Privacidade

Você está lendo uma política de privacidade. Por vontade própria. Alguma coisa deu errado na sua vida e eu fico encantado de fazer parte disso.

Aqui vai a versão curta. Eu conto as visualizações de página e, nos posts, até onde você leu. Uma amostra das visitas é gravada como replay, com tudo o que você digita mascarado. Uso um cookie opcional para reconhecer visitas repetidas e um cookie essencial para lembrar se você quis o primeiro. Ninguém guarda o seu endereço IP completo. Se você assina a newsletter, esse e-mail fica em outro sistema, sem nenhuma chave em comum, então não tenho como ligá-lo a nada do que você leu.

A versão longa está abaixo, porque o GDPR do Reino Unido insiste. Você pode desligar tudo isso no fim desta página.

Quem sou eu

Sou o Will Hackett. Toco este site sozinho. Não há empresa por trás, nem equipe de analytics, nem departamento de growth. Só eu, um nome de domínio e um interesse desproporcional no que as pessoas clicam.

Para dúvidas ou pedidos sobre privacidade, escreva para gdpr@willhackett.com. A mensagem chega direto para mim. Para qualquer outro assunto, estou no LinkedIn.

Eu só quero saber quais posts funcionam

Este site não tem anúncios, nem links de afiliado, nem pixels trabalhando para outra pessoa. Eu escrevo e fico curioso para saber se funciona.

Para provar como isso é banal, aqui vão os resultados. Agentic coding workforce é o meu post mais lido do ano. Just use Postgres é o segundo. O meu menos lido é um 404, porque eu o apaguei. Era um acordo pré-relacionamento escrito como um esquete de comédia sobre como os encontros pela internet tinham ficado deprimentes, de 2014, de quando eu não tinha filtro. Ele ainda está boiando por aí na web, se você tiver determinação suficiente.

Ninguém me paga por nenhum desses dados. Eu só gosto de saber.

Uma declaração, porque uma política de privacidade que exagera a própria pureza não vale a leitura. Eu cofundei uma empresa chamada flowstate e escrevo sobre ela aqui com bastante frequência. Alguns desses posts são, no sentido honesto da palavra, um anúncio.

O que isso não muda: ninguém na flowstate tem acesso ao analytics deste site, os dois rodam em infraestruturas totalmente separadas e nenhum leitor jamais foi entregue como lead. Saber quais posts funcionam realmente me deixa melhor em escrever sobre a minha própria empresa. Isso é um motivo, e agora você sabe dele.

O que eu coleto

Quando você lê uma página, eu registro:

• a página que você viu, o título dela e tudo o que vem na URL depois do ponto de interrogação
• o site ou o buscador que enviou você
• o tamanho da sua tela, o idioma do navegador e o país aproximado
• um ID aleatório do cookie visitor, se você disse sim a ele
• em um post, até onde você desceu, em quartos, e por quanto tempo esteve lendo ativamente, em faixas de 30 segundos a 10 minutos

Se você assina a newsletter, eu coleto o seu e-mail. Mais nada. Nem o seu nome, nem o seu tipo sanguíneo, nem o nome de solteira da sua mãe.

O cookie

Um cookie, chamado visitor. Ele guarda um ID aleatório que parece com 0f9c1a2b-3d4e-4f50-8a6b-7c8d9e0f1a2b. Sozinho ele não significa nada e não é derivado de nada sobre você. O seu navegador o inventa.

A única função dele é transformar “300 pessoas leram isto” em “300 pessoas leram isto, e 40 delas tinham lido outra coisa minha antes”. Essa é a funcionalidade inteira.

O banner diz que ele é fininho feito uma bolacha. É a única referência ao Monty Python neste documento, e se você conhece o esquete vai entender por que parei em uma.

Existe um segundo cookie, visitor-consent, que lembra a sua resposta para eu perguntar só uma vez. Sim, eu preciso de um cookie para lembrar que você não quis um cookie. Eu não desenhei esse sistema e estou tão encantado com ele quanto você.

Os dois são gravados em willhackett.com sem o atributo domain, então nunca são enviados a nenhum subdomínio. Nenhum dos dois é compartilhado com ninguém.

Ignore o aviso por 30 segundos e ele responde não por você, e avisa que fez isso. Silêncio nunca deveria valer como sim.

Replays

Uma amostra dos carregamentos de página, hoje cerca de metade, é gravada como replay de sessão: como a página estava, até onde você rolou, no que clicou e por onde o ponteiro passou, por até cinco minutos. Uma contagem me diz que um post foi aberto. Um replay me mostra onde as pessoas param de lê-lo.

Tudo o que você digita é mascarado antes de sair do seu navegador, então o campo da newsletter aparece como uma fileira de asteriscos. A gravação vai para o mesmo servidor Umami das visualizações de página, não guarda nada no seu dispositivo e é apagada depois de 30 dias. Ela não consegue começar sem o rastreador de visualizações, então o interruptor no fim desta página também a desliga.

Banner de cookies pertence ao navegador

Se o seu navegador envia Do Not Track ou Global Privacy Control, você não recebe aviso nenhum e nenhum cookie. Nenhum dos dois sinais me obriga legalmente no Reino Unido, e o padrão Do Not Track foi abandonado em 2018, mas os dois são um não claro o bastante para que discutir fosse falta de educação.

Anos atrás eu defendi à UE que esse problema todo se resolveria levando o consentimento para o navegador, onde ele claramente deve ficar. Eu gostaria de informar que deu certo.

O Regulamento ePrivacy foi proposto em 2017. A Comissão anunciou em fevereiro de 2025 que desistia, com o argumento de que ninguém esperava que os colegisladores chegassem a um acordo, e a retirada formal foi publicada em outubro daquele ano. A Califórnia então aprovou um único projeto de lei e, a partir de janeiro de 2027, todo navegador que atende californianos terá de oferecer essa configuração de qualquer jeito. Oito anos de negociação, superados por um legislativo estadual e uma caixa de seleção.

Coisas que eu não faço e não tenho vontade de começar a fazer

• Guardar o seu endereço IP completo. Ele obviamente passa pela CDN e pelo servidor, porque senão a página não chegaria até você, e é usado de passagem para descobrir um país aproximado. O Umami nunca o registra. O que a Bunny guarda nos logs é truncado, com o último número removido, então 122.1.1.20 vira 122.1.1.0. Processado em trânsito, não anotado.
• Entregar você a uma empresa de analytics. Eu uso o Umami, que é open source, em uma infraestrutura que eu alugo e controlo. Nada de Google, nada de Meta, nada de redes de anúncios, nada de corretores de dados.
• Ligar a newsletter ao analytics. Eles vivem em sistemas separados, sem chave em comum. Assinar não dispara nenhum evento de analytics, então nada sobre o seu e-mail chega ao Umami. Não vou dizer que é impossível, porque não é. Eu poderia criar essa ligação amanhã. Só que teria de fazê-la no seu navegador, e você veria isso na aba de rede em segundos. Este site não consegue trair você em silêncio, que é a única garantia que vale muita coisa.
• Seguir você para qualquer outro lugar. O cookie é inútil em qualquer outro site, e eu não tenho como ver o que você faz fora deste.

Confira tudo isso você mesmo

Não acredite na minha palavra. Abra o DevTools e olhe. Esta é a única afirmação de privacidade da internet que você consegue auditar em uns 90 segundos.

• Application, depois Cookies. Você vai encontrar visitor e visitor-consent, e mais nada meu.
• Network, filtrando por ua.willhackett.com. Esse é o Umami. Leia o payload da requisição. É a URL e o título da página, o referrer, um tamanho de tela, um idioma e o ID aleatório. Em um post você também vai ver eventos scroll, dwell e read conforme desce pela página. Em uma visita amostrada também há posts para /api/record. Esse é o replay.
• Olhe o cabeçalho de cookie dessas requisições. Não existe nenhum. O ID é lido pelo JavaScript e enviado no corpo, e é exatamente assim que ele fica restrito a este domínio.
• Depois o formulário da newsletter. Ele envia para newsletter.willhackett.com, que nunca recebe nenhum dos dois cookies.

A base legal, para os advogados

Contar visualizações de página não identifica ninguém, então se apoia na exceção para fins estatísticos que o PECR ganhou em 5 de fevereiro de 2026. Ela dispensa consentimento, mas só vale se eu der a você uma forma de se opor. O interruptor no fim desta página é essa forma.

Os eventos de leitura ainda são contagens, então ficam sob a mesma exceção. Os replays não. A gravação de uma visita não é uma estatística, então ela se apoia no meu legítimo interesse em ver como uma página é lida, ponderado contra uma gravação que não guarda nada no seu dispositivo, mascara tudo o que você digita e some em 30 dias. O mesmo interruptor é a forma de se opor.

O ID visitor é diferente. Uma sequência aleatória que persiste entre visitas conta como dado pessoal pelo GDPR do Reino Unido, ainda que eu não faça ideia de quem você é, e guardá-la exige permissão prévia pelo regulamento 6 do PECR. Por isso ela se apoia no seu consentimento, com base no artigo 6(1)(a) do GDPR do Reino Unido.

Eu mostro o aviso no Reino Unido e no EEE, onde perguntar antes é a lei. No resto do mundo o cookie é gravado sem ele, e ali a base é o meu legítimo interesse em saber se alguém volta, que é tão leve quanto um legítimo interesse consegue ser. De qualquer forma, o interruptor abaixo o desliga, e uma recusa vale para sempre.

Uma coisa que prefiro dizer a deixar você descobrir: o endereço de página que eu registro inclui tudo o que vem depois do ponto de interrogação. Na maioria das vezes isso é nada. Às vezes eu mando para uma pessoa um link com um parâmetro, e nesses casos consigo saber que aquele link específico foi aberto. Não é uma capacidade geral e eu não a uso para montar o retrato de ninguém, mas significa que eu não deveria afirmar que toda URL naquele banco de dados é anônima.

As assinaturas da newsletter se apoiam na mesma base de consentimento, mais o PECR. Você dá o consentimento digitando o seu e-mail e clicando no link de confirmação. Double opt-in clássico.

Deveria existir uma exceção para isto. Nada elaborado. Algo na linha de: se o seu site não tem publicidade, nem terceiros, nem absolutamente nada para vender, você pode anotar o que coleta e seguir com a vida. Não existe. O regime que rege uma rede de anúncios com departamento jurídico também rege a mim, sozinho, descobrindo se um número aleatório no seu navegador justifica quatro parágrafos de lei.

Justifica, pelo visto. Então cá estamos, citando o regulamento 6 um para o outro. Tudo aplicado de boa-fé por um homem cujo post menos lido é um acordo pré-nupcial de comédia que ele teve de apagar.

Quem mais toca nos seus dados

A Resend envia a newsletter e atua como operadora dos meus dados, sob um contrato adequado. Eu uso a região da Irlanda, então o e-mail sai da Irlanda. Sendo direto com você sobre o resto: a Resend é uma empresa americana e guarda dados da conta, metadados de e-mail e logs operacionais nos Estados Unidos, qualquer que seja a região de envio escolhida. Uma versão anterior desta página dizia que o seu e-mail ficava na UE. Estava errado, e esta é a versão corrigida.

A Bunny serve o site e responde à consulta de país que decide se você vê o aviso de cookies. Os logs dela guardam o IP truncado descrito acima e mais nada sobre você.

A Vercel roda o servidor do Umami e a Neon hospeda o banco de dados por trás dele. Os dois estão configurados em regiões da UE, então os dados de visualização de página ficam na UE. Os registros de conta, suporte e operação deles podem estar em outro lugar, porque é assim que essas plataformas funcionam e eu não posso fingir o contrário. Eu não sou dono do hardware. Sou dono do software, do banco de dados e de cada linha dentro dele.

Esses quatro são tudo. Ninguém mais recebe nada, nem a empresa que eu cofundei.

Por quanto tempo eu guardo

• visitor expira 12 meses depois da sua última visita, ou no segundo em que você aperta o interruptor abaixo.
• visitor-consent dura 12 meses para um sim e seis meses para um não, de modo que uma recusa é respeitada sem que eu a esqueça uma semana depois.
• O ID aleatório é removido dos registros de visualização de página depois de 6 meses. Os registros em si ficam, porque a essa altura são só contagens.
• Os replays são apagados depois de 30 dias.
• O seu e-mail fica até você cancelar a assinatura. Depois sai imediatamente, embora possa permanecer nos logs da Resend até a janela de retenção deles se fechar.
• Eu não mantenho lista de supressão depois de um cancelamento, nem backups que poderiam ressuscitar você em silêncio.

Os seus direitos

Dependendo das circunstâncias, o GDPR do Reino Unido dá a você o direito de pedir que eu:

• diga o que tenho sobre você
• corrija, se estiver errado
• apague
• pare ou restrinja o que estou fazendo com isso
• entregue em um formato portável
• respeite a retirada do consentimento, a qualquer momento, por qualquer motivo

Na prática, o único dado que eu tenho sobre alguém é o e-mail de uma newsletter, então quase toda essa lista se resolve na mesma resposta curta. Veja abaixo.

Retirar é de propósito mais fácil do que conceder. O interruptor abaixo leva um clique, e toda newsletter traz um link de cancelamento com um clique.

Se você acha que estou lidando mal com isto, pode me denunciar ao Information Commissioner’s Office em ico.org.uk. Eles vão levar você mais a sério do que você imagina.

Fazer com que eu apague

Escreva para gdpr@willhackett.com. Você vai receber uma resposta automática, porque a resposta quase sempre é uma de duas.

Se você assina a newsletter, clique em Cancelar assinatura no fim de qualquer e-mail que eu tenha enviado. O seu endereço sai da minha lista na hora. Ele sobrevive um tempo a mais nos logs de entrega da própria Resend, que são deles para expirar e não meus para limpar. Do meu lado nada fica para trás, nem lista de supressão, nem registro de que você esteve lá.

Para o analytics, aperte o interruptor no fim desta página. Isso apaga o cookie e diz ao meu servidor para remover o seu ID aleatório de todas as linhas em que ele aparece. As visualizações de página sobrevivem como contagens. O que as ligava a um navegador, não.

Se você já limpou o cookie e quer que eu cuide das linhas antigas mesmo assim, preciso do ID em si, porque ele é de fato a única referência que eu tenho. Abra o DevTools, vá em Application, depois Cookies, copie o valor de visitor e mande para mim por e-mail. Sem ele eu estaria procurando em uma tabela de números aleatórios o que por acaso é o seu, o que é uma boa descrição de todo o objetivo de ter construído isto desse jeito.

O seu estado de rastreamento

Última atualização: 6 de setembro de 2026.