LGPD no atendimento por WhatsApp: as duas autorizações que sua loja precisa ter

A LGPD no atendimento por WhatsApp exige que sua loja cumpra duas regras ao mesmo tempo: o opt-in que a Meta cobra para você poder enviar mensagens e a base legal que a lei brasileira exige para cada tipo de mensagem. São camadas diferentes e cumulativas. Este guia explica as duas em linguagem de gestor.

A confusão é comum e cara. Muitos gestores de e-commerce acreditam que, por terem coletado o "aceite" na hora da compra, estão automaticamente em dia com a lei. Outros acham que basta seguir as regras do WhatsApp Business para nunca terem problema com a ANPD. As duas crenças estão erradas, e o motivo é simples: quem manda no seu canal (a Meta) e quem manda no seu país (a LGPD) são autoridades distintas, com exigências que não se substituem.

Neste artigo você vai entender exatamente onde uma regra começa e a outra termina, qual base legal usar para confirmação de pedido, pesquisa de satisfação e campanha de marketing, e vai sair com um checklist que aplica sozinho, sem contratar consultoria.

As duas camadas de autorização (e por que você precisa das duas)

Pense em duas portas que sua mensagem precisa atravessar antes de chegar ao cliente. Se faltar qualquer uma, você está em situação irregular — mesmo que a outra esteja perfeita.

Camada 1 — A regra da Meta: opt-in, janela e categorias de template

A primeira porta é contratual. Para usar a API Oficial do WhatsApp Business, você aceita os termos da Meta, e eles têm exigências próprias:

• Opt-in obrigatório. Antes de enviar a primeira mensagem ativa, o cliente precisa ter aceitado receber contato da sua empresa naquele número, de forma clara.
• Janela de atendimento de 24h. Quando o cliente te escreve, abre-se uma janela de 24 horas em que você responde livremente. Fora dessa janela, só é possível iniciar conversa usando um modelo (template) previamente aprovado.
• Categorias de template. A Meta classifica os modelos em marketing (promocional), utilidade (transacional, como confirmação de pedido e rastreio), autenticação (códigos/OTP) e serviço (resposta livre dentro da janela). As regras de aprovação rejeitam template promocional disfarçado de utilidade.

Há também impacto financeiro nessa camada. Desde 1º de julho de 2025, a Meta passou a cobrar por mensagem de template entregue, e não mais por conversa de 24h, com preço variando por categoria e por país. Conforme a tabela de preços oficial da Meta, templates de marketing, utilidade e autenticação são tarifados; já as mensagens de serviço — respostas dentro da janela aberta pelo cliente — e templates de utilidade enviados dentro dessa janela são gratuitos. Tradução prática: responder rápido e operar no modelo de atendimento sai mais barato que disparar campanha.

Importante: cumprir tudo isso te deixa em dia com a Meta. Não te deixa em dia com a lei brasileira.

Camada 2 — A regra da LGPD: base legal, direitos do titular e eliminação

A segunda porta é legal. A LGPD não pergunta se você seguiu o WhatsApp; ela pergunta qual o seu fundamento jurídico para tratar os dados daquele cliente em cada mensagem. Isso se chama base legal, e a base correta muda conforme o tipo de mensagem.

Além da base legal, a lei garante ao cliente (o "titular") direitos que você precisa conseguir atender: acesso aos dados, correção, e eliminação. E exige transparência sobre finalidade, retenção e quem tem acesso.

O ponto que quase nenhum material deixa claro: o opt-in da Meta e a base legal da LGPD são coisas diferentes. O opt-in é uma autorização para usar o canal. A base legal é o fundamento para tratar o dado. Você pode ter opt-in válido na Meta e, ainda assim, estar usando a base legal errada para o tipo de mensagem que enviou.

Qual base legal usar para cada tipo de mensagem

Aqui está o núcleo prático deste guia. A LGPD prevê várias bases legais; para o dia a dia de uma loja no WhatsApp, três cobrem quase tudo. Use esta tabela como referência:

Como ler isso:

• Execução de contrato vale quando a mensagem é necessária para entregar o que o cliente comprou. Avisar que o pedido saiu para entrega não é favor nem marketing: é parte do contrato. Por isso não depende de consentimento extra.
• Legítimo interesse cobre usos que o cliente razoavelmente espera e que não ferem seus direitos — como perguntar se ele gostou da compra. Você precisa registrar a justificativa e oferecer saída fácil.
• Consentimento é a base para tudo que é promocional. Aqui o opt-in não é só exigência da Meta: é a base legal da LGPD. Mandar campanha de marketing no WhatsApp sem consentimento registrado é o erro mais comum e o mais arriscado.

Repare como as duas camadas se encaixam na linha de marketing: a Meta exige opt-in e classifica o template como "marketing" (tarifado); a LGPD exige consentimento como base legal. Mesma palavra, "opt-in", servindo a duas autoridades ao mesmo tempo. É exatamente por isso que separar as camadas evita problema.

Antes de disparar qualquer campanha, faça uma pergunta simples: "esta mensagem é necessária para o pedido, é algo que o cliente espera, ou é promoção?" A resposta define a base legal — e se você precisa, ou não, de consentimento registrado.

O opt-out é direito do titular E exigência da Meta

Muitos textos tratam o opt-out (a saída) como um detalhe. Não é. Ele aparece nas duas camadas:

• Na LGPD, quando você usa legítimo interesse ou consentimento, o cliente tem o direito de se opor ou revogar a qualquer momento. Negar ou dificultar isso é infração.
• Na Meta, ignorar pedidos de parada derruba a qualidade do seu número e pode levar a bloqueio.

Como operacionalizar no chatbot, na prática:

1. Inclua em campanhas uma instrução clara de saída ("Responda SAIR para não receber mais ofertas").
2. Configure o fluxo para reconhecer essas palavras e registrar o opt-out na hora, parando os disparos promocionais daquele número.
3. Mantenha o opt-out a um clique ou uma palavra — sem obrigar o cliente a ligar, mandar e-mail ou justificar.
4. Registre data e origem da saída, do mesmo jeito que registra a entrada.

Quem cuida bem do opt-out tende a ter listas mais saudáveis e melhor taxa de entrega — e isso se reflete nos seus relatórios de atendimento.

O que fazer com o histórico de conversas

Conversa de WhatsApp é dado pessoal, e o histórico acumula informação sensível: endereço, pedido, às vezes reclamações e documentos. A LGPD não deixa esse acervo solto. Três pontos que sua loja precisa definir:

Retenção: por quanto tempo guardar

Defina um prazo de retenção ligado à finalidade. Dados de uma compra precisam ser guardados enquanto houver obrigação legal ou fiscal; conversas sem finalidade ativa devem ter prazo para eliminação ou anonimização. "Guardar para sempre porque pode ser útil" não é uma finalidade válida.

Acesso: quem da equipe pode ver

Nem todo atendente precisa ver tudo. Restrinja o acesso ao histórico por função, registre quem acessou o quê e evite exportações soltas em planilhas e celulares pessoais. Minimização e controle de acesso são exigências diretas da lei.

Eliminação: quando o cliente pede para apagar

Se o cliente exerce o direito de eliminação, você precisa atender — exceto na parte que a lei obriga a manter (por exemplo, registros fiscais). O caminho correto é eliminar o que não tem base de retenção e documentar o que foi mantido e por quê. Por isso é útil ter um canal claro para receber esses pedidos (veja a seção do encarregado, a seguir).

WhatsApp Flows e a coleta de dados dentro da conversa

O WhatsApp Flows é o recurso oficial da Meta para criar formulários interativos — campos de texto, listas, calendário, upload — dentro da própria conversa. É ótimo para qualificar, agendar e coletar dados estruturados sem tirar o cliente do WhatsApp.

Mas todo formulário é coleta de dados, e a LGPD exige duas coisas no momento da coleta:

• Finalidade clara. Peça apenas os dados que você realmente vai usar, e diga para quê. Pedir CPF "por garantia" sem uso definido é coleta excessiva.
• Transparência. Deixe a política de privacidade acessível e informe o que será feito com aquilo que o cliente preencher.

Quando o Flow alimenta segmentação e recompra, esses dados normalmente seguem para o seu CRM. Vale lembrar que a finalidade declarada na coleta limita o uso posterior — se você captou para agendar uma entrega, não pode reaproveitar para campanha sem nova base. Quando o assunto é segmentação e recompra, o KllicCRM é o produto irmão que cuida dessa etapa, e a mesma lógica de base legal continua valendo.

O papel do encarregado (DPO) e o canal do titular

A LGPD pede que a empresa indique um encarregado (DPO): a pessoa que recebe reclamações e pedidos dos titulares e faz a ponte com a ANPD. Para a loja, isso se traduz em duas providências:

1. Indicar um responsável e publicar um canal de contato (um e-mail ou formulário) para o titular exercer direitos — acesso, correção, eliminação, revogação de consentimento.
2. Linkar isso na política de privacidade e deixar fácil de achar.

Há uma flexibilização para negócios menores: agentes de tratamento de pequeno porte podem ter dispensa parcial de algumas obrigações formais, incluindo aspectos da indicação do encarregado. Isso não dispensa ter base legal correta, oferecer opt-out nem atender pedidos de eliminação. Na dúvida sobre o seu enquadramento, mantenha pelo menos um canal funcional para o titular — é o mínimo que demonstra boa-fé.

Quanto custa errar: as sanções da ANPD

Conformidade não é só evitar multa, mas o número ajuda a dimensionar o risco. A ANPD pode aplicar multa simples de até 2% do faturamento da empresa (ou grupo) no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração — além de multa diária, também limitada a R$ 50 milhões no total.

A boa notícia para quem se organiza: a dosimetria dessas sanções, aprovada pela Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023 (requisito do art. 53 da LGPD), considera fatores a seu favor — boa-fé do infrator, gravidade e natureza da infração, adoção de política de boas práticas e governança e a pronta adoção de medidas corretivas. Em outras palavras: ter opt-in registrado, base legal definida, opt-out funcionando e um canal do titular não é burocracia — é exatamente o que reduz a sanção se algo der errado.

Como o KllicChat ajuda

O KllicChat é uma plataforma de atendimento omnichannel sobre a API Oficial do WhatsApp (Meta, com selo BSP) — o que significa que a primeira camada, a da Meta, já nasce estruturada: opt-in, janela de atendimento e categorias de template fazem parte da operação, não são gambiarra.

Na prática, a plataforma ajuda a sustentar as duas camadas de conformidade:

• Registro de opt-in e opt-out datados, para você comprovar consentimento e respeitar a saída — base do checklist da LGPD.
• Fluxos no-code que reconhecem palavras de saída e param disparos promocionais automaticamente, operacionalizando o opt-out de um clique.
• WhatsApp Flows para coletar dados estruturados dentro da conversa, com a finalidade declarada antes de pedir o dado.
• Multiatendentes com controle de acesso, para que o histórico não fique exposto a toda a equipe.
• Chatbot com IA e transcrição de áudio, mantendo o atendimento dentro da janela de 24h — o que, além de melhor para o cliente, costuma sair mais barato no novo modelo de cobrança por mensagem.

A ideia não é substituir a sua avaliação jurídica, e sim dar a infraestrutura para que opt-in, base legal, opt-out e retenção sejam executados de forma consistente. Conformidade vira parte do fluxo, não um relatório separado. Se você também trabalha reativação e recompra de clientes, o mesmo cuidado com base legal se aplica — e o KllicCRM completa essa frente.

Perguntas frequentes

Posso mandar mensagem no WhatsApp para meus clientes sem autorização? Depende do tipo de mensagem. Confirmação de pedido e rastreio têm base na execução de contrato e não dependem de autorização extra. Já promoção e campanha exigem consentimento (opt-in) registrado. Sem ele, o disparo promocional é irregular.

Qual a diferença entre o opt-in da Meta e a base legal da LGPD? O opt-in da Meta é uma regra contratual da plataforma para você poder usar o canal. A base legal é a exigência da lei brasileira para tratar o dado. São camadas diferentes e cumulativas: você precisa cumprir as duas, não uma ou outra.

Preciso de consentimento para enviar confirmação de pedido e rastreio? Não. Essas mensagens se enquadram na execução de contrato — são necessárias para entregar a compra que o cliente fez. O consentimento específico é exigido para mensagens promocionais, não para as transacionais.

Sou obrigado a apagar as conversas do WhatsApp quando o cliente pede? Sim, com uma exceção. Você deve eliminar os dados quando o titular solicitar, salvo o que a lei obriga a guardar (como registros fiscais). O caminho correto é apagar o que não tem base de retenção e documentar o que foi mantido e por quê.

Quanto é a multa da LGPD por enviar mensagem sem consentimento? A ANPD pode aplicar multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração. A dosimetria considera boa-fé e adoção de boas práticas, o que pode reduzir a sanção.

Próximo passo

Se você quer estruturar atendimento e campanhas no WhatsApp com as duas camadas de conformidade desde o início, podemos mostrar como isso funciona na prática no seu cenário. Agende uma demonstração ou fale com nosso time comercial — a conversa é consultiva e parte da sua operação real. Converse. Conecte. Converta.