Cada conexão ao Wi-Fi do seu estabelecimento via login social gera um pacote de dados: nome, e-mail, telefone, às vezes gênero e faixa etária. A coleta de dados no login social Wi-Fi é, hoje, o principal canal de first-party data para PDVs que precisam identificar, reconhecer e reativar clientes. Restaurantes, hotéis, academias, clínicas, lojas: qualquer negócio que ofereça internet ao visitante tem uma oportunidade que a maioria ignora ou subutiliza.
Só que o cenário de 2026 não é o mesmo de dois anos atrás. O Facebook entrega menos dados do que entregava (e os usuários estão migrando pro Google). A randomização de MAC tornou o rastreamento passivo inútil. O WhatsApp OTP apareceu como método de login que identifica e já vira canal de remarketing. E o escândalo do Wi-Fi Livre SP mostrou, em tempo real, o custo de ignorar a LGPD. Se a sua operação de Wi-Fi ainda funciona como funcionava antes, está capturando menos e arriscando mais.
Veja mais conteúdos como esse em nosso canal do YouTube!
O que cada método de login captura no captive portal
O captive portal é a tela que aparece quando alguém tenta se conectar ao seu Wi-Fi. É ali que o visitante escolhe como se identificar: login social (Facebook, Google, Apple), formulário de e-mail, SMS ou, cada vez mais no Brasil, código OTP via WhatsApp. A tecnologia de hotspot Wi-Fi evoluiu para suportar múltiplos métodos de autenticação simultaneamente.
Cada método entrega campos diferentes. A diferença entre eles é enorme e define o que você consegue fazer com a base depois:
| Método de login | Dados capturados | Observação |
|---|---|---|
| Nome, e-mail, gênero, data de nascimento | API restringiu campos após Cambridge Analytica | |
| Nome, e-mail | Campos mínimos, sem demográficos | |
| Apple | Nome, e-mail (possivelmente mascarado) | “Hide My Email” pode gerar endereço descartável |
| Nome, e-mail, título profissional, foto | Forte para eventos B2B e coworkings | |
| Indisponível | API não fornece e-mail desde 2018 | |
| E-mail / formulário | Nome, e-mail, campos personalizados | Maior controle, menor conversão |
| SMS (OTP) | Número de telefone verificado | Alta verificação, custo por SMS |
| WhatsApp OTP | Número de telefone verificado | Alta conversão + canal de remarketing nativo |
Dois pontos que merecem atenção aqui.
Primeiro: o Instagram não serve como login social para Wi-Fi. A API do Instagram deixou de fornecer endereços de e-mail, o que a torna inútil para construção de CRM. Se o seu captive portal oferece “login via Instagram”, está capturando quase nada de valor.
Segundo: o botão do Facebook está desaparecendo. Marcas como Dell, Nike e Twitch já removeram o Facebook Login de seus sites. A preferência dos usuários migrou: o Google ultrapassou o Facebook como método de login social mais usado globalmente (38,9% contra 38,7%). No Brasil, a tendência vai além: o WhatsApp OTP combina verificação de telefone real, alta taxa de adoção e canal direto de comunicação. É a evolução natural do login social para captive portals brasileiros.
Saber o que é capturado, porém, é só metade da história. A outra metade é entender por que, em 2026, o login social deixou de ser conveniência e virou necessidade técnica.
Por que o login social virou obrigatório (e não opcional)
Até pouco tempo, muitos operadores de Wi-Fi confiavam no endereço MAC do celular como identificador de visitante. O MAC é um código único do dispositivo. Se o celular conectava ao Wi-Fi, o sistema registrava e acompanhava esse código, mesmo sem login.
Essa era acabou.
Desde o iOS 14 e o Android 10, os sistemas operacionais randomizam o endereço MAC por padrão. Em vez de usar o código real do dispositivo, o celular gera um código aleatório a cada rede (ou até a cada conexão). O impacto no analytics de Wi-Fi é direto:
- Contagens de visitantes únicos são infladas em 40% ou mais, porque o mesmo celular aparece como “novo visitante” a cada vez.
- Taxas de retorno caem para quase zero, já que o sistema não reconhece quem voltou.
- Tempos de permanência se fragmentam: uma visita de uma hora, cortada por uma rotação de MAC, aparece como duas visitas de 30 minutos.
Resultado prático: qualquer dashboard de Wi-Fi que dependa de MAC para analytics está mostrando dados inflados e imprecisos. Se o seu sistema ainda conta visitantes por MAC, você está tomando decisões com números errados.
É aqui que o login social entra como peça obrigatória. Quando o visitante se identifica no captive portal (via Google, WhatsApp, e-mail ou qualquer outro método), ele cria uma identidade real, vinculada a um contato verificável, independente do MAC aleatório. É o único jeito confiável de saber quantas pessoas acessam seu Wi-Fi, quantas voltam, e com que frequência.
Com o fim progressivo dos cookies de terceiros nos navegadores, os dados coletados no captive portal também se tornam um dos poucos canais viáveis de first-party data em ambientes físicos. O visitante compartilhou o dado conscientemente, no momento da conexão. Esse dado tem mais valor e menos risco regulatório do que qualquer rastreamento passivo — desde que você invista em segurança em redes Wi-Fi para proteger esses dados.
A randomização de MAC não matou o Wi-Fi marketing. Matou o Wi-Fi marketing passivo. O ativo, via login social no captive portal, ficou mais forte. Mas com o login social como único identificador confiável, a questão muda: o que a lei brasileira exige de quem opera esse captive portal?
LGPD e Marco Civil: a tensão legal do captive portal Wi-Fi
Operar um captive portal com login social no Brasil exige navegar duas leis ao mesmo tempo. E elas, em certos pontos, puxam em direções opostas.
A LGPD (Lei 13.709/2018) classifica MACs, IPs, timestamps de sessão e dados de formulário como dados pessoais. Exige base legal específica para o tratamento, aviso de privacidade em português, e dá ao titular o direito de pedir exclusão. O prazo de resposta ao titular (DSAR) é de 15 dias, metade do prazo do GDPR europeu. Nomeação de DPO é obrigatória para todo controlador, independente do porte.
O Marco Civil da Internet (Lei 12.965/2014) obriga provedores de conexão a reter logs (IP, MAC, timestamps) por, no mínimo, 12 meses.
A tensão: a LGPD prega minimização de dados e exclusão quando o titular pede. O Marco Civil obriga retenção de logs por um ano. Políticas de exclusão automática em 30 ou 90 dias, comuns em arquiteturas moldadas pelo GDPR, violam ativamente a legislação brasileira se aplicadas aos logs de conexão.
A solução é segregar ciclos de vida dos dados:
- Logs de conexão (MAC, IP, timestamp): retenção de 12 meses, conforme o Marco Civil. Não sujeitos à exclusão pelo titular nesse período.
- Dados de marketing (nome, e-mail, telefone, preferências): retidos enquanto houver base legal válida. Se o titular revoga o consentimento, exclusão imediata.
As penalidades são concretas: multa de 2% do faturamento anual do grupo no Brasil, limitada a R$ 50 milhões por infração, e possibilidade de suspensão do tratamento de dados.
A base legal muda conforme o setor
Para varejo, alimentação e academias, a base legal típica é o consentimento. O visitante marca checkbox no captive portal autorizando o uso dos dados para marketing. Essa checkbox precisa vir desmarcada por padrão e separada da aceitação dos termos de uso.
Para hotelaria, a base pode ser execução de contrato (Art. 7, inciso V da LGPD), já que o Wi-Fi é parte do serviço contratado na diária. Isso simplifica o fluxo no captive portal, mas não dispensa o aviso de privacidade.
O caso Wi-Fi Livre SP: o que acontece quando se ignora a lei
Em junho de 2026, o Intercept Brasil revelou que dados de usuários do programa Wi-Fi Livre SP foram usados para 8,1 milhões de disparos em massa via WhatsApp e SMS. O programa, contratado pela Prefeitura de São Paulo por R$ 108 milhões, coletava números de celular dos cidadãos que se conectavam à rede pública. Esses números foram repassados a uma empresa de marketing para campanhas de disparo, possivelmente durante o período eleitoral de 2024.
O Tribunal de Contas do Município identificou ao menos 20 irregularidades no edital, incluindo ausência de proteção de dados pessoais nos termos. A Polícia Civil abriu a Operação Wi-Fi.
O caso é o exemplo mais concreto de desvio de finalidade na coleta de dados via Wi-Fi social: dados coletados sob promessa de inclusão digital canalizados para marketing político. Para qualquer gestor que opere um hotspot com login social, o recado é direto: transparência sobre finalidade não é detalhe jurídico. É o que separa uma operação legítima de um escândalo.
Como transformar dados de login em receita no PDV
Compliance resolvido, a pergunta é prática: o que fazer com esses dados?
A coleta no captive portal gera três categorias de informação que, usadas juntas, viram motor de receita:
- Dados de contato (nome, e-mail, telefone): base para comunicação direta via e-mail, SMS ou WhatsApp.
- Dados de comportamento (frequência de visita, tempo de permanência, horários de pico): base para segmentação e automação.
- Dados demográficos (faixa etária, gênero, localização): base para campanhas segmentadas por perfil.
A diferença entre acumular dados e gerar receita está em como você usa as três categorias ao mesmo tempo. Alguns exemplos concretos:
Alimentação: Pesquisas do setor indicam que restaurantes que usam Wi-Fi marketing reportam até 40% de aumento na frequência de clientes e 43% de aumento no tempo de permanência. A mecânica é esta: o sistema identifica quem não volta há 30 dias e dispara uma oferta automatizada por e-mail ou WhatsApp. Quem recebe a mensagem tem motivo pra voltar. Quem não recebe, esquece. Se o seu restaurante ainda trata o Wi-Fi como custo de operação, esse dado diz o que está sendo desperdiçado.
Hotelaria: Hotéis como o Hilton usam dados do captive portal para ofertas de spa, upgrade de quarto e convites para eventos durante a estadia. No momento do check-in via Wi-Fi, o hóspede já está identificado. A comunicação personalizada começa em tempo real, integrada à jornada da hospedagem.
Academia: O login social identifica o aluno pelo telefone ou e-mail. Cruzando com frequência de uso do Wi-Fi, é possível detectar quem está desistindo (parou de conectar) e ativar uma sequência de retenção antes que o cancelamento aconteça. Se sua academia ainda depende de planilha pra acompanhar frequência, o Wi-Fi já tem essa informação pronta.
O ROI global é consistente. Segundo estudo divulgado pelo Facebook, negócios que usam Wi-Fi advertising veem, em média, 14% mais tráfego de pessoas e 15% de aumento em receita. E 59% dos consumidores fornecem dados pessoais em troca de Wi-Fi gratuito, segundo pesquisas do setor. O modelo “Wi-Fi grátis por dados” tem comprovação de resultado.
WhatsApp OTP: o login que já é remarketing
No Brasil, o WhatsApp OTP é o método de login com maior potencial de retorno. Quando o visitante digita o número de celular e recebe um código de verificação via WhatsApp, duas coisas acontecem ao mesmo tempo: você verifica a identidade (número real, não descartável) e cria um canal de comunicação direta.
A integração entre hotspot e WhatsApp empresarial permite que o lead capturado no Wi-Fi entre automaticamente em uma jornada de mensagens: boas-vindas, oferta do dia, pesquisa de satisfação, convite para programa de fidelidade. O ciclo funciona porque o ponto de captura e o canal de conversão usam o mesmo número.
Se o Wi-Fi do seu estabelecimento ainda oferece só login via Facebook ou formulário aberto, vale ver como o WhatsApp Empresarial fecha o ciclo que o Wi-Fi começa.
Mas antes de sair implementando, vale passar pelo filtro do que parece funcionar e não funciona.
5 erros que ainda travam a coleta de dados no Wi-Fi
1. Depender exclusivamente do Facebook Login. A API restringiu campos, a preferência do usuário migrou, e marcas globais estão removendo o botão. Se o seu captive portal oferece só Facebook como login social, a taxa de conversão está caindo mês a mês. Diversifique: ofereça pelo menos Google, e-mail e WhatsApp OTP.
2. Coletar dados sem plano de uso. Base cheia e campanha zero. Se você não tem automação configurada (sequência de boas-vindas, remarketing por ausência, oferta segmentada), os dados envelhecem e viram passivo jurídico em vez de ativo de marketing. Dado sem ação é responsabilidade, não vantagem.
3. Checkbox de consentimento pré-marcada. A LGPD exige consentimento ativo: o visitante marca, não você. Checkbox pré-marcada invalida o consentimento e expõe o negócio a penalidade. A caixa de consentimento para marketing deve ser separada da aceitação de termos de uso. São autorizações distintas.
4. Confiar no MAC como métrica de visitante. Se o seu painel mostra 500 visitantes únicos por dia e a loja recebe 200 pessoas, não é que o negócio estourou. São MACs aleatórios inflando o número. Qualquer métrica de “visitantes” ou “taxa de retorno” baseada exclusivamente em MAC, sem login social, está distorcida.
5. Tratar todos os dados com a mesma política de retenção. Logs de conexão (MAC, IP, timestamp) têm retenção obrigatória de 12 meses pelo Marco Civil. Dados de marketing seguem a LGPD e devem ser excluídos se o titular pedir. Misturar os dois ciclos de vida em uma única política é receita pra problema com a ANPD.
Se a operação de Wi-Fi do seu PDV esbarra em algum desses pontos, não é ajuste cosmético. É estrutura. O hotspot social resolve a captura desde o primeiro login, mas a estratégia de uso precisa estar montada junto, do opt-in à automação. Fale com nosso time se precisar de um diagnóstico da sua operação atual.
Perguntas frequentes
Quais dados são coletados quando faço login social em um Wi-Fi?
Depende do método. Facebook captura nome, e-mail, gênero e data de nascimento. Google fornece nome e e-mail. Apple pode ocultar o e-mail real com “Hide My Email”. WhatsApp OTP entrega o número de telefone verificado. Além dos dados do login, o sistema registra endereço MAC (randomizado), IP e horários de conexão.
É legal coletar dados no login social do Wi-Fi no Brasil?
Sim, desde que haja base legal (consentimento ou execução de contrato), aviso de privacidade em português com identificação do controlador e do DPO, e checkboxes de consentimento desmarcadas por padrão. Logs de conexão devem ser retidos por 12 meses (Marco Civil). O prazo para responder pedidos de exclusão do titular é de 15 dias.
O que é randomização de MAC e como afeta a coleta?
É uma funcionalidade do iOS 14+ e Android 10+ que substitui o endereço MAC real por um código aleatório. Protege a privacidade do usuário, mas infla contagens de visitantes em mais de 40% e destrói métricas de retorno. O login social resolve esse problema ao criar uma identidade baseada em contato verificado, não em hardware.
WhatsApp OTP é melhor que login via Facebook ou Google?
No contexto brasileiro, sim, em termos de resultado para o negócio. O WhatsApp OTP verifica o número real do visitante e cria um canal de remarketing nativo. Não depende de API de terceiros e tem altíssima taxa de adoção no Brasil. O Facebook perdeu relevância como login social, e o Google entrega menos dados demográficos.
O que aconteceu com o Wi-Fi Livre SP?
Em junho de 2026, o Intercept Brasil revelou que números de celular coletados dos usuários do Wi-Fi Livre SP foram usados para 8,1 milhões de disparos em massa via WhatsApp e SMS. O Tribunal de Contas identificou 20 irregularidades no edital, incluindo ausência de proteção de dados. A Polícia Civil abriu a Operação Wi-Fi para investigar.
Preciso de software específico para coletar dados no Wi-Fi?
Sim. Roteadores comuns não geram captive portal com login social, automação ou conformidade com a LGPD. Você precisa de uma plataforma de hotspot social que gerencie o captive portal, o fluxo de autenticação, o armazenamento dos dados e a integração com canais de remarketing como e-mail e WhatsApp.
