Um agente no WhatsApp lida com mensagens, identificadores e, às vezes, dados de pedido ou saúde. Escolher a tecnologia sem mapear esses dados pode expor informações desnecessárias a equipes e fornecedores. A pergunta central é quais dados cada fluxo precisa acessar e o que acontece depois da conversa.
A LGPD exige finalidade, necessidade, transparência e segurança. Os termos da solução WhatsApp Business também condicionam o uso dos dados. Leia as versões vigentes e o contrato do provedor antes de conectar um agente.
Em resumo
- Liste dados coletados, fonte, finalidade, acesso e prazo de retenção.
- Separe informação pública de dados de cliente autenticado.
- Faça o agente pedir confirmação antes de ações relevantes.
- Teste solicitação de acesso, correção e exclusão conforme o caso.
O que mapear antes de integrar o CRM?
Comece pela jornada: a pessoa inicia conversa, informa a necessidade, recebe resposta, talvez envia dado de pedido e pode ser transferida. Em cada etapa, pergunte qual informação é indispensável. Nome e número podem bastar para retorno; detalhes de pagamento, documentos pessoais e histórico completo não devem entrar no prompt por conveniência.
Registre onde mensagens e logs ficam, quem os acessa e quando são apagados. Diferencie dados no WhatsApp, no integrador, no modelo de IA e no CRM. Uma solução “própria” pode depender de serviços externos; a localização do código não responde onde os dados são processados.
Como testar o controle de acesso?
Crie perfis de atendimento com permissões mínimas. Um agente que consulta pedidos deve receber apenas os dados necessários daquele cliente, após verificação apropriada. Teste tentativa de obter pedido de outra pessoa, instruções maliciosas enviadas na conversa e resposta que mistura contextos. Registre falhas e bloqueie o piloto até corrigi-las.
Para ações, como alterar agendamento, peça confirmação explícita e guarde trilha de quem solicitou, qual regra autorizou e qual sistema executou. Logs ajudam a investigar, mas não justificam retenção indefinida. A ANPD publica orientação sobre legítimo interesse; a hipótese não cobre dados sensíveis e exige análise contextual.
Meta ou agente próprio muda a obrigação?
O controlador precisa avaliar finalidades, bases legais, segurança e fornecedores em ambos os modelos. Compare contratos, acesso aos dados, possibilidade de exportação, retenção, incidentes e funções de exclusão. Peça documentação em vez de assumir que um rótulo “privado” resolve a LGPD.
Posso enviar o histórico inteiro para melhorar respostas?
Só use dados necessários para a finalidade definida e informe o titular conforme a lei. Converse com o encarregado ou jurídico sobre base legal, retenção e fornecedores. Histórico amplo aumenta risco sem garantir qualidade.
Log de conversa prova conformidade?
Não. Ele é uma peça de rastreabilidade. Conformidade também depende de finalidade, minimização, controles e atendimento aos direitos das pessoas.
Próximo passo
Desenhe um mapa de dados de uma conversa típica e remova acessos que não são necessários. O comparativo de agentes ajuda a avaliar o produto; se precisa integrar CRM com controles específicos, descreva o fluxo.