Tech Provider e LGPD: quem acessa as conversas do WhatsApp da sua empresa

Antes de ligar o WhatsApp da empresa a qualquer sistema, alguém faz a pergunta certa: quem mais vai ler essas conversas? Pode ser o encarregado de dados, o advogado da empresa, ou o dono de uma clínica que recebe foto de exame pelo WhatsApp todo dia.

A resposta envolve três empresas: a sua, a Meta e o provedor de tecnologia. Cada uma tem um papel diferente, e os documentos da Meta dizem mais sobre isso do que a maioria das pessoas imagina.

Um aviso antes de começar: este texto explica papéis e lista perguntas, com base nos documentos públicos da Meta. Não é parecer jurídico. A classificação final de cada empresa e o contrato são assunto para o seu advogado ou encarregado de dados.

Controlador e operador, em uma frase cada

A LGPD usa duas palavras que aparecem em todo contrato de dados:

• Controlador é quem decide por que e como os dados pessoais são tratados.
• Operador é quem trata os dados em nome do controlador, seguindo as instruções dele.

Uma comparação ajuda. O controlador é quem encomenda a obra e diz o que construir. O operador é a construtora que executa. Os dois têm obrigações, mas são obrigações diferentes.

O que os documentos da Meta dizem

A versão em português dos Termos de Hospedagem, com última modificação em 23/09/2026, diz com todas as letras: "Você é o Controlador dos Dados Pessoais da Empresa". A página de privacidade da Cloud API repete a ideia pelo outro lado: ao prestar o serviço, a Meta atua como operadora em nome da empresa.

Os mesmos termos chamam de Provedor de Soluções o terceiro que a empresa autoriza a usar a API em nome dela. É o lugar que um Tech Provider ocupa quando opera o seu número. E põem sobre esse provedor um dever específico: garantir que os clientes dele tenham os direitos, a base legal e, quando for o caso, o consentimento necessários.

O que os documentos da Meta não fazem é dizer como o provedor se classifica na LGPD: operador, suboperador ou outra figura. Esse é exatamente o ponto que o contrato com ele precisa deixar claro.

Também vale saber que a própria Meta não assume compromisso específico de LGPD. Na pergunta frequente sobre leis regionais de proteção de dados, que cita a LGPD pelo nome, a resposta é que os clientes da Cloud API precisam cumprir as próprias obrigações. A responsabilidade continua sendo da sua empresa.

O que fica guardado na Meta

A Cloud API é hospedada pela Meta. Sobre esse armazenamento, a documentação informa:

• as mensagens têm retenção máxima de 30 dias;
• ficam criptografadas em repouso, e a Cloud API administra as chaves pela empresa;
• segundo a Meta, o conteúdo das mensagens da Cloud API não é usado de forma automática para escolher anúncios para as pessoas;
• a Meta cita relatórios SOC 2 Type II e ISO 27001;
• quando a empresa deixa a Cloud API, os dados pessoais são excluídos em até 90 dias, salvo obrigação legal.

Existe ainda um recurso de armazenamento local, que permite escolher o país onde as mensagens ficam guardadas em repouso. A documentação usa "BR" como exemplo de parâmetro, mas não confirma que o Brasil está entre as regiões disponíveis. Se guardar no Brasil for exigência da sua empresa, peça confirmação antes.

O que o provedor recebe

É aqui que a pergunta "quem lê as conversas" ganha resposta concreta. Pela documentação da Meta:

• Mensagens que chegam e status das enviadas. Por padrão, esses avisos (os webhooks) de todos os clientes vão para o servidor do app do provedor. É assim que o provedor mostra as conversas no painel.
• O que a equipe envia pelo celular. Na coexistência, cada mensagem que a equipe manda pelo app WhatsApp Business gera um aviso para a API. Enquanto o número está conectado, o provedor recebe também essa cópia.
• Métricas e dados de pagamento. Numa conta do WhatsApp compartilhada, o provedor vê esses dados.
• Histórico antigo, só se você quiser. Na coexistência, até cerca de 6 meses de conversas anteriores só são enviados se a empresa escolher compartilhar no momento da conexão. O que acontece nessas horas está em a sincronização de 24 horas.

Ou seja: a Meta guarda por pouco tempo e com regras públicas. Quem monta o histórico de longo prazo é o provedor, e as regras dele estão no contrato, não nos termos da Meta. O lado da propriedade, ou seja, o que é seu quando você sai, está em quem é dono do número com um Tech Provider.

Dois trechos dos Termos da plataforma também interessam ao jurídico. Um diz que a empresa não pode compartilhar dados da plataforma com terceiros, exceto com um Provedor de Soluções, conforme os termos. Outro proíbe usar dados da plataforma para treinar modelos de IA, com exceção do ajuste fino de um modelo de uso exclusivo da empresa. Como isso se aplica às integrações da sua operação é uma pergunta para o seu advogado.

O que pedir ao provedor antes de assinar

Leve esta lista para a reunião e peça as respostas por escrito:

1. Quais dados das conversas vocês guardam: texto, mídia, contatos, histórico sincronizado?
2. Em que país e em qual empresa de nuvem esses dados ficam?
3. Por quanto tempo ficam guardados, e o que acontece no cancelamento: há exportação e exclusão, com prazo?
4. Quem da equipe de vocês pode abrir uma conversa, e em que situação?
5. Vocês usam outras empresas para tratar esses dados, como hospedagem ou ferramentas de IA? Quais?
6. As conversas são usadas para treinar algum modelo de IA?
7. Em caso de incidente de segurança, como e em quanto tempo a empresa é avisada?
8. O painel tem usuários individuais e registro de quem fez o quê?
9. Dá para conectar sem compartilhar o histórico antigo da coexistência?
10. O contrato tem cláusula de tratamento de dados, com o papel de cada parte definido?

A sexta pergunta conversa com um tema que já aparece em outras ferramentas: o que acontece com os dados quando uma IA entra no meio. O raciocínio está em dados de cliente em IA.

Setores com cuidado extra

Dado de saúde é dado sensível na LGPD, e o WhatsApp de uma clínica recebe esse tipo de informação o tempo todo, muitas vezes sem que ninguém peça. Se esse é o seu caso, as perguntas acima valem em dobro, e o texto dos templates merece revisão antes de ir para a Meta. O caso está detalhado em Tech Provider para clínicas.

E o Vazante

O Vazante é Tech Provider (provedor de tecnologia) da Meta. A conexão acontece pelo cadastro oficial da Meta, a conta do WhatsApp fica no portfólio da sua empresa e o Vazante recebe acesso para operar. A lista de perguntas acima vale para qualquer provedor, o Vazante incluído: peça as respostas por escrito antes de conectar.

Para ver como a conexão funciona e o que o painel mostra, visite a página do WhatsApp Coexistence.