Sicurezza e privacy della WhatsApp Business API: cosa sapere

Questa guida è pensata per CTO, responsabili della sicurezza, DPO e responsabili compliance che devono approvare un programma WhatsApp Business API o rispondere alla domanda di un cliente su di esso. Capirete dove i dati sono cifrati e dove sono leggibili, chi li detiene e per quanto tempo, quali controlli spettano a voi e che cosa chiedere a un fornitore di messaggistica prima di firmare.

La WhatsApp Business API è cifrata end-to-end?

Non nel modo in cui lo sono le chat dei consumatori. Meta afferma che con la Cloud API i messaggi viaggiano cifrati con il protocollo Signal tra il cliente e la Cloud API, che agisce per conto dell'azienda. La Cloud API li decifra e li inoltra all'azienda via HTTPS protetto da TLS; per i messaggi in uscita accade il contrario.

In pratica significa:

• Tra il telefono del cliente e la Cloud API di Meta: cifratura con protocollo Signal.
• All'interno della Cloud API: i messaggi sono leggibili dal servizio per l'elaborazione; Meta afferma che i dati a riposo sono cifrati e che la Cloud API gestisce le chiavi per conto dell'azienda.
• Tra la Cloud API e il vostro provider o i vostri server: TLS in transito, poi la protezione che applicano il provider e voi.

Quindi l'affermazione onesta da fare ai clienti è "cifrato in transito e protetto dalla cifratura di WhatsApp fino al nostro fornitore di servizi", non "solo voi e il cliente potete leggerlo". Meta afferma inoltre che, dove la normativa sulla protezione dei dati usa questi concetti, agisce come responsabile del trattamento (data processor) o fornitore di servizi per l'azienda nel fornire la Cloud API.

Dove vivono i dati e per quanto tempo?

I dati esistono in almeno tre posti, ciascuno con la propria conservazione. Mappateli tutti e tre prima di approvare un programma.

Meta elabora il traffico della Cloud API nei propri data center. Se vi serve il contenuto dei messaggi a riposo in un paese specifico, Meta offre l'archiviazione locale, un'impostazione per ogni numero di telefono aziendale. Con essa attiva, il contenuto dei messaggi può comunque essere elaborato a livello internazionale mentre è in uso, fino a 60 minuti sulla Cloud API, poi persiste solo nella regione selezionata. Si può attivare o disattivare solo mentre il numero non è registrato e le regioni supportate sono elencate nella documentazione di registrazione di Meta, quindi confermate la disponibilità per il vostro paese prima di farvi affidamento.

L'archiviazione locale riguarda solo il lato di Meta. Chiedete separatamente al vostro provider dove conserva conversazioni e backup.

Quali normative si applicano?

Dipende da dove si trovano voi e i vostri clienti. Nel Golfo (GCC), la legge sulla protezione dei dati personali degli Emirati Arabi Uniti e quella dell'Arabia Saudita, vigilata dalla SDAIA, stabiliscono regole su liceità del trattamento, consenso, limitazione delle finalità e trasferimenti transfrontalieri; le autorità di settore in ambito bancario, sanitario e delle telecomunicazioni possono aggiungerne altre. I clienti nell'UE o nel Regno Unito portano il GDPR nell'ambito di applicazione. La documentazione di Meta afferma che i clienti della Cloud API devono rispettare i propri obblighi previsti dalle leggi sulla protezione dei dati.

Considerate questa sezione un orientamento, non una consulenza legale. Fate mappare a un consulente quali leggi si applicano ai vostri specifici flussi di dati.

Chi dovrebbe avere accesso e come?

Gli errori di controllo degli accessi causano più incidenti della crittografia. Mettete in sicurezza questi livelli:

1. Portfolio aziendale Meta. Tenete l'account WhatsApp Business (WABA) nel vostro portfolio, imponete l'autenticazione a due fattori agli amministratori e rimuovete tempestivamente chi se ne va.
2. PIN della verifica in due passaggi. Il PIN di sei cifre protegge la registrazione del vostro numero. Conservatelo nel vostro password manager, non nella casella di posta di un fornitore. Sottoscrivete il webhook di sicurezza di Meta, che segnala le modifiche del PIN e i tentativi di disattivare la verifica in due passaggi.
3. Token API. Usate token di utente di sistema con le sole autorizzazioni necessarie, conservateli in un gestore dei segreti e ruotateli quando cambiano personale o fornitori.
4. Endpoint dei webhook. Accettate solo HTTPS, verificate la firma del payload di Meta con il segreto della vostra app e non registrate mai i payload completi in console condivise.
5. Accesso degli agenti. Date agli agenti un accesso basato sui ruoli alle code che servono, limitate l'esportazione massiva e registrate chi ha visualizzato o esportato che cosa.
6. Accesso dei fornitori. Sappiate quale personale del provider può accedere alle vostre conversazioni, con quale processo e come viene registrato l'accesso.

Come gestire i dati personali nei template e nelle chat?

Raccogliete il minimo e non raccogliete mai ciò che la policy vieta. La Business Messaging Policy di WhatsApp afferma che le aziende non devono condividere né chiedere alle persone di condividere numeri completi di carte di pagamento, numeri di conti finanziari, numeri di documenti di identità personali o altri identificatori sensibili.

Regole pratiche:

• Template: evitate di inserire dati sensibili nelle variabili. Usate "il vostro ordine che termina con 4821" anziché i dati completi dell'account; i parametri dei template sono contenuto del messaggio e vengono conservati come qualsiasi altro messaggio.
• Pagamenti e identità: inviate un pulsante CTA URL verso una pagina web sicura invece di raccogliere i dati in chat.
• OTP: usate template di autenticazione e scadenza breve; vedi la nostra guida alla sicurezza degli OTP.
• Media: trattate per impostazione predefinita come sensibili le immagini e i documenti inviati dai clienti e applicate loro una regola di conservazione.
• Esportazioni: le esportazioni CSV di conversazioni o report sono i dati più facili da far trapelare. Limitatele e registratele.

Cosa chiedere a un fornitore di WhatsApp API?

Usate questa checklist negli acquisti. Chiedete evidenze, non aggettivi.

1. Chi è titolare del WABA e del portfolio aziendale Meta in cui si trova, e possiamo migrare altrove?
2. Dove sono conservati conversazioni, media e backup, e in quali paesi?
3. Qual è la conservazione predefinita e possiamo configurare l'eliminazione per tipo di dato?
4. Quali valutazioni o certificazioni di sicurezza indipendenti possedete? Chiedete report o certificati, con il perimetro.
5. Come vengono registrati l'accesso del personale, le azioni degli amministratori e le esportazioni, e possiamo vedere quei log?
6. Come sono conservati i token API e il PIN della verifica in due passaggi e chi può usarli?
7. Quali sub-responsabili utilizzate e come vengono comunicate le modifiche?
8. Qual è il vostro processo di notifica degli incidenti e quali sono i tempi?
9. Usate i nostri dati dei messaggi per addestrare modelli di IA? I termini della piattaforma di Meta limitano questa pratica quando un'azienda si avvale di un provider di IA.
10. Possiamo firmare un accordo sul trattamento dei dati che rifletta le leggi applicabili a noi?

Esempio pratico: l'approvazione di una compagnia assicurativa di Abu Dhabi

Un esempio di fantasia. "Falcon Assurance" vuole aggiornamenti sui sinistri via WhatsApp. Il team di sicurezza mappa i flussi di dati: Cloud API di Meta, un provider di inbox e il sistema di gestione dei sinistri. Conferma il ruolo di responsabile del trattamento di Meta e la conservazione di 30 giorni, verifica se l'archiviazione locale è disponibile per il proprio paese e chiede al provider sedi di archiviazione e sub-responsabili.

Decidono che i template dei sinistri faranno riferimento solo ai numeri di sinistro, mai agli ID degli assicurati o ai dati bancari; i pagamenti passano da un pulsante CTA URL verso il loro portale. Gli agenti vedono solo la coda della propria regione, le esportazioni richiedono l'approvazione di un supervisore e il PIN è nel caveau aziendale. L'approvazione assume la forma di un flusso di dati documentato e di un registro dei rischi, non di un semplice sì o no.

Errori comuni e limiti onesti

• Dire ai clienti che le chat sono "cifrate end-to-end fino a noi". Siate precisi.
• Valutare solo Meta. Provider e sistemi vostri detengono i dati più longevi.
• Lasciare a un fornitore la titolarità del WABA e del PIN. Complica controllo e migrazione.
• Nessuna regola di conservazione per l'inbox. "Per sempre" è anch'essa una decisione, e spesso scadente.
• Fare troppo affidamento sulle certificazioni. Verificatene il perimetro; non coprono la vostra configurazione.

Come vi aiuta OmniChannels.ai

OmniChannels.ai, basato su BroadNet Technologies, attiva le aziende sulla WhatsApp Business API tramite Meta Embedded Signup, che crea l'account WhatsApp Business all'interno del portfolio Meta dell'azienda stessa. I template hanno un'anteprima e vengono monitorati fino all'approvazione, così i team possono rivedere quali dati porta ciascun template prima dell'invio. BroadNet possiede le certificazioni ISO/IEC 27001:2022, ISO/IEC 27018 e SOC 2 Type II ed è conforme al GDPR. Autenticazione API e webhook sono documentati pubblicamente nella pagina per sviluppatori. Contattateci per esaminare le vostre domande sulla sicurezza.