LGPD no atendimento por WhatsApp do delivery: o que a loja precisa saber
Atualizado em
No atendimento de delivery pelo WhatsApp, a loja trata dados pessoais do cliente: nome, telefone, endereço, o que foi pedido, a forma de pagamento e o conteúdo da conversa. Pela LGPD (Lei 13.709/2018), a loja é a controladora desses dados, porque é ela quem decide para que eles servem; o sistema que guarda e processa os pedidos atua como operador, em nome da loja. A hipótese legal mais comum para usar esses dados no pedido é a execução de contrato a pedido do titular (art. 7º, V): o cliente pediu comida e a loja precisa do endereço para entregar. Isso não cobre tudo, e mandar promoção para quem só fez um pedido pede outra base, como o consentimento. A loja deve guardar só o necessário, pelo tempo necessário, proteger o acesso e atender o cliente que pedir para ver, corrigir ou apagar seus dados. Este guia explica o básico e não é aconselhamento jurídico.
Que dados o delivery trata no WhatsApp
- Nome e telefone do cliente.
- Endereço de entrega, com bairro e ponto de referência.
- Itens pedidos, valores e forma de pagamento.
- O conteúdo das conversas, incluindo áudios e fotos enviados.
- Histórico de pedidos, usado para confirmar endereço e repetir pedido.
Cuidado com o que o cliente conta sem que a loja pergunte. Alergia ou restrição alimentar é dado referente à saúde, que a LGPD trata como dado pessoal sensível (art. 5º, II). Use essa informação só para preparar o pedido e não a espalhe em grupos da equipe.
Quem é controlador e quem é operador
A LGPD chama de controlador quem toma as decisões sobre o tratamento dos dados e de operador quem trata os dados em nome do controlador (art. 5º, VI e VII). No delivery, a loja decide atender, entregar e guardar o histórico; o sistema de pedidos executa isso por ela.
Na prática, quem responde ao cliente sobre os dados dele é a loja. Na Deliver.IA, a política de privacidade define a loja como controladora dos dados dos pedidos e das conversas e a RBR, que fornece o sistema, como operadora.
Para que cada dado pode ser usado
A LGPD lista as hipóteses em que o tratamento é permitido (art. 7º). Para o delivery, as mais comuns são estas:
| Uso | Hipótese mais comum | Cuidado |
|---|---|---|
| Anotar e entregar o pedido | Execução de contrato a pedido do titular (art. 7º, V) | Usar só o necessário para o pedido |
| Avisar o status do pedido | Execução de contrato (art. 7º, V) | Mensagem só sobre aquele pedido |
| Guardar dados de venda exigidos por lei | Cumprimento de obrigação legal (art. 7º, II) | Guardar pelo prazo que a lei pede |
| Mandar promoção | Consentimento (art. 7º, I) ou legítimo interesse (art. 7º, IX), com avaliação | Opção clara de parar de receber |
Por quanto tempo guardar
A lei diz que o tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários (art. 15) e que, depois disso, os dados devem ser eliminados, com exceções, como o cumprimento de obrigação legal (art. 16). Para a loja, isso significa definir por quanto tempo guarda conversas e endereços e apagar o que não serve mais.
Registros de venda exigidos pela legislação fiscal entram na exceção da obrigação legal. Veja nota fiscal no delivery.
Na Deliver.IA, os dados dos pedidos e das conversas ficam guardados enquanto durar o contrato; ao encerrar, a loja pode pedir a exportação, e depois os dados são eliminados, ressalvadas as exceções do art. 16.
Direitos do cliente e canal de contato
O cliente pode pedir à loja confirmação de que ela trata seus dados, acesso, correção, eliminação de dados desnecessários e informação sobre com quem os dados foram compartilhados, entre outros direitos (art. 18). A ANPD explica esses direitos ao cidadão.
A LGPD prevê um encarregado como canal entre a loja, os clientes e a ANPD. A Resolução CD/ANPD nº 2/2022 diz que o agente de tratamento de pequeno porte, o que inclui microempresa, empresa de pequeno porte e MEI, não é obrigado a indicar encarregado, mas precisa manter um canal de comunicação com o titular (art. 11). O próprio WhatsApp da loja pode ser esse canal, se alguém responder.
Registro simplificado
A LGPD pede que os agentes de tratamento mantenham registro das operações de tratamento. A mesma resolução permite que o agente de pequeno porte faça esse registro de forma simplificada (art. 9º), com modelo fornecido pela ANPD. Para uma lanchonete, isso pode ser uma página dizendo quais dados entram, para quê, onde ficam e por quanto tempo.
Essas facilidades não valem para quem faz tratamento de alto risco ou passa dos limites de receita da resolução (art. 3º).
Segurança no dia a dia
A lei pede medidas de segurança, técnicas e administrativas, para proteger os dados de acesso não autorizado e de vazamento (art. 46). Na loja, isso se traduz em hábitos simples:
- Cada pessoa com o próprio login no sistema de pedidos.
- Celular da loja com senha de bloqueio.
- Nada de print de conversa ou de endereço de cliente em grupo pessoal.
- Nunca pedir número completo de cartão pelo WhatsApp.
- Tirar o acesso de quem saiu da equipe no mesmo dia.
Perguntas frequentes
Preciso pedir consentimento para anotar o endereço do cliente?
Em geral, não. Quando o cliente pede comida para entrega, usar o endereço para entregar se encaixa na execução de contrato a pedido do titular, prevista no art. 7º, V, da LGPD. O que a loja deve fazer é usar o endereço só para isso, protegê-lo e informar o cliente, por exemplo numa política de privacidade simples, sobre o que faz com os dados.
O cliente pediu para apagar os dados dele. E agora?
Atenda, dentro do que a lei permite. O art. 18 da LGPD garante ao titular a eliminação de dados desnecessários ou tratados com base no consentimento, mas o art. 16 autoriza guardar o que a loja precisa para cumprir obrigação legal, como registros de venda exigidos pela legislação fiscal. Apague o resto, como conversas e endereço, e responda ao cliente dizendo o que foi apagado e o que precisou ficar.
Posso mandar promoção para todos os clientes que já pediram?
Com cuidado. Ter feito um pedido não autoriza, por si só, receber propaganda. O caminho mais seguro é pedir a permissão do cliente, por exemplo ao fim do pedido, e dar um jeito simples de parar de receber. A Política de Mensagens do WhatsApp Business também pede permissão de quem recebe e manda respeitar quem pede para parar. Veja avisos de status do pedido.
Fontes
- Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais). Presidência da República (Planalto). Consultado em 05/10/2026.
- Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (agentes de tratamento de pequeno porte). Autoridade Nacional de Proteção de Dados (ANPD). Consultado em 05/10/2026.
- Titular de dados. Autoridade Nacional de Proteção de Dados (ANPD). Consultado em 05/10/2026.
- Política de Mensagens do WhatsApp Business. WhatsApp (Meta). Consultado em 05/10/2026.