¿Se puede supervisar el WhatsApp corporativo? Qué dice la ley de datos de Brasil (LGPD) y cómo hacerlo bien

Sí: la empresa puede registrar y analizar las conversaciones del WhatsApp corporativo con clientes, siempre que tenga una finalidad legítima, una base legal, transparencia con el equipo y con los clientes, acceso restringido y un plazo de conservación definido. Lo que no se justifica es revisar los chats personales del empleado. Este artículo explica la lógica y no es asesoría legal.

La pregunta aparece en casi todo proyecto de WhatsApp para equipos de ventas. El director comercial quiere visibilidad sobre las conversaciones con clientes. El vendedor escucha "van a vigilar mi WhatsApp". El área legal pregunta qué dice la ley. Todos tienen algo de razón, y la respuesta depende de separar bien dos situaciones.

Nos enfocamos en Brasil, donde WhatsApp es el principal canal de ventas y las reglas vienen de la LGPD (Lei Geral de Proteção de Dados, Ley 13.709/2018). Si operas en otros países de América Latina, la lógica de finalidad, base legal, minimización y derechos del titular aparece en la mayoría de las leyes de datos de la región, pero los detalles cambian: valídalos localmente.

Aviso: este contenido es informativo y no es asesoría legal. Cada operación tiene contratos, políticas y contexto propios. Antes de implementar, valida el diseño con tu área legal y con el encargado de protección de datos (DPO).

Dos preguntas distintas: el canal de la empresa y el chat personal

Gran parte de la confusión viene de mezclar dos escenarios que la ley y el sentido común tratan de forma muy diferente.

El primer caso es gobernanza de un canal de ventas y atención, como un correo corporativo o la línea del call center. El segundo es la vida privada del empleado. Una buena política separa los dos y lo dice con claridad.

La justicia laboral brasileña ofrece una referencia útil. En 2005, el Tribunal Superior del Trabajo (TST) trató el correo corporativo como herramienta de trabajo y admitió un control moderado del empleador para evitar abusos. Muchos abogados aplican ese razonamiento por analogía a los canales corporativos, pero WhatsApp no es correo, y cada caso depende del contrato, la política y la proporcionalidad.

Qué pide la LGPD para el WhatsApp corporativo

La LGPD no menciona WhatsApp. Habla de tratamiento de datos personales, y una conversación con un cliente es exactamente eso: nombre, teléfono, intereses, a veces datos financieros o de salud. Estos son los puntos que más pesan.

Principios (art. 6)

El tratamiento debe seguir la buena fe y principios como finalidad (propósitos legítimos, específicos e informados al titular), necesidad (lo mínimo necesario), transparencia, seguridad y responsabilidad y rendición de cuentas. En la práctica: saber para qué registras las conversaciones, registrar solo lo que sirve a eso y poder demostrarlo.

Base legal (art. 7)

Todo tratamiento necesita una base legal. En ventas por WhatsApp, las más discutidas son:

• Ejecución de contrato o procedimientos preliminares (art. 7, V), cuando el chat sirve para negociar o cumplir un contrato que el cliente pidió.
• Interés legítimo (art. 7, IX), por ejemplo para registrar la conversación en el CRM, mantener el historial de la cuenta y evaluar la calidad de la atención.
• Cumplimiento de obligación legal o regulatoria (art. 7, II), en sectores obligados a guardar registros.

El interés legítimo tiene reglas propias en el art. 10: solo se pueden tratar los datos estrictamente necesarios y el controlador debe garantizar la transparencia. En febrero de 2024, la autoridad brasileña de protección de datos (ANPD) publicó una guía sobre el tema que recomienda una prueba de ponderación antes de usar esa base. Hazla por escrito.

El consentimiento es posible, pero suele ser una base frágil para un canal de trabajo, porque se puede revocar en cualquier momento. Esa decisión es de tu área legal.

Conservación y eliminación (arts. 15 y 16)

El tratamiento termina cuando se cumple la finalidad o vence el plazo, y los datos deben eliminarse, salvo excepciones como una obligación legal. Guardar todas las conversaciones para siempre "por si acaso" no encaja con la ley. Define un plazo y aplícalo.

Derechos de los titulares (art. 18)

Los clientes pueden pedir confirmación del tratamiento, acceso, corrección, eliminación de datos innecesarios, entre otros. Si las conversaciones están repartidas en 80 celulares, atender una solicitud así es casi imposible. Centralizar el canal con gobernanza ayuda a cumplir la ley, no solo a vender.

Registro, seguridad y encargado (arts. 37, 41 y 46)

La empresa debe mantener registro de las operaciones de tratamiento, en especial con interés legítimo, adoptar medidas de seguridad técnicas y administrativas y designar un encargado. Las sanciones del art. 52 van de la advertencia a multas de hasta 2% de la facturación en Brasil, con un tope de R$50 millones por infracción.

Los vendedores también son titulares

Cuando la empresa registra un canal comercial, también trata datos del vendedor: qué escribió, cuándo y con qué tiempo de respuesta. Eso no impide la gobernanza, pero exige el mismo cuidado:

• Informar antes, por escrito. Una política de uso del canal, firmada o con constancia de lectura.
• Decir para qué sirve. Historial del cliente, continuidad de la cartera, calidad y coaching. No revisiones ocultas para castigar.
• Proporcionalidad. Las métricas operativas (tiempo de respuesta, seguimientos vencidos) son distintas de leer chat por chat sin motivo.
• Quién ve qué. El vendedor ve su cartera, el gerente ve su equipo, legal accede ante un incidente.

El punto más delicado: el número del vendedor

Con la coexistencia de WhatsApp, el número que el vendedor ya usa puede conectarse a la API oficial sin cambiar de celular. Eso protege la relación con el cliente, pero abre una pregunta: ¿y si el vendedor usa el mismo número para chats personales?

Meta permite sincronizar los chats individuales de los últimos 6 meses al conectar el número. Si ese número mezcla clientes y familia, la empresa puede recibir datos que no tiene por qué tratar. Tres decisiones resuelven la mayor parte:

1. Número exclusivo para el trabajo. El número conectado es para clientes. Los chats personales van en otro número.
2. Acuerdo antes de conectar. El vendedor sabe qué se sincronizará y decide si comparte el historial, un paso explícito en el flujo de Meta.
3. Regla para lo que no es cliente. La política define qué pasa con contactos y chats sin relación comercial.

Explicamos el funcionamiento técnico en la guía de coexistencia de WhatsApp.

API oficial o herramienta no oficial

Para quien cuida el cumplimiento, el canal importa tanto como la política.

La herramienta no oficial es más barata y rápida de empezar, y eso es real. La cuenta llega después: número bloqueado, historial perdido y ninguna prueba de cómo se trataron los datos.

Lista de verificación: cómo hacerlo bien

1. Define la finalidad del registro: historial, continuidad, calidad, CRM.
2. Elige y documenta la base legal con tu área legal. Si es interés legítimo, haz la prueba de ponderación.
3. Escribe la política de uso del canal y recoge la constancia del equipo.
4. Actualiza el aviso de privacidad para clientes, explicando que las conversaciones se registran y para qué.
5. Usa un número exclusivo para el trabajo.
6. Minimiza: registra lo que sirve a la finalidad y evita pedir datos sensibles por chat sin necesidad.
7. Controla el acceso por rol, con usuario individual, idealmente vía SSO.
8. Mantén registro de auditoría de quién accedió e hizo qué.
9. Define la conservación y aplica la eliminación.
10. Prepara la atención a titulares: acceso, corrección y eliminación desde un solo lugar.
11. Firma un DPA con el proveedor y revisa subprocesadores y cifrado.
12. Usa la API oficial, con un Tech Provider acreditado por Meta.

Cómo Sailer AI apoya esta gobernanza

Sailer AI es una plataforma de CRM y agentes de IA para ventas por WhatsApp: conecta los números de la marca y de cada vendedor a la API oficial, pone agentes de IA y personas en la misma bandeja multiagente, llena el CRM sola y mide cada conversación.

En gobernanza, Sailer es Tech Provider oficial de Meta, declara cumplimiento de la LGPD y del GDPR, ofrece DPA para firma, cifra los datos en tránsito y en reposo y ofrece acceso por rol, SSO con SAML y SCIM y registro de auditoría de conversaciones y acciones de los agentes. Los detalles están en el centro de seguridad.

En Sailer Fleet, cada número tiene responsable y permisos, la cartera cambia de manos con el historial intacto y las métricas muestran la operación sin capturas de pantalla. La política sigue siendo de tu empresa. La herramienta ayuda a cumplirla y a demostrarlo. Para la parte de gestión, mira la guía para gestionar el WhatsApp del equipo de ventas.

Preguntas frecuentes

¿La empresa puede ver los chats del WhatsApp corporativo de sus vendedores?

Sí, cuando el número es un canal comercial de la empresa con clientes y hay finalidad definida, base legal, una política escrita que el equipo conoce, acceso restringido y conservación definida. Los chats personales del empleado quedan fuera. Cada caso tiene sus detalles, así que valida el diseño con legal y tu DPO.

¿Necesito el consentimiento del cliente para registrar la conversación?

No siempre. La LGPD prevé otras bases legales, como la ejecución de contrato y el interés legítimo, que suelen ser más estables para un canal comercial. En cualquier caso, el cliente debe estar informado con claridad, por ejemplo en el aviso de privacidad. Tu área legal debe documentar la base elegida.

¿Qué es un WhatsApp multiagente corporativo?

Es un número de la empresa operado por varias personas, o varios números de vendedores conectados a una misma plataforma, con permisos individuales, historial central y métricas. Con la API oficial, cada usuario tiene su propio acceso y la empresa sabe quién respondió qué, lo que también facilita demostrar el cumplimiento.

¿Usar herramientas no oficiales de WhatsApp está prohibido por la LGPD?

La LGPD no prohíbe herramientas específicas. El problema es otro: las herramientas que conectan WhatsApp por código QR fuera de la API oficial violan los términos de WhatsApp, pueden provocar el bloqueo del número y rara vez ofrecen control de acceso, auditoría o contrato de tratamiento de datos.

¿Cuánto tiempo puedo guardar las conversaciones con clientes?

La LGPD no fija un plazo único. Los datos deben eliminarse cuando se cumple la finalidad, salvo excepciones como obligaciones legales o regulatorias. Define el plazo con legal, considerando contratos, sector y plazos de prescripción, registra la decisión en la política y configura la conservación en la herramienta.