Na quinta parte traçamos a linha entre o que o assistente responde e o que um funcionário resolve, e exigimos uma transferência que leve junto a conversa inteira. Tudo o que construímos até aqui depende de uma única coisa: o registro das conversas com seus clientes. E esse registro não é um arquivo operacional: são dados pessoais regidos por lei.

Esta parte não é um texto para assustar nem uma leitura de artigos de lei. A maior parte do que uma pequena ou média empresa precisa se resume a decisões de gestão simples, tomadas uma única vez, antes do lançamento, que custam uma hora de reunião e não um consultor. Tomá-las depois do lançamento custa muitas vezes mais.

Uma conversa de WhatsApp é dado pessoal, e você é responsável por ela

A Lei de Proteção de Dados Pessoais (PDPL) do Reino está em vigor desde 14 de setembro de 2023, o período de carência para adequação terminou em 14 de setembro de 2024, e a Autoridade Saudita de Dados e Inteligência Artificial (SDAIA) é a autoridade supervisora. Seu alcance é mais amplo do que muitos empresários imaginam: abrange qualquer tratamento de dados de pessoas dentro do Reino, por qualquer meio, e se estende a entidades fora do Reino que tratam dados de pessoas que estão nele.

Quando uma cliente envia o nome, o número e o endereço de casa para agendar um horário de instalação, isso é dado pessoal perante a lei, não um bate-papo passageiro. E o que a maioria ignora é o quanto uma conversa realmente contém: nomes e números, fotos de documento de identidade ou de residência que os clientes enviam sem que ninguém peça, endereços residenciais, imagens de documentos e notas fiscais e, às vezes, dados de saúde ou financeiros mencionados de passagem em uma reclamação. Um assistente de IA não cria esses dados, mas faz com que fiquem armazenados, indexados e pesquisáveis, em vez de perdidos no celular de um funcionário. Isso já é uma melhoria operacional por si só, e também aumenta a sua responsabilidade.

A base legal e a notificação ao cliente

Você não trata dados pessoais sem um motivo legítimo. Para a maioria das empresas a base é simples: o próprio cliente iniciou a conversa pedindo um serviço, e entregar o que ele pediu exige tratar seus dados. É uma base sólida para responder à consulta e preparar o pedido. Ela não se estende automaticamente a nada que ele não pediu.

Vale a pena parar na distinção prática. Responder à consulta de um cliente é uma coisa; incluir o número dele um mês depois em um disparo de marketing em massa é algo completamente diferente. O primeiro entrega o que ele pediu; o segundo é uma nova finalidade que precisa do consentimento explícito dele. É a infração mais comum que vemos no mercado, justamente porque parece gratuita e inofensiva.

Quanto ao aviso, exige-se menos do que você imagina: uma linha curta no início da conversa, ou uma política de privacidade no seu site para a qual o assistente aponte, dizendo quem você é, por que coleta os dados, por quanto tempo os guarda, com quem os compartilha e como o cliente exerce seus direitos. Escreva em uma linguagem que seu cliente entenda, não em linguagem de contrato.

Colete o mínimo e exclua o que já cumpriu sua finalidade

A regra mais fácil de aplicar de toda a lei: dados que você nunca coletou não podem vazar nem ser cobrados de você. O controle começa aí, na redação das próprias perguntas do assistente.

  • Peça só o que o serviço precisa. Se um agendamento precisa de nome, número e bairro, não faça o assistente pedir número de documento ou data de nascimento só porque o campo existe no seu antigo formulário em papel.
  • Bloqueie documentos sensíveis no chat. Fotos de documento de identidade e cartões bancários não se pedem pelo WhatsApp. Coloque-os na lista de recusas que montamos na quarta parte e leve o cliente para um canal adequado se for realmente necessário.
  • Defina por escrito um prazo de retenção. Escolha um por tipo: conversas de consulta que nunca viraram pedido, e pedidos concluídos cujos registros você precisa manter por motivos contábeis e regulatórios. O que importa é que o prazo esteja escrito e seja aplicado, e não fique em aberto para sempre.
  • Faça da exclusão um procedimento, não uma intenção. Um prazo de retenção sem um mecanismo por trás é um arquivo permanente com outro nome. Pergunte ao seu fornecedor como excluir uma conversa ou um cliente inteiro e quando isso realmente desaparece dos backups dele.

Quem na sua equipe pode ver as conversas?

O maior risco prático para os dados dos seus clientes não é um vazamento externo: é o acesso interno sem restrições. Quando as conversas ficam no celular pessoal de um funcionário, saem da empresa com ele no dia em que pede demissão, e você não tem nem uma cópia nem controle algum. Levar as conversas para um sistema central resolve isso, desde que você controle quem vê o quê.

Três decisões de gestão bastam: cada funcionário vê as conversas atribuídas a ele ou relevantes para o seu trabalho, não todas; cada usuário tem uma conta nominal, e não um login compartilhado que passa de mão em mão na equipe, para que você saiba quem viu o quê; e o acesso é revogado no mesmo dia em que o vínculo de trabalho termina, não semanas depois. Inclua nos contratos de trabalho e nos procedimentos uma cláusula que proíba exportar dados de clientes ou retirá-los do sistema.

Quando as conversas saem do Reino

Esta é a parte que os empresários deixam passar completamente, porque é invisível. Um assistente de IA funciona sobre um modelo de linguagem, e esse modelo pode estar hospedado fora do Reino, o que significa que o texto da conversa do seu cliente pode atravessar a fronteira para gerar a resposta.

A lei restringe a transferência de dados pessoais para fora do Reino a casos e controles definidos, e não a deixa a critério do fornecedor. Você não precisa ser especialista em direito: precisa fazer três perguntas por escrito a qualquer fornecedor e guardar as respostas documentadas:

  • Onde as conversas dos meus clientes são armazenadas e onde são processadas? Os dados saem do Reino em alguma etapa?
  • Se saem, em qual base e em quais controles vocês se apoiam para a transferência?
  • Vocês usam as conversas dos meus clientes para treinar seus modelos ou para qualquer finalidade própria?

A terceira pergunta é a mais importante do ponto de vista comercial e a menos feita. Os dados dos seus clientes são seus, e um fornecedor que os guarda para prestar um serviço não tem permissão para usá-los com outra finalidade. Deixe a proibição explícita no contrato, em vez de implícita pelo contexto.

Os direitos do cliente, e onde termina a sua responsabilidade e começa a do seu fornecedor

A lei garante ao titular dos dados direitos claros: ser informado de que seus dados estão sendo coletados e por quê, acessá-los e obter uma cópia, pedir a correção e pedir a destruição quando a finalidade deixar de existir. Não são textos teóricos: são pedidos que um dia podem chegar na mesma conversa de WhatsApp, então sua equipe precisa saber o que fazer quando um chegar, e seu sistema precisa de um botão que o execute, e não de um processo manual trabalhoso.

Resta o ponto que encerra a maioria das discussões com fornecedores: você é o controlador, porque define a finalidade e a forma do tratamento, e o fornecedor do assistente de IA é um operador que age em seu nome. A responsabilidade legal perante o seu cliente continua sendo sua, mesmo quando a falha é técnica e está no fornecedor. Por isso, exija um contrato escrito que defina o que ele pode e não pode fazer com seus dados, o obrigue a avisar você sem demora sobre qualquer incidente e estabeleça o que acontece com seus dados no dia em que a relação terminar: devolvidos por completo e depois destruídos do lado dele.

A visão da Origami

No Mahir, o assistente de IA da Origami para WhatsApp, o assistente funciona no número que sua empresa já tem, sem número novo e sem aplicativo extra no celular do funcionário, e a conexão é uma leitura única de QR code, de modo que as conversas com seus clientes ficam em um sistema da empresa, e não espalhadas por aparelhos pessoais que vão embora junto com seus donos. O treinamento começa quando você dá a ele o link do seu site para ler e preencher seus dados; depois você acrescenta os serviços, os preços e as perguntas frequentes com respostas que você aprova. Há dois níveis à sua escolha: Malik para perguntas diretas, rápidas e repetitivas, e Mahir para conversas longas, pedidos compostos e objeções; você pode trocar a qualquer momento sem reconectar e sem perder o treinamento, e o teste é gratuito. Quanto às seis perguntas desta parte sobre local de armazenamento, transferências para fora do Reino e uso dos dados para treinamento: faça-as por escrito a qualquer fornecedor que você estiver avaliando, inclusive a nós, e deixe a resposta no contrato.

Conclusão

O que se exige de você é menos do que aquilo que assusta: uma base legal clara, um aviso curto e compreensível, coletar o mínimo necessário, um prazo de retenção por escrito seguido de exclusão real, acesso controlado dentro da sua equipe, respostas documentadas sobre onde os dados ficam, como circulam e como são usados, e um contrato escrito com seu fornecedor em que cada lado conhece o seu papel. Tome essas decisões antes do lançamento: são muito mais fáceis do que corrigi-las depois. Resta a última pergunta do empresário: o que tudo isso traz de retorno e como implantar em uma única semana? Essa é a sétima parte, e o fim da série.

Fontes

  • Autoridade Saudita de Dados e Inteligência Artificial (SDAIA): a Lei de Proteção de Dados Pessoais e seu Regulamento de Implementação: alcance, base legal para o tratamento, direitos do titular dos dados e obrigações de controladores e operadores.
  • SDAIA: o Regulamento de Transferência de Dados Pessoais para fora do Reino e os controles associados.
  • SDAIA: guias e ferramentas de conformidade publicados para controladores nas plataformas da Autoridade.
  • Visão Saudita 2030: a economia digital e a construção da confiança do consumidor nas transações digitais.