LGPD em atendimento automatizado: o que a sua empresa precisa ter

Quando uma empresa liga uma automação no WhatsApp, ela passa a tratar dado pessoal em escala, de forma automatizada e com um fornecedor no meio. Os três fatos juntos mudam a conversa sobre LGPD — de "temos uma política de privacidade no site" para obrigações concretas.

A boa notícia é que quase tudo é resolvível antes de subir a operação, e resolver depois custa muito mais caro.

Isto é orientação prática de quem implanta, não parecer jurídico. Para decisão de risco, fale com quem responde por isso.

1. Saber em que papel você está

A LGPD separa controlador de operador.

A sua empresa decide por que e como os dados são tratados: é a controladora. O fornecedor que roda a automação trata dados em nome dela: é o operador.

Isso não é formalidade. Significa que a responsabilidade principal é sua, inclusive pelo que o fornecedor faz. Escolher bem o operador é obrigação, não preferência.

2. Ter contrato de tratamento com o fornecedor

Do operador, o contrato precisa dizer no mínimo:

Qual a finalidade e o escopo do tratamento
Que ele só trata dado seguindo a sua instrução
Quais medidas de segurança ele aplica
Se há subcontratados — e aqui entram os provedores de modelo de IA
O que acontece com os dados no fim do contrato: devolução e eliminação
Dever de avisar você imediatamente em caso de incidente

Se o fornecedor não tem esse documento pronto, é sinal de que você seria o primeiro cliente a perguntar.

3. Definir a base legal antes de ligar

Não existe tratamento sem base legal, e ela muda conforme o que você faz:

Cliente te chama e você responde. O tratamento é necessário para atender a pedido do titular e para os procedimentos preliminares de um contrato. Base tranquila, não exige consentimento.

Você manda mensagem para quem não te chamou. Confirmação de horário de quem já é cliente costuma se apoiar na execução do contrato. Oferta e promoção para base antiga é outra história — é legítimo interesse com teste de balanceamento documentado, ou consentimento. Essa é a hipótese que mais gera problema, e é justamente a que mais se automatiza sem pensar.

Você usa as conversas para treinar ou ajustar modelo. Finalidade diferente da original. Precisa ser tratada como tal, não assumida como incluída.

4. Olhar com atenção para dado sensível

Dado sobre saúde tem regime mais rigoroso na LGPD, com hipóteses de tratamento mais estreitas.

Isso importa muito para clínica, consultório e qualquer negócio de saúde: a conversa no WhatsApp quase sempre vira dado sensível. O paciente escreve o sintoma, o procedimento que quer, o remédio que toma. Ninguém pediu — ele conta.

Consequências práticas: essa conversa não pode circular em grupo interno, não deveria ficar no celular pessoal de ninguém, o acesso precisa ser restrito a quem tem motivo, e a retenção precisa de prazo. O mesmo raciocínio vale para dado de criança e adolescente, com regra própria.

5. Saber para onde o dado vai

Quase todo modelo de IA relevante hoje roda em servidor fora do Brasil. Isso configura transferência internacional, que a LGPD permite mas com condições — e que, no mínimo, você precisa declarar na sua política de privacidade.

Três perguntas para o fornecedor:

Qual provedor de modelo é usado e em que país ele processa?
O conteúdo das conversas é usado para treinar o modelo? (Nos planos corporativos dos grandes provedores, normalmente não — mas isso depende do contrato, e é preciso conferir.)
Por quanto tempo o provedor retém o que passa por ele?

6. Contar para as pessoas

Transparência é princípio da lei. Na prática:

A política de privacidade precisa mencionar o atendimento por WhatsApp, o uso de automação e o compartilhamento com o fornecedor e com o provedor do modelo.
O titular precisa conseguir exercer os direitos dele — acesso, correção, eliminação — e ter um canal claro para isso.
Deixar claro que é um robô não é exigência expressa da LGPD, mas é boa prática e evita atrito com as regras de transparência ao consumidor. Além do mais, o cliente percebe de qualquer jeito; ser pego escondendo é pior.

7. Guardar menos e por menos tempo

Dois princípios da lei conversam direto com a prática: necessidade (colete só o que precisa para a finalidade) e não guardar para sempre.

Automação empurra para o lado oposto, porque armazenar é barato e alguém sempre acha que um dia vai ser útil. Defina prazo de retenção por tipo de dado, escreva, e implemente o descarte. Base que ninguém apaga é passivo que só cresce.

8. Ter um plano de incidente

Vazamento que possa trazer risco relevante aos titulares precisa ser comunicado à ANPD e às pessoas afetadas, em prazo razoável.

Isso significa ter combinado antes: quem descobre avisa quem, quem decide se comunica, quem escreve, em quanto tempo. Um roteiro de uma página resolve. Descobrir isso no dia do incidente não.

Roteiro mínimo

Contrato de tratamento com o fornecedor, incluindo subcontratados
Base legal definida para atendimento e para mensagem ativa
Política de privacidade citando WhatsApp, automação e transferência internacional
Regra de acesso: quem pode ler as conversas
Prazo de retenção definido e descarte implementado
Canal para o titular exercer direitos
Encarregado indicado e publicado
Plano de incidente escrito

Nenhum desses itens é caro. Todos ficam caros depois.

Na CinetiK, esses pontos entram no diagnóstico antes da primeira linha de código — com os dados na infraestrutura do cliente, não na nossa. Peça o seu.