CRM para WhatsApp e LGPD: o que é da empresa e o que é do fornecedor

Resposta curta

Num CRM para WhatsApp, quem decide para que os dados dos clientes são usados é a sua empresa, que pela LGPD é a controladora; o fornecedor do CRM, em regra, é o operador, que trata os dados em nome dela e segundo as instruções dela. Por isso, escolher um CRM adequado à LGPD é escolher um operador que documente bem o que faz: onde os dados ficam, quem mais os trata, como incidentes são comunicados e o que acontece com eles no fim do contrato.

Nenhuma ferramenta torna uma empresa "conforme" sozinha. A base legal de cada uso, o aviso aos titulares e o atendimento aos pedidos deles continuam com a empresa controladora.

Quem é quem

• Controlador: a sua empresa. Decide por que e para que os dados dos contatos são tratados, e responde por isso.
• Operador: o fornecedor do CRM, que trata os dados em nome do controlador e segundo as instruções dele. Se descumprir a LGPD ou essas instruções, também responde (art. 42). No Vimel CRM, o acordo de tratamento de dados (DPA) diz que o cliente é o controlador e a Vimel Tech, em regra, a operadora; para conta, cobrança e segurança, ela trata dados em nome próprio.
• Suboperadores: os fornecedores que o operador usa para prestar o serviço, como a Meta na API Oficial do WhatsApp. Vale pedir a lista e saber se o operador avisa antes de trocar.

O que olhar no fornecedor do CRM

1. Acordo de tratamento de dados (DPA) público, com papéis, instruções, segurança, incidentes e eliminação.
2. Lista de suboperadores, com país e salvaguarda de cada transferência internacional.
3. Onde os dados ficam e como saem do país. Enviar dados ao exterior exige uma das hipóteses do art. 33 da LGPD, regulamentadas pela Resolução CD/ANPD nº 19/2024, como as cláusulas-padrão contratuais da ANPD. No Vimel CRM, o armazenamento primário é em infraestrutura no Brasil, gerida pela Vimel Tech; os fornecedores no exterior estão na lista de suboperadores, com o país e a salvaguarda de cada um.
4. Prazo de aviso de incidente. Se um incidente pode causar risco ou dano relevante aos titulares, o controlador tem 3 dias úteis para comunicá-lo à ANPD e aos titulares, contados de quando soube que dados pessoais foram afetados (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º). A resolução não dá prazo ao operador, então é o contrato que garante o aviso a tempo. No DPA do Vimel CRM, a Vimel Tech avisa o cliente em até 48 horas depois de saber de um incidente que possa acarretar risco ou dano relevante.
5. Fim do contrato. Como os dados são exportados e quando são eliminados. No Vimel CRM: exportação por até 30 dias e, depois disso, eliminação em até 60 dias, ressalvadas as retenções legais, as cópias nos suboperadores, que expiram pelos ciclos deles, e os backups, eliminados na rotação.
6. Encarregado (DPO) e canal para titulares, com nome e contato publicados. No Vimel CRM, estão na seção 11 da política de privacidade.

API Oficial e QR Code mudam o caminho dos dados

• API Oficial (Cloud API): a Meta atua como operadora do canal e, pelos termos dela, retém as mensagens por até 30 dias para prestar o serviço, como registra a política de privacidade da Vimel Tech.
• QR Code: no Vimel CRM, a conexão passa por um gateway hospedado pela própria Vimel Tech, e as mensagens ficam armazenadas na infraestrutura dela. A transcrição de notas de voz, os demais recursos de IA e as notificações no celular usam fornecedores da lista de suboperadores. É uma modalidade não oficial, com risco de restrição do número pela Meta, e isso está nos termos de uso.

Vale perguntar a qualquer fornecedor por qual caminho as mensagens passam em cada modo de conexão.

IA dentro do CRM

Quando o CRM transcreve áudios, resume conversas, preenche campos ou responde com um agente, o conteúdo vai para o fornecedor do modelo de IA, que entra na lista de suboperadores. Pergunte qual é o fornecedor, se ele usa os dados para treinar modelos e por quanto tempo os guarda.

No Vimel CRM, a OpenAI fornece os modelos de linguagem e a transcrição de áudio, e a LlamaCloud faz a leitura (OCR) dos documentos enviados para extração. As notas de voz recebidas pelo WhatsApp são transcritas automaticamente; nos demais recursos, a OpenAI recebe só o conteúdo e o contexto necessários para a ação pedida. Pela política da API da OpenAI, os dados não são usados para treinar modelos e ficam retidos por no máximo 30 dias. Os Termos de IA dizem que a Vimel Tech só contrata fornecedores de IA com compromisso contratual de não treinar modelos com os dados enviados, e que ela mesma não usa conteúdo de clientes para treinar modelos, próprios ou de terceiros.

Os Termos de IA também pedem revisão humana do que a IA produz e vedam usá-la como base única de decisão com efeito jurídico ou significativo sobre a pessoa (LGPD, art. 20).

Dados sensíveis

A LGPD trata como sensíveis, entre outros, os dados de saúde, de convicção religiosa e de filiação a organização religiosa (art. 5º, II). Eles só podem ser tratados nas hipóteses do art. 11, que não incluem o legítimo interesse; numa clínica, por exemplo, uma delas é a tutela da saúde em procedimento feito por profissional ou serviço de saúde (art. 11, II, f).

Clínicas e paróquias que atendem pelo WhatsApp lidam com esses dados todo dia, na conversa, nos anexos e nos campos do CRM. Antes de criar um campo, vale perguntar se a informação precisa mesmo ficar ali, e quem da equipe precisa vê-la.

O que continua com a sua empresa

• Base legal para cada uso. Atender quem procurou a empresa, cumprir um contrato e mandar campanhas de marketing são usos diferentes, e cada um precisa de uma base legal própria.
• Transparência. O titular precisa saber que a empresa trata os dados dele e para quê, normalmente pela política de privacidade da empresa.
• Encarregado. A empresa controladora indica um encarregado e divulga o contato dele (art. 41), salvo as dispensas que a ANPD prevê para agentes de pequeno porte.
• Pedidos dos titulares. Confirmação, acesso, correção, eliminação e os demais direitos do art. 18 da LGPD são atendidos pela controladora. Confirmação e acesso têm prazo: na hora, em formato simplificado, ou em até 15 dias, em declaração completa (art. 19). O operador ajuda; no Vimel CRM, o DPA prevê esse auxílio, e o pedido que chegar à Vimel Tech é encaminhado ao cliente.
• Por quanto tempo guardar. A LGPD pede eliminar os dados quando a finalidade termina, ressalvadas as exceções do art. 16, como o cumprimento de obrigação legal. No Vimel CRM, conversas e mídias ficam guardadas enquanto a conta existir ou até a exclusão ser pedida, então o prazo de guarda é decisão da empresa.
• Mensagens que a empresa inicia. Pela API Oficial, elas usam templates aprovados pela Meta. Em qualquer conexão, as regras do WhatsApp e os termos de uso do Vimel CRM pedem que a pessoa tenha concordado antes em receber mensagens da empresa, e o pedido para parar precisa ser respeitado.
• Quem na equipe vê o quê. Restringir o acesso de cada usuário ao que ele precisa é uma medida de segurança da própria empresa (art. 46). No Vimel CRM, um usuário novo nasce com tudo liberado, e a restrição é feita usuário por usuário, em Usuários e permissões. As notificações no celular podem mostrar o nome do contato e um trecho da mensagem; em clínicas e escritórios, vale configurar os aparelhos para não exibir o conteúdo na tela bloqueada.

Fontes

• Lei Geral de Proteção de Dados (Lei nº 13.709/2018)
• Resolução CD/ANPD nº 15/2024, comunicação de incidentes
• DPA LGPD da Vimel Tech
• Política de Privacidade da Vimel Tech
• Lista de suboperadores
• Termos de Uso
• Termos de IA

Transparência: este artigo é mantido pela Vimel Tech, criadora do Vimel CRM. É um conteúdo informativo, e não um parecer jurídico: para a sua operação, consulte o encarregado ou o jurídico da sua empresa. O que ele diz sobre o Vimel CRM resume os documentos listados em Fontes, na versão vigente na data de atualização; se houver diferença, valem os documentos.