LGPD e consentimento

Desde a 2.12, o plugin segue um princípio simples: o que a pessoa envia sobe sempre; o banner governa só o navegador.

A LGPD não é uma lei de cookies — é uma lei de dado pessoal, e cada dado tem a sua base legal. O plugin trata cada um do jeito certo:

Dado	Base legal	O plugin faz
Formulário enviado (nome, e-mail, telefone, campos) + origem (UTM, referrer, identificadores de clique de anúncio)	execução de contrato / interesse legítimo	Sobe pro CRM sempre, com click IDs. Nenhuma escolha de cookie apaga isso.
O que a pessoa digitou e não enviou	interesse legítimo com aviso	Sobe como lead parcial (`<form>:parcial`) — só depois do aviso na tela, nunca pra Meta nem GA4
Pixel da Meta, Clarity, cookies de anúncio	consentimento	Só com o nível Tudo no banner
Google Analytics 4	consentimento (Consent Mode v2)	Nível Só medição ou Tudo
A escolha da pessoa no banner	obrigação de prova (art. 8 §2)	Registrada sem dado pessoal (nível, versão do texto, IP truncado)

Cookie de consentimento não é descadastro: quem não quer mais receber comunicação faz isso no CRM. São duas coisas diferentes.

Vem embutido no plugin e liga sozinho. Em Configurações → app.smart CRM → LGPD — banner de cookies você escolhe o modo:

Modo	Como funciona	Quem assume
Informativo (padrão)	Cookies já ativos. O banner avisa, com Entendi em destaque e Preferências como link. Quem recusa, recusa dali em diante.	a agência
Rígido	Aceitar e Apenas essenciais lado a lado. Pixel e Clarity só depois do aceite; pré-coleta só de quem aceitou.	pra jurídico próprio ou setor regulado
Sem banner	Nenhum aviso; tudo carrega. O plugin grava quem ligou e quando.	o cliente

Nas Preferências há três níveis: Tudo, Só medição e Só essenciais. Sem caixa pré-marcada, sem bloquear a página, sem “rolar = aceitar” — os três pontos que a ANPD nomeia. Recusou? Os cookies _fbp, _fbc e _clck são apagados e o banner só volta depois do prazo configurado (padrão 180 dias).

Já tem o seu banner (Complianz, CookieYes…)? Desmarque Usar o banner de cookies do app.smart. Aí o seu banner precisa avisar o plugin:

window.smartConsent(true);        // tudo
window.smartConsent('analytics'); // só medição
window.smartConsent(false);       // só essenciais

Sem aviso nenhum, o plugin considera tudo (o mesmo que o modo informativo).

Aviso no formulário

Opção “Pré-marcado (o cliente assume)” — em LGPD — banner de cookies. Ligada, o aviso vira uma caixa já marcada e obrigatória, e as Preferências do banner mostram caixas já marcadas em vez de botões. Vem desligada: caixa pré-marcada é o único formato que a ANPD nomeia como consentimento inválido, e o padrão (aviso + botões) se sustenta como interesse legítimo. Quem liga assume — o plugin registra quem ligou e quando.

Ao tocar no primeiro campo de um formulário com e-mail ou telefone, aparece:

Ao preencher, seus dados começam a ser enviados para seusite.com.br. Política de Privacidade

Texto editável em Captura e proteção → Aviso no formulário ({site} vira o seu domínio). É aviso, não caixa: uma caixa pré-marcada seria consentimento inválido; o aviso é transparência, e transparência é o que sustenta a pré-coleta.

Pré-coleta (digitou = enviando)

Com Pré-coleta ligada, o que a pessoa já digitou sobe pro CRM assim que houver e-mail ou telefone — todos os campos, com um intervalo de 1,5 s depois que ela para de digitar. No CRM chega como <form>:parcial, marcado como parcial: cria ou enriquece o contato, não conta como conversão e nunca vai pra Meta nem pro GA4. Quando a pessoa envia de verdade, a conversão substitui o parcial.

Campos sensíveis (saúde, financeiro) ficam de fora até o envio final — marque com a classe smart2-sensitive ou o atributo data-smart-sensitive:

<div class="smart2-sensitive">
  <label>Tem alguma condição de saúde que devemos saber?</label>
  <textarea name="condicao_saude"></textarea>
</div>

Ali o aviso não basta: dado sensível exige consentimento específico no próprio formulário — isso é do seu formulário, não do plugin.

Formulário em etapas

Botão de avançar com data-smart-step="nome-da-etapa" vira um envio da etapa (é um ato deliberado da pessoa). O CRM recebe cada etapa e completa o contato; a Meta só recebe a etapa marcada como conversão na seção Eventos que este site envia.

O campo de consentimento do formulário

Se o seu formulário tem um checkbox de consentimento (padrão lgpd_consent, configurável em Campo que informa consentimento), marcado ele vale como nível Tudo: vai pro CRM como marketing_consent e libera o pixel. Ele nunca barra o envio — antes da 2.12 a opção “Consentimento LGPD” descartava o lead quando a caixa não estava marcada; isso saiu.

O que fica com você

O teste de interesse legítimo (LIA): uma página dizendo o que coleta, pra quê, o que a pessoa ganha e como se opõe. Sem ele, o modo informativo não se sustenta numa fiscalização.
A política de privacidade apontada no plugin (ou a página de privacidade do WordPress).
Consentimento específico em formulário com dado sensível.
Se usar o modo Sem banner: a decisão é sua, e o plugin guarda quem ligou.