RGPD et Coexistence : où vont les données des messages
Dès qu'un numéro est connecté via Coexistence, ses messages sont répliqués entre l'application WhatsApp Business et Cloud API. Meta indique qu'elle agit comme sous-traitant pour le compte de l'entreprise, conserve les messages 30 jours au maximum et attend de chaque entreprise qu'elle respecte ses propres obligations RGPD.
Le rôle que Meta revendique pour Cloud API, là où le droit de la protection des données reconnaît la notion de sous-traitant.
Durée maximale de conservation des données de messages par Cloud API, pour des fonctions comme la retransmission.
Le code pays de l'UE accepté pour le stockage local Cloud API des données de messages au repos.
Jusqu'où l'historique des conversations peut être synchronisé vers Cloud API à l'intégration d'un numéro Coexistence.
Qu'est-ce qui change pour les données des messages quand un numéro utilise Coexistence ?
Les conversations deviennent visibles pour Cloud API en plus du téléphone. La documentation Coexistence de Meta indique que les messages envoyés et reçus sont répliqués entre Cloud API et l'application WhatsApp Business, que les contacts disposant d'un numéro WhatsApp peuvent être synchronisés, et que les messages des six derniers mois peuvent être synchronisés pendant l'intégration. Les conversations de groupe ne sont pas synchronisées.
À partir de là, les messages individuels du numéro transitent par Cloud API. Meta décrit ce fonctionnement ainsi : elle déchiffre un message reçu pour le transmettre à l'entreprise, et chiffre les messages sortants avec le protocole Signal avant livraison.
Cette page présente ce que Meta documente et ce que fait EasyCoexistence. Elle ne constitue pas un avis juridique, et c'est à l'entreprise et à ses conseils de décider si une configuration donnée respecte le RGPD.
Que dit Meta de son propre rôle au regard du RGPD ?
La page de Meta sur la confidentialité des données Cloud API expose sa position en ses propres termes.
- Là où le droit reconnaît un sous-traitant, Meta agit comme tel pour le compte de l'entreprise lorsqu'elle fournit Cloud API.
- Cloud API n'utilise les messages qu'elle traite que pour le compte et sur instruction de l'entreprise, sauf indication contraire.
- Les messages sont conservés 30 jours au maximum, et les identifiants d'utilisateur sont supprimés dans les 30 jours suivant la dernière mise à jour de statut d'un message.
- Les clients de Cloud API doivent respecter leurs propres obligations au titre de lois comme le RGPD.
- Les clients de la région européenne sont couverts par l'addendum WhatsApp Business relatif aux transferts de données.
Les données des messages peuvent-elles être stockées dans l'UE ?
Meta propose le stockage local Cloud API, qui conserve le contenu des messages au repos dans un pays choisi après une courte période d'utilisation. Pour Cloud API, cette période peut aller jusqu'à 60 minutes, durant laquelle le contenu peut être traité dans des centres de données Meta à l'international. Les options européennes sont l'Allemagne pour l'UE, la Suisse et le Royaume-Uni.
Le stockage local se définit à l'enregistrement d'un numéro, et le modifier sur un numéro déjà enregistré impose de l'annuler puis de l'enregistrer à nouveau. La documentation de Meta sur l'enregistrement précise aussi que l'endpoint de désenregistrement ne peut pas être utilisé sur un numéro employé à la fois avec Cloud API et l'application WhatsApp Business, et elle ne décrit pas de procédure distincte pour activer le stockage local sur un numéro Coexistence.
Où vont les messages après Meta ?
Vers l'endpoint qui reçoit les webhooks du compte WhatsApp Business. Le webhook override de Meta permet à une application d'envoyer les webhooks d'un compte donné vers une URL de rappel différente de celle de l'application.
EasyCoexistence utilise ce mécanisme pour diriger les événements de messages vers le système de l'entreprise elle-même. Meta livre donc le contenu des conversations à cet endroit plutôt qu'chez nous, et EasyCoexistence ne stocke jamais le contenu des conversations. Nous conservons les événements opérationnels, comme l'état de la connexion et la qualité, dont se compose la surveillance.
Meta indique également disposer de rapports SOC 2 Type II et ISO 27001 pour Cloud API, publiés via son Business Messaging Compliance Center.
Erreurs courantes
- Croire que le rôle de sous-traitant de Meta couvre les obligations propres à l'entreprise. Meta indique que les clients doivent respecter leurs propres obligations RGPD.
- Accepter la synchronisation de l'historique sans décider où il arrive. Jusqu'à six mois de conversations peuvent être livrés au système récepteur.
- Prévoir d'activer le stockage local plus tard. Il se définit à l'enregistrement, et le modifier implique de s'enregistrer à nouveau.
EasyCoexistence ne stocke jamais le contenu des conversations. Meta achemine les webhooks de messages vers le système de l'entreprise, et nous ne conservons que les événements opérationnels dont la surveillance a besoin.
Questions fréquemment posées
Meta est-elle sous-traitant ou responsable du traitement pour Cloud API ?
Meta indique agir comme sous-traitant pour le compte de l'entreprise pour Cloud API, là où le droit reconnaît cette notion.
Combien de temps Meta conserve-t-elle le contenu des messages ?
Meta indique une durée maximale de conservation de 30 jours pour les messages Cloud API, pour des fonctions comme la retransmission.
EasyCoexistence voit-elle mes conversations ?
Meta achemine les événements de messages vers votre propre système, et EasyCoexistence ne stocke jamais le contenu des conversations.
Cette page est-elle un avis juridique ?
Non. Elle présente ce que Meta documente et ce que fait EasyCoexistence. L'évaluation de la conformité revient à l'entreprise et à ses conseils.
Poursuivre la lecture
Prêt à commencer ?
Configurez WhatsApp Coexistence en quelques minutes, pas en quelques mois. L’application continue de fonctionner sur le téléphone.
Commencer l'essai gratuitVérifié le