GDPR e Coexistência: para onde vão os dados das mensagens

O que muda para os dados das mensagens quando um número usa Coexistência?

As conversas passam a ficar visíveis para a Cloud API, além do celular. A documentação de Coexistência da Meta afirma que as mensagens enviadas e recebidas são espelhadas entre a Cloud API e o app do WhatsApp Business, que os contatos com número de WhatsApp podem ser sincronizados e que as mensagens dos últimos seis meses podem ser sincronizadas durante a integração. Conversas em grupo não são sincronizadas.

A partir daí, as mensagens individuais do número passam pela Cloud API, que a Meta descreve como descriptografando a mensagem recebida e encaminhando-a à empresa, e criptografando as mensagens enviadas com o protocolo Signal antes da entrega.

Esta página apresenta o que a Meta documenta e o que a EasyCoexistence faz. Não é aconselhamento jurídico, e cabe à empresa e aos seus assessores decidir se uma configuração atende ao GDPR.

O que a Meta diz sobre o próprio papel perante o GDPR?

A página de privacidade de dados da Cloud API da Meta expõe a posição da empresa com as próprias palavras.

• Onde a lei reconhece o operador de dados, a Meta atua como tal em nome da empresa ao fornecer a Cloud API.
• A Cloud API usa as mensagens que processa somente em nome da empresa e sob a instrução dela, salvo orientação em contrário.
• As mensagens são retidas por no máximo 30 dias; os identificadores de usuário são excluídos em até 30 dias após a última atualização de status de uma mensagem.
• Os clientes da Cloud API devem cumprir as próprias obrigações previstas em leis como o GDPR.
• Clientes na Região Europeia são cobertos pelo WhatsApp Business Data Transfer Addendum.

Os dados das mensagens podem ser armazenados na UE?

A Meta oferece o armazenamento local da Cloud API, que mantém o conteúdo das mensagens em repouso em um país escolhido, após um curto período de uso. Na Cloud API, esse período de uso é de até 60 minutos, e nele o conteúdo pode ser processado em data centers da Meta em outros países. As opções europeias são Alemanha para a UE, Suíça e Reino Unido.

O armazenamento local é definido no registro do número, e alterá-lo em um número já registrado exige cancelar o registro e registrar de novo. A documentação de registro da Meta também afirma que o endpoint de cancelamento de registro não pode ser usado em um número em uso simultâneo com a Cloud API e o app do WhatsApp Business, e não descreve um caminho separado para ativar o armazenamento local em um número em Coexistência.

Para onde vão as mensagens depois da Meta?

Para o endpoint que receber os webhooks da conta do WhatsApp Business. O override de webhook da Meta permite que um app envie os webhooks de uma determinada conta para uma URL de callback diferente da URL do próprio app.

A EasyCoexistence usa esse override para apontar os eventos de mensagens para o sistema da própria empresa. Assim, a Meta entrega o conteúdo das conversas lá, e não a nós, e a EasyCoexistence nunca armazena o conteúdo das conversas. O que guardamos são os eventos operacionais, como estado da conexão e qualidade, dos quais o monitoramento é feito.

A Meta também documenta que possui relatórios SOC 2 Type II e ISO 27001 para a Cloud API, publicados no Business Messaging Compliance Center.

Erros comuns

• Presumir que o papel de operadora da Meta cobre as obrigações da própria empresa. A Meta afirma que os clientes devem cumprir as próprias obrigações do GDPR.
• Aceitar a sincronização do histórico sem decidir onde ele vai parar. Até seis meses de conversas podem ser entregues ao sistema receptor.
• Planejar ativar o armazenamento local depois. Ele é definido no registro, e alterá-lo significa registrar de novo.

Perguntas frequentes

Continue lendo