Proteger los datos en un chatbot empieza antes del primer mensaje: la empresa debe saber qué información entra, para qué se usará, quién tiene acceso y qué proveedores participan en la atención. La automatización debe reflejar estas decisiones en la recopilación y derivación de conversaciones.
Esta es una guía informativa para evaluar una operación de ecommerce. La definición de obligaciones y bases legales del caso concreto debe pasar por los responsables jurídicos y de protección de datos de la empresa.
¿Qué son la LGPD y la ANPD?
La LGPD brasileña regula el tratamiento de datos personales. La ANPD actúa en la implementación, regulación y fiscalización de la ley. El incumplimiento puede resultar en sanciones después del procedimiento aplicable; contratar un chatbot no transfiere automáticamente estas responsabilidades. Información institucional de la ANPD.
¿Qué datos necesita recopilar realmente el chatbot?
La LGPD prevé finalidad, necesidad y transparencia en el tratamiento. En el flujo de la tienda, verifica qué tarea exige cada dato. LGPD, artículo 6º.
Crea un inventario con una fila por dato: origen, finalidad, acceso, intercambio y retención. Para localizar una orientación pública sobre cambios, por ejemplo, pedir un documento completo suele ser innecesario. Para consultar datos de un pedido, diseña una verificación de identidad adecuada al riesgo, sin exponer información antes de la confirmación.
¿El consentimiento resuelve cualquier uso de los datos?
El consentimiento es una de las bases legales de tratamiento. La ley prevé otras y los datos sensibles tienen reglas específicas. Un dato público tampoco queda libre de obligaciones. Orientaciones de la ANPD sobre bases legales.
Separa las finalidades en el inventario: resolver una compra, atender una solicitud y enviar publicidad no son descripciones intercambiables. Registra la evaluación de la base aplicable con los responsables. El permiso exigido por el canal también debe verificarse en la guía de la API oficial de WhatsApp.
¿Cómo informar al cliente con claridad?
El aviso debe explicar el uso de los datos y ofrecer acceso a la información pertinente sobre el tratamiento. Cuando se exija consentimiento, una autorización genérica no cumple el requisito de finalidad determinada. LGPD, artículos 8º y 9º.
Ejemplo de redacción para revisión, sin certificación de cumplimiento:
Para localizar tu solicitud, necesitamos [información necesaria]. Consulta cómo [Tienda] usa estos datos en [aviso de privacidad]. Para hablar sobre tus datos personales, contáctanos por [canal].
Sustituye los campos por información real. El texto solo puede mencionar un canal que funcione y un aviso que corresponda al proceso de la empresa.
¿Qué controles de seguridad evaluar?
La guía publicada por la ANPD recomienda medidas administrativas y técnicas, incluidas la gestión de acceso, la capacitación y la evaluación de proveedores. Guía de seguridad de la información, versión publicada.
En la evaluación del chatbot, revisa cuentas individuales, permisos por función, autenticación disponible y eliminación de accesos de quienes se fueron. Verifica también los registros de actividad y cómo aparecen los datos en las exportaciones. Un equipo que no necesita un dato no debería recibirlo por defecto.
Examina con cada proveedor dónde están los datos, quién puede acceder y cómo se tratan los incidentes. Documenta las responsabilidades en el contrato y prueba el procedimiento de suspensión de un acceso. Estas verificaciones no equivalen a una certificación de la herramienta.
¿Cómo tratar la retención y las solicitudes de los titulares?
La ANPD aclara que la conservación después del fin del tratamiento depende de las hipótesis autorizadas, y los titulares tienen derechos que necesitan una vía de atención. Preguntas frecuentes de la ANPD.
Define quién recibe una solicitud y cómo localizar los datos en los sistemas involucrados. Evita prometer eliminación inmediata e irrestricta sin evaluar obligaciones de conservación. Usa una simulación con un registro ficticio para verificar si el equipo encuentra el registro y deriva la solicitud correctamente.
¿Las pequeñas empresas también deben evaluar estas obligaciones?
Las reglas diferenciadas para agentes de pequeño tamaño tienen criterios y excepciones. No eliminan los principios, las bases legales ni los derechos de los titulares. Resolución CD/ANPD nº 2, especialmente artículos 3º y 6º.
No concluyas que la tienda está exenta solo por el tamaño del equipo. Incluye su clasificación en la evaluación con los responsables.
¿Qué revisar antes de publicar un flujo en ChatFunnel?
Lleva el inventario de datos para revisar la configuración y los proveedores de la implementación. Documenta los accesos, la fuente de las respuestas y la derivación de solicitudes. El análisis debe considerar el uso real de tu empresa; este artículo no declara el cumplimiento de ChatFunnel ni de la operación.
Usa el checklist de atención automatizada para registrar las pruebas y los responsables de cada pendiente antes de la activación.