LGPD na resposta pública: o que a unidade não pode citar

Responder uma avaliação pública exige mais cuidado do que atender uma reclamação por telefone ou WhatsApp. A mensagem publicada pode expor dados do cliente, confirmar atendimentos e gerar risco para a unidade, para o franqueado e para a franqueadora.

Por que uma resposta pública entra na LGPD

A LGPD, Lei 13.709/2018, se aplica ao tratamento de dados pessoais realizado por pessoas físicas ou jurídicas, em meio físico ou digital. Tratamento é um conceito amplo: inclui coletar, usar, consultar, compartilhar, armazenar e divulgar informações.

Ao responder uma avaliação no Google ou em outra plataforma, a unidade pode estar usando dados do consumidor para identificá-lo, confirmar uma relação comercial ou explicar o ocorrido. Por isso, a lgpd resposta avaliação google não é apenas uma questão de educação no atendimento. É uma rotina de proteção de dados.

Para aprofundar: Rotina de resposta do multifranqueado.

Mesmo quando o cliente publicou a crítica voluntariamente, a empresa não ganha liberdade para revelar informações internas. O texto da avaliação pode ser público, mas o cadastro, o histórico de compra, a ficha de atendimento e os registros de conversa continuam sujeitos à LGPD.

A regra curta para treinar lojas é esta: a unidade pode reconhecer a manifestação e convidar o cliente a continuar o atendimento em canal privado, mas não deve confirmar nem detalhar a relação de consumo em público.

O que não deve entrar na resposta pública

A resposta deve ser útil sem reproduzir dados que só a empresa conhece. Se for necessário investigar o caso, a unidade deve pedir que o cliente entre em contato por canal privado, com uma referência segura, como telefone oficial, e-mail corporativo ou formulário.

Evite publicar:

Procedimento realizado ou contratado.
Diagnóstico, queixa de saúde, condição física ou tratamento.
Valor pago, desconto concedido, saldo ou cobrança.
Forma de pagamento, parcelamento, cartão ou PIX.
Telefone, e-mail, endereço ou CPF.
Nome completo do cliente.
Data e horário do atendimento.
Número de pedido, matrícula, prontuário, contrato ou ficha.
Imagens, gravações ou trechos de conversas privadas.
Informações sobre acompanhantes, crianças, familiares ou responsáveis.

A lista vale também para respostas aparentemente positivas. A frase “Ficamos felizes que sua sessão de depilação tenha dado certo” confirma um serviço de estética. “Esperamos que sua recuperação após o tratamento melhore” pode confirmar uma informação de saúde. “Conferimos que seu pagamento foi aprovado” revela dado financeiro.

Em redes de estética, clínicas, academias, óticas e negócios ligados ao bem-estar, esse cuidado precisa ser ainda maior. Um comentário sobre lesão, emagrecimento, alergia, gravidez, visão ou tratamento pode revelar informação protegida como dado pessoal sensível.

Situação	Resposta de risco	Alternativa mais segura
Cliente reclama de atraso	“Seu atendimento das 14h atrasou por causa da profissional.”	“Sentimos que sua experiência não tenha correspondido ao esperado. Fale conosco pelo canal oficial para verificarmos o caso.”
Cliente cita procedimento estético	“Sua aplicação foi refeita conforme combinado.”	“Queremos entender melhor sua experiência e ajudar. Por favor, contate nossa unidade pelo canal privado.”
Cliente reclama de cobrança	“Seu cartão foi estornado ontem.”	“Nossa equipe pode verificar a situação diretamente com você em canal privado.”
Cliente elogia atendimento	“Obrigada, Maria Silva, por confiar seu filho à nossa escola.”	“Agradecemos sua avaliação e esperamos recebê-lo novamente.”

Dado pessoal sensível: atenção redobrada em saúde e estética

A Lei 13.709/2018, no art. 5, II, classifica como dado pessoal sensível informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Na prática, dado pessoal sensível saúde lgpd é um tema que alcança mais negócios do que clínicas médicas. Uma academia pode manter informações sobre limitações físicas. Uma ótica pode registrar dados relacionados à visão. Uma unidade de estética pode conhecer alergias, condições de pele, gravidez ou procedimentos realizados.

O erro comum é achar que apenas o diagnóstico médico é sensível. A confirmação de que alguém fez determinado tratamento, tomou uma medicação, realizou exame ou buscou um serviço ligado à saúde também pode expor sua intimidade.

Frases que devem ser evitadas:

“Seu resultado depende do tratamento hormonal informado na consulta.”
“Sua alergia foi registrada pela profissional.”
“A paciente faltou ao retorno pós-procedimento.”
“Confirmamos que a lente prescrita está pronta.”
“Seu filho tem restrições de saúde, por isso adaptamos a aula.”

Ainda que o próprio cliente mencione esses fatos na avaliação, a empresa deve evitar confirmar, complementar ou corrigir a informação em público. A resposta deve deslocar a conversa para um canal privado, com acesso restrito à equipe responsável.

Posso citar nome do cliente na resposta?

Em geral, não é necessário. A pergunta “posso citar nome do cliente na resposta” aparece muito em treinamentos de atendimento porque algumas unidades acreditam que usar o nome torna a mensagem mais próxima. Porém, o nome é dado pessoal, e a publicação não costuma exigir essa identificação.

Se o consumidor usa nome completo no perfil público, isso não autoriza a unidade a reproduzir o nome, associá-lo ao cadastro interno ou acrescentar detalhes sobre a relação comercial. Menos ainda autoriza citar nome de filho, acompanhante, responsável financeiro ou funcionário envolvido.

A opção mais prudente é usar uma saudação neutra: “Olá”, “Agradecemos seu relato” ou “Sentimos por sua experiência”. Se a marca decidir usar o primeiro nome visível no perfil, a regra deve ser restrita, sem sobrenome, sem confirmação de atendimento e sem qualquer detalhe adicional.

Também vale revisar respostas automáticas. Um modelo que puxa nome, unidade, serviço ou data de agendamento pode transformar uma interação simples em divulgação indevida de dados.

Controlador e operador: quem responde na rede

Para a LGPD, controlador é quem toma as decisões principais sobre o tratamento de dados pessoais, como finalidade e meios de uso. Operador é quem trata dados em nome do controlador, seguindo suas instruções.

Para aplicar essa regra em todas as lojas, veja a checagem de dado pessoal do Notaviva.

Em uma rede, os papéis dependem do contrato de franquia, da operação real e das ferramentas usadas. Não existe uma resposta única para toda franquia. O franqueado pode ser controlador dos dados de sua unidade, enquanto a franqueadora atua como controladora em atividades de marketing nacional, padrões de rede ou sistemas que administra.

Uma plataforma que organiza avaliações e sugere respostas pode atuar como operadora em determinadas atividades, desde que trate os dados conforme instruções do controlador. Mas essa classificação não deve ser presumida apenas pelo nome comercial do serviço.

O importante é documentar o arranjo. Para uma política de lgpd para franquias funcionar, franqueadora e franqueados precisam definir por escrito:

Quem acessa os perfis de avaliação e os cadastros dos clientes.
Quem aprova os textos e quem efetivamente publica.
Quais dados podem aparecer nos painéis e relatórios.
Como a unidade encaminha um pedido de acesso, correção ou eliminação de dados.
Como a rede comunica incidentes, acessos indevidos ou publicação equivocada.
Por quanto tempo ficam guardados os históricos de resposta.

Esse material pode estar no contrato, em aditivo, política interna, manual operacional ou acordo específico com fornecedores. O ponto não é criar burocracia desnecessária, mas deixar claro quem decide, quem executa e quem deve agir quando algo dá errado.

Convite para avaliação: finalidade e base legal

Coletar ou usar o contato do cliente para convidá-lo a avaliar também é tratamento de dados. Antes de disparar uma mensagem, a unidade deve definir a finalidade: solicitar uma avaliação sobre atendimento realizado, melhorar o serviço e acompanhar a reputação da unidade.

A base legal precisa ser analisada de acordo com o contexto. O consentimento pode ser adotado quando o cliente escolhe receber esse tipo de convite. Em algumas operações, a empresa pode avaliar o legítimo interesse, desde que faça essa análise com cuidado, informe o cliente de forma clara e ofereça meio simples de não receber novas mensagens.

O convite não deve ser escondido em texto genérico. A unidade precisa informar qual canal será usado, qual é a finalidade e como o cliente pode recusar mensagens futuras. Não use uma lista de contatos obtida para cobrança, agendamento ou entrega sem revisar se esse novo uso é compatível com o que foi informado.

Também é inadequado condicionar desconto, brinde ou solução de reclamação à publicação de avaliação positiva. Além de pressionar o consumidor, isso torna a prática difícil de defender diante da plataforma e da própria política de privacidade da rede.

Leitura complementar: Checklist de perfil para unidade nova.

Como criar uma regra que as lojas consigam cumprir

A implantação não exige um projeto longo, mas requer definição central e repetição no dia a dia. A franqueadora ou o multifranqueado deve criar um guia de uma página, com exemplos aprovados e proibidos, e treinar quem responde avaliações.

O esforço inicial costuma envolver revisar modelos existentes, definir responsáveis e ajustar permissões de acesso. Depois, a rotina é mais simples: responder com texto padronizado, registrar tratativas privadas no sistema adequado e revisar casos sensíveis antes da publicação.

Use este fluxo:

Leia a avaliação e identifique se há dado de saúde, pagamento, criança, conflito ou acusação grave.
Não copie informações do cadastro para a resposta pública.
Publique uma mensagem curta, respeitosa e sem confirmação de atendimento.
Convide o cliente para um canal privado oficial.
Registre internamente o caso, a unidade envolvida e a providência adotada.
Escale para jurídico, encarregado de dados ou gestão da rede quando houver exposição de dado sensível, ameaça, fraude ou possível incidente.

Quando uma resposta já foi publicada com dados indevidos, o primeiro passo é editar ou remover o conteúdo o quanto antes, se a plataforma permitir. Em seguida, registre o ocorrido, avalie quem teve acesso, preserve evidências e siga o procedimento interno para correção e eventual comunicação necessária.

Conclusão

Responder avaliações com segurança significa separar acolhimento público de apuração privada. A unidade não precisa discutir procedimento, pagamento, agenda ou condição de saúde para demonstrar que está disposta a resolver o problema.

O Notaviva reúne as avaliações da rede em uma caixa de entrada única, mantém histórico e permite trabalhar textos sugeridos no tom aprovado pela marca. Para estruturar uma rotina de respostas com mais controle entre unidades, peça uma demonstração.

Este conteúdo é assinado por Jimenez Julien, editor do Notaviva.