IA de atendimento e RGPD: é legal em Portugal? Checklist para o seu negócio
Resposta curta: sim, usar uma IA para atender chamadas e responder a mensagens é legal em Portugal, desde que cumpra o RGPD — aviso de gravação no início da chamada, uma base legal para o tratamento, recolha apenas do necessário, dados alojados em condições adequadas (idealmente na UE) e um contrato de subcontratação com o fornecedor. Nenhuma destas condições é difícil. Todas têm de estar tratadas antes de ativar, não depois.
Este artigo é informação geral sobre como o serviço funciona e o que verificar. Não substitui aconselhamento jurídico nem a avaliação do encarregado de proteção de dados, se o seu negócio tiver um.
Porque é que isto importa mais do que parece
Uma conversa de WhatsApp com um cliente contém dados pessoais: nome, número, o que pediu, quando vem. Uma chamada gravada é um dado pessoal por si só. Numa clínica, o motivo de uma consulta pode ser um dado de saúde — categoria especial, com regras mais apertadas.
A IA não muda a lei. Muda a escala: em vez de uma pessoa a anotar num caderno, há um sistema a registar tudo. O que era informal passa a ser tratamento de dados, e o RGPD aplica-se por inteiro.
A checklist
1. Aviso de gravação (chamadas)
Se as chamadas forem gravadas — e a maioria dos assistentes de voz grava, pelo menos para transcrição — quem liga tem de ser informado no início da chamada. Uma frase chega: «Esta chamada é gravada para garantir a qualidade do atendimento.» Sem aviso, a gravação é ilícita.
Confirme com o fornecedor: a IA diz o aviso automaticamente? Pode personalizá-lo? Consegue desativar a gravação se preferir?
2. Base legal
Todo o tratamento precisa de uma base. Para atender e marcar, a base habitual é a execução de contrato ou diligências pré-contratuais — o cliente contactou para obter um serviço. Para lembretes de marcação, a mesma. Para mensagens de marketing (promoções, novidades), já é preciso consentimento explícito, separado.
Não use a IA para enviar promoções a quem só ligou a perguntar o preço.
3. Minimização
Recolha só o necessário para o fim. Para marcar: nome, contacto, serviço, data. Não é preciso morada, data de nascimento nem «como soube de nós». Numa clínica, o assistente não deve recolher histórico clínico — o motivo administrativo da consulta chega; o resto é para o médico.
Verifique o que a IA pergunta por defeito e corte o que não precisa.
4. Onde ficam os dados
Pergunte ao fornecedor onde estão alojados os dados (servidores) e as conversas. Na União Europeia evita a complexidade das transferências internacionais. Se estiverem fora, o fornecedor tem de ter um mecanismo válido de transferência (cláusulas contratuais-tipo, decisão de adequação) e deve dizê-lo por escrito.
Pergunte também quanto tempo ficam guardados e se pode definir um prazo de eliminação.
5. Contrato de subcontratação
O seu negócio é o responsável pelo tratamento. O fornecedor da IA é o subcontratante — trata dados por sua conta. O RGPD exige um contrato escrito entre os dois (Data Processing Agreement, ou acordo de subcontratação) que defina o que o fornecedor pode fazer, as medidas de segurança e o que acontece quando o serviço termina.
Se o fornecedor não tiver este contrato pronto para assinar, é um sinal.
6. Direitos dos titulares
Os clientes podem pedir acesso aos seus dados, retificação ou eliminação. Confirme que o fornecedor lhe permite localizar e apagar as conversas de um cliente específico quando este o pedir.
7. Informação ao cliente
A sua política de privacidade deve mencionar o uso de atendimento automático, a gravação de chamadas (se existir) e o subcontratante. Uma linha no site e um aviso na chamada resolvem.
Casos com cuidado redobrado
- Clínicas (dados de saúde). A IA deve marcar e responder ao administrativo; sintomas, diagnósticos e tratamentos ficam com a equipa. Recolha mínima é obrigatória, não recomendada.
- Menores. Marcações para menores devem ser feitas por adultos; a IA não deve recolher dados de menores diretamente.
- Restaurantes (alergias). Registar uma alergia é tratar um dado de saúde. Registe o mínimo, sinalize para a cozinha e não guarde mais tempo do que a reserva exige.
Como a Atenda trata isto
Aviso de gravação automático no início de cada chamada, personalizável. Dados alojados na União Europeia. Recolha limitada ao necessário para marcar. Contrato de subcontratação incluído. Localização e eliminação de conversas por cliente. Fronteiras configuráveis por setor — sem conselhos clínicos, alergias registadas mas nunca confirmadas.
Perguntas frequentes
Preciso de consentimento para a IA atender? Para atender e marcar, não — a base é a execução do contrato. Para gravar a chamada, precisa de informar, não de pedir consentimento (o cliente pode desligar). Para marketing, sim, consentimento explícito.
Tenho de mudar a minha política de privacidade? Provavelmente uma linha: atendimento automático, gravação de chamadas se existir, e o nome do subcontratante.
O que acontece se cancelar o serviço? O contrato de subcontratação deve dizer: os dados são devolvidos ou eliminados num prazo definido. Confirme antes de assinar.
Uma IA no WhatsApp via API oficial é conforme? A via oficial (WhatsApp Business Platform) é a única que deve usar — as ferramentas que automatizam a app pessoal violam os termos da Meta e não oferecem as garantias contratuais necessárias.
Preciso de um encarregado de proteção de dados? Para um pequeno negócio, normalmente não — exceto se tratar dados de saúde em larga escala. Uma clínica pequena costuma estar abaixo do limiar, mas confirme com quem o aconselha.
Conclusão
A legalidade não está na tecnologia — está na configuração e no contrato. Aviso, base legal, minimização, UE, subcontratação. Cinco perguntas ao fornecedor antes de ativar, e fica tratado.
A Atenda foi desenhada com isto de raiz: aviso automático, dados na UE, recolha mínima e contrato incluído. Fale connosco se quiser ver o contrato antes de decidir.