# Checklist PDPL e EAU para Voice AI Agents | Grow50X | Grow50X.ai - URL: https://grow50x.ai/pt/blog/pdpl-decreto-45-checklist-agente-voz-ia - Language: pt - Summary: Checklist para Voice AI Agents na Arábia Saudita e EAU: conformidade PDPL, consentimento, gravação, residência de dados e limites no setor da saúde. --- [Todos os artigos](https://grow50x.ai/pt/blog) # PDPL e Decreto-Lei 45 dos EAU: A Checklist de Conformidade Antes de Ativar um Voice AI Agent 9 min August 25, 2026 ![Cadeado e escudo dourados sobre uma forma de onda de áudio dourada num fundo azul marinho profundo] ## TL;DR Antes do lançamento, resolva seis pontos: uma base legal e consentimento gravado, um aviso de gravação por voz, onde o áudio é processado e armazenado, quanto tempo as transcrições são mantidas, um acordo de processamento com o seu fornecedor e limites claros para setores sensíveis, como a saúde. ## Por que motivo esta é uma questão de dados, e não de TI Um Voice AI Agent não é um sistema telefónico com uma saudação mais simpática. Ele capta áudio, converte-o em texto, extrai detalhes pessoais, escreve-os num CRM e, muitas vezes, aciona mensagens de acompanhamento. Isto significa que cada chamada cria dados pessoais sobre um indivíduo identificável. Na Arábia Saudita, isso enquadra-se na PDPL, supervisionada pela SDAIA. Nos EAU, enquadra-se no Decreto-Lei Federal 45 de 2021, com regras setoriais adicionais em zonas francas como o DIFC e o ADGM. Ambos os quadros regulamentares assentam nas mesmas ideias: uma base legal, transparência, limitação de finalidade, minimização, limites de retenção e responsabilização de quem processa os dados em seu nome. A boa notícia: um Voice AI Agent bem concebido é, normalmente, mais fácil de provar do que um call center humano, pois cada interação é registada, consistente e auditável. ## 1. Base legal e consentimento que pode apresentar a pedido Decida, por escrito, o motivo pelo qual processa cada tipo de dados e com que base. - Marcar uma consulta a pedido de um cliente é simples e, geralmente, baseia-se na prestação do serviço. - Gravar a chamada, guardar a transcrição e, mais tarde, enviar marketing a essa pessoa são finalidades distintas que, normalmente, requerem o seu próprio consentimento. - O consentimento deve ser informado, específico e revogável, e tem de ser capaz de demonstrar quando e como foi dado. Implementação prática: obtenha o consentimento no ponto de contacto — o formulário web, o anúncio clique para o WhatsApp, o formulário na clínica — com um carimbo de data/hora guardado no registo do contacto e uma opção de exclusão (opt-out) de uma só palavra que funcione permanentemente. ## 2. Um aviso de gravação que quem liga efetivamente ouve Se as chamadas são gravadas, informe-o logo no início, no idioma de quem liga, antes de se discutir qualquer assunto sensível. Duas regras que aplicamos por defeito: - O aviso é a primeira coisa a ser dita na saudação, em árabe e em inglês, e não escondido depois de um menu. - Se quem liga se opuser, o agente pode continuar sem guardar a gravação ou transferir a chamada para um humano. Uma transcrição sem aviso prévio é um passivo. Uma transcrição com um aviso claro é um ativo — é a forma de provar o que foi prometido numa chamada. ## 3. Onde o áudio é processado e armazenado Esta é a questão a que a maioria dos fornecedores responde de forma vaga, e a primeira que os reguladores e compradores empresariais colocam. Peça-o por escrito: em que país a voz é reconhecida, onde o áudio é armazenado, onde ficam as transcrições, quais os subprocessadores que tocam nos dados e se alguma coisa sai do país. Para os clientes no Reino e nos EAU, processamos as chamadas de voz, gravações e transcrições em infraestruturas dentro do respetivo país, e mantemos os dados de CRM e de automação numa infraestrutura na cloud encriptada, sob salvaguardas de transferência aprovadas. A descrição completa encontra-se na nossa [página de Segurança de Dados](https://grow50x.ai/pt/security). Se um fornecedor não lhe conseguir desenhar esse mapa numa só página, encare a resposta como um não. Veja exatamente onde o áudio das chamadas, as transcrições e os dados do CRM são processados e armazenados. [Leia a nossa página de Segurança de Dados](https://grow50x.ai/pt/security) ## 4. Minimização e retenção, decididas antes do lançamento Duas configurações evitam a maioria dos problemas futuros. **Recolha menos.** Para quase todas as empresas, o agente precisa de um nome, um número de contacto, um e-mail e do que o cliente pretende. Não necessita de números de identificação (Emirates ID ou Iqama), dados do cartão ou histórico clínico — por isso, configure-o para nunca os solicitar e para os ocultar (redaction) caso quem liga os forneça voluntariamente. **Mantenha os dados por um período definido.** Defina uma janela de retenção explícita para o áudio e outra separada para as transcrições e notas do CRM, associada a uma justificação de negócio, como a resolução de litígios ou a contabilidade. Em seguida, automatize a eliminação. "Guardamos tudo para sempre, por via das dúvidas" é a descoberta mais comum em qualquer auditoria — e a menos defensável. ## 5. Contratos com quem processa dados por si A sua empresa continua a ser a responsável pelos dados (controller) dos seus clientes. O fornecedor é um processador (processor) e essa relação tem de ser documentada: - Um acordo de processamento de dados que cubra a finalidade, o âmbito, as medidas de segurança, os subprocessadores, os prazos de notificação de violações, os direitos de auditoria e a eliminação após o término do contrato. - Cláusulas contratuais-tipo ou uma salvaguarda equivalente para qualquer fluxo transfronteiriço. - Um contacto designado para os pedidos dos titulares dos dados — acesso, correção, eliminação — e um nível de serviço (SLA) interno para lhes dar resposta. Exija estes elementos antes de assinar, e não após o seu primeiro incidente. ## 6. Os setores sensíveis necessitam de limites mais rigorosos O setor da saúde é onde a maioria dos projetos falha, e onde a solução é simples: separe a aquisição dos registos. Use o agente de IA para captar novas questões de pacientes, confirmar a identidade de forma mínima, fazer marcações e enviar lembretes. Mantenha os dados clínicos no próprio EMR ou EHR do hospital ou clínica, e não os espelhe na stack de marketing. Os diagnósticos, os resultados e o histórico de tratamentos mantêm-se dentro do sistema médico. Uma lógica semelhante aplica-se aos serviços financeiros e jurídicos: o agente qualifica, agenda e encaminha; o registo regulamentado permanece no sistema regulamentado. As nossas páginas de [Setores](https://grow50x.ai/pt/industries) descrevem como esta separação é configurada por indústria. ## A checklist de pré-lançamento Imprima esta lista e faça um visto antes de o seu agente atender uma chamada real. - Finalidades documentadas e base legal para cada tipo de dados - Consentimento obtido com carimbo de data/hora e uma opção de exclusão (opt-out) funcional - Aviso de gravação na saudação, em árabe e em inglês - Mapa escrito dos locais de processamento e armazenamento, além dos subprocessadores - Campos que o agente nunca deve recolher, com a ocultação (redaction) configurada - Janelas de retenção definidas para áudio, transcrições e notas no CRM, com eliminação automática - Acordo de processamento de dados assinado e salvaguardas de transferência - Responsável designado para os pedidos dos titulares de dados, com um prazo de resposta - Processo para violações de dados, incluindo quem é informado e com que rapidez - Fronteira de setor sensível definida, especialmente a separação do EMR ou EHR Nada disto atrasa um lançamento em mais do que alguns dias. Mas é o que decide se o seu canal de IA sobrevive à primeira pergunta séria de um regulador, de uma equipa de compras de um hospital ou de um cliente que simplesmente pergunte para onde foi a sua gravação. ## Isto é um guia, não um aconselhamento jurídico A regulamentação evolui e as regras setoriais diferem, especialmente dentro das zonas francas financeiras e no setor da saúde. Utilize esta checklist para estruturar a conversa com o seu próprio consultor jurídico e com qualquer fornecedor que esteja a avaliar — incluindo nós. Se pretender ver como os controlos são implementados na prática, leia a nossa página de [Segurança de Dados](https://grow50x.ai/pt/security) ou peça-nos o mapa de processamento para o seu país antes de se comprometer com o que quer que seja. ## FAQ ### Um Voice AI Agent está em conformidade com a PDPL da Arábia Saudita? ### Tenho de informar quem liga de que a chamada está a ser gravada? ### Onde são processados os dados de voz dos clientes dos EAU e da Arábia Saudita? ### Por quanto tempo devem ser mantidas as gravações de chamadas? ### As clínicas podem utilizar um Voice AI Agent para os pacientes? ### É necessário um acordo de processamento de dados? Peça-nos o mapa de processamento e o acordo de processamento de dados para o seu país antes de se comprometer. [Fale connosco](https://grow50x.ai/pt/contact) ## Fontes - [SDAIA — Personal Data Protection Law (Saudi Arabia)](https://sdaia.gov.sa/en/SDAIA/about/Documents/Personal%20Data%20English%20V2-23April2023-%20Reviewed-.pdf) - [UAE Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data](https://u.ae/en/about-the-uae/digital-uae/data/data-protection-laws)