Segurança e privacidade da API do WhatsApp Business

Este guia é para CTOs, responsáveis por segurança, encarregados de dados (DPOs) e líderes de compliance que precisam aprovar um programa de API do WhatsApp Business ou responder a uma pergunta de cliente sobre ele. Você vai entender onde os dados são criptografados e onde ficam legíveis, quem os guarda e por quanto tempo, quais controles são seus e o que perguntar a um fornecedor de mensageria antes de assinar.

A API do WhatsApp Business tem criptografia de ponta a ponta?

Não da maneira que os chats de consumidores têm. A Meta afirma que, com a Cloud API, as mensagens trafegam criptografadas com o protocolo Signal entre o cliente e a Cloud API, que atua em nome da empresa. A Cloud API as descriptografa e as encaminha à empresa por HTTPS protegido por TLS; o inverso acontece nas mensagens enviadas.

Na prática, isso significa:

• Entre o celular do cliente e a Cloud API da Meta: criptografia com o protocolo Signal.
• Dentro da Cloud API: as mensagens podem ser lidas pelo serviço para processamento; a Meta diz que os dados em repouso são criptografados e que a Cloud API gerencia as chaves em nome da empresa.
• Entre a Cloud API e o seu provedor ou servidores: TLS em trânsito e, depois, a proteção que o provedor e você aplicarem.

Portanto, a declaração honesta aos clientes é "criptografado em trânsito e protegido pela criptografia do WhatsApp até o nosso provedor de serviços", e não "só você e o cliente podem ler". A Meta também afirma que, nos casos em que a lei de proteção de dados usa esses conceitos, atua como operadora de dados ou prestadora de serviços da empresa ao fornecer a Cloud API.

Onde os dados ficam e por quanto tempo?

Os dados existem em pelo menos três lugares, cada um com sua retenção. Mapeie os três antes de aprovar um programa.

A Meta processa o tráfego da Cloud API em seus data centers. Se você precisa do conteúdo das mensagens em repouso em um país específico, a Meta oferece o armazenamento local, uma configuração de cada número de telefone comercial. Com ela ativada, o conteúdo das mensagens ainda pode ser processado internacionalmente durante o uso, por até 60 minutos na Cloud API, e depois persiste apenas na região escolhida. Ela só pode ser ativada ou desativada enquanto o número não estiver registrado, e as regiões suportadas estão na documentação de registro da Meta; confirme a disponibilidade para o seu país antes de contar com ela.

O armazenamento local cobre apenas o lado da Meta. Pergunte separadamente ao seu provedor onde ele armazena conversas e backups.

Quais regulamentações se aplicam?

Depende de onde você e seus clientes estão. No GCC, a Lei de Proteção de Dados Pessoais dos Emirados (UAE Personal Data Protection Law) e a da Arábia Saudita (Personal Data Protection Law), supervisionada pela SDAIA, definem regras sobre tratamento lícito, consentimento, limitação de finalidade e transferências internacionais; reguladores setoriais de bancos, saúde e telecomunicações podem acrescentar outras. Clientes na UE ou no Reino Unido trazem o GDPR para o escopo. A documentação da Meta afirma que os clientes da Cloud API devem cumprir as próprias obrigações previstas nas leis de proteção de dados.

Trate esta seção como orientação, não como aconselhamento jurídico. Peça a um advogado que mapeie quais leis se aplicam aos seus fluxos de dados específicos.

Quem deve ter acesso, e como?

Falhas de controle de acesso causam mais incidentes do que a criptografia. Proteja estas camadas:

1. Portfólio empresarial da Meta. Mantenha a WhatsApp Business Account (WABA) no seu próprio portfólio, exija autenticação de dois fatores dos administradores e remova rapidamente quem sai.
2. PIN da verificação em duas etapas. O PIN de seis dígitos protege o registro do seu número. Guarde-o no seu gerenciador de senhas, não na caixa de entrada de um fornecedor. Assine o webhook de segurança da Meta, que informa alterações de PIN e tentativas de desativar a verificação em duas etapas.
3. Tokens de API. Use tokens de usuário do sistema apenas com as permissões necessárias, guarde-os em um gerenciador de segredos e faça a rotação quando houver mudança de equipe ou de fornecedores.
4. Endpoint de webhook. Aceite somente HTTPS, verifique a assinatura do payload da Meta com o segredo do seu app e nunca registre payloads completos em consoles compartilhados.
5. Acesso dos agentes. Dê aos agentes acesso baseado em perfil às filas que atendem, restrinja a exportação em massa e registre quem visualizou ou exportou o quê.
6. Acesso do fornecedor. Saiba quais funcionários do provedor podem acessar suas conversas, por qual processo e como o acesso é registrado.

Como tratar PII em modelos e chats?

Colete o mínimo e nunca colete o que a política proíbe. A Política de Mensagens Comerciais do WhatsApp diz que as empresas não devem compartilhar nem pedir que as pessoas compartilhem números completos de cartão de pagamento, de contas financeiras, de documentos de identidade ou outros identificadores sensíveis.

Regras práticas:

• Modelos: evite colocar dados sensíveis em variáveis. Use "seu pedido com final 4821" em vez de dados completos da conta; os parâmetros de modelo são conteúdo de mensagem e são armazenados como qualquer outra mensagem.
• Pagamentos e identidade: envie um botão CTA de URL para uma página web segura em vez de coletar dados no chat.
• OTPs: use modelos de autenticação e validade curta; veja nosso guia de segurança de OTP.
• Mídia: trate imagens e documentos enviados por clientes como sensíveis por padrão e aplique retenção a eles.
• Exportações: exportações em CSV de conversas ou relatórios são os dados mais fáceis de vazar. Restrinja e registre.

O que perguntar a um fornecedor de API do WhatsApp?

Use esta lista na contratação. Peça evidências, não adjetivos.

1. Quem é o titular da WABA e do portfólio empresarial da Meta em que ela está, e podemos migrar para outro provedor?
2. Onde as conversas, a mídia e os backups são armazenados, e em quais países?
3. Qual é a retenção padrão, e podemos configurar a exclusão por tipo de dado?
4. Quais avaliações de segurança independentes ou certificações vocês possuem? Peça relatórios ou certificados, com o escopo.
5. Como são registrados os acessos de funcionários, as ações de administradores e as exportações, e podemos ver esses logs?
6. Como os tokens de API e o PIN da verificação em duas etapas são armazenados e quem pode usá-los?
7. Quais suboperadores vocês usam e como somos avisados de mudanças?
8. Qual é o processo e o prazo de notificação de incidentes?
9. Vocês usam nossos dados de mensagens para treinar modelos de IA? Os termos da plataforma da Meta restringem isso quando a empresa contrata um provedor de IA.
10. Podemos assinar um acordo de tratamento de dados que reflita as leis aplicáveis a nós?

Exemplo prático: a aprovação de uma seguradora de Abu Dhabi

Um exemplo sintético. A "Falcon Assurance" quer enviar atualizações de sinistros pelo WhatsApp. A equipe de segurança mapeia os fluxos de dados: Cloud API da Meta, um provedor de caixa de entrada e o sistema de sinistros. Ela confirma o papel de operadora da Meta e a retenção de 30 dias, verifica se o armazenamento local está disponível para o seu país e pergunta ao provedor sobre locais de armazenamento e suboperadores.

Decidem que os modelos de sinistro citarão apenas números de sinistro, nunca identificadores de segurados ou dados bancários; os pagamentos passam por um botão CTA de URL para o portal. Os agentes veem somente a fila da sua região, as exportações exigem aprovação do supervisor e o PIN fica no cofre corporativo. A aprovação toma a forma de um fluxo de dados documentado e de um registro de riscos, não de um simples sim ou não.

Erros comuns e limites honestos

• Dizer aos clientes que os chats têm "criptografia de ponta a ponta até nós". Seja preciso.
• Avaliar apenas a Meta. Provedores e seus próprios sistemas guardam os dados de vida mais longa.
• Deixar um fornecedor ser titular da WABA e do PIN. Isso complica o controle e a migração.
• Não ter regra de retenção para a caixa de entrada. "Para sempre" também é uma decisão, e muitas vezes ruim.
• Confiar demais em certificações. Verifique o escopo; elas não cobrem a sua configuração.

Como a OmniChannels.ai ajuda

A OmniChannels.ai, com tecnologia da BroadNet Technologies, ativa empresas na API do WhatsApp Business pelo Embedded Signup da Meta, que cria a conta do WhatsApp Business dentro do próprio portfólio da empresa na Meta. Os modelos são pré-visualizados e acompanhados durante a aprovação, para que as equipes revisem quais dados cada modelo leva antes do envio. A BroadNet possui as certificações ISO/IEC 27001:2022, ISO/IEC 27018 e SOC 2 Type II e está em conformidade com o GDPR. A autenticação da API e os webhooks estão documentados publicamente na página de desenvolvedores. Fale conosco para analisar as suas dúvidas de segurança.