Você abriu o navegador pra descobrir o que escrever naquela tela que aparece antes do cliente conectar no Wi-Fi do seu estabelecimento. Pode ser um restaurante, uma academia, um hotel, um consultório. O cenário muda, a dúvida é a mesma: qual texto colocar ali pra não tomar multa da LGPD, não assustar o cliente e, de preferência, ainda capturar dados úteis pro seu negócio?
Abaixo você encontra um modelo de termo de consentimento de Wi-Fi completo, gratuito, comentado cláusula por cláusula. E antes que copie e cole sem ler o resto: o modelo é o começo. O que separa um termo que protege de verdade de um pedaço de texto decorativo são decisões que vão além do “juridiquês”. Vamos a elas.
Veja mais vídeos como esse em nosso canal do YouTube!
O que é o termo de consentimento de Wi-Fi e por que ele existe
Quando alguém se conecta à rede Wi-Fi do seu estabelecimento, dados pessoais são coletados automaticamente. Mesmo que você não peça nome ou e-mail, o roteador registra endereço MAC, IP, horário de conexão, duração da sessão e, em muitos casos, páginas acessadas. Sob a definição do art. 5º da LGPD, esses metadados já são dados pessoais, ainda que não identifiquem ninguém pelo nome.
Duas leis criam obrigações simultâneas aqui:
- LGPD (Lei 13.709/2018): exige base legal, finalidade clara, transparência e direitos do titular pra qualquer tratamento de dados pessoais. Multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
- Marco Civil da Internet (Lei 12.965/2014): obriga a guarda de registros de conexão por no mínimo 1 ano e registros de acesso a aplicações por 6 meses.
O termo de consentimento é o documento exibido no captive portal (aquela primeira tela que intercepta o navegador do usuário) que informa o que será coletado, por quê, e pede o aceite antes de liberar a navegação. Sem ele, qualquer dado capturado no Wi-Fi opera numa zona cinzenta legal. Até 2024, a ANPD aplicou 18 sanções administrativas. O volume ainda é baixo, mas a tendência é de endurecimento, e o STJ já reconheceu dano moral presumido por compartilhamento de dados sem consentimento.
Agora, ao modelo.
Modelo completo de termo de consentimento Wi-Fi
Este modelo foi desenhado para estabelecimentos comerciais (varejo, alimentação, hotelaria, saúde, academias, beleza, educação e similares). Adapte os campos entre colchetes [ ] para a realidade do seu negócio.
| TERMO DE USO E POLÍTICA DE PRIVACIDADE DA REDE WI-FI [NOME DO ESTABELECIMENTO] | |
|---|---|
| 1. Identificação do Controlador | [Nome empresarial], inscrito(a) no CNPJ sob nº [XX.XXX.XXX/XXXX-XX], com sede em [endereço completo], é o controlador dos dados pessoais tratados por meio desta rede Wi-Fi, nos termos da Lei 13.709/2018 (LGPD). |
| 2. Encarregado de Dados (DPO) | Dúvidas, solicitações de acesso, correção, exclusão ou portabilidade de dados podem ser direcionadas ao Encarregado de Dados Pessoais pelo e-mail [dpo@seudominio.com.br] ou pelo telefone [(__) ____-____]. |
| 3. Dados coletados | Dados cadastrais (fornecidos pelo usuário): nome, e-mail e/ou número de celular, conforme método de login escolhido.
Dados coletados automaticamente: endereço MAC do dispositivo, endereço IP atribuído, data e hora da conexão, duração da sessão, volume de dados trafegados. |
| 4. Finalidades do tratamento | a) Autenticação e controle de acesso à rede Wi-Fi. b) Cumprimento de obrigação legal de guarda de registros de conexão (art. 13 da Lei 12.965/2014). c) Comunicação de ofertas, promoções e informações relevantes sobre o estabelecimento, mediante opt-in específico do usuário. d) Análise agregada e anonimizada de frequência de visita e comportamento de uso para melhoria dos serviços. |
| 5. Base legal | a) e b): Cumprimento de obrigação legal (art. 7º, II, LGPD) e execução de contrato (art. 7º, V, LGPD). c): Consentimento livre, informado e inequívoco (art. 7º, I, LGPD), mediante opt-in destacado na tela de login. d): Legítimo interesse do controlador (art. 7º, IX, LGPD), limitado a dados anonimizados. |
| 6. Compartilhamento | Os dados pessoais poderão ser compartilhados com: (a) autoridades judiciais ou policiais, mediante requisição formal fundamentada, conforme legislação vigente; (b) operadores de tecnologia contratados para viabilizar o serviço de Wi-Fi, sob contrato de confidencialidade e cláusulas de proteção de dados.
Os dados NÃO serão vendidos ou compartilhados com terceiros para fins comerciais alheios ao estabelecimento. |
| 7. Prazo de retenção | Registros de conexão (IP, MAC, horário): 1 (um) ano, conforme art. 13 da Lei 12.965/2014. Dados cadastrais (nome, e-mail, celular): enquanto houver relacionamento ativo com o usuário ou até solicitação de exclusão, respeitado o prazo mínimo legal. Dados anonimizados para fins estatísticos: sem prazo definido, por não constituírem dados pessoais. |
| 8. Direitos do titular | Nos termos do art. 18 da LGPD, o usuário pode solicitar a qualquer momento: confirmação de tratamento; acesso aos dados; correção de dados incompletos ou inexatos; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre compartilhamento; revogação do consentimento. Solicitações devem ser enviadas ao Encarregado de Dados indicado no item 2. |
| 9. Obrigações do usuário | É vedado o uso da rede para: atividades ilícitas; acesso ou distribuição de conteúdo ilegal; tentativas de invasão a sistemas ou dispositivos de terceiros; envio de spam ou malware; consumo excessivo de banda que comprometa a experiência dos demais usuários. |
| 10. Isenção de responsabilidade | O [NOME DO ESTABELECIMENTO] não se responsabiliza por: perda de dados, vírus ou danos a dispositivos decorrentes do uso da rede; indisponibilidade temporária; conteúdo acessado ou transmitido pelo usuário. |
| 11. Aceite | Ao clicar em “Conectar”, o usuário declara ter lido e concordado integralmente com este Termo de Uso e Política de Privacidade. |
Esse modelo cobre os pontos que a maioria dos termos públicos disponíveis hoje ignora: prazo de retenção, contato do DPO, base legal específica por finalidade, e os direitos completos do art. 18. O termo da Cocari, por exemplo, um dos mais completos entre os publicados, cita base legal e DPO, mas não define prazo de retenção. O da UEFS não menciona sequer a LGPD.
Copiar o modelo é o primeiro passo. O segundo é entender o que cada cláusula protege, porque é aí que a maioria dos termos falha na prática.
Cláusula por cláusula: o que cada parte protege
Identificação do controlador e DPO (itens 1 e 2): parece burocrático, mas é o que a ANPD olha primeiro. Se o titular não sabe a quem reclamar, o termo inteiro perde validade operacional. No caso do INSS em 2024, a ausência de canal de comunicação com o titular foi uma das quatro infrações sancionadas.
Dados coletados (item 3): note a separação entre dados cadastrais (que o usuário fornece ativamente) e dados automáticos (que o roteador captura sozinho). A Informa Markets, em seu termo para eventos, admite inclusive rastreamento de dispositivos próximos ao ponto de acesso, mesmo sem conexão. Se seu sistema faz algo parecido, declare. Omissão aqui é o tipo de coisa que vira problema.
Finalidades e base legal (itens 4 e 5): essa é a parte que mais gera confusão. A LGPD não exige consentimento pra tudo. Guardar logs por obrigação do Marco Civil é obrigação legal (art. 7º, II). Liberar o acesso Wi-Fi que faz parte do serviço contratado (hotel, coworking) é execução de contrato (art. 7º, V). Consentimento explícito (art. 7º, I) só é obrigatório quando você quer mandar mensagens de marketing. A distinção importa porque, se você baseia tudo em consentimento e o usuário revoga, você perde até o direito de manter logs obrigatórios por lei.
Prazo de retenção (item 7): nenhum dos quatro principais termos públicos analisados neste artigo define prazo. Isso é uma falha. O conflito entre o mínimo de 1 ano do Marco Civil e o princípio de minimização da LGPD permanece sem pacificação pelo STF. A recomendação prática: mantenha o que a lei manda (1 ano para conexão, 6 meses para aplicações), aplique pseudonimização quando possível e informe o prazo no termo.
Direitos do titular (item 8): o art. 18 da LGPD lista nove direitos. A maioria dos termos de Wi-Fi ignora todos. Incluí-los no documento não é cortesia. É requisito legal.
Ter as cláusulas certas resolve a parte documental. Mas o texto no captive portal é só a camada visível. A decisão mais importante vem antes dele.
Consentimento nem sempre é a melhor base legal
A maioria dos donos de estabelecimento assume que precisa de consentimento pra tudo. Faz sentido intuitivo: o cliente aceita, pronto. Mas a LGPD é mais sofisticada que isso.
Consentimento, nos termos do art. 8º, precisa ser livre, informado, inequívoco e específico. Num hotspot público, onde a pessoa quer se conectar rápido e clica em qualquer coisa, é difícil argumentar que o aceite foi “livre” e “informado”. Especialistas em privacidade e DPOs atuantes no mercado brasileiro recomendam reduzir a dependência do consentimento clássico em cenários de Wi-Fi de convidados, justamente por causa dessa fragilidade.
Na prática, a base legal varia conforme o cenário:
| Cenário | Base legal recomendada | Por quê |
|---|---|---|
| Hotel (Wi-Fi incluído na diária) | Execução de contrato (art. 7º, V) | O acesso é parte do serviço contratado |
| Condomínio (Wi-Fi em áreas comuns) | Legítimo interesse (art. 7º, IX) | Autenticação para segurança patrimonial |
| Restaurante (Wi-Fi gratuito para clientes) | Legítimo interesse + consentimento para marketing | Acesso ao Wi-Fi é benefício; envio de promoções exige opt-in |
| Academia (Wi-Fi para alunos) | Execução de contrato + consentimento para marketing | Aluno já tem relação contratual; marketing é finalidade extra |
| Evento (Wi-Fi temporário) | Consentimento (art. 7º, I) | Relação é pontual, sem contrato prévio |
| Guarda de logs por 1 ano | Obrigação legal (art. 7º, II) | Marco Civil da Internet, art. 13 |
A escolha errada torna o tratamento ilícito mesmo com um termo sofisticado. Se você baseia o acesso ao Wi-Fi em consentimento e o cliente revoga (é direito dele), você fica sem base pra manter os logs que o Marco Civil exige.
O modelo acima já trata isso ao separar bases legais por finalidade. É uma decisão de arquitetura jurídica, não de texto.
Agora, mesmo com base legal correta e cláusulas completas, alguns erros operacionais tornam o termo inteiro inútil.
5 erros que invalidam seu termo na prática
1. Nenhum canal de contato do encarregado (DPO). O STJ reconheceu em 2025 dano moral presumido por compartilhamento de dados sem consentimento. Se o titular não consegue exercer seus direitos porque não há canal visível, o risco cresce. É o erro mais comum e o mais fácil de corrigir.
2. Texto longo demais, sem versão resumida na tela de login. Ninguém lê 15 parágrafos num celular antes de conectar no Wi-Fi do café. A boa prática é exibir um resumo claro na splash page (“Coletamos nome e e-mail para autenticação e comunicação de ofertas. Ao conectar, você concorda com nosso Termo de Uso completo.”) com link para o texto integral.
3. Cláusula genérica de compartilhamento “com terceiros”. A Informa Markets, por exemplo, admite compartilhamento com terceiros para fins comerciais sem especificar quem são esses terceiros. Sob a LGPD, “terceiros” sem especificação é insuficiente. Liste categorias: operadores de tecnologia, autoridades judiciais, parceiros de marketing (se for o caso, com consentimento).
4. Permitir navegação antes do aceite. Se o captive portal deixa o usuário navegar por 30 segundos “pra experimentar” e só depois pede o aceite, os dados daqueles 30 segundos foram coletados sem base legal. O portal precisa bloquear 100% do tráfego até o aceite.
5. Não definir prazo de retenção. Os quatro termos públicos analisados neste artigo (Cocari, Informa Markets, UEFS, Concer) omitem o prazo. Isso deixa o controlador exposto pelos dois lados: a LGPD manda eliminar após a finalidade; o Marco Civil manda guardar por até 1 ano. Sem prazo declarado, qualquer fiscal ou juiz interpreta contra você.
Esses erros são documentais. Mas o termo, por melhor que seja, só funciona se for exibido no lugar certo: o captive portal.
Como o termo funciona dentro do captive portal
O captive portal é o programa que intercepta toda requisição de navegação do dispositivo ao conectar na rede, redirecionando para uma página de autenticação. É ali que o termo de consentimento é exibido, o login acontece e os dados são capturados.
Pra que o processo seja juridicamente válido e comercialmente útil, três condições precisam existir — sustentadas por uma boa base de criptografia em redes Wi-Fi empresariais (e vale conferir tudo isso numa auditoria de segurança em redes Wi-Fi):
- Bloqueio real antes do aceite: nenhum pacote de dados passa até o usuário clicar em “Conectar” ou equivalente.
- Texto acessível na tela de login: resumo visível + link para o termo completo. Letras legíveis em celular (sem PDF que exige zoom).
- Registro do aceite: o sistema precisa gravar que aquele dispositivo (MAC), naquele horário, aceitou a versão X do termo. Sem esse registro, o “aceite” é palavra contra palavra.
Aqui entra uma questão prática que poucos termos de Wi-Fi abordam: o captive portal não é só mecanismo de compliance. É o único momento em que o cliente está parado, olhando pra tela do celular dentro do seu estabelecimento, disposto a trocar um dado por um benefício (o acesso à internet). É, literalmente, o ponto de captura de lead mais qualificado que existe no PDV.
Um restaurante que pede nome e celular no captive portal, com opt-in pra receber ofertas, sai dali com um contato direto do cliente. Não é lead frio de anúncio. É alguém que está fisicamente no estabelecimento naquele momento.
A diferença entre um captive portal que só exibe termo e um que transforma conexão em lead está na plataforma por trás. Soluções de Wi-Fi Marketing com hotspot social fazem isso nativamente: o login acontece via celular, e-mail ou rede social, o aceite é registrado com timestamp, e o contato entra numa base ativa pronta pra comunicação. Tudo dentro das regras que o termo define.
E quando esse contato capturado no Wi-Fi vira uma conversa automática no WhatsApp do estabelecimento, o ciclo fecha: Wi-Fi capturando, WhatsApp fechando.
Termo de Wi-Fi por segmento: o que muda na prática
O modelo acima é genérico por design. Mas na hora de adaptar, alguns setores exigem atenção extra:
Saúde (clínicas, hospitais, consultórios): se o Wi-Fi estiver em sala de espera e o login registrar presença do paciente, esse dado pode ser correlacionado com informação de saúde (dado sensível, art. 5º, II da LGPD). Exige consentimento específico e destacado. Inclua cláusula explícita declarando que os dados de conexão Wi-Fi não serão vinculados a prontuários ou informações clínicas.
Educação (escolas, cursos): menores de 18 anos precisam de consentimento do responsável legal. Se o captive portal aceita login de alunos menores, o termo precisa prever isso, e o ideal é que o aceite do responsável seja registrado na matrícula.
Hotelaria: como o Wi-Fi geralmente faz parte da diária, a base legal primária é execução de contrato, não consentimento. Isso simplifica o fluxo de login (pode ser apenas número do quarto + sobrenome) e reduz fricção.
Eventos temporários: a relação é pontual. O termo precisa ser autossuficiente: controlador identificado, prazo de retenção definido, canal de contato acessível após o evento. Muitos organizadores montam Wi-Fi pra três dias e esquecem que ficarão com dados pessoais por meses depois.
Se seu estabelecimento se encaixa em algum desses cenários, adapte as cláusulas 3, 4 e 5 do modelo. A estrutura geral permanece a mesma.
Cada setor tem particularidades que vão além do termo. Se quiser entender como o Wi-Fi Marketing funciona na prática em segmentos como academia, alimentação ou hotelaria, vale olhar como a solução se adapta ao fluxo de cada PDV.
Perguntas frequentes
Wi-Fi aberto, sem login, precisa de termo de consentimento?
Precisa de aviso de privacidade, no mínimo. Mesmo sem login, o roteador registra MAC, IP e horário, que são dados pessoais sob a LGPD. Se não há nenhuma coleta cadastral ativa e os logs são mantidos apenas por obrigação do Marco Civil, um aviso visível na splash page com link para a política de privacidade já atende. Se há qualquer coleta ativa (nome, e-mail, celular), o termo completo é obrigatório.
Qual a multa por não ter termo de consentimento no Wi-Fi?
A LGPD prevê multa de até 2% do faturamento bruto, limitada a R$ 50 milhões por infração. Na prática, as multas aplicadas até 2024 foram de R$ 14.400 no total. O risco maior hoje, para pequenos negócios, são ações individuais com pedido de dano moral. O STJ fixou precedente de R$ 15.000 por compartilhamento indevido de dados.
Posso usar o mesmo termo para todas as filiais da rede?
Sim, desde que o controlador (CNPJ) seja o mesmo. Se cada filial tem CNPJ diferente, o termo precisa identificar o controlador local. Para redes e franqueadoras, a solução mais prática é um termo-padrão com campos variáveis (nome da unidade, endereço, DPO local), mantido centralmente pela franqueadora.
Por quanto tempo devo guardar os dados coletados no Wi-Fi?
Registros de conexão (IP, MAC, horário): 1 ano, por exigência do Marco Civil (art. 13). Registros de acesso a aplicações: 6 meses (art. 15). Dados cadastrais para marketing: enquanto o cliente mantiver o opt-in ativo. Por precaução processual, considerando o prazo prescricional de 5 anos para ações de reparação, muitos DPOs recomendam manter logs pseudonimizados por esse período.
Consentimento coletado no Wi-Fi vale pro envio de WhatsApp?
Somente se o opt-in para comunicação via WhatsApp estiver explícito no momento do aceite. Um consentimento genérico (“aceito receber comunicações”) pode não cobrir um canal específico. A boa prática é um checkbox separado: “Aceito receber ofertas e novidades por WhatsApp no número informado.” Isso protege juridicamente e melhora a taxa de abertura, porque o cliente sabe o que esperar.
É possível automatizar a exibição do termo no roteador?
Sim. Plataformas de hotspot social configuram o captive portal diretamente no roteador ou access point, exibindo o termo de forma automática a cada nova conexão. O aceite é registrado com timestamp e vinculado ao dispositivo. Soluções como a da DT Network já fazem isso nativamente, com suporte a login social, captura de lead e integração com comunicação por WhatsApp.
