AVG en Coexistence: waar berichtgegevens naartoe gaan

Wat verandert er voor berichtgegevens als een nummer Coexistence gebruikt?

De gesprekken worden zichtbaar voor Cloud API en niet alleen voor de telefoon. In de Coexistence-documentatie van Meta staat dat verzonden en ontvangen berichten worden gespiegeld tussen Cloud API en de WhatsApp Business-app, dat contacten met een WhatsApp-nummer kunnen worden gesynchroniseerd en dat chatberichten van de afgelopen zes maanden tijdens de onboarding kunnen worden gesynchroniseerd. Groepschats worden niet gesynchroniseerd.

Vanaf dat moment lopen de één-op-één-berichten van het nummer via Cloud API. Meta beschrijft dat als het ontsleutelen van een ontvangen bericht en het doorsturen ervan naar het bedrijf, en het versleutelen van uitgaande berichten met het Signal-protocol vóór aflevering.

Deze pagina geeft weer wat Meta documenteert en wat EasyCoexistence doet. Het is geen juridisch advies. Of een bepaalde opzet aan de AVG voldoet, beoordelen het bedrijf en de adviseurs ervan.

Wat zegt Meta zelf over zijn rol onder de AVG?

Op de pagina over gegevensprivacy van Cloud API zet Meta zijn standpunt in eigen woorden uiteen.

• Waar de wet een verwerker kent, treedt Meta bij het aanbieden van Cloud API op als verwerker namens het bedrijf.
• Cloud API gebruikt de berichten die het verwerkt alleen namens en in opdracht van het bedrijf, tenzij anders is aangegeven.
• Berichten worden maximaal 30 dagen bewaard. Gebruikersidentificatoren worden binnen 30 dagen na de laatste statusupdate van een bericht verwijderd.
• Klanten van Cloud API moeten zelf voldoen aan hun verplichtingen onder wetten zoals de AVG.
• Klanten in de Europese regio vallen onder het WhatsApp Business Data Transfer Addendum.

Kunnen berichtgegevens in de EU worden opgeslagen?

Meta biedt lokale opslag voor Cloud API, waarbij de inhoud van berichten in rust wordt bewaard in een gekozen land, na een korte periode van gebruik. Voor Cloud API duurt die periode maximaal 60 minuten, waarin de inhoud internationaal in datacenters van Meta kan worden verwerkt. De Europese opties zijn Duitsland voor de EU, Zwitserland en het Verenigd Koninkrijk.

Lokale opslag stel je in bij het registreren van een nummer. Wijzigen bij een geregistreerd nummer betekent het nummer afmelden en opnieuw registreren. In de registratiedocumentatie van Meta staat ook dat het deregistratie-endpoint niet kan worden gebruikt voor een nummer dat zowel met Cloud API als met de WhatsApp Business-app wordt gebruikt. Een apart pad om lokale opslag in te schakelen voor een Coexistence-nummer beschrijft Meta niet.

Waar gaan de berichten heen na Meta?

Naar het endpoint dat de webhooks van het WhatsApp Business Account ontvangt. Met de webhook-override van Meta kan een app de webhooks van een bepaald account naar een andere callback-URL sturen dan die van de app zelf.

EasyCoexistence gebruikt die override om berichtgebeurtenissen naar het eigen systeem van het bedrijf te sturen. Meta levert de inhoud van gesprekken dus daar af in plaats van bij ons, en EasyCoexistence slaat nooit gespreksinhoud op. Wat wij bewaren zijn de operationele gebeurtenissen, zoals de status en kwaliteit van de verbinding, waaruit monitoring bestaat.

Meta documenteert ook dat het over SOC 2 Type II- en ISO 27001-rapporten voor Cloud API beschikt, gepubliceerd via het Business Messaging Compliance Center.

Veelgemaakte fouten

• Ervan uitgaan dat de verwerkersrol van Meta de eigen verplichtingen van het bedrijf afdekt. Meta stelt dat klanten zelf aan hun AVG-verplichtingen moeten voldoen.
• De synchronisatie van de geschiedenis accepteren zonder te bepalen waar die terechtkomt. Tot zes maanden aan chats kan worden afgeleverd bij het ontvangende systeem.
• Van plan zijn lokale opslag later in te schakelen. Die stel je in bij de registratie, en wijzigen betekent opnieuw registreren.

Veelgestelde vragen

Lees verder