GDPR 与 Coexistence：消息数据去向何处

号码使用 Coexistence 后，消息数据有什么变化？

对话除了在手机上可见，Cloud API 也能看到。Meta 的 Coexistence 文档指出，收发的消息会在 Cloud API 与 WhatsApp Business 应用之间镜像，拥有 WhatsApp 号码的联系人可以同步，最近 6 个月的聊天消息可在接入期间同步。群聊不会同步。

从此时起，该号码的一对一消息会经由 Cloud API 传输。Meta 的描述是：收到消息后先解密再转发给企业，发出的消息则在投递前使用 Signal 协议加密。

本页陈述的是 Meta 的文档内容以及 EasyCoexistence 的做法，不构成法律意见。具体配置是否符合 GDPR，应由企业及其顾问判断。

Meta 如何说明自己在 GDPR 下的角色？

Meta 的 Cloud API 数据隐私页面用自己的话阐述了立场。

• 在法律承认数据处理者的情形下，Meta 提供 Cloud API 时是企业的数据处理者。
• 除非另有指示，Cloud API 仅代表企业并按企业的指示使用其处理的消息。
• 消息最多保留 30 天；用户标识符会在消息最后一次状态更新后 30 天内删除。
• Cloud API 客户必须自行履行 GDPR 等法律规定的义务。
• 欧洲地区的客户适用 WhatsApp Business Data Transfer Addendum。

消息数据可以存储在欧盟吗？

Meta 提供 Cloud API 本地存储：在短暂的使用期之后，消息内容会静态存放在所选国家。对 Cloud API 而言，该使用期最长 60 分钟，期间内容可能在 Meta 的国际数据中心处理。欧洲的选项是：德国（对应欧盟）、瑞士和英国。

本地存储在号码注册时设置，已注册号码要更改，就必须先取消注册再重新注册。Meta 的注册文档还指出，同时用于 Cloud API 和 WhatsApp Business 应用的号码不能使用取消注册端点，也没有说明在 Coexistence 号码上启用本地存储的单独途径。

经过 Meta 之后，消息去向何处？

去向接收该 WhatsApp Business 账户 Webhook 的任何端点。Meta 的 Webhook 覆盖功能允许应用把某个账户的 Webhook 发送到与应用自身不同的回调 URL。

EasyCoexistence 利用该覆盖功能，把消息事件指向企业自己的系统，因此 Meta 将对话内容直接投递到那里，而不是我们这里，EasyCoexistence 也从不存储对话内容。我们保留的是运营事件，例如连接状态和质量，监控正是由这些构成。

Meta 还说明，Cloud API 拥有 SOC 2 Type II 和 ISO 27001 报告，并通过其 Business Messaging Compliance Center 发布。

常见错误

• 以为 Meta 的处理者角色涵盖了企业自身的义务。Meta 明确表示，客户必须履行自己的 GDPR 义务。
• 接受历史记录同步，却没有决定它落在哪里。最多 6 个月的聊天可能被投递到接收系统。
• 打算以后再开启本地存储。它在注册时设置，更改就意味着重新注册。

常见问题

继续阅读