Chat do site e LGPD: checklist de 10 pontos para lojas virtuais (2026)

Resposta curta: Dá para usar chat online no site de acordo com a LGPD, mas nenhuma ferramenta está "adequada à LGPD" sozinha: depende de como você configura. Você precisa de um contrato com o fornecedor do chat (o operador), de um trecho sobre o chat no aviso de privacidade, das cláusulas-padrão da ANPD se os dados forem para fora do Brasil, de uma decisão sobre quando o script do chat carrega, de um prazo para excluir conversas antigas e de um assistente de IA que o cliente reconheça como IA. Os dez pontos abaixo cabem em uma tarde.

Boa parte do que existe sobre "chat e LGPD" foi escrito quando a lei entrou em vigor. Desde então mudaram três coisas: a ANPD publicou o guia de cookies (2022), as cláusulas-padrão para transferência internacional viraram obrigatórias em contratos antigos a partir de agosto de 2025 e, para quem vende para a Europa, a regra de transparência do AI Act para chatbots vale desde agosto de 2026. Este checklist considera as três.

Este é um resumo prático, não consultoria jurídica. Se você trata dados de saúde, vende para crianças ou tem uma operação grande, converse com um advogado especializado ou com o seu encarregado (DPO).

O que a lei pede de um chat no site

Se você também vende para Portugal ou outros países da União Europeia, vale o RGPD, e as regras europeias de cookies são mais rígidas que as brasileiras.

O checklist de 10 pontos

1. Tenha um contrato com o fornecedor do chat

O fornecedor guarda as mensagens dos seus clientes em seu nome, então ele é operador e você é o controlador. O contrato deve prender o fornecedor às suas instruções e prever sigilo, medidas de segurança, regras para suboperadores, apoio nos pedidos dos titulares e exclusão dos dados quando você sair. Quase todo fornecedor oferece um acordo de tratamento de dados padrão para aceitar online. Guarde uma cópia com a data. Se um fornecedor não oferece nenhum, escolha outro.

2. Saiba para onde vão os dados

Três perguntas: em que país ficam as conversas, quais suboperadores têm acesso (hospedagem, e-mail, modelo de IA) e com que base os dados saem do Brasil.

Quase todos os chats guardam dados fora do país, nos Estados Unidos ou na Europa. Isso é transferência internacional (art. 33). Pela Resolução nº 19/2024 da ANPD, sem decisão de adequação você usa as cláusulas-padrão da ANPD, sem alterações além das que a norma permite. Pergunte ao fornecedor se ele assina essas cláusulas e cite a transferência no aviso de privacidade.

3. Decida quando o script do chat carrega

É aqui que a maioria das lojas trava. Um widget de chat carrega um script do servidor do fornecedor, o que envia o IP do visitante para esse servidor, e normalmente guarda algo no navegador para que a conversa não se perca ao trocar de página.

O guia da ANPD aceita legítimo interesse para cookies necessários, então no Brasil você tem mais margem que na Europa. A leitura mais rígida publicada na UE vem da Alemanha: no guia sobre serviços digitais (versão 1.2, novembro de 2024), as autoridades alemãs tratam o chat como serviço adicional. Quem abre uma página ainda não pediu o chat; o que o chat guarda só pode ser estritamente necessário quando o visitante o usa, por exemplo ao clicar (DSK, Orientierungshilfe Digitale Dienste, itens 74–80).

Nossa recomendação: se você vende só no Brasil, carregar o chat em toda visita costuma ser defensável, desde que o aviso de privacidade e a política de cookies expliquem o que ele guarda. Se você vende para a Europa, carregue depois do consentimento ou no clique. No Google Tag Manager, troque o acionador "All Pages" pelo evento de consentimento do seu banner (como colocar o chat pelo Tag Manager).

4. Coloque o chat no aviso de privacidade

Um trecho curto, em linguagem simples, com o que o art. 9º pede:

Chat online. Quando você usa o chat do nosso site, tratamos suas mensagens, seu nome e e-mail se você informar, seu endereço IP e as páginas que você visitou. Fazemos isso para responder às suas dúvidas, com base na execução de contrato e no nosso legítimo interesse em atender solicitações (LGPD art. 7º, V e IX). O chat é fornecido por [fornecedor, endereço], que trata os dados em nosso nome. Os dados ficam armazenados em [país], com base nas cláusulas-padrão da ANPD. [Se uma IA responde: Algumas respostas são escritas por um assistente de IA; para isso, sua mensagem é enviada a [fornecedor de IA].] Excluímos as conversas [12] meses após a última mensagem.

Se a sua equipe vê o que o visitante digita antes de ele apertar enviar (prévia de digitação), inclua isso também.

5. Peça só o que você precisa

Um formulário que exige nome, e-mail, telefone e CPF antes da primeira mensagem coleta mais do que a maioria das dúvidas precisa, e a LGPD pede necessidade (art. 6º, III). Peça e-mail só se quiser responder por e-mail fora do horário. Para "cadê meu pedido?", o número do pedido basta.

6. Mantenha número de cartão e senha fora do chat

Clientes colam número de cartão e senha na janela do chat. Peça que não façam isso na saudação das páginas de pagamento e ative o mascaramento se a ferramenta tiver. No Shopxare, Configurações → Geral → Ocultar números de cartão e senhas mascara números de cartão (menos os 4 últimos dígitos), códigos de segurança e senhas nas mensagens dos clientes (configurações do espaço de trabalho).

7. Defina um prazo de guarda e atenda pedidos de exclusão

A LGPD manda eliminar os dados quando o tratamento termina (art. 16) e dá ao titular o direito de pedir a eliminação (art. 18). Escolha um prazo que combine com a finalidade, por exemplo o fim do prazo de arrependimento e de garantia, escreva no aviso de privacidade e exclua as conversas antigas em uma data fixa a cada trimestre. Quando um cliente pedir a exclusão, apague o contato e as conversas juntos e confirme por escrito.

8. Deixe claro que a IA é uma IA

Para clientes na União Europeia, desde 2 de agosto de 2026 o art. 50(1) do AI Act exige informar as pessoas de que estão falando com um sistema de IA, salvo quando isso for óbvio (Comissão Europeia, FAQ de julho de 2026). No Brasil, é o padrão honesto de qualquer forma. Não chame o bot de "Ana" com foto de banco de imagens: chame de "Assistente de IA" e diga na primeira resposta que uma pessoa pode assumir. Explicamos a diferença entre bots e agentes em agente de IA vs chatbot.

9. Controle o que a IA envia ao fornecedor do modelo

Um agente de IA envia a mensagem do cliente a um fornecedor de modelos de linguagem, quase sempre fora do Brasil. Confira quem é, se ele aparece como suboperador e se os dados pessoais podem ser removidos antes. No Shopxare, o Are AI tem a opção Ocultar dados pessoais do fornecedor de IA, que substitui e-mails, telefones e números de cartão antes do envio. Você também escolhe para quem a IA responde: todos, só visitantes ou só usuários logados.

10. Limite quem pode ler o quê

A caixa de atendimento guarda endereços, pedidos e reclamações. Dê a cada pessoa da equipe só o papel de que ela precisa e use a verificação de identidade para que ninguém se passe por um cliente logado e leia as conversas dele (papéis e permissões, verificação de identidade).

Exemplo: uma loja pequena de Curitiba passa pela lista

Uma loja de duas pessoas em Curitiba vende cafés especiais na Nuvemshop e começou a mandar pedidos para Portugal. O chat carrega em todas as páginas desde 2024, o aviso de privacidade não fala dele e, de madrugada, o Are AI responde dúvidas sobre frete.

Numa tarde, eles aceitam o acordo de tratamento de dados do fornecedor e arquivam, pedem as cláusulas-padrão da ANPD, configuram a ferramenta de consentimento para que visitantes de Portugal só carreguem o chat depois de aceitar e incluem o trecho acima no aviso de privacidade com prazo de 12 meses. Também trocam o nome da IA de "Ana" para "Assistente de IA" e ativam o mascaramento de cartões. Às 23h10 um visitante pergunta: "Esse café vem moído ou em grão?" O assistente responde a partir da página do produto e avisa que, se precisar, alguém da equipe responde de manhã.

Onde o Shopxare ajuda e o que fica com você

"Sem cookies no seu domínio" não resolve sozinho a questão: ao carregar o script, o IP do visitante chega ao fornecedor. Essa decisão continua sendo sua.

Quando este checklist não basta

Se clientes mandam dados de saúde (farmácia, suplementos com dúvidas médicas), documentos ou dados de crianças, você precisa de mais que dez pontos, porque são dados sensíveis ou de tratamento especial. Pode ser o caso de um relatório de impacto e de um encarregado dedicado. Vale o mesmo para quem grava ligações ou usa o chat para análise de crédito. Procure um especialista.

Perguntas frequentes

Preciso de consentimento de cookies para um chat no site?

No Brasil, o guia da ANPD aceita legítimo interesse para cookies necessários, então não necessariamente. Para visitantes da Europa, a leitura rígida pede carregar o chat só depois do consentimento ou no clique.

Preciso de contrato com o fornecedor do chat?

Sim. Ele trata as mensagens dos clientes em seu nome, como operador, e deve seguir as suas instruções. Isso precisa estar por escrito.

Os dados do chat ficam fora do Brasil. Isso é permitido?

Sim, com base no art. 33 da LGPD. Sem decisão de adequação, use as cláusulas-padrão da ANPD, obrigatórias em contratos antigos desde 23 de agosto de 2025.

Preciso avisar que o cliente está falando com uma IA?

Para clientes na União Europeia, desde 2 de agosto de 2026, sim, salvo quando for óbvio. No Brasil é a prática mais honesta: um nome claro como "Assistente de IA" e uma primeira frase dizendo que uma pessoa pode assumir.

Por quanto tempo posso guardar as conversas do chat?

Pelo tempo necessário para uma finalidade definida, como o prazo de garantia, e não mais. Escreva o prazo no aviso de privacidade e exclua as antigas com regularidade.

Se você procura um chat que roda em um frame isolado, fica hospedado na Europa e pode ocultar dados pessoais da IA, o Shopxare tem um plano gratuito.