

Um domínio é o endereço principal do site, como example.com.

Um subdomínio é uma seção abaixo desse domínio, como app.example.com ou blog.example.com.

Subdomínios frequentemente pertencem à mesma organização, mas ainda podem ter configurações técnicas diferentes. Um pode rodar em um CMS, outro em uma plataforma de ecommerce e outro em um app SaaS. Não presuma que o consentimento funciona automaticamente entre eles.

Um cookie definido em um domínio ou subdomínio pode não estar disponível em todos os lugares. Algumas ferramentas conseguem compartilhar consentimento entre subdomínios, mas isso precisa ser configurado corretamente. Domínios raiz separados são mais complicados e podem exigir armazenamento de consentimento separado ou lógica cross-domain explícita.

---

A regra principal: o consentimento deve corresponder à finalidade

A maneira mais segura de pensar sobre consentimento em múltiplos domínios é começar pela finalidade.

Se um usuário aceita analytics no seu site principal, isso pode ser relevante para analytics no blog ou em landing pages se a finalidade estiver claramente explicada e os sites fizerem parte da mesma jornada de marca.

O consentimento deve ser:

• Específico
• Informado
• Livre
• Inequívoco
• Fácil de retirar

As Diretrizes 05/2020 sobre consentimento do Comitê Europeu de Proteção de Dados explicam o padrão para consentimento válido sob o GDPR.

Os usuários devem entender com o que estão concordando. Se o consentimento cobre rastreamento em vários sites, domínios ou serviços, seu banner e sua política devem deixar isso claro.

---

Cenários comuns de consentimento multidomínio

1. Site principal e subdomínio do blog

Se uma empresa mantém um site principal e um subdomínio de blog, e ambos usam as mesmas finalidades de rastreamento, pode fazer sentido compartilhar o consentimento entre eles. Ainda assim, teste se o banner, as categorias e as regras de bloqueio se comportam da mesma forma nos dois.

2. Site de marketing e subdomínio do app

Um subdomínio de app SaaS pode conter dados de usuários logados e atividade de conta mais sensível. Ele também pode usar analytics de produto, ferramentas de suporte ou monitoramento de sessão. Não presuma que as mesmas categorias de consentimento devem se aplicar automaticamente.

3. Site e domínio de checkout

Muitas jornadas de ecommerce saem do site principal para um domínio separado de checkout ou pagamento. Isso é arriscado se tags de anúncios, scripts de afiliados ou rastreamento de conversão forem disparados no checkout sem respeitar a escolha anterior do usuário.

Se você usa medição cross-domain, o consentimento ainda importa. O Google explica a medição cross-domain para tags do Google aqui: Measure activity across multiple domains. Esse guia explica a parte de medição, mas não elimina a necessidade de respeitar o consentimento do usuário.

4. Domínios regionais

Domínios regionais podem ter requisitos diferentes de idioma, estruturas legais, categorias de cookies e expectativas de consentimento. Um único banner copiado para todos os sites pode não ser suficiente.

A página de consent management da CookiePal destaca suporte para banners de consentimento, varredura de cookies e tratamento regional do consentimento, o que pode ajudar quando uma empresa opera em vários mercados.

---

O consentimento deve ser compartilhado entre domínios?

Às vezes sim, às vezes não.

Compartilhar consentimento pode melhorar a experiência do usuário. Ninguém quer rejeitar cookies em uma página e ser perguntado novamente cinco segundos depois em outra página da mesma marca.

Mas o consentimento só deve ser compartilhado onde isso fizer sentido.

Antes de compartilhar consentimento entre domínios ou subdomínios, pergunte se os domínios são controlados pela mesma organização, se as finalidades e categorias são as mesmas, se os usuários são informados sobre onde o consentimento se aplica, se a retirada funciona em todos os lugares e se as regras regionais diferem.

---

Como o Google Consent Mode entra nisso

Se sua configuração multidomínio usa Google Analytics, Google Ads ou Google Tag Manager, você também pode precisar configurar corretamente o Google Consent Mode.

O Google Consent Mode permite que as tags do Google ajustem o comportamento com base nas escolhas de consentimento. O guia de configuração do Google está aqui: Set up consent mode on websites.

Para vários domínios, você precisa verificar se os sinais de consentimento estão presentes em todos os lugares onde as tags do Google disparam.

Isso significa:

• O consentimento padrão é definido antes de as tags dispararem
• A escolha do usuário é enviada para as tags do Google
• O consentimento é respeitado em subdomínios
• O consentimento é respeitado em domínios de checkout ou reserva
• Escolhas de rejeição não se perdem durante redirecionamentos
• As tags não disparam de forma diferente em landing pages

Se o consentimento estiver correto na homepage, mas ausente no checkout, a configuração não está completa.

---

As categorias de cookies devem permanecer consistentes

Sempre que possível, use categorias de cookies consistentes em domínios conectados.

Por exemplo:

• Estritamente necessários
• Preferências
• Analytics
• Marketing
• Funcionais

Isso torna a experiência do usuário mais clara e a implementação mais simples. No entanto, não force todos os domínios ao mesmo modelo se as finalidades forem diferentes. O importante é que os nomes das categorias, as finalidades e os scripts sejam precisos para cada domínio.

Uma CMP como a CookiePal pode ajudar empresas a gerenciar banners de consentimento, categorias de cookies e bloqueio automático em sites diferentes. A página de recursos da CookiePal destaca bloqueio automático, varredura agendada, autocategorização, banners multilíngues e suporte ao Google Consent Mode v2.

---

Erros comuns a evitar

Assumir que subdomínios estão automaticamente cobertos

Um subdomínio pode parecer parte do mesmo site, mas pode usar scripts, plataformas e cookies diferentes. Teste-o separadamente.

Compartilhar consentimento sem explicar

Se o consentimento se aplica a vários sites ou serviços, os usuários devem entender isso.

Perder o consentimento durante redirecionamentos

Isso acontece com frequência em fluxos de reserva, checkout ou login. O usuário rejeita o rastreamento no site principal e depois o rastreamento volta a começar no próximo domínio.

Permitir que ferramentas de terceiros contornem a CMP

Um construtor de landing pages, uma ferramenta de checkout ou uma plataforma de suporte separada pode incluir scripts que não são controlados pela sua CMP principal.

Esquecer a retirada

Os usuários devem poder alterar ou retirar o consentimento. Se o consentimento for compartilhado, a retirada também deve ser compartilhada.

---

Checklist de consentimento multidomínio

Antes de lançar uma configuração de consentimento multidomínio, verifique:

• Todos os domínios e subdomínios foram mapeados
• Todos os cookies e scripts foram escaneados
• As categorias de cookies são claras e consistentes
• O texto do consentimento explica onde o consentimento se aplica
• Scripts não essenciais são bloqueados antes do consentimento
• O consentimento é respeitado após redirecionamentos
• As escolhas de rejeição funcionam em toda a jornada
• A retirada do consentimento funciona nas propriedades relevantes
• O Google Consent Mode está configurado onde quer que as tags do Google rodem
• Diferenças regionais são tratadas corretamente
• A política de privacidade explica o rastreamento multidomínio
• A política de cookies reflete a configuração real

---

Conclusão

Lidar com consentimento em vários domínios e subdomínios não é apenas um detalhe técnico. Isso afeta conformidade, precisão analítica, desempenho de publicidade e confiança do usuário.

O princípio principal é simples: o consentimento deve acompanhar o fluxo de dados. Se o rastreamento acompanha o usuário de um domínio para outro, sua configuração de consentimento também precisa acompanhar.

Comece mapeando cada domínio, subdomínio, script e cookie. Depois decida onde o consentimento deve ser compartilhado, onde deve permanecer separado e como a retirada deve funcionar.

Uma configuração de consentimento multidomínio bem feita ajuda os usuários a evitar banners repetidos, ao mesmo tempo em que lhes dá controle claro sobre como seus dados são usados.