Um encurtador de URL conforme ao RGPD faz quatro coisas: assina um contrato de tratamento de dados que cobre o artigo 28.º, n.º 3, guarda tão poucos dados de cliques quanto a finalidade exige, consegue apagar esses dados a pedido e não dispara pixels de terceiros durante o redirecionamento. Todo o resto numa página de preços ("conforme ao RGPD", um selo) é marketing até poder ver esses quatro por escrito.
Um clique cria uma linha de registro: endereço IP, carimbo temporal, user-agent, normalmente um referrer. Nos termos do artigo 4.º, n.º 1, isso pode ser um dado pessoal, e o TJUE o disse para IPs dinâmicos em Breyer (C-582/14). O seu encurtador detém esse registro, por isso é um subcontratante e você é o responsável pelo tratamento. Este artigo é a versão curta da revisão contratual: dez verificações, o que três fornecedores conhecidos publicam e onde a própria Elido fica aquém. Para o raciocínio jurídico artigo a artigo, leia o guia de referência sobre RGPD para encurtadores de URL. Para saber onde as suas outras ferramentas de marketing guardam dados, veja residência de dados na UE para ferramentas de marketing; não o repito aqui.
O que o RGPD pede a um encurtador de links
Quatro obrigações recaem sobre o lado do encurtador, e cada uma corresponde a algo que pode pedir.
Um contrato que cumpra o artigo 28.º, n.º 3. O artigo 28.º, n.º 3 exige instruções documentadas, confidencialidade, segurança, controles sobre subcontratantes ulteriores, ajuda com pedidos de titulares dos dados, ajuda com deveres de violação e AIPD, apagamento ou devolução na cessação e direitos de auditoria. Sem esse contrato, sem implementação na UE.
Uma base legal para analytics. O redirecionamento é necessário para entregar o link. Registrar o clique para relatórios é uma operação separada. A maioria das equipes se apoia no interesse legítimo (artigo 6.º, n.º 1, alínea f)) para contagens simples. Quando o redirecionamento carrega um pixel de anúncios, entra em território de consentimento.
Minimização. O artigo 5.º, n.º 1, alínea c) limita-o ao que é necessário. País, classe de dispositivo, referrer e carimbo temporal respondem à maioria das perguntas de campanha. O IP completo e uma string de user-agent em bruto geralmente não merecem o lugar.
Uma via de transferência lícita. Se os dados de cliques saírem do EEE, se aplicam os artigos 44.º e 46.º: SCC com avaliação de transferência, ou uma certificação do Data Privacy Framework, que continua contestado.
O que Bitly, Rebrandly e TinyURL publicam
Li as páginas legais de cada fornecedor em 2026-10-24 (consultadas em 2026-10-24). Quando uma página não carregou ou não dizia nada, não faço qualquer afirmação.
| Fornecedor | Localização dos dados | Mecanismo de transferência | DPA |
|---|---|---|---|
| Bitly | A política de privacidade diz que os dados "podem ser transferidos para fora da União Europeia e do Espaço Econômico Europeu, incluindo, entre outros, os Estados Unidos" | SCC e uma certificação UE-EUA DPF declarada | A política de privacidade não menciona um DPA; nomeia um acordo de responsabilidade conjunta entre a Bitly Inc. e a Bitly Europe GmbH |
| Rebrandly | Anexo 1 do DPA: servidores AWS "localizados principalmente nos Estados Unidos"; seção 6.3.1: instalações principais de tratamento nos EUA; nenhuma região da UE nomeada | SCC (Módulo Dois, responsável para subcontratante); DPF não mencionado | Sim, o DPA faz parte do Subscription Agreement (os Termos de Utilização) |
| TinyURL | As páginas de política não carregaram para mim (só voltou o título da página) | Não indicado | Não indicado |
Fontes: política de privacidade da Bitly, DPA da Rebrandly, termos da TinyURL e política de privacidade.
Leia esta tabela pelo que ela é. A Bitly e a Rebrandly se apoiam ambas em instrumentos de transferência reconhecidos e dizem-no abertamente; nenhuma publica um compromisso de tratamento exclusivamente na UE nas páginas que verifiquei, embora um contrato empresarial à medida possa oferecê-lo. Quanto à TinyURL, não lhe posso dizer nada, porque as páginas que obtive não devolveram texto de política. Se isso lhe importa, peça diretamente à TinyURL o DPA e a lista de subcontratantes ulteriores e espere pela resposta antes de comprar. Os preços são outra questão e não verifiquei os preços dos planos de nenhum fornecedor para este artigo.
Dez verificações antes de assinar
Faça cada uma destas perguntas ao fornecedor por escrito. Cada uma testa um artigo específico.
1. Onde são armazenados os dados de cliques, e isso é um termo contratual?
Peça a região, não a marca da cloud. "AWS" não é uma resposta. Depois pergunte se a região consta do contrato ou apenas da prática atual, que o fornecedor pode alterar.
2. O DPA cobre todo o artigo 28.º, n.º 3?
Leia-o em confronto com os oito pontos. Olhe com atenção para a contratação de subcontratantes ulteriores e os direitos de auditoria; uma linguagem vaga de "segurança padrão da indústria" no seu lugar é um sinal de alerta.
3. Os subcontratantes ulteriores são nomeados, com regiões e um prazo de aviso?
Cada subcontratante ulterior alonga a cadeia de transferência. Uma lista curta e atual, com regiões, pode ser revista de uma só vez. Pergunte com quanta antecedência é avisado de um novo e se pode opor-se.
4. O que é guardado exatamente por clique?
Obtenha a lista de campos. O IP é guardado por inteiro, truncado ou com hash? A geolocalização ao nível da cidade é mantida? A minimização por padrão é o desenho certo; a minimização opcional deixa o risco consigo.
5. O redirecionamento carrega algum script de terceiros?
A injeção de pixels no momento do redirecionamento para visitantes da UE exige consentimento prévio. Abra a aba Network, clique num link de teste num perfil de navegador limpo e veja o que carrega antes do destino.
6. Como funciona o apagamento dos dados de cliques?
O artigo 17.º diz "sem demora injustificada". As linhas de cliques raramente trazem um nome, por isso pergunte como o fornecedor encontra e apaga as linhas de uma pessoa e qual é o prazo de resposta.
7. Qual é o prazo de notificação de violações?
Tem 72 horas para avisar a sua autoridade de controle depois de tomar conhecimento. O seu subcontratante precisa de um compromisso numérico mais curto no DPA. "Prontamente" não é um número.
8. O redirecionamento define cookies ou identificadores persistentes?
Um redirecionamento que deduz país e dispositivo a partir dos cabeçalhos do pedido e não define nada no navegador é fácil de defender. Um que define um identificador precisa de uma barreira de consentimento. Verifique você mesmo os cabeçalhos de resposta.
9. Os destinatários podem saber do rastreamento?
A transparência do artigo 13.º é sobretudo trabalho seu como responsável pelo tratamento: o seu aviso de privacidade tem de cobrir a cadeia de rastreamento de links. Uma política do fornecedor escrita do ponto de vista do fornecedor não o fará por si.
10. Pode exportar e apagar sem um pedido de suporte?
Exportar eventos de cliques, apagar links com o seu histórico e encerrar a conta com apagamento documentado. Se algum destes exigir um pedido de suporte, obtenha o prazo de resposta no contrato.
As contrapartidas
Dados minimizados lhe custam alguma analítica. Sem o IP completo e o user-agent em bruto, perde a precisão ao nível da cidade e a identidade entre sessões. Para a atribuição de campanhas, país, dispositivo e referrer bastam. Para o retargeting ao nível da pessoa, use o encaminhamento de conversões do lado do servidor com base num identificador que o usuário já lhe deu, como um ID de login, em vez de rastrear no redirecionamento.
Também abdica de algumas funcionalidades. A injeção de pixels e o rastreamento entre domínios dependem de uma coleta que se combina mal com a minimização. Uma configuração conforme ao RGPD mantém o redirecionamento simples e move a medição para o evento de conversão, onde tem uma relação direta com o usuário. A aquisição continua a dar trabalho: conte ler o DPA, a lista de subcontratantes ulteriores e o processo de apagamento, qualquer que seja o fornecedor. Veja também atribuição de cliques depois do Safari ITP e Schrems II e pixels de rastreamento.
Onde o Elido se encontra hoje
Verifiquei isto no código em 2026-11-12, e parte não é lisonjeira.
- Dados de cliques. O edge trunca o IP do visitante (IPv4 para /24, IPv6 para /48) antes de o clique ser armazenado. País, região, cidade e coordenadas aproximadas são derivados antes e mantidos, e o user agent completo é armazenado. Nenhuma configuração mantém o IP completo, e um modo sem dados pessoais existe apenas pela API.
- Pixels. Um redirecionamento simples não carrega nenhum script de terceiros. Um link pode optar por uma splash page que dispara pixels da Meta, Google, LinkedIn ou TikTok antes de redirecionar; se a usar para visitantes da UE, precisa de uma base de consentimento. O encaminhamento de cliques para GA4, Mixpanel, Klaviyo, Brevo ou Datadog envia eventos de clique a esses fornecedores, então liste-os nos seus registros.
- Apagamento. O fluxo de administração de titulares dos dados consegue exportar e apagar uma conta (o registro do usuário é anonimizado; os registros de faturamento são conservados nos termos do artigo 17.º, n.º 3, alínea b)). A mesma solicitação pode apagar os dados de cliques dos workspaces cujo único dono é a pessoa e, para um visitante de link, todos os cliques da sua rede truncada, restringidos a um navegador quando ele informa o user agent. As linhas de cliques também expiram por uma janela que depende do plano: 90 dias no Free, um ano no Pro e dois anos no Business.
- Contrato e subcontratantes ulteriores. Um DPA com SCCs da UE está disponível sob pedido em todos os planos, inclusive no Free; não é aceito no checkout e nenhum download é publicado. A lista de subcontratantes ulteriores (13 fornecedores) e a política de privacidade estão publicadas. Os dados são armazenados na UE, mas nós de redirecionamento fora da UE ainda processam as requisições dos visitantes e ainda não há escolha de região por workspace. Leia-os você mesmo em confronto com as verificações 1 a 3, e veja a página de confiança para atestações.
Se está deixando outro fornecedor, o playbook de migração da Bitly cobre a importação de links e a passagem do DNS. Depois da transição, envie ao antigo fornecedor um pedido de apagamento do seu workspace, atualize o seu aviso de privacidade com o novo subcontratante e reveja qualquer banner de consentimento que se referisse ao rastreamento da ferramenta antiga. Para os planos, veja os preços.
O que verificar antes de confiar numa afirmação "conforme ao RGPD"
A etiqueta não é regulada e não tem peso jurídico. Os artefatos que têm: um DPA mapeado ao artigo 28.º, n.º 3, uma lista de subcontratantes ulteriores com regiões, uma descrição ao nível dos campos do que um clique guarda, um processo de apagamento que possa testar e um prazo numérico de violação. Se um fornecedor não os consegue enviar num dia útil, trate o selo como texto publicitário.
Relacionado no blog
Perguntas frequentes
Um encurtador de URL é um subcontratante nos termos do RGPD?
Sim, na configuração habitual. É você quem decide porquê e como os cliques são medidos, por isso é o responsável pelo tratamento, e o encurtador trata os dados de cliques segundo as suas instruções. Isso exige um contrato escrito nos termos do artigo 28.º, n.º 3.
Um endereço IP num registro de cliques é um dado pessoal?
Sim. O TJUE decidiu no processo Breyer (C-582/14) que um endereço IP dinâmico é um dado pessoal quando o detentor dispõe de meios legais para identificar a pessoa por trás dele. Um encurtador que registra o IP completo junto a um carimbo temporal se encontra nessa posição.
Preciso de consentimento para rastrear cliques em links curtos?
Nem sempre. A contagem de cliques do lado do servidor com campos mínimos se baseia muitas vezes no interesse legítimo nos termos do artigo 6.º, n.º 1, alínea f), mas carregar pixels de anúncios ou definir identificadores para visitantes da UE exige em regra consentimento, e se aplicam as regras da ePrivacy ao acesso ao dispositivo.
Um encurtador hospedado nos EUA viola o RGPD?
Não automaticamente. As transferências para os EUA são lícitas com um mecanismo válido, como Cláusulas Contratuais-Tipo mais uma avaliação de transferência, ou uma certificação do Data Privacy Framework. Acrescentam burocracia e risco jurídico que uma ferramenta hospedada na UE não tem.
O que deve conter o DPA de um encurtador?
Tudo o que o artigo 28.º, n.º 3, enumera: instruções documentadas, confidencialidade, segurança, regras para subcontratantes ulteriores, ajuda com pedidos de titulares dos dados, ajuda com AIPD e violações, apagamento ou devolução no fim e direitos de auditoria.
Como apago os dados de cliques de uma pessoa num encurtador?
Pergunte ao fornecedor como as linhas de cliques são identificadas e apagadas. Os registros de cliques raramente contêm um nome, por isso o apagamento costuma significar apagar por IP, link ou intervalo de tempo. Se o fornecedor só consegue tratar isto através de um pedido de suporte, obtenha por escrito o prazo de resposta.
Experimente Elido
Cole uma URL, obtenha um link curto
Sem cadastro. O link vive 30 dias. Cadastre-se para mantê-lo para sempre.
Sem registro. Crie uma conta grátis e obtenha 50 links por mês.