---
title: "Безопасность и конфиденциальность WhatsApp Business API"
description: "Как работает безопасность WhatsApp Business API: шифрование Cloud API, хранение 30 дней, локальное хранение, доступы, PII в шаблонах, вопросы провайдеру."
canonical: "https://omnichannels.ai/ru/blog/whatsapp-business-api-security-privacy/"
language: "ru"
updated: "2026-10-10"
publisher: "BroadNet Technologies"
brand: "OmniChannels.ai"
category: "compliance"
primaryQuery: "whatsapp business api security and privacy"
keywords: ["шифрует ли whatsapp business api сквозное шифрование", "whatsapp cloud api срок хранения данных", "whatsapp cloud api локальное хранение данных", "whatsapp api gdpr", "конфиденциальность данных whatsapp business", "опросник по безопасности для провайдера whatsapp business api", "закон о защите персональных данных Саудовской Аравии whatsapp"]
published: "2026-10-10"
author: "OmniChannels.ai Editorial Team"
reviewer: "BroadNet Messaging Solutions Team"
readingMinutes: 8
answer: "Сообщения WhatsApp, которые клиент отправляет компании через Cloud API, шифруются по протоколу Signal между телефоном клиента и Cloud API, который Meta эксплуатирует от имени компании. Затем Cloud API расшифровывает их и передаёт по HTTPS компании или её провайдеру, поэтому до ваших собственных серверов сквозного шифрования нет. Meta заявляет, что выступает обработчиком данных и хранит данные сообщений до 30 дней. Остальное зависит от вашего провайдера, ваших систем и настроенного контроля доступа."
takeaways: ["Meta заявляет, что Cloud API расшифровывает входящие сообщения и передаёт их компании, а ключами шифрования управляет от имени компании.", "Meta сообщает, что максимальный срок хранения данных сообщений в Cloud API составляет 30 дней и что при предоставлении Cloud API Meta выступает обработчиком данных (data processor).", "Локальное хранение позволяет компании держать содержимое сообщений в состоянии покоя в выбранной стране; данные в процессе использования в Cloud API могут обрабатываться за рубежом до 60 минут.", "Политика WhatsApp для бизнес-сообщений запрещает запрашивать у клиентов полные номера платёжных карт, номера финансовых счетов и номера национальных удостоверений личности.", "Основной реальный риск находится вне Meta: хранилище провайдера, endpoint вебхуков, доступ операторов, выгрузки и PIN-код, который защищает регистрацию номера."]
faq: 
  - q: "Использует ли WhatsApp Business API сквозное шифрование?"
    a: "Частично. Meta сообщает, что сообщения передаются в зашифрованном виде по протоколу Signal между клиентом и Cloud API, который действует от имени компании. Затем Cloud API расшифровывает сообщение и отправляет его компании по HTTPS, защищённому TLS. Таким образом, конечная точка шифрования на стороне компании — это Cloud API от Meta, а не ваши серверы, а читаемое содержимое обрабатывают ваш провайдер и ваши системы."
  - q: "Использует ли Meta бизнес-сообщения WhatsApp для рекламы?"
    a: "В документации Meta по Cloud API сказано, что Cloud API не будет автоматически использовать сообщения WhatsApp для формирования рекламы, которую видит человек, и что Meta выступает обработчиком данных для компании. Сами компании могут использовать полученные сообщения в собственном маркетинге с учётом закона и своих уведомлений о конфиденциальности, поэтому ваша собственная политика имеет значение."
  - q: "Как долго WhatsApp Cloud API хранит данные сообщений?"
    a: "Meta указывает максимальный срок хранения данных сообщений 30 дней (он нужен, например, для повторной передачи) и сообщает, что идентификаторы пользователей удаляются в течение 30 дней после последнего обновления статуса сообщения, если не указано иное. Ваш провайдер и ваши собственные системы могут хранить данные гораздо дольше, поэтому сроки хранения там нужно задавать и документировать отдельно."
  - q: "Могут ли данные сообщений WhatsApp храниться в Саудовской Аравии или ОАЭ?"
    a: "Meta предлагает настройку локального хранения для каждого бизнес-номера: содержимое сообщений в состоянии покоя хранится в выбранной стране, а обработка в дата-центрах Meta за рубежом занимает до 60 минут. Поддерживаемые регионы перечислены в документации Meta по регистрации и со временем меняются, поэтому проверяйте актуальный список. Данные, которые хранит ваш провайдер, — отдельный вопрос к нему."
  - q: "Какие сертификаты безопасности есть у WhatsApp Cloud API?"
    a: "На странице Meta о конфиденциальности данных указано, что для Cloud API получены отчёты SOC 2 Type II и ISO 27001, а документацию можно найти в Meta Business Messaging Compliance Center. Эти документы относятся только к сервису Meta. Ваш провайдер сообщений, CRM и хостинг нужно оценивать отдельно, поэтому запрашивайте подтверждения у каждого поставщика напрямую."
sources: 
  - title: "Data privacy and security — WhatsApp Cloud API, Meta for Developers"
    url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/data-privacy-and-security"
  - title: "About the platform: encryption — Meta for Developers"
    url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/about-the-platform"
  - title: "Local storage — Meta for Developers"
    url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/local-storage"
  - title: "WhatsApp Business Messaging Policy — WhatsApp"
    url: "https://whatsappbusiness.com/policy/"
  - title: "Meta Terms for WhatsApp Business Platform — Meta"
    url: "https://www.facebook.com/legal/Meta-Terms-for-WhatsApp-Business-Platform"
---

# Безопасность и конфиденциальность WhatsApp Business API

Canonical: https://omnichannels.ai/ru/blog/whatsapp-business-api-security-privacy/
Language: ru
Publisher: OmniChannels.ai by BroadNet Technologies

Это руководство для CTO, специалистов по информационной безопасности, DPO и руководителей по комплаенсу, которым нужно согласовать проект на WhatsApp Business API или ответить на вопрос клиента о нём. Вы узнаете, где данные шифруются, а где доступны в читаемом виде, кто их хранит и как долго, какие меры контроля остаются на вашей стороне и о чём спросить поставщика сообщений до подписания договора.

## Шифруется ли WhatsApp Business API сквозным шифрованием?

Не так, как обычные пользовательские чаты. Meta сообщает, что в Cloud API сообщения передаются в зашифрованном виде по протоколу Signal между клиентом и Cloud API, который действует от имени компании. Cloud API расшифровывает их и пересылает компании по HTTPS, защищённому TLS; для исходящих сообщений процесс идёт в обратном порядке.

На практике это означает следующее:

- **Между телефоном клиента и Cloud API от Meta:** шифрование по протоколу Signal.
- **Внутри Cloud API:** сервис может читать сообщения для обработки; Meta сообщает, что данные в состоянии покоя шифруются, а ключами Cloud API управляет от имени компании.
- **Между Cloud API и вашим провайдером или серверами:** TLS при передаче, а далее та защита, которую применяют ваш провайдер и вы.

Поэтому клиентам честнее сказать так: «зашифровано при передаче и защищено шифрованием WhatsApp до нашего поставщика услуг», а не «прочитать могут только вы и клиент». Meta также сообщает, что при предоставлении Cloud API выступает **обработчиком данных (data processor)** или поставщиком услуг для компании, если законодательство о защите данных использует такие понятия.

## Где хранятся данные и как долго?

Данные находятся как минимум в трёх местах, и у каждого свой срок хранения. Перед согласованием проекта опишите все три.

| Где хранятся | Что хранится | Срок хранения (по опубликованным данным) | Кто управляет |
|---|---|---|---|
| Cloud API от Meta | Содержимое сообщений, медиафайлы, идентификаторы | Данные сообщений до 30 дней; идентификаторы удаляются в течение 30 дней после последнего обновления статуса, если не указано иное | Meta, как обработчик данных |
| Провайдер сообщений или платформа с инбоксом | Диалоги, контакты, шаблоны, отчёты, журналы | Определяется договором и настройками провайдера | Провайдер, по вашим указаниям |
| Ваши системы | Записи в CRM, выгрузки, хранилища данных, резервные копии | Ваша политика | Вы |

Meta обрабатывает трафик Cloud API в своих дата-центрах. Если содержимое сообщений в состоянии покоя должно храниться в конкретной стране, Meta предлагает **локальное хранение (local storage)** — настройку для каждого бизнес-номера. При его включении содержимое сообщений по-прежнему может обрабатываться за рубежом, пока используется (в Cloud API — до 60 минут), а затем сохраняется только в выбранном регионе. Включить или отключить эту настройку можно только тогда, когда номер не зарегистрирован. Поддерживаемые регионы перечислены в документации Meta по регистрации, поэтому до того, как на это рассчитывать, убедитесь, что опция доступна для вашей страны.

Локальное хранение касается только стороны Meta. Где провайдер хранит диалоги и резервные копии, спрашивайте у него отдельно.

## Какие нормы применяются?

Это зависит от того, где находитесь вы и ваши клиенты. В странах Персидского залива (GCC) правила законного обработки данных, получения согласия, ограничения целей и трансграничной передачи устанавливают закон ОАЭ о защите персональных данных и закон Саудовской Аравии о защите персональных данных, за соблюдением которого следит SDAIA; отраслевые регуляторы в банковской сфере, здравоохранении и телекоммуникациях могут добавлять свои требования. Если клиенты находятся в ЕС или Великобритании, применяется GDPR. В документации Meta сказано, что клиенты Cloud API должны самостоятельно выполнять свои обязанности по законам о защите данных.

Считайте этот раздел ориентиром, а не юридической консультацией. Попросите юристов определить, какие законы применяются к вашим конкретным потокам данных.

## Кто должен иметь доступ и как его организовать?

Сбои в контроле доступа приводят к инцидентам чаще, чем слабая криптография. Закройте следующие уровни:

1. **Бизнес-портфолио Meta.** Держите WhatsApp Business Account (WABA) в собственном бизнес-портфолио, включите двухфакторную аутентификацию для администраторов и сразу удаляйте уволившихся сотрудников.
2. **PIN двухэтапной проверки.** Шестизначный PIN защищает регистрацию вашего номера. Храните его в своём менеджере паролей, а не в почтовом ящике вендора. Подпишитесь на вебхук безопасности Meta: он сообщает об изменениях PIN и попытках отключить двухэтапную проверку.
3. **API-токены.** Используйте токены системного пользователя только с нужными правами, храните их в хранилище секретов и меняйте при смене сотрудников или вендоров.
4. **Endpoint вебхука.** Принимайте только HTTPS, проверяйте подпись payload от Meta с помощью секрета вашего приложения и не записывайте полные payload в общие консоли.
5. **Доступ операторов.** Выдавайте операторам ролевой доступ только к тем очередям, которые они обслуживают, ограничивайте массовую выгрузку и фиксируйте, кто что просматривал или выгружал.
6. **Доступ вендора.** Выясните, какие сотрудники провайдера могут получить доступ к вашим диалогам, по какой процедуре и как этот доступ фиксируется.

## Как обращаться с PII в шаблонах и чатах?

Собирайте минимум данных и никогда не запрашивайте то, что запрещает политика. Политика WhatsApp для бизнес-сообщений гласит, что компании не должны передавать и просить людей передавать полные номера платёжных карт, номера финансовых счетов, номера удостоверений личности и другие чувствительные идентификаторы.

Практические правила:

- **Шаблоны:** не помещайте чувствительные данные в переменные. Пишите «ваш заказ, оканчивающийся на 4821», а не полные данные счёта; параметры шаблона — это содержимое сообщения, и хранятся они так же, как любые другие сообщения.
- **Платежи и идентификация:** отправляйте кнопку CTA URL со ссылкой на защищённую веб-страницу вместо сбора данных в чате.
- **OTP-коды:** используйте аутентификационные шаблоны (authentication) и короткий срок действия; см. наше [руководство по безопасности OTP](/ru/blog/otp-authentication-messages-guide/).
- **Медиафайлы:** по умолчанию считайте изображения и документы, присланные клиентами, чувствительными и задайте для них срок хранения.
- **Выгрузки:** CSV-выгрузки диалогов и отчётов — самые лёгкие для утечки данные. Ограничьте их и ведите журнал.

## О чём спросить поставщика WhatsApp API?

Используйте этот чек-лист при закупке. Просите подтверждения, а не красивые слова.

1. Кто владеет WABA и бизнес-портфолио Meta, в котором она находится, и можем ли мы перейти к другому поставщику?
2. Где хранятся диалоги, медиафайлы и резервные копии, в каких странах?
3. Каков срок хранения по умолчанию и можно ли настроить удаление по типам данных?
4. Какие независимые оценки безопасности или сертификаты у вас есть? Запросите отчёты или сертификаты с указанием области действия.
5. Как фиксируются доступ сотрудников, действия администраторов и выгрузки, и можем ли мы видеть эти журналы?
6. Как хранятся API-токены и PIN двухэтапной проверки и кто может ими пользоваться?
7. Каких субпроцессоров вы используете и как мы узнаем об изменениях?
8. Каков ваш процесс уведомления об инцидентах и в какие сроки?
9. Используете ли вы данные наших сообщений для обучения ИИ-моделей? Условия платформы Meta ограничивают это, если компания привлекает ИИ-провайдера.
10. Можем ли мы подписать соглашение об обработке данных, учитывающее законы, которые применяются к нам?

## Разбор на примере: согласование проекта в страховой компании из Абу-Даби

Условный пример. Компания «Falcon Assurance» хочет отправлять в WhatsApp обновления по страховым случаям. Служба безопасности описывает потоки данных: Cloud API от Meta, провайдер инбокса и система урегулирования убытков. Специалисты подтверждают роль Meta как обработчика данных и срок хранения 30 дней, проверяют, доступно ли локальное хранение для их страны, и запрашивают у провайдера места хранения и список субпроцессоров.

Они решают, что шаблоны по страховым случаям будут содержать только номера обращений, но не идентификаторы страхователей и не банковские реквизиты; платежи проходят через кнопку CTA URL на их портал. Операторы видят только очередь своего региона, выгрузки требуют согласования руководителя, а PIN хранится в корпоративном хранилище паролей. Итог согласования — задокументированная схема потоков данных и реестр рисков, а не одно «да» или «нет».

## Типичные ошибки и честные ограничения

- **Говорить клиентам, что чаты «сквозным шифрованием защищены до нас».** Формулируйте точно.
- **Оценивать только Meta.** Самые долгоживущие данные находятся у провайдеров и в ваших собственных системах.
- **Отдавать вендору владение WABA и PIN.** Это усложняет контроль и миграцию.
- **Нет правила хранения для инбокса.** «Хранить вечно» — тоже решение, и часто неудачное.
- **Чрезмерно полагаться на сертификаты.** Проверяйте область их действия: они не охватывают вашу конфигурацию.

## Как помогает OmniChannels.ai

OmniChannels.ai на базе BroadNet Technologies подключает компании к [WhatsApp Business API](/ru/channels/whatsapp-business-api/) через Meta Embedded Signup, при этом WhatsApp Business Account создаётся в собственном бизнес-портфолио Meta компании. Шаблоны можно просматривать заранее и отслеживать на этапе одобрения, поэтому команды могут проверить, какие данные содержит каждый шаблон, до отправки. BroadNet имеет сертификаты ISO/IEC 27001:2022, ISO/IEC 27018 и SOC 2 Type II и соответствует требованиям GDPR. Аутентификация API и вебхуки публично описаны на странице [для разработчиков](/ru/developers/). [Свяжитесь с нами](/ru/contact/), чтобы обсудить ваши вопросы по безопасности.