Pedir reviews por WhatsApp sem violar o RGPD: guia 2026

Porque é que pedir reviews por WhatsApp é marketing direto

A Diretriz n.º 2022/1 da CNPD sobre comunicações eletrónicas de marketing direto define marketing direto como qualquer comunicação comercial dirigida a uma pessoa identificada ou identificável, com vista a promover bens, serviços ou a relação com o destinatário.

Pedir uma review ao cliente é uma comunicação dirigida a melhorar a posição comercial do negócio — o ranking local, a confiança de futuros compradores, a probabilidade de novas vendas. Cai dentro do conceito de marketing direto. O facto de a mensagem não conter desconto nem promoção explícita não muda o enquadramento jurídico.

Os dois quadros legais aplicáveis

Em Portugal, o pedido de review por WhatsApp está sob duas leis em cumulação:

1. RGPD (Regulamento UE 2016/679)

Aplica-se a todo o tratamento de dados pessoais. O número de telemóvel do cliente é dado pessoal. Enviá-lo para uma plataforma terceira (WhatsApp Business API ou ferramenta de gestão), guardá-lo, processá-lo, são todos atos de tratamento sujeitos ao RGPD.

2. Lei n.º 41/2004 (Privacidade nas Comunicações Eletrónicas)

Aplica-se especificamente a comunicações eletrónicas — SMS, e-mail, WhatsApp incluído — quando têm finalidade comercial. O artigo 13.º-A regula o consentimento prévio e o direito de oposição.

Estes dois regimes, em conjunto, ditam o que pode e o que não pode ser feito.

Quais as bases jurídicas aceitáveis

O envio de mensagem comercial por WhatsApp pode assentar em duas bases jurídicas alternativas previstas no RGPD e na Lei 41/2004:

Consentimento expresso

O cliente diz, claramente e por sua iniciativa, que aceita receber comunicações comerciais. O consentimento tem de ser:

• Livre — não condicionado à prestação do serviço principal
• Específico — para a finalidade concreta (ex.: pedido de avaliação no Google)
• Informado — com identificação do responsável e da finalidade
• Inequívoco — através de ato afirmativo (caixa selecionada ativamente, sim escrito)
• Documentado — em caso de fiscalização ou queixa, é o responsável que tem de provar a existência do consentimento

Interesse legítimo (com regra "soft opt-in")

O artigo 13.º-A da Lei 41/2004 prevê uma exceção: relações pré-existentes com clientes em que tenha sido obtido o contacto no âmbito da venda ou prestação de serviços. Nesse caso, é possível enviar comunicações sobre produtos ou serviços análogos ao adquirido, desde que o cliente não tenha manifestado oposição e tenha sido informado, no momento da recolha, do direito de se opor a essa utilização.

Aplicado ao pedido de review: se o cliente comprou ou usou o serviço, o interesse legítimo pode cobrir a mensagem desde que tenha sido informado, no momento da venda, da finalidade. Não cobre bases de dados antigas onde nunca foi prestada essa informação.

Os 5 erros mais comuns que tornam o pedido ilegal

1. Importar listas de contactos antigas para uma ferramenta de envio em massa. Se nunca informou o cliente da finalidade no momento em que recolheu o número, está a tratar dados sem base. A simples existência do contacto não autoriza envio comercial.

2. Usar listas adquiridas a terceiros. Listas de contactos compradas raramente cumprem os requisitos de consentimento informado. Em fiscalização, a CNPD exige prova da origem do consentimento — quem comprou a lista nunca a tem.

3. Não permitir opt-out fácil. Toda a comunicação comercial tem de incluir, de forma clara, a possibilidade de o destinatário se opor a futuras comunicações. "Responda STOP" ou "Se não pretende receber, escreva NÃO" — sempre.

4. Misturar finalidades. Pedir um review e ao mesmo tempo promover novo serviço é juntar duas finalidades distintas. Cada finalidade exige base jurídica autónoma. Mistura cria risco.

5. Não respeitar o opt-out. Se o cliente disse "não quero", manter o número numa nova campanha 6 meses depois é violação grave. O sistema tem de garantir bloqueio permanente.

O modelo de pedido por WhatsApp que cumpre a lei

O modelo abaixo cumpre os três requisitos: identificação do remetente, finalidade clara, opt-out simples.

Pontos críticos do modelo:

• Identificação clara do remetente — "aqui é a [Empresa]" cumpre o requisito do artigo 13.º da Lei 41/2004
• Finalidade explícita — pedido de avaliação, sem mistura
• Opt-out fácil — palavra única que o cliente pode responder. STOP, NÃO, SAIR — qualquer palavra que o sistema reconheça como pedido de exclusão
• Sem promoção encoberta — não anexa desconto nem oferta de produto

Quando enviar — momento e número de tentativas

A boa prática profissional, alinhada com o que a Diretriz CNPD considera proporcional:

• Janela: entre 24 horas e 7 dias após a prestação do serviço. Mais cedo é prematuro; mais tarde é irrelevante
• Máximo de 2 tentativas — o pedido inicial e, se não houver resposta, um lembrete cordial 5-7 dias depois
• Nunca insistir — terceiro contacto sobre o mesmo pedido é hostigamiento e justifica queixa à CNPD
• Não enviar a clientes que reclamaram — quem deixou queixa por outro canal não deve receber pedido de review; cria risco reputacional e evidencia má leitura da relação

Retenção: quanto tempo posso guardar o número

O princípio da limitação da conservação (RGPD, artigo 5.º, n.º 1, alínea e) obriga a guardar dados apenas pelo tempo necessário à finalidade. Para pedidos de review:

• Se o cliente respondeu (positivamente, negativamente ou com opt-out) — guardar a interação enquanto for útil para gestão da relação comercial, conforme política definida
• Se o cliente não respondeu após o segundo contacto — eliminar do circuito de pedidos de review ou marcar como "não interessado" por defeito
• Em qualquer caso, ter política de retenção escrita e cumpri-la

WhatsApp Business API vs número pessoal

Há uma diferença material entre enviar pelo número pessoal do gerente e enviar pela WhatsApp Business API integrada com plataforma profissional:

Número pessoal / WhatsApp Business app

• Sem template aprovado pela Meta — risco de bloqueio do número por reportes de spam
• Difícil documentar consentimentos e opt-outs de forma estruturada
• Difícil cumprir o princípio da minimização (responsável tem acesso ao histórico todo)
• Não escala — depois de 50-100 envios/dia, o número fica em risco

WhatsApp Business API

• Templates aprovados pela Meta — categorias utility, marketing, authentication; o pedido de review entra em marketing
• Estrutura própria para gerir consentimentos, opt-outs, retenção
• Logs auditáveis em caso de fiscalização CNPD
• Custo por mensagem mas escalável

Em 2026, com a CNPD a fiscalizar mais ativamente este canal, recomendamos a transição para WhatsApp Business API logo que o volume justifique. Não pelo custo, mas pela rastreabilidade.

Cumprir o RGPD não é uma maçada burocrática — é, hoje, uma vantagem competitiva. Negócios que tratam dados com cuidado têm taxa de resposta a reviews mais alta, porque os clientes confiam mais.

Como o RepFlow trata isto

O RepFlow foi desenhado para que o pedido de review por WhatsApp seja, por defeito, conforme:

• Templates pré-aprovados que cumprem os requisitos de identificação, finalidade e opt-out
• Registo automático de consentimentos, lembretes e opt-outs
• Bloqueio automático de números que pediram para sair
• Política de retenção configurável por defeito
• Logs auditáveis exportáveis para resposta a pedido de fiscalização
• Limites configuráveis (máximo 2 tentativas, intervalo mínimo entre envios)