LGPD e prospecção no WhatsApp: boas práticas para times B2B

Aviso importante: este texto é orientação geral de boas práticas e não constitui aconselhamento jurídico. A aplicação da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) depende dos fatos de cada empresa, do tipo de dado, do público e do contexto. Antes de estruturar ou alterar sua operação de prospecção, valide as decisões com advogado ou com o encarregado de proteção de dados da sua organização.

Dito isso, é possível organizar a prospecção por WhatsApp com um conjunto de cuidados que aparecem em quase toda orientação sobre o tema: ter uma justificativa clara para tratar o dado, ser transparente com o contato, facilitar a saída, registrar o que foi feito, evitar o que é sensível e não guardar para sempre o que não precisa. Os tópicos abaixo mostram como transformar isso em rotina de time comercial.

Por que a LGPD importa na prospecção

Prospectar é, por definição, falar com quem não pediu para ser contatado. Isso coloca a atividade num ponto de atenção: você trata dados pessoais, como nome, telefone e cargo, sem que o titular tenha iniciado a relação. Mesmo em vendas entre empresas, o telefone de um decisor é dado pessoal, porque identifica uma pessoa.

Além do aspecto legal, há um motivo prático. Abordagens desrespeitosas geram denúncias, reclamações e bloqueio do número, como detalhado em prospecção ativa sem bloqueio. Quem trata bem o dado costuma ter menos atrito no canal.

Legítimo interesse: o que é e como documentar

A LGPD prevê diferentes bases legais para o tratamento de dados pessoais. Na prospecção B2B, uma das bases frequentemente discutidas é o legítimo interesse, que de modo geral permite o tratamento quando há uma finalidade legítima, relacionada a uma situação concreta, e quando os direitos e expectativas do titular são respeitados. Se essa é a base adequada ao seu caso é uma questão que o jurídico precisa avaliar.

Em termos práticos, times costumam documentar uma avaliação com perguntas como estas:

Pergunta	Exemplo de registro
Qual é a finalidade?	Apresentar uma solução relevante ao cargo do contato
O tratamento é necessário para isso?	Sim, só nome, cargo, empresa e telefone profissional
O contato esperaria receber essa abordagem?	Cargo ligado ao problema que o produto resolve
Há impacto desproporcional sobre o titular?	Baixo, com canal de saída em toda mensagem
Existe alternativa menos invasiva?	E-mail corporativo ou formulário de interesse
Quais salvaguardas existem?	Opt-out, retenção limitada, acesso restrito

Guarde essa avaliação por escrito, com data e responsável. Ela mostra que a decisão foi pensada e facilita revisões futuras.

Relevância importa

Quanto mais a mensagem tiver relação com o papel profissional do contato, mais coerente é a justificativa. Enviar uma oferta de software financeiro a um diretor financeiro tem aderência. Enviar a mesma oferta a uma lista aleatória, sem filtro, não tem. Segmentar por cargo, setor e porte não é só estratégia de vendas, é também forma de limitar o tratamento ao que faz sentido.

Origem do dado e transparência

Se você obteve o contato de uma fonte, seja um evento, um cadastro público, uma indicação ou uma lista, precisa saber qual é e poder explicá-la. Pessoas têm direito de perguntar como seus dados chegaram até você.

Boas práticas:

• Registre a origem de cada lead no CRM, em um campo próprio.
• Evite listas compradas de procedência desconhecida. Sem saber como os dados foram coletados, você herda o risco.
• Na primeira mensagem, identifique quem está falando, de qual empresa e por que o contato foi escolhido.
• Tenha uma política de privacidade acessível, com linguagem simples, e esteja pronto para enviar o link se alguém perguntar.

Modelo de primeira mensagem transparente:

Olá, Marina, aqui é o Rafael, da Empresa X. Encontrei seu contato no diretório do evento Y e achei que nosso trabalho com controle de estoque pode interessar à sua área. Posso te contar em duas linhas? Se preferir não receber mensagens, é só avisar que eu paro por aqui.

Note que a mensagem diz quem fala, de onde veio o contato, por que ele foi escolhido e como sair.

Opt-out: facilitar a saída e respeitá-la

Um dos pontos mais importantes é dar ao contato uma forma fácil de pedir para não ser mais procurado, e respeitar esse pedido de verdade.

Como estruturar o opt-out

1. Inclua a opção de parar na primeira mensagem, como no modelo acima.
2. Reconheça variações do pedido. "Pare", "não quero", "me tire da lista", "remover" e respostas irritadas contam. Treine o time para tratá-las como pedido de parada.
3. Aja rápido. Marque o contato como "não contatar" no CRM assim que o pedido chegar.
4. Confirme uma vez, com uma frase curta e educada, e não insista depois.
5. Mantenha uma lista de supressão. Para não voltar a procurar a pessoa por engano, é preciso guardar o mínimo necessário que identifique o pedido. Pergunte ao jurídico como fazer isso de forma adequada.
6. Propague a supressão. Se o contato aparece em outra lista, importação ou funil, o bloqueio deve valer também lá.

Automação e opt-out

Se você usa automações, garanta que um pedido de parada interrompa qualquer fluxo em andamento. Uma cadência que continua enviando depois de um "não quero" é a forma mais rápida de ter problemas. Mais sobre fluxos seguros em automação de vendas.

Registro das atividades de tratamento

A LGPD espera que o controlador mantenha registro das operações de tratamento. Para a prospecção, isso se traduz em manter documentação simples e atualizada.

Itens que costumam ser úteis:

• Quais dados são coletados (nome, cargo, empresa, telefone profissional).
• Para que finalidade e com qual base legal, segundo avaliação do jurídico.
• De onde vêm os dados.
• Quem tem acesso, dentro da empresa e entre fornecedores.
• Por quanto tempo ficam guardados.
• Quais medidas de segurança estão em vigor.
• Histórico de pedidos de titulares e de como foram atendidos.

Um CRM ajuda porque concentra histórico, origem e responsável em um lugar, em vez de espalhar tudo em planilhas e celulares pessoais. Conversas conduzidas dentro do CRM, em vez de aparelhos soltos, também facilitam responder a um pedido de acesso, pois a informação está localizável. Veja como isso se conecta em CRM para WhatsApp.

Dados sensíveis: o que evitar

A LGPD trata de forma mais rigorosa certas categorias, como dados sobre saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos e biométricos.

Na prospecção B2B, o caminho mais seguro costuma ser simples: não colete nem registre esse tipo de informação. Alguns pontos de atenção:

• Campos livres de observação são onde a informação sensível aparece sem querer. Oriente o time a não anotar comentários sobre saúde, religião ou posicionamento político do contato.
• Conversas de WhatsApp podem trazer dados que o próprio cliente conta. Se isso acontecer, não os transforme em campo estruturado nem os use para segmentação.

Se um dado sensível entrar no sistema, tenha um procedimento para removê-lo.

Retenção: quanto tempo guardar

Guardar dados indefinidamente aumenta o risco, e a prática recomendada é definir prazos por finalidade.

Uma estrutura possível, sujeita à revisão jurídica:

Situação do contato	Pergunta para definir o prazo
Lead sem resposta	Por quanto tempo ainda faz sentido tentar?
Lead que respondeu e recusou	Basta guardar o registro de supressão?
Negócio em andamento	Enquanto durar a negociação e o prazo que o jurídico definir
Cliente	Prazos contratuais, fiscais e de defesa de direitos
Negócio perdido	Existe motivo claro para manter, ou deve ser eliminado?

Defina uma rotina periódica, mensal ou trimestral, para revisar leads antigos e eliminar ou anonimizar o que não é mais necessário. Se o CRM permite filtrar por data da última atividade e exportar, a revisão fica mais simples.

Boas práticas para o dia a dia do time

Um resumo de hábitos que costumam ajudar:

1. Use canais e números da empresa, com identificação clara, em vez de contas pessoais dos vendedores.
2. Limite o acesso. Cada pessoa vê apenas os leads de que precisa.
3. Evite compartilhar listas por mensagem ou e-mail. Prefira o CRM, com controle de usuários.
4. Respeite o horário comercial. Mensagens à noite e em fins de semana aumentam o incômodo.
5. Não envie em volume sem relevância. Volume alto e baixa aderência é o padrão que gera denúncias.
6. Mantenha o humano no controle. Ferramentas de prospecção que usam IA devem ter aprovação de uma pessoa antes do envio, e uma delas deve revisar o conteúdo.
7. Treine o time. Uma hora por semestre sobre o que registrar, o que evitar e como tratar pedidos de titulares já evita boa parte dos erros.

O que o STX CRM oferece nesse contexto

O STX CRM concentra as conversas de WhatsApp, o histórico dos negócios e o responsável em um só lugar, e a prospecção com IA exige aprovação humana antes do envio, com proteções contra bloqueio. Essas características ajudam na organização e no controle, mas o cumprimento da LGPD depende de como a sua empresa configura e usa o processo, e não é garantido por nenhuma ferramenta isolada. Para conhecer o fluxo de prospecção, veja a página de prospecção no WhatsApp.

Perguntas frequentes

Posso prospectar clientes pelo WhatsApp sem consentimento prévio?

A LGPD não exige consentimento em todos os casos, pois prevê outras bases legais, como o legítimo interesse. Mas isso depende da avaliação do caso concreto, e o jurídico deve confirmar. Em qualquer cenário, é boa prática ser transparente e oferecer uma forma simples de sair.

O telefone de uma pessoa em contexto profissional é dado pessoal?

De modo geral, sim, pois permite identificar ou contatar uma pessoa natural. Por isso o tratamento de contatos B2B também merece cuidado.

O que fazer quando alguém pede para eu parar de enviar mensagens?

Pare imediatamente, marque o contato como "não contatar" no CRM, interrompa automações ativas e, se for o caso, responda uma vez confirmando. Evite justificar ou tentar reverter o pedido.

Quanto tempo posso guardar os dados de um lead?

Não há um número único. O prazo deve ser definido por finalidade e validado pelo jurídico. Em geral, a prática recomendada é manter só o necessário e revisar a base periodicamente.

Usar IA na prospecção muda as obrigações da LGPD?

As obrigações sobre finalidade, minimização, transparência e direitos do titular continuam valendo. Vale também verificar onde os dados são processados e manter uma pessoa revisando o que a IA prepara antes do envio.