- Integrações são o principal vetor de risco: cada app (Zapier/Make, BSP do WhatsApp API, chatbot, telefonia, e-mail) vira mais um lugar com acesso a dados de cliente. O custo financeiro pode ser baixo (Kommo US$15–45/usuário/mês, ~R$80–250), mas o custo de compliance e controle pode ser alto se você não tiver regras.
- Segurança no Kommo é “boa para PME”, não “suite corporativa completa”: dá para controlar acessos e trabalhar com permissões e trilhas, mas empresas com exigência forte (SSO obrigatório, políticas rígidas, auditoria detalhada) tendem a cair no Enterprise (US$45/usuário/mês ~R$250) ou a complementar com processos e ferramentas externas.
- Risco real: token/API e automações com dados demais: o problema comum não é invasão “hacker”, é token compartilhado, cenário sem rotação de credenciais e fluxo no Make/Zapier enviando conversa/anexo para Google Sheets, e-mail ou um CRM paralelo.
- WhatsApp API não é “do Kommo”: custos e controles de mensagem, templates e parte de governança ficam no BSP (provedor). O Kommo ajuda a operar, mas você precisa checar o que fica registrado no BSP vs no CRM.
- Decisão prática: se seu projeto depende de 5+ integrações (ERP + telefonia + bot + BI + automações), trate Kommo como “hub conversacional” e planeje governança (quem pode criar automação, quem aprova, como audita) antes da contratação.
O ângulo que muita gente ignora: o Kommo pode ser seguro — mas suas integrações podem não ser
Na decisão de compra do Kommo, a conversa costuma ficar em recursos (WhatsApp, funil, Salesbot). Só que, na prática, a maior parte dos incidentes de dados em operação de WhatsApp não vem de “falha do CRM”: vem de integração mal governada. Exemplos típicos no Brasil: planilha de leads exposta por automação, token de API em conta pessoal, ex-funcionário com acesso ao Make, webhook enviando dados sensíveis para destinos fora do controle.
Então, o jeito honesto de avaliar “Kommo é seguro?” não é só olhar LGPD e datacenter: é mapear a superfície de acesso. Cada integração adiciona um novo ponto de cópia de dados. E o Kommo, por melhor que seja como CRM conversacional, não impede sozinho que alguém exporte mais dados do que deveria via automação.
Em preço, a base de decisão começa em licença por usuário (comumente US$15/US$25/US$45 por usuário/mês, valores em dólar; em reais, pense aproximadamente ~R$80/~R$140/~R$250 por usuário/mês dependendo do câmbio e impostos). O ponto é: muita empresa compra pelo US$15 e depois descobre que o custo “real” de segurança está no plano/processo (Enterprise + governança) e nos terceiros (BSP, Make/Zapier, conectores, consultoria).
Checklist de decisão: 7 perguntas que definem o risco antes de assinar
1) Quem vai administrar integrações? Se qualquer gestor criar automações sem revisão, você está comprando vazamento futuro. Defina um “dono” (CRM Admin/RevOps/TI) e um processo de aprovação para novas integrações.
2) Quais dados você vai trafegar? Uma coisa é enviar “nome + telefone + etapa do funil” para o ERP. Outra é enviar conversa completa, anexos e histórico para uma planilha. Defina classes de dado (baixo/médio/alto risco) e bloqueie o que não deveria sair.
3) Você precisa de SSO/2FA obrigatório? Se sua empresa exige login centralizado (Google Workspace/Azure AD/Okta) e política corporativa, é o tipo de requisito que empurra para planos mais altos (muitas empresas acabam no Enterprise, tipicamente US$45/usuário/mês). Se isso não é requisito, dá para operar com segurança razoável, mas com disciplina (2FA, offboarding rápido, senhas e perfis).
4) Como será o offboarding? O risco número 1 em vendas é ex-funcionário com acesso ativo. Você precisa garantir que: (a) usuário do Kommo é desativado no mesmo dia; (b) acesso ao BSP e ao Make/Zapier também; (c) tokens e webhooks relacionados são revogados/rotacionados.
5) Você precisa de trilha/auditoria detalhada? Kommo oferece mecanismos de histórico e rastreio operacional, mas o nível de auditoria que Compliance/ISO pede pode exigir processo adicional e logs fora (especialmente quando integrações fazem ações em lote).
6) Você vai usar WhatsApp API com BSP: entenda o que fica no Kommo (conversas e contexto) e o que fica no BSP (custos, templates, parte dos registros). Segurança e custo não estão 100% “dentro” do Kommo.
7) Integrações “low-code” (Zapier/Make) serão críticas? Se sim, trate como software corporativo: controle de acesso por time, ambientes (produção vs testes), naming convention, revisão periódica e documentação mínima.
Onde o Kommo ajuda de verdade (e onde ele não cobre o risco)
Forças reais para segurança operacional: o Kommo tende a ser melhor do que operar WhatsApp “solto” (app) porque centraliza conversas, permite distribuir atendimento, e dá visibilidade de quem falou o quê em contexto de pipeline. Isso reduz o risco clássico de “dados presos no celular” e melhora governança de acesso por usuário.
Limitações reais: quando o assunto é integração, o Kommo não controla o que um terceiro faz com os dados depois que recebeu. Se você envia lead/conversa para o Make/Zapier, a segurança passa a depender também (e muito) da configuração do Make/Zapier, das contas dos usuários, de permissões e de onde os dados são armazenados (Drive, Sheets, e-mail etc.).
Outro ponto crítico: automações e bots podem virar “superusuários”. Se você cria um bot que lê tudo e escreve em vários lugares, você criou um ponto único de falha. Isso não é culpa do Kommo, mas é consequência típica de implementação apressada para ‘ganhar velocidade’.
Comparativo prático: riscos e controles por tipo de integração (e o que muda na decisão)
A tabela abaixo não é para “pontuar” quem é melhor, e sim para você enxergar onde está o risco e o que vale exigir no seu projeto. Observação: recursos exatos podem variar por plano e por configuração/contrato; use como guia de due diligence, não como promessa.
| Cenário | Risco típico (na vida real) | O que o Kommo ajuda | O que fica fora do Kommo | Impacto na escolha de plano |
|---|---|---|---|---|
| Kommo + WhatsApp API (via BSP) | Vazamento por acesso indevido ao BSP; uso de templates fora de padrão; divergência de logs/custos | Centraliza conversa e pipeline; permite operação por usuários/perfis | Custos por mensagem, templates, parte de governança e limitações do canal ficam no BSP | Em operações maiores, Enterprise tende a fazer sentido (~US$45/usuário/mês) por governança; PME pode rodar no Advanced (~US$25) |
| Kommo + Zapier/Make (automação) | Dados indo para planilhas, e-mail ou apps pessoais; cenário rodando com credencial de ex-funcionário | Webhooks/API viabilizam automação; dá para reduzir trabalho manual | Gestão de acesso, logs e armazenamento final dos dados é do Zapier/Make e do app destino | Plano do Kommo não resolve sozinho; o “plano certo” depende mais de governança interna e controle de contas no Zapier/Make |
| Kommo + ERP | Sincronização errada cria dados duplicados; alguém ‘puxa’ dados demais para o ERP; falhas em integração expõem dados | Campos e pipeline ajudam a padronizar cadastro (menos bagunça) | Regras de integração, mapeamento e segurança do conector/API ficam no projeto e no ERP | Advanced/Enterprise costumam ser mais comuns quando há múltiplos times e regras; custo de implementação pesa mais que a licença |
| Kommo + BI/Data Warehouse | Exportações recorrentes com dados sensíveis; acesso amplo no BI para áreas que não deveriam ver conversas | Fonte consistente de pipeline e atividades (se bem modelado) | Controle de acesso no BI, mascaramento e retenção são externos | Plano do Kommo é secundário; o essencial é política de dados (o que vai para BI e em que granularidade) |
| Kommo + chatbot/IA (Salesbot e terceiros) | Bot captura/armazenar PII além do necessário; respostas fora de compliance; logs espalhados | Ajuda a qualificar e reduzir tempo de resposta | Política de privacidade do fornecedor de bot/IA e retenção de dados fora do Kommo | Enterprise pode ser mais adequado quando há requisitos formais de segurança; mas o fornecedor do bot pesa tanto quanto |
Quanto custa “comprar segurança” no Kommo: onde o dinheiro realmente vai
Se a sua motivação é segurança e governança, a licença do Kommo é só uma parte. Em geral, você paga por: (1) licença por usuário (ex.: US$15/25/45 por usuário/mês; ~R$80/~R$140/~R$250 com câmbio oscilando), (2) infra do WhatsApp API (BSP + conversas/mensagens), (3) integrações (Make/Zapier, conectores, horas de implementação), e (4) processo interno (alguém para governar e auditar).
Na prática editorialmente honesta: se você quer segurança mas não quer investir em governança, nenhuma ferramenta resolve. O Kommo pode diminuir risco de ‘WhatsApp pessoal’ e dar rastreabilidade, mas não impede uma empresa de criar uma automação que despeja dados em um lugar errado.
Quando o Enterprise (US$45/usuário/mês) costuma fazer sentido: operação com exigência formal de controle de identidade (SSO), necessidade de auditoria e governança mais rígida, ou ambiente com alta rotatividade e risco alto de acesso indevido. Quando é exagero: time pequeno, dados pouco sensíveis, integrações mínimas e governança simples (onde o Advanced ou até Base pode ser suficiente, desde que você configure bem e mantenha disciplina).
Recomendação objetiva por perfil (sem hype)
Compre/implemente Kommo com integrações se: você precisa centralizar WhatsApp e quer diminuir risco de dados em celulares; consegue padronizar processo de criação de integrações; e aceita que vai existir uma camada de administração (mesmo que leve).
Pense duas vezes se: sua operação exige controles corporativos muito estritos e você não quer depender de processo; ou se você pretende “resolver tudo” com automações rápidas no Make/Zapier sem documentação e sem dono — isso costuma virar incidente e retrabalho.
Decisão prática: antes de assinar por 6–12 meses, faça um piloto curto com 1 ou 2 integrações críticas (ex.: WhatsApp API + ERP) e imponha regras desde o dia 1: quem cria automação, como aprova, onde loga, e como revoga acesso. Se o piloto só funciona “na conta do estagiário do Make”, você ainda não está pronto — não é problema do Kommo, é maturidade de governança.
Perguntas frequentes
Kommo é seguro o suficiente para LGPD quando uso Zapier/Make?
Preciso do plano Enterprise (US$45/usuário/mês) por causa de segurança?
O Kommo impede que alguém exporte dados via integração?
Qual é o maior risco de segurança em uma implementação do Kommo com WhatsApp?
Dá para usar Kommo em operação com dados sensíveis (ex.: saúde/financeiro)?
Leia também
O software é bom. O resultado vem da implementação.
O Kommo é uma ferramenta excelente — mas quem transforma o CRM em máquina de vendas é o processo por trás dele. A rota mais rápida: entrar na Comunidade Kommo Brasil (implementação guiada com quem já fez centenas de vezes), garantir suas licenças ou acompanhar o conteúdo no YouTube.
Portal do ecossistema Luiz Otávio — engenharia digital, CRM e IA.