Por 
Para CISO, TI e compliance na América Latina, afirmar que o WhatsApp Business é seguro só se sustenta se três camadas forem tratadas de forma separada: a segurança do transporte e da plataforma, a segurança e a governança da empresa depois que a mensagem é recebida, e a capacidade de resposta a fraude e incidentes dentro do prazo regulatório. O cruzamento entre WhatsApp, Meta for Developers, os termos do WhatsApp Business, a LGPD, a ANPD e o ICO mostra que a criptografia de ponta a ponta, sozinha, não resolve acesso interno, webhooks, retenção, marketing, rastreabilidade nem notificação.
Nenhuma das fontes reunidas apresenta essas camadas em uma única visão. Quando elas são comparadas, aparece o ponto real de decisão: não aprovar o WhatsApp Business em abstrato, e sim definir quais casos de uso serão autorizados e qual evidência a empresa precisa produzir.
| Canal | Camada avaliada | O que protege | Limite declarado | O que exige da empresa | Prazo ou retenção | Fonte |
|---|---|---|---|---|---|---|
| WhatsApp Help Center, chats com empresas no WhatsApp Business | Transporte e chat | As conversas com empresas que usam o aplicativo WhatsApp Business são protegidas por criptografia de ponta a ponta por padrão, segundo o WhatsApp Help Center. | Depois que uma mensagem chega a uma empresa, ela fica sujeita às práticas de privacidade próprias dessa empresa, segundo o WhatsApp Help Center. | Uma empresa pode designar funcionários ou outros fornecedores para processar e responder mensagens, e pode usar os chats recebidos para marketing, inclusive publicidade na Meta, segundo o WhatsApp Help Center. | não especificado | WhatsApp Help Center |
| Meta for Developers, WhatsApp Cloud API | API e entrega para sistemas | A Cloud API usa criptografia do protocolo Signal para proteger as mensagens antes de saírem do dispositivo, e a Graph API e os Webhooks operam via HTTPS protegido por TLS, segundo a Meta for Developers. | Quando chega à Cloud API, a Cloud API descriptografa a mensagem e a reenvia à empresa. A Cloud API atua como intermediária e gerencia as chaves de criptografia e descriptografia em nome da empresa, segundo a Meta for Developers. | As mensagens recebidas e os status de entrega são comunicados ao servidor da empresa por meio de webhooks, e os webhooks entregam payloads JSON, segundo a Meta for Developers. | Período máximo de retenção de 30 dias para os dados de mensagens. Os identificadores de usuário são removidos em até 30 dias após a última atualização de status da mensagem, salvo indicação diferente, segundo a Meta for Developers. | Meta for Developers |
| WhatsApp Business App Terms | Conta, acesso e responsabilidade | A empresa deve manter seguras as credenciais da conta, proteger os dispositivos e a conta do WhatsApp, impedir acessos ou usos não autorizados e notificar imediatamente suspeitas de incidentes ou acessos não autorizados, segundo os WhatsApp Business App Terms. | A empresa é responsável por todas as atividades realizadas sob sua conta, segundo os WhatsApp Business App Terms. | Deve permitir acesso apenas a pessoas autorizadas que atuem em seu nome e para fins autorizados, e implementar e seguir padrões e boas práticas reconhecidos pelo setor para segurança de dados e informações, segundo os WhatsApp Business App Terms. | Notificar imediatamente suspeitas de incidentes ou acessos não autorizados. Sem prazo de retenção especificado. | |
| LGPD Brasil | Obrigação legal do controlador | O artigo 46 da LGPD exige a adoção de medidas técnicas e administrativas de segurança para proteger dados pessoais contra acessos não autorizados e destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, segundo a Presidência da República do Brasil. | O artigo 46, §2º, da LGPD exige observar medidas de segurança desde a fase de concepção do produto ou serviço até sua execução. O artigo 6º, X, exige demonstrar medidas eficazes capazes de comprovar o cumprimento e a eficácia dessas medidas, segundo a Presidência da República do Brasil. | Pelos WhatsApp Business App Terms, a empresa usuária atua como Controller sob a LGPD em relação aos dados de clientes tratados para habilitar o contato por WhatsApp, segundo o WhatsApp. | O artigo 48 exige comunicar à autoridade nacional e ao titular um incidente de segurança que possa causar risco ou dano relevante, segundo a Presidência da República do Brasil. | Presidência da República do Brasil, WhatsApp |
| ANPD Brasil | Notificação de incidentes | A comunicação à ANPD e aos titulares deve ocorrer quando o incidente puder causar risco ou dano relevante, segundo a Autoridade Nacional de Proteção de Dados. | A ANPD define como exemplos de incidentes sujeitos a avaliação aqueles relacionados à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais, segundo o Serviço Federal de Processamento de Dados. | A comunicação deve incluir a natureza e a categoria dos dados afetados, o número de titulares, as medidas de segurança adotadas, os riscos identificados, as medidas de mitigação e a descrição e causa principal do incidente, segundo o Ministério das Mulheres do Brasil. | Em até 3 dias úteis, salvo se uma legislação específica estabelecer outro prazo, segundo a Autoridade Nacional de Proteção de Dados. | ANPD, Serpro, Ministério das Mulheres do Brasil |
| ICO | Governança de canais não corporativos | A Information Commissioner's Office recomenda controlar de forma rigorosa ou proibir o uso de redes sociais ou aplicativos de mensagens como WhatsApp para compartilhar informações pessoais. | Usar canais não corporativos para informações oficiais pode dificultar o cumprimento das obrigações de proteção de dados, segundo a Information Commissioner's Office. | A informação oficial deveria permanecer em canais corporativos e, se forem usados canais privados como WhatsApp, precisam existir mecanismos para transferi-la rapidamente para os sistemas corporativos. Além disso, são exigidas políticas, segurança da informação e supervisão adequadas, segundo a Information Commissioner's Office. | Deve ser destruída de forma segura quando deixar de ser necessária. Sem prazo numérico especificado. | Information Commissioner's Office |
A criptografia de ponta a ponta basta para dizer que o WhatsApp Business é seguro?
O WhatsApp Help Center diz que todas as mensagens estão protegidas pelo mesmo protocolo de criptografia do Signal antes de saírem do dispositivo e que as conversas com empresas que usam o WhatsApp Business estão protegidas por criptografia de ponta a ponta por padrão. Mas o próprio WhatsApp Help Center esclarece que, depois que uma mensagem chega a uma empresa, ela fica sujeita às práticas de privacidade dessa empresa.
A leitura da Whalemate é que a criptografia protege o trajeto inicial, não a operação completa do dado. Se o caso de uso inclui atendimento, suporte, vendas ou cobrança, a avaliação não pode terminar no canal, porque o risco relevante começa quando a mensagem já está dentro do perímetro operacional da empresa.
O que muda quando a empresa usa Cloud API?
A Meta for Developers documenta que, na Cloud API, a mensagem trafega criptografada entre o WhatsApp e a Cloud API, mas, quando chega à Cloud API, ela é descriptografada e reenviada à empresa. A mesma documentação diz que a Cloud API atua como intermediária e gerencia as chaves de criptografia e descriptografia em nome da empresa.
A leitura da Whalemate é que esse ponto muda a pergunta de segurança. Não basta validar a criptografia do canal, porque o risco passa para a entrega a sistemas próprios, para a exposição de webhooks, para os servidores que recebem payloads JSON e para o controle de quem pode operar essa integração.
Onde termina a proteção do canal e onde começa a responsabilidade da empresa?
O WhatsApp Help Center diz que uma empresa pode designar funcionários ou outros fornecedores para processar e responder mensagens, e que pode usar os chats recebidos para marketing, inclusive para publicidade na Meta. Ao mesmo tempo, os WhatsApp Business App Terms estabelecem que a empresa é responsável por todas as atividades realizadas sob sua conta.
A leitura da Whalemate é que o limite de segurança não é dado pelo produto, mas pela governança que a empresa consegue demonstrar. Se várias pessoas ou terceiros acessam mensagens, contas ou integrações, o ponto crítico deixa de ser a promessa de criptografia e passa a ser a cadeia real de custódia do dado.
A verificação em duas etapas resolve o risco de tomada de conta?
O WhatsApp Help Center apresenta a verificação em duas etapas como uma função opcional que adiciona uma camada extra de segurança à conta. A Polícia Civil de Santa Catarina recomenda habilitar a autenticação em dois fatores e ativar a confirmação em duas etapas do WhatsApp com um PIN numérico de 6 dígitos, e o WhatsApp recomenda não compartilhar o código de confirmação de seis dígitos nem a senha de verificação em duas etapas.
Mas o NIST recomenda ativar autenticação multifator e avançar para autenticação resistente a phishing, e a NIST SP 800-63-4 estabelece que autenticadores que exigem a entrada manual de um código, incluindo autenticadores OTP fora de banda, não devem ser considerados resistentes a phishing. Além disso, um documento da Assembleia Legislativa de São Paulo alerta que a autenticação de dois fatores não está totalmente protegida.
A leitura da Whalemate é que a verificação em duas etapas é um piso, não uma garantia suficiente. Ela ajuda a reduzir exposição básica, mas não autoriza tratar a conta como se estivesse protegida contra campanhas de engenharia social ou roubo de credenciais.
O que obriga a controlar credenciais, dispositivos e acessos internos?
Os WhatsApp Business App Terms exigem manter seguras as credenciais da conta, proteger os dispositivos e a conta do WhatsApp, impedir acessos ou usos não autorizados e notificar imediatamente suspeitas de incidentes ou acessos não autorizados. Também exigem permitir acesso somente a pessoas autorizadas que atuem em nome da empresa e para fins autorizados.
O CIS Mobile Companion Guide identifica a gestão e a configuração de dispositivos como tema central da segurança móvel, junto com o uso de criptografia e controles sobre instalação e uso de aplicativos móveis. A leitura da Whalemate é que uma conta bem configurada ainda pode ser insegura se operar em dispositivos sem gestão, com credenciais compartilhadas ou com acesso estendido a terceiros sem rastreabilidade.
O que acontece com webhooks, payloads e rastreabilidade?
A Meta for Developers documenta que, na Cloud API, as mensagens recebidas e os status de entrega são comunicados ao servidor da empresa por meio de webhooks, e que esses webhooks entregam payloads JSON. A documentação também diz que a Graph API e os Webhooks operam via HTTPS protegido por TLS.
A leitura da Whalemate é que o TLS protege o transporte, mas não substitui o controle sobre o destino. Um CISO precisa conseguir demonstrar qual servidor recebe esses eventos, quem administra esse endpoint, como os acessos relacionados são autenticados, quais logs são mantidos e como esses eventos se correlacionam com os sistemas corporativos.
A retenção da Cloud API resolve as obrigações de conservação e exclusão?
A Meta for Developers estabelece um período máximo de retenção de 30 dias para os dados de mensagens na Cloud API e diz que os identificadores de usuário são removidos em até 30 dias após a última atualização de status da mensagem, salvo indicação diferente. Por sua vez, a Information Commissioner's Office afirma que uma empresa que processa informações pessoais deve mantê-las seguras e destruí-las de forma segura quando elas deixarem de ser necessárias.
A leitura da Whalemate é que a retenção da plataforma não substitui a política de retenção da empresa. Se o conteúdo do chat já foi derivado para CRM, service desk, ticketing, cobrança ou repositórios internos, a obrigação operacional passa a estar nesses sistemas e no ciclo de vida documental deles.