Usar o Microsoft Clarity em conformidade com o RGPD

O Microsoft Clarity (clarity.ms) fornece mapas de calor e gravações de sessão e transmite dados à Microsoft (EUA).

O facto de o Clarity ser gratuito não altera a situação jurídica: a gravação de sessões e os mapas de calor captam o comportamento de visitantes individuais e estão, por isso, claramente sujeitos a consentimento. Segundo as suas próprias indicações, a Microsoft também usa os dados agregados para fins próprios — isso torna discutível classificá-lo como mera subcontratação e torna ainda mais importante um contrato de subcontratação limpo, bem como a verificação da responsabilidade conjunta.

A alavanca técnica mais importante é a máscara. Se estiver em «Balanced» ou «Relaxed», entradas em texto simples e conteúdos de página podem acabar nas gravações — incluindo dados pessoais de terceiros visíveis por descuido. «Strict» mascara todos os textos e entradas e é a definição de base parcimoniosa em dados.

Para a transferência para os EUA aplica-se o mesmo que a outros serviços da Microsoft: através do EU-US Data Privacy Framework, a transferência para a Microsoft está, em princípio, salvaguardada enquanto existir a certificação. Isso deve constar da política de privacidade como base da transferência.

O Clarity pode ser associado ao Google Analytics e ao Microsoft Advertising. Estas integrações alargam a finalidade: de uma simples compreensão do comportamento passa a ser uma base de dados para análise e otimização publicitárias. Quem ativa a associação tem de refletir a finalidade alargada no consentimento e na política de privacidade — um consentimento recolhido como «estatística» não cobre finalidades publicitárias.

Na prática, o Clarity pode ser limitado através das definições do projeto: as gravações podem ser restringidas a determinadas áreas por regra de URL ou excluídas de páginas sensíveis (início de sessão, conta, checkout), e elementos individuais podem ser controlados especificamente através de data-clarity-mask / data-clarity-unmask. Quanto menos for gravado, mais simples a justificação.

Isto é um risco?

Tal como noutra gravação de sessão, aplica-se o § 25 n.º 1 TDDDG: utilização apenas após consentimento prévio. Além disso, é necessário um contrato de subcontratação com a Microsoft e a transferência para um país terceiro tem de ser fundamentada.

O que pode fazer

• Classificar o Clarity na categoria que exige consentimento e carregá-lo apenas depois.
• Definir o mascaramento como «strict» para que texto e introdução não sejam gravados.
• Celebrar um contrato de subcontratação; na política de privacidade, nomear a Microsoft como destinatário e a transferência para os EUA.

Häufige Fragen

O Microsoft Clarity é utilizável sem banner de cookies?

Não. O Clarity define cookies e grava o comportamento — isso está sujeito a consentimento nos termos do § 25.º, n.º 1 do TDDDG. Sem consentimento ativo, o script não pode carregar.

Preciso de um contrato de subcontratação para o Clarity?

Sim. A Microsoft disponibiliza as condições contratuais; devem ser documentadas e anotadas no registo de tratamentos. Como a Microsoft usa os dados em parte para fins próprios, deve verificar-se ainda se existe responsabilidade conjunta.

Que nível de máscara devo escolher?

«Strict». Assim, todos os textos e entradas de formulário nas gravações são mascarados, o que reduz nitidamente o risco de dados pessoais captados por descuido.

Em que difere o Clarity do Google Analytics quanto ao RGPD?

Ambos estão sujeitos a consentimento. O Clarity capta adicionalmente percursos de sessão concretos (movimento do rato, cliques, deslocamento), o que interfere mais profundamente na privacidade do que a medição de alcance agregada do GA4.

Durante quanto tempo o Microsoft Clarity guarda os dados?

A Microsoft indica uma conservação das gravações e dos dados dos mapas de calor de cerca de 30 dias, após os quais são eliminados ou agregados. O prazo concreto e as categorias de dados tratados devem, ainda assim, constar da política de privacidade.

O Clarity pode carregar apenas em determinadas páginas?

Sim, e é recomendável. Através de regras de URL no projeto Clarity, a gravação pode ser restringida a páginas não críticas e excluída das páginas de início de sessão, conta e checkout. Isso reduz nitidamente o risco de dados pessoais captados por descuido.

Como o consentglass ajuda

A análise gratuita verifica o HTML entregue e mostra que serviços estão incorporados, se é detetado um banner de cookies e se as ligações para privacidade e informação legal estão presentes — com enquadramento para cada constatação. Não substitui aconselhamento jurídico.