Sigilo de conversas no WhatsApp da empresa: como o financeiro fala com o cliente sem a equipe inteira ler

Quando o WhatsApp da empresa sai do celular e vai para um inbox compartilhado, aparece um problema que o celular nunca teve: todo mundo vê tudo. O estagiário do marketing lê a negociação de uma mensalidade atrasada. A secretaria vê a conversa do RH com um candidato. O vendedor abre, sem querer, um caso jurídico.

Foi exatamente a pergunta de uma coordenadora de marketing de um colégio, no meio da implantação do Columba: "o ideal é os outros setores não terem acesso às conversas do financeiro. Tem como?" Não tinha. Dois dias depois, tinha. Este artigo explica como o sigilo por time funciona, o que ele garante, o que não garante — e como aquele colégio usa.

A ideia: a conversa fica no mesmo lugar, muda quem enxerga

O sigilo não tira a conversa do Chat nem cria um segundo sistema. Ele é uma transferência para um time com um cadeado: a partir daquele momento, só quem faz parte do time (Financeiro, RH, Jurídico…) lê e responde.

O que foi dito antes da transferência continua visível para toda a equipe — era um atendimento comum. O que foi dito depois fica só com o time, e continua assim mesmo quando a conversa volta ao atendimento geral ou reabre semanas depois.

Por dentro: o sigilo é da sessão, não da conversa

Aqui está a decisão de projeto que faz a diferença. Toda conversa no Columba é dividida em sessões de atendimento — a pessoa escreve, alguém atende, encerra; ela volta semana que vem, abre outra sessão. Cada mensagem pertence a uma sessão.

Transferir com sigilo encerra a sessão atual e abre uma nova, marcada como sigilosa para aquele time. A regra de acesso vale por sessão:

Situação	O que a pessoa vê
Sessão pública (antes do sigilo)	Tudo, como sempre
Sessão sigilosa, pessoa não é do time	Nada daquela sessão — as mensagens são removidas da resposta, não só escondidas
Sessão sigilosa, pessoa é do time ou tem Ver tudo	Tudo, com as ações normais

Por isso o histórico fica protegido de forma permanente, e não só "enquanto está com o financeiro": mesmo quando a conversa volta ao geral, a sessão sigilosa antiga continua fechada para quem não era do time. E por isso um atendente que assumiu a conversa antes não ganha acesso ao que veio depois — o sigilo não é de quem atendeu, é do time.

Uma única função no servidor decide o acesso (escondida, bloqueada ou completa) e é usada por todos os caminhos: lista de conversas, busca, contadores, detalhe, mensagens, sessões, envio, atribuição, encerramento e as notificações em tempo real. Quem não pode ler, também não recebe o aviso de "nova mensagem" pelo WebSocket. Um leitor novo de mensagens que não passe por essa função é bug de revisão, não decisão.

O que quem está de fora vê

Transparência importa: a equipe precisa saber que a conversa existe sem ler o conteúdo.

• Na lista, a conversa aparece com cadeado, o nome do time e o responsável — sem prévia da última mensagem e sem contador de não lidas;
• Ao abrir, a pessoa vê só as sessões públicas anteriores e um aviso de atendimento sigiloso. Não consegue responder, atribuir nem encerrar;
• O divisor da sessão aparece como Sessão sigilosa · Financeiro, sem contagem de mensagens;
• Avisos em tempo real e notificações de fluxo daquela sessão não chegam para quem não é do time.

Três jeitos de ligar o sigilo

1. Na transferência. Quem tem permissão de atribuir conversas clica em Transferir, escolhe o time e deixa o Sigilo ligado. Pode escolher uma pessoa do time ou deixar na fila; se o time tiver distribuição automática, vai em rodízio.

2. Obrigatório no time. Para não depender de alguém lembrar do cadeado, cada time tem a opção Sigilo obrigatório nas conversas. Ligada no Financeiro, toda transferência para ele nasce sigilosa, imposta pelo servidor — a interface mostra o controle travado, e uma tentativa de transferir "sem sigilo" fica registrada na auditoria.

3. Número exclusivo de um setor. Se o financeiro tem o próprio WhatsApp, marque o conector como Exclusivo de um time: toda conversa daquele número nasce sigilosa, sem transferência, e some da lista de quem não é do time. Combinado com um fluxo que só responde àquele número, o setor ganha uma operação própria dentro da mesma conta.

As automações respeitam a mesma regra: o nó Transferir Humano aceita um time e o sigilo. Um fluxo de triagem pode mandar "3 - Financeiro" direto para uma sessão sigilosa, sem ninguém tocar na conversa.

Devolver ao geral, encerrar, auditar

Quando o assunto sigiloso termina, quem é do time clica em Devolver ao geral: a sessão sigilosa fecha e uma pública nova começa, na fila geral, sem atribuição. Se o atendimento acabou, basta Encerrar — a próxima mensagem do contato reabre a conversa como pública (ou sigilosa, se o número for exclusivo).

Alguém precisa conseguir auditar. A permissão Ver tudo, no grupo Chat, libera a leitura de qualquer sessão sigilosa. Por padrão só o Administrador tem essa permissão; as demais funções, inclusive as personalizadas, nascem sem ela — e ela aparece explicitamente na tela de funções, com o texto "inclusive conversas sigilosas de outros times". Toda transferência e devolução fica no registro de auditoria da conta: quem fez, quando, para qual time, com ou sem sigilo.

O que o sigilo não cobre (e precisa ser dito)

• O sigilo vale dentro do Columba. Um número conectado por QR Code continua visível no aplicativo do celular e no WhatsApp Web de quem tiver o aparelho. Para um setor realmente sigiloso, não opere aquele número pelo celular — ou conecte pela API oficial.
• Quando você libera o Acesso do Suporte, a equipe de suporte da plataforma enxerga a conta inteira, inclusive sessões sigilosas, pelo tempo que você autorizar. Isso está escrito no consentimento.
• A IA de tickets e a base de conhecimento não leem sessões sigilosas. A IA dos fluxos só conduz a sessão que ela mesma está atendendo.
• Uma sessão sigilosa esquecida aberta fica presa ao time; quem tem Ver tudo consegue devolver.

Como o colégio usa

No case do colégio, o WhatsApp da escola recebe assuntos de seis setores no mesmo número, e o fluxo de triagem roteia cada um. O Financeiro tem dois requisitos que os outros setores não têm: só a responsável pode ler, e a conversa não pode aparecer para a secretaria nem para a coordenação.

A configuração que atende isso é curta:

1. Um time Financeiro com a responsável como membro e Sigilo obrigatório nas conversas ligado;
2. No fluxo de triagem, a opção 3 - Financeiro (e o texto livre que a IA classificar como financeiro) vai para o nó Transferir Humano apontando para o time — o sigilo vem imposto pelo time, ninguém precisa lembrar;
3. As funções das demais pessoas sem a permissão Ver tudo, que ficou só com a conta administradora.

O resultado, do ponto de vista da secretaria: a conversa do pai que quer negociar a mensalidade aparece na lista com o cadeado "Financeiro", sem prévia; abrir mostra só o menu inicial e o aviso de sigilo. Do ponto de vista da responsável pelo Financeiro: a conversa cai na fila dela com o contexto na ficha do contato, e quando o assunto termina, ela devolve ao geral ou encerra.

Quando usar

Financeiro e cobrança são o caso óbvio. Mas a regra vale para qualquer assunto em que o dano de um acesso indevido é maior que o incômodo de restringir: RH e currículos, jurídico, saúde (prontuário, resultado de exame), reclamação formal, negociação com fornecedor. Se você já se pegou dizendo "isso aqui não é pra todo mundo ver" sobre uma conversa do WhatsApp, é sigilo por time.

---

A referência completa está na Central de Ajuda. Veja o case do colégio inteiro, com os números da primeira semana — e teste o Columba por 7 dias.