Plano de resposta: se vazou, se caiu no golpe, se o agente errou

Nesta aula · Projeto final

Uma hora de incidente com plano vale mais do que um dia sem. Vamos escrever o seu.

Última aula, e ela junta tudo. Nas sete anteriores, você aprendeu a reconhecer golpes, a verificar, a proteger contas, a não colar o que não deve, a configurar as ferramentas, a cuidar da família e a escrever a política da empresa. Mesmo assim, uma hora algo vai dar errado, porque dá errado com todo mundo. A diferença entre um susto e um prejuízo grande é ter um plano escrito antes: o que fazer nas primeiras 24 horas, quem avisar, o que a lei pede, e os telefones já anotados. O projeto final é esse plano, em uma página, que vai morar no verso da política da aula 7.

• Ao final, você vai saber a sequência de cinco passos que serve para qualquer incidente: conter, registrar, avaliar, comunicar, aprender.
• Vai entender o que muda em cada um dos três cenários (vazou, caiu no golpe, o agente errou) e o que a LGPD pede em linguagem simples.
• Vai sair com um entregável: o plano de resposta da sua empresa em uma página, com os contatos preenchidos.

A sequência que serve para tudo: conter, registrar, avaliar, comunicar, aprender

Todo incidente, de qualquer tipo, segue a mesma ordem. Decorar a ordem é o que impede a reação errada na hora do nervoso.

1. Conter (primeira hora). Parar o que ainda está acontecendo. Bloquear a conta, trocar a senha, pausar o agente, ligar para o banco, desconectar o aparelho. Antes de entender tudo, antes de procurar culpado, antes de avisar clientes. Fecha a torneira.
2. Registrar (primeiras horas). Anotar o que aconteceu, quando, como foi descoberto, o que foi feito. Guardar prints, e-mails, números, comprovantes. Não apagar nada: a evidência é o que vai permitir devolução, boletim e comunicação correta.
3. Avaliar (primeiro dia). O que exatamente saiu ou foi perdido? De quem? Qual o risco para essas pessoas? É um dado de contato ou é saúde e CPF? Isso define o tamanho da comunicação.
4. Comunicar (primeiro dia, conforme o caso). Quem precisa saber, na ordem: quem responde na empresa, o banco (se houve dinheiro), os afetados (se houve dado), a autoridade (se a LGPD pede), a polícia (boletim), o contador ou advogado (se tiver). Com honestidade e sem drama.
5. Aprender (primeira semana). O que faltou? Uma regra, um protocolo, uma configuração? Ajustar a política, treinar a equipe, marcar a revisão. Sem procurar culpado individual: o que falhou foi o processo.

Cenário 1: vazou (dado de cliente saiu de onde não devia)

Exemplos: alguém colou a planilha de clientes na IA, um e-mail com anexo foi para a pessoa errada, um aparelho com o WhatsApp da empresa foi perdido, uma conta foi invadida.

• Conter: trocar senha e ativar dois fatores na conta afetada (aula 3); apagar a conversa na IA e, se a ferramenta oferece, pedir exclusão de dados; bloquear o aparelho perdido remotamente; desconectar sessões abertas.
• Registrar: o que saiu (que colunas, que documentos), de quantas pessoas, para onde, quando, quem descobriu.
• Avaliar: o dado permite golpe contra a pessoa (CPF, telefone, endereço, dado de saúde, de criança)? Se sim, o risco é relevante.
• Comunicar: aqui entra a LGPD, na próxima seção.
• Aprender: quase sempre a resposta é uma regra da política (aula 7) que não existia ou não era conhecida.

A LGPD em linguagem simples, para o dia do incidente

A lei brasileira de proteção de dados espera três coisas de uma empresa quando dados pessoais vazam com risco para as pessoas. Primeira: que a empresa comunique o incidente à autoridade nacional, a ANPD, em prazo curto. Segunda: que comunique também as pessoas afetadas, dizendo o que vazou, qual o risco e o que a empresa está fazendo. Terceira: que a empresa consiga mostrar que cuidava dos dados de forma razoável antes (política, contas protegidas, regras de acesso). Prazos, formulário e critérios do que precisa ser comunicado estão no site da ANPD e mudam; no dia, confira lá ou com um advogado. Em empresa pequena, o "encarregado" pelos dados costuma ser o próprio dono; coloque esse nome na página.

Comunicar as pessoas parece assustador, mas é o contrário: dá a elas a chance de se proteger (trocar senha, desconfiar de ligação) e mostra que a empresa é séria. Um texto honesto e curto resolve. Este pedido ajuda a escrever, e repare que não entra nada real:

Cenário 2: caiu no golpe (dinheiro ou acesso saiu)

Exemplos: pagamento para o "fornecedor que mudou de banco", Pix para o "filho de número novo", código do SMS dado à "central do banco", WhatsApp da empresa tomado.

• Conter: ligar para o banco pelo canal oficial na hora, explicar e pedir bloqueio e devolução; o Pix tem mecanismos de contestação para fraude e o cartão tem contestação de compra, e o banco sabe o caminho; quanto mais rápido, maior a chance. Se deu código ou senha: trocar senha, ativar dois fatores, desconectar dispositivos. Se o WhatsApp foi tomado: avisar contatos por outro canal que o número está sendo usado por terceiros e reativar a conta pelo procedimento oficial do aplicativo.
• Registrar: comprovantes, prints da conversa, números, horários, o e-mail ou a ligação que originou. Não apagar.
• Avaliar: além do dinheiro, saiu dado? O golpista teve acesso a conversas, arquivos, lista de clientes? Se sim, some o cenário 1.
• Comunicar: banco (já feito), boletim de ocorrência (em muitos estados, pela internet), o fornecedor verdadeiro se o golpe usou o nome dele, os contatos se o WhatsApp foi usado contra eles.
• Aprender: quase sempre é o protocolo de verificação da aula 2 que não foi seguido ou não existia. Escrever a regra, treinar, ensaiar.

E a parte humana: quem caiu no golpe não é o problema. A produção é profissional. A pessoa que avisa no mesmo dia está cumprindo a regra 10 da política e merece ser tratada como quem fez a coisa certa. Se ela for constrangida, o próximo incidente será escondido, e incidente escondido é o que vira prejuízo grande.

Cenário 3: o agente errou (a IA da empresa disse ou fez algo indevido)

Cada vez mais empresas pequenas têm um agente de IA respondendo no WhatsApp, no site ou por e-mail. Ele vai errar em algum momento: prometer desconto que não existe, dar informação errada de horário, responder de forma inadequada, ou, em casos piores, ser manipulado por alguém que escreve para ele tentando extrair dados de outros clientes.

• Conter: se o erro se repete ou é grave, pausar o agente ou restringir o que ele pode responder; uma pessoa assume as conversas abertas.
• Registrar: guardar a conversa inteira, o horário, o que o agente disse e o que deveria ter dito.
• Avaliar: foi erro de informação (corrigir instruções e base de conhecimento), erro de tom (ajustar regras), ou tentativa de manipulação (limitar o que o agente sabe e pode fazer, e reforçar que ele nunca é fonte de ordem: quem manda é a política, não o texto que chega)?
• Comunicar: ao cliente, com honestidade: uma pessoa explica e corrige. "Foi a IA" não é resposta; a empresa assina o que o agente diz. Decida se honra o que foi prometido ou explica o erro, conforme o caso e o valor.
• Aprender: ajustar as instruções, testar com o mesmo caso, só então religar. Se ainda não existe, criar a rotina de revisar conversas do agente por amostragem toda semana.

A página do plano: o que tem que estar nela

O plano cabe numa página porque, na hora, ninguém lê mais do que isso. Estrutura:

O registro de incidentes merece uma frase: é o histórico que mostra, para a equipe e para quem perguntar, que a empresa aprende. Quatro colunas, uma linha por caso, sem nome de culpado.