Como medir repetição de compra respeitando privacidade

1. Defina a decisão que a métrica deve orientar

“Queremos saber quem volta” não é uma finalidade operacional suficiente para iniciar uma coleta de dados. Especifique a decisão: avaliar se uma mudança de horário foi seguida por mais retornos, entender o intervalo entre compras ou medir uma ação de relacionamento. Determine qual resultado mudaria uma decisão e qual período de análise faz sentido. Se a resposta puder ser obtida por transações agregadas sem reconhecer indivíduos, prefira essa alternativa menos invasiva.

Defina também o que significa “retorno”: segunda transação paga, novo ciclo, segunda visita registrada ou nova sessão no aplicativo. Uma única compra pode conter vários ciclos e uma pessoa pode usar equipamentos em dias diferentes. A métrica deve ser “percentual de contas identificáveis com segunda transação” se isso é o que o sistema realmente mede, não uma afirmação ampla sobre pessoas. A finalidade precisa orientar a escolha dos dados, a comunicação ao cliente e o prazo de conservação.

2. Escolha coorte, janela e denominador antes de calcular

Uma coorte agrupa transações por uma regra, como mês da primeira compra. A taxa de retorno em 30 dias, por exemplo, pode ser definida como: contas identificáveis com nova compra paga até 30 dias após a primeira ÷ contas identificáveis da coorte que tiveram tempo completo de observação. O prazo de 30 dias é só um exemplo; escolha uma janela que não deixe os clientes recentes parecerem menos recorrentes apenas porque ainda não tiveram tempo para voltar.

Não misture coortes com janelas diferentes. Uma coorte de março teve mais tempo para gerar retorno que a de setembro; comparar a taxa acumulada até a data favorece a mais antiga. Use uma janela fixa desde a primeira compra e informe o número de contas sem identificador, transações excluídas e reembolsos. Não chame o resultado de “retenção de clientes” se a pessoa pode usar outra conta ou se mais de uma pessoa compartilha a mesma conta.

Inclua uma coorte “sem identificador reconhecível” no denominador de cobertura, ainda que ela não entre na taxa individual. Exemplo: se 100 transações pagas ocorreram, mas 28 não puderam ser associadas de modo confiável a um mesmo identificador, a taxa calculada sobre os 72 restantes deve vir acompanhada dessa cobertura. Não redistribua os 28 registros entre contas reconhecidas. Isso evita que a métrica pareça representar todos os clientes quando parte dos dados ficou de fora.

3. Minimize os campos e proteja a chave de ligação

Para uma medição simples, talvez bastem data da primeira compra, identificador interno pseudonimizado, data de compras posteriores, status de pagamento e categoria de serviço. Nome, CPF, endereço, foto, texto de conversa e localização precisa não são necessários por padrão para saber se um mesmo identificador fez outra transação. Separe a tabela de análise da tabela que contém telefone ou cadastro e limite acesso à segunda. Apague ou agregue campos quando a finalidade terminar e a retenção já não for necessária.

A LGPD define princípios de finalidade, adequação e necessidade e determina que o tratamento se limite ao que é pertinente e não excessivo; no legítimo interesse, a lei exige que só sejam tratados os dados estritamente necessários e transparência. O guia da ANPD sobre legítimo interesse orienta a análise dessa hipótese, mas não autoriza automaticamente o acompanhamento individual de clientes nem substitui avaliação do caso concreto. Pseudonimização reduz exposição, mas não equivale a anonimização se a empresa consegue reverter o vínculo.

Leia os princípios de finalidade, adequação e necessidade no texto compilado da LGPD antes de ampliar uma identificação de clientes. A lei não autoriza automaticamente uma finalidade comercial; a hipótese e as salvaguardas precisam ser avaliadas no contexto real.

4. Avalie hipótese legal e comunicação com o titular

Documente quem decide a finalidade e como o sistema atua no tratamento. Verifique qual hipótese do artigo 7º da LGPD se aplica à operação, se há dado sensível, compartilhamento com fornecedor ou uso para comunicação promocional. Não marque “consentimento” no cadastro sem coletar uma manifestação específica e demonstrável; não presuma legítimo interesse só porque a empresa tem interesse comercial. A decisão depende de contexto, expectativa do cliente, impacto, necessidade e salvaguardas.

Explique em aviso acessível o que é coletado, para qual finalidade, por quanto tempo, com quem pode ser compartilhado e como a pessoa pode exercer seus direitos. O canal de atendimento deve saber para onde encaminhar pedido sobre dados; a ANPD resume os direitos dos titulares, incluindo acesso a informações sobre finalidade, forma e duração do tratamento. Se o sistema ou fornecedor não consegue localizar, corrigir ou apagar um registro quando cabível, resolva essa dependência antes de ampliar a coleta.

5. Escolha a forma de reconhecimento menos invasiva

Se a plataforma de pagamento ou o sistema operacional oferece um identificador interno estável e permitido para essa análise, confirme o que ele representa, quem pode consultá-lo e se é possível exportar dados sem nome ou telefone. Não use o número completo do cartão. Um token ou hash pode continuar sendo dado pessoal quando a empresa ou outro agente conserva os meios de associação. Registre a regra de identificação e não combine bases distintas sem uma finalidade e avaliação explícitas.

Quando não houver identificador confiável, reporte limites: quantidade de transações, ciclos por período ou respostas voluntárias não equivalem a retorno individual. Uma pesquisa voluntária pode perguntar sobre experiência ou frequência em termos agregados, mas requer desenho claro, não deve condicionar o serviço e não pode levar a equipe a coletar dados excessivos por curiosidade. A métrica mais limitada, porém honesta, é melhor para decidir do que uma taxa precisa na aparência e frágil na origem.

Não crie uma chave duradoura copiando telefone para uma planilha só porque o sistema de caixa não exporta um identificador. Se for necessário ligar registros, peça ao fornecedor uma explicação do método de tokenização, onde fica a chave de reversão, quem consegue acessar e se os dados são usados para outras finalidades. Registre a resposta e teste a exclusão ou correção do dado. Um campo com aparência aleatória não é prova de que não possa identificar alguém.

6. Verifique erros, estornos e vieses de cobertura

Antes de divulgar um número, retire transações de teste, canceladas ou totalmente reembolsadas conforme regra documentada. Decida como tratar pagamentos parciais, cortesia, contas compartilhadas e clientes que pagam por método diferente. Verifique se mudanças de sistema quebraram o identificador, se houve período sem sincronização e quantas transações ficaram sem correspondência. Faça reconciliação com o relatório de vendas e guarde o número de registros excluídos e a razão.

O resultado cobre apenas as pessoas reconhecidas no sistema, não necessariamente toda a clientela. Se o uso sem cadastro aumentou, a taxa observada pode cair mesmo que o comportamento das pessoas não tenha mudado. Uma mudança de método de identificação também pode aparentar melhora ou piora. Apresente cobertura e incerteza junto da taxa: “X% das contas com identificador que completaram a janela” é mais preciso que “X% dos clientes voltou”. Não inferir satisfação, lealdade ou causa a partir de retorno observado.

Apresente resultados em nível agregado sempre que a decisão não exigir consultar um registro individual. Evite publicar pequenas células de relatório que permitam reconhecer uma pessoa por horário, descrição de ocorrência ou combinação de serviço. Se um grupo tiver tão poucos registros que o titular se torne óbvio, agrupe períodos ou categorias antes de compartilhar o painel. Defina quem recebe o relatório e remova planilhas temporárias usadas para conferência depois de cumprir a retenção estabelecida.

7. Defina revisão, retenção e resposta a incidente

Escreva um registro simples de operação: finalidade, campos, sistema de origem, acessos, hipótese legal avaliada, prazo de retenção e forma de agregação. Marque uma data para reavaliar se a métrica ainda é útil e se a identificação individual continua necessária. Remova acesso de quem não precisa, use autenticação e mantenha backups e contratos de fornecedor coerentes com os dados tratados. Uma planilha baixada para computadores pessoais pode multiplicar cópias sem controle.

Se houver incidente envolvendo dados pessoais, preserve evidências e escale para quem responde por privacidade e segurança; não conclua sozinho se existe dever de comunicação. A ANPD define critérios e procedimento para incidentes que possam gerar risco ou dano relevante, e prazos regulamentares podem se aplicar ao controlador. Uma medição de recorrência bem desenhada começa antes do relatório: começa por perguntar se identificar cada pessoa é realmente indispensável e por manter uma saída para interromper a coleta.

Faça uma revisão da amostra antes de automatizar relatórios: verifique alguns pares de primeira e segunda compra e confirme se a mesma conta representa o uso esperado. Uma falha de digitação, uma conta compartilhada ou uma mudança no sistema pode criar falsos retornos ou falsos clientes novos. Guarde a versão da regra usada no cálculo e descreva qualquer mudança. Se a regra mudar, mantenha séries separadas ou sinalize a quebra para que a comparação não sugira uma tendência inexistente.

Uma revisão anual ou por mudança relevante deve revalidar a finalidade, os campos, as pessoas com acesso, os fornecedores e o prazo de retenção. Se a métrica deixou de orientar uma decisão, encerre a identificação e guarde apenas agregado quando isso ainda tiver utilidade. Documente a decisão e a data, e confira obrigações de conservação de documentos fiscais ou de defesa de direitos separadamente antes de excluir qualquer registro que possa estar sujeito a outra regra.

Perguntas frequentes