CRM para bancos e financeiras: o que o WhatsApp permite, o que barra e como atender com segurança

O que é um CRM para bancos e financeiras, e o que ele não substitui?

Um CRM para bancos e financeiras é o sistema que guarda o relacionamento com o cliente: quem falou com quem, o que foi pedido, o que foi prometido, quais propostas estão abertas e quais avisos saíram. Com WhatsApp, ele junta conversa, ficha e histórico num lugar que o gestor consegue auditar. Conta, saldo, contrato e decisão de crédito continuam no core bancário e nos sistemas da instituição.

As buscas variam: crm bancário, crm financeiro, crm para fintech, crm para seguros. O assunto aqui é a relação com o cliente em bancos, financeiras, fintechs, cooperativas de crédito, correspondentes e corretoras de seguros. Quem procura crm financeiro para controlar contas a pagar da própria empresa está atrás de outra coisa, e este guia não trata disso.

Neste setor, a pergunta sobre o canal vem antes da pergunta sobre o funil. O que a política do WhatsApp deixa enviar? Como confirmar que é o cliente sem pedir dado sensível? Onde os dados ficam? Quem responde se algo der errado? Por isso o guia começa pelas regras e só depois fala de ferramenta.

Conferimos cada norma na fonte em 04/11/2026 e marcamos o que é leitura nossa e o que não conseguimos confirmar. Nada aqui é parecer jurídico. A CCX Messages é uma plataforma de comunicação, e a resposta final para o seu caso vem do seu jurídico e do seu compliance.

O que a política do WhatsApp permite e barra no setor financeiro

A política de mensagens do WhatsApp, na versão de 23/09/2026, não tem capítulo para bancos. Ela não cita banco, seguro, consignado, financiamento nem crédito pessoal. Os itens marcados com PODE são interpretação da CCX, apoiada nas regras gerais e nos exemplos de categoria da Meta, e pressupõem que a pessoa deu o número e aceitou receber. Os itens marcados com BARRADO vêm da seção 4, que proíbe comprar, vender, promover ou facilitar a troca dos itens listados, seja qual for a licença da empresa.

PODE, em leitura da CCX. Aviso de transação: compra aprovada, Pix recebido ou estorno, a quem é cliente e aceitou receber. A Meta dá aviso de conta e de reembolso como exemplos de utilidade. Não coloque oferta na mesma mensagem, porque isso muda a categoria do template.

PODE, em leitura da CCX. Atualização de conta: cartão enviado, limite alterado a pedido, documento disponível no app. Um cuidado: a Meta classifica como marketing a mensagem que chama a pessoa de volta para concluir um pedido de empréstimo, mesmo com aparência de aviso.

PODE, em leitura da CCX. Lembrete de vencimento: antes da data, a quem já é cliente e aceitou receber. A Meta cita lembrete de pagamento como utilidade. Depois do vencimento, a mensagem se aproxima da linha de cobrança de dívida, logo abaixo.

PODE, em leitura da CCX. Atendimento: quando o cliente escreve, abre a janela de 24 horas para responder com texto livre. A seção 2 aceita automação nessa janela, desde que haja caminho claro e direto para uma pessoa.

PODE, em leitura da CCX. Confirmação de agendamento na agência, para quem marcou o horário, com botões como Confirmar e Reagendar.

PODE, em leitura da CCX. Aviso de segurança: novo acesso, troca de aparelho, alerta de golpe em circulação. A mensagem não pede dado nenhum. Código de uso único só sai em template de autenticação, a única categoria que a Meta aceita para isso.

BARRADO pela seção 4, mesmo com licença. Cobrança de dívida. A CCX não oferece esse serviço. A política não define o termo nem diz se a cobrança da própria carteira entra. Nossa postura é tratar como barrada a mensagem sobre parcela vencida, a proposta de acordo a quem está em atraso e a pressão para pagar.

BARRADO pela seção 4, mesmo com licença. O texto em inglês diz: “Payday loans, paycheck advances, peer-to-peer lending, debt collection, and bail bonds”. Payday loan é o empréstimo de curtíssimo prazo até o pagamento. Paycheck advance é antecipação de salário. Peer-to-peer lending é empréstimo entre pessoas, modelo de algumas fintechs. Bail bond é fiança criminal.

BARRADO pela seção 4, mesmo com licença. Moeda real, virtual ou falsa, incluindo ICO e opções binárias. A política não explica até onde vai a expressão moeda real. Em nossa leitura, o alvo é comprar, vender ou promover moeda como produto, o que atinge câmbio e ativos virtuais. O aviso de um banco sobre a conta do cliente não parece ser o alvo, mas isso é interpretação.

SEM RESPOSTA NO TEXTO. Consignado, crédito pessoal, financiamento, seguro e outras antecipações. A política não os menciona. Se o seu produto está neste item, a seção seguinte vale para você, e o caso pede parecer jurídico antes de qualquer envio.

Consignado e oferta de crédito podem ir pelo WhatsApp?

A política não responde. Consignado, crédito pessoal e financiamento não aparecem na lista, e paycheck advances, em português, é antecipação de salário. Se um produto com desconto em folha ou outra forma de antecipação se encaixa nessa expressão, o texto não diz, e não vamos afirmar nem que sim nem que não. Oferta de crédito pelo WhatsApp precisa de parecer jurídico caso a caso, produto por produto.

Mesmo quando o produto passa por essa dúvida, a oferta é marketing: exige aceite, template aprovado e respeito a quem pediu para parar. O guia de opt-in e LGPD explica o aceite. No Brasil, a Lei 14.181/2021 acrescentou regras ao Código de Defesa do Consumidor. O art. 54-B manda informar, no momento da oferta, o custo efetivo total, os juros, os encargos de atraso, as prestações e o direito à quitação antecipada, com validade mínima de dois dias.

O art. 54-C proíbe, entre outras coisas, indicar que o crédito pode sair sem consulta ou sem avaliar a situação financeira, esconder ônus e riscos e assediar ou pressionar o consumidor, principalmente idoso, analfabeto, doente ou em vulnerabilidade agravada. Uma mensagem curta dizendo “crédito aprovado, toque aqui” dificilmente cumpre isso. O caminho mais seguro é atender quem pediu contato e entregar as condições completas onde a pessoa possa ler com calma.

Para quem trabalha com consignado do INSS, a regra é mais dura. A IN PRES/INSS 138/2022, na versão consolidada até 19/05/2026 que o INSS publica, proíbe marketing ativo por qualquer meio, inclusive SMS, ligação e aplicativo de mensagem, antes de 180 dias da data de despacho do benefício (art. 35, II). A IN 213, de agosto de 2026, alterou outros pontos e, no trecho que lemos, não mexeu nesse artigo. Confirme no texto oficial atualizado.

Como autenticar o cliente sem pedir cartão, conta, documento, senha ou token?

A seção 3 da política proíbe compartilhar ou pedir número completo de cartão, de conta financeira, de documento de identidade ou outro identificador sensível. Ela não cita senha, token nem código de acesso. Em nossa leitura, eles entram como identificador sensível, e a Febraban repete que banco não pede nada disso. Na operação, trate os cinco do mesmo jeito: nenhum se pede na conversa.

A primeira saída é o template de autenticação. A documentação da Meta diz que só essa categoria pode enviar código de uso único. O texto é fixo, com aviso de segurança e validade opcionais, e o botão pode copiar o código ou preencher sozinho no app. O painel da CCX tem esse formato. O cliente digita o código dentro do app ou do internet banking. Nunca peça que ele devolva o código na conversa.

A segunda saída é o deep link para o app. Uma mensagem com botão abre o aplicativo da instituição, o cliente entra com biometria ou senha lá dentro e confirma o atendimento. O seu sistema devolve o resultado pela API, e a ficha recebe uma etiqueta ou campo como “identidade conferida”. O atendente vê a marca e segue, sem ter visto dado nenhum. Como muitos bancos ensinam o cliente a desconfiar de link, ofereça também a opção de abrir o app por conta própria.

A terceira é a sessão do internet banking. O cliente já logado toca em Falar no WhatsApp, e o link leva um código de referência de uso único, sem dado pessoal, no texto inicial da conversa. O seu sistema reconhece o código e informa quem está falando. Esse desenho depende do seu time de tecnologia e do seu antifraude. A CCX entrega a mensagem e guarda o resultado na ficha, sem fazer a verificação de identidade.

Perguntas de conhecimento, como data de nascimento ou nome da mãe, não estão na lista da política, mas são dado pessoal, e um golpista muitas vezes tem as respostas. Final de cartão é outro caso: a seção 3 fala em número completo, e um exemplo de utilidade da Meta mostra os quatro últimos dígitos da conta em mensagem enviada pela empresa. Em nossa leitura, mostrar o final é diferente de pedir. Quem decide o que vale na sua operação é o compliance.

E se o cliente mandar o dado por conta própria, como foto do cartão ou do documento? Combine o procedimento antes. O atendente não repete o dado, não copia para a ficha nem para a nota, orienta a pessoa e registra o ocorrido sem o número. Inclua esse caso no treinamento e na política de retenção, junto do modelo de resposta que está mais adiante.

WhatsApp do banco: como o cliente confere se o número é verdadeiro?

Muita gente que busca whatsapp banco quer só o número do próprio banco, e esse é um momento perigoso. Em outubro de 2026, a Febraban alertou para um perfil falso de WhatsApp com a logomarca dela, falando em assunto urgente e transação suspeita. Em março, alertou para o golpe do falso gerente. Nome e foto se copiam em minutos.

Para conferir, procure o número no app do banco, no site digitado por você ou no cartão, nunca numa mensagem recebida. Depois olhe o perfil: conta comercial com o tique azul de verificado é um bom sinal, como explica o guia do selo. A falta do selo não prova golpe, porque a Meta decide quem recebe. Quem pede senha, código, token ou pagamento para regularizar a conta é golpe. A orientação da Febraban é parar e procurar os canais oficiais.

Do lado da instituição, três coisas ajudam o cliente. Publique o número oficial no app, no site e nas faturas, e use poucos números. Peça o selo de verificação à Meta, sabendo que a aprovação é dela e não tem garantia. E repita nas mensagens o que você nunca pede. A seção 1 da política proíbe se passar por outra empresa, e um perfil falso com a sua marca deve ser denunciado.

Não Me Perturbe: o que é e o que muda para quem contata cliente

O Não Me Perturbe (naomeperturbe.com.br) é a plataforma em que a pessoa pede para não receber ligações de telemarketing das empresas participantes, com prazo de até 30 dias para o bloqueio valer. Na lista estão operadoras de telecomunicações e instituições financeiras. No setor financeiro, ele faz parte da Autorregulação do Crédito Consignado, da Febraban com a ABBC, em vigor desde 02/01/2020, com adesão voluntária dos bancos.

Para quem oferta consignado, o efeito é direto. Ligação indesejada depois do bloqueio vira reclamação na própria plataforma, tratada pelas ouvidorias dos bancos. O relatório da Febraban sobre 2023 registra ainda a não remuneração de proposta de consignado enviada por correspondente em nome de consumidor cadastrado. As regras completas estão na Convenção da autorregulação, que não lemos por inteiro.

E o WhatsApp? O site da plataforma fala só em chamadas, e não encontramos regra geral dizendo que o bloqueio alcança mensagens em outros produtos. Para o consignado do INSS, a resposta muda. A IN 138/2022 descreve o serviço como bloqueio de chamadas e mensagens de oferta (art. 34, III, a) e proíbe qualquer oferta depois de 30 dias do cadastro, ressalvadas as situações previstas na plataforma (art. 35, I). Em nossa leitura, isso inclui o WhatsApp nesse produto.

Na prática, o cadastro e o opt-in do WhatsApp são duas verificações, e uma não substitui a outra. Se a pessoa aceitou mensagens e também bloqueou o telefone, leve a dúvida ao jurídico antes de oferecer consignado. A CCX não consulta o Não Me Perturbe: esse cruzamento precisa acontecer na sua base, antes de importar contatos ou enviar. E vale lembrar que o cadastro não dá nenhuma garantia de que golpistas vão parar.

Sigilo bancário e nuvem: o que LC 105, CMN 4.893 e BCB 85 cobram da contratação?

A Lei Complementar 105/2001 manda as instituições financeiras conservarem sigilo em operações e serviços (art. 1º). A lista inclui bancos, financeiras, administradoras de cartão e cooperativas de crédito, e o § 2º estende as regras ao factoring. Instituição de pagamento não aparece pelo nome, e a sua fintech deve perguntar ao advogado como se enquadra. O consentimento expresso dos interessados afasta a violação (§ 3º, V). A quebra fora dos casos legais é crime, com reclusão de um a quatro anos e multa (art. 10).

A lei não fala de WhatsApp. O ponto prático é que a mensagem passa pela infraestrutura global da Meta, fica na plataforma contratada e aparece na tela do celular. Se saldo, valor ou nome de produto numa mensagem exigem consentimento específico é pergunta para parecer. Enquanto isso, a prudência manda escrever o mínimo e deixar o detalhe dentro do app, mesmo quando a Meta aceita o texto como utilidade.

A Resolução CMN 4.893/2021 trata de segurança cibernética e de contratação de processamento, armazenamento e nuvem. Ela foi alterada pela CMN 5.117/2024 e pela CMN 5.274/2025, esta com prazo de adaptação até 01/03/2026. Instituições de pagamento, corretoras e distribuidoras de valores, corretoras de câmbio e prestadoras de ativos virtuais seguem a Resolução BCB 85/2021, alterada pelas BCB 368/2024, 538/2025 e 552/2026. Os artigos citados a seguir são da 4.893.

O art. 13 conta como nuvem a execução, pela internet, de aplicativo desenvolvido pelo fornecedor, o que descreve uma plataforma como a nossa. Quem decide se o serviço é relevante é a instituição, pela criticidade e pela sensibilidade dos dados (art. 12, § 1º). Sendo relevante, ela responde pela segurança e pelo sigilo do serviço contratado (art. 14) e comunica a contratação ao Banco Central em até dez dias (art. 15).

O art. 12 manda verificar, antes de contratar, a aderência às certificações que a instituição exige e o acesso a relatórios de auditoria independente. A CCX não tem ISO 27001 nem relatório SOC 2. Se a sua política exige um dos dois, a CCX não cumpre esse requisito hoje. O art. 17 lista o que o contrato precisa prever: países e regiões, segregação de dados, transferência e exclusão na saída, aviso de subcontratação e acesso do Banco Central. Leve essa lista ao contrato, item por item.

O art. 16 cobre serviço prestado no exterior: pede convênio entre o Banco Central e o supervisor do país, ou autorização prévia, além da definição dos países. Na CCX, a base fica em São Paulo, e as exceções declaradas são a Meta, o processamento de IA nos EUA, só quando a empresa usa esses recursos, os provedores de push e a Cloudflare. O seu compliance decide como classificar cada uma. A lista completa está na Central de Confiança.

Na LGPD, a instituição é controladora e a CCX é operadora, que trata os dados conforme as instruções dela (art. 39). O operador responde solidariamente se descumprir a lei ou as instruções lícitas (art. 42, § 1º, I), e a transferência internacional só é permitida nos casos do art. 33. O acordo de tratamento de dados faz parte do contrato da CCX.

Atendimento bancário: relacionamento, correspondentes, ouvidoria e o novo decreto do SAC

A Resolução CMN 4.949/2021, alterada pela CMN 5.117/2024, cobra adequação do produto ao cliente, sigilo, informação clara e tratamento justo, considerando vulnerabilidades (arts. 3º e 4º). A Resolução BCB 155/2021 faz o mesmo papel para instituições de pagamento e outras listadas nela. Oferta, publicidade, atendimento e cobrança precisam seguir a política institucional (art. 7º), e os registros de controle ficam disponíveis por cinco anos (art. 9º, § 2º). O WhatsApp também não autoriza recusar atendimento presencial, salvo as exceções da norma (art. 5º).

Para correspondentes, vale a Resolução CMN 4.935/2021. A instituição assume inteira responsabilidade pelo atendimento (art. 3º). O contrato precisa vedar logomarca ou atributos parecidos com os da instituição, inclusive em plataformas de comunicação em rede, e exigir que o correspondente se apresente como prestador, com os canais da instituição e da ouvidoria (art. 14, II e III). Em nossa leitura, no WhatsApp isso significa perfil com o nome do próprio correspondente, sem logo do banco. O art. 8º foi revogado pela Resolução Conjunta 17/2025.

A ouvidoria segue a Resolução CMN 4.860/2020, alterada pelas CMN 5.117/2024 e 5.182/2024. Ela atende em última instância o que o canal primário não resolveu, com protocolo, resposta em até dez dias úteis e registro por pelo menos cinco anos (arts. 3º, 6º e 7º), e não pode ficar ligada a negociação de produtos, risco, auditoria ou compliance (art. 4º). No WhatsApp, o atendente informa o canal da ouvidoria. A resolução ainda menciona o decreto de SAC de 2008, então leia com o decreto novo ao lado.

O Decreto 13.135, de 09/10/2026, publicado no DOU de 13/10/2026, revogou o Decreto 11.034/2022 e entra em vigor 20 dias após a publicação, o que dá 02/11/2026 pela nossa conta. Ele alcança fornecedores regulados pelo Executivo federal, nos critérios do regulador, e serviços financeiros, de pagamento ou de crédito por plataformas ou meios digitais sob regulação ou supervisão do Banco Central (art. 1º, parágrafo único). Mensageria instantânea entra como canal eletrônico quando permite interação em tempo real com pessoa (art. 3º, § 2º).

Na rotina: canais eletrônicos no ar 24 horas, com pessoa em tempo real das 8h às 20h, todos os dias (art. 12), até cinco níveis para finalizar a demanda (art. 13), sem publicidade em nenhuma etapa do atendimento (art. 6º, I) e sem pedir que o consumidor repita a demanda (art. 6º, II). O atendente precisa ver o histórico (art. 18, § 1º), a resposta tem até sete dias corridos (art. 21) e as mensagens ficam guardadas por 90 dias ou mais (art. 19).

Oferta e contratação ficam fora do conceito de SAC (art. 3º, § 4º). Em nossa leitura, isso favorece separar as filas: atendimento de um lado, venda de outro, sem oferta no meio de uma reclamação. Confira também a retenção. A CCX permite configurar de 30 dias a 5 anos, com padrão de 180 dias, e a limpeza automática é opcional. Um prazo de 30 dias ficaria abaixo do decreto, e o registro da ouvidoria pede cinco anos.

CRM para corretora de seguros: renovação, funil e as regras da Susep

Corretora de seguros vive de carteira e de data: vigência, renovação, sinistro, endosso. Um crm para corretora de seguros precisa mostrar cada cliente com o que ele tem, o que está para vencer e quem ficou de responder. Na CCX, isso pode ser montado com campos personalizados e etiquetas na ficha, um funil por ramo e a conversa ligada ao negócio. A plataforma não emite apólice nem calcula seguro, e o sistema da corretora continua sendo a fonte.

A política do WhatsApp não cita seguro. Em nossa leitura, aviso de vigência e de sinistro cabem em utilidade quando são informativos. A Meta diz que mensagem de conta não deve promover, fazer venda cruzada nem tentar garantir renovação, então “renove aqui” vai como marketing, para quem aceitou esse tipo de mensagem. A seção 3 veda pedir informação de saúde quando a regra aplicável proíbe, e por isso a declaração de saúde de um seguro de vida deve ficar fora da conversa, no seu formulário.

Do lado da Susep, a Resolução CNSP 382/2020 trata de princípios de conduta de seguradoras e intermediários no relacionamento com o cliente, com temas como transparência, adequação do produto e divulgação de remuneração. A divulgação de comissão foi parar na Justiça. Lemos resumos de escritório e da imprensa do setor, e não o texto oficial, então não foi possível confirmar a redação vigente nem a situação desse ponto. Confirme na Susep antes de seguir.

A Resolução CNSP 493, de 17/07/2026, publicada em 21/07/2026, reúne regras de corretores e entidades autorreguladoras, revoga 13 resoluções e entra em vigor 180 dias após a publicação, em janeiro de 2027 pela nossa conta. No texto que lemos, não há regra sobre mensagens ou canais digitais do corretor, e ela não cita a 382. Se a corretora também atua como correspondente ou oferece crédito, as regras do Banco Central acima se somam às da Susep.

Como a plataforma pode servir: atendimento num lugar só, ficha e funil

É comum ver WhatsApp com um time, Instagram com outro e a ficha do cliente num terceiro lugar. Quem busca plataforma de atendimento, sistema de atendimento ou atendimento multicanal quer resolver isso. A caixa de entrada da CCX coloca WhatsApp e Instagram na mesma fila, ao vivo. No setor financeiro, o ganho é de controle: um lugar só para saber quem respondeu, o que foi dito e onde está o histórico. A diferença entre os termos está no guia de omnichannel.

A distribuição pode usar rodízio por carga, regras por etiqueta, DDD e prioridade, e times com horário próprio, o que ajuda a cobrir a faixa das 8h às 20h. Há SLA por turno, notas internas, respostas salvas que o compliance pode aprovar antes e pesquisa de satisfação ao resolver. Fraude e crédito podem ser filas com pessoas diferentes, e os atendentes não têm custo por pessoa. O guia de multiatendimento mostra como montar filas e transferências.

A ficha do contato traz linha do tempo, conversas, notas e tarefas, com campos personalizados e etiquetas. É ela que resolve, na prática, o problema de pedir para o cliente repetir. Use a ficha para o que a conversa precisa: produto, fase do atendimento, marca de identidade conferida. Saldo, número de conta e documento ficam no core. Quanto menos dado sensível copiado, menor o problema em caso de incidente.

O funil do CRM serve para crédito e seguros de quem já pediu contato: pedido recebido, condições enviadas, em análise no seu sistema, decisão, contratado ou perdido com motivo. Cada etapa tem probabilidade e tempo máximo, há valor total e ponderado, e qualquer conversa vira negócio. Análise de crédito, formalização e envio de documentos acontecem no seu sistema. O guia de CRM para WhatsApp explica a montagem.

As jornadas cuidam dos avisos: gatilho por evento do seu sistema ou API, esperas, condições por entrega, leitura, clique ou resposta, e plano B por SMS para celular do Brasil. O plano B precisa estar coberto pelo aceite e deve levar ainda menos informação, porque o texto passa pela operadora e fica na tela do aparelho. Para poucas mensagens com hora marcada, a tela de Agendamentos confere template aprovado, variáveis, opt-out e hora no futuro.

Um ponto para o compliance ler com atenção. Na CCX, quem responde SAIR, PARAR, PARE, STOP ou CANCELAR é descadastrado, e as campanhas param em todos os canais. O bloqueio automático não alcança templates de utilidade e de autenticação enviados pela API, porque barrar um código de acesso trancaria o cliente fora da conta. Como a seção 1 da política manda respeitar todo pedido para parar, defina no seu sistema o que acontece com lembretes e avisos: a plataforma informa o pedido por webhook, e a regra de parar fica do seu lado.

Papéis, máscara de telefone e trilha de auditoria

O painel tem nove papéis. A empresa atribui sete a quem convida, o de proprietário fica com quem criou a conta e o de suporte é da equipe da CCX. A verificação em duas etapas por aplicativo pode ser exigida de todos, a sessão vale 15 minutos e se renova com o uso, e sair ou ser removido derruba o acesso na hora. As chaves de API têm escopo, e os webhooks levam assinatura HMAC-SHA256.

Telefone e e-mail aparecem mascarados para quem não tem a permissão de dado pessoal completo, que de fábrica fica com proprietário e administrador. Conferimos isso em Contatos, resultados de campanha, mensagens e Agendamentos. Na fila de agendamento, por exemplo, o operador encontra a pessoa sem ver o número inteiro. Antes de ir ao ar, teste com um usuário de cada papel, inclusive na conversa aberta da caixa de entrada, onde o atendente precisa ler o que o cliente escreveu.

A trilha de auditoria fica no painel e registra, com autor e horário, convites, trocas de papel, exportações, chaves de API, integrações, regras de roteamento, retenção e visualização de mensagens sensíveis. A entrada do suporte da CCX exige motivo e também aparece lá. Ela cobre ações de administração, então não a trate como registro de cada leitura de cada conversa. O prazo de guarda da trilha não está na Central de Confiança: peça por escrito e compare com os cinco anos da Resolução 4.949.

A base fica em São Paulo, com três réplicas. O backup é diário, cifrado e travado contra exclusão até o fim do prazo de guarda (8 dias a cópia diária, 36 a semanal e 370 a mensal), com a última restauração completa ensaiada em 05/10/2026. HTTPS, disco cifrado e senhas com Argon2id completam o básico. As mensagens saem em CSV para quem tem permissão. Não há criptografia de ponta a ponta: a plataforma lê o conteúdo para entregar, guardar e mostrar na caixa de entrada.

Chatbot para banco: o que a IA pode fazer e onde ela para

Um chatbot para banco costuma responder tarifa, horário, onde ir e como abrir chamado. O agente de IA da CCX Messages responde com a base de conhecimento da empresa, avisa que é IA no primeiro contato e passa para uma pessoa quando precisa. Os assuntos que a empresa listar vão direto para o time. Comece com uma lista ampla: contestação, fraude, bloqueio, ouvidoria, reclamação, atraso e qualquer dúvida sobre contrato.

As regras externas batem com isso. A política do WhatsApp exige caminho claro para uma pessoa quando há automação, e o decreto do SAC aceita procedimentos automatizados, inclusive IA, na triagem, desde que a opção de pessoa em tempo real esteja garantida (art. 3º, § 3º). O guia de agente de IA trata do restante. Em nossa opinião, a primeira versão não deve consultar saldo, fatura ou contrato, mesmo em modo de leitura, sem análise de risco.

A IA da CCX Messages é processada nos EUA por suboperadores listados na Central de Confiança, só quando a empresa usa esses recursos. A CCX não treina modelo com as conversas, e o uso e a retenção pelos suboperadores estão na Política de Privacidade. Isso entra na análise do art. 16 da Resolução 4.893 e do art. 33 da LGPD. Se a sua análise não aceitar, deixe a IA desligada: caixa de entrada, CRM e jornadas funcionam sem ela.

Modelos de mensagem para avisos, lembretes e atendimento

São pontos de partida, para o seu jurídico revisar. A categoria final é decidida pela Meta. Nenhum modelo pede dado nem traz oferta, e as variáveis vêm do seu sistema. Evite encurtador de link e evite saldo na mensagem.

Aviso de transação: “Compra de {{1}} aprovada no cartão final {{2}}, em {{3}}. Não foi você? Abra o app do {{4}} e bloqueie o cartão. Nunca pedimos senha, código ou número do cartão por aqui.”

Lembrete antes do vencimento: “Olá, {{1}}. Sua fatura do {{2}} vence em {{3}}. Valor e formas de pagamento estão no app. Se já pagou, desconsidere. Para não receber este lembrete, responda PARAR.” Se usar essa frase, garanta que o seu sistema realmente pare de enviar.

Confirmação na agência: “Olá, {{1}}. Seu atendimento na agência {{2}} está marcado para {{3}}, às {{4}}. Leve um documento com foto e não envie documentos por esta conversa.” Botões: Confirmar e Reagendar. A resposta chega ao seu sistema pelo webhook assinado.

Aviso de segurança: “Aviso do {{1}}: houve um novo acesso à sua conta em {{2}}. Se foi você, não precisa fazer nada. Se não foi, abra o app ou ligue para o número do seu cartão. Nunca pedimos senha, código ou token.”

Quando pedem ou mandam dado sensível: “Por segurança, não envie número de cartão, de conta, documento, senha ou código por aqui. Para confirmar que é você, abra o app do {{1}} e toque em Confirmar atendimento. Eu sigo com o seu caso, sem você repetir nada.”

Seguro, aviso de vigência: “Olá, {{1}}. O seu seguro de {{2}} termina em {{3}}. Se quiser falar sobre ele, responda aqui ou fale com {{4}}, da corretora {{5}}.” Encaminhar para a ouvidoria: “Entendi que o atendimento não resolveu. A ouvidoria do {{1}} atende por {{2}}. Guarde o protocolo {{3}}.”

O que a CCX não faz, e quando ela não é a escolha certa

A CCX não é core bancário. Ela não guarda conta, não movimenta dinheiro de cliente da instituição nem presta serviço de mensageria do sistema financeiro. Não faz análise de crédito, verificação de identidade nem prevenção a fraude. Não é sistema de ouvidoria. Não tem agenda própria de agências. Não faz cobrança de dívida. Nesses pontos, ela conversa com o seu sistema por API e webhook, ou fica de fora.

Ela não é a escolha certa se a sua política exige ISO 27001 ou SOC 2, que a CCX não tem. Nem se você precisa de criptografia de ponta a ponta entre cliente e atendente. Nem se o uso previsto é cobrança, antecipação de salário, empréstimo entre pessoas, câmbio ou ativos virtuais. Nem se o contrato precisa de cláusulas do art. 17 que não estejam negociadas. A CCX também não publica histórico de disponibilidade ou de incidentes, o que pode pesar na sua análise de continuidade (art. 19).

Não dizemos aqui que algum banco usa a CCX e não prometemos resultado. A plataforma pode servir a uma operação que passe por essa análise e queira relacionamento, atendimento e avisos num lugar só. Se for o seu caso, comece por um uso de baixo risco, como dúvidas gerais e confirmação de agendamento, e envie o questionário de segurança da sua empresa pelo canal indicado na Central de Confiança.

Checklist para o compliance antes de pôr o WhatsApp no ar

Produtos: liste cada produto e cada mensagem, e cruze com a seção 4. Consignado, antecipação, câmbio e ativos virtuais vão para parecer antes de tudo. Aceite: registre onde a pessoa aceitou, para quais categorias e como ela sai. Listas: cruze o Não Me Perturbe na sua base quando houver oferta de consignado. Conteúdo: tire saldo e detalhe do texto sempre que der, e não coloque oferta em aviso.

Autenticação: escolha entre template, deep link e sessão logada, e proíba por escrito pedir cartão, conta, documento, senha ou token. Atendimento: confira as filas das 8h às 20h, os cinco níveis, o caminho para pessoa e a resposta em até sete dias. Ouvidoria: defina como o atendente encaminha, sem misturar com venda. Correspondentes: confira nome, logo e canais do perfil.

Contratação: classifique a relevância do serviço, peça o que o art. 12 manda verificar, leve o art. 17 ao contrato e decida sobre as exceções fora do Brasil, a IA entre elas. Acesso: teste cada papel, a máscara e a trilha, e peça o prazo de guarda da trilha. Retenção: ajuste o prazo ao que a sua norma exige. Por fim, dê este material ao seu advogado: ele não substitui o parecer.