WhatsApp corporativo pode ser monitorado? O que diz a LGPD e como fazer certo

Sim: a empresa pode registrar e analisar as conversas do WhatsApp corporativo com clientes, desde que tenha uma finalidade legítima, uma base legal da LGPD, transparência com a equipe e com os clientes, acesso restrito e prazo de retenção definido. O que não cabe é vasculhar conversas pessoais do funcionário. Este artigo explica a lógica, mas não substitui o seu jurídico.

A pergunta aparece em quase todo projeto de WhatsApp para equipes de vendas. O diretor comercial quer visibilidade sobre o que acontece nas conversas com clientes. O vendedor ouve "vão vigiar meu WhatsApp". O jurídico pergunta o que a Lei Geral de Proteção de Dados diz. Todos têm um pouco de razão, e a resposta depende de separar bem duas situações.

Aviso: este conteúdo é informativo e não é aconselhamento jurídico. Cada operação tem contrato, política e contexto próprios. Antes de implantar, valide o desenho com o seu jurídico e com o encarregado de dados (DPO) da empresa.

Duas perguntas diferentes: canal da empresa e conversa pessoal

Boa parte da confusão vem de misturar dois cenários que a lei e o bom senso tratam de forma muito diferente.

O primeiro caso é governança de um canal de atendimento e vendas, como um e-mail corporativo ou o telefone da central. O segundo é a vida privada do funcionário. Uma política bem escrita separa os dois e diz isso com todas as letras.

Uma referência útil vem da Justiça do Trabalho. Em 2005, o TST tratou o e-mail corporativo como ferramenta de trabalho e admitiu o controle moderado pelo empregador, com a finalidade de evitar abusos. Muitos advogados usam esse raciocínio por analogia para canais corporativos, mas WhatsApp não é e-mail, e cada caso depende de contrato, política e proporcionalidade.

O que a LGPD pede para o WhatsApp corporativo

A LGPD (Lei 13.709/2018) não fala de WhatsApp. Ela fala de tratamento de dados pessoais, e uma conversa com cliente é exatamente isso: nome, telefone, interesses, às vezes dados financeiros ou de saúde. Os pontos que mais pesam são estes.

Princípios (art. 6º)

O tratamento precisa observar a boa-fé e princípios como finalidade (propósitos legítimos, específicos e informados ao titular), necessidade (o mínimo necessário), transparência (informações claras sobre o tratamento), segurança e responsabilização e prestação de contas. Na prática: saber para que você registra as conversas, registrar só o que serve a isso e conseguir provar que faz certo.

Base legal (art. 7º)

Todo tratamento precisa de uma hipótese legal. No WhatsApp comercial, as mais discutidas são:

• Execução de contrato ou procedimentos preliminares (art. 7º, V), quando a conversa serve para negociar ou cumprir um contrato com o cliente que pediu o contato.
• Legítimo interesse (art. 7º, IX), por exemplo para registrar a conversa no CRM, manter o histórico da conta e avaliar a qualidade do atendimento.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II), em setores com dever de guardar registros.

O legítimo interesse tem regras próprias no art. 10: só os dados estritamente necessários podem ser tratados e o controlador deve garantir a transparência. Em fevereiro de 2024, a ANPD publicou um guia orientativo sobre o tema, que recomenda um teste de balanceamento antes de usar essa base. Vale fazê-lo por escrito.

Consentimento é possível, mas costuma ser uma base frágil para um canal de trabalho, porque pode ser revogado a qualquer momento. Essa escolha é do seu jurídico.

Retenção e eliminação (arts. 15 e 16)

O tratamento termina quando a finalidade é alcançada ou o período acaba, e os dados devem ser eliminados, salvo exceções como o cumprimento de obrigação legal. Guardar todas as conversas para sempre "porque pode servir" não combina com a lei. Defina um prazo e aplique.

Direitos dos titulares (art. 18)

Clientes podem pedir confirmação de que você trata os dados deles, acesso, correção, eliminação de dados desnecessários, entre outros. Se as conversas estão espalhadas em 80 celulares, atender a um pedido desses é quase impossível. Centralizar o canal com governança ajuda a cumprir a lei, não só a vender.

Registro, segurança e encarregado (arts. 37, 41 e 46)

A empresa deve manter registro das operações de tratamento, especialmente quando usa o legítimo interesse, adotar medidas técnicas e administrativas de segurança e indicar um encarregado. As sanções do art. 52 vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$50 milhões por infração.

Os vendedores também são titulares

Quando a empresa registra as conversas de um canal comercial, ela também trata dados do vendedor: o que ele escreveu, quando, com que tempo de resposta. Isso não impede a governança, mas exige o mesmo cuidado:

• Informar antes, por escrito. Política de uso do canal, assinada ou com ciência registrada.
• Dizer para que serve. Histórico do cliente, continuidade da carteira, qualidade e coaching. Não para punir por amostragem escondida.
• Proporcionalidade. Métricas de operação (tempo de resposta, follow-up vencido) são diferentes de ler conversa por conversa sem motivo.
• Quem vê o quê. O vendedor vê a carteira dele, o gestor vê o time dele, o jurídico acessa em caso de incidente.

O ponto mais delicado: o número do vendedor

Com a coexistência, o número que o vendedor já usa pode ser conectado à API oficial sem trocar de celular. Isso resolve a relação com o cliente, mas cria uma pergunta: e se o vendedor usa o mesmo número para conversas pessoais?

A Meta permite sincronizar as conversas individuais dos últimos 6 meses ao conectar o número. Se esse número mistura clientes e família, a empresa pode acabar recebendo dados que não tem por que tratar. Três decisões resolvem a maior parte do problema:

1. Número dedicado ao trabalho. O número conectado deve ser usado para clientes. Conversas pessoais ficam em outro número.
2. Combinado antes da conexão. O vendedor sabe o que será sincronizado e decide se compartilha o histórico, que é uma etapa explícita no fluxo da Meta.
3. Regra para o que não é cliente. A política diz o que acontece com contatos e conversas que não têm relação comercial.

Explicamos o funcionamento técnico no guia de coexistência no WhatsApp.

API oficial ou ferramenta não oficial

Para quem cuida de compliance, o canal importa tanto quanto a política.

A ferramenta não oficial é mais barata e mais rápida de começar, e isso é real. O preço aparece depois: número bloqueado, histórico perdido e nenhuma prova de como o dado foi tratado.

Checklist: como fazer certo

1. Defina a finalidade do registro das conversas: histórico, continuidade, qualidade, CRM.
2. Escolha e documente a base legal com o jurídico. Se for legítimo interesse, faça o teste de balanceamento.
3. Escreva a política de uso do canal corporativo e colha a ciência da equipe.
4. Atualize o aviso de privacidade para clientes, explicando que as conversas são registradas e para quê.
5. Use número dedicado ao trabalho, separado do pessoal.
6. Minimize: registre o que serve à finalidade e evite pedir dados sensíveis pelo chat sem necessidade.
7. Controle o acesso por papel, com login individual, de preferência via SSO.
8. Mantenha trilha de auditoria de quem acessou e fez o quê.
9. Defina a retenção e aplique a eliminação.
10. Prepare o atendimento aos titulares: acesso, correção e eliminação a partir de um lugar só.
11. Assine DPA com o fornecedor e confira subprocessadores e criptografia.
12. Use a API oficial, com um Tech Provider credenciado pela Meta.

Como a Sailer AI apoia essa governança

A Sailer AI é uma plataforma de CRM e agentes de IA para vendas no WhatsApp: conecta os números da marca e de cada vendedor à API oficial, coloca agentes de IA e pessoas na mesma caixa de entrada, preenche o CRM sozinha e mede cada conversa.

Do lado da governança, a Sailer é Tech Provider oficial da Meta, declara conformidade com a LGPD e a GDPR, disponibiliza DPA para assinatura, criptografa os dados em trânsito e em repouso e oferece acesso por papel, SSO com SAML e SCIM e trilha de auditoria das conversas e das ações dos agentes. Os detalhes estão na central de segurança.

No Sailer Fleet, cada número tem dono e permissão, a carteira muda de responsável com o histórico preservado e as métricas mostram a operação sem depender de prints. A política continua sendo da sua empresa. A ferramenta ajuda a cumpri-la e a provar que ela é cumprida. Para o lado de gestão, veja também o guia de gestão do WhatsApp da equipe de vendas.

Perguntas frequentes

A empresa pode ver as conversas do WhatsApp corporativo dos vendedores?

Pode, quando o número é um canal comercial da empresa com clientes e há finalidade definida, base legal, política escrita conhecida pela equipe, acesso restrito e retenção definida. Conversas pessoais do funcionário ficam fora. Como cada caso tem detalhes próprios, valide o desenho com o jurídico e o DPO.

Preciso de consentimento do cliente para registrar a conversa?

Nem sempre. A LGPD prevê outras bases legais, como execução de contrato e legítimo interesse, que costumam ser mais estáveis para um canal comercial. Em qualquer caso, o cliente deve ser informado de forma clara, por exemplo no aviso de privacidade. A escolha da base legal deve ser documentada pelo seu jurídico.

O que é WhatsApp corporativo para vários usuários?

É um número da empresa operado por várias pessoas, ou vários números de vendedores ligados a uma mesma plataforma, com permissões individuais, histórico central e métricas. Com a API oficial, cada usuário tem login próprio, e a empresa sabe quem respondeu o quê, o que também ajuda a cumprir a LGPD.

Usar ferramenta não oficial no WhatsApp é proibido pela LGPD?

A LGPD não proíbe ferramentas específicas. O problema é outro: ferramentas que conectam o WhatsApp por QR code fora da API oficial violam os termos do WhatsApp, podem ter o número banido e raramente oferecem controle de acesso, auditoria e contrato de tratamento de dados, o que dificulta demonstrar conformidade.

Quanto tempo posso guardar as conversas com clientes?

A LGPD não fixa um prazo único. Os dados devem ser eliminados quando a finalidade é alcançada, salvo exceções como obrigação legal ou regulatória. Defina o prazo com o jurídico, considerando contratos, setor e prescrição, registre a decisão na política e configure a retenção na ferramenta.