RGPD e Coexistence: para onde vão os dados das mensagens

O que muda nos dados das mensagens quando um número usa Coexistence?

As conversas passam a ficar visíveis para a Cloud API, além do telemóvel. A documentação da Meta sobre a Coexistence indica que as mensagens enviadas e recebidas são espelhadas entre a Cloud API e a app WhatsApp Business, que os contactos com número de WhatsApp podem ser sincronizados e que as mensagens dos últimos seis meses podem ser sincronizadas durante a integração. As conversas de grupo não são sincronizadas.

A partir desse momento, as mensagens individuais do número passam pela Cloud API, que a Meta descreve como a desencriptar uma mensagem recebida e a reencaminhá-la para a empresa, e a encriptar as mensagens enviadas com o protocolo Signal antes da entrega.

Esta página indica o que a Meta documenta e o que a EasyCoexistence faz. Não constitui aconselhamento jurídico, e cabe à empresa e aos seus consultores decidir se uma determinada configuração cumpre o RGPD.

O que diz a Meta sobre o seu próprio papel no âmbito do RGPD?

A página da Meta sobre privacidade de dados da Cloud API expõe a sua posição nas suas próprias palavras.

• Onde a lei reconhece a figura do subcontratante, a Meta atua como tal em nome da empresa ao fornecer a Cloud API.
• A Cloud API só utiliza as mensagens que processa em nome e por instrução da empresa, salvo indicação em contrário.
• As mensagens são conservadas no máximo 30 dias; os identificadores de utilizador são eliminados no prazo de 30 dias após a última atualização de estado de uma mensagem.
• Os clientes da Cloud API têm de cumprir as suas próprias obrigações ao abrigo de leis como o RGPD.
• Os clientes na Região Europeia estão abrangidos pelo WhatsApp Business Data Transfer Addendum.

Os dados das mensagens podem ser armazenados na UE?

A Meta oferece o armazenamento local da Cloud API, que mantém o conteúdo das mensagens em repouso num país escolhido, após um curto período de utilização. Na Cloud API, esse período de utilização é de até 60 minutos, durante os quais o conteúdo pode ser processado em centros de dados da Meta a nível internacional. As opções europeias são a Alemanha para a UE, a Suíça e o Reino Unido.

O armazenamento local define-se no momento do registo de um número, e alterá-lo num número já registado implica anular o registo e registá-lo de novo. A documentação de registo da Meta indica também que o endpoint de anulação de registo não pode ser usado num número que esteja em utilização simultânea com a Cloud API e a app WhatsApp Business, e não descreve um caminho separado para ativar o armazenamento local num número em Coexistence.

Para onde vão as mensagens depois da Meta?

Para o endpoint que receber os webhooks da conta WhatsApp Business. A substituição de webhook da Meta permite a uma aplicação enviar os webhooks de determinada conta para um URL de callback diferente do da própria aplicação.

A EasyCoexistence usa essa substituição para apontar os eventos de mensagens para o sistema da própria empresa, de modo que a Meta entrega aí o conteúdo das conversas e não a nós, e a EasyCoexistence nunca armazena o conteúdo das conversas. Guardamos os eventos operacionais, como o estado da ligação e a qualidade, que são o que a monitorização utiliza.

A Meta documenta ainda que dispõe de relatórios SOC 2 Type II e ISO 27001 para a Cloud API, publicados através do seu Business Messaging Compliance Center.

Erros comuns

• Presumir que o papel de subcontratante da Meta cobre as obrigações da própria empresa. A Meta afirma que os clientes têm de cumprir as suas próprias obrigações do RGPD.
• Aceitar a sincronização do histórico sem decidir onde ele vai parar. Até seis meses de conversas podem ser entregues ao sistema recetor.
• Planear ativar o armazenamento local mais tarde. Define-se no registo, e alterá-lo implica registar de novo.

Perguntas frequentes

Continue a ler