--- title: "Keamanan dan Privasi WhatsApp Business API: Yang Perlu Diketahui" description: "Cara kerja keamanan WhatsApp Business API: enkripsi Cloud API, retensi 30 hari, local storage, kontrol akses, PII di template, dan pertanyaan ke vendor." canonical: "https://omnichannels.ai/id/blog/whatsapp-business-api-security-privacy/" language: "id" updated: "2026-10-10" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "compliance" primaryQuery: "whatsapp business api security and privacy" keywords: ["apakah whatsapp business api terenkripsi end to end", "retensi data whatsapp cloud api", "whatsapp cloud api local storage", "keamanan whatsapp business api", "privasi data whatsapp business", "UU PDP whatsapp business api", "kuesioner keamanan penyedia WhatsApp API", "whatsapp api gdpr"] published: "2026-10-10" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 8 answer: "Pesan WhatsApp ke bisnis yang menggunakan Cloud API dienkripsi dengan protokol Signal antara ponsel pelanggan dan Cloud API, yang dioperasikan Meta untuk bisnis tersebut. Cloud API kemudian mendekripsi pesan dan meneruskannya melalui HTTPS ke bisnis atau penyedia layanannya, sehingga pesan tidak terenkripsi end-to-end sampai ke server Anda sendiri. Meta menyatakan bahwa mereka bertindak sebagai prosesor data dan menyimpan data pesan hingga 30 hari. Penyedia layanan, sistem, dan kontrol akses Anda mencakup sisanya." takeaways: ["Meta menyatakan bahwa Cloud API mendekripsi pesan masuk lalu meneruskannya ke bisnis, dan mengelola kunci enkripsi atas nama bisnis.", "Meta menyatakan bahwa data pesan Cloud API memiliki masa retensi maksimum 30 hari, dan bahwa Meta bertindak sebagai prosesor data saat menyediakan Cloud API.", "Local storage memungkinkan bisnis menyimpan konten pesan (at rest) di negara pilihan, dengan data yang sedang digunakan diproses secara internasional hingga 60 menit pada Cloud API.", "Kebijakan Business Messaging WhatsApp melarang meminta nomor kartu pembayaran lengkap, nomor rekening keuangan, atau nomor identitas nasional dari pelanggan.", "Sebagian besar risiko nyata ada di luar Meta: penyimpanan di penyedia layanan, endpoint webhook, akses agen, ekspor data, dan PIN yang melindungi registrasi nomor."] faq: - q: "Apakah WhatsApp Business API terenkripsi end-to-end?" a: "Sebagian. Meta menyatakan bahwa pesan dikirim terenkripsi dengan protokol Signal antara pelanggan dan Cloud API, yang bertindak atas nama bisnis. Cloud API kemudian mendekripsi pesan dan mengirimkannya ke bisnis melalui HTTPS yang dilindungi TLS. Jadi titik akhir terenkripsi di sisi bisnis adalah Cloud API milik Meta, bukan server Anda sendiri, dan penyedia layanan serta sistem Anda menangani konten yang dapat dibaca." - q: "Apakah Meta menggunakan pesan WhatsApp Business untuk iklan?" a: "Dokumentasi Cloud API Meta menyatakan bahwa Cloud API tidak akan otomatis menggunakan pesan WhatsApp untuk menentukan iklan yang dilihat seseorang, dan bahwa Meta bertindak sebagai prosesor data bagi bisnis. Bisnis sendiri dapat menggunakan pesan yang mereka terima untuk pemasarannya, sesuai hukum dan pemberitahuan privasi mereka, sehingga kebijakan Anda sendiri sangat penting." - q: "Berapa lama WhatsApp Cloud API menyimpan data pesan?" a: "Meta menyatakan masa retensi maksimum 30 hari untuk data pesan, yang digunakan untuk fitur seperti pengiriman ulang, dan menyatakan bahwa pengenal pengguna dihapus dalam 30 hari setelah pembaruan status terakhir sebuah pesan, kecuali diarahkan lain. Penyedia layanan dan sistem Anda mungkin menyimpan data jauh lebih lama, jadi tetapkan dan dokumentasikan retensi di sana secara terpisah." - q: "Bisakah data pesan WhatsApp tetap berada di Arab Saudi atau Uni Emirat Arab (UEA)?" a: "Meta menyediakan pengaturan local storage per nomor telepon bisnis yang menyimpan konten pesan (at rest) di negara tertentu, sementara pemrosesan di data center Meta tetap berlangsung secara internasional hingga 60 menit. Wilayah yang didukung tercantum dalam dokumentasi registrasi Meta dan dapat berubah dari waktu ke waktu, jadi periksa daftar terbaru. Data yang disimpan penyedia layanan Anda adalah pertanyaan terpisah yang perlu diajukan kepada mereka." - q: "Sertifikasi keamanan apa yang dimiliki WhatsApp Cloud API?" a: "Halaman privasi data Meta menyatakan bahwa Meta telah memperoleh laporan SOC 2 Type II dan ISO 27001 untuk Cloud API, dan merujuk ke Meta Business Messaging Compliance Center untuk dokumentasinya. Laporan tersebut hanya mencakup layanan Meta. Penyedia layanan pesan, CRM, dan hosting Anda masing-masing perlu dinilai sendiri, jadi minta bukti langsung dari setiap vendor." sources: - title: "Data privacy and security — WhatsApp Cloud API, Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/data-privacy-and-security" - title: "About the platform: encryption — Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/about-the-platform" - title: "Local storage — Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/local-storage" - title: "WhatsApp Business Messaging Policy — WhatsApp" url: "https://whatsappbusiness.com/policy/" - title: "Meta Terms for WhatsApp Business Platform — Meta" url: "https://www.facebook.com/legal/Meta-Terms-for-WhatsApp-Business-Platform" --- # Keamanan dan Privasi WhatsApp Business API: Yang Perlu Diketahui Canonical: https://omnichannels.ai/id/blog/whatsapp-business-api-security-privacy/ Language: id Publisher: OmniChannels.ai by BroadNet Technologies Panduan ini ditujukan bagi CTO, petugas keamanan, DPO, dan pimpinan kepatuhan yang harus menyetujui program WhatsApp Business API atau menjawab pertanyaan pelanggan tentangnya. Anda akan memahami di mana data dienkripsi dan di mana data dapat dibaca, siapa yang menyimpannya dan berapa lama, kontrol mana yang menjadi tanggung jawab Anda, serta apa yang perlu ditanyakan kepada vendor pesan sebelum menandatangani kontrak. ## Apakah WhatsApp Business API terenkripsi end-to-end? Tidak seperti chat konsumen. Meta menyatakan bahwa dengan Cloud API, pesan dikirim terenkripsi dengan protokol Signal antara pelanggan dan Cloud API, yang bertindak atas nama bisnis. Cloud API mendekripsi pesan dan meneruskannya ke bisnis melalui HTTPS yang dilindungi TLS. Untuk pesan keluar, prosesnya berlangsung sebaliknya. Dalam praktiknya: - **Antara ponsel pelanggan dan Cloud API Meta:** enkripsi protokol Signal. - **Di dalam Cloud API:** pesan dapat dibaca oleh layanan untuk keperluan pemrosesan. Meta menyatakan bahwa data tersimpan (at rest) dienkripsi dan bahwa Cloud API mengelola kunci atas nama bisnis. - **Antara Cloud API dan penyedia layanan atau server Anda:** TLS saat transit, lalu perlindungan apa pun yang diterapkan penyedia layanan dan Anda. Jadi pernyataan yang jujur kepada pelanggan adalah "terenkripsi saat transit dan dilindungi enkripsi WhatsApp hingga ke penyedia layanan kami", bukan "hanya Anda dan pelanggan yang dapat membacanya". Meta juga menyatakan bahwa, jika undang-undang pelindungan data menggunakan konsep tersebut, Meta bertindak sebagai **prosesor data** atau penyedia layanan bagi bisnis saat menyediakan Cloud API. ## Di mana data disimpan dan berapa lama? Data berada di sedikitnya tiga tempat, masing-masing dengan retensinya sendiri. Petakan ketiganya sebelum menyetujui sebuah program. | Lokasi | Data yang disimpan | Retensi (sesuai publikasi) | Siapa yang mengendalikan | |---|---|---|---| | Meta Cloud API | Konten pesan, media, pengenal | Data pesan hingga 30 hari; pengenal dihapus dalam 30 hari setelah pembaruan status terakhir, kecuali diarahkan lain | Meta, sebagai prosesor | | Penyedia layanan pesan atau platform inbox | Percakapan, kontak, template, laporan, log | Ditentukan oleh kontrak dan pengaturan penyedia | Penyedia layanan, sesuai instruksi Anda | | Sistem Anda | Catatan CRM, ekspor, data warehouse, backup | Kebijakan Anda | Anda | Meta memproses lalu lintas Cloud API di data center miliknya. Jika Anda membutuhkan konten pesan tersimpan (at rest) di negara tertentu, Meta menyediakan **local storage**, yaitu pengaturan pada setiap nomor telepon bisnis. Saat diaktifkan, konten pesan tetap dapat diproses secara internasional saat digunakan (in use), hingga 60 menit pada Cloud API, lalu hanya tersimpan di wilayah yang dipilih. Pengaturan ini hanya dapat diaktifkan atau dinonaktifkan selama nomor belum terdaftar, dan wilayah yang didukung tercantum dalam dokumentasi registrasi Meta, jadi pastikan ketersediaannya untuk negara Anda sebelum mengandalkannya. Local storage hanya mencakup sisi Meta. Tanyakan secara terpisah kepada penyedia layanan Anda di mana mereka menyimpan percakapan dan backup. ## Regulasi apa yang berlaku? Hal ini bergantung pada lokasi Anda dan pelanggan Anda. Di negara Teluk (GCC), UU Perlindungan Data Pribadi Uni Emirat Arab (UEA) dan UU Perlindungan Data Pribadi (PDPL) Arab Saudi, yang diawasi oleh SDAIA, mengatur pemrosesan yang sah, persetujuan, pembatasan tujuan, dan transfer lintas negara. Regulator sektoral di bidang perbankan, kesehatan, dan telekomunikasi dapat menambahkan aturan lain. Pelanggan di Uni Eropa atau Inggris membuat GDPR berlaku. Dokumentasi Meta menyatakan bahwa pelanggan Cloud API harus memenuhi kewajiban mereka sendiri berdasarkan undang-undang pelindungan data. Anggap bagian ini sebagai orientasi, bukan nasihat hukum. Minta penasihat hukum Anda memetakan undang-undang mana yang berlaku untuk alur data spesifik Anda. ## Siapa yang boleh mengakses, dan bagaimana caranya? Kegagalan kontrol akses menyebabkan lebih banyak insiden daripada kelemahan kriptografi. Kunci lapisan-lapisan berikut: 1. **Meta business portfolio.** Simpan WhatsApp Business Account (WABA) di portfolio milik Anda sendiri, wajibkan autentikasi dua faktor untuk admin, dan segera hapus akses karyawan yang sudah keluar. 2. **PIN verifikasi dua langkah.** PIN enam digit ini melindungi registrasi nomor Anda. Simpan di password manager Anda, bukan di inbox vendor. Berlangganan webhook keamanan Meta, yang melaporkan perubahan PIN dan upaya menonaktifkan verifikasi dua langkah. 3. **Token API.** Gunakan token system user dengan izin seperlunya saja, simpan di secrets manager, dan rotasi saat staf atau vendor berganti. 4. **Endpoint webhook.** Terima hanya HTTPS, verifikasi tanda tangan payload Meta menggunakan app secret Anda, dan jangan pernah mencatat payload lengkap ke konsol bersama. 5. **Akses agen.** Berikan agen akses berbasis peran ke antrean yang mereka tangani, batasi ekspor massal, dan catat siapa yang melihat atau mengekspor apa. 6. **Akses vendor.** Ketahui staf penyedia layanan mana yang dapat mengakses percakapan Anda, melalui proses apa, dan bagaimana akses tersebut dicatat. ## Bagaimana menangani PII di template dan chat? Kumpulkan seminimal mungkin, dan jangan pernah mengumpulkan apa yang dilarang kebijakan. Kebijakan Business Messaging WhatsApp menyatakan bahwa bisnis tidak boleh membagikan atau meminta orang membagikan nomor kartu pembayaran lengkap, nomor rekening keuangan, nomor kartu identitas pribadi, atau pengenal sensitif lainnya. Aturan praktis: - **Template:** Hindari menaruh data sensitif di variabel. Gunakan "pesanan Anda berakhiran 4821" alih-alih detail rekening lengkap; parameter template adalah konten pesan dan disimpan seperti pesan lainnya. - **Pembayaran dan identitas:** Kirim tombol CTA URL ke halaman web yang aman, alih-alih mengumpulkan data di chat. - **OTP:** Gunakan template autentikasi dengan masa berlaku singkat; lihat [panduan keamanan OTP](/id/blog/otp-authentication-messages-guide/) kami. - **Media:** Perlakukan gambar dan dokumen kiriman pelanggan sebagai data sensitif secara default dan terapkan retensi padanya. - **Ekspor:** Ekspor CSV dari percakapan atau laporan adalah data yang paling mudah bocor. Batasi dan catat ekspor tersebut. ## Apa yang perlu ditanyakan kepada vendor WhatsApp API? Gunakan daftar periksa ini saat pengadaan. Minta bukti, bukan sekadar kata-kata manis. 1. Siapa pemilik WABA dan Meta business portfolio tempatnya berada, dan dapatkah kami berpindah dari vendor? 2. Di mana percakapan, media, dan backup disimpan, dan di negara mana saja? 3. Berapa retensi default, dan dapatkah kami mengatur penghapusan per jenis data? 4. Penilaian keamanan independen atau sertifikasi apa yang Anda miliki? Minta laporan atau sertifikat beserta cakupannya. 5. Bagaimana akses staf, tindakan admin, dan ekspor dicatat, dan dapatkah kami melihat lognya? 6. Bagaimana token API dan PIN dua langkah disimpan, dan siapa yang dapat menggunakannya? 7. Sub-prosesor apa yang Anda gunakan, dan bagaimana kami diberi tahu jika ada perubahan? 8. Bagaimana proses dan jangka waktu pemberitahuan insiden Anda? 9. Apakah Anda menggunakan data pesan kami untuk melatih model AI? Ketentuan platform Meta membatasi hal ini jika bisnis menggunakan penyedia AI. 10. Dapatkah kami menandatangani perjanjian pemrosesan data (DPA) yang mencerminkan hukum yang berlaku bagi kami? ## Contoh kasus: persetujuan sebuah perusahaan asuransi di Abu Dhabi Contoh sintetis. "Falcon Assurance" ingin mengirim pembaruan klaim lewat WhatsApp. Tim keamanan memetakan alur data: Meta Cloud API, penyedia inbox, dan sistem klaim. Mereka mengonfirmasi peran prosesor Meta dan retensi 30 hari, memeriksa apakah local storage tersedia untuk negara mereka, dan meminta penyedia layanan menyebutkan lokasi penyimpanan dan sub-prosesornya. Mereka memutuskan bahwa template klaim hanya merujuk nomor klaim, tidak pernah ID pemegang polis atau detail bank; pembayaran dilakukan lewat tombol CTA URL ke portal mereka. Agen hanya melihat antrean wilayahnya, ekspor memerlukan persetujuan supervisor, dan PIN disimpan di vault perusahaan. Persetujuan berbentuk alur data terdokumentasi dan register risiko, bukan sekadar jawaban ya atau tidak. ## Kesalahan umum dan batasan yang perlu diakui - **Mengatakan kepada pelanggan bahwa chat "terenkripsi end-to-end sampai ke kami".** Bersikaplah akurat. - **Hanya menilai Meta.** Penyedia layanan dan sistem Anda sendiri menyimpan data yang paling lama bertahan. - **Membiarkan vendor memiliki WABA dan PIN.** Hal ini mempersulit kendali dan migrasi. - **Tidak ada aturan retensi untuk inbox.** "Selamanya" juga sebuah keputusan, dan sering kali keputusan yang buruk. - **Terlalu bergantung pada sertifikasi.** Periksa cakupannya; sertifikasi tidak mencakup konfigurasi Anda. ## Bagaimana OmniChannels.ai membantu OmniChannels.ai, didukung oleh BroadNet Technologies, melakukan onboarding (aktivasi akun) bisnis ke [WhatsApp Business API](/channels/whatsapp-business-api/) melalui Meta Embedded Signup, yang membuat WhatsApp Business Account di dalam Meta business portfolio milik bisnis itu sendiri. Template ditampilkan pratinjaunya dan dilacak selama proses persetujuan, sehingga tim dapat meninjau data apa yang dibawa setiap template sebelum dikirim. BroadNet memegang ISO/IEC 27001:2022, ISO/IEC 27018, dan SOC 2 Type II, serta mematuhi GDPR. Autentikasi API dan webhook didokumentasikan secara publik di halaman [developers](/developers/). [Hubungi kami](/contact/) untuk membahas pertanyaan keamanan Anda.