Em 2026, LGPD e WhatsApp marketing coexistem — mas com regras claras que muita loja ignora. Você pode automatizar atendimento, confirmações de pedido e lembretes sem problema. O que não pode: disparar mensagens de marketing para quem não deu consentimento explícito. A diferença entre os dois casos é o que separa uma operação saudável de uma multa de até R$ 50 milhões.
A base legal que todo varejista precisa entender
A LGPD (Lei 13.709/2018) lista dez bases legais para tratar dados pessoais. Para WhatsApp no varejo, três são relevantes:
| Base legal | O que permite | Limitação |
|---|---|---|
| Consentimento | Marketing, promoções, novidades | Precisa ser explícito, documentado e revogável |
| Execução de contrato | Confirmação de pedido, status de entrega, pós-venda | Restrito ao que o cliente contratou |
| Legítimo interesse | Pesquisa de satisfação, lembrete de produto comprado | Não pode ser usado para prospecção fria |
Na prática: quando o cliente compra e você confirma o pedido por WhatsApp, isso é execução de contrato — não precisa de consentimento adicional. Quando você manda promoção de produtos que ele nunca comprou, precisa de consentimento prévio. Simples assim.
O que pode ser automatizado sem consentimento adicional
Se o cliente já é cliente (fez uma compra ou contratou um serviço), você pode automatizar com base em execução de contrato ou legítimo interesse:
- Confirmação de pedido — mensagem automática quando o pedido entra no sistema. Template de utilidade. Custo: R$ 0,035 por mensagem via API.
- Status de entrega — aviso de separação, saída para entrega, entrega confirmada.
- Lembrete de agendamento — confirmação de hora marcada no dia anterior.
- Pós-venda imediato — mensagem 24h após a compra perguntando se está tudo certo.
- Aviso de vencimento ou renovação — para produtos com prazo (garantia, assinatura).
- Resposta a dúvidas dentro da janela de 24h — atendimento reativo sempre é legal.
Esses fluxos não exigem opt-in específico de marketing. O cliente deu o número para fechar negócio — usar esse canal para informá-lo sobre aquele negócio é legítimo.
O que NÃO pode ser automatizado sem consentimento
Disparo de marketing para base de clientes sem opt-in explícito é a principal armadilha. Exemplos comuns de violação:
- Promoção de Black Friday enviada para toda a base de contatos sem registro de consentimento
- Lançamento de coleção para quem comprou uma vez há dois anos e nunca mais apareceu
- Mensagem de aniversário com oferta comercial sem o cliente ter aceitado receber marketing
- Lista de transmissão com contatos que salvaram o número mas nunca deram opt-in formal
A lógica da LGPD é simples: o dado (número de telefone) foi fornecido para uma finalidade específica. Usar para finalidade diferente exige nova base legal — e na maioria dos casos, isso significa consentimento.
Como coletar consentimento de forma correta
Consentimento na LGPD precisa ser livre, informado, inequívoco e documentado. No varejo, isso funciona assim:
- No momento da venda: "Posso te mandar novidades e promoções pelo WhatsApp?" + checkbox no cadastro ou confirmação por áudio/texto na conversa.
- No WhatsApp, quando o cliente entra em contato: bot pergunta "Quer receber ofertas e novidades por aqui?" com opção clara de "Sim" ou "Não".
- No site ou e-commerce: campo de opt-in específico para WhatsApp marketing, separado do opt-in de e-mail.
- No ponto de venda físico: tablet ou formulário com opção marcável, assinatura digital ou confirmação por WhatsApp após o cadastro.
O que não funciona como consentimento: deixar o campo pré-marcado, dizer que "ao comprar você aceita receber comunicações", ou usar consentimento antigo de e-mail para WhatsApp.
Guarde o registro. Se a ANPD (Autoridade Nacional de Proteção de Dados) pedir, você precisa provar quando, como e para quê o cliente deu consentimento.
Direito ao esquecimento — o que sua loja precisa ter pronto
O cliente pode pedir a exclusão dos dados a qualquer momento. Para o WhatsApp no varejo, isso significa:
- Remover o número do CRM e de todas as listas de disparo
- Excluir o histórico de conversas armazenado em plataformas de atendimento
- Confirmar a exclusão por escrito para o cliente
Prazo: a LGPD não define um número de dias, mas a prática recomendada é até 15 dias úteis. Plataformas de WhatsApp API costumam ter botão de exclusão por contato — configure isso antes de precisar usar.
Um ponto prático: alguns dados precisam ser mantidos por obrigação legal mesmo após pedido de exclusão (nota fiscal, por exemplo). Mas o número de WhatsApp para fins de marketing pode e deve ser deletado imediatamente.
Para entender como organizar os dados de clientes de forma estruturada: CRM para varejo — não é só cadastro.
Template de mensagem vs mensagem livre — o que muda na LGPD
A distinção entre template aprovado e mensagem livre importa tanto para a Meta quanto para a LGPD:
Template de mensagem (pré-aprovado pela Meta): obrigatório para contato fora da janela de 24h. Os templates de marketing passam por revisão da Meta — isso não é aprovação legal pela LGPD, mas a Meta rejeita templates que parecem spam ou que não têm relação com uma interação anterior.
Mensagem livre (dentro da janela de 24h): enviada em resposta a uma mensagem do cliente. Tecnicamente mais flexível, mas a LGPD ainda se aplica — você não pode usar a janela aberta para empurrar marketing não solicitado.
A regra prática: dentro da janela, responda ao que o cliente perguntou. Se quiser vender algo além, faça de forma contextual e relevante, não como disparo em massa. Fora da janela, use template de utilidade quando possível (mais barato: R$ 0,035 vs R$ 0,3217 do marketing) e só para clientes com consentimento de marketing.
Veja mais sobre custo e tipos de mensagem no WhatsApp API: WhatsApp Business API vs WhatsApp comum.
Retenção de dados no CRM — quanto tempo guardar
A LGPD não define prazo único de retenção. Depende da finalidade:
| Dado | Base para retenção | Prazo recomendado |
|---|---|---|
| Histórico de compras | Obrigação legal (fiscal) | 5 anos |
| Conversas de atendimento | Legítimo interesse (suporte) | 1-2 anos |
| Dados para marketing | Consentimento | Enquanto vigente ou até pedido de exclusão |
| Dados de prospecção | Consentimento | Imediato se não houver opt-in |
Na prática, limpar a base anualmente — removendo contatos inativos sem consentimento válido — é mais fácil e mais seguro do que correr o risco de manter dados sem base legal.
Sobre como estruturar dados de clientes para análise: dados de varejo sem TI.
Perguntas frequentes
Posso disparar promoções pelo WhatsApp para toda a minha base de clientes? Não sem consentimento explícito de cada um. Mesmo que o cliente tenha comprado na sua loja e você tenha o número dele, isso não autoriza marketing automático. Você precisa de opt-in específico para WhatsApp marketing — registrado e documentado. O que você pode fazer sem consentimento adicional: mensagens relacionadas diretamente à compra que ele fez (confirmação, entrega, pós-venda).
Precisa de consentimento para mandar confirmação de pedido pelo WhatsApp? Não. Confirmação de pedido, status de entrega e comunicações diretamente relacionadas ao contrato firmado com o cliente têm base legal própria (execução de contrato). Você não precisa de opt-in de marketing para mandar "seu pedido foi separado" ou "seu pedido saiu para entrega". Essas mensagens são esperadas pelo cliente e fazem parte do serviço contratado.
Qual é a multa por violar a LGPD no WhatsApp? A ANPD pode aplicar multas de até 2% do faturamento da empresa no Brasil, limitado a R$ 50 milhões por infração. Para pequenas lojas, a ameaça mais imediata é o bloqueio do número pela Meta (que recebe denúncias) e a possibilidade de ação judicial movida pelo próprio cliente. A proteção mais eficaz é simples: documente o consentimento, ofereça opt-out fácil e só envie marketing para quem pediu para receber.
Quer estruturar sua automação de WhatsApp dentro da LGPD sem complicar a operação? A Agendai configura os fluxos, o opt-in e o CRM de forma integrada e conforme. Comece uma conversa.