أمان وخصوصية WhatsApp Business API: ما ينبغي أن تعرفه

هذا الدليل موجّه إلى مديري التقنية ومسؤولي الأمن ومسؤولي حماية البيانات وقادة الامتثال الذين عليهم اعتماد برنامج WhatsApp Business API أو الإجابة عن سؤال لعميل بشأنه. ستفهم أين تُشفَّر البيانات وأين تكون مقروءة، ومن يحتفظ بها ولكم من الوقت، وأي الضوابط بيدك، وما الذي ينبغي أن تسأل عنه مزوّد المراسلة قبل التوقيع.

هل WhatsApp Business API مشفر من طرف إلى طرف؟

ليس بالطريقة التي تُشفَّر بها المحادثات الشخصية. تذكر Meta أنه مع Cloud API تنتقل الرسائل مشفرة ببروتوكول Signal بين العميل وCloud API الذي يعمل نيابة عن النشاط التجاري. يفك Cloud API تشفيرها ويحوّلها إلى النشاط عبر HTTPS المحمي بـ TLS؛ ويحدث العكس للرسائل الصادرة.

عمليًا يعني ذلك:

• بين هاتف العميل وCloud API لدى Meta: تشفير ببروتوكول Signal.
• داخل Cloud API: الرسائل مقروءة للخدمة لأغراض المعالجة؛ وتذكر Meta أن البيانات المخزَّنة مشفرة وأن Cloud API يدير المفاتيح نيابةً عن النشاط التجاري.
• بين Cloud API ومزوّدك أو خوادمك: TLS أثناء النقل، ثم أي حماية يطبقها مزوّدك وتطبقها أنت.

لذا فالعبارة الصادقة للعملاء هي "مشفرة أثناء النقل ومحمية بتشفير WhatsApp حتى مزوّد خدمتنا"، لا "لا يقرؤها سواك وسوى العميل". وتقول Meta أيضًا إنها، حيثما تستخدم قوانين حماية البيانات هذه المفاهيم، تعمل بصفة معالج بيانات أو مزوّد خدمة للنشاط التجاري عند تقديم Cloud API.

أين تُخزَّن البيانات ولكم من الوقت؟

توجد البيانات في ثلاثة مواضع على الأقل، ولكل منها مدة احتفاظ خاصة. ارسم الثلاثة جميعًا قبل اعتماد أي برنامج.

تعالج Meta حركة Cloud API في مراكز بياناتها. وإذا احتجت إلى بقاء محتوى الرسائل المخزَّن في دولة محددة، فتقدّم Meta التخزين المحلي، وهو إعداد على كل رقم هاتف تجاري. عند تفعيله قد يظل محتوى الرسائل يُعالج دوليًا أثناء استخدامه لمدة تصل إلى 60 دقيقة على Cloud API، ثم يُحفظ في المنطقة المختارة فقط. ولا يمكن تشغيله أو إيقافه إلا والرقم غير مسجَّل، وتُدرج وثائق التسجيل لدى Meta المناطق المدعومة، لذا تأكد من توفره لدولتك قبل الاعتماد عليه.

يغطي التخزين المحلي جانب Meta وحده. اسأل مزوّدك بشكل منفصل عن مكان تخزينه للمحادثات والنسخ الاحتياطية.

ما اللوائح التي تنطبق؟

يعتمد ذلك على مكان وجودك ووجود عملائك. في دول الخليج، يضع نظام حماية البيانات الشخصية في الإمارات ونظام حماية البيانات الشخصية في السعودية، الذي تشرف عليه سدايا (SDAIA)، قواعد بشأن المعالجة المشروعة والموافقة وتحديد الغرض ونقل البيانات عبر الحدود؛ وقد تضيف الجهات التنظيمية القطاعية في المصارف والصحة والاتصالات متطلبات أخرى. ويُدخل العملاء في الاتحاد الأوروبي أو المملكة المتحدة اللائحة العامة لحماية البيانات (GDPR) في النطاق. وتنص وثائق Meta على أن على عملاء Cloud API الوفاء بالتزاماتهم الخاصة بموجب قوانين حماية البيانات.

اعتبر هذا القسم توجيهًا عامًا لا استشارة قانونية. اطلب من مستشارك القانوني تحديد القوانين المنطبقة على تدفقات بياناتك المحددة.

من ينبغي أن يملك صلاحية الوصول، وكيف؟

إخفاقات ضبط الوصول تتسبب في حوادث أكثر مما يتسبب فيه التشفير. أحكم هذه الطبقات:

1. حافظة أعمال Meta. أبقِ حساب WhatsApp Business (WABA) في محفظتك الخاصة، وفرض المصادقة الثنائية على المسؤولين، وأزل المغادرين فورًا.
2. رمز PIN للتحقق بخطوتين. يحمي هذا الرمز المكوّن من ستة أرقام تسجيل رقمك. احفظه في مدير كلمات المرور لديك لا في بريد مزوّد. واشترك في webhook الأمان لدى Meta الذي يبلّغ عن تغييرات رمز PIN ومحاولات إيقاف التحقق بخطوتين.
3. رموز الـ API. استخدم رموز مستخدم النظام بالصلاحيات اللازمة فقط، واحفظها في مدير أسرار، ودوّرها عند تغيّر الموظفين أو المزوّدين.
4. نقطة نهاية webhook. اقبل HTTPS فقط، وتحقق من توقيع حمولة Meta باستخدام سر تطبيقك، ولا تسجّل الحمولات كاملة في وحدات تحكم مشتركة.
5. وصول الموظفين. امنح الموظفين وصولًا قائمًا على الأدوار إلى الطوابير التي يخدمونها فقط، وقيّد التصدير الجماعي، وسجّل من اطّلع على ماذا أو صدّره.
6. وصول المزوّد. اعرف أي موظفي المزوّد يمكنهم الاطلاع على محادثاتك، وبأي إجراء، وكيف يُسجَّل هذا الوصول.

كيف تتعامل مع البيانات الشخصية (PII) في القوالب والمحادثات؟

اجمع الحد الأدنى، ولا تجمع أبدًا ما تحظره السياسة. تقضي سياسة WhatsApp للمراسلة التجارية بألا تشارك الشركات أرقام بطاقات الدفع كاملة أو أرقام الحسابات المالية أو أرقام بطاقات الهوية الشخصية أو غيرها من المعرّفات الحساسة، وألا تطلب من الناس مشاركتها.

قواعد عملية:

• القوالب: تجنب وضع البيانات الحساسة في المتغيرات. استخدم "طلبك المنتهي بـ 4821" بدلًا من تفاصيل الحساب كاملة؛ فمعاملات القالب جزء من محتوى الرسالة وتُخزَّن كأي رسالة أخرى.
• المدفوعات والهوية: أرسل زر CTA URL إلى صفحة ويب آمنة بدلًا من جمع التفاصيل داخل المحادثة.
• رموز OTP: استخدم قوالب المصادقة ومدة صلاحية قصيرة؛ راجع دليل أمان OTP.
• الوسائط: عامل الصور والمستندات التي يرسلها العملاء على أنها حساسة افتراضيًا وطبّق عليها مدة احتفاظ.
• التصدير: ملفات CSV للمحادثات أو التقارير أسهل البيانات تسريبًا. قيّدها وسجّلها.

ماذا تسأل مزوّد WhatsApp API؟

استخدم هذه القائمة في المشتريات. اطلب الأدلة لا الصفات.

1. من يملك حساب WABA وحافظة أعمال Meta التي يقع فيها، وهل يمكننا الانتقال منه؟
2. أين تُخزَّن المحادثات والوسائط والنسخ الاحتياطية، وفي أي دول؟
3. ما مدة الاحتفاظ الافتراضية، وهل يمكننا ضبط الحذف بحسب نوع البيانات؟
4. ما التقييمات الأمنية المستقلة أو الشهادات التي تحملونها؟ اطلب التقارير أو الشهادات مع نطاقها.
5. كيف يُسجَّل وصول الموظفين وإجراءات المسؤولين وعمليات التصدير، وهل يمكننا الاطلاع على هذه السجلات؟
6. كيف تُخزَّن رموز الـ API ورمز PIN للتحقق بخطوتين، ومن يستطيع استخدامها؟
7. ما المعالجون الفرعيون الذين تستخدمونهم، وكيف نُبلَّغ بالتغييرات؟
8. ما إجراء الإبلاغ عن الحوادث وجدوله الزمني؟
9. هل تستخدمون بيانات رسائلنا لتدريب نماذج الذكاء الاصطناعي؟ تقيّد شروط منصة Meta ذلك حين تستعين الشركة بمزوّد ذكاء اصطناعي.
10. هل يمكننا توقيع اتفاقية معالجة بيانات تعكس القوانين المنطبقة علينا؟

مثال تطبيقي: اعتماد شركة تأمين في أبوظبي

هذا مثال افتراضي. تريد "Falcon Assurance" إرسال تحديثات المطالبات عبر WhatsApp. يرسم فريق الأمن تدفقات البيانات: Meta Cloud API، ومزوّد صندوق وارد، ونظام المطالبات. ويؤكدون صفة المعالج لدى Meta ومدة الاحتفاظ البالغة 30 يومًا، ويتحققون من توفر التخزين المحلي لدولتهم، ويسألون المزوّد عن مواقع التخزين والمعالجين الفرعيين.

ويقررون أن تشير قوالب المطالبات إلى أرقام المطالبات فقط، لا إلى هويات حاملي الوثائق ولا إلى التفاصيل المصرفية؛ وتمر المدفوعات عبر زر CTA URL إلى بوابتهم. ولا يرى الموظفون إلا طابور منطقتهم، ويتطلب التصدير موافقة المشرف، ويُحفظ رمز PIN في الخزنة المؤسسية. ويأتي الاعتماد في صورة مخطط موثّق لتدفق البيانات وسجل مخاطر، لا مجرد "نعم" أو "لا".

أخطاء شائعة وحدود صريحة

• إخبار العملاء بأن المحادثات "مشفرة من طرف إلى طرف حتى نحن". كن دقيقًا.
• تقييم Meta وحدها. المزوّدون وأنظمتك تحتفظ بأطول البيانات عمرًا.
• ترك المزوّد يملك WABA ورمز PIN. يعقّد ذلك التحكم والانتقال.
• غياب قاعدة احتفاظ لصندوق الوارد. "إلى الأبد" قرار أيضًا، وغالبًا قرار سيئ.
• المبالغة في الاعتماد على الشهادات. افحص نطاقها؛ فهي لا تغطي إعداداتك أنت.

كيف تساعدك OmniChannels.ai

تربط OmniChannels.ai، المدعومة من BroadNet Technologies، الشركات بـ WhatsApp Business API عبر Meta Embedded Signup، الذي ينشئ حساب WhatsApp Business داخل محفظة Meta الخاصة بالنشاط التجاري نفسه. وتُعاين القوالب وتُتتبَّع حتى الاعتماد، فيتمكن الفريق من مراجعة البيانات التي يحملها كل قالب قبل إرساله. وتحمل BroadNet شهادتي ISO/IEC 27001:2022 وISO/IEC 27018 وتقرير SOC 2 Type II، وتلتزم بـ GDPR. ومصادقة API وwebhooks موثّقة للعموم في صفحة المطورين. تواصل معنا لمراجعة أسئلتك الأمنية.