RGPD e assistentes de voz: o que uma PME portuguesa precisa de saber

Um agente de IA que atende chamadas e mensagens de WhatsApp lida, por definição, com dados pessoais: número de telefone, nome, e muitas vezes o motivo do contacto. Isso coloca-o dentro do âmbito do RGPD (Regulamento Geral sobre a Proteção de Dados) — da mesma forma que já estava uma rececionista humana a atender e a apontar recados.

Aqui ficam os pontos que realmente importam, sem juridiquês.

Quem é responsável por quê

Em termos de RGPD, há sempre dois papéis:

• O responsável pelo tratamento — a empresa que tem a relação com o cliente final (a clínica, a imobiliária, a empresa de segurança). É quem decide porque é que os dados são recolhidos e o que se faz com eles.
• O subcontratante — quem processa os dados por instrução do responsável, com as garantias técnicas e organizativas adequadas. É aqui que entra um fornecedor de atendimento com IA.

Isto não é diferente de contratar um call center humano — a responsabilidade principal continua a ser do negócio, mas o fornecedor tem obrigações próprias de segurança e de tratamento correto dos dados.

O que costuma ser tratado

Numa chamada ou conversa de WhatsApp atendida por IA, os dados tipicamente envolvidos são:

• Número de telefone (sempre)
• Nome, quando a pessoa o dá
• A gravação e transcrição da chamada ou das mensagens
• Um resumo do que foi discutido

Três coisas a verificar com qualquer fornecedor

1. Aviso de gravação. Quem liga deve ser informado, logo no início, de que a chamada pode ficar registada e analisada por IA — tal como seria avisado de uma gravação para "efeitos de qualidade" num call center tradicional.

2. Prazos de retenção definidos. Os dados não devem ficar guardados indefinidamente sem motivo. Deve existir um prazo claro para quanto tempo a gravação, transcrição e resumo ficam acessíveis.

3. Um contrato de subcontratação (DPA). Entre o negócio e o fornecedor de IA deve existir um acordo que estabeleça exatamente estas responsabilidades — não um acordo verbal nem um simples termo de serviço genérico.

O que isto significa na prática para uma PME

Não precisa de um departamento jurídico para usar um agente de IA de forma correta — precisa de escolher um fornecedor que já trate destes pontos por omissão, em vez de deixar o RGPD como um "pormenor técnico" resolvido depois. Pergunte diretamente: onde ficam os dados, por quanto tempo, e quem tem acesso a eles.

Para perceber como isto fica definido na prática, consulte a nossa política de privacidade — descreve exatamente que dados tratamos, com que finalidade, e a distinção entre o nosso papel e o papel do negócio cliente.