--- title: "Seguridad y privacidad de la API de WhatsApp Business: guía" description: "Seguridad de la API de WhatsApp Business: cifrado de Cloud API, retención de 30 días, almacenamiento local, accesos, datos personales y preguntas al proveedor." canonical: "https://omnichannels.ai/es/blog/whatsapp-business-api-security-privacy/" language: "es" updated: "2026-10-10" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "compliance" primaryQuery: "whatsapp business api security and privacy" keywords: ["API de WhatsApp Business cifrado de extremo a extremo", "retención de datos WhatsApp Cloud API", "almacenamiento local WhatsApp Cloud API", "API de WhatsApp RGPD", "privacidad de datos WhatsApp Business", "cuestionario de seguridad proveedor WhatsApp", "WhatsApp y ley PDPL de Arabia Saudí"] published: "2026-10-10" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 8 answer: "Los mensajes de WhatsApp dirigidos a una empresa en Cloud API se cifran con el protocolo Signal entre el teléfono del cliente y Cloud API, que Meta opera para la empresa. Cloud API los descifra y los entrega por HTTPS a la empresa o su proveedor: no hay cifrado de extremo a extremo hasta sus servidores. Meta afirma ser encargado del tratamiento y conserva los datos hasta 30 días. Su proveedor y sus controles de acceso cubren el resto." takeaways: ["Meta afirma que Cloud API descifra los mensajes entrantes y los reenvía a la empresa, y que gestiona las claves de cifrado en nombre de la empresa.", "Meta indica que los datos de mensajes de Cloud API tienen un periodo máximo de retención de 30 días, y que Meta actúa como encargado del tratamiento cuando presta Cloud API.", "El almacenamiento local permite a una empresa mantener el contenido de los mensajes en reposo en un país elegido, y los datos en uso pueden tratarse internacionalmente hasta 60 minutos en Cloud API.", "La política de mensajería empresarial de WhatsApp prohíbe pedir a los clientes números completos de tarjetas de pago, de cuentas financieras o de documentos nacionales de identidad.", "La mayor parte del riesgo real queda fuera de Meta: almacenamiento del proveedor, endpoints de webhooks, acceso de los agentes, exportaciones y el PIN que protege el registro del número."] faq: - q: "¿Está la API de WhatsApp Business cifrada de extremo a extremo?" a: "En parte. Meta indica que los mensajes viajan cifrados con el protocolo Signal entre el cliente y Cloud API, que actúa en nombre de la empresa. Después Cloud API descifra el mensaje y lo envía a la empresa por HTTPS protegido con TLS. Así, el extremo cifrado del lado de la empresa es Cloud API de Meta, no sus propios servidores, y su proveedor y sus sistemas manejan contenido legible." - q: "¿Usa Meta los mensajes de WhatsApp Business para publicidad?" a: "La documentación de Cloud API de Meta afirma que Cloud API no usará automáticamente los mensajes de WhatsApp para determinar los anuncios que ve una persona, y que Meta actúa como encargado del tratamiento para la empresa. Las propias empresas pueden usar los mensajes que reciben para su marketing, conforme a la ley y a sus avisos de privacidad, por lo que su propia política importa." - q: "¿Cuánto tiempo conserva WhatsApp Cloud API los datos de los mensajes?" a: "Meta indica un periodo máximo de retención de 30 días para los datos de los mensajes, usados para funciones como la retransmisión, y señala que los identificadores de usuario se eliminan en los 30 días siguientes a la última actualización de estado de un mensaje, salvo instrucción en contrario. Su proveedor y sus propios sistemas pueden conservar los datos mucho más tiempo, así que defina y documente la retención en esos niveles por separado." - q: "¿Pueden los datos de los mensajes de WhatsApp quedarse en Arabia Saudí o en los Emiratos?" a: "Meta ofrece un ajuste de almacenamiento local por número de teléfono de empresa que mantiene el contenido de los mensajes en reposo en un país designado, mientras que el tratamiento en los centros de datos de Meta se realiza a escala internacional durante un máximo de 60 minutos. Las regiones admitidas figuran en la documentación de registro de Meta y cambian con el tiempo, así que consulte la lista vigente. Los datos que guarda su proveedor son otra cuestión, que debe plantearle a él." - q: "¿Qué certificaciones de seguridad tiene WhatsApp Cloud API?" a: "La página de privacidad de datos de Meta indica que ha obtenido informes SOC 2 Tipo II e ISO 27001 para Cloud API y remite al Meta Business Messaging Compliance Center para la documentación. Esos informes cubren solo el servicio de Meta. Su proveedor de mensajería, su CRM y su alojamiento necesitan cada uno su propia evaluación, así que pida pruebas directamente a cada proveedor." sources: - title: "Privacidad y seguridad de los datos — WhatsApp Cloud API, Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/data-privacy-and-security" - title: "Acerca de la plataforma: cifrado — Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/about-the-platform" - title: "Almacenamiento local — Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/local-storage" - title: "Política de mensajería empresarial de WhatsApp — WhatsApp" url: "https://whatsappbusiness.com/policy/" - title: "Términos de Meta para la plataforma de WhatsApp Business — Meta" url: "https://www.facebook.com/legal/Meta-Terms-for-WhatsApp-Business-Platform" --- # Seguridad y privacidad de la API de WhatsApp Business: guía Canonical: https://omnichannels.ai/es/blog/whatsapp-business-api-security-privacy/ Language: es Publisher: OmniChannels.ai by BroadNet Technologies Esta guía está dirigida a CTO, responsables de seguridad, DPO y responsables de cumplimiento que deben aprobar un programa de WhatsApp Business API o responder a la pregunta de un cliente sobre él. Entenderá dónde se cifran los datos y dónde son legibles, quién los guarda y durante cuánto tiempo, qué controles dependen de usted y qué preguntar a un proveedor de mensajería antes de firmar. ## ¿Está cifrada de extremo a extremo la API de WhatsApp Business? No como los chats de consumidores. Meta indica que, con Cloud API, los mensajes viajan cifrados con el protocolo Signal entre el cliente y Cloud API, que actúa en nombre de la empresa. Cloud API los descifra y los reenvía a la empresa por HTTPS protegido con TLS; en los mensajes salientes ocurre lo contrario. En la práctica: - **Entre el teléfono del cliente y Cloud API de Meta:** cifrado con el protocolo Signal. - **Dentro de Cloud API:** el servicio puede leer los mensajes para procesarlos; Meta afirma que los datos en reposo están cifrados y que Cloud API gestiona las claves en nombre de la empresa. - **Entre Cloud API y su proveedor o sus servidores:** TLS en tránsito y, después, la protección que apliquen su proveedor y usted. Por tanto, la afirmación honesta ante los clientes es «cifrado en tránsito y protegido por el cifrado de WhatsApp hasta nuestro proveedor de servicios», no «solo usted y el cliente pueden leerlo». Meta indica además que, cuando las leyes de protección de datos emplean esos conceptos, actúa como **encargado del tratamiento** o proveedor de servicios de la empresa al prestar Cloud API. ## ¿Dónde residen los datos y durante cuánto tiempo? Los datos existen al menos en tres lugares, cada uno con su propia retención. Trace el mapa de los tres antes de aprobar un programa. | Ubicación | Qué se almacena | Retención (según lo publicado) | Quién la controla | |---|---|---|---| | Meta Cloud API | Contenido de los mensajes, archivos multimedia, identificadores | Datos de mensajes hasta 30 días; identificadores eliminados en los 30 días siguientes a la última actualización de estado, salvo instrucción en contrario | Meta, como encargado del tratamiento | | Proveedor de mensajería o plataforma de bandeja de entrada compartida | Conversaciones, contactos, plantillas, informes, registros | Según contrato y ajustes del proveedor | El proveedor, según sus instrucciones | | Sus sistemas | Fichas de CRM, exportaciones, almacenes de datos, copias de seguridad | Su política | Usted | Meta procesa el tráfico de Cloud API en sus centros de datos. Si necesita el contenido de los mensajes en reposo en un país concreto, Meta ofrece el **almacenamiento local**, un ajuste de cada número de teléfono de empresa. Cuando está activado, el contenido de los mensajes aún puede tratarse internacionalmente mientras está en uso, hasta 60 minutos en Cloud API, y después solo persiste en la región elegida. Solo se puede activar o desactivar mientras el número no está registrado, y las regiones admitidas figuran en la documentación de registro de Meta, así que confirme la disponibilidad para su país antes de contar con él. El almacenamiento local cubre únicamente la parte de Meta. Pregunte por separado a su proveedor dónde guarda las conversaciones y las copias de seguridad. ## ¿Qué normativas se aplican? Depende de dónde se encuentren su empresa y sus clientes. En los países del Golfo (CCG), la Ley de Protección de Datos Personales de los Emiratos Árabes Unidos y la Ley de Protección de Datos Personales de Arabia Saudí, supervisada por la SDAIA, establecen reglas sobre licitud del tratamiento, consentimiento, limitación de la finalidad y transferencias internacionales; los reguladores sectoriales de banca, salud y telecomunicaciones pueden añadir otras. Los clientes de la UE o del Reino Unido hacen entrar en juego el RGPD. La documentación de Meta indica que los clientes de Cloud API deben cumplir sus propias obligaciones conforme a las leyes de protección de datos. Considere esta sección una orientación, no asesoramiento jurídico. Pida a un abogado que determine qué leyes se aplican a sus flujos de datos concretos. ## ¿Quién debe tener acceso y cómo? Los fallos de control de acceso provocan más incidentes que la criptografía. Asegure estas capas: 1. **Portfolio comercial de Meta.** Mantenga la cuenta de WhatsApp Business (WABA) en su propio portfolio, exija autenticación de dos factores a los administradores y retire con rapidez a quienes se marchan. 2. **PIN de verificación en dos pasos.** El PIN de seis dígitos protege el registro de su número. Guárdelo en su gestor de contraseñas, no en el correo de un proveedor. Suscríbase al webhook de seguridad de Meta, que informa de los cambios de PIN y de los intentos de desactivar la verificación en dos pasos. 3. **Tokens de API.** Use tokens de usuario del sistema con solo los permisos necesarios, guárdelos en un gestor de secretos y rótelos cuando cambien el personal o los proveedores. 4. **Endpoint del webhook.** Acepte solo HTTPS, verifique la firma del payload de Meta con el secreto de su app y no registre nunca los payloads completos en consolas compartidas. 5. **Acceso de los agentes.** Dé a los agentes acceso basado en roles a las colas que atienden, restrinja la exportación masiva y registre quién vio o exportó qué. 6. **Acceso del proveedor.** Averigüe qué personal del proveedor puede acceder a sus conversaciones, con qué proceso y cómo se registra ese acceso. ## ¿Cómo gestionar los datos personales en plantillas y chats? Recoja lo mínimo y no recoja nunca lo que la política prohíbe. La política de mensajería empresarial de WhatsApp indica que las empresas no deben compartir ni pedir que se compartan números completos de tarjetas de pago, de cuentas financieras, de documentos de identidad u otros identificadores sensibles. Reglas prácticas: - **Plantillas:** evite incluir datos sensibles en las variables. Use «su pedido terminado en 4821» en lugar de datos completos de la cuenta; los parámetros de las plantillas son contenido del mensaje y se almacenan como cualquier otro mensaje. - **Pagos e identidad:** envíe un botón CTA URL a una página web segura en lugar de recoger los datos en el chat. - **OTP:** use plantillas de autenticación y una caducidad corta; consulte nuestra [guía de seguridad de los OTP](/es/blog/otp-authentication-messages-guide/). - **Contenido multimedia:** trate por defecto como sensibles las imágenes y los documentos que envían los clientes y aplíqueles una retención. - **Exportaciones:** las exportaciones a CSV de conversaciones o informes son los datos más fáciles de filtrar. Restrínjalas y regístrelas. ## ¿Qué preguntar a un proveedor de API de WhatsApp? Use esta lista de verificación en las compras. Pida pruebas, no adjetivos. 1. ¿Quién es el titular de la WABA y del portfolio comercial de Meta en el que se encuentra, y podemos migrar a otro proveedor? 2. ¿Dónde se almacenan las conversaciones, los archivos multimedia y las copias de seguridad, y en qué países? 3. ¿Cuál es la retención por defecto y podemos configurar la eliminación por tipo de dato? 4. ¿Qué evaluaciones o certificaciones de seguridad independientes tienen? Pida los informes o certificados, con su alcance. 5. ¿Cómo se registran los accesos del personal, las acciones de administración y las exportaciones, y podemos ver esos registros? 6. ¿Cómo se guardan los tokens de API y el PIN de verificación en dos pasos y quién puede usarlos? 7. ¿Qué subencargados utilizan y cómo se nos notifican los cambios? 8. ¿Cuál es su proceso de notificación de incidentes y en qué plazo? 9. ¿Usan nuestros datos de mensajes para entrenar modelos de IA? Los términos de plataforma de Meta lo restringen cuando una empresa contrata a un proveedor de IA. 10. ¿Podemos firmar un acuerdo de encargo de tratamiento que refleje las leyes que nos son aplicables? ## Ejemplo práctico: la aprobación de una aseguradora de Abu Dabi Ejemplo sintético. «Falcon Assurance» quiere enviar actualizaciones de siniestros por WhatsApp. El equipo de seguridad traza los flujos de datos: Meta Cloud API, un proveedor de bandeja de entrada compartida y el sistema de siniestros. Confirman el papel de encargado del tratamiento de Meta y la retención de 30 días, comprueban si el almacenamiento local está disponible para su país y piden al proveedor las ubicaciones de almacenamiento y los subencargados. Deciden que las plantillas de siniestros harán referencia solo a números de siniestro, nunca a los ID de los tomadores ni a datos bancarios; los pagos pasan por un botón CTA URL hacia su portal. Los agentes solo ven la cola de su región, las exportaciones requieren la aprobación de un supervisor y el PIN está en la caja fuerte corporativa. La aprobación toma la forma de un flujo de datos documentado y un registro de riesgos, no de un simple sí o no. ## Errores comunes y límites reales - **Decir a los clientes que los chats están «cifrados de extremo a extremo hasta nosotros».** Sea preciso. - **Evaluar solo a Meta.** Los proveedores y sus propios sistemas guardan los datos que más duran. - **Dejar que un proveedor sea titular de la WABA y del PIN.** Complica el control y la migración. - **Sin regla de retención para la bandeja de entrada.** «Para siempre» también es una decisión, y a menudo mala. - **Confiar demasiado en las certificaciones.** Compruebe su alcance; no cubren la configuración de su empresa. ## Cómo ayuda OmniChannels.ai OmniChannels.ai, con la tecnología de BroadNet Technologies, da de alta a las empresas en la [API de WhatsApp Business](/es/channels/whatsapp-business-api/) mediante el registro integrado de Meta (Embedded Signup), que crea la cuenta de WhatsApp Business dentro del propio portfolio comercial de Meta de la empresa. Las plantillas se previsualizan y se siguen hasta su aprobación, de modo que los equipos pueden revisar qué datos incluye cada plantilla antes de enviarla. BroadNet cuenta con las certificaciones ISO/IEC 27001:2022, ISO/IEC 27018 y SOC 2 Type II, y cumple el RGPD. La autenticación de la API y los webhooks están documentados públicamente en la página de [desarrolladores](/developers/). [Contacte con nosotros](/es/contact/) para revisar sus preguntas de seguridad.