WhatsApp Flows e RGPD: consentimento e proteção de dados

SendSeven Team, Editorial Team

Que dados recolhe um WhatsApp Flow, quem os trata, quando é preciso consentimento segundo o RGPD e o que incluir na política de privacidade e no DPA, com uma checklist para o primeiro flow.

Que dados recolhe um WhatsApp Flow e quem os trata?

Um WhatsApp Flow recolhe exatamente os dados que pedir aos seus clientes. A estes juntam-se o número de telefone e o nome de perfil que o WhatsApp transmite em cada conversa. Os dados são tratados em três locais, no máximo: no WhatsApp (Meta), que transporta as respostas, no SendSeven, onde ficam guardados na conversa e no contacto, e no seu CRM, se ligar algum.

Como exemplo ao longo do artigo, usamos a Móveis Zimbreira, uma oficina de móveis por medida de Paços de Ferreira (uma empresa fictícia). No flow, clientes como o Rui indicam a divisão, as medidas aproximadas e uma foto do espaço, pedem um orçamento ou uma visita para tirar medidas em casa e, se quiserem, subscrevem a newsletter.

• WhatsApp (Meta): As mensagens passam pelo WhatsApp (Meta), e a Meta pode transferir dados para os EUA. Para isso, a Meta recorre ao Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework) e a cláusulas contratuais-tipo. Segundo a Meta, o WhatsApp guarda as fotos e os documentos enviados, cifrados, durante um máximo de 20 dias (documentação da Meta, em inglês).
• SendSeven: O SendSeven está alojado na UE (Frankfurt) e ligado diretamente ao WhatsApp como Meta Business Partner. As respostas aparecem na conversa, na caixa de entrada. As respostas que associou a um campo ficam também no contacto, e as fotos e os documentos são anexados à conversa e ao contacto.
• O seu CRM: As respostas só chegam ao CRM por webhook ou pela API REST, se o configurar. Sem ligação, ficam no SendSeven. O guia de configuração de webhooks mostra como.

Na maioria dos casos, o responsável pelo tratamento dos dados dos seus clientes é o próprio negócio, porque é quem decide que perguntas faz e para quê. A SendSeven trata os dados por conta do negócio, como subcontratante. Para saber como funciona um WhatsApp Flow a nível técnico, consulte o artigo sobre WhatsApp Flows. A nossa comparação entre WhatsApp Flow, botões e chatbot mostra quando um flow é mais adequado do que botões.

Quando é preciso consentimento e quando não é?

Para o pedido em si, em regra não é preciso um consentimento separado; para marketing e newsletter, é. Quem escreve e pede um orçamento num flow quer que os seus dados sejam usados para isso. O fundamento jurídico costuma ser, nesse caso, as diligências pré-contratuais a pedido do titular dos dados, nos termos do art. 6.º, n.º 1, alínea b), do RGPD. Se mais tarde quiser enviar à mesma pessoa promoções, descontos ou uma newsletter, precisa do consentimento dela para isso. Além disso, a Meta exige um opt-in antes de se iniciar uma conversa com alguém através de um modelo de mensagem.

Na Móveis Zimbreira, o Rui, que pede um orçamento ou uma visita para tirar medidas, enquadra-se no primeiro caso. A newsletter com ideias de decoração e ofertas de época enquadra-se no segundo. Um flow é um bom local para pedir esse consentimento, porque o cliente está ativo nesse momento e o negócio controla o texto exato. Há quatro pontos a ter em conta:

• Um campo próprio: O consentimento pede-se num campo de opt-in separado, à parte do pedido. Uma caixa pré-assinalada não é um consentimento válido segundo o RGPD, como confirmou o Tribunal de Justiça da UE (TJUE) no acórdão Planet49 (C-673/17, 1 de outubro de 2019).
• Consentimento livre: Quem só quer um orçamento tem de poder enviar o pedido sem subscrever a newsletter. Por isso, o opt-in não deve ser um campo obrigatório.
• Texto claro: Diga o que vai enviar, por que canal e como cancelar a subscrição. Uma ligação «Ler mais» no campo de opt-in leva à política de privacidade.
• Texto guardado: O SendSeven guarda o texto do consentimento com cada opt-in. Se alguém perguntar mais tarde, é possível ver a que texto a pessoa deu o consentimento.

A CNPD, a autoridade de controlo portuguesa, explica na sua página sobre o consentimento como este deve ser obtido.

A partir do Professional, uma automatização no Flow Builder trata da inscrição na lista: o disparador que se ativa quando alguém conclui um WhatsApp Flow inicia-a, uma condição verifica o campo de opt-in e um passo seguinte adiciona o contacto à lista de newsletter. O que implica um double opt-in e por que razão o WhatsApp precisa do seu próprio consentimento está explicado no caso de uso Double Opt-In, e o artigo sobre 7 estratégias de opt-in para ganhar subscritores mostra como conquistar subscritores de forma legítima.

Como minimizar os dados num WhatsApp Flow?

Minimizar os dados num flow significa perguntar apenas o que é necessário para a finalidade e guardar cada resposta só onde a equipa trabalha com ela. Num flow, isto é mais fácil do que numa conversa aberta, porque as perguntas são definidas à partida e pode usar opções de escolha em vez de texto livre.

• Justificar cada pergunta: Para cada pergunta, escreva uma frase sobre o motivo por que precisa da resposta. Se não lhe ocorrer nenhum motivo, elimine a pergunta. Para orçamentar um roupeiro embutido, a Móveis Zimbreira precisa da divisão, das medidas aproximadas e do código postal, não da data de nascimento. O nosso artigo sobre como qualificar leads com um WhatsApp Flow mostra que dados costumam bastar para um orçamento.
• Opções de escolha em vez de texto livre: Num campo de texto livre, as pessoas escrevem muitas vezes mais do que o negócio quer saber, até dados de saúde ou financeiros. Uma opção de escolha limita a resposta ao necessário. Se mesmo assim quiser um campo de texto livre, por exemplo para observações, indique o que deve e o que não deve constar, como «Por favor, não inclua dados de saúde».
• Poucos campos obrigatórios: O que não for estritamente necessário fica como opcional.
• Guardar com um propósito: Na definição de cada campo, escolhe-se se a resposta vai para um campo de contacto, para um campo personalizado ou para uma etiqueta no contacto, ou se fica apenas nas respostas do flow. O que só é preciso para este pedido pode ficar nas respostas do flow, em vez de ficar para sempre no contacto.
• Marcar os campos sensíveis: Os campos que marcar como sensíveis aparecem mascarados na tabela de respostas, na API e nos webhooks de saída. A equipa continua a ver a resposta na conversa, para poder tratar o pedido.
• Fotos só quando ajudam: Uma foto mostra muitas vezes mais do que o previsto, como pessoas ou documentos à vista. Só se deve pedir quando o pedido realmente a exigir, por exemplo uma foto da parede onde ficará o roupeiro, e convém dizer o que deve aparecer nela.

Decida também durante quanto tempo guarda os pedidos e anote-o no registo das atividades de tratamento. Se quiser recolher categorias especiais de dados, por exemplo dados de saúde, esclareça-o primeiro com o seu encarregado de proteção de dados ou consultor. Para tratamentos em maior escala, pode ainda ser necessária uma avaliação de impacto sobre a proteção de dados (AIPD).

O que deve constar da política de privacidade e do acordo de tratamento de dados?

A política de privacidade explica aos clientes o que acontece aos seus dados, e o acordo de tratamento de dados (DPA) define como a SendSeven trata os dados por conta do negócio. Ambos devem estar prontos antes de o primeiro flow entrar em funcionamento. Uma política de privacidade para WhatsApp Flows costuma abranger:

• a finalidade das perguntas e o fundamento jurídico, em separado para o pedido e para o marketing,
• o WhatsApp (Meta) como canal por onde passam os dados, com uma nota sobre uma possível transferência para os EUA,
• a SendSeven como prestadora de serviços que trata os dados por conta do negócio,
• um CRM ligado e outros destinatários,
• durante quanto tempo os dados são guardados,
• os direitos dos clientes e como podem retirar o consentimento.

A ligação à política deve estar no local onde os dados são recolhidos: em «Ler mais» no campo de opt-in ou na mensagem que envia o flow.

Disponibilizamos o acordo de tratamento de dados a pedido. A forma como a própria SendSeven trata os dados, e como nos pode contactar a esse respeito, consta da nossa política de privacidade. Aplicam-se ainda os termos do WhatsApp da Meta. Se os potenciais clientes chegam até si através de um anúncio, o artigo Click-to-WhatsApp Ads e RGPD percorre a cadeia de dados.

O que verificar nos modelos e no construtor com IA?

Os modelos e o construtor com IA poupam trabalho na criação, mas a responsabilidade pelas perguntas e pelos textos continua a ser sua. Reveja cada flow antes de o publicar, como faria com um formulário novo no seu site.

• Modelos: O SendSeven inclui modelos de flow prontos a usar, entre eles captação e qualificação de leads, pedido de orçamento e pedido de chamada. Os textos de consentimento dos modelos são apenas exemplos: escreva o seu próprio texto, adaptado à política de privacidade, e mande-o rever antes de o usar.
• Construtor com IA: A partir do Professional, o construtor com IA cria um flow estático a partir de uma descrição. Usa créditos de IA, apenas nas execuções bem-sucedidas, e o tratamento por IA decorre na UE. O construtor só precisa de saber para que serve o flow, por isso não deve colocar dados reais de clientes na descrição.
• Antes de publicar: As perguntas, os campos obrigatórios e o local onde cada resposta fica guardada fazem sentido? O opt-in é opcional e o texto está adaptado? Se a política de privacidade mudar mais tarde, edite o flow e publique-o de novo. Se o enviar através de um modelo com botão Flow, volte a submeter depois o modelo à Meta; caso contrário, continua a abrir a versão antiga.

Em resumo: Um WhatsApp Flow é um formulário como qualquer outro. Pergunte apenas o necessário, peça um consentimento separado para o marketing, ligue a política de privacidade e assine o acordo de tratamento de dados.

Todas as funcionalidades num relance estão na página WhatsApp Flows. O caso de uso Conformidade de Subscritores mostra como as equipas acompanham o consentimento por contacto e por canal, e as entradas do glossário sobre mensagens e RGPD e sobre WhatsApp Flows explicam o essencial.

Continue a ler:

• WhatsApp Flows: formulários dentro do chat para pequenas empresas
• Qualificar leads com um WhatsApp Flow: todos os dados de uma só vez
• Click-to-WhatsApp Ads e RGPD em 2026: cadeia de dados, DPA e aviso antes do clique
• WhatsApp Opt-in: 7 estratégias para ganhar subscritores em 2026

Perguntas frequentes