Checklist de conformidade para contact centers em 2026

Compliance em call center não é um requisito único — é uma matriz de regulamentações, políticas e controles técnicos que variam por jurisdição, setor e tipo de campanha. Uma equipe de cobrança que liga para consumidores nos EUA opera sob regras diferentes das de uma equipe de vendas que liga para empresas nos Emirados Árabes Unidos, e ambas são diferentes de uma BPO que roda campanhas em toda a UE.

Este checklist cobre as áreas de compliance que os call centers outbound devem revisar em 2026. Não é aconselhamento jurídico. Consulte um profissional de compliance ou advogado qualificado para orientações específicas sobre suas operações e jurisdições.

1. Gestão de listas de não ligar (DNC)

O compliance com DNC é a área mais visível e mais frequentemente violada da regulamentação de ligações outbound. Errar aqui resulta em multas, processos e danos à reputação.

Itens do checklist:

• Integração com cadastros nacionais de DNC: Você está verificando suas listas de contatos nos cadastros nacionais de DNC aplicáveis? Nos EUA, isso significa o National Do Not Call Registry da FTC. Nos Emirados Árabes Unidos, a TDRA mantém seu próprio cadastro. Na Arábia Saudita, a CST opera um sistema semelhante. Na UE, os Estados-membros mantêm cadastros separados (por exemplo, a TPS no Reino Unido e a Robinson-Liste na Alemanha).
• Lista interna de DNC: Você mantém sua própria lista interna de DNC? Quando um consumidor pede para não receber ligações, esse número é incluído na sua lista interna de DNC dentro do prazo exigido? Nos EUA, a TCPA exige que os pedidos de opt-out sejam atendidos em até 30 dias. A boa prática é atendê-los imediatamente.
• Frequência da verificação de DNC: Com que frequência você verifica suas listas de ligação nos cadastros nacionais? As listas devem ser verificadas antes de cada lançamento de campanha e periodicamente em campanhas de longa duração. A FTC exige a verificação pelo menos a cada 31 dias para o cadastro dos EUA.
• DNC entre tenants: Para BPOs e operações multi-tenant — se um consumidor faz opt-out das ligações do Cliente A, isso suprime o número das campanhas do Cliente B? Depende dos requisitos regulatórios e da sua política de DNC. Garanta que seu sistema suporte listas de DNC compartilhadas e por tenant, conforme o caso.
• Verificação de DNC antes da discagem: O status de DNC é verificado antes de cada discagem ou só na importação da lista? Listas mudam. Um número incluído no cadastro de DNC depois que você importou sua lista ainda precisa ser verificado antes da discagem. Políticas configuradas de negação por padrão podem bloquear ligações que não passem na verificação de DNC.

2. Gestão de consentimento

Os requisitos de consentimento variam drasticamente por jurisdição e tipo de ligação. Uma suposição errada sobre consentimento pode expor sua operação a responsabilidades significativas.

Itens do checklist:

• Tipo de consentimento documentado: Para cada contato da sua lista, você sabe que tipo de consentimento foi obtido? Consentimento expresso por escrito (exigido pela TCPA para ligações com autodialer/pré-gravadas para celulares), consentimento prévio expresso (suficiente para alguns tipos de ligação) ou consentimento implícito (suficiente em algumas jurisdições para relacionamentos comerciais existentes)?
• Evidência de consentimento armazenada: Para cada registro de consentimento, você armazena a origem do consentimento (formulário web, gravação de voz, formulário em papel), o horário, o endereço IP (para formulários web), a campanha ou o contexto em que o consentimento foi obtido e o texto específico de consentimento com o qual o consumidor concordou?
• Escopo do consentimento respeitado: Se um consumidor consentiu com ligações sobre "atualizações da conta", seu sistema impede o uso desse consentimento para "ofertas promocionais"? O escopo do consentimento importa. Usar um consentimento obtido para uma finalidade para justificar ligações com outra finalidade é um risco de compliance.
• Fluxo de revogação do consentimento: Quando um consumidor revoga o consentimento, a revogação é processada imediatamente? Ela é registrada com data e hora? Ela suprime ligações futuras em todas as campanhas relevantes?
• Consentimento específico do RGPD (UE): Para contatos na UE, o consentimento é livre, específico, informado e inequívoco? Você mantém registros que demonstrem os quatro critérios? O consumidor consegue retirar o consentimento com a mesma facilidade com que o deu?

3. Horários de ligação e compliance de fuso horário

Ligar fora dos horários permitidos é uma das violações de compliance mais comuns e mais evitáveis.

Itens do checklist:

• Janelas de ligação por jurisdição: Seus horários de ligação estão configurados por jurisdição? A TCPA dos EUA restringe as ligações ao período de 8h às 21h no fuso horário local do consumidor. As leis estaduais podem ser mais restritivas (por exemplo, alguns estados proíbem ligações antes das 9h). A TDRA dos Emirados Árabes Unidos tem suas próprias janelas de ligação. Os Estados-membros da UE têm regras variadas.
• Tratamento de fuso horário: Seu sistema determina o fuso horário do consumidor a partir do código de área do número de telefone ou de dados geográficos? Uma lista de contatos com números dos EUA em vários fusos horários precisa de cálculo de fuso por número, e não de uma única configuração de fuso para toda a campanha.
• Restrições em feriados e fins de semana: Algumas jurisdições restringem ou proíbem ligações em feriados ou fins de semana. Seu sistema conhece os calendários de feriados de cada jurisdição?
• Casos extremos: O que acontece quando um consumidor tem um número com código de área de um fuso horário, mas está fisicamente em outro? Seu sistema deve usar o fuso horário registrado do número como padrão seguro para o compliance.

4. Compliance em gravação de ligações

A gravação de ligações é legalmente obrigatória em alguns contextos e legalmente restrita em outros. Os requisitos de compliance dependem da sua jurisdição e do tipo de ligação.

Itens do checklist:

• Consentimento para gravação: Você está em uma jurisdição de consentimento de uma parte ou de duas partes? Nos estados de uma parte (EUA), apenas uma parte precisa saber que a ligação está sendo gravada. Nos estados de duas partes/todas as partes (Califórnia, Flórida, Illinois e outros nos EUA), todas as partes precisam consentir. Na UE, os requisitos de consentimento variam por Estado-membro, mas em geral exigem informar todas as partes.
• Aviso de gravação: Suas campanhas incluem um aviso de gravação no início da ligação? O aviso está no idioma do consumidor?
• Armazenamento e retenção de gravações: Por quanto tempo as gravações são mantidas? Os prazos de retenção atendem aos requisitos específicos do setor? Serviços financeiros, saúde e cobrança podem ter prazos mínimos de retenção.
• Conformidade com PCI para pagamentos: Se os agentes lidam com dados de cartão de pagamento durante as ligações, você pausa a gravação durante a captura de dados PCI? Ou usa supressão de DTMF para impedir que os números de cartão sejam gravados?
• Controles de acesso às gravações: Quem pode acessar as gravações? Os controles de acesso têm o escopo adequado? Em operações multi-tenant, um supervisor de um cliente consegue acessar gravações de outro cliente? Isso não deveria ser possível.
• Capacidade de legal hold: Para contas em disputa ou litígios previstos, você consegue colocar gravações em legal hold para impedir que sejam excluídas pelas políticas de retenção de rotina?

5. Monitoramento da taxa de abandono

A discagem preditiva aumenta a produtividade dos agentes, mas cria o risco de ligações abandonadas — ligações atendidas por uma pessoa e derrubadas porque não há agente disponível.

Itens do checklist:

• Limite da taxa de abandono: Seu discador preditivo está configurado para manter a taxa de abandono igual ou abaixo do limite regulatório? Nos EUA, o limite da FTC/FCC é de 3%, medido em um período de 30 dias por campanha. O limite do Ofcom no Reino Unido é de 3%, medido de forma diferente. Conheça o limite e a metodologia de medição da sua jurisdição.
• Monitoramento em tempo real: Seu discador oferece monitoramento da taxa de abandono em tempo real, com alertas quando você se aproxima do limite? Descobrir em um relatório mensal que você ultrapassou o limite é tarde demais.
• Acompanhamento por campanha: As taxas de abandono devem ser acompanhadas por campanha, e não como uma média de todo o sistema. Uma única campanha de alto volume com ritmo agressivo pode levar sua taxa agregada acima do limite, mesmo que as outras campanhas estejam dentro do esperado.
• Tratamento das ligações abandonadas: Quando uma ligação é abandonada, o que o consumidor ouve? As regras da FTC exigem que as ligações abandonadas reproduzam uma mensagem gravada que identifique quem está ligando e informe um número para retorno. Suas mensagens de ligação abandonada estão em conformidade?
• Interação com o AMD: Os falsos positivos do AMD (pessoas reais classificadas como máquinas) podem não ser contados como ligações abandonadas nos seus relatórios, mas geram a mesma experiência para o consumidor — atender uma ligação e não ouvir nada. Monitore isso junto com a sua taxa de abandono.

6. Limites de novas tentativas

Ligar em excesso é um risco de compliance e um problema de experiência do consumidor. A maioria dos marcos regulatórios limita a frequência com que você pode tentar contatar o mesmo consumidor.

Itens do checklist:

• Limites de tentativas por contato: Você aplica limites máximos de tentativas por contato por dia, por semana e no total? A Reg F dos EUA (para cobrança de dívidas) limita as ligações a 7 tentativas por período móvel de 7 dias por dívida. Seus limites devem refletir tanto os requisitos regulatórios quanto expectativas razoáveis do consumidor.
• Intervalos mínimos entre tentativas: Existe um tempo mínimo entre tentativas para o mesmo número? Ligar para o mesmo número 5 vezes em 30 minutos provavelmente vai gerar uma reclamação, mesmo que tecnicamente não viole uma norma específica.
• Limites entre campanhas: Se o mesmo consumidor aparece em listas de várias campanhas, os limites de tentativas são aplicados em todas as campanhas? Dez ligações de dez campanhas diferentes para o mesmo número em um dia equivalem, na prática, a dez ligações de uma campanha — mas alguns sistemas só aplicam limites dentro de uma única campanha.
• Compliance de opt-out nas novas tentativas: Se um consumidor faz opt-out durante uma ligação, todas as novas tentativas agendadas para aquele número são canceladas imediatamente?

7. Compliance de caller ID e CLI

As regras de caller ID estão ficando mais rígidas em resposta à epidemia de robocalls. As equipes de outbound precisam garantir que a apresentação do número de origem esteja em conformidade.

Itens do checklist:

• Verificação da titularidade do CLI: Todos os CLIs (Caller Line Identifiers) de saída são números de sua titularidade ou que você está autorizado a usar? Apresentar um CLI que você não controla é ilegal na maioria das jurisdições e cada vez mais fiscalizado por meio da atestação STIR/SHAKEN.
• Atestação STIR/SHAKEN: Nos EUA, suas ligações estão sendo assinadas com a atestação STIR/SHAKEN adequada? Ligações sem atestação são cada vez mais filtradas pelas operadoras e podem não chegar ao consumidor.
• Monitoramento da saúde dos DIDs: Você monitora a reputação de spam/golpe dos seus DIDs de saída? Números frequentemente denunciados pelos consumidores serão rotulados como "Provável spam" ou "Golpe" pelos sistemas de análise das operadoras, reduzindo sua taxa de atendimento a quase zero.
• Rodízio e aquecimento de números: Você faz rodízio de DIDs para distribuir o volume de ligações e evitar que números individuais sejam sinalizados? Os DIDs novos são aquecidos gradualmente, em vez de usados imediatamente em campanhas de alto volume?
• Presença local: Se você usa discagem com presença local (apresentando um número local que corresponde ao código de área do consumidor), você de fato tem operações ou presença nesse código de área? Alguns estados estão avaliando leis para restringir a discagem com presença local sem uma presença local genuína.

8. Proteção de dados e privacidade

Dados de contato são dados pessoais. As normas de proteção de dados regem como você os coleta, armazena, trata e exclui.

Itens do checklist:

• Acordos de tratamento de dados: Você tem DPAs (acordos de tratamento de dados) firmados com o fornecedor do seu discador, sua operadora e quaisquer outros operadores que tratem dados de contato em seu nome? O RGPD exige DPAs por escrito com todos os operadores de dados.
• Minimização de dados: Você coleta e armazena apenas os dados de contato necessários para as suas campanhas? Armazenar dados "por via das dúvidas" aumenta sua exposição regulatória.
• Políticas de retenção de dados: Você tem prazos de retenção definidos para dados de contato, gravações de ligações e registros de tabulação? Os registros são excluídos automaticamente quando o prazo de retenção vence?
• Solicitações de acesso do titular: Você consegue responder aos pedidos dos consumidores para acessar, corrigir ou excluir seus dados pessoais dentro do prazo exigido? O RGPD exige resposta em até 30 dias.
• Transferências internacionais de dados: Se seus dados de contato atravessam fronteiras (por exemplo, dados de contatos do MENA tratados em infraestrutura hospedada nos EUA), você tem mecanismos adequados de transferência de dados em vigor?

9. Trilha de auditoria e documentação

Quando um regulador ou o advogado de um consumidor solicitar evidências de compliance, você precisa apresentá-las. "Nós seguimos as regras" não basta sem documentação.

Itens do checklist:

• Registro das decisões de compliance: As decisões de compliance (ligação bloqueada por correspondência com DNC, ligação bloqueada por restrição de horário etc.) são registradas com a regra específica acionada, o horário e o resultado? Esses logs podem ser evidências críticas em investigações regulatórias.
• Histórico de versões das políticas: Quando as políticas de compliance mudam, a versão anterior é preservada? Se um regulador perguntar qual era a sua política de verificação de DNC em uma data específica de seis meses atrás, você consegue apresentá-la?
• Registros de treinamento dos agentes: Você consegue demonstrar que os agentes receberam treinamento de compliance, quando o receberam e quais temas foram abordados?
• Histórico de interações com o consumidor: Para qualquer consumidor, você consegue apresentar o histórico completo de todas as tentativas de ligação, conexões, gravações, tabulações, registros de consentimento, pedidos de opt-out e reclamações?

Referência rápida por jurisdição

Os itens do checklist acima são os mesmos em qualquer lugar. Os números por trás deles, não. Esta tabela é um ponto de partida para os quatro regimes com que a maioria das equipes de outbound lida, e é um resumo, não uma declaração da lei: verifique a regra vigente de cada mercado antes de configurar uma campanha com base nela.

O que o próprio discador precisa fazer

Uma política que vive em um documento é uma política que o agente precisa lembrar. Cada linha acima corresponde a um controle que a plataforma deve aplicar antes de a ligação ser feita.

• DNC: várias listas verificadas simultaneamente, verificação no momento da discagem, e não só na importação, supressão imediata quando um número é incluído no meio da campanha e um resultado registrado para cada verificação, inclusive as que não encontraram correspondência.
• Janelas de ligação: fuso horário determinado a partir do próprio número, janelas configuradas por jurisdição, tentativas fora da janela bloqueadas, e não apenas sinalizadas, e tratamento adequado do caso internacional em que a operação e o contato estão em fusos diferentes.
• Tentativas: contadores por número em janelas móveis configuráveis, tentativas conectadas e não conectadas contadas separadamente, limites definidos por campanha e por jurisdição e um intervalo de espera após uma conversa ao vivo.
• Caller ID: atribuição por campanha com validação, monitoramento da saúde para detectar cedo um número rotulado como spam e rodízio controlado, em vez de alternância aleatória.
• Taxa de abandono: acompanhada em tempo real por campanha, ritmo reduzido automaticamente à medida que o limite se aproxima, mensagem obrigatória reproduzida e abandonos repetidos para o mesmo número evitados.
• Proteção de dados: criptografia em armazenamento e em trânsito, acesso por função, cronogramas de retenção aplicados automaticamente, exportação e exclusão para pedidos dos titulares e registro de acessos.

Como usar este checklist

Este checklist é um ponto de partida para revisar a postura de compliance do seu call center, e não um programa completo de conformidade legal. Os requisitos regulatórios mudam. Novas normas são promulgadas. As normas existentes são reinterpretadas por ações de fiscalização e decisões judiciais.

Próximos passos recomendados:

• Revise cada seção em relação às suas operações atuais e identifique lacunas
• Priorize as lacunas por nível de risco (probabilidade de violação multiplicada pela gravidade da consequência)
• Implemente controles técnicos na sua plataforma de discagem para automatizar o compliance sempre que possível
• Documente suas políticas e procedimentos de compliance
• Programe auditorias de compliance regulares (recomendação: trimestrais)
• Consulte um profissional de compliance ou advogado para orientações específicas de cada jurisdição
• Percorra o checklist de preparação para auditoria regulatória para que as evidências de cada controle acima possam ser apresentadas quando solicitadas

Para saber como a DialerBee implementa controles de apoio à conformidade em operações outbound, acesse nossa página de recursos de compliance ou explore os guias de compliance por região.

Aviso: este checklist traz informações gerais sobre temas de compliance em call centers. Não constitui aconselhamento jurídico. Os requisitos de compliance variam por jurisdição, setor e tipo de campanha. Consulte um profissional de compliance ou advogado qualificado para orientações específicas sobre suas operações.

Perguntas frequentes

O que deve constar em um checklist de compliance para call center?

Verificação de DNC, consentimento documentado, horários de ligação permitidos no horário local do destinatário, regras de gravação, monitoramento da taxa de abandono, limites de tentativas e regras de apresentação de caller ID.

Com que frequência as listas de DNC devem ser verificadas?

No momento da discagem, e não só na importação da lista. Um número pode ser incluído em uma lista de supressão entre o upload e o momento em que a ligação é realmente feita.

Os horários de ligação seguem o meu fuso horário ou o do destinatário?

O do destinatário. As janelas permitidas são definidas pelo local onde está a pessoa para quem você liga, e é por isso que a discagem por fuso horário importa em campanhas multirregionais.

Um checklist basta para estar em conformidade?

Não. Um checklist ajuda a encontrar lacunas, mas o compliance depende da sua jurisdição, da base de consentimento, da configuração e de aconselhamento jurídico específico para a sua operação.