--- title: "WhatsApp Business e o risco para empresas | Whalemate" description: "O ciframento não basta para aprovar o WhatsApp Business. A decisão exige controle de acessos, webhooks, retenção" url: https://www.whalemate.com/br/recursos/blog/whatsapp-business-risco-empresas/ lang: pt-BR updated: 2026-11-10 alternates: es: https://www.whalemate.com/recursos/blog/whatsapp-business-tan-seguro-empresas/ en: https://www.whalemate.com/en/resources/blog/whatsapp-business-security-companies/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # WhatsApp Business e o risco para empresas O ciframento não basta para aprovar o WhatsApp Business. A decisão exige controle de acessos, webhooks, retenção 10 de nov. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 14 min de leitura ![WhatsApp Business e o risco para empresas](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/whatsapp-business-risco-empresas.webp) Neste artigo 1. [A criptografia de ponta a ponta basta para dizer que o WhatsApp Business é seguro?](#s1) 2. [O que muda quando a empresa usa Cloud API?](#s2) 3. [Onde termina a proteção do canal e onde começa a responsabilidade da empresa?](#s3) 4. [A verificação em duas etapas resolve o risco de tomada de conta?](#s4) 5. [O que obriga a controlar credenciais, dispositivos e acessos internos?](#s5) 6. [O que acontece com webhooks, payloads e rastreabilidade?](#s6) 7. [A retenção da Cloud API resolve as obrigações de conservação e exclusão?](#s7) 8. [É possível usar o WhatsApp Business para marketing sem revisar a base legal?](#s8) 9. [O que transforma um problema operacional em incidente regulatório?](#s9) 10. [Qual é o prazo real para a empresa reagir?](#s10) 11. [A escala de fraude muda a avaliação do canal?](#s11) 12. [O que isso implica amanhã para CISO, TI ou compliance na LATAM?](#s12) 13. [O que ler depois?](#s13) 14. [Quais são os riscos à informação no WhatsApp Web em ambiente corporativo?](#s14) Para CISO, TI e compliance na América Latina, afirmar que o WhatsApp Business é seguro só se sustenta se três camadas forem tratadas de forma separada: a segurança do transporte e da plataforma, a segurança e a governança da empresa depois que a mensagem é recebida, e a capacidade de resposta a fraude e incidentes dentro do prazo regulatório. O cruzamento entre WhatsApp, Meta for Developers, os termos do WhatsApp Business, a LGPD, a ANPD e o ICO mostra que a criptografia de ponta a ponta, sozinha, não resolve acesso interno, webhooks, retenção, marketing, rastreabilidade nem notificação. Nenhuma das fontes reunidas apresenta essas camadas em uma única visão. Quando elas são comparadas, aparece o ponto real de decisão: não aprovar o WhatsApp Business em abstrato, e sim definir quais casos de uso serão autorizados e qual evidência a empresa precisa produzir. | Canal | Camada avaliada | O que protege | Limite declarado | O que exige da empresa | Prazo ou retenção | Fonte | | --- | --- | --- | --- | --- | --- | --- | | WhatsApp Help Center, chats com empresas no WhatsApp Business | Transporte e chat | As conversas com empresas que usam o aplicativo WhatsApp Business são protegidas por criptografia de ponta a ponta por padrão, segundo o WhatsApp Help Center. | Depois que uma mensagem chega a uma empresa, ela fica sujeita às práticas de privacidade próprias dessa empresa, segundo o WhatsApp Help Center. | Uma empresa pode designar funcionários ou outros fornecedores para processar e responder mensagens, e pode usar os chats recebidos para marketing, inclusive publicidade na Meta, segundo o WhatsApp Help Center. | não especificado | WhatsApp Help Center | | Meta for Developers, WhatsApp Cloud API | API e entrega para sistemas | A Cloud API usa criptografia do protocolo Signal para proteger as mensagens antes de saírem do dispositivo, e a Graph API e os Webhooks operam via HTTPS protegido por TLS, segundo a Meta for Developers. | Quando chega à Cloud API, a Cloud API descriptografa a mensagem e a reenvia à empresa. A Cloud API atua como intermediária e gerencia as chaves de criptografia e descriptografia em nome da empresa, segundo a Meta for Developers. | As mensagens recebidas e os status de entrega são comunicados ao servidor da empresa por meio de webhooks, e os webhooks entregam payloads JSON, segundo a Meta for Developers. | Período máximo de retenção de 30 dias para os dados de mensagens. Os identificadores de usuário são removidos em até 30 dias após a última atualização de status da mensagem, salvo indicação diferente, segundo a Meta for Developers. | Meta for Developers | | WhatsApp Business App Terms | Conta, acesso e responsabilidade | A empresa deve manter seguras as credenciais da conta, proteger os dispositivos e a conta do WhatsApp, impedir acessos ou usos não autorizados e notificar imediatamente suspeitas de incidentes ou acessos não autorizados, segundo os WhatsApp Business App Terms. | A empresa é responsável por todas as atividades realizadas sob sua conta, segundo os WhatsApp Business App Terms. | Deve permitir acesso apenas a pessoas autorizadas que atuem em seu nome e para fins autorizados, e implementar e seguir padrões e boas práticas reconhecidos pelo setor para segurança de dados e informações, segundo os WhatsApp Business App Terms. | Notificar imediatamente suspeitas de incidentes ou acessos não autorizados. Sem prazo de retenção especificado. | WhatsApp | | LGPD Brasil | Obrigação legal do controlador | O artigo 46 da LGPD exige a adoção de medidas técnicas e administrativas de segurança para proteger dados pessoais contra acessos não autorizados e destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, segundo a Presidência da República do Brasil. | O artigo 46, §2º, da LGPD exige observar medidas de segurança desde a fase de concepção do produto ou serviço até sua execução. O artigo 6º, X, exige demonstrar medidas eficazes capazes de comprovar o cumprimento e a eficácia dessas medidas, segundo a Presidência da República do Brasil. | Pelos WhatsApp Business App Terms, a empresa usuária atua como Controller sob a LGPD em relação aos dados de clientes tratados para habilitar o contato por WhatsApp, segundo o WhatsApp. | O artigo 48 exige comunicar à autoridade nacional e ao titular um incidente de segurança que possa causar risco ou dano relevante, segundo a Presidência da República do Brasil. | Presidência da República do Brasil, WhatsApp | | ANPD Brasil | Notificação de incidentes | A comunicação à ANPD e aos titulares deve ocorrer quando o incidente puder causar risco ou dano relevante, segundo a Autoridade Nacional de Proteção de Dados. | A ANPD define como exemplos de incidentes sujeitos a avaliação aqueles relacionados à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais, segundo o Serviço Federal de Processamento de Dados. | A comunicação deve incluir a natureza e a categoria dos dados afetados, o número de titulares, as medidas de segurança adotadas, os riscos identificados, as medidas de mitigação e a descrição e causa principal do incidente, segundo o Ministério das Mulheres do Brasil. | Em até 3 dias úteis, salvo se uma legislação específica estabelecer outro prazo, segundo a Autoridade Nacional de Proteção de Dados. | ANPD, Serpro, Ministério das Mulheres do Brasil | | ICO | Governança de canais não corporativos | A Information Commissioner's Office recomenda controlar de forma rigorosa ou proibir o uso de redes sociais ou aplicativos de mensagens como WhatsApp para compartilhar informações pessoais. | Usar canais não corporativos para informações oficiais pode dificultar o cumprimento das obrigações de proteção de dados, segundo a Information Commissioner's Office. | A informação oficial deveria permanecer em canais corporativos e, se forem usados canais privados como WhatsApp, precisam existir mecanismos para transferi-la rapidamente para os sistemas corporativos. Além disso, são exigidas políticas, segurança da informação e supervisão adequadas, segundo a Information Commissioner's Office. | Deve ser destruída de forma segura quando deixar de ser necessária. Sem prazo numérico especificado. | Information Commissioner's Office | ## A criptografia de ponta a ponta basta para dizer que o WhatsApp Business é seguro? O WhatsApp Help Center diz que todas as mensagens estão protegidas pelo mesmo protocolo de criptografia do Signal antes de saírem do dispositivo e que as conversas com empresas que usam o WhatsApp Business estão protegidas por criptografia de ponta a ponta por padrão. Mas o próprio WhatsApp Help Center esclarece que, depois que uma mensagem chega a uma empresa, ela fica sujeita às práticas de privacidade dessa empresa. A leitura da Whalemate é que a criptografia protege o trajeto inicial, não a operação completa do dado. Se o caso de uso inclui atendimento, suporte, vendas ou cobrança, a avaliação não pode terminar no canal, porque o risco relevante começa quando a mensagem já está dentro do perímetro operacional da empresa. ## O que muda quando a empresa usa Cloud API? A Meta for Developers documenta que, na Cloud API, a mensagem trafega criptografada entre o WhatsApp e a Cloud API, mas, quando chega à Cloud API, ela é descriptografada e reenviada à empresa. A mesma documentação diz que a Cloud API atua como intermediária e gerencia as chaves de criptografia e descriptografia em nome da empresa. A leitura da Whalemate é que esse ponto muda a pergunta de segurança. Não basta validar a criptografia do canal, porque o risco passa para a entrega a sistemas próprios, para a exposição de webhooks, para os servidores que recebem payloads JSON e para o controle de quem pode operar essa integração. ## Onde termina a proteção do canal e onde começa a responsabilidade da empresa? O WhatsApp Help Center diz que uma empresa pode designar funcionários ou outros fornecedores para processar e responder mensagens, e que pode usar os chats recebidos para marketing, inclusive para publicidade na Meta. Ao mesmo tempo, os WhatsApp Business App Terms estabelecem que a empresa é [responsável por todas as atividades](https://www.whatsapp.com/legal/WhatsApp-Terms-for-WhatsApp-Business-App) realizadas sob sua conta. A leitura da Whalemate é que o limite de segurança não é dado pelo produto, mas pela governança que a empresa consegue demonstrar. Se várias pessoas ou terceiros acessam mensagens, contas ou integrações, o ponto crítico deixa de ser a promessa de criptografia e passa a ser a cadeia real de custódia do dado. ## A verificação em duas etapas resolve o risco de tomada de conta? O WhatsApp Help Center apresenta a verificação em duas etapas como uma função opcional que adiciona uma camada extra de segurança à conta. A Polícia Civil de Santa Catarina recomenda habilitar a autenticação em dois fatores e ativar a confirmação em duas etapas do WhatsApp com um PIN numérico de 6 dígitos, e o WhatsApp recomenda não compartilhar o código de confirmação de seis dígitos nem a senha de verificação em duas etapas. Mas o NIST recomenda ativar autenticação multifator e avançar para autenticação resistente a phishing, e a NIST SP 800-63-4 estabelece que autenticadores que exigem a entrada manual de um código, incluindo autenticadores OTP fora de banda, não devem ser considerados [resistentes a phishing](https://pages.nist.gov/800-63-4/sp800-63b/authenticators/). Além disso, um documento da Assembleia Legislativa de São Paulo alerta que a autenticação de dois fatores não está totalmente protegida. A leitura da Whalemate é que a verificação em duas etapas é um piso, não uma garantia suficiente. Ela ajuda a reduzir exposição básica, mas não autoriza tratar a conta como se estivesse protegida contra campanhas de [engenharia social](https://www.whalemate.com/br/recursos/blog/nist-cisa-explicam-engenharia-social/) ou roubo de credenciais. ## O que obriga a controlar credenciais, dispositivos e acessos internos? Os WhatsApp Business App Terms exigem manter seguras as credenciais da conta, proteger os dispositivos e a conta do WhatsApp, impedir acessos ou usos não autorizados e notificar imediatamente suspeitas de incidentes ou acessos não autorizados. Também exigem permitir acesso somente a pessoas autorizadas que atuem em nome da empresa e para fins autorizados. O CIS Mobile Companion Guide identifica a gestão e a configuração de dispositivos como tema central da segurança móvel, junto com o uso de criptografia e controles sobre instalação e uso de aplicativos móveis. A leitura da Whalemate é que uma conta bem configurada ainda pode ser insegura se operar em dispositivos sem gestão, com credenciais compartilhadas ou com acesso estendido a terceiros sem rastreabilidade. ## O que acontece com webhooks, payloads e rastreabilidade? A Meta for Developers documenta que, na Cloud API, as mensagens recebidas e os status de entrega são comunicados ao servidor da empresa por meio de webhooks, e que esses webhooks entregam payloads JSON. A documentação também diz que a Graph API e os Webhooks operam via HTTPS protegido por TLS. A leitura da Whalemate é que o TLS protege o transporte, mas não substitui o controle sobre o destino. Um CISO precisa conseguir demonstrar qual servidor recebe esses eventos, quem administra esse endpoint, como os acessos relacionados são autenticados, quais logs são mantidos e como esses eventos se correlacionam com os sistemas corporativos. ## A retenção da Cloud API resolve as obrigações de conservação e exclusão? A Meta for Developers estabelece um período máximo de retenção de 30 dias para os dados de mensagens na Cloud API e diz que os identificadores de usuário são removidos em até 30 dias após a última atualização de status da mensagem, salvo indicação diferente. Por sua vez, a Information Commissioner's Office afirma que uma empresa que processa informações pessoais deve mantê-las seguras e destruí-las de forma segura quando elas deixarem de ser necessárias. A leitura da Whalemate é que a retenção da plataforma não substitui a política de retenção da empresa. Se o conteúdo do chat já foi derivado para CRM, service desk, ticketing, cobrança ou repositórios internos, a obrigação operacional passa a estar nesses sistemas e no ciclo de vida documental deles. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## É possível usar o WhatsApp Business para marketing sem revisar a base legal? O WhatsApp Help Center diz que uma empresa pode usar os chats recebidos para suas próprias atividades de marketing, inclusive publicidade na Meta. Mas a Information Commissioner's Office exige uma base jurídica válida para marketing direto e cita como bases mais prováveis o consentimento e os interesses legítimos. A leitura da Whalemate é que a capacidade técnica de usar o chat para marketing não equivale a permissão normativa automática. Compliance precisa definir quais dados serão reutilizados, com qual finalidade e sob qual base legal antes de liberar campanhas ou audiências derivadas de conversas. ## O que transforma um problema operacional em incidente regulatório? O artigo 48 da LGPD exige que o controlador comunique à autoridade nacional e ao titular um incidente de segurança que possa causar risco ou dano relevante aos titulares, segundo a Presidência da República do Brasil. A orientação institucional brasileira define incidente de segurança com dados pessoais como qualquer evento adverso confirmado que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais, e a ANPD acrescenta exemplos relacionados também à autenticidade, segundo o Serviço Federal de Processamento de Dados. A leitura da Whalemate é que uma exposição de credenciais, um dispositivo comprometido, um webhook mal protegido ou um acesso indevido de fornecedor não são apenas falhas técnicas. Eles podem virar incidentes de dados pessoais que acionam avaliação jurídica e resposta formal. ## Qual é o prazo real para a empresa reagir? A Resolução CD/ANPD nº 15 de 24 de abril de 2024 estabelece que a comunicação à ANPD e aos titulares deve ocorrer em até [3 dias úteis](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) quando o incidente puder causar risco ou dano relevante, salvo se uma legislação específica estabelecer outro prazo, segundo a Autoridade Nacional de Proteção de Dados. A própria LGPD exige que a comunicação inclua, no mínimo, a natureza dos dados afetados, informações sobre os titulares, medidas técnicas e de segurança utilizadas, riscos, motivos de eventual demora e medidas adotadas ou previstas, segundo a Presidência da República do Brasil. A leitura da Whalemate é que o problema não é apenas evitar o incidente, mas conseguir reconstruí-lo rapidamente. Se a empresa não sabe quem acessou, quais dados circulavam, qual fornecedor estava envolvido e quais controles estavam ativos, ela chega ao prazo regulatório sem evidência suficiente para responder. ## A escala de fraude muda a avaliação do canal? A Meta afirma que o WhatsApp remove dezenas de milhões de contas por mês, muitas vezes sem um relato recente de usuários, segundo a Meta Scam Protection Center. A BBC News informou que a Meta disse ter removido mais de 6,8 milhões de contas ligadas a centrais de golpe no primeiro semestre de 2025, e o The Economic Times citou um relatório mensal segundo o qual o WhatsApp baniu 9,96 milhões de contas na Índia durante janeiro de 2025 e agiu preventivamente sobre 1,32 milhão antes de receber reclamações. A Agência Lupa relatou pelo menos 281.200 fraudes por meios eletrônicos no Brasil em 2024, alta de 17% em relação aos 222.700 casos de 2023, embora esse número se refira a fraudes eletrônicas em geral e não exclusivamente ao WhatsApp Business. Em 142 golpes verificados entre 2020 e 2025, a Agência Lupa informou que 93% oferecia algum retorno financeiro imediato e 77% usava marcas ou figuras públicas para reforçar aparência de autenticidade e segurança. A leitura da Whalemate é que os controles antiabuso da plataforma existem, mas não eliminam o risco de falsificação de identidade nem o uso oportunista de marca. Para uma empresa, isso obriga a medir denúncias, bloqueios, tentativas de fraude e tempos de escalonamento como parte da segurança do canal. ## O que isso implica amanhã para CISO, TI ou compliance na LATAM? A decisão permitida por essas fontes não é aprovar o WhatsApp Business em abstrato. É autorizar casos de uso delimitados, com inventário de dados, controle sobre quem acessa a conta e os dispositivos, verificação em duas etapas e MFA onde couber, gestão de fornecedores e integrações, controle de webhooks e credenciais, regras de retenção e exclusão alinhadas aos sistemas próprios, rastreabilidade rápida até repositórios corporativos, base legal definida para marketing e um procedimento de resposta medido pelo prazo aplicável da ANPD. Se a empresa usa WhatsApp Business ou Cloud API, o mínimo defensável é conseguir demonstrar quem acessa, quais dados podem ser compartilhados, onde eles ficam depois do chat, como os relatos e bloqueios são registrados e quanto tempo a organização leva para detectar, escalar e notificar um incidente. Se essa evidência não existe, a frase "WhatsApp Business é seguro" descreve apenas uma parte do canal, e não a postura de risco da empresa. ## O que ler depois? - [Indústrias na plataforma](https://www.whalemate.com/br/solucoes/) ## Quais são os riscos à informação no WhatsApp Web em ambiente corporativo? O risco em ambiente corporativo não está na criptografia do chat, mas no que acontece depois que a mensagem entra na empresa. Se o WhatsApp Web ou o WhatsApp Business for usado sem controle de acessos, dispositivos, webhooks e políticas internas, a informação pode ficar exposta dentro do próprio perímetro corporativo. O material do artigo já diz que a empresa deve restringir quem acessa, proteger credenciais e dispositivos e tratar as mensagens recebidas como dados sujeitos à governança interna. Também afirma que a informação oficial deveria permanecer em canais corporativos e que, se o WhatsApp for usado, deve existir capacidade de transferi-la rapidamente para sistemas próprios. [Ver o guia completo do tema](https://www.whalemate.com/br/solucoes/) Perguntas ## Perguntas frequentes **O WhatsApp Business tem ciframento de ponta a ponta?** Sim. O WhatsApp Help Center diz que as conversas com empresas que usam o aplicativo WhatsApp Business são protegidas por ciframento de ponta a ponta por padrão. Mas a mesma fonte esclarece que, uma vez que a mensagem chega à empresa, ela fica sujeita às práticas de privacidade e operação dessa empresa. **A Cloud API mantém o ciframento de ponta a ponta até o sistema da empresa?** Não da mesma forma. Segundo a Meta for Developers, a mensagem chega cifrada à Cloud API, mas ali é descriptografada e reenviada à empresa. Além disso, a Cloud API atua como intermediária e gerencia as chaves em nome da empresa, portanto a análise de risco deve incluir webhooks, integrações e servidores receptores. **Ativar a verificação em duas etapas é suficiente?** Não. O WhatsApp a apresenta como uma camada adicional de segurança, e autoridades como a Polícia Civil de Santa Catarina recomendam ativá-la, mas a NIST SP 800-63-4 diz que autenticadores baseados em códigos inseridos manualmente não devem ser considerados resistentes a phishing. Ela serve como controle básico, não como garantia contra tomada de conta. **O que o compliance deveria exigir antes de habilitar marketing por WhatsApp?** Deveria exigir inventário de dados e finalidade, definição de que informações do chat podem ser reutilizadas, base legal válida para marketing e regras de conservação e exclusão. Segundo o WhatsApp Help Center, uma empresa pode usar chats para marketing, inclusive publicidade na Meta, mas a Information Commissioner's Office exige uma base jurídica válida para marketing direto. **Quando um incidente no WhatsApp Business pode exigir notificação à ANPD?** Quando o incidente puder causar risco ou dano relevante aos titulares, segundo o artigo 48 da LGPD e a orientação da ANPD. Se houve exposição por credenciais, dispositivos, acessos indevidos, fornecedor ou webhook, a empresa tem que avaliar se afetou confidencialidade, integridade, disponibilidade ou autenticidade e, se for o caso, comunicar dentro de 3 dias úteis, segundo a ANPD. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CWhatsApp%20Business%20e%20o%20risco%20para%20empresas%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CWhatsApp%20Business%20e%20o%20risco%20para%20empresas%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [A criptografia de ponta a ponta basta para dizer que o WhatsApp Business é seguro?](#s1) 2. [O que muda quando a empresa usa Cloud API?](#s2) 3. [Onde termina a proteção do canal e onde começa a responsabilidade da empresa?](#s3) 4. [A verificação em duas etapas resolve o risco de tomada de conta?](#s4) 5. [O que obriga a controlar credenciais, dispositivos e acessos internos?](#s5) 6. [O que acontece com webhooks, payloads e rastreabilidade?](#s6) 7. [A retenção da Cloud API resolve as obrigações de conservação e exclusão?](#s7) 8. [É possível usar o WhatsApp Business para marketing sem revisar a base legal?](#s8) 9. [O que transforma um problema operacional em incidente regulatório?](#s9) 10. [Qual é o prazo real para a empresa reagir?](#s10) 11. [A escala de fraude muda a avaliação do canal?](#s11) 12. [O que isso implica amanhã para CISO, TI ou compliance na LATAM?](#s12) 13. [O que ler depois?](#s13) 14. [Quais são os riscos à informação no WhatsApp Web em ambiente corporativo?](#s14) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/)