RGPD y Coexistencia: adónde van los datos de los mensajes

¿Qué cambia para los datos de los mensajes cuando un número usa Coexistencia?

Las conversaciones pasan a ser visibles para Cloud API además del teléfono. La documentación de Coexistencia de Meta indica que los mensajes enviados y recibidos se reflejan entre Cloud API y la app de WhatsApp Business, que los contactos con número de WhatsApp pueden sincronizarse y que los mensajes de chat de los últimos seis meses pueden sincronizarse durante la incorporación. Los chats de grupo no se sincronizan.

A partir de ese momento, los mensajes individuales del número pasan por Cloud API, que según Meta descifra el mensaje recibido y lo reenvía a la empresa, y cifra los mensajes salientes con el protocolo Signal antes de entregarlos.

Esta página expone lo que Meta documenta y lo que hace EasyCoexistence. No es asesoramiento jurídico, y decidir si una configuración concreta cumple el RGPD corresponde a la empresa y a sus asesores.

¿Qué dice Meta sobre su propio papel en el RGPD?

La página de privacidad de datos de Cloud API de Meta expone su postura con sus propias palabras.

• Donde la ley reconoce al encargado del tratamiento, Meta actúa como tal por cuenta de la empresa al prestar Cloud API.
• Cloud API usa los mensajes que procesa solo por cuenta y siguiendo las instrucciones de la empresa, salvo indicación en contrario.
• Los mensajes se conservan como máximo 30 días; los identificadores de usuario se eliminan en los 30 días siguientes a la última actualización de estado de un mensaje.
• Los clientes de Cloud API deben cumplir sus propias obligaciones conforme a leyes como el RGPD.
• Los clientes de la Región Europea están cubiertos por el Anexo de Transferencia de Datos de WhatsApp Business.

¿Pueden almacenarse los datos de los mensajes en la UE?

Meta ofrece almacenamiento local de Cloud API, que guarda el contenido de los mensajes en reposo en un país elegido tras un breve periodo de uso. En Cloud API ese periodo de uso es de hasta 60 minutos, durante los cuales el contenido puede procesarse en centros de datos de Meta en todo el mundo. Las opciones europeas son Alemania para la UE, Suiza y el Reino Unido.

El almacenamiento local se define al registrar un número, y cambiarlo en un número ya registrado exige anular el registro y registrarlo de nuevo. La documentación de registro de Meta también indica que el endpoint de anulación no puede usarse en un número que funciona a la vez con Cloud API y con la app de WhatsApp Business, y no describe una vía aparte para activar el almacenamiento local en un número con Coexistencia.

¿Adónde van los mensajes después de Meta?

Al endpoint que reciba los webhooks de la cuenta de WhatsApp Business. La sustitución de webhook de Meta permite que una app envíe los webhooks de una cuenta concreta a una URL de callback distinta de la propia de la app.

EasyCoexistence usa esa sustitución para dirigir los eventos de mensajes al sistema de la propia empresa, de modo que Meta entrega el contenido de las conversaciones allí y no a nosotros, y EasyCoexistence nunca almacena contenido de conversaciones. Lo que conservamos son los eventos operativos, como el estado de la conexión y la calidad, de los que se compone la monitorización.

Meta documenta además que dispone de informes SOC 2 Tipo II e ISO 27001 para Cloud API, publicados en su Centro de Cumplimiento de Mensajería Empresarial.

Errores comunes

• Dar por hecho que el papel de encargado de Meta cubre las obligaciones propias de la empresa. Meta afirma que los clientes deben cumplir sus propias obligaciones del RGPD.
• Aceptar la sincronización del historial sin decidir dónde aterriza. Hasta seis meses de chats pueden entregarse al sistema receptor.
• Planear activar el almacenamiento local más adelante. Se define al registrar, y cambiarlo implica volver a registrar.

Preguntas frecuentes

Sigue leyendo