652 Dias para Contar, Quatro para Reverter: A Semana em que o Consentimento Padrão Ficou sem Espaço

Em 18 de setembro de 2024, a HubSpot alterou seus Product Specific Terms para autorizar cópias dos dados de enriquecimento de clientes para dentro de um conjunto de dados comercial. Os clientes foram avisados em 1 de julho de 2026. A distância entre essas duas datas é de 652 dias, número que Clark Barron, fundador da firma de inteligência de ameaças em GTM Blackout, batizou de “The 652-Day Gap” (MarTech.org, 7 de julho de 2026).

A correção veio mais rápido do que o aviso jamais veio: quatro dias. Duncan Lennox, Chief Product and Technology Officer da HubSpot, publicou “We Got This Wrong, and We Are Fixing It” em 5 de julho de 2026 e reverteu o opt-in automático. Lida com atenção, a reversão retrata a implementação, não a ambição. “Ainda acreditamos que existe uma forma melhor e mais eficaz de prospectar do que o status quo”, escreveu Lennox. “Mas temos que conquistar a sua confiança enquanto a construímos juntos.” O Contact Discovery segue agendado para 4 de agosto de 2026.

Esse é o formato do problema. Os dados operacionais que seu time produz apenas por usar um produto são reivindicados pelo produto, e o aviso chega muito depois dos termos, quando chega.

A frase que foi apagada

Durante 2025, um documento de ajuda da HubSpot que dizia “HubSpot won’t share the data listed above with other accounts” foi removido sem explicação. A leitura de Barron é direta: “Eles não apenas deixaram de contar. Contaram o oposto e depois removeram a frase.”

Os dados agregados não eram marginais. Incluíam dados de contato comercial, informações de empresa, dados de engajamento de e-mail e dados de rastreamento. A superfície de controle que a HubSpot oferecia em torno disso era desequilibrada. Cinco toggles de enriquecimento governavam o que um cliente recebia do conjunto compartilhado. Zero governavam o que um cliente contribuía para ele (Barron, Blackout). Você conseguia ajustar a entrada. Faltava interruptor para a saída.

Essa assimetria é o teste que vale guardar. Para cada produto SaaS que seu time usa, você pode fazer três perguntas com data: em que data os termos mudaram, em que data você foi avisado e qual toggle governa o que você contribui. A HubSpot tinha cinco respostas para a pergunta da entrada e nenhuma para a pergunta da contribuição.

A direção estava clara o bastante para o executivo de um concorrente dizer em público. Channing Ferrer, CRO da Brevo e ex-executivo da HubSpot, escreveu: “Usar os dados de uma empresa para ajudar um concorrente é insano. Decepcionado com essa decisão da HubSpot.”

Já escrevemos sobre o custo reputacional de não divulgar conteúdo gerado por IA. Este é o dever vizinho e um dever distinto: a posse dos dados operacionais que um cliente contribui simplesmente por usar um produto. Outra obrigação, e agora um conjunto de prazos.

Dois reguladores anexaram datas

Enquanto a história da HubSpot é sobre o que um fornecedor pega, dois reguladores europeus se moveram sobre o que a sua própria stack de marketing faz por padrão: observa as pessoas lendo.

A CNIL, da França, adotou uma Recomendação sobre pixels de rastreamento de e-mail em 12 de março de 2026, publicada em 14 de abril de 2026. O prazo prático para informar os destinatários existentes e dar a eles uma chance real de se opor é 14 de julho de 2026. O Garante, da Itália, emitiu a Provisão nº 284, adotada em 17 de abril de 2026 e publicada na Gazzetta Ufficiale em 29 de abril de 2026, abrindo uma janela de adaptação de seis meses que se encerra em 28 de outubro de 2026.

O detalhe que a maioria dos times de marketing erra é a base legal. Não é o GDPR. É o Artigo 5(3) da Diretiva ePrivacy, que rege o acesso a informações armazenadas no equipamento terminal de uma pessoa. Um pixel de rastreamento escreve e lê no dispositivo do destinatário, e é essa ação que aciona a regra. As Diretrizes 2/2023 do EDPB são o pano de fundo interpretativo. O escopo aqui é França e Itália especificamente, não um mandato válido para toda a União Europeia.

O profissional que lê isso com mais clareza é Arjen Segers, da ValueGravity, consultor de martech sem formação jurídica, então trate os pontos dele como interpretação operacional e não como aconselhamento jurídico. Três deles pesam. “Consentir em receber um e-mail não é automaticamente consentir em ser rastreado dentro dele.” “E-mails transacionais não estão automaticamente isentos.” “A garantia de um ESP não é um registro de consentimento.” As fontes omitem valores de multa, e inventar um seria desonesto.

Isso vai muito além do relatório de e-mail, porque os pixels de rastreamento estão ligados por padrão em HubSpot, Marketo, Salesforce Marketing Cloud, Braze, Klaviyo e Mailchimp. Segers traça a linha pelo raio de impacto. “Se as aberturas ficam apenas em um relatório de e-mail, a correção pode ser simples. Se as aberturas alimentam scoring, roteamento e movimento de ciclo de vida, você tem um problema de revenue operations.” Taxas de abertura que dirigem lead scoring, roteamento e estágio de ciclo de vida são estruturais. Desligue o pixel e a matemática do seu funil muda. Uma ferramenta que escreve o próprio comportamento de consentimento é a mesma falha uma camada abaixo.

A Meta lançou o mesmo padrão para rostos

Em 7 de julho de 2026, a Meta lançou o Muse Image. Qualquer usuário pode @-mencionar qualquer conta pública do Instagram como “referência criativa” e gerar imagens que incorporam a aparência daquela pessoa. Vem habilitado por padrão, e a pessoa retratada não é notificada. A própria página de ajuda da Meta afirma: “You will not be notified about content created using AI features at Meta” (Digital Trends, 7 de julho de 2026).

Optar por sair interrompe gerações futuras. O passado permanece: “quaisquer imagens já criadas não serão excluídas.” As saídas carregam a marca d’água invisível “Content Seal” da Meta, que verifica que a imagem foi feita por IA e deixa a pessoa retratada sem nenhum controle sobre ela. A reportagem não informa o escopo geográfico da Meta para o recurso, então não vou afirmar onde ele se aplica.

Mesmo mecanismo da HubSpot, ativo diferente. O padrão está configurado para extrair e o aviso está ausente. Optar por sair só alcança o futuro, enquanto o passado segue reivindicado.

O artefato auditável

O consentimento por padrão fica sem espaço no momento em que alguém consegue produzir um registro e você não. O artefato que sobrevive a uma auditoria é um livro-razão por fornecedor.

Faça isto agora. Liste todo produto SaaS que toca dados de cliente ou de prospect. Para cada linha, preencha três colunas: a data em que os termos mudaram pela última vez, a data em que você foi notificado e o toggle que governa o que você contribui para qualquer conjunto de dados compartilhado ou comercial. Onde a terceira coluna estiver em branco, você tem uma exposição no formato HubSpot. Controles para o que você recebe, nada para o que você entrega.

Depois, puxe sua plataforma de e-mail em separado. Confirme se os pixels de rastreamento estão ligados por padrão. Nas seis plataformas citadas acima, estão. Rastreie para onde as aberturas vão. Se param em um relatório, o 14 de julho da França e o 28 de outubro da Itália são uma tarefa de cópia e consentimento. Se alimentam scoring, roteamento ou estágio de ciclo de vida, são um projeto de revenue operations, e o relógio começou quando os reguladores publicaram.

Os times que ficam longe de problemas nos próximos dois anos compartilham uma capacidade. Sob demanda e por fornecedor, conseguem responder com o que seus clientes concordaram e quando. Monte o livro-razão que permite responder.

Fontes

MarTech.org. “The HubSpot controversy asks why customers pay to improve AI products.” Julho de 2026.
ValueGravity. “Email tracking pixel consent: how to.” Julho de 2026.
Digital Trends. “Meta’s new AI can generate images of you from your Instagram, and you’re opted in.” Julho de 2026.

A Victorino ajuda times de marketing e receita a montar o livro-razão de consentimento por fornecedor que sobrevive a uma auditoria: contato@victorino.com.br | www.victorino.com.br