PDPL e Decreto-Lei 45 dos EAU: A Checklist de Conformidade Antes de Ativar um Voice AI Agent

Por que motivo esta é uma questão de dados, e não de TI

Um Voice AI Agent não é um sistema telefónico com uma saudação mais simpática. Ele capta áudio, converte-o em texto, extrai detalhes pessoais, escreve-os num CRM e, muitas vezes, aciona mensagens de acompanhamento.

Isto significa que cada chamada cria dados pessoais sobre um indivíduo identificável. Na Arábia Saudita, isso enquadra-se na PDPL, supervisionada pela SDAIA. Nos EAU, enquadra-se no Decreto-Lei Federal 45 de 2021, com regras setoriais adicionais em zonas francas como o DIFC e o ADGM. Ambos os quadros regulamentares assentam nas mesmas ideias: uma base legal, transparência, limitação de finalidade, minimização, limites de retenção e responsabilização de quem processa os dados em seu nome.

A boa notícia: um Voice AI Agent bem concebido é, normalmente, mais fácil de provar do que um call center humano, pois cada interação é registada, consistente e auditável.

1. Base legal e consentimento que pode apresentar a pedido

Decida, por escrito, o motivo pelo qual processa cada tipo de dados e com que base.

• Marcar uma consulta a pedido de um cliente é simples e, geralmente, baseia-se na prestação do serviço.
• Gravar a chamada, guardar a transcrição e, mais tarde, enviar marketing a essa pessoa são finalidades distintas que, normalmente, requerem o seu próprio consentimento.
• O consentimento deve ser informado, específico e revogável, e tem de ser capaz de demonstrar quando e como foi dado.

Implementação prática: obtenha o consentimento no ponto de contacto — o formulário web, o anúncio clique para o WhatsApp, o formulário na clínica — com um carimbo de data/hora guardado no registo do contacto e uma opção de exclusão (opt-out) de uma só palavra que funcione permanentemente.

2. Um aviso de gravação que quem liga efetivamente ouve

Se as chamadas são gravadas, informe-o logo no início, no idioma de quem liga, antes de se discutir qualquer assunto sensível. Duas regras que aplicamos por defeito:

• O aviso é a primeira coisa a ser dita na saudação, em árabe e em inglês, e não escondido depois de um menu.
• Se quem liga se opuser, o agente pode continuar sem guardar a gravação ou transferir a chamada para um humano.

Uma transcrição sem aviso prévio é um passivo. Uma transcrição com um aviso claro é um ativo — é a forma de provar o que foi prometido numa chamada.

3. Onde o áudio é processado e armazenado

Esta é a questão a que a maioria dos fornecedores responde de forma vaga, e a primeira que os reguladores e compradores empresariais colocam.

Peça-o por escrito: em que país a voz é reconhecida, onde o áudio é armazenado, onde ficam as transcrições, quais os subprocessadores que tocam nos dados e se alguma coisa sai do país. Para os clientes no Reino e nos EAU, processamos as chamadas de voz, gravações e transcrições em infraestruturas dentro do respetivo país, e mantemos os dados de CRM e de automação numa infraestrutura na cloud encriptada, sob salvaguardas de transferência aprovadas. A descrição completa encontra-se na nossa página de Segurança de Dados.

Se um fornecedor não lhe conseguir desenhar esse mapa numa só página, encare a resposta como um não.

4. Minimização e retenção, decididas antes do lançamento

Duas configurações evitam a maioria dos problemas futuros.

Recolha menos. Para quase todas as empresas, o agente precisa de um nome, um número de contacto, um e-mail e do que o cliente pretende. Não necessita de números de identificação (Emirates ID ou Iqama), dados do cartão ou histórico clínico — por isso, configure-o para nunca os solicitar e para os ocultar (redaction) caso quem liga os forneça voluntariamente.

Mantenha os dados por um período definido. Defina uma janela de retenção explícita para o áudio e outra separada para as transcrições e notas do CRM, associada a uma justificação de negócio, como a resolução de litígios ou a contabilidade. Em seguida, automatize a eliminação. "Guardamos tudo para sempre, por via das dúvidas" é a descoberta mais comum em qualquer auditoria — e a menos defensável.

5. Contratos com quem processa dados por si

A sua empresa continua a ser a responsável pelos dados (controller) dos seus clientes. O fornecedor é um processador (processor) e essa relação tem de ser documentada:

• Um acordo de processamento de dados que cubra a finalidade, o âmbito, as medidas de segurança, os subprocessadores, os prazos de notificação de violações, os direitos de auditoria e a eliminação após o término do contrato.
• Cláusulas contratuais-tipo ou uma salvaguarda equivalente para qualquer fluxo transfronteiriço.
• Um contacto designado para os pedidos dos titulares dos dados — acesso, correção, eliminação — e um nível de serviço (SLA) interno para lhes dar resposta.

Exija estes elementos antes de assinar, e não após o seu primeiro incidente.

6. Os setores sensíveis necessitam de limites mais rigorosos

O setor da saúde é onde a maioria dos projetos falha, e onde a solução é simples: separe a aquisição dos registos.

Use o agente de IA para captar novas questões de pacientes, confirmar a identidade de forma mínima, fazer marcações e enviar lembretes. Mantenha os dados clínicos no próprio EMR ou EHR do hospital ou clínica, e não os espelhe na stack de marketing. Os diagnósticos, os resultados e o histórico de tratamentos mantêm-se dentro do sistema médico.

Uma lógica semelhante aplica-se aos serviços financeiros e jurídicos: o agente qualifica, agenda e encaminha; o registo regulamentado permanece no sistema regulamentado. As nossas páginas de Setores descrevem como esta separação é configurada por indústria.

A checklist de pré-lançamento

Imprima esta lista e faça um visto antes de o seu agente atender uma chamada real.

• Finalidades documentadas e base legal para cada tipo de dados
• Consentimento obtido com carimbo de data/hora e uma opção de exclusão (opt-out) funcional
• Aviso de gravação na saudação, em árabe e em inglês
• Mapa escrito dos locais de processamento e armazenamento, além dos subprocessadores
• Campos que o agente nunca deve recolher, com a ocultação (redaction) configurada
• Janelas de retenção definidas para áudio, transcrições e notas no CRM, com eliminação automática
• Acordo de processamento de dados assinado e salvaguardas de transferência
• Responsável designado para os pedidos dos titulares de dados, com um prazo de resposta
• Processo para violações de dados, incluindo quem é informado e com que rapidez
• Fronteira de setor sensível definida, especialmente a separação do EMR ou EHR

Nada disto atrasa um lançamento em mais do que alguns dias. Mas é o que decide se o seu canal de IA sobrevive à primeira pergunta séria de um regulador, de uma equipa de compras de um hospital ou de um cliente que simplesmente pergunte para onde foi a sua gravação.

Isto é um guia, não um aconselhamento jurídico

A regulamentação evolui e as regras setoriais diferem, especialmente dentro das zonas francas financeiras e no setor da saúde. Utilize esta checklist para estruturar a conversa com o seu próprio consultor jurídico e com qualquer fornecedor que esteja a avaliar — incluindo nós.

Se pretender ver como os controlos são implementados na prática, leia a nossa página de Segurança de Dados ou peça-nos o mapa de processamento para o seu país antes de se comprometer com o que quer que seja.