RCS e LGPD: como enviar mensagens com segurança

O uso do RCS em conformidade com a LGPD exige mais do que escolher uma plataforma de envio. A empresa precisa definir uma finalidade legítima, identificar a base legal adequada, informar o titular sobre o tratamento dos dados, registrar as autorizações necessárias, oferecer uma forma simples de cancelamento e proteger as informações utilizadas na campanha.

No RCS Business Messaging, o número de telefone, o histórico de interações, as preferências, os cliques, as respostas e os dados empregados na personalização podem estar relacionados a uma pessoa identificada ou identificável. Por isso, essas informações podem ser consideradas dados pessoais e devem ser tratadas de acordo com a Lei Geral de Proteção de Dados.

Além da LGPD, a empresa precisa observar as regras do próprio canal, das operadoras e dos fornecedores envolvidos na operação. Essas políticas podem exigir consentimento expresso para mensagens empresariais, especialmente em campanhas promocionais, mesmo quando a organização esteja avaliando outra hipótese legal para algum tratamento de dados.

Neste conteúdo, você entenderá como relacionar RCS e LGPD, quais cuidados tomar antes de enviar mensagens e como construir campanhas mais seguras e transparentes.

Este conteúdo possui caráter informativo e não substitui uma análise jurídica específica sobre a operação, o setor, a base de dados e as finalidades de cada empresa.

O que é RCS Business Messaging?

RCS é a sigla de Rich Communication Services. No ambiente empresarial, a tecnologia pode ser utilizada por meio do RCS Business Messaging, também conhecido como RCS for Business.

O canal permite criar mensagens mais completas do que o SMS tradicional. Dependendo da compatibilidade do aparelho e da implementação utilizada, uma comunicação RCS pode apresentar:

Nome e logotipo da empresa;
Perfil empresarial verificado;
Imagens;
Vídeos;
Rich Cards;
Carrosséis;
Botões;
Respostas sugeridas;
Confirmação de entrega;
Confirmação de leitura;
Conversas automatizadas;
Integração com atendimento humano.

Esses recursos podem ser utilizados em campanhas promocionais, atualização de pedidos, confirmação de agendamentos, cobrança, recuperação de carrinho, programas de fidelidade e atendimento.

Para conhecer melhor a tecnologia, acesse o conteúdo sobre o que é RCS Business Messaging.

Por que a LGPD se aplica às mensagens RCS?

A LGPD se aplica quando existe tratamento de dados pessoais realizado por uma pessoa natural ou por uma organização, nas condições previstas pela legislação.

Tratamento é um conceito amplo e pode incluir atividades como:

Coleta;
Armazenamento;
Consulta;
Classificação;
Compartilhamento;
Utilização;
Transmissão;
Análise;
Exclusão.

Em uma operação de RCS, o número de telefone é utilizado para identificar o destinatário e entregar a mensagem. Outros dados também podem ser empregados para segmentar ou personalizar a comunicação.

Alguns exemplos são:

Nome;
Telefone;
Histórico de compras;
Produtos visualizados;
Carrinhos abandonados;
Região;
Preferências;
Interações anteriores;
Respostas enviadas;
Botões acionados;
Dados de atendimento;
Informações sobre pedidos.

Mesmo que a campanha não apresente o nome do cliente, um número de telefone vinculado a uma pessoa pode ser um dado pessoal.

A empresa também pode gerar novos dados durante a interação, como o registro de leitura, a resposta selecionada e o interesse demonstrado por determinado produto.

Quais princípios da LGPD devem orientar uma campanha RCS?

Finalidade

A empresa deve definir por que os dados serão utilizados.

Uma autorização genérica para “receber qualquer comunicação” oferece menos transparência do que uma informação específica, como:

“Desejo receber pelo celular novidades, ofertas e informações sobre produtos da empresa.”

A finalidade também ajuda a separar mensagens promocionais, transacionais e de atendimento.

Adequação

O tratamento deve ser compatível com o contexto e com a finalidade informada ao cliente.

Se o consumidor forneceu o telefone apenas para receber atualizações de uma entrega, utilizar esse número posteriormente em campanhas promocionais exige uma análise específica.

O fato de uma empresa possuir o contato não significa que qualquer utilização será automaticamente adequada.

Necessidade

A organização deve utilizar somente os dados necessários para alcançar o objetivo.

Uma campanha que divulga uma nova coleção pode precisar do telefone e de informações básicas de interesse. Provavelmente não precisa de dados financeiros detalhados ou documentos pessoais.

Quanto maior a quantidade de dados coletados, maior tende a ser a responsabilidade de armazenamento e proteção.

Transparência

O titular deve conseguir entender:

Quem está tratando seus dados;
Qual é a finalidade;
Quais dados são utilizados;
Com quem podem ser compartilhados;
Por quanto tempo serão tratados;
Como exercer seus direitos;
Como interromper as mensagens.

Essas informações podem ser distribuídas em camadas. O aviso inicial apresenta os pontos essenciais, enquanto a política de privacidade interna do site detalha o tratamento.

Livre acesso

O titular deve ter acesso facilitado às informações sobre o tratamento de seus dados.

A empresa precisa disponibilizar um canal para dúvidas e solicitações relacionadas à privacidade.

Qualidade dos dados

Dados incorretos ou desatualizados podem fazer com que uma mensagem seja enviada para a pessoa errada.

A base deve passar por processos de atualização, correção e higienização.

Segurança e prevenção

A empresa precisa adotar medidas técnicas e administrativas para reduzir riscos como:

Acesso não autorizado;
Vazamento;
Alteração indevida;
Perda;
Envio ao destinatário errado;
Uso incompatível;
Exposição de dados sensíveis.

Toda mensagem RCS precisa de consentimento?

A resposta exige cuidado.

A LGPD apresenta diferentes bases legais para o tratamento de dados pessoais. O consentimento é uma delas, mas não é a única.

Dependendo do contexto, uma organização pode avaliar hipóteses como:

Consentimento;
Execução de contrato;
Cumprimento de obrigação legal ou regulatória;
Exercício regular de direitos;
Legítimo interesse;
Proteção do crédito.

A escolha não deve ser feita apenas para facilitar o envio. A base legal precisa ser compatível com a finalidade e com as características reais da operação.

Além da LGPD, o RCS possui regras próprias. As políticas do canal podem exigir autorização clara antes de a empresa iniciar mensagens com o consumidor, especialmente em campanhas promocionais.

Na prática, a organização precisa cumprir simultaneamente:

A legislação aplicável;
As regras do canal;
As exigências das operadoras;
O contrato com a plataforma ou parceiro;
As preferências informadas pelo cliente.

Quando uma regra do canal é mais restritiva do que a interpretação adotada para a base legal, a empresa ainda precisa respeitar a condição necessária para utilizar aquele canal.

Mensagem promocional, transacional e de atendimento: qual é a diferença?

Mensagem promocional

A mensagem promocional procura divulgar uma oferta, produto, benefício ou campanha comercial.

Exemplos:

Lançamentos;
Cupons;
Descontos;
Frete promocional;
Novas coleções;
Recuperação de carrinho;
Recomendações de produtos;
Campanhas de reativação.

Nesse tipo de comunicação, o opt-in claro e documentado é especialmente importante. A empresa também precisa oferecer uma forma simples de cancelamento.

Mensagem transacional

A mensagem transacional está vinculada a uma ação ou relação existente com o cliente.

Exemplos:

Confirmação de pedido;
Atualização de pagamento;
Rastreamento de entrega;
Alteração de horário;
Confirmação de agendamento;
Aviso de indisponibilidade;
Comunicação sobre um serviço contratado.

A hipótese legal pode estar relacionada à execução de um contrato ou a outro fundamento aplicável. Entretanto, a empresa deve limitar a mensagem ao propósito transacional.

Inserir uma promoção não relacionada dentro de uma comunicação necessária pode alterar a natureza da mensagem e criar riscos de inadequação.

Mensagem de atendimento

A mensagem de atendimento acontece quando o cliente inicia uma conversa ou solicita suporte.

A empresa pode utilizar os dados necessários para responder, encaminhar e registrar a solicitação, conforme a base legal definida.

A conversa não deve ser aproveitada indiscriminadamente para gerar campanhas futuras sem transparência e autorização compatível.

Como obter consentimento para mensagens RCS?

Quando o consentimento for utilizado, ele deve ser livre, informado, inequívoco e relacionado a finalidades determinadas.

Explique o canal e o tipo de conteúdo

O cliente deve saber que poderá receber mensagens pelo número informado.

Exemplo:

“Quero receber pelo celular ofertas, novidades e conteúdos da RM Talk por canais de mensageria, incluindo RCS.”

A redação precisa refletir o que a empresa realmente enviará.

Utilize uma ação afirmativa

Evite considerar silêncio, inatividade ou caixa previamente marcada como autorização.

O consentimento deve resultar de uma ação clara, como:

Marcar uma opção não pré-selecionada;
Selecionar “Aceito”;
Confirmar o cadastro;
Responder positivamente;
Escolher uma preferência.

Separe finalidades diferentes

Uma autorização para acompanhar um pedido não deve ser automaticamente interpretada como autorização para promoções.

A empresa pode separar as preferências:

Atualizações de pedidos;
Ofertas e promoções;
Conteúdos;
Pesquisas;
Programa de fidelidade.

Registre a autorização

O registro deve permitir identificar:

Quem autorizou;
Quando autorizou;
Onde autorizou;
Qual texto foi apresentado;
Qual finalidade foi informada;
Qual canal foi aceito;
Qual versão da política estava vigente.

Também é necessário registrar a revogação.

Facilite a retirada

Cancelar deve ser tão simples quanto autorizar.

A empresa pode oferecer:

Resposta “SAIR”;
Botão “Cancelar mensagens”;
Central de preferências;
Solicitação ao atendimento;
Página de descadastro.

A revogação precisa ser processada rapidamente em todos os sistemas relacionados.

Como utilizar legítimo interesse em uma operação de RCS?

O legítimo interesse pode ser avaliado em determinadas operações, mas não deve ser tratado como uma autorização genérica para enviar marketing.

A análise precisa considerar:

Finalidade legítima;
Necessidade do tratamento;
Relação anterior com o titular;
Expectativa razoável;
Impacto sobre direitos e liberdades;
Dados estritamente necessários;
Transparência;
Medidas de proteção;
Possibilidade de oposição;
Regras específicas do canal.

Uma avaliação de legítimo interesse pode ser documentada por meio de um teste de balanceamento.

Mesmo que essa hipótese seja considerada adequada para determinado tratamento, as regras do RCS, do fornecedor ou das operadoras podem continuar exigindo opt-in para o envio de mensagens.

Por isso, a decisão deve envolver as áreas jurídica, privacidade, marketing, tecnologia e segurança.

Como criar uma base de contatos compatível com a LGPD?

Identifique a origem dos números

A empresa deve saber como cada contato foi obtido.

As origens podem incluir:

Formulário;
Compra;
Evento;
Atendimento;
Programa de fidelidade;
Cadastro em loja;
Landing page;
Aplicativo;
Indicação autorizada.

Bases sem origem documentada representam um risco maior.

Não compre listas de contatos

Listas adquiridas de terceiros podem não possuir autorização adequada, origem verificável ou expectativa compatível.

Além de prejudicar a conformidade, o envio para pessoas que não conhecem a empresa aumenta:

Bloqueios;
Reclamações;
Denúncias de spam;
Baixo engajamento;
Desperdício de orçamento;
Risco reputacional.

Crie uma central de preferências

A central de preferências permite que o cliente escolha:

Assuntos;
Frequência;
Canais;
Tipos de mensagem;
Cancelamento.

Isso evita a situação em que o consumidor precisa interromper todas as comunicações porque não consegue desativar apenas as promoções.

Higienize a base

A higienização pode incluir:

Remoção de números inválidos;
Exclusão de duplicidades;
Atualização de registros;
Aplicação da lista de bloqueio;
Exclusão de consentimentos revogados;
Revisão de contatos inativos;
Verificação da origem dos dados.

Quais dados podem ser usados para segmentar campanhas?

A personalização pode melhorar a relevância, mas deve respeitar finalidade, necessidade e expectativa.

Alguns dados utilizados em campanhas são:

Histórico de compras;
Produtos visualizados;
Categoria de interesse;
Região;
Preferências declaradas;
Programa de fidelidade;
Interações anteriores;
Data da última compra.

A empresa precisa avaliar se o cliente esperaria aquela personalização.

Uma campanha baseada em dados comuns de compra é diferente de uma segmentação que revela informações sobre saúde, religião, origem racial, opinião política ou outros dados sensíveis.

Dados sensíveis exigem cuidados adicionais e hipóteses legais específicas. Eles não devem ser utilizados em campanhas comerciais apenas porque estão disponíveis em algum sistema.

Como proteger os dados em campanhas RCS?

Aplique controle de acesso

Cada profissional deve acessar somente as informações necessárias para sua função.

A empresa pode adotar:

Perfis de acesso;
Autenticação multifator;
Senhas fortes;
Registro de atividades;
Revisão periódica de permissões;
Bloqueio de contas inativas.

Proteja as integrações

CRM, e-commerce, plataforma RCS e atendimento trocam informações durante a jornada.

As integrações devem utilizar:

Autenticação segura;
Controle de credenciais;
Conexões protegidas;
Validação de requisições;
Monitoramento;
Limites de acesso;
Logs.

Credenciais não devem ficar expostas em documentos, mensagens ou códigos acessíveis sem controle.

Minimize os dados

Envie à plataforma somente as informações necessárias para criar e entregar a mensagem.

Se a campanha precisa apenas de nome, telefone e categoria de interesse, não há razão para transmitir outros dados do cadastro completo.

Defina retenção e descarte

Os dados não devem ser armazenados indefinidamente sem necessidade.

A política precisa definir:

Quais informações são guardadas;
Por quanto tempo;
Qual é a justificativa;
Como ocorre a exclusão;
Quais registros precisam ser preservados;
Como backups são tratados.

Evite informações sensíveis na mensagem

Não exponha diretamente:

Senhas;
Dados bancários completos;
Números completos de cartões;
Documentos;
Informações médicas detalhadas;
Códigos permanentes de acesso;
Dados protegidos por sigilo.

Operações sensíveis devem ser realizadas em um ambiente seguro e autenticado.

Não presuma que toda conversa empresarial por RCS possui criptografia de ponta a ponta. A empresa precisa tratar o canal como uma etapa de comunicação, não como substituto de um ambiente protegido.

Qual é o papel do remetente verificado?

O remetente verificado ajuda o consumidor a identificar a empresa.

O perfil pode apresentar:

Nome;
Logotipo;
Informações da marca;
Indicação de verificação;
Dados de contato;
Política de privacidade.

Isso reduz a dependência de números desconhecidos e melhora o reconhecimento do remetente.

Entretanto, a verificação não comprova que toda mensagem é adequada à LGPD. A empresa ainda precisa cumprir finalidade, base legal, transparência, segurança e respeito às preferências.

Saiba mais no conteúdo sobre remetente verificado no RCS.

Como apresentar a política de privacidade?

A política de privacidade deve ser clara, acessível e coerente com a operação.

Ela pode explicar:

Identidade do controlador;
Dados tratados;
Finalidades;
Bases legais;
Compartilhamentos;
Fornecedores envolvidos;
Transferências internacionais, quando aplicáveis;
Período de retenção;
Medidas de segurança;
Direitos do titular;
Canal de atendimento;
Dados do encarregado, quando aplicável.

No agente RCS, o acesso à política deve direcionar para uma página interna da empresa.

Não basta publicar uma política genérica. O documento precisa refletir o uso real dos dados.

Controlador e operador: quem é responsável?

Em uma campanha, podem participar:

Empresa anunciante;
Plataforma de RCS;
Integrador;
Operadora;
CRM;
Agência;
Plataforma de análise;
Atendimento terceirizado.

A organização que determina as finalidades e os elementos essenciais do tratamento tende a atuar como controladora. Fornecedores que tratam dados conforme suas instruções podem atuar como operadores, dependendo da relação concreta.

Os contratos devem estabelecer:

Finalidade;
Dados envolvidos;
Instruções;
Medidas de segurança;
Subcontratação;
Retenção;
Devolução ou exclusão;
Auditoria;
Comunicação de incidentes;
Responsabilidades.

A classificação não deve ser definida apenas pelo nome utilizado no contrato, mas pela atuação real de cada participante.

Como atender aos direitos do titular?

A empresa deve possuir um processo para receber e responder solicitações relacionadas a:

Confirmação de tratamento;
Acesso;
Correção;
Informação sobre compartilhamento;
Revogação do consentimento;
Eliminação, quando aplicável;
Oposição, conforme o contexto;
Revisão de decisões automatizadas, quando cabível.

Essas solicitações podem chegar pelo atendimento, site, encarregado ou pela própria conversa.

O pedido precisa ser encaminhado ao setor responsável e tratado com segurança. Antes de fornecer informações pessoais, a empresa deve verificar a identidade do solicitante sem coletar dados excessivos.

O que fazer em caso de incidente de segurança?

Um incidente pode incluir:

Acesso não autorizado;
Envio para o destinatário errado;
Vazamento da base;
Credencial exposta;
Perda de dados;
Alteração indevida;
Indisponibilidade;
Uso incompatível.

A empresa precisa possuir um plano de resposta.

O fluxo pode incluir:

Identificar e conter o incidente;
Preservar evidências;
Avaliar dados e titulares afetados;
Analisar riscos e possíveis danos;
Acionar segurança, jurídico e privacidade;
Comunicar o controlador, quando o incidente ocorrer em um operador;
Avaliar a comunicação à ANPD e aos titulares;
Corrigir a causa;
Registrar as decisões;
Acompanhar as medidas de mitigação.

Quando o incidente confirmado com dados pessoais puder causar risco ou dano relevante, o controlador deve avaliar a obrigação de comunicação à ANPD e aos titulares dentro do prazo aplicável.

Checklist de RCS e LGPD

Antes de enviar uma campanha, confirme:

A finalidade está documentada;
A base legal foi definida;
As regras do canal foram verificadas;
O opt-in necessário foi registrado;
O texto do consentimento é específico;
A origem dos contatos é conhecida;
A política de privacidade está atualizada;
O agente identifica claramente a empresa;
O público foi segmentado com dados adequados;
Dados sensíveis não estão sendo utilizados indevidamente;
O conteúdo respeita a finalidade;
Existe uma forma simples de cancelamento;
A lista de bloqueio está sincronizada;
Os acessos estão limitados;
As integrações são protegidas;
Os fornecedores possuem contratos adequados;
O período de retenção está definido;
Os direitos do titular podem ser atendidos;
Existe um plano de resposta a incidentes;
O fallback também respeita as preferências do cliente.

Erros que devem ser evitados

Enviar para números sem origem conhecida

A empresa precisa saber como e por que cada número entrou na base.

Confundir cadastro com autorização promocional

O cliente pode fornecer seu telefone para receber uma entrega sem desejar campanhas.

Esconder o cancelamento

A opção de saída deve ser fácil de encontrar e utilizar.

Manter sistemas dessincronizados

Se o consumidor cancela as mensagens, a preferência deve ser atualizada no CRM, na automação e na plataforma de envio.

Utilizar dados excessivos

A campanha deve empregar apenas as informações necessárias.

Compartilhar dados sem governança

Fornecedores e parceiros precisam ter finalidades, acessos e responsabilidades definidos.

Misturar comunicação transacional com propaganda

Uma atualização necessária não deve ser utilizada para inserir promoções incompatíveis com o contexto.

Expor informações confidenciais

A mensagem não deve mostrar dados que poderiam causar prejuízo se visualizados por terceiros.

Perguntas frequentes sobre RCS e LGPD

A LGPD proíbe campanhas por RCS?

Não. A LGPD não proíbe o uso de RCS. Ela estabelece condições para o tratamento de dados pessoais.

Posso enviar RCS para todos os meus clientes?

Não automaticamente. É necessário avaliar finalidade, base legal, transparência, regras do canal, consentimentos e preferências.

Ter o telefone do cliente é suficiente?

Não. A posse do número não autoriza qualquer finalidade de tratamento.

O consentimento é sempre obrigatório?

A LGPD prevê diferentes bases legais. Porém, campanhas promocionais e regras do canal podem exigir opt-in expresso. A análise deve considerar legislação e políticas aplicáveis.

Como comprovar o consentimento?

Registre data, origem, texto apresentado, finalidade, canal, ação afirmativa e versão da política.

O cliente pode cancelar as mensagens?

Sim. A retirada deve ser gratuita, simples e efetiva.

Posso utilizar histórico de compras?

Pode existir possibilidade de uso, desde que haja finalidade, base legal, necessidade, transparência e respeito às expectativas e regras aplicáveis.

É permitido enviar dados de pagamento por RCS?

Informações financeiras completas e dados confidenciais não devem ser enviados diretamente. Direcione o cliente para um ambiente autenticado.

O SMS de fallback também precisa respeitar a LGPD?

Sim. A mudança de tecnologia não elimina as obrigações de privacidade e as preferências do titular.

Quem responde pelo tratamento dos dados?

A responsabilidade depende da atuação real de cada participante. A empresa deve mapear controladores, operadores e demais envolvidos.

Conclusão: como enviar RCS com segurança?

Uma estratégia segura de RCS começa antes da criação da mensagem.

A empresa precisa definir a finalidade, selecionar a base legal, verificar as regras do canal, documentar autorizações, oferecer cancelamento e proteger os dados durante toda a jornada.

Também é necessário separar mensagens promocionais, transacionais e de atendimento. Cada categoria possui objetivos, expectativas e riscos diferentes.

O RCS pode criar experiências visuais e interativas, mas não deve ser utilizado para expor informações confidenciais. Ações sensíveis precisam ser direcionadas para ambientes autenticados.

A RM Talk ajuda empresas a planejar operações de RCS Business Messaging considerando jornada, tecnologia, consentimento, integrações, fallback e mensuração. A adequação jurídica final deve ser validada pelos responsáveis por privacidade e assessoria jurídica da organização.

Conheça a solução de RCS Business Messaging da RM Talk e descubra como estruturar uma operação mais segura e transparente.

Próximo passo: conheça o RCS Business Messaging da RM Talk ou veja como funcionam os disparos em massa com atendimento em escala.