# LGPD no atendimento por WhatsApp: checklist prático para empresas Fonte: https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/ **Adequar o atendimento por WhatsApp à LGPD exige mais do que escolher uma ferramenta.** A empresa precisa definir finalidade e base legal, informar titulares, limitar acessos, revisar dispositivos, controlar fornecedores, estabelecer retenção e responder a incidentes e direitos. Nenhuma integração, isoladamente, garante conformidade; decisões jurídicas devem considerar o caso concreto. Uma conversa comercial pode conter nome, telefone, endereço, documento, dados de pagamento, reclamações e informações sobre outras pessoas. Mesmo quando o cliente envia esses dados espontaneamente, a empresa continua responsável por avaliar por que os usa, quem pode acessá-los e por quanto tempo serão mantidos. Este checklist ajuda pequenas e médias empresas a fazer as perguntas certas ao organizar o WhatsApp no trabalho. Ele é informativo e não substitui orientação jurídica, análise de segurança ou a atuação do encarregado e das áreas responsáveis. ### Neste guia - [Quais dados aparecem nas conversas](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#dados) - [Papéis da empresa e fornecedores](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#papeis) - [Finalidade e hipótese legal](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#finalidade) - [Aviso de privacidade](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#transparencia) - [Controle de acesso](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#acesso) - [Retenção, exportação e exclusão](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#retencao) - [Incidentes de segurança](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#incidentes) - [Contratos e fornecedores](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#fornecedores) - [Checklist prático](https://www.twinia.com.br/artigos/lgpd-atendimento-whatsapp-checklist/#checklist) ### Quais dados pessoais aparecem no WhatsApp Telefone e nome já podem identificar uma pessoa. Ao longo do atendimento, o conteúdo pode incluir dados cadastrais, localização, imagens, documentos, voz em áudios, preferências, histórico de compras e relatos livres. Dependendo do contexto, podem surgir dados pessoais sensíveis, como informações de saúde, biometria, religião ou opinião política. O primeiro controle é reduzir a coleta. Se a equipe não precisa de um documento completo, não deve pedi-lo “por garantia”. Quando algum dado for necessário, oriente o cliente sobre o canal adequado e evite solicitar informações excessivas numa conversa aberta. | Situação | Pergunta de minimização | Ação possível | | --- | --- | --- | | Confirmar pedido | O número do pedido basta? | Não solicitar documento completo sem necessidade | | Enviar cobrança | É seguro transmitir os dados pelo chat? | Direcionar a um ambiente apropriado quando necessário | | Suporte técnico | A captura de tela expõe outros dados? | Orientar o recorte ou ocultação | | Áudio do cliente | Precisamos reter o arquivo após resolver? | Aplicar a regra de retenção definida | ### Papéis da empresa, WhatsApp, Slack e fornecedores A LGPD diferencia agentes como controlador e operador. Em termos gerais, o controlador toma decisões sobre o tratamento e o operador trata dados em nome do controlador, mas o enquadramento depende das atividades e contratos concretos. Um mesmo fornecedor pode ter papéis diferentes conforme o tratamento analisado. Mapeie o fluxo completo: o cliente usa o WhatsApp; a empresa recebe a mensagem; uma solução pode transportá-la; o Slack hospeda a colaboração; colaboradores acessam o conteúdo. Registre quais organizações participam, onde os dados circulam, que termos foram aceitos e quais configurações estão sob controle da empresa. A Twinia conecta o número por QR Code e leva as conversas ao Slack. Essa descrição técnica deve constar da avaliação. Ela não elimina a necessidade de analisar WhatsApp, Slack, a própria Twinia, configurações, pessoas autorizadas e eventuais suboperadores. ### Finalidade e hipótese legal: defina antes de usar “Atendimento” pode envolver finalidades distintas: responder uma solicitação, executar um contrato, emitir cobrança, prestar suporte, prevenir fraude ou divulgar ofertas. Para cada finalidade, a empresa deve avaliar uma hipótese legal adequada e cumprir os princípios da LGPD, incluindo finalidade, adequação, necessidade, transparência, segurança e prevenção. Consentimento não é a única hipótese legal e não deve ser escolhido automaticamente. Também não deve ser misturado a uma autorização genérica para qualquer uso. A definição precisa considerar a relação, a categoria de dados, as expectativas do titular e as obrigações aplicáveis. Consulte a área jurídica ou o profissional responsável. ### O que informar no aviso de privacidade O aviso de privacidade deve ser fácil de encontrar e coerente com o uso real. Em vez de copiar um texto genérico, descreva de forma clara: - quem é o responsável pelo tratamento; - quais categorias de dados são tratadas; - para quais finalidades; - com quem os dados podem ser compartilhados; - por quanto tempo ou segundo quais critérios são mantidos; - como o titular exerce seus direitos; - como entrar em contato com a empresa ou encarregado, quando aplicável. Um link no site é útil, mas avalie também como apresentar a informação no próprio início do relacionamento. A forma deve ser proporcional ao contexto e não esconder pontos importantes atrás de linguagem excessivamente técnica. ### Controle de acesso e menor privilégio Nem toda pessoa do workspace precisa ler todas as conversas. Separe canais conforme finalidade e confidencialidade, limite membros e revise permissões. No Slack, considere também convidados, aplicativos instalados, exportações disponíveis no plano e configurações administrativas. - Use contas individuais; não compartilhe credenciais. - Ative mecanismos de autenticação adequados nas plataformas utilizadas. - Conceda acesso apenas aos canais necessários para a função. - Revise dispositivos vinculados no WhatsApp. - Registre concessão, alteração e remoção de acessos. - Inclua Slack, WhatsApp e integrações no processo de desligamento. Para estruturar canais, consulte o guia de [permissões e governança no Slack](https://www.twinia.com.br/artigos/como-organizar-canais-de-clientes-no-slack/). O desenho deve refletir o risco e a necessidade da operação. ### Revisão de dispositivos e offboarding Ao sair da empresa ou mudar de função, uma pessoa pode manter acesso pelo workspace, por um dispositivo vinculado, por arquivos baixados ou por credenciais administrativas. O checklist de offboarding deve considerar todas essas rotas. 1. Transferir conversas e pendências em andamento. 2. Remover ou ajustar a conta no Slack. 3. Revisar dispositivos vinculados ao WhatsApp. 4. Revogar acessos administrativos à solução de integração. 5. Aplicar a política sobre arquivos e dados locais. 6. Registrar a conclusão das ações. ### Retenção, exportação e exclusão Guardar tudo para sempre não é uma política. Defina prazos ou critérios por tipo de conversa, considerando finalidade, obrigações legais, defesa de direitos e necessidades legítimas. Verifique como WhatsApp, Slack, backups e integrações tratam histórico, exclusão e exportação. Excluir uma mensagem em uma interface pode não remover cópias, anexos baixados ou registros mantidos por outro sistema. Documente as limitações reais e estabeleça um procedimento para atender solicitações do titular. Nem todo pedido implica exclusão imediata; a análise deve considerar a LGPD e outras obrigações aplicáveis. ### Prepare uma resposta a incidentes Celular perdido, dispositivo desconhecido, envio ao contato errado, canal aberto indevidamente e conta comprometida são exemplos de eventos que exigem resposta. O plano deve indicar quem recebe o alerta, como conter o acesso, preservar evidências, avaliar riscos e decidir sobre comunicações cabíveis. - Canal interno para relatar o incidente. - Responsáveis por segurança, privacidade, jurídico e comunicação. - Ações de contenção para WhatsApp, Slack e integração. - Registro de data, dados envolvidos, titulares e medidas tomadas. - Critério para avaliar comunicação à ANPD e aos titulares conforme a regulação vigente. ### O que avaliar em contratos e fornecedores - Descrição do serviço e do fluxo de dados. - Finalidades e instruções de tratamento. - Medidas de segurança informadas. - Uso de suboperadores e transferências internacionais. - Retenção, devolução e eliminação ao fim do contrato. - Apoio em incidentes e solicitações de titulares. - Responsabilidades, limites e procedimento de término. Leia termos, política de privacidade e documentação de segurança. Promessas vagas como “100% LGPD” não substituem uma avaliação do serviço, da arquitetura e do uso feito pela sua empresa. ### Checklist de LGPD para atendimento por WhatsApp - Mapeamos os dados e sistemas envolvidos na conversa. - Documentamos finalidades e hipóteses legais. - Pedimos apenas os dados necessários. - O aviso de privacidade descreve o uso real. - O número é corporativo e tem responsável definido. - O acesso ao Slack segue menor privilégio. - Revisamos dispositivos vinculados periodicamente. - Entrada, mudança de função e saída têm checklist. - Existem critérios de retenção e exclusão. - Há procedimento para direitos dos titulares. - O plano de incidentes inclui todas as plataformas. - Contratos e fornecedores foram avaliados. - A equipe recebe orientação periódica. ### Perguntas frequentes WhatsApp pode ser usado por empresas sob a LGPD? O uso deve ser avaliado no contexto do tratamento. A empresa precisa definir finalidade, hipótese legal, transparência, segurança, retenção, contratos e atendimento a direitos, entre outras obrigações. Preciso pedir consentimento em toda conversa? Não necessariamente. A LGPD prevê diferentes hipóteses legais. A escolha deve considerar a finalidade e o caso concreto; não adote consentimento automaticamente sem análise. Usar uma ferramenta “em conformidade” deixa minha empresa adequada? Não. Tecnologia é apenas parte do tratamento. Configurações, pessoas, processos, base legal, transparência, contratos e resposta a incidentes também precisam ser tratados. Posso guardar todas as conversas? A empresa deve definir retenção conforme finalidade, necessidade e obrigações aplicáveis. Guardar indefinidamente sem justificativa contraria uma abordagem de minimização e governança. Este checklist substitui assessoria jurídica? Não. Ele organiza pontos de revisão, mas as decisões de adequação e hipóteses legais dependem das atividades concretas e da orientação dos responsáveis da empresa. ### Fontes consultadas - [Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm). - [ANPD: Guia orientativo sobre segurança da informação para agentes de pequeno porte](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-sobre-seguranca-da-informacao-para-agentes-de-tratamento-de-pequeno-porte). - [ANPD: orientações sobre a política de privacidade do WhatsApp](https://www.gov.br/anpd/pt-br/assuntos/noticias/a-nova-politica-de-privacidade-do-whatsapp). - [Central de Ajuda do WhatsApp: dispositivos vinculados](https://faq.whatsapp.com/378279804439436). ### Quer entender o fluxo técnico da Twinia? Fale conosco para conhecer a conexão por QR Code e reunir as informações necessárias para sua própria avaliação de privacidade e segurança. [Solicitar informações](https://wa.me/5511930513360?text=Ol%C3%A1%2C%20quero%20entender%20o%20fluxo%20t%C3%A9cnico%20e%20as%20informa%C3%A7%C3%B5es%20de%20seguran%C3%A7a%20da%20Twinia.)