RODO i Coexistence: dokąd trafiają dane wiadomości

Co zmienia się w danych wiadomości, gdy numer korzysta z Coexistence?

Rozmowy stają się widoczne dla Cloud API, a nie tylko na telefonie. Dokumentacja Coexistence od Meta podaje, że wysłane i odebrane wiadomości są odzwierciedlane między Cloud API a aplikacją WhatsApp Business, że kontakty z numerem WhatsApp mogą być synchronizowane, a wiadomości czatów z ostatnich sześciu miesięcy mogą być synchronizowane podczas podłączania. Czaty grupowe nie są synchronizowane.

Od tej chwili wiadomości indywidualne z tego numeru przechodzą przez Cloud API. Meta opisuje to tak: odebraną wiadomość odszyfrowuje i przekazuje firmie, a wiadomości wychodzące szyfruje protokołem Signal przed dostarczeniem.

Ta strona przedstawia to, co dokumentuje Meta, i to, co robi EasyCoexistence. Nie jest poradą prawną, a ocena, czy dana konfiguracja spełnia wymogi RODO, należy do firmy i jej doradców.

Co Meta mówi o własnej roli w świetle RODO?

Strona Meta o prywatności danych w Cloud API przedstawia jej stanowisko jej własnymi słowami.

• Tam, gdzie prawo zna podmiot przetwarzający, Meta działa jako taki podmiot w imieniu firmy, udostępniając Cloud API.
• Cloud API wykorzystuje przetwarzane wiadomości wyłącznie w imieniu firmy i na jej polecenie, chyba że wskazano inaczej.
• Wiadomości są przechowywane najwyżej 30 dni, a identyfikatory użytkowników są usuwane w ciągu 30 dni od ostatniej aktualizacji statusu wiadomości.
• Klienci Cloud API muszą wypełniać własne obowiązki wynikające z przepisów takich jak RODO.
• Klientów z regionu europejskiego obejmuje WhatsApp Business Data Transfer Addendum.

Czy dane wiadomości można przechowywać w UE?

Meta oferuje lokalne przechowywanie w Cloud API, które trzyma treść wiadomości w spoczynku w wybranym kraju po krótkim okresie użycia. W Cloud API ten okres wynosi do 60 minut i w tym czasie treść może być przetwarzana w centrach danych Meta na całym świecie. Opcje europejskie to Niemcy dla UE, Szwajcaria i Wielka Brytania.

Lokalne przechowywanie ustawia się przy rejestracji numeru, a zmiana na zarejestrowanym numerze oznacza wyrejestrowanie i ponowną rejestrację. Dokumentacja rejestracji Meta podaje też, że endpointu wyrejestrowania nie można użyć na numerze działającym jednocześnie w Cloud API i w aplikacji WhatsApp Business, i nie opisuje osobnej ścieżki włączenia lokalnego przechowywania dla numeru Coexistence.

Dokąd trafiają wiadomości po przejściu przez Meta?

Na dowolny endpoint, który odbiera webhooki konta WhatsApp Business. Nadpisanie webhooka w Meta pozwala aplikacji wysyłać webhooki danego konta na inny adres URL wywołania zwrotnego niż własny adres aplikacji.

EasyCoexistence używa tego nadpisania, by skierować zdarzenia wiadomości do systemu firmy. Dzięki temu Meta dostarcza treść rozmów właśnie tam, a nie do nas, i EasyCoexistence nigdy nie przechowuje treści rozmów. Zachowujemy zdarzenia operacyjne, takie jak stan połączenia i jakość, z których składa się monitorowanie.

Meta podaje również, że dla Cloud API posiada raporty SOC 2 Type II i ISO 27001, publikowane w Business Messaging Compliance Center.

Typowe błędy

• Zakładanie, że rola podmiotu przetwarzającego po stronie Meta obejmuje własne obowiązki firmy. Meta oświadcza, że klienci muszą wypełniać własne obowiązki wynikające z RODO.
• Zgoda na synchronizację historii bez decyzji, gdzie ona trafi. Do systemu odbierającego może zostać dostarczona historia czatów z okresu do sześciu miesięcy.
• Plan włączenia lokalnego przechowywania później. Ustawia się je przy rejestracji, a zmiana oznacza ponowną rejestrację.

Najczęściej zadawane pytania

Czytaj dalej