Onde guardar gravação de atendimento com segurança

As cinco condições que o repositório precisa atender

Gravação de atendimento precisa ficar em um repositório que atenda a cinco condições ao mesmo tempo: sobreviva ao prazo regulatório aplicável àquela fila, devolva um arquivo específico por protocolo em minutos, impeça que o próprio administrador altere ou apague o áudio dentro do prazo, registre quem ouviu o quê, e permita sair dali com o acervo inteiro se o fornecedor mudar. Quase nenhum dos lugares onde o áudio efetivamente está hoje atende às cinco.

Na maioria das operações brasileiras a escolha nunca foi feita: a gravação ficou no gravador que veio junto com o PABX, ou na plataforma do BPO, ou num disco do servidor da sala técnica que alguém dimensionou para seis meses e nunca mais olhou. As obrigações que incidem sobre esse acervo estão reunidas na página de regras, prazos e prova em gravação de chamadas; aqui o recorte é a decisão de arquitetura: onde colocar o arquivo, e com quais controles.

Os quatro lugares onde a gravação costuma estar

No gravador acoplado à telefonia. É o arranjo mais comum e o que mais amarra. O áudio fica em formato proprietário, indexado pela lógica do fornecedor, e a exportação em massa depende de um procedimento que ninguém testou. Funciona bem para ouvir a chamada de ontem e mal para tudo o que envolve prazo longo, auditoria ou troca de fornecedor.

Na plataforma do BPO. A contratante é controladora, define o prazo e responde perante o regulador; o arquivo está na infraestrutura de terceiro. A pergunta que dói na rescisão é conhecida: o prazo regulatório é da contratante, o acervo é do prestador, e o contrato não prevê devolução em formato aberto com metadados. Tratamos das cláusulas que evitam isso em o que exigir no contrato de BPO de call center.

Em armazenamento de objeto na nuvem, sob conta da própria empresa. É o desenho que mais permite implementar os controles descritos adiante (retenção imutável, política de ciclo de vida, chave gerenciada pelo cliente, log de acesso), e é também o que exige mais trabalho de integração, porque alguém precisa escrever o caminho entre o gravador e o bucket, com os metadados junto.

Em pasta compartilhada, e-mail e desktop. Isso acontece quando a arquitetura não resolve o pedido do dia a dia. Supervisor baixa o áudio para mandar ao jurídico, o arquivo fica na pasta da equipe, a cópia sobrevive ao expurgo do repositório oficial e viaja em anexo. Toda vez que encontramos gravação em Drive compartilhado, a causa raiz era a mesma: a plataforma oficial não entregava o arquivo no tempo em que a operação precisava.

Dez anos de áudio não é um problema de disco

A conta ajuda a dimensionar a conversa. Uma operação de 300 posições com 12 mil chamadas por dia e duração média de quatro minutos gera algo perto de 48 mil minutos diários de áudio. Em codec de voz moderno, a ordem de grandeza fica em torno de 120 KB por minuto (varia bastante conforme o codec e a taxa escolhidos), o que dá aproximadamente 5,8 GB por dia, 2,1 TB por ano e cerca de 10,5 TB nos cinco anos que a Resolução CMN 4.860/2020 exige da ouvidoria bancária.

Dez terabytes em armazenamento de objeto frio é uma linha de custo modesta perto de qualquer outra da operação. O custo real está em três lugares que não aparecem na cotação por gigabyte: a recuperação sob prazo, a duplicação do acervo entre sistemas que não conversam e a migração quando o fornecedor muda.

O desenho que resolve os três é a separação por temperatura, amarrada ao prazo. Os primeiros 90 dias ficam em camada quente, porque é ali que estão o pedido do consumidor sob o Decreto 11.034/2022, a monitoria de qualidade e a apuração de reclamação recente. Do dia 91 em diante o áudio desce para camada fria, com SLA de recuperação de horas em vez de segundos, o que é compatível com um prazo de defesa judicial e incompatível com o atendimento ao consumidor. Por isso a fronteira fica onde a obrigação de disponibilização imediata termina.

Criptografia, e a pergunta que separa implementação de checkbox

Cifrar o áudio em repouso e em trânsito é piso. O art. 46 da LGPD exige medidas de segurança aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas, e nenhuma leitura razoável desse artigo dispensa criptografia num acervo de voz.

O que diferencia implementação real é a gestão de chave. Quem administra, onde a chave fica, se há rotação, e se o fornecedor consegue decifrar o acervo sem participação da empresa. Em operação que trafega dado de saúde ou dado financeiro, chave sob controle do cliente deixa de ser preferência e vira exigência razoável a ser colocada no contrato. É ela também que dá sentido prático à obrigação de notificação de incidente do art. 48: se o fornecedor sofre um vazamento e o acervo está cifrado com chave que ele não detém, a conversa sobre risco relevante ao titular é outra.

Vale o mesmo cuidado com a transcrição. Texto costuma nascer em outro sistema, com controles mais frouxos, e é o artefato mais fácil de vazar em volume, porque é pesquisável. Áudio cifrado com transcrição aberta num banco de busca é um desenho frequente que anula boa parte do controle.

Imutabilidade é o que transforma arquivo em prova

O CPC admite prova em meio eletrônico e disciplina os documentos eletrônicos nos arts. 439 a 441, com a valoração pelo juiz conforme a segurança quanto à autenticidade e à integridade. Essa última expressão é o que torna a escolha do repositório uma questão jurídica, e não apenas de infraestrutura.

Repositório em que o administrador pode sobrescrever ou remover um arquivo sem deixar rastro não sustenta a afirmação de que o áudio apresentado é o mesmo que saiu do PABX. Armazenamento com retenção imutável (o que os provedores chamam de object lock ou WORM) resolve pela arquitetura: durante o prazo configurado, ninguém remove, inclusive quem administra. Somado a um hash calculado no momento da gravação e guardado separado do áudio, você consegue demonstrar integridade sem depender da palavra de ninguém.

Há um efeito colateral que precisa ser planejado antes de ligar a imutabilidade: ela também impede o expurgo. Prazo de retenção imutável configurado mais longo que o prazo de eliminação da política coloca a empresa em conflito consigo mesma, obrigada a guardar um dado que o art. 16 manda apagar. Os dois prazos precisam ser configurados pelo mesmo documento e revisados juntos.

Segregar por finalidade custa menos do que aplicar o regime rígido a tudo

Um acervo único, com todas as filas no mesmo bucket e o mesmo prazo, é simples de operar e caro de defender. O motivo é que as filas têm regimes diferentes.

A chamada de autorização de procedimento em operadora de saúde contém dado de saúde, que é dado pessoal sensível pelo art. 5º, II, e atrai o art. 11: regime mais restrito de base legal, de acesso e de resposta a incidente. A chamada de autenticação por voz no IVR envolve tratamento biométrico. A chamada de cobrança envolve dado financeiro e tem exposição trabalhista relevante. A chamada de suporte técnico de varejo, na maioria dos casos, é dado pessoal comum.

Quando tudo mora junto, o regime mais rígido contamina o acervo inteiro, e a empresa passa a aplicar controles de dado sensível a milhões de gravações que nunca tiveram dado sensível. Separar acervos por finalidade, com prazos, perfis de acesso e políticas de ciclo de vida próprios, costuma sair mais barato do que a alternativa. E é o que o registro de operações do art. 37 precisa refletir de qualquer forma.

O acesso segue a mesma lógica de recorte. Supervisor de uma campanha não precisa ouvir chamada de outra; analista de qualidade precisa de áudio para avaliação, não do acervo probatório inteiro; quem atende pedido de titular precisa localizar por protocolo, não navegar pelo repositório. Revisão periódica de quem ainda deveria ter acesso é o controle que mais envelhece mal quando ninguém olha.

Onde o dado é processado importa juridicamente

Transcrição, análise e às vezes o próprio armazenamento acontecem fora do Brasil com frequência maior do que o contrato deixa claro. Processamento fora do país configura transferência internacional e exige mecanismo adequado nos termos dos arts. 33 a 36 da LGPD: decisão de adequação, cláusulas-padrão contratuais aprovadas pela ANPD, normas corporativas globais ou outra das hipóteses do art. 33.

Na prática, três perguntas resolvem a maior parte do diagnóstico: em que região o áudio fica armazenado, em que região ele é processado quando vai para transcrição ou análise, e quais são os subprocessadores da cadeia. A lista de subprocessadores precisa existir, ser atualizada e chegar até você, porque ela também é o que sustenta a resposta ao pedido do art. 18, VII, em que o titular pede as entidades com as quais o dado foi compartilhado. Montar essa lista depois do pedido é o que produz resposta incompleta.

Para operação que trata dado sensível em escala, vale checar com o jurídico se o cenário pede relatório de impacto à proteção de dados. O art. 38 permite à ANPD determinar a elaboração, e tratamento de dado sensível em larga escala é a situação típica em que se espera que ele já exista quando for pedido.

A saída faz parte da escolha

O critério mais ignorado na decisão de armazenamento é como sair dele. Formato de exportação aberto, metadados junto do áudio, SLA de extração em massa, e um teste de restauração feito pelo menos uma vez, de verdade e não apenas descrito no contrato.

Metadado junto do áudio é a parte que costuma faltar. Identificador único, data e hora com fuso, agente e ramal, números de origem e destino, fila ou campanha, protocolo do atendimento e duração. Um acervo de 10 TB de arquivos nomeados por identificador interno do gravador anterior, sem o protocolo amarrado, é tecnicamente uma cópia de segurança e praticamente inútil para responder ao consumidor que pede a gravação da ligação dele de março.

A BRIGGS não vende armazenamento e não tem interesse em qual provedor você escolhe. O que a monitoria exige do repositório é bem específico: áudio recuperável por identificador, metadado consistente e acesso por perfil. São os mesmos requisitos que a conformidade exige. Se o programa de qualidade está sendo desenhado agora, vale conferir como a monitoria de qualidade com IA consome o acervo antes de fechar a arquitetura, porque refazer a ingestão depois costuma custar mais do que acertar a nomenclatura no começo. O que entra em cada plano está em preços.

Um roteiro curto de avaliação

Qual o prazo mais longo aplicável a cada fila, e o repositório sobrevive a ele sem intervenção manual?
O áudio pode ser alterado ou apagado por alguém de dentro dentro do prazo, e isso deixaria rastro?
Em quanto tempo você entrega hoje uma gravação a partir do protocolo, medido e não estimado?
Quem administra a chave de criptografia, e o fornecedor consegue decifrar o acervo sozinho?
As filas com dado sensível estão segregadas das demais, com prazo e acesso próprios?
Onde o áudio é armazenado e onde é processado, e existe mecanismo de transferência internacional documentado?
O expurgo é automático, gera relatório e convive com a configuração de retenção imutável sem conflito?
Existe procedimento de saída testado, com formato aberto e metadados?

Nenhum desses pontos depende de fornecedor específico, e todos precisam de validação com o jurídico e com a segurança da informação da empresa antes de virar política. A conversa que costuma faltar é justamente essa: a decisão de onde guardar é tomada pela infraestrutura, cobrada do compliance e sentida pelo jurídico três anos depois, quando alguém pede o áudio de uma ligação que ninguém consegue localizar.