A empresa que contrata o atendimento continua sendo a controladora dos dados. O fornecedor da automação é operador. Antes de ligar o bot, é preciso ter aviso de privacidade atualizado, contrato com termo de processamento, controle sobre onde os dados ficam e um caminho claro para exclusão a pedido do titular.
Quando o atendimento passa a ser feito por um agente conversacional, nada muda na estrutura de responsabilidade da LGPD. E é justamente por isso que muita gente erra. A tentação é achar que “é a IA que está atendendo”. Perante a lei, é a sua empresa.
Quem é o quê nessa relação
A empresa que atende os clientes decide por que e como os dados são tratados, então ela é a controladora. Quem construiu e mantém a automação trata os dados em nome dela, então é a operadora. O fornecedor do modelo de linguagem entra como suboperador, e isso precisa estar declarado em algum lugar.
A consequência prática aparece rápido. Se um cliente pedir exclusão dos dados ou reclamar do tratamento, quem responde é a empresa contratante. Ela precisa ter como cumprir o pedido, o que significa ter acesso e controle sobre a base, sem depender da boa vontade de um fornecedor.
A base legal costuma ser mais simples do que parece
Quando o cliente inicia a conversa pedindo um atendimento, o tratamento dos dados necessários para responder se apoia na execução de contrato ou em procedimentos preliminares a ele. Você não precisa pedir consentimento formal para responder a quem perguntou o preço de um serviço.
O cuidado está nos usos adicionais. Usar aquele contato para disparo de marketing depois, enriquecer cadastro, ou treinar modelo com o conteúdo das conversas. Esses usos têm base legal própria e alguns exigem consentimento específico. É aqui que se cria problema, não no atendimento em si.
Dado sensível pede atenção redobrada
Clínica é o caso mais evidente. Uma mensagem como “preciso remarcar minha sessão de fisioterapia” contém dado de saúde, que tem proteção reforçada. Isso não impede a automação, mas exige alguns cuidados:
- Coletar o mínimo necessário. O agente não precisa perguntar diagnóstico para marcar horário.
- Restringir quem enxerga a conversa dentro da empresa, com contas individuais e registro de acesso.
- Definir por quanto tempo o histórico fica guardado e apagar quando o prazo vence, automaticamente.
O que precisa estar no contrato com o fornecedor
Peça e confira:
- Termo de processamento de dados, deixando explícito que a contratante é controladora e o fornecedor é operador, com a finalidade descrita.
- Lista de suboperadores. Qual provedor de modelo de linguagem, qual hospedagem, qual provedor de mensageria.
- Onde os dados ficam e o que acontece com eles no encerramento do contrato, incluindo exportação e prazo de eliminação.
- Compromisso de não usar os dados para treinar modelos. Os provedores corporativos oferecem essa garantia nos planos de API. Confirme que ela está sendo usada.
- Procedimento de incidente. Quem avisa quem, em quanto tempo, e quem comunica a autoridade e os titulares se for o caso.
O aviso ao cliente é simples e obrigatório
São duas coisas. A pessoa precisa saber que está falando com um sistema automatizado e precisa ter um caminho para falar com um humano. Uma linha na primeira mensagem resolve o primeiro ponto. Um “atendente” que realmente funcione resolve o segundo.
Além disso, o aviso de privacidade da empresa precisa mencionar o atendimento automatizado por WhatsApp, quais dados são tratados e por quanto tempo. É atualização de meia página, e é o que costuma estar faltando.
Checagem antes de ligar
- Aviso de privacidade atualizado e acessível.
- Contrato com termo de processamento assinado.
- Acesso ao painel com conta individual por pessoa, sem senha compartilhada.
- Prazo de retenção definido e rotina de exclusão funcionando.
- Caminho testado para atender pedido de exclusão de um titular.
- Backup com restauração testada, porque perder dados de clientes também é incidente.
- Transbordo para humano funcionando e visível.
Automatizar bem melhora a conformidade
Vale dizer o outro lado dessa história. O cenário anterior, com conversas no celular pessoal de cada funcionário, sem registro, sem controle de acesso, sem prazo de retenção e saindo da empresa junto com quem pede demissão, é bem pior do ponto de vista de proteção de dados.
Um atendimento centralizado, com contas individuais, registro de acesso, retenção definida e exclusão automatizada, é mais fácil de auditar e de defender. Automação feita direito é ganho de conformidade, não risco novo.
A DCODER implanta atendimento com IA com contrato formal, termo de processamento de dados e infraestrutura sob controle do cliente. Fale com o estúdio em dcoder.io.