Que dados uma chamada deixa (são mais do que você imagina)
Quando você pensa em uma chamada empresarial, provavelmente imagina apenas o áudio. Na verdade, uma chamada que passa por um PABX em nuvem gera várias camadas de informação:
- A gravação: a voz do cliente e do seu atendente, com tudo o que foi dito. Pode incluir nomes, números de documento, endereços ou, em setores como a saúde, informações muito delicadas.
- O registro da chamada (CDR): quem ligou, para qual número, a que horas, quanto durou e qual atendente atendeu. Mesmo sem áudio, diz muito sobre uma pessoa.
- As transcrições e resumos: se você usa agentes de voz com inteligência artificial ou análise de conversas, o áudio se transforma em texto que pode ser pesquisado, copiado e compartilhado com facilidade.
- Os dados do cliente: a ficha no seu CRM, as anotações do atendente, o histórico de compras ou pagamentos associado a cada contato.
Na Colômbia, tudo o que permite identificar uma pessoa é um dado pessoal, e a voz é um deles. Por isso essas camadas estão cobertas pelo regime de proteção de dados.
Onde ficam armazenados e por que isso deveria importar para você
“Está na nuvem” não é uma resposta completa. Por trás existem servidores físicos em um país concreto, administrados por pessoas concretas. Estas são as perguntas que realmente importam:
- País de armazenamento: se os dados saem da Colômbia, você entra no terreno da transferência ou transmissão internacional, que tem regras próprias.
- Criptografia em trânsito: a chamada e os arquivos devem trafegar protegidos entre o telefone, o PABX e o armazenamento, para que ninguém os intercepte pelo caminho.
- Criptografia em repouso: as gravações armazenadas devem estar criptografadas, de modo que uma cópia roubada do disco não sirva para nada sem as chaves.
- Cópias de segurança: os backups também são dados pessoais. Se você apaga uma gravação do sistema principal, mas ela continua viva em um backup por anos, ela não foi apagada de verdade.
- Quem tem acesso: sua equipe, o fornecedor, os subcontratados do fornecedor. Cada acesso deveria ser justificado e ficar registrado.
- Por quanto tempo são guardadas: guardar “por via das dúvidas” e para sempre aumenta o risco sem agregar valor.
O que a lei exige na Colômbia
O marco principal é a Ley 1581 de 2012 (a lei colombiana de proteção de dados pessoais) e sua regulamentação, o Decreto 1377 de 2013, hoje compilado no Decreto 1074 de 2015. Em outubro de 2026 a Ley 1581 continua vigente; no Congresso foram apresentadas iniciativas para modernizá-la, mas enquanto não concluírem sua tramitação, estas são as regras que se aplicam:
- Autorização prévia e informada: você precisa da permissão do titular no máximo no momento da coleta do dado e deve poder comprová-la depois. Ela pode ser dada por escrito, de forma oral ou por uma conduta inequívoca, mas o silêncio nunca conta como aceitação.
- Aviso de gravação e finalidade: a pessoa deve saber que está sendo gravada e para quê: qualidade, comprovação de uma venda, cumprimento contratual. Se depois você quiser usar as gravações para outro fim, como treinar um modelo de IA, precisa de uma nova autorização.
- Dados sensíveis: a informação de saúde é sensível. Seu tratamento exige autorização explícita, e você deve avisar que responder sobre esses dados é opcional.
- Direitos dos titulares: seus clientes podem conhecer, atualizar, retificar e pedir a exclusão de seus dados, solicitar prova da autorização e reclamar perante a Superintendencia de Industria y Comercio (SIC). As reclamações têm prazos de resposta definidos na lei.
- Retenção limitada: os dados só são conservados pelo tempo razoável e necessário para a finalidade, levando em conta obrigações legais, contábeis ou contratuais. Cumprida a finalidade, eles são excluídos.
- Política de tratamento: você deve ter uma política de tratamento de dados escrita em linguagem clara e à disposição dos titulares.
- Dados fora do país: a lei proíbe transferir dados para países sem um nível adequado de proteção, salvo exceções (como a autorização expressa do titular). Quando o fornecedor estrangeiro apenas trata os dados por sua conta, como operador (“encargado”), o Decreto 1377 permite fazê-lo com um contrato de transmissão que fixe suas obrigações de segurança e confidencialidade.
- Registro Nacional de Bases de Datos (RNBD): segundo o Decreto 090 de 2018, devem se inscrever perante a SIC as sociedades e entidades sem fins lucrativos com ativos totais superiores a 100.000 UVT, e as entidades públicas. Se sua empresa não atinge esse limite, ainda assim deve cumprir todos os demais deveres.
A lei também autoriza a SIC a impor sanções, que incluem multas de até 2.000 salários mínimos mensais e a suspensão de atividades. E se você usa inteligência artificial nas suas chamadas, leve em conta a Circular Externa 002 de 2024 da SIC, que pede avaliar riscos e, quando o risco é alto, realizar um estudo de impacto de privacidade.
Se você também opera no Equador ou no Peru
Os dois países têm regras próprias, então não basta cumprir a lei colombiana:
- Equador: a Ley Orgánica de Protección de Datos Personales foi publicada no Registro Oficial em maio de 2021 e seu regime sancionatório vigora desde maio de 2023. Seu Regulamento Geral foi expedido pelo Decreto Ejecutivo 904 e publicado em novembro de 2023. Aplica-se inclusive a empresas estrangeiras que tratem dados de pessoas no Equador.
- Peru: a Ley 29733 conta com um novo regulamento, aprovado pelo Decreto Supremo 016-2024-JUS, vigente desde 30 de março de 2025. Entre suas novidades está a obrigação de notificar incidentes de segurança à autoridade em no máximo 48 horas e de designar um encarregado de dados pessoais em certos casos, por exemplo quando se tratam grandes volumes de dados ou dados sensíveis como atividade principal.
Por exemplo: uma clínica que grava suas chamadas
Imagine uma clínica em Medellín que agenda consultas por telefone e grava todas as chamadas. Nelas, os pacientes mencionam sintomas, medicamentos e diagnósticos: dados sensíveis. Isto é o que ela deveria ter em ordem:
- Uma mensagem no início da chamada dizendo que ela é gravada, para quê e onde consultar a política de dados.
- Autorização explícita para tratar dados de saúde, guardada de forma que possa ser comprovada.
- Uma regra de retenção clara: por exemplo, conservar as gravações de agendamento apenas pelo tempo necessário para atender reclamações e apagá-las depois, inclusive dos backups.
- Acesso por função: a recepcionista vê sua agenda, o coordenador de qualidade escuta amostras e ninguém mais baixa áudios sem deixar rastro.
- Um contrato com seu fornecedor de telefonia em nuvem que diga em que país estão os servidores, como os arquivos são criptografados e o que acontece com os dados se a relação terminar.
Uma empresa de cobrança teria um caso parecido, com um detalhe extra: além da proteção de dados, deve respeitar as regras de contato com devedores da Ley 2300 de 2023.
Boas práticas que você pode aplicar já
- Aviso no início de cada chamada: curto, claro e com a finalidade. Faça o mesmo nas chamadas de saída e nas atendidas por agentes de voz com IA.
- Política de retenção por tipo de chamada: vendas, suporte e cobrança não precisam do mesmo prazo. Defina cada um e automatize a exclusão.
- Acessos por função e registro de auditoria: que cada pessoa veja apenas o que precisa e que fique registrado quem ouviu ou baixou o quê.
- Criptografia de ponta a ponta: em trânsito e em repouso, incluindo backups e exportações.
- Contratos com seu fornecedor: um contrato de transmissão de dados que defina país de armazenamento, medidas de segurança, subcontratados e devolução ou exclusão ao término.
- Referências de segurança: a norma ISO/IEC 27001:2022 descreve como montar um sistema de gestão de segurança da informação baseado em riscos. Que seu fornecedor a conheça ou seja certificado é um bom sinal, embora não substitua suas próprias obrigações.
O que perguntar ao seu fornecedor de telefonia em nuvem
Antes de contratar um PABX em nuvem ou uma plataforma de call center, peça respostas por escrito a estas perguntas:
- Em que país e em que data center ficam as gravações, os registros e as transcrições?
- Eles são criptografados em trânsito e em repouso? Quem administra as chaves?
- Onde estão os backups e por quanto tempo são mantidos?
- Posso configurar prazos de retenção e exclusão automática?
- Que pessoal do fornecedor pode acessar meus dados, e isso fica registrado?
- Vocês usam subcontratados ou serviços de IA de terceiros que processem meus áudios?
- Vocês assinam um contrato de transmissão de dados conforme a lei colombiana?
- Como serei avisado se houver um incidente de segurança?
- O que acontece com meus dados se eu cancelar o serviço?
Na 19 80 TIC Cloud acreditamos que essas perguntas deveriam ter respostas claras desde o primeiro dia; se quiser revisar o seu caso, você pode nos escrever.
Este artigo é informação geral e não constitui assessoria jurídica. Para decisões concretas, consulte um advogado especialista em proteção de dados.
