--- title: "WhatsApp Business API Güvenlik ve Gizlilik Rehberi" description: "WhatsApp Business API güvenliği nasıl işler: Cloud API şifrelemesi, 30 günlük saklama, yerel depolama, erişim kontrolü ve sağlayıcıya sorulacak sorular." canonical: "https://omnichannels.ai/tr/blog/whatsapp-business-api-security-privacy/" language: "tr" updated: "2026-10-10" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "compliance" primaryQuery: "whatsapp business api security and privacy" keywords: ["whatsapp business api uçtan uca şifreli mi", "whatsapp cloud api veri saklama", "whatsapp cloud api yerel depolama", "whatsapp api kvkk", "whatsapp business veri gizliliği", "whatsapp bsp güvenlik anketi", "whatsapp api gdpr"] published: "2026-10-10" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 8 answer: "Cloud API üzerinden bir işletmeye giden WhatsApp mesajları, müşterinin telefonu ile Meta'nın işletme adına işlettiği Cloud API arasında Signal protokolüyle şifrelenir. Cloud API mesajları çözer ve HTTPS üzerinden işletmeye veya sağlayıcısına iletir; dolayısıyla kendi sunucularınıza kadar uçtan uca şifreli değildir. Meta, veri işleyen (processor) konumunda olduğunu ve mesaj verilerini en fazla 30 gün sakladığını belirtir. Gerisini sağlayıcınız, sistemleriniz ve erişim kontrolleriniz kapsar." takeaways: ["Meta, Cloud API'nin gelen mesajların şifresini çözüp işletmeye ilettiğini ve şifreleme anahtarlarını işletme adına yönettiğini belirtir.", "Meta, Cloud API mesaj verileri için azami saklama süresinin 30 gün olduğunu ve Cloud API'yi sağlarken veri işleyen konumunda olduğunu söyler.", "Yerel depolama, bir işletmenin mesaj içeriğini seçtiği ülkede saklamasına izin verir; kullanımdaki veri Cloud API'de en fazla 60 dakika boyunca uluslararası işlenebilir.", "WhatsApp'ın İşletme Mesajlaşma Politikası, müşterilerden tam ödeme kartı numarası, finansal hesap numarası veya ulusal kimlik numarası istenmesini yasaklar.", "Gerçek dünyadaki riskin çoğu Meta'nın dışındadır: sağlayıcı depolaması, webhook uç noktaları, temsilci erişimi, dışa aktarımlar ve numara kaydını koruyan PIN."] faq: - q: "WhatsApp Business API uçtan uca şifreli midir?" a: "Kısmen. Meta, mesajların müşteri ile işletme adına hareket eden Cloud API arasında Signal protokolüyle şifreli seyahat ettiğini belirtir. Cloud API ardından mesajın şifresini çözer ve TLS korumalı HTTPS üzerinden işletmeye gönderir. Yani işletme tarafındaki şifreli uç nokta sizin sunucularınız değil, Meta'nın Cloud API'sidir; okunabilir içeriği sağlayıcınız ve sistemleriniz işler." - q: "Meta, WhatsApp Business mesajlarını reklam için kullanır mı?" a: "Meta'nın Cloud API belgeleri, Cloud API'nin WhatsApp mesajlarını bir kişinin gördüğü reklamları şekillendirmek için otomatik olarak kullanmayacağını ve Meta'nın işletme adına veri işleyen konumunda olduğunu belirtir. İşletmelerin kendisi aldığı mesajları, hukuka ve gizlilik bildirimlerine uygun olarak kendi pazarlamasında kullanabilir; bu nedenle kendi politikanız önemlidir." - q: "WhatsApp Cloud API mesaj verilerini ne kadar süre saklar?" a: "Meta, yeniden iletim gibi özellikler için kullanılan mesaj verileri için azami 30 günlük bir saklama süresi belirtir ve aksi yönde talimat verilmedikçe kullanıcı tanımlayıcılarının mesajın son durum güncellemesinden itibaren 30 gün içinde silindiğini söyler. Sağlayıcınız ve kendi sistemleriniz verileri çok daha uzun süre tutabilir; saklama süresini orada ayrıca belirleyip belgelendirin." - q: "WhatsApp mesaj verileri Suudi Arabistan'da veya BAE'de kalabilir mi?" a: "Meta, her iş telefonu numarası için mesaj içeriğini belirlenen bir ülkede durağan hâlde tutan, Meta veri merkezlerinde ise en fazla 60 dakika boyunca uluslararası işleme yapan bir yerel depolama ayarı sunar. Desteklenen bölgeler Meta'nın kayıt belgelerinde listelenir ve zamanla değişir; güncel listeyi kontrol edin. Sağlayıcınızda tutulan veri ise ayrıca sormanız gereken bir konudur." - q: "WhatsApp Cloud API'nin hangi güvenlik sertifikaları var?" a: "Meta'nın veri gizliliği sayfası, Cloud API için SOC 2 Type II ve ISO 27001 raporları edindiğini belirtir ve dokümantasyon için Meta Business Messaging Compliance Center'a yönlendirir. Bunlar yalnızca Meta'nın hizmetini kapsar. Mesajlaşma sağlayıcınızın, CRM'inizin ve barındırma hizmetinizin her biri ayrı değerlendirme gerektirir; kanıtı her tedarikçiden doğrudan isteyin." sources: - title: "Veri gizliliği ve güvenliği — WhatsApp Cloud API, Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/data-privacy-and-security" - title: "Platform hakkında: şifreleme — Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/about-the-platform" - title: "Yerel depolama — Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/local-storage" - title: "WhatsApp Business Mesajlaşma Politikası — WhatsApp" url: "https://whatsappbusiness.com/policy/" - title: "WhatsApp Business Platform için Meta Şartları — Meta" url: "https://www.facebook.com/legal/Meta-Terms-for-WhatsApp-Business-Platform" --- # WhatsApp Business API Güvenlik ve Gizlilik Rehberi Canonical: https://omnichannels.ai/tr/blog/whatsapp-business-api-security-privacy/ Language: tr Publisher: OmniChannels.ai by BroadNet Technologies Bu rehber, bir WhatsApp Business API programını onaylaması veya bir müşterinin bu konudaki sorusunu yanıtlaması gereken CTO'lar, güvenlik sorumluları, veri koruma görevlileri (DPO) ve uyum yöneticileri için hazırlandı. Verilerin nerede şifrelendiğini ve nerede okunabilir olduğunu, kimin ne kadar süre sakladığını, hangi kontrollerin sizde olduğunu ve imza atmadan önce bir mesajlaşma tedarikçisine ne soracağınızı anlayacaksınız. ## WhatsApp Business API uçtan uca şifreli midir? Bireysel sohbetlerdeki anlamda değil. Meta, Cloud API ile mesajların müşteri ile işletme adına hareket eden Cloud API arasında Signal protokolüyle şifreli seyahat ettiğini söyler. Cloud API mesajların şifresini çözer ve TLS ile korunan HTTPS üzerinden işletmeye iletir; giden mesajlarda bunun tersi olur. Pratikte bu şu anlama gelir: - **Müşterinin telefonu ile Meta'nın Cloud API'si arasında:** Signal protokolü şifrelemesi. - **Cloud API içinde:** mesajlar işlenmek üzere hizmet tarafından okunabilir; Meta, durağan verinin şifrelendiğini ve Cloud API'nin anahtarları işletme adına yönettiğini belirtir. - **Cloud API ile sağlayıcınız veya sunucularınız arasında:** aktarım sırasında TLS, sonrasında sağlayıcınızın ve sizin uyguladığınız korumalar. Dolayısıyla müşterilere söylenecek dürüst ifade "hizmet sağlayıcımıza kadar WhatsApp'ın şifrelemesiyle korunur ve aktarım sırasında şifrelidir" olmalıdır; "yalnızca siz ve müşteri okuyabilir" değil. Meta ayrıca, veri koruma hukukunun bu kavramları kullandığı durumlarda, Cloud API'yi sağlarken işletme adına **veri işleyen (processor)** veya hizmet sağlayıcı konumunda olduğunu belirtir. ## Veriler nerede tutulur ve ne kadar süreyle? Veriler en az üç yerde bulunur ve her birinin kendi saklama süresi vardır. Bir programı onaylamadan önce üçünü de haritalayın. | Konum | Ne saklanır | Saklama (yayımlandığı şekliyle) | Kim kontrol eder | |---|---|---|---| | Meta Cloud API | Mesaj içeriği, medya, tanımlayıcılar | Mesaj verisi en fazla 30 gün; aksi yönde talimat verilmedikçe tanımlayıcılar son durum güncellemesinden itibaren 30 gün içinde silinir | Meta, veri işleyen olarak | | Mesajlaşma sağlayıcısı veya gelen kutusu platformu | Görüşmeler, kişiler, şablonlar, raporlar, kayıtlar | Sözleşme ve sağlayıcı ayarlarıyla belirlenir | Sağlayıcı, talimatlarınız doğrultusunda | | Sizin sistemleriniz | CRM kayıtları, dışa aktarımlar, veri ambarları, yedekler | Sizin politikanız | Siz | Meta, Cloud API trafiğini kendi veri merkezlerinde işler. Mesaj içeriğinin belirli bir ülkede durağan hâlde tutulmasına ihtiyacınız varsa Meta, her iş telefonu numarasında bir ayar olan **yerel depolama** sunar. Etkinleştirildiğinde mesaj içeriği kullanım sırasında yine uluslararası işlenebilir (Cloud API'de en fazla 60 dakika), ardından yalnızca seçilen bölgede kalıcı olur. Yalnızca numara kayıtlı değilken açılıp kapatılabilir ve desteklenen bölgeler Meta'nın kayıt belgelerinde listelenir; bu nedenle güvenmeden önce ülkeniz için kullanılabilirliği teyit edin. Yerel depolama yalnızca Meta tarafını kapsar. Sağlayıcınızın görüşmeleri ve yedekleri nerede sakladığını ayrıca sorun. ## Hangi düzenlemeler geçerlidir? Bu, sizin ve müşterilerinizin nerede bulunduğuna bağlıdır. Körfez ülkelerinde BAE Kişisel Verilerin Korunması Kanunu ile Suudi Arabistan'ın SDAIA tarafından denetlenen Kişisel Verilerin Korunması Kanunu; hukuka uygun işleme, rıza, amaçla sınırlılık ve sınır ötesi aktarımlara ilişkin kurallar koyar; bankacılık, sağlık ve telekom alanındaki sektör düzenleyicileri ek kurallar getirebilir. AB veya Birleşik Krallık'taki müşteriler GDPR'ı kapsama sokar. Meta'nın belgeleri, Cloud API müşterilerinin veri koruma hukuku kapsamındaki kendi yükümlülüklerini yerine getirmesi gerektiğini belirtir. Bu bölümü hukuki tavsiye değil, yönlendirme olarak değerlendirin. Hangi kanunların sizin özel veri akışlarınıza uygulandığını bir hukuk danışmanıyla belirleyin. ## Kimin, nasıl erişimi olmalı? Erişim kontrolü hataları, kriptografiden daha fazla olaya yol açar. Şu katmanları sıkılaştırın: 1. **Meta iş portföyü.** WhatsApp Business Hesabı'nı (WABA) kendi portföyünüzde tutun, yöneticiler için iki faktörlü doğrulamayı zorunlu kılın ve ayrılanları hemen çıkarın. 2. **İki adımlı doğrulama PIN'i.** Altı haneli PIN, numaranızın kaydını korur. Bir tedarikçinin gelen kutusunda değil, kendi parola yöneticinizde saklayın. PIN değişikliklerini ve iki adımlı doğrulamayı kapatma girişimlerini bildiren Meta güvenlik webhook'una abone olun. 3. **API token'ları.** Yalnızca gereken izinlere sahip sistem kullanıcısı token'ları kullanın, bunları bir gizli anahtar yöneticisinde saklayın ve personel ya da tedarikçi değiştiğinde yenileyin. 4. **Webhook uç noktası.** Yalnızca HTTPS kabul edin, uygulama sırrınızla Meta'nın yük imzasını doğrulayın ve tam yükleri paylaşılan konsollara asla kaydetmeyin. 5. **Temsilci erişimi.** Temsilcilere hizmet verdikleri kuyruklara rol tabanlı erişim verin, toplu dışa aktarımı kısıtlayın ve kimin neyi görüntülediğini veya dışa aktardığını kaydedin. 6. **Tedarikçi erişimi.** Sağlayıcı personelinden kimlerin görüşmelerinize hangi süreçle eriştiğini ve erişimin nasıl kaydedildiğini bilin. ## Şablonlardaki ve sohbetlerdeki kişisel veriler nasıl yönetilmeli? En az veriyi toplayın ve politikanın yasakladığını asla toplamayın. WhatsApp'ın İşletme Mesajlaşma Politikası, işletmelerin tam ödeme kartı numaralarını, finansal hesap numaralarını, kimlik kartı numaralarını veya diğer hassas tanımlayıcıları paylaşmamasını ya da kişilerden paylaşmasını istememesini belirtir. Pratik kurallar: - **Şablonlar:** Hassas verileri değişkenlere koymaktan kaçının. Hesabın tamamı yerine "4821 ile biten siparişiniz" ifadesini kullanın; şablon parametreleri mesaj içeriğidir ve diğer mesajlar gibi saklanır. - **Ödeme ve kimlik:** Ayrıntıları sohbette toplamak yerine güvenli bir web sayfasına CTA URL düğmesi gönderin. - **OTP:** Kimlik doğrulama şablonlarını ve kısa geçerlilik süresini kullanın; [OTP güvenliği rehberimize](/blog/otp-authentication-messages-guide/) bakın. - **Medya:** Müşterinin gönderdiği görselleri ve belgeleri varsayılan olarak hassas kabul edin ve bunlara saklama süresi uygulayın. - **Dışa aktarımlar:** Görüşmelerin veya raporların CSV dışa aktarımları, sızdırılması en kolay verilerdir. Bunları kısıtlayın ve kaydedin. ## Bir WhatsApp API tedarikçisine ne sormalısınız? Bu kontrol listesini satın almada kullanın. Sıfat değil, kanıt isteyin. 1. WABA'nın ve içinde yer aldığı Meta iş portföyünün sahibi kim ve buradan ayrılabilir miyiz? 2. Görüşmeler, medya ve yedekler nerede ve hangi ülkelerde saklanıyor? 3. Varsayılan saklama süresi nedir ve silmeyi veri türüne göre yapılandırabilir miyiz? 4. Hangi bağımsız güvenlik değerlendirmelerine veya sertifikalara sahipsiniz? Kapsamıyla birlikte rapor veya sertifika isteyin. 5. Personel erişimi, yönetici işlemleri ve dışa aktarımlar nasıl kaydediliyor ve bu kayıtları görebilir miyiz? 6. API token'ları ve iki adımlı PIN nasıl saklanıyor ve onları kimler kullanabiliyor? 7. Hangi alt işleyicileri (sub-processor) kullanıyorsunuz ve değişikliklerden nasıl haberdar ediliyoruz? 8. Olay bildirim süreciniz ve süreniz nedir? 9. Mesaj verilerimizi yapay zeka modellerini eğitmek için kullanıyor musunuz? Meta'nın platform şartları, bir işletmenin yapay zeka sağlayıcısı kullandığı durumlarda bunu kısıtlar. 10. Bizim için geçerli kanunları yansıtan bir veri işleme sözleşmesi imzalayabilir miyiz? ## Uygulamalı örnek: Abu Dabi'deki bir sigortacının onay süreci Kurgusal bir örnek. "Falcon Assurance", WhatsApp üzerinden hasar güncellemeleri göndermek istiyor. Güvenlik ekibi veri akışlarını haritalıyor: Meta Cloud API, bir gelen kutusu sağlayıcısı ve hasar sistemi. Meta'nın veri işleyen rolünü ve 30 günlük saklama süresini teyit ediyor, ülkeleri için yerel depolamanın mevcut olup olmadığını kontrol ediyor ve sağlayıcıdan depolama konumlarını ve alt işleyicileri istiyor. Hasar şablonlarının yalnızca hasar numaralarına atıfta bulunmasına, poliçe sahibi kimliklerine veya banka bilgilerine asla yer vermemesine karar veriyorlar; ödemeler portallarına giden bir CTA URL düğmesi üzerinden yapılıyor. Temsilciler yalnızca kendi bölgelerinin kuyruğunu görüyor, dışa aktarımlar süpervizör onayı gerektiriyor ve PIN kurumsal kasada duruyor. Onay, tek bir evet ya da hayır değil, belgelenmiş bir veri akışı ve risk kaydı biçimini alıyor. ## Sık yapılan hatalar ve dürüst sınırlar - **Müşterilere sohbetlerin "bize kadar uçtan uca şifreli" olduğunu söylemek.** Kesin olun. - **Yalnızca Meta'yı değerlendirmek.** En uzun ömürlü verileri sağlayıcılar ve kendi sistemleriniz tutar. - **WABA'nın ve PIN'in sahibinin tedarikçi olmasına izin vermek.** Kontrolü ve taşınmayı zorlaştırır. - **Gelen kutusu için saklama kuralı olmaması.** "Sonsuza kadar" da bir karardır ve çoğu zaman kötü bir karardır. - **Sertifikalara aşırı güvenmek.** Kapsamlarını kontrol edin; sizin yapılandırmanızı kapsamazlar. ## OmniChannels.ai nasıl yardımcı olur? BroadNet Technologies tarafından desteklenen OmniChannels.ai, işletmeleri [WhatsApp Business API](/channels/whatsapp-business-api/)'ye Meta Embedded Signup aracılığıyla bağlar; bu yöntem WhatsApp Business Hesabı'nı işletmenin kendi Meta portföyü içinde oluşturur. Şablonlar önizlenir ve onay süreci boyunca izlenir; böylece ekipler her şablonun hangi verileri taşıdığını göndermeden önce inceleyebilir. BroadNet; ISO/IEC 27001:2022, ISO/IEC 27018 ve SOC 2 Type II belgelerine sahiptir ve GDPR'a uyumludur. API kimlik doğrulaması ve webhook'lar [geliştiriciler](/developers/) sayfasında herkese açık olarak belgelenmiştir. Güvenlik sorularınızı gözden geçirmek için [bizimle iletişime geçin](/contact/).