GDPR и Coexistence: куда попадают данные сообщений

Что меняется для данных сообщений, когда номер работает через Coexistence?

Переписка становится доступна не только телефону, но и Cloud API. В документации Meta по Coexistence сказано, что отправленные и полученные сообщения зеркалируются между Cloud API и приложением WhatsApp Business, что контакты с номером WhatsApp могут синхронизироваться, а сообщения чатов за последние шесть месяцев могут синхронизироваться при подключении. Групповые чаты не синхронизируются.

С этого момента личные сообщения номера проходят через Cloud API. По описанию Meta, полученное сообщение расшифровывается и передаётся компании, а исходящие шифруются по протоколу Signal до доставки.

На этой странице изложено то, что документирует Meta, и то, что делает EasyCoexistence. Это не юридическая консультация: соответствует ли конкретная схема требованиям GDPR, решают компания и её консультанты.

Что Meta говорит о своей роли в рамках GDPR?

Страница Meta о конфиденциальности данных в Cloud API излагает её позицию собственными словами.

• Там, где закон признаёт обработчика данных, Meta выступает им от имени компании при предоставлении Cloud API.
• Cloud API использует обрабатываемые сообщения только от имени и по указанию компании, если не указано иное.
• Сообщения хранятся не более 30 дней; идентификаторы пользователей удаляются в течение 30 дней после последнего обновления статуса сообщения.
• Клиенты Cloud API должны самостоятельно выполнять свои обязательства по законам, таким как GDPR.
• На клиентов в Европейском регионе распространяется WhatsApp Business Data Transfer Addendum.

Можно ли хранить данные сообщений в ЕС?

Meta предлагает локальное хранение Cloud API: содержимое сообщений в неактивном состоянии хранится в выбранной стране после короткого периода использования. Для Cloud API этот период составляет до 60 минут, и в это время содержимое может обрабатываться в центрах обработки данных Meta по всему миру. Европейские варианты: Германия для ЕС, Швейцария и Великобритания.

Локальное хранение задаётся при регистрации номера, а чтобы изменить его для уже зарегистрированного номера, нужно отменить регистрацию и зарегистрировать номер заново. В документации Meta по регистрации также сказано, что эндпоинт отмены регистрации нельзя использовать для номера, который работает одновременно с Cloud API и приложением WhatsApp Business, а отдельного способа включить локальное хранение для номера Coexistence она не описывает.

Куда попадают сообщения после Meta?

На тот эндпоинт, который получает вебхуки WhatsApp Business Account. Переопределение вебхуков в Meta позволяет приложению отправлять вебхуки конкретного аккаунта на другой URL обратного вызова, отличный от URL самого приложения.

EasyCoexistence использует это переопределение, чтобы направлять события сообщений в собственную систему компании. Поэтому Meta доставляет содержимое переписки туда, а не нам, и EasyCoexistence никогда не хранит содержимое переписки. Мы храним только служебные события, например состояние подключения и качество, из которых складывается мониторинг.

Meta также сообщает, что для Cloud API у неё есть отчёты SOC 2 Type II и ISO 27001, опубликованные в Business Messaging Compliance Center.

Распространённые ошибки

• Считать, что роль Meta как обработчика данных покрывает собственные обязательства компании. Meta заявляет, что клиенты должны сами выполнять свои обязательства по GDPR.
• Принимать синхронизацию истории, не решив, куда она попадёт. До шести месяцев чатов может быть доставлено в принимающую систему.
• Планировать включить локальное хранение позже. Оно задаётся при регистрации, а для изменения нужна повторная регистрация.

Часто задаваемые вопросы

Читайте дальше