O que um site faz com os dados, para além do texto do banner.

Não. É uma medição técnica da superfície pública do site, com provas e com os limites de cada constatação. Muitas obrigações da lei — a base do tratamento, os contratos com os subcontratantes, o registo de tratamentos, a avaliação de impacto, a informação aos trabalhadores — não podem ser observadas do exterior e não aparecem no relatório. A pontuação não é uma opinião jurídica e não calcula nenhuma coima.

O scanner encontra o banner, carrega no botão de recusa e escuta os pedidos de rede durante mais três segundos. Um tracker só é assinalado se já estava a carregar antes do consentimento e continua também depois da recusa, sem um sinal de recusa no pedido. É a única verificação do motor que precisa de um browser vivo, interativo, e não de uma imagem estática da página — e é por isso que a varredura demora segundos, e não milissegundos.

Não. O motor é determinista: as mesmas entradas dão a mesma pontuação, e cada ponderação e cada limiar ficam num único ficheiro de constantes, não espalhados pelo código. Existe um assistente que lhe explica o relatório, e esse é um modelo de linguagem — mas não recalcula nada, e se citar um artigo que não confirmamos no texto da lei, a resposta dele não é apresentada.

Não. Significa que a superfície pública testada se comporta bem nos cenários testados. Uma organização pode ter um site impecável e um registo de tratamentos inexistente. O inverso funciona melhor: uma pontuação fraca mostra quase de certeza um problema real, porque as verificações que cortam mais fundo — trackers antes do consentimento, recusa que não pára nada — descrevem algo que está a acontecer neste momento a cada visitante.

É uma única visita, como a de um visitante normal, com um orçamento máximo de 45 segundos. O user-agent identifica-se e envia para a página que explica a varredura e como recusar, e o robots.txt do site é respeitado por defeito. Não são enviados formulários, não são criadas contas e não se tenta qualquer autenticação.

Um banner escondido num shadow-root fechado permanece invisível por construção — nós declaramo-lo e temos um teste que nos obriga a cumprir. Também não vemos o que acontece depois da autenticação, o que o servidor faz com os dados de um formulário enviado, para onde eles vão depois ou o que preveem os contratos. O relatório diz o que pôde observar e o que não, e quando a página não foi renderizada corretamente guarda o veredito em vez de inventar um.

Existe um registo com os 90 artigos da Legea 195/2024, com a impressão MD5 do documento de origem. Um artigo que não está no registo não é impresso. E se um texto atribui uma referência a outro ato — por exemplo, ao Regulamento UE 2016/679 — isso é reconhecido como tal, não declarado inventado. Os dois erros não são simétricos: uma citação verdadeira rejeitada desaparece sem que nada pareça estragado.

195/2024, de 23 de agosto de 2026. O código não o pressupõe, calcula-o a partir da data da varredura: antes dessa data, 133/2011 estava ativa e 195/2024 era apresentada como preparação; depois, o inverso. Um relatório antigo continua assim legível no seu regime, sem pretender que dizia outra coisa.