LGPD no WhatsApp: checklist para empresas

Adequar o atendimento por WhatsApp à LGPD exige mais do que escolher uma ferramenta. A empresa precisa definir finalidade e base legal, informar titulares, limitar acessos, revisar dispositivos, controlar fornecedores, estabelecer retenção e responder a incidentes e direitos. Nenhuma integração, isoladamente, garante conformidade; decisões jurídicas devem considerar o caso concreto.

Uma conversa comercial pode conter nome, telefone, endereço, documento, dados de pagamento, reclamações e informações sobre outras pessoas. Mesmo quando o cliente envia esses dados espontaneamente, a empresa continua responsável por avaliar por que os usa, quem pode acessá-los e por quanto tempo serão mantidos.

Este checklist ajuda pequenas e médias empresas a fazer as perguntas certas ao organizar o WhatsApp no trabalho. Ele é informativo e não substitui orientação jurídica, análise de segurança ou a atuação do encarregado e das áreas responsáveis.

Quais dados pessoais aparecem no WhatsApp

Telefone e nome já podem identificar uma pessoa. Ao longo do atendimento, o conteúdo pode incluir dados cadastrais, localização, imagens, documentos, voz em áudios, preferências, histórico de compras e relatos livres. Dependendo do contexto, podem surgir dados pessoais sensíveis, como informações de saúde, biometria, religião ou opinião política.

O primeiro controle é reduzir a coleta. Se a equipe não precisa de um documento completo, não deve pedi-lo “por garantia”. Quando algum dado for necessário, oriente o cliente sobre o canal adequado e evite solicitar informações excessivas numa conversa aberta.

Situação	Pergunta de minimização	Ação possível
Confirmar pedido	O número do pedido basta?	Não solicitar documento completo sem necessidade
Enviar cobrança	É seguro transmitir os dados pelo chat?	Direcionar a um ambiente apropriado quando necessário
Suporte técnico	A captura de tela expõe outros dados?	Orientar o recorte ou ocultação
Áudio do cliente	Precisamos reter o arquivo após resolver?	Aplicar a regra de retenção definida

Papéis da empresa, WhatsApp, Slack e fornecedores

A LGPD diferencia agentes como controlador e operador. Em termos gerais, o controlador toma decisões sobre o tratamento e o operador trata dados em nome do controlador, mas o enquadramento depende das atividades e contratos concretos. Um mesmo fornecedor pode ter papéis diferentes conforme o tratamento analisado.

Mapeie o fluxo completo: o cliente usa o WhatsApp; a empresa recebe a mensagem; uma solução pode transportá-la; o Slack hospeda a colaboração; colaboradores acessam o conteúdo. Registre quais organizações participam, onde os dados circulam, que termos foram aceitos e quais configurações estão sob controle da empresa.

A Twinia conecta o número por QR Code e leva as conversas ao Slack. Essa descrição técnica deve constar da avaliação. Ela não elimina a necessidade de analisar WhatsApp, Slack, a própria Twinia, configurações, pessoas autorizadas e eventuais suboperadores.

Finalidade e hipótese legal: defina antes de usar

“Atendimento” pode envolver finalidades distintas: responder uma solicitação, executar um contrato, emitir cobrança, prestar suporte, prevenir fraude ou divulgar ofertas. Para cada finalidade, a empresa deve avaliar uma hipótese legal adequada e cumprir os princípios da LGPD, incluindo finalidade, adequação, necessidade, transparência, segurança e prevenção.

Consentimento não é a única hipótese legal e não deve ser escolhido automaticamente. Também não deve ser misturado a uma autorização genérica para qualquer uso. A definição precisa considerar a relação, a categoria de dados, as expectativas do titular e as obrigações aplicáveis. Consulte a área jurídica ou o profissional responsável.

O que informar no aviso de privacidade

O aviso de privacidade deve ser fácil de encontrar e coerente com o uso real. Em vez de copiar um texto genérico, descreva de forma clara:

quem é o responsável pelo tratamento;
quais categorias de dados são tratadas;
para quais finalidades;
com quem os dados podem ser compartilhados;
por quanto tempo ou segundo quais critérios são mantidos;
como o titular exerce seus direitos;
como entrar em contato com a empresa ou encarregado, quando aplicável.

Um link no site é útil, mas avalie também como apresentar a informação no próprio início do relacionamento. A forma deve ser proporcional ao contexto e não esconder pontos importantes atrás de linguagem excessivamente técnica.

Controle de acesso e menor privilégio

Nem toda pessoa do workspace precisa ler todas as conversas. Separe canais conforme finalidade e confidencialidade, limite membros e revise permissões. No Slack, considere também convidados, aplicativos instalados, exportações disponíveis no plano e configurações administrativas.

Use contas individuais; não compartilhe credenciais.
Ative mecanismos de autenticação adequados nas plataformas utilizadas.
Conceda acesso apenas aos canais necessários para a função.
Revise dispositivos vinculados no WhatsApp.
Registre concessão, alteração e remoção de acessos.
Inclua Slack, WhatsApp e integrações no processo de desligamento.

Para estruturar canais, consulte o guia de permissões e governança no Slack. O desenho deve refletir o risco e a necessidade da operação.

Revisão de dispositivos e offboarding

Ao sair da empresa ou mudar de função, uma pessoa pode manter acesso pelo workspace, por um dispositivo vinculado, por arquivos baixados ou por credenciais administrativas. O checklist de offboarding deve considerar todas essas rotas.

Transferir conversas e pendências em andamento.
Remover ou ajustar a conta no Slack.
Revisar dispositivos vinculados ao WhatsApp.
Revogar acessos administrativos à solução de integração.
Aplicar a política sobre arquivos e dados locais.
Registrar a conclusão das ações.

Retenção, exportação e exclusão

Guardar tudo para sempre não é uma política. Defina prazos ou critérios por tipo de conversa, considerando finalidade, obrigações legais, defesa de direitos e necessidades legítimas. Verifique como WhatsApp, Slack, backups e integrações tratam histórico, exclusão e exportação.

Excluir uma mensagem em uma interface pode não remover cópias, anexos baixados ou registros mantidos por outro sistema. Documente as limitações reais e estabeleça um procedimento para atender solicitações do titular. Nem todo pedido implica exclusão imediata; a análise deve considerar a LGPD e outras obrigações aplicáveis.

Prepare uma resposta a incidentes

Celular perdido, dispositivo desconhecido, envio ao contato errado, canal aberto indevidamente e conta comprometida são exemplos de eventos que exigem resposta. O plano deve indicar quem recebe o alerta, como conter o acesso, preservar evidências, avaliar riscos e decidir sobre comunicações cabíveis.

Canal interno para relatar o incidente.
Responsáveis por segurança, privacidade, jurídico e comunicação.
Ações de contenção para WhatsApp, Slack e integração.
Registro de data, dados envolvidos, titulares e medidas tomadas.
Critério para avaliar comunicação à ANPD e aos titulares conforme a regulação vigente.

O que avaliar em contratos e fornecedores

Descrição do serviço e do fluxo de dados.
Finalidades e instruções de tratamento.
Medidas de segurança informadas.
Uso de suboperadores e transferências internacionais.
Retenção, devolução e eliminação ao fim do contrato.
Apoio em incidentes e solicitações de titulares.
Responsabilidades, limites e procedimento de término.

Leia termos, política de privacidade e documentação de segurança. Promessas vagas como “100% LGPD” não substituem uma avaliação do serviço, da arquitetura e do uso feito pela sua empresa.

Checklist de LGPD para atendimento por WhatsApp

Mapeamos os dados e sistemas envolvidos na conversa.
Documentamos finalidades e hipóteses legais.
Pedimos apenas os dados necessários.
O aviso de privacidade descreve o uso real.
O número é corporativo e tem responsável definido.
O acesso ao Slack segue menor privilégio.
Revisamos dispositivos vinculados periodicamente.
Entrada, mudança de função e saída têm checklist.
Existem critérios de retenção e exclusão.
Há procedimento para direitos dos titulares.
O plano de incidentes inclui todas as plataformas.
Contratos e fornecedores foram avaliados.
A equipe recebe orientação periódica.

Perguntas frequentes

WhatsApp pode ser usado por empresas sob a LGPD?

O uso deve ser avaliado no contexto do tratamento. A empresa precisa definir finalidade, hipótese legal, transparência, segurança, retenção, contratos e atendimento a direitos, entre outras obrigações.

Preciso pedir consentimento em toda conversa?

Não necessariamente. A LGPD prevê diferentes hipóteses legais. A escolha deve considerar a finalidade e o caso concreto; não adote consentimento automaticamente sem análise.

Usar uma ferramenta “em conformidade” deixa minha empresa adequada?

Não. Tecnologia é apenas parte do tratamento. Configurações, pessoas, processos, base legal, transparência, contratos e resposta a incidentes também precisam ser tratados.

Posso guardar todas as conversas?

A empresa deve definir retenção conforme finalidade, necessidade e obrigações aplicáveis. Guardar indefinidamente sem justificativa contraria uma abordagem de minimização e governança.

Este checklist substitui assessoria jurídica?

Não. Ele organiza pontos de revisão, mas as decisões de adequação e hipóteses legais dependem das atividades concretas e da orientação dos responsáveis da empresa.

Fontes consultadas

Quer entender o fluxo técnico da Twinia?

Fale conosco para conhecer a conexão por QR Code e reunir as informações necessárias para sua própria avaliação de privacidade e segurança.

Solicitar informações

LGPD no atendimento por WhatsApp: checklist prático para empresas