WhatsApp Business API é seguro para dados dos clientes? O que a LGPD exige na prática

A resposta curta: a WhatsApp Business API é segura para dados dos clientes porque as mensagens trafegam com criptografia de ponta a ponta e ficam na infraestrutura da Meta, mas segurança e conformidade com a LGPD não são a mesma coisa. O canal pode ser tecnicamente seguro e ainda assim a sua operação estar irregular, se você tratar dados sem base legal, sem consentimento ou espalhando contatos em planilhas soltas. É aí que a maioria dos problemas aparece.

Na prática, quando um cliente nos procura preocupado com privacidade, quase nunca o risco está no protocolo. Está no processo: quem tem acesso ao painel, onde ficam os exports de conversa, se houve opt-in de verdade. Vamos separar as duas camadas.

O que a Meta já entrega de segurança

A camada de transporte das mensagens no WhatsApp usa criptografia de ponta a ponta. Isso significa que o conteúdo é cifrado no dispositivo de origem e só é decifrado no destino. Nem operadoras, nem intermediários no caminho conseguem ler aquele conteúdo em trânsito.

Na API oficial (WhatsApp Cloud API), o processamento fica na infraestrutura da própria Meta. Não existe um aplicativo de conversa proprietário da API: o envio e o recebimento acontecem por integração, seja via API REST direta ou por uma ferramenta de atendimento como o Chatwoot. Ou seja, o dado sai do WhatsApp criptografado e chega à sua ferramenta de atendimento, onde passa a ser tratado por você.

Esse detalhe é o divisor de águas. Enquanto a mensagem está dentro do WhatsApp, a Meta cuida da criptografia. No momento em que ela entra no seu CRM, no seu banco de dados ou num relatório exportado, a responsabilidade pelo tratamento passa a ser sua. A LGPD olha justamente para esse segundo momento.

Onde entra a LGPD

A Lei Geral de Proteção de Dados não proíbe usar WhatsApp para falar com cliente. Ela exige que você tenha uma base legal para tratar aquele dado, informe o titular sobre o uso e proteja essas informações. Nome, telefone, histórico de compra, tudo que trafega numa conversa comercial é dado pessoal.

No contexto da API oficial, três pontos concentram quase toda a discussão de conformidade:

Base legal e opt-in. Para iniciar conversa fora da janela de 24 horas, você precisa de consentimento do cliente. Sem opt-in registrado, você não deveria disparar mensagem ativa.
Finalidade. O cliente autorizou receber atualização de pedido? Então não use aquele contato para campanha de marketing sem nova autorização. Uso além da finalidade é um dos erros mais comuns.
Controle de acesso. Quem da sua equipe vê as conversas? Atendente que saiu da empresa continua com login ativo? Export de contatos parado numa pasta compartilhada é um vazamento esperando para acontecer.

A janela de 24 horas ajuda a privacidade

Muita gente vê a janela de 24 horas só como regra comercial, mas ela também funciona como trava de privacidade. Depois que o cliente manda uma mensagem, você pode responder livremente por 24 horas. Passou disso, só com um template aprovado pela Meta.

Isso limita o quanto uma empresa consegue bombardear alguém que não pediu contato. E os templates passam por aprovação prévia da Meta, divididos hoje em marketing, utilidade e autenticação. Um template de marketing enviado para quem não deu opt-in tende a gerar bloqueio e reclamação, o que derruba a qualidade do número. Ou seja, o sistema pune quem abusa dos dados de contato.

Segundo a covercut, BSP oficial do WhatsApp, o que mais compromete um número na prática não é falha de segurança da plataforma, e sim disparo sem opt-in: o cliente marca como spam, a qualidade cai para o vermelho e o próprio número perde alcance.

Coexistência: seu histórico não é apagado

Existe um medo recorrente de que ativar a API oficial exija apagar a conta ou perder as conversas antigas. Não é o caso. Um número que já usa o app WhatsApp Business pode ser conectado à API em modo de coexistência, sem desinstalar o app e sem perder o histórico. A empresa segue usando o celular e a API ao mesmo tempo, no mesmo número.

Do ponto de vista de dados, a coexistência tem uma vantagem prática: você não precisa migrar contatos manualmente para um sistema novo nem improvisar exportações de risco. As conversas iniciadas pelo celular continuam funcionando normalmente e, nesse caminho, sem custo de conversa.

Quem tem acesso aos dados na cadeia

Numa operação de API oficial existem alguns papéis. Vale entender quem toca o dado:

Meta. Hospeda a infraestrutura, garante a criptografia em trânsito e processa as mensagens.
BSP (como a covercut). Faz a conexão do número pelo fluxo oficial da Meta (Embedded Signup), fornece a plataforma e o suporte. É o intermediário técnico autorizado.
Você, a empresa. É quem decide as finalidades, coleta o opt-in e controla o acesso da equipe. Perante a LGPD, você é o controlador dos dados dos seus clientes.

Por isso a escolha do BSP importa. Um provedor oficial opera dentro das regras da Meta e do fluxo autorizado de conexão, o que reduz o risco de o seu número ser suspenso ou de dados transitarem por caminhos não homologados. Ferramentas piratas ou APIs não oficiais são o oposto: fora dos termos da Meta, com risco de banimento e de comprometer a segurança das conversas.

Um ponto que confunde: quem paga não vê suas conversas

A cobrança das mensagens é feita pela Meta diretamente ao cliente, que cadastra o cartão dele na conta da Meta. A Meta cobra por conversa, não por mensagem avulsa, e o modelo de preço muda com o tempo. A covercut cobra apenas uma mensalidade fixa pelo serviço e não intermedia essa cobrança da Meta.

Isso é relevante para privacidade porque a estrutura financeira fica no seu controle, dentro da sua conta da Meta. Não há um terceiro segurando o seu contrato de mensageria com acesso privilegiado ao conteúdo por causa de faturamento.

Checklist prático de segurança e LGPD

Se você quer usar a API oficial com dados de clientes de forma defensável, comece por aqui:

Registre o opt-in de cada contato, com data e forma de coleta. Guarde isso.
Deixe claro para o cliente qual a finalidade do contato e ofereça saída fácil (opt-out).
Limite quem acessa o painel de atendimento e revogue acessos de quem saiu.
Evite exportar conversas para planilhas soltas; se exportar, controle onde fica e por quanto tempo.
Separe listas por finalidade: quem autorizou marketing não é a mesma lista de quem só recebe utilidade.
Use um BSP oficial e o fluxo homologado da Meta em vez de gambiarras não oficiais.

A tecnologia por trás da API oficial resolve a parte difícil da segurança em trânsito. O que sobra para você é o básico bem feito: consentimento, finalidade e controle de acesso. Comece revisando como você coleta o opt-in hoje. É quase sempre o ponto mais frágil, e o mais fácil de corrigir antes de escalar os disparos.

Perguntas frequentes

As conversas no WhatsApp Business API têm criptografia de ponta a ponta?

Sim. O conteúdo das mensagens trafega com criptografia de ponta a ponta dentro do WhatsApp. A partir do momento em que a mensagem chega à sua ferramenta de atendimento ou CRM, o tratamento passa a ser sua responsabilidade e deve seguir a LGPD.

Usar WhatsApp para falar com clientes é permitido pela LGPD?

É permitido, desde que você tenha base legal para tratar o dado, informe a finalidade ao titular e proteja as informações. Para mensagens ativas fora da janela de 24 horas, é preciso consentimento (opt-in) do cliente.

Preciso apagar minha conta ou histórico para usar a API oficial?

Não. Em modo de coexistência, um número que já usa o app WhatsApp Business pode ser conectado à API sem apagar a conta, sem desinstalar o app e sem perder o histórico. App e API funcionam no mesmo número ao mesmo tempo.

Quem tem acesso aos dados dos meus clientes na API oficial?

A Meta hospeda a infraestrutura e garante a criptografia em trânsito; o BSP faz a conexão e fornece a plataforma; e você, como empresa, é o controlador que define finalidades e acessos. Escolher um BSP oficial reduz o risco de o número transitar por caminhos não homologados.

A covercut ou a Meta consegue ler minhas conversas para cobrar?

A cobrança das conversas é feita pela Meta diretamente ao cliente, por conversa e no cartão que ele cadastra. A covercut cobra apenas uma mensalidade fixa de serviço e não intermedia essa cobrança, então o faturamento não depende de acesso ao conteúdo das suas conversas.