WhatsApp Business API 的安全与隐私要点

本指南面向需要审批 WhatsApp Business API 项目，或需要回答客户相关问题的 CTO、安全负责人、数据保护官（DPO）和合规负责人。读完后，您将了解数据在哪里加密、在哪里是可读的，由谁保存、保存多久，哪些控制措施掌握在您手中，以及签约前应向消息服务商问些什么。

WhatsApp Business API 是端到端加密的吗？

和个人聊天的端到端加密不是一回事。Meta 表示，使用 Cloud API 时，消息在客户与代企业运作的 Cloud API 之间以 Signal 协议加密传输。Cloud API 会解密消息，并通过受 TLS 保护的 HTTPS 转发给企业；发出消息时则相反。

实际含义如下：

• 客户手机与 Meta Cloud API 之间： Signal 协议加密。
• Cloud API 内部： 服务为处理消息可读取内容；Meta 表示静态数据已加密，并由 Cloud API 代企业管理密钥。
• Cloud API 与您的服务商或服务器之间： 传输中使用 TLS，之后取决于您的服务商和您自己采取的保护措施。

因此，对客户比较诚实的说法是“在传输过程中加密，并在到达我们的服务商之前受 WhatsApp 加密保护”，而不是“只有您和客户能看到”。Meta 还表示，在数据保护法使用相关概念的场合，它在提供 Cloud API 时是企业的数据处理者或服务提供方。

数据存放在哪里，保存多久？

数据至少存在于三个地方，各有各的保留期限。批准项目之前，请把这三处都梳理清楚。

Meta 在其数据中心处理 Cloud API 流量。如果您需要把静态存储的消息内容保留在特定国家，Meta 提供本地存储，这是每个企业电话号码上的一项设置。启用后，消息内容在使用过程中仍可能在境外处理（Cloud API 上最长60分钟），之后只持久保存在所选地区。该设置只能在号码未注册时开启或关闭，支持的地区列在 Meta 的注册文档中，因此在依赖它之前，请先确认您所在国家是否可用。

本地存储只涵盖 Meta 一侧。请另外询问服务商把对话和备份存放在哪里。

适用哪些法规？

这取决于您和客户所在的地方。在海湾地区，阿联酋《个人数据保护法》和沙特阿拉伯由 SDAIA 监管的《个人数据保护法》对合法处理、同意、目的限制和跨境传输作出规定；银行、医疗和电信领域的行业监管机构可能还有补充要求。欧盟或英国的客户会使 GDPR 适用。Meta 的文档表明，Cloud API 的客户必须履行自己在数据保护法下的义务。

请把本节当作方向性参考，而非法律意见。请让法律顾问梳理哪些法律适用于您具体的数据流。

谁应当有访问权限，如何授权？

访问控制失误引发的事故多于加密算法本身的问题。请收紧以下几层：

1. Meta 业务组合（business portfolio）。 把 WhatsApp Business 账户（WABA）放在您自己的业务组合中，对管理员强制启用双重验证，并及时移除离职人员。
2. 两步验证 PIN。 这个六位 PIN 保护您号码的注册。请存放在您自己的密码管理器中，而不是供应商的收件箱里。订阅 Meta 的安全 webhook，它会报告 PIN 的变更以及关闭两步验证的尝试。
3. API token。 使用仅具备必要权限的系统用户 token，保存在密钥管理器中，并在员工或供应商变动时轮换。
4. Webhook 端点。 只接受 HTTPS，用您的应用密钥校验 Meta 的请求签名，并且不要把完整请求体记录到共享控制台。
5. 客服访问权限。 按角色授予客服对其所服务队列的访问权，限制批量导出，并记录谁查看或导出了什么。
6. 供应商访问权限。 弄清服务商的哪些员工可通过什么流程访问您的对话，以及访问如何被记录。

如何处理模板和聊天中的个人信息（PII）？

只收集最少的数据，并且绝不收集政策禁止的内容。WhatsApp 的商业消息政策规定，企业不得分享或要求他人分享完整的银行卡号、金融账号、身份证件号码或其他敏感标识符。

实用规则：

• 模板： 避免把敏感数据放进变量。用“尾号4821的订单”，而不是完整的账户信息；模板参数属于消息内容，与其他消息一样会被存储。
• 支付与身份： 发送一个 CTA URL 按钮，引导到安全的网页，而不是在聊天中收集信息。
• OTP： 使用身份验证模板并设置较短的有效期；参见我们的 OTP 安全指南。
• 媒体： 默认把客户发送的图片和文档视为敏感数据，并为其设置保留期限。
• 导出： 对话或报表的 CSV 导出是最容易泄露的数据。请限制并记录。

应该向 WhatsApp API 供应商问些什么？

在采购时使用这份清单。要的是证据，而不是形容词。

1. WABA 及其所在的 Meta 业务组合归谁所有，我们日后能否迁出？
2. 对话、媒体和备份存放在哪里，位于哪些国家？
3. 默认的保留期限是多久，我们能否按数据类型配置删除？
4. 你们持有哪些独立的安全评估或认证？请提供报告或证书，并注明适用范围。
5. 员工访问、管理员操作和数据导出是如何记录的，我们能否查看这些日志？
6. API token 和两步验证 PIN 是如何存放的，谁能使用？
7. 你们使用哪些子处理者，变更时如何通知我们？
8. 你们的事件通知流程和时限是怎样的？
9. 你们是否使用我们的消息数据训练 AI 模型？Meta 的平台条款在企业聘用 AI 服务商的情形下对此有所限制。
10. 我们能否签署一份符合我方适用法律的数据处理协议？

实际案例：阿布扎比一家保险公司的审批

这是一个虚构示例。“Falcon Assurance”想通过 WhatsApp 发送理赔进展。安全团队梳理了数据流：Meta Cloud API、一家收件箱服务商和理赔系统。他们确认了 Meta 的处理者角色和30天保留期，查看本国是否支持本地存储，并向服务商索要存储位置和子处理者清单。

他们决定理赔模板只引用理赔编号，绝不包含投保人证件号或银行信息；付款通过 CTA URL 按钮跳转到自己的门户。客服只能看到所在地区的队列，导出需要主管批准，PIN 存放在公司的保险库中。最终的批准形式是一份有文档记录的数据流和风险登记册，而不是简单的“是”或“否”。

常见错误与客观局限

• 告诉客户聊天“对我们端到端加密”。 请表述准确。
• 只评估 Meta。 服务商和您自己的系统保存着生命周期最长的数据。
• 让供应商持有 WABA 和 PIN。 这会使控制和迁移变得复杂。
• 没有为收件箱制定保留规则。 “永久保留”同样是一种决定，而且往往是个糟糕的决定。
• 过度依赖认证。 请核对其适用范围；它们并不涵盖您的具体配置。

OmniChannels.ai 如何提供帮助

OmniChannels.ai 由 BroadNet Technologies 提供技术支持，通过 Meta Embedded Signup 帮助企业接入 WhatsApp Business API，该流程会在企业自己的 Meta 业务组合中创建 WhatsApp Business 账户。模板可预览并跟踪审核进度，团队因此能在发送前检查每个模板携带了哪些数据。BroadNet 持有 ISO/IEC 27001:2022、ISO/IEC 27018 和 SOC 2 Type II，并符合 GDPR。API 认证和 webhook 已在开发者页面公开说明。欢迎联系我们，一起梳理您的安全问题。