É comum tratar WhatsApp como canal informal, fora do radar de compliance — afinal, "é só uma conversa". Mas toda conversa de atendimento carrega dado pessoal: nome, telefone, às vezes endereço, CPF, informação de pagamento ou até saúde, dependendo do negócio. A LGPD trata isso como dado pessoal tratado em operação de negócio, independente do canal ser um app de mensagem.
Quem é responsável pelo quê
Numa operação de atendimento com plataforma white-label, existem dois papéis diferentes: quem fornece a estrutura técnica (armazenamento, acesso, segurança da plataforma) e quem decide o que fazer com os dados dos próprios clientes (a empresa que atende, como controladora da própria base). A empresa continua responsável pelas bases legais e pelo conteúdo da própria operação de atendimento — a plataforma não assume essa decisão por ela.
O que toda operação de atendimento deveria garantir
- Acesso por permissão — nem todo atendente precisa ver o histórico completo de todo cliente.
- Motivo de contato e anotação interna não devem virar campo livre pra dado sensível sem necessidade (saúde, dado bancário completo) quando não é o propósito do atendimento.
- Prazo de retenção de conversa — guardar histórico indefinidamente não é prática segura só porque é tecnicamente possível.
- Processo claro pra atender pedido do titular: confirmação de tratamento, acesso, correção, eliminação, portabilidade — a LGPD garante esses direitos independente do canal onde a conversa aconteceu.
- Transferência de atendimento entre pessoas sem expor mais dado do que o necessário pra quem está assumindo a conversa.
O erro mais comum: achar que é só sobre não vazar dado
Vazamento é o risco mais falado, mas não é o único. Guardar dado além do necessário, dar acesso amplo demais pra quem não precisa, ou não ter processo pra quando um cliente pede exclusão — tudo isso é não conformidade mesmo sem incidente nenhum. LGPD não é só sobre reagir a vazamento, é sobre ter processo desenhado antes que o problema apareça.
O cliente não está pedindo pra sua empresa nunca errar. Está pedindo pra saber que existe processo, caso ele precise pedir algo sobre o próprio dado.
Isso não precisa ser complexo pra começar certo: definir quem acessa o quê, por quanto tempo guardar o histórico, e ter um caminho claro quando um cliente pede pra ver, corrigir ou excluir seus dados já cobre a maior parte do risco prático de uma operação de atendimento no WhatsApp.