BRIGGS logo
Entre em contato
Conformidade do acervo de voz

Gravação de chamadas: regras, prazos e prova.

O que a lei exige da gravação de ligações no atendimento brasileiro: base legal sob a LGPD, dever de aviso, voz como dado biométrico, prazo de guarda por regime regulatório, valor probatório, direitos do titular e o que muda quando a operação é terceirizada.

Esta página é sobre o dado e a obrigação legal sobre ele. O que se faz com a gravação depois está em monitoria de qualidade.

Falar com o time sobre conformidadeVer os prazos de guarda
+1Minterações analisadaschamadas, chats e videochamadas
+1,3Mminutos de áudio processadostranscritos e analisados pela IA
+500Mpalavras transcritascom sotaque regional e jargão do setor

As quatro perguntas que todo mundo chega fazendo

A resposta curta primeiro. O resto da página é a versão longa, com a norma e o prazo em cada caso.

Posso gravar?

Sim. Não existe no Brasil norma que proíba a empresa de gravar o próprio atendimento. O que existe é a exigência de base legal sob a LGPD, de aviso ao titular e de finalidade declarada. Gravação de conversa da qual você é participante não é interceptação. A Lei 9.296/1996 trata de interceptação por terceiro, com autorização judicial, que é outra figura.

Preciso avisar?

Sim, sempre, independentemente da base legal escolhida. O aviso é consequência do princípio da transparência (art. 6º, VI da LGPD) e do dever de informar do art. 9º. Em SAC regulado, o aviso também é obrigação setorial. Avisar depois, por e-mail, não substitui o aviso na própria chamada.

Por quanto tempo guardo?

Depende do regime. O Decreto do SAC fixa 90 dias para o áudio e 2 anos para o registro do atendimento. A ouvidoria bancária exige 5 anos. Saúde suplementar, apostas, trabalhista e consumerista têm prazos próprios. Guardar por prazo indeterminado é irregular, não conservador.

Vale como prova?

Vale, quando a integridade é demonstrável. O CPC admite prova em meio eletrônico (arts. 369, 422 e 439 e seguintes), e a gravação da própria conversa é admitida pelos tribunais. O que derruba uma gravação em juízo raramente é o conteúdo: é a impossibilidade de provar que o arquivo não foi editado, ou a ausência da cadeia de custódia.

Esta página é material informativo sobre regulação, escrito para quem precisa organizar o assunto internamente. Ela descreve o que as normas exigem e não substitui a análise do jurídico ou do encarregado da sua empresa, que é quem avalia o caso concreto, a sua matriz de risco e a sua interpretação setorial. Normas mudam e a fiscalização evolui. Confira a redação vigente antes de tomar decisão.

Onde termina gravação e começa monitoria

Gravação é o dado e a obrigação legal sobre ele: existir, ser avisada, ter base legal, ser guardada pelo prazo certo, ser recuperável, ser íntegra e ser eliminada na hora certa. Esse conjunto de deveres existe mesmo numa empresa que nunca avaliou uma única chamada, e é fiscalizado por atores diferentes: ANPD, PROCON, ANS, Banco Central, Anatel, SPA, auditoria fiscal do trabalho.

Monitoria de qualidade é o que se faz com o dado: definir critério, avaliar interação, dar feedback, treinar, recalibrar. É gestão, não conformidade, ainda que sirva à conformidade, porque é ela que verifica se o aviso foi dado, se o protocolo foi informado e se o roteiro obrigatório foi cumprido.

A separação tem consequência prática: dá para estar irrepreensível na gravação e não avaliar nada, e dá para ter um programa de qualidade maduro sobre um acervo que não sobrevive a uma fiscalização. São projetos diferentes, com donos diferentes, que se encontram num ponto só: a verificação. Se o que você procura é como montar o programa de avaliação, o material está em monitoria de qualidade, monitoria de qualidade com IA e software de monitoria de qualidade. Se o que você procura é a tecnologia que lê a gravação, está em speech analytics.

O dever de avisar e como redigir o aviso

O aviso é a obrigação que não depende da base legal escolhida. É também a mais fácil de descumprir sem perceber, porque ele costuma estar escrito em algum lugar e não estar sendo dito na chamada.

Que a chamada está sendo gravada

A informação precisa ser dita antes do início do tratamento, em linguagem clara, e não pode depender de o cliente ouvir até o fim de uma mensagem longa. O aviso escondido no minuto 2 de uma URA com sete opções é, na prática, ausência de aviso.

Para quê: a finalidade, em concreto

Finalidade declarada em termos genéricos ("para fins internos") não cumpre o art. 9º, I. O aviso precisa nomear as finalidades reais: segurança da informação, qualidade do atendimento, comprovação da solicitação, cumprimento de obrigação regulatória.

Por quanto tempo fica guardada

Não é obrigatório recitar o prazo dentro da chamada, mas o prazo precisa estar disponível ao titular, tipicamente no aviso de privacidade referenciado pela chamada. Aviso que não leva a lugar nenhum falha no dever de informar.

Com quem é compartilhada

Se a gravação é processada por fornecedor de nuvem, por plataforma de análise ou por BPO, o titular tem direito de saber que existe compartilhamento e com que categorias de destinatário (art. 9º, V). Não é preciso listar razão social de cada fornecedor no áudio; é preciso que a lista exista e seja acessível.

Como exercer os direitos e onde falar com o encarregado

O art. 41, §1º exige que a identidade e as informações de contato do encarregado sejam divulgadas publicamente, de forma clara e objetiva. O canal precisa existir de verdade e ser monitorado. Endereço que ninguém lê é descumprimento demonstrável.

Qual é a base legal, quando ela não for consentimento

O art. 9º, VI determina informar as hipóteses de dispensa de consentimento quando for o caso. Na prática: se você grava sob legítimo interesse ou execução de contrato, diga isso no aviso de privacidade, em vez de deixar o titular supor que foi pedido consentimento.

Um exemplo de redação, para ser adaptado pelo seu jurídico

O texto abaixo serve como ponto de partida, não como modelo pronto. Ele precisa ser ajustado às suas finalidades reais, à base legal que você de fato registrou e ao seu regime setorial, e revisado por quem responde pelo tema na sua empresa.

Esta ligação é gravada para registro e comprovação do atendimento, para segurança das partes e para controle de qualidade, conforme a nossa política de privacidade. A gravação é guardada pelo prazo previsto na regulamentação aplicável e o acesso é restrito às equipes autorizadas. Para exercer seus direitos sobre esses dados ou falar com o nosso encarregado de proteção de dados, acesse [endereço da política] ou escreva para [contato do encarregado].

Observe o que o texto não faz: ele não pede concordância. Se a sua base registrada é execução de contrato, obrigação legal ou legítimo interesse, o aviso informa, não solicita consentimento.

Cinco formas de errar o aviso

Pedir consentimento sem querer

Frases como "ao continuar, você concorda com a gravação" dizem ao titular, e a um fiscal, que a base é consentimento. Se a empresa registrou legítimo interesse no seu mapeamento e diz consentimento no áudio, existe contradição entre o registro do art. 37 e o aviso. E é a contradição, não a gravação, que gera o problema.

Avisar só no início de uma URA de três minutos

O cliente que digita o atalho direto para a fila nunca ouve o aviso. Se a árvore permite pular, o aviso precisa estar no ramo que efetivamente leva ao atendimento humano, ou ser repetido pelo agente na abertura.

Deixar o aviso só na boca do agente, sem verificação

Aviso dado pelo agente é aceitável e comum, mas vira aposta: em amostragem manual de 2% a 5%, a empresa não sabe em quantas chamadas ele foi de fato dito. É um dos poucos itens de conformidade que é verificável em 100% do volume de forma objetiva, e não verificar é escolha.

Avisar em ligação ativa como se fosse receptiva

Em contato ativo (cobrança, venda, pesquisa) o titular não procurou a empresa e a expectativa dele é menor. O aviso precisa vir logo depois da identificação de quem liga e de qual empresa, antes de qualquer coleta.

Ignorar a chamada gravada pelo outro lado

Cliente e agente podem gravar por conta própria, e frequentemente gravam. Isso não muda a obrigação da empresa, mas muda o cálculo de risco: a versão do cliente vai existir de qualquer forma. Ter a sua, íntegra e localizável, é o que equilibra a discussão.

Voz como dado biométrico sensível

A pergunta aparece em quase todo projeto e costuma ser respondida de forma binária, nos dois extremos errados: ou “voz é sempre biometria, então tudo é sensível”, ou “é só um áudio, não tem biometria nenhuma”. A resposta depende do que se faz com o áudio, e essa distinção tem efeito direto em base legal, em custo de conformidade e em arquitetura de armazenamento.

O que torna a voz um dado sensível

O art. 5º, II da LGPD lista dado biométrico entre os dados pessoais sensíveis. A gravação de voz usada para avaliar o atendimento, apurar uma reclamação ou comprovar o que foi dito é dado pessoal comum: o áudio não está sendo usado para identificar alguém por características físicas. A mesma gravação vira dado biométrico quando é processada para extrair um modelo da voz e identificar ou autenticar a pessoa por ele. A diferença está na finalidade do tratamento, não no formato do arquivo.

O que muda quando vira sensível

Sai o rol de bases do art. 7º e entra o do art. 11, que é mais curto. Consentimento passa a exigir destaque e finalidade específica (art. 11, I). As hipóteses sem consentimento se restringem a situações como cumprimento de obrigação legal, exercício regular de direitos e prevenção à fraude e à segurança do titular. Esta última está expressamente prevista no art. 11, II, "g", e é a que costuma sustentar a autenticação por voz no IVR.

Onde a operação escorrega

O erro mais comum é ter biometria de voz ativa no IVR e análise de qualidade rodando sobre o mesmo acervo, com um único registro de tratamento que não distingue as duas finalidades. O efeito prático é contaminar todo o acervo com o regime do art. 11, incluindo gravações que nunca passaram por verificação biométrica. Separar as finalidades, os acervos e as retenções no registro do art. 37 é o que evita isso.

Transcrição não é anonimização

Converter o áudio em texto reduz o risco biométrico, porque o modelo de voz não pode mais ser extraído do texto. Não reduz o risco de dado pessoal: a transcrição continua identificando pessoas, contendo CPF, endereço, diagnóstico e valor de dívida, e é muito mais fácil de pesquisar e de vazar em volume do que o áudio. Retenção do áudio e retenção da transcrição precisam de prazos e de controles próprios.

Relatório de impacto

O art. 38 permite à ANPD determinar a elaboração de relatório de impacto à proteção de dados pessoais, e tratamento de dado sensível em larga escala é o cenário típico em que se espera que ele exista antes de ser pedido. Operação que ativa autenticação por voz sobre um acervo de milhões de chamadas é larga escala por qualquer critério razoável.

Por quanto tempo guardar, regime por regime

Não existe um prazo único de guarda de gravação no Brasil. Existem prazos por regime regulatório e prazos prescricionais para defesa, e eles convivem. O prazo efetivo de cada fila é o maior dos que incidem sobre ela.

SAC regulado (Decreto 11.034/2022)

Áudio: 90 dias · Registro: 2 anos

O decreto que regulamenta o SAC dos serviços regulados por órgão federal (telecomunicações, energia, aviação, planos de saúde, bancos, entre outros) obriga a manter a gravação da chamada à disposição do consumidor e dos órgãos de fiscalização pelo prazo mínimo de 90 dias, e a manter o registro eletrônico do atendimento (com o número de protocolo e a demanda) pelo prazo mínimo de 2 anos após a solução da demanda. O consumidor pode pedir acesso ao conteúdo, e o prazo para disponibilizar é curto.

São dois prazos diferentes para dois objetos diferentes. Apagar o áudio aos 90 dias e achar que a obrigação acabou é o engano mais comum: o registro do atendimento continua por 2 anos.

prazos de guarda de gravação e registro no Decreto do SAC

Saúde suplementar (RN 623 e RN 638 da ANS)

Registro e protocolo rastreáveis · gravação conforme a política e o SAC

A RN 623/2024 consolidou as regras de atendimento e de relacionamento das operadoras com beneficiários, e a RN 638/2024 trata do processo de fiscalização, com exigência de rastreabilidade do atendimento por número de protocolo. A operadora precisa conseguir reconstruir o que foi informado ao beneficiário: se o protocolo foi fornecido, se a negativa foi fundamentada e comunicada por escrito quando exigido, se o prazo de resposta foi respeitado. Na NIP, a reconstituição do atendimento é o que sustenta a defesa.

Operadora também é fornecedora sujeita ao Decreto do SAC. Na prática, convivem o prazo do decreto e a necessidade de manter evidência enquanto a NIP ou o processo administrativo estiver ativo.

o guia das obrigações de atendimento na ANS

Ouvidoria bancária (Resolução CMN 4.860/2020)

5 anos

A resolução que trata do componente organizacional de ouvidoria nas instituições autorizadas pelo Banco Central exige que as gravações telefônicas e os demais registros do atendimento sejam mantidos pelo prazo mínimo de 5 anos, contados da data do protocolo. Também exige número de protocolo no primeiro contato, prazo de resposta de até 10 dias úteis (prorrogável uma única vez, de forma justificada) e relatório semestral ao conselho.

O prazo de 5 anos é o mais longo dos regimes de atendimento no Brasil e costuma definir a arquitetura de armazenamento de qualquer grupo que tenha uma instituição financeira dentro.

o que a Resolução 4.860 exige do atendimento

Apostas (regulamentação da SPA/MF)

Registro de atendimento e ouvidoria com rastreabilidade

A regulamentação das apostas de quota fixa exige canal de atendimento ao apostador e ouvidoria, com registro e prazo de resposta, além das obrigações de jogo responsável: processar pedido de autoexclusão, não estimular quem sinalizou risco, informar limites. A evidência de que o pedido de autoexclusão foi recebido e executado no prazo é o ponto em que a falha é mais cara, porque é descumprimento direto de obrigação regulatória.

Vertical nova, com fiscalização em formação. A recomendação prática é reter mais do que o mínimo enquanto o entendimento não assenta, e manter a trilha de execução da autoexclusão fora do ciclo normal de expurgo.

ouvidoria de bet: prazo, registro e prova

Prescrição consumerista (CDC)

5 anos (art. 27) · 30 e 90 dias para reclamar de vício (art. 26)

A pretensão de reparação por danos causados por fato do produto ou do serviço prescreve em 5 anos (art. 27 do CDC), contados do conhecimento do dano e da autoria. O art. 26 fixa prazos decadenciais menores para reclamar de vício aparente: 30 dias em serviço não durável e 90 dias em serviço durável. Para a empresa, o prazo relevante na definição de retenção defensiva é o de 5 anos, porque é ele que delimita por quanto tempo a gravação pode ser necessária para defesa.

Retenção defensiva de 5 anos sobre todo o acervo é difícil de sustentar. O desenho usual é retenção curta por padrão, com retenção estendida acionada por evento: reclamação registrada, protocolo contestado, notificação recebida.

Prescrição trabalhista (CF art. 7º, XXIX e CLT art. 11)

5 anos no curso do contrato, até 2 anos após a extinção

O prazo prescricional trabalhista é quinquenal em relação a créditos do contrato de trabalho, limitado a 2 anos após a extinção do vínculo. É o prazo que importa para a gravação enquanto prova da conduta do agente: reclamação sobre assédio, sobre metas, sobre pausas, sobre o conteúdo de um feedback. A gravação que a empresa apagou é a gravação que ela não vai poder usar na própria defesa.

Prazo trabalhista e prazo de proteção de dados apontam em direções opostas. A conciliação passa por retenção estendida seletiva (do que foi objeto de avaliação ou de reclamação) e não por guardar tudo por mais tempo.

os limites trabalhistas da NR-17 no uso da monitoria

Telecomunicações (Resolução 632/2014 da Anatel)

Registro de atendimento por 2 anos

O Regulamento Geral de Direitos do Consumidor de Serviços de Telecomunicações exige número de protocolo em cada atendimento e manutenção dos registros pelo prazo mínimo de 2 anos, com disponibilização ao consumidor quando solicitado. A gravação das chamadas segue, adicionalmente, a regra do SAC.

Em grupo com várias frentes reguladas, o prazo efetivo é o maior dos aplicáveis a cada fila, e não um número único para a empresa inteira.

Prazo por finalidade (LGPD art. 15 e 16)

Término do tratamento quando a finalidade se esgota

O art. 15 determina o término do tratamento quando a finalidade é alcançada, quando os dados deixam de ser necessários, ao fim do período de tratamento, por comunicação do titular ou por determinação da ANPD. O art. 16 exige a eliminação dos dados após o término, ressalvadas hipóteses taxativas: cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa com anonimização, transferência a terceiro com observância da lei, e uso exclusivo do controlador com dados anonimizados.

Este é o artigo que fecha a conta: todo prazo de retenção precisa apontar para uma dessas ressalvas ou para uma finalidade viva. Prazo sem justificativa escrita é o achado mais fácil de uma fiscalização.

base legal, retenção e voz como biometria na LGPD

Como montar a matriz de retenção

O erro de desenho mais comum é procurar um número único para a empresa. Grupos com várias frentes têm filas sob regimes diferentes, e aplicar o maior prazo de todos a tudo gera retenção excessiva, irregular pelo art. 15 e cara em armazenamento e em superfície de incidente. Aplicar o menor gera descumprimento setorial.

O desenho que funciona tem três camadas. A primeira é a matriz por fila: cada fila ou campanha aponta para um regime, o regime aponta para um prazo, e a norma fica citada ao lado do prazo, para que qualquer pessoa consiga responder de onde o número veio. A segunda é a separação por objeto: áudio, transcrição, metadado e resultado analítico têm prazos próprios, porque carregam riscos diferentes. A terceira é a retenção por litígio, que suspende o expurgo de um conjunto identificado de gravações quando surge reclamação, NIP, notificação ou processo, e que precisa ser seletiva, porque congelar o acervo inteiro em cada reclamação recria a retenção indefinida por outro caminho.

Acrescente uma quarta camada operacional: o expurgo precisa ser automático e produzir relatório. O relatório do que foi eliminado, e quando, é a evidência que demonstra cumprimento do art. 16, e é justamente o artefato que quase nenhuma operação consegue apresentar quando é perguntada.

Valor probatório e cadeia de custódia

A gravação que não sustenta contestação de integridade é um arquivo, não uma prova. Seis etapas separam uma coisa da outra.

1. Captura e identificação do arquivo

No momento em que a gravação é fechada, ela precisa nascer com identificação suficiente para ser localizada depois sem depender da memória de ninguém: identificador único, data e hora com fuso, ramal e agente, número de origem e destino, fila ou campanha, protocolo do atendimento e duração. O metadado é o que transforma um arquivo de áudio em evidência recuperável. Sem protocolo amarrado, encontrar a chamada de um cliente específico três meses depois vira arqueologia.

2. Selo de integridade

Calcule um hash criptográfico (SHA-256 ou superior) do arquivo no momento da gravação e guarde o hash separado do áudio. A partir daí, qualquer alteração de um único byte é detectável. Sem hash, provar que o arquivo apresentado em juízo é o mesmo que saiu do PABX depende da palavra da empresa, e é exatamente aí que a contraparte ataca. Registro de tempo confiável (carimbo do tempo) reforça, porque prova também quando o arquivo passou a existir.

3. Armazenamento com imutabilidade

O acervo probatório não deveria ficar num repositório em que o administrador pode sobrescrever ou apagar um arquivo sem deixar rastro. Armazenamento com retenção imutável (WORM, object lock) resolve o problema pela arquitetura: durante o prazo configurado, nem o administrador remove. É também o que protege a empresa da hipótese mais desconfortável: a de que alguém de dentro apagou a chamada inconveniente.

4. Trilha de auditoria de acesso

Quem ouviu, quando, de onde, o que exportou. O log de acesso serve para dois fins opostos e igualmente importantes: demonstrar controle sobre dado pessoal perante a ANPD e demonstrar que a evidência não circulou de forma que permitisse adulteração. Exportação em massa sem justificativa é o evento que o log precisa capturar.

5. Documentação do processo, não só do arquivo

A cadeia de custódia se sustenta menos em um arquivo bem guardado e mais em um processo descrito: como a gravação é feita, onde é armazenada, quem tem acesso, como é extraída, quem assina a extração, como o hash é conferido. Política escrita, datada e efetivamente seguida vale mais em contestação do que qualquer recurso técnico isolado.

6. Extração com laudo mínimo

Quando a gravação sai do sistema para instruir uma defesa, a extração precisa vir acompanhada do essencial: identificação do arquivo, hash de origem e hash conferido na extração, data e responsável, e a transcrição quando ela for usada como peça. Transcrição apresentada sem o áudio correspondente é frágil; áudio apresentado sem contexto de metadado também.

Gravar a própria conversa é lícito

A jurisprudência brasileira consolidou que a gravação de conversa por um dos interlocutores, sem conhecimento do outro, é prova lícita, salvo quando houver causa legal específica de sigilo. Isso é diferente de interceptação telefônica, que é a captação por terceiro estranho à conversa e depende de autorização judicial nos termos da Lei 9.296/1996. Em atendimento, a empresa é interlocutora e ainda por cima avisa. O caso é confortável.

Prova eletrônica no CPC

O CPC admite todos os meios legais de prova (art. 369), trata da força probante de documentos e da arguição de falsidade (arts. 422 e seguintes) e disciplina os documentos eletrônicos nos arts. 439 a 441, com a conversão em forma impressa e a valoração pelo juiz conforme a segurança quanto à autenticidade e à integridade. É essa última expressão que faz do hash e da política de custódia uma preocupação prática, e não formal.

O contraditório recai sobre a integridade

Na disputa real, a contraparte raramente nega o que foi dito. Ela alega que o arquivo foi editado, que falta o trecho anterior, que o áudio apresentado é um recorte. A defesa contra isso é a gravação integral da chamada, o hash calculado na origem e o log que mostra que ninguém a manipulou entre a captura e a apresentação.

Prova de que a chamada existiu

Em um número relevante de casos, o que se disputa não é o conteúdo e sim a ocorrência: o cliente afirma que ligou e pediu o cancelamento, a empresa afirma que não há registro. Aqui o CDR (registro de detalhe de chamada) e o protocolo valem tanto quanto o áudio, e sobrevivem melhor ao tempo. Guardar o CDR por mais tempo que o áudio é uma decisão barata e frequentemente decisiva.

Leitura complementar: o que é prova digital imutável e por que sua operação precisa dela.

NR-17 e o limite trabalhista do uso da gravação

A conversa sobre gravação costuma começar e terminar no cliente. Metade do risco, porém, está do outro lado da linha: o agente também é titular de dados e é trabalhador protegido por uma norma específica. A gravação em si raramente é o problema. O problema é o que a empresa faz com ela na avaliação e na cobrança de desempenho.

O que a NR-17 alcança

O Anexo II da NR-17 trata especificamente do trabalho em teleatendimento e telemarketing. Ele disciplina mobiliário, pausas, jornada, ambiente acústico e também a forma de avaliar e cobrar o trabalhador. É norma de saúde e segurança do trabalho, fiscalizada pela auditoria fiscal do trabalho, com aplicação independente da LGPD.

Monitoração é permitida, com regras

A norma reconhece a monitoração do trabalho por escuta e gravação, e exige que ela seja feita com conhecimento do trabalhador. O ponto sensível é o uso da gravação como instrumento de pressão. Mecanismos de aferição que estimulem a competição entre trabalhadores, exibição pública de desempenho individual e cobrança de tempo de atendimento como meta rígida entram em conflito com o anexo.

O que costuma ser questionado

Critérios de avaliação que penalizam pausa fisiológica, meta de TMA tratada como item disciplinar, ranking individual exposto em painel na operação e feedback conduzido como advertência. Nenhum desses problemas está na gravação. Todos estão no que se faz com ela. É por isso que a política de uso importa tanto quanto a política de retenção.

Informação ao trabalhador

O agente é titular de dados como qualquer pessoa, e a empresa é controladora também em relação a ele. Isso significa aviso de privacidade específico para o empregado, descrição de quais avaliações são feitas sobre a gravação, quem acessa e por quanto tempo fica guardada. A conversa de conformidade que esquece o agente e só olha para o cliente cobre metade do risco.

A gravação também defende o agente

O uso mais subestimado do acervo é a proteção de quem atende: cliente que xinga, ameaça ou assedia, acusação de destrato que não aconteceu, contestação de nota de avaliação. Sem gravação, a versão do cliente prevalece por padrão. Com gravação e trecho localizável, a apuração é factual, e esse é um argumento que costuma resolver a resistência interna ao programa.

Aprofundamento: o que a lei trabalhista proíbe no seu formulário de monitoria.

Direitos do titular e como responder

O art. 18 lista o que o titular pode pedir. Em gravação, três pedidos concentram quase todo o volume: me dá uma cópia, apaga isso e me diz com quem vocês compartilharam.

Confirmação e acesso (art. 18, I e II)

Formato simplificado: imediato · Declaração completa: 15 dias (art. 19)

O titular pode pedir confirmação da existência de tratamento e acesso aos dados. Em gravação, isso normalmente significa fornecer a chamada ou a transcrição. O art. 19 dá duas vias: resposta em formato simplificado, imediata, e declaração clara e completa em até 15 dias do pedido.

Como responder

Padronize a via de pedido, exija identificação suficiente para não entregar áudio à pessoa errada e registre o atendimento ao pedido. Em SAC regulado, a obrigação de disponibilizar a gravação ao consumidor já existe independentemente do art. 18.

Correção (art. 18, III)

Sem prazo fixo; razoável e documentado

Gravação não se corrige: o áudio é o registro do que foi dito. O que se corrige é o dado derivado: a classificação do motivo do contato, o campo do cadastro preenchido errado durante a chamada, a transcrição com erro material relevante.

Como responder

Responda distinguindo o áudio (imutável por natureza e por necessidade probatória) dos metadados e derivados (corrigíveis). Anexar a retificação ao registro é melhor do que alterar o dado original sem rastro.

Anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo (art. 18, IV)

Sem prazo fixo; razoável e documentado

Aplica-se a dado tratado em desconformidade e a dado que excede a finalidade. É por esta via que costuma chegar o pedido para apagar uma gravação específica, e é a via mais frequentemente mal respondida.

Como responder

A negativa é legítima quando há obrigação legal ou regulatória de guarda, ou exercício regular de direito em processo (arts. 16, I e 7º, VI). O que não é legítimo é negar sem explicar. Responda citando a norma e o prazo, e diga quando a eliminação ocorrerá.

Portabilidade (art. 18, V)

Conforme regulamentação da ANPD

Raro em gravação e, quando aparece, costuma ser atendível com a entrega do próprio arquivo de áudio em formato comum, o que se confunde na prática com o direito de acesso.

Como responder

Tenha um formato de exportação definido e um procedimento que não dependa de alguém abrir o banco na mão.

Eliminação de dados tratados com consentimento (art. 18, VI)

Imediato quanto à finalidade consentida

Aqui está a armadilha da escolha de base. Quem gravou sob consentimento precisa eliminar quando o consentimento é revogado, ressalvadas as hipóteses do art. 16. Quem gravou sob obrigação legal ou legítimo interesse responde de outra forma.

Como responder

Se o seu aviso diz consentimento e o seu registro diz legítimo interesse, este é o pedido que expõe a contradição. Alinhe os dois antes de receber o pedido, não depois.

Informação sobre compartilhamento (art. 18, VII)

15 dias, na via da declaração completa

O titular pode pedir a lista de entidades públicas e privadas com as quais a empresa compartilhou os dados. Em gravação, isso inclui a nuvem onde o áudio está, a plataforma de análise, o BPO que atendeu e, quando houver, o escritório que conduziu uma apuração.

Como responder

Mantenha um inventário de operadores e subprocessadores atualizado. Montar essa lista sob prazo, depois do pedido, é o que gera resposta incompleta.

Revisão de decisão automatizada (art. 20)

Mediante solicitação, com informação sobre os critérios

Relevante quando a análise da gravação alimenta decisão que afeta interesses do titular. Em atendimento ao consumidor isso é menos comum do que se imagina; em relação ao agente, é direto: avaliação automática que impacta remuneração variável ou desligamento é decisão com efeito sobre a pessoa.

Como responder

Garanta revisão humana documentada e a possibilidade de contestação da avaliação pelo próprio agente, com o trecho de áudio à vista. É bom controle de LGPD e é, ao mesmo tempo, o que sustenta o programa na esfera trabalhista.

Duas observações valem por todo o resto. A primeira: o pedido mais difícil de responder bem é o de eliminação, e a resposta correta quase nunca é sim ou não: é a citação da norma que obriga a guarda, o prazo remanescente e a data em que a eliminação vai ocorrer. Negar sem fundamentar é o que transforma um pedido comum em reclamação na ANPD.

A segunda: o gargalo real costuma ser localizar a gravação, não decidir sobre ela. Acervo indexado apenas por ramal e data não responde a um pedido formulado por CPF ou por número de protocolo dentro do prazo de 15 dias do art. 19. A capacidade de busca é um controle de conformidade, ainda que ninguém a registre como tal.

Gravação em operação terceirizada

Quem decide sobre o tratamento é controlador; quem executa em nome dele é operador. A obrigação regulatória não se terceiriza junto com a operação.

Quem é controlador e quem é operador

A LGPD define controlador como quem toma as decisões sobre o tratamento e operador como quem trata em nome do controlador (art. 5º, VI e VII). Na terceirização de atendimento, a regra é a contratante ser controladora e o BPO ser operador: quem decide gravar, para quê, por quanto tempo e quem acessa é a empresa que contratou. Nomes no contrato não mudam isso. O que define o papel é quem decide, de fato.

Quando o BPO vira controlador

Se o prestador usa as gravações para finalidade própria (treinar um modelo, alimentar um produto, fazer benchmark comercial entre clientes), ele deixou de agir apenas em nome do contratante e assumiu papel de controlador naquele tratamento, com responsabilidade própria. O art. 42 prevê responsabilização solidária em hipóteses específicas, e o operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador.

Posse do acervo e saída do contrato

A pergunta que mais dói na rescisão: a gravação está em plataforma do BPO, a contratante não tem cópia, e o prazo regulatório de guarda é da contratante. Contrato que não prevê devolução do acervo em formato aberto, com metadados, em prazo definido e com comprovação de eliminação posterior, deixa a controladora obrigada a guardar um dado que ela não possui.

Auditoria e direito de verificar

O contrato precisa assegurar acesso da contratante às gravações durante a vigência, direito de auditar controles de segurança, e obrigação de notificar incidente em prazo curto o suficiente para a controladora cumprir o próprio dever de comunicação à ANPD e aos titulares (art. 48). Prazo de notificação de "prazo razoável" não serve.

Subcontratação e localização

Nuvem, gravador, plataforma de análise e serviço de transcrição são subprocessadores. A contratante precisa de lista atualizada, de direito de objeção a novo subcontratado e de informação sobre onde o dado é processado e armazenado. Processamento fora do país configura transferência internacional e exige mecanismo adequado nos termos dos arts. 33 a 36.

Quem audita o terceirizado

A responsabilidade regulatória perante o consumidor e perante o regulador permanece com a contratante. Delegar a execução não delega a obrigação, o que significa que a contratante precisa de um mecanismo próprio de verificação sobre o que acontece na operação terceirizada, e não apenas do relatório mensal que o próprio prestador produz sobre si mesmo.

O que exigir no contrato de BPO

A cláusula de dados costuma ser a última a ser negociada e a primeira a fazer falta. A lista abaixo é o mínimo que um contrato de atendimento terceirizado deveria conter quando há gravação envolvida.

  • Definição expressa dos papéis de controlador e operador, por tipo de tratamento, e não uma declaração genérica no preâmbulo.
  • Finalidades autorizadas do uso das gravações, com vedação expressa ao uso para finalidade própria do prestador, inclusive treino de modelo.
  • Prazo de retenção definido pela contratante, com obrigação de expurgo comprovado ao fim do prazo.
  • Acesso da contratante às gravações durante a vigência, com SLA de disponibilização e formato de exportação definido.
  • Devolução integral do acervo na rescisão: prazo, formato aberto, metadados incluídos, comprovação de eliminação na sequência.
  • Lista de subprocessadores, obrigação de atualização e direito de objeção a inclusão de novo subcontratado.
  • Localização do processamento e do armazenamento, com mecanismo de transferência internacional quando aplicável.
  • Notificação de incidente de segurança em prazo definido em horas, com conteúdo mínimo e obrigação de cooperação na comunicação à ANPD.
  • Direito de auditoria, presencial ou documental, com periodicidade e escopo definidos.
  • Cooperação obrigatória no atendimento a pedidos de titular e a demandas de órgão regulador, com prazo compatível com o prazo legal da contratante.
  • Obrigação de manter aviso de gravação conforme o roteiro aprovado pela contratante, com evidência de cumprimento.
  • Responsabilidade por multa e por indenização decorrente de descumprimento imputável ao prestador, e matriz de rateio quando houver concorrência de causas.

Aprofundamento: como escolher um BPO de call center e o que exigir em contrato e quem audita o terceirizado na monitoria em BPO.

Segurança, criptografia e controle de acesso

O art. 46 exige medidas técnicas e administrativas aptas a proteger os dados. Em acervo de voz, seis controles respondem pela maior parte do risco.

Criptografia em repouso e em trânsito

Áudio armazenado cifrado e transmitido por canal cifrado é o piso, não o diferencial. A pergunta que separa implementação real de checkbox é sobre as chaves: quem as administra, onde ficam, se há rotação, se o fornecedor consegue decifrar o acervo sem participação do cliente. Em operação com dado sensível, chave sob controle do cliente é uma exigência razoável.

Acesso por perfil, com menor privilégio

Supervisor de uma campanha não precisa ouvir chamada de outra. Analista de qualidade precisa de acesso a áudio de avaliação, não ao acervo probatório inteiro. O padrão é acesso mínimo por função, com concessão temporária e justificada quando algo fora do escopo for necessário, e revisão periódica de quem ainda deveria ter acesso.

Mascaramento de dado sensível

Número de cartão dito em voz alta, CPF, dado de saúde e senha não deveriam sobreviver no áudio nem na transcrição quando não há necessidade. Mascaramento automático no momento da ingestão reduz o dano de um incidente e é o que torna possível abrir a transcrição a mais pessoas dentro da empresa sem espalhar dado sensível.

Log de acesso e de exportação

Registro de quem ouviu, quando, de qual endereço, e o que baixou. O log precisa ser inalterável pelos próprios usuários que ele audita, e precisa ser olhado: exportação em massa fora do horário, acesso de um supervisor a chamadas de um agente específico em sequência, download do acervo por conta prestes a ser desligada.

Expurgo automático e comprovável

Política de retenção que depende de alguém rodar um procedimento manual não se cumpre sozinha. O expurgo precisa ser automático por regra de retenção, com relatório do que foi eliminado e quando, e com exceção explícita para os itens sob retenção por litígio. O relatório de expurgo é a evidência que demonstra cumprimento do art. 16.

Plano de resposta a incidente

O art. 48 exige comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável. Incidente envolvendo acervo de gravação com dado sensível é candidato natural à comunicação. O plano precisa existir antes: quem decide, quem redige, em quanto tempo, com que conteúdo, e como se identifica quais titulares foram afetados.

Vale uma observação sobre o risco que cresce sem aviso: a transcrição. Enquanto a informação fica presa num arquivo de áudio, o acesso indevido é lento e pouco escalável: alguém precisa ouvir. Quando o acervo é transcrito, ele vira texto pesquisável, exportável e indexável, e um incidente deixa de expor algumas chamadas para expor o conteúdo de todas elas de uma vez. Mascaramento na ingestão, controle de exportação e log são os controles que acompanham essa mudança de escala.

+100 integrações, inclusive a sua

A gente entra em cima do que você já usa: o seu PBX, o seu discador, o seu CRM, a plataforma de videochamada do time e o chat onde o cliente fala com você.

Nossa API REST cobre qualquer sistema, e o onboarding coloca tudo no ar em até 7 dias úteis.

Logo do Google Meet
Google Meet
Logo do Zoom
Zoom
Logo do Microsoft Teams
Teams
Logo do Slack
Slack
Logo do Intercom
Intercom
Logo do Asterisk
Asterisk
Logo do HubSpot
HubSpot
Logo do Pipedrive
Pipedrive
Logo do Zoho
Zoho
Logo do Salesforce
Salesforce

Checklist de conformidade da gravação

Seis blocos para revisar com o jurídico e com o encarregado. O critério de cada item é conseguir apresentar evidência de que a política é cumprida, e não apenas tê-la no papel.

Fundamento

  • Base legal definida e escrita para cada finalidade de tratamento da gravação, e não uma base única para tudo.
  • Teste de balanceamento (LIA) documentado e datado para cada finalidade apoiada em legítimo interesse.
  • Registro das operações de tratamento (art. 37) contemplando áudio, transcrição e dados derivados como itens separados.
  • Encarregado nomeado, com contato divulgado publicamente e caixa efetivamente monitorada.

Transparência

  • Aviso de gravação presente em todas as rotas de entrada: URA, atalho direto, transbordo, ativo e receptivo.
  • Finalidades nomeadas em concreto no aviso de privacidade, sem a expressão "fins internos".
  • Coerência entre o que o aviso diz e a base registrada: se o registro diz legítimo interesse, o áudio não pede concordância.
  • Aviso de privacidade específico para o empregado, cobrindo monitoração, avaliação e retenção.

Retenção

  • Matriz de retenção por fila e por regime, com a norma citada ao lado de cada prazo.
  • Prazos separados para áudio, transcrição, metadado e resultado analítico.
  • Expurgo automático por regra, com relatório periódico do que foi eliminado.
  • Procedimento de retenção por litígio que suspende o expurgo de itens identificados, sem congelar o acervo inteiro.

Prova

  • Hash calculado na origem e armazenado separadamente do arquivo.
  • Armazenamento com retenção imutável para o acervo sob obrigação regulatória.
  • Gravação localizável por protocolo, por CPF do titular e por identificação do agente.
  • Procedimento de extração documentado, com conferência de hash e responsável identificado.
  • CDR retido por prazo igual ou superior ao do áudio.

Acesso e segurança

  • Perfis de acesso por menor privilégio, com revisão periódica.
  • Criptografia em repouso e em trânsito, com política de chaves definida.
  • Mascaramento de dado sensível no áudio e na transcrição.
  • Log de acesso e de exportação inalterável, com alerta para exportação em massa.
  • Plano de resposta a incidente com prazos e responsáveis nomeados.

Terceiros

  • Inventário de operadores e subprocessadores atualizado, com localização de processamento.
  • Contrato de BPO com as cláusulas de dados, devolução de acervo e notificação de incidente.
  • Mecanismo de transferência internacional quando houver processamento fora do país.
  • Vedação contratual ao uso das gravações para finalidade própria do fornecedor, inclusive treino de modelo.

Direitos do titular

  • Canal de pedido padronizado, com verificação de identidade proporcional.
  • Prazo de resposta controlado: simplificado imediato, completo em 15 dias.
  • Modelo de resposta de negativa de eliminação citando a norma e o prazo remanescente.
  • Registro de todos os pedidos recebidos e do que foi respondido.

Dez erros comuns em gravação de chamadas

Os achados que se repetem em diagnóstico de acervo, do mais frequente ao mais caro.

Guardar tudo para sempre

É a política mais comum e a menos defensável. Armazenamento barato levou muita operação a nunca apagar nada, e o resultado é um acervo sem justificativa de finalidade, que aumenta a superfície de incidente e que a autoridade questiona com uma única pergunta: por quê. Retenção excessiva viola o art. 15 tanto quanto retenção insuficiente viola a norma setorial.

Apagar aos 90 dias achando que o SAC está cumprido

O Decreto do SAC tem dois prazos: 90 dias para o áudio e 2 anos para o registro do atendimento. Operações que aplicam o prazo do áudio ao registro perdem a capacidade de comprovar que o atendimento existiu justamente no período em que a reclamação costuma amadurecer.

Usar uma base legal única para todas as finalidades

Gravar para cumprir o SAC, para avaliar qualidade, para prevenir fraude e para treinar um modelo são quatro finalidades distintas, com bases, prazos e riscos distintos. Registrar "legítimo interesse" uma vez e considerar o assunto encerrado é o defeito estrutural mais frequente nos mapeamentos que chegam prontos.

Pedir consentimento por engano

O roteiro que diz "ao prosseguir, você concorda com a gravação" cria uma obrigação que a empresa não queria assumir: a de respeitar a revogação. E como o cliente não tem alternativa real de ser atendido sem gravação, o consentimento provavelmente não é válido. A empresa fica com o ônus e sem a proteção.

Tratar o acervo inteiro como biométrico

Ativar autenticação por voz e não separar o acervo puxa milhões de gravações para o regime do art. 11 sem necessidade, com efeito direto em base legal, acesso e custo de conformidade. A separação por finalidade é uma decisão de arquitetura, tomada cedo e barata, ou uma reengenharia cara depois.

Não conseguir achar a chamada

Cumprir o prazo de guarda e não conseguir localizar a gravação pelo protocolo ou pelo CPF equivale, na prática, a não tê-la. O pedido do titular tem prazo, a NIP tem prazo, a audiência tem data. Acervo indexado apenas por ramal e data é acervo que não responde a pergunta nenhuma.

Confiar no áudio sem hash e sem log

A contestação de integridade é o ataque padrão contra gravação em processo. Sem hash de origem, sem armazenamento imutável e sem trilha de acesso, a resposta da empresa se reduz a afirmar que o arquivo é autêntico. É uma posição frágil e evitável com controles que custam pouco.

Ignorar que o agente também é titular

Programa de conformidade desenhado só para o cliente deixa descoberto o lado trabalhista, que é onde a discussão costuma ser mais dura: uso da gravação em avaliação, exposição de desempenho individual, decisão disciplinar baseada em análise automatizada. A NR-17 e o art. 20 da LGPD convivem nesse ponto.

Deixar o acervo dentro do fornecedor sem cláusula de saída

A obrigação de guardar é da contratante; a posse do arquivo é do prestador. Na rescisão, sem cláusula de devolução com prazo, formato e metadados, a empresa descobre que está legalmente obrigada a manter por 5 anos um acervo ao qual perdeu acesso em 30 dias.

Deixar a conformidade sem verificação

Aviso de gravação dito pelo agente, protocolo informado, consentimento acessório colhido quando aplicável: todos são itens verificáveis de forma objetiva em 100% das chamadas, e quase todos são medidos por amostragem de 2% a 5% ou não são medidos. Política escrita sem evidência de cumprimento é a parte mais fácil de derrubar numa fiscalização.

O recorte por setor regulado

A LGPD vale para todos. O prazo de guarda, o conteúdo obrigatório do atendimento e o regulador que cobra mudam por setor.

Operadoras de saúde e ANS

RN 623 e RN 638, rastreabilidade por protocolo, fundamentação de negativa e reconstituição do atendimento na NIP. O acervo de gravação é o que sustenta a defesa administrativa.

Ver o recorte de operadoras de saúde · obrigações da ANS

Serviços financeiros

Resolução CMN 4.860/2020, guarda de 5 anos, protocolo no primeiro contato, prazo de resposta de 10 dias úteis e relatório semestral ao conselho.

Ver o recorte de serviços financeiros

Apostas

Atendimento e ouvidoria exigidos pela regulamentação da SPA, com prova de execução de autoexclusão e de tratamento de sinal de jogo problemático.

Ver o recorte de apostas

Call centers e BPO

Papéis de controlador e operador, posse do acervo, cláusula de devolução, auditoria do terceirizado e evidência de cumprimento do roteiro contratado.

Ver o recorte de call centers

Para o calendário de obrigações e os prazos de atendimento da saúde suplementar, veja o guia ANS 2026.

Aprofundar em conformidade de gravação

Os materiais do blog organizados a partir desta página: base legal, prazos por regime, prova, limite trabalhista e terceirização.

LGPD em gravação de atendimento: base legal, retenção e voz como biometria

O tratamento jurídico do acervo, com os arts. 15 e 16 aplicados ao ciclo de vida da gravação.

Decreto do SAC: prazos de guarda de gravação e registro

Os 90 dias do áudio e os 2 anos do registro, e por que confundir os dois custa caro.

Ouvidoria bancária: o que a Resolução 4.860 exige do atendimento

A guarda de 5 anos no setor financeiro, o protocolo e o prazo de resposta.

Ouvidoria de bet: prazo, registro e prova

O que a operação de apostas precisa registrar e conseguir comprovar depois.

NR-17: o que a lei trabalhista proíbe no seu formulário de monitoria

O limite trabalhista do uso da gravação, do Anexo II ao desenho do critério de avaliação.

O que é prova digital imutável e por que sua operação precisa dela

Hash, integridade e cadeia de custódia aplicados ao acervo de gravações.

Proteção de dados e LGPD em chamadas gravadas: guia para DPOs

O roteiro do encarregado sobre o acervo de voz, do mapeamento à resposta a incidente.

BPO de call center: como escolher e o que exigir em contrato

As cláusulas de dados e de devolução de acervo que decidem a rescisão anos depois.

Monitoria de qualidade em BPO: quem audita o terceirizado

Posse da gravação na operação terceirizada e o mecanismo próprio de verificação da contratante.

A política está escrita. E a evidência de cumprimento?

Monitoria de qualidade com IA em 100% das gravações

Aviso de gravação dito, protocolo informado, roteiro regulatório cumprido: itens verificáveis de forma objetiva em todas as chamadas, com o trecho e o horário que sustentam cada resultado.

Ver monitoria com IA
Ainda montando o programa?

Monitoria de qualidade, do scorecard ao coaching

O que fazer com a gravação depois que ela está em conformidade: critério, avaliação, feedback, treinamento e recalibração.

Ver monitoria de qualidade

Quem já usa o BRIGGS

Operações de call center, BPO e áreas comerciais, o mesmo motor de análise, contextos diferentes.

Ferramenta fantástica! Através do BRIGGS conseguimos aprimorar nosso treinamento e acompanhamento da nossa operação, com insights importantes para ajustar e alavancar a performance da empresa.
Logo da OPTA Soluções em Call Center
Ângelo Marcarini
OPTA Soluções em Call Center
Sem o Briggs eu não vivo mais. Acompanhamos processos via meeting com integração no HubSpot e inteligência em cima da receita, enxergamos padrões que antes eram invisíveis.
Logo da Caccao
Gustavo Zago, CPO
Caccao
Estamos usando o BRIGGS há pouco tempo e estamos bastante satisfeitos. O grande diferencial é a possibilidade de personalizar as avaliações, adaptando tudo às necessidades específicas da minha empresa.
Logo da Mais Controle
Adriano Delvoux
Mais Controle

Reconhecimento

Ícone de láureas
CampeãoProduto inovador
SebraeX
SebraeX

Prove que a sua gravação está em conformidade

Verificação de aviso de gravação, protocolo, roteiro regulatório e trecho probatório em 100% das chamadas. Time brasileiro, contrato em real, sem cartão de crédito.

Vamos agendar sua conversa!

Deixe seus dados e direcionamos você para o especialista certo do nosso time.

  • Speech Analytics 100% nacional
  • Implantação em 7 dias
  • 100% conformidade LGPD

Resposta em até 1h útil • Sem compromisso

Perguntas frequentes sobre gravação de chamadas

É legal gravar chamadas de atendimento no Brasil?

É. Não existe norma que proíba a empresa de gravar o próprio atendimento, e em vários setores a gravação é obrigatória. O que a LGPD exige é base legal adequada para cada finalidade (execução de contrato, cumprimento de obrigação legal ou regulatória e legítimo interesse são as mais usadas), aviso ao titular e prazo de retenção justificado. Gravar conversa da qual a empresa é participante não se confunde com interceptação telefônica, que é a captação por terceiro estranho à conversa e depende de autorização judicial nos termos da Lei 9.296/1996.

Preciso avisar que a ligação está sendo gravada?

Sim, em qualquer base legal. O dever vem do princípio da transparência (art. 6º, VI) e do dever de informar do art. 9º da LGPD, e em SAC regulado também da norma setorial. O aviso precisa ser dado antes do início do tratamento, em linguagem clara, dizendo que a chamada é gravada e para quê. Atenção às rotas alternativas: se o cliente pode digitar um atalho e pular a mensagem da URA, o aviso precisa estar também no caminho que ele percorre, ou ser repetido pelo agente na abertura.

Preciso de consentimento do cliente para gravar?

Na maior parte dos casos, não, e pedir por engano cria problema. Execução de contrato (art. 7º, V), cumprimento de obrigação legal ou regulatória (art. 7º, II) e legítimo interesse (art. 7º, IX) dispensam consentimento. Consentimento só é livre quando existe alternativa real de ser atendido sem gravação, o que quase nunca é o caso; e, uma vez adotado, ele pode ser revogado a qualquer momento por procedimento gratuito e facilitado (art. 8º, §5º), obrigando a empresa a lidar com a eliminação. A recomendação prática é reservar o consentimento para finalidades acessórias e separáveis.

Por quanto tempo preciso guardar a gravação de chamadas?

Depende do regime aplicável à fila. O Decreto 11.034/2022 (SAC) exige manter a gravação por no mínimo 90 dias e o registro eletrônico do atendimento por no mínimo 2 anos após a solução da demanda. A Resolução CMN 4.860/2020 exige 5 anos para gravações e registros de ouvidoria em instituições autorizadas pelo Banco Central. A Resolução 632/2014 da Anatel exige 2 anos de registro em telecomunicações. Em saúde suplementar, a RN 623 e a RN 638 exigem rastreabilidade do atendimento por protocolo. Sobre tudo isso incidem os prazos prescricionais para defesa: 5 anos no CDC (art. 27) e 5 anos no curso do contrato de trabalho, limitados a 2 anos após a extinção. O prazo efetivo é o maior dos aplicáveis a cada fila, e não um número único para a empresa inteira.

Posso guardar gravações por tempo indeterminado?

Não. O art. 15 da LGPD determina o término do tratamento quando a finalidade é alcançada ou quando os dados deixam de ser necessários, e o art. 16 exige a eliminação após o término, ressalvadas hipóteses taxativas: obrigação legal ou regulatória, pesquisa com anonimização, transferência conforme a lei e uso exclusivo do controlador com dados anonimizados. Retenção sem justificativa escrita é irregularidade, não prudência, e aumenta a exposição em caso de incidente.

A voz do cliente é dado biométrico sob a LGPD?

Depende da finalidade do tratamento. Gravação usada para documentar o atendimento, apurar reclamação ou avaliar qualidade é dado pessoal comum. A mesma gravação processada para extrair um modelo da voz e identificar ou autenticar a pessoa configura dado biométrico, que o art. 5º, II classifica como dado pessoal sensível, com bases legais mais restritas (art. 11) e risco maior em incidente. Operações que usam autenticação por voz no IVR precisam separar esse tratamento do acervo de atendimento no registro do art. 37, sob pena de submeterem todo o acervo ao regime mais rígido sem necessidade.

A gravação de chamada vale como prova em processo?

Vale. O CPC admite todos os meios legais de prova (art. 369) e disciplina o documento eletrônico nos arts. 439 a 441, com valoração conforme a segurança quanto à autenticidade e à integridade. A jurisprudência admite a gravação de conversa feita por um dos interlocutores. O que fragiliza a prova na prática é a impossibilidade de demonstrar que o arquivo não foi alterado. Hash calculado na origem, armazenamento com retenção imutável, trilha de acesso e procedimento de extração documentado são os controles que sustentam a integridade quando ela for contestada.

O que é cadeia de custódia de gravação e por que ela importa?

É a documentação contínua do caminho do arquivo desde a captura até a apresentação: como foi gravado, com que identificadores, onde foi armazenado, quem teve acesso, como foi extraído e quem conferiu a integridade. Ela importa porque a contestação padrão em processo é de adulteração: que o áudio é um recorte, que falta o trecho anterior, que o arquivo foi editado. Com hash de origem, armazenamento imutável e log de acesso, a alegação é respondida com evidência; sem eles, é respondida com a palavra da empresa.

O cliente pode pedir para apagar a gravação da ligação dele?

Pode pedir, com base no art. 18, IV ou VI da LGPD, e a empresa precisa responder. A negativa é legítima quando existe obrigação legal ou regulatória de guarda (art. 16, I) ou exercício regular de direito em processo (art. 7º, VI): por exemplo, uma chamada de SAC dentro do prazo de 90 dias, ou uma gravação de ouvidoria bancária dentro dos 5 anos. O que não é aceitável é negar sem fundamentar. A resposta correta cita a norma, informa o prazo remanescente e diz quando a eliminação ocorrerá.

O cliente pode pedir cópia da gravação dele?

Pode. O art. 18, II da LGPD garante o acesso aos dados, e o art. 19 fixa as vias de resposta: formato simplificado, imediatamente, ou declaração clara e completa em até 15 dias do pedido. Em SAC regulado, a obrigação de disponibilizar a gravação ao consumidor existe independentemente do pedido de LGPD. O cuidado operacional é a verificação de identidade: entregar áudio à pessoa errada é, ele mesmo, um incidente de segurança.

Preciso avisar o agente de que as chamadas dele são gravadas e avaliadas?

Sim. O empregado é titular de dados como qualquer pessoa, e o Anexo II da NR-17 exige que a monitoração por escuta e gravação seja de conhecimento do trabalhador. Na prática isso significa aviso de privacidade específico para o empregado, descrição de quais avaliações são feitas sobre a gravação, quem acessa e por quanto tempo fica guardada. Quando a análise da gravação alimenta decisão com efeito sobre a pessoa (remuneração variável, medida disciplinar), o art. 20 da LGPD dá ao titular o direito de solicitar revisão, o que na operação se traduz em revisão humana documentada e possibilidade de contestar a avaliação com o trecho de áudio à vista.

Em operação terceirizada, quem é responsável pela gravação?

A regra é a contratante ser controladora e o BPO ser operador: quem decide gravar, para quê, por quanto tempo e quem acessa é quem contratou. A responsabilidade perante o consumidor e o regulador permanece com a contratante, que precisa de um mecanismo próprio de verificação sobre a operação terceirizada. O prestador pode assumir papel de controlador, com responsabilidade própria, se usar as gravações para finalidade dele: treinar modelo, fazer benchmark comercial. O contrato precisa tratar de posse do acervo, formato e prazo de devolução na rescisão, subprocessadores, localização do processamento, notificação de incidente em prazo definido em horas e direito de auditoria.

O que acontece com as gravações quando o contrato com o BPO termina?

O que o contrato disser, e é por isso que a cláusula precisa existir antes. A obrigação regulatória de guarda continua sendo da contratante, mas o arquivo está na infraestrutura do prestador. Sem previsão de devolução integral do acervo em formato aberto, com metadados, em prazo definido, e de comprovação de eliminação posterior, a contratante fica obrigada a manter por anos um dado ao qual perdeu acesso na desmobilização.

Preciso apagar a gravação e a transcrição no mesmo prazo?

Não necessariamente, e tratá-las como um único objeto costuma ser um erro. O áudio carrega risco biométrico e ocupa espaço; a transcrição não permite extrair modelo de voz, mas é muito mais pesquisável e mais fácil de vazar em volume, e continua contendo CPF, endereço, diagnóstico e valor de dívida. Defina prazos separados para áudio, transcrição, metadado e resultado analítico agregado. Este último costuma sobreviver por mais tempo, sobretudo quando é anonimizado.

Gravação armazenada em nuvem fora do Brasil é permitida?

É, com o mecanismo adequado de transferência internacional. Os arts. 33 a 36 da LGPD listam as hipóteses e a ANPD regulamentou as cláusulas-padrão contratuais. O que a operação precisa saber é onde cada etapa acontece: ingestão, transcrição, análise, armazenamento e backup podem estar em países diferentes, e o inventário de subprocessadores precisa refletir isso. Em setor regulado, verifique também se a norma setorial impõe requisito adicional sobre localização ou sobre acesso do regulador.

Qual a diferença entre gravar a chamada e monitorar a qualidade dela?

Gravação é o registro do que aconteceu, com regras próprias sobre base legal, aviso, prazo de guarda, segurança e valor probatório. Monitoria de qualidade é o uso desse registro para avaliar o atendimento, dar feedback e treinar. São obrigações e decisões distintas: uma empresa pode estar perfeitamente em conformidade na gravação e não avaliar nada, ou avaliar muito bem sobre um acervo que não sobrevive a uma fiscalização. Esta página trata da primeira; a construção do programa de avaliação está nas páginas de monitoria de qualidade.

Conteúdo informativo sobre regulação, atualizado em setembro de 2026. Não substitui parecer jurídico: valide a aplicação ao seu caso com o jurídico e com o encarregado de proteção de dados da sua empresa.