Por 
Para un CISO, IT o compliance en LATAM, decir que WhatsApp Business es seguro solo es defendible si se separan tres capas distintas: seguridad del transporte y de la plataforma, seguridad y gobernanza de la empresa una vez recibido el mensaje, y capacidad de respuesta frente a fraude e incidentes dentro de plazo regulatorio. El cruce entre WhatsApp, Meta for Developers, los términos de WhatsApp Business, la LGPD, la ANPD y el ICO muestra que el cifrado de extremo a extremo no resuelve por sí solo acceso interno, webhooks, retención, marketing, trazabilidad ni notificación.
Ninguna fuente del material pone estas capas en una sola vista. Cuando se las compara, aparece el punto de decisión real: no aprobar WhatsApp Business en abstracto, sino definir qué casos de uso se autorizan y qué evidencia debe producir la empresa.
| Canal | Capa evaluada | Qué protege | Límite declarado | Qué exige a la empresa | Plazo o retención | Fuente |
|---|---|---|---|---|---|---|
| WhatsApp Help Center, chats con empresas en WhatsApp Business | Transporte y chat | Las conversaciones con empresas que usan la aplicación WhatsApp Business están protegidas por cifrado de extremo a extremo de forma predeterminada, según WhatsApp Help Center. | Después de que un mensaje llega a una empresa, queda sujeto a las prácticas de privacidad propias de esa empresa, según WhatsApp Help Center. | Una empresa puede designar empleados u otros proveedores para procesar y responder mensajes, y puede usar los chats recibidos para marketing, incluso para publicidad en Meta, según WhatsApp Help Center. | no especificado | WhatsApp Help Center |
| Meta for Developers, WhatsApp Cloud API | API y entrega a sistemas | Cloud API usa cifrado del protocolo Signal para proteger los mensajes antes de que salgan del dispositivo, y Graph API y Webhooks operan mediante HTTPS protegido por TLS, según Meta for Developers. | Cuando llega a Cloud API, Cloud API descifra el mensaje y lo reenvía a la empresa. Cloud API actúa como intermediario y gestiona las claves de cifrado y descifrado en nombre de la empresa, según Meta for Developers. | Los mensajes entrantes y los estados de entrega se comunican al servidor de la empresa mediante webhooks, y los webhooks entregan payloads JSON, según Meta for Developers. | Período máximo de retención de 30 días para los datos de mensajes. Los identificadores de usuario se eliminan dentro de los 30 días posteriores a la última actualización de estado del mensaje, salvo indicación distinta, según Meta for Developers. | Meta for Developers |
| WhatsApp Business App Terms | Cuenta, acceso y responsabilidad | La empresa debe mantener seguras las credenciales de la cuenta, proteger los dispositivos y la cuenta de WhatsApp, impedir accesos o usos no autorizados y notificar inmediatamente sospechas de incidentes o accesos no autorizados, según los WhatsApp Business App Terms. | La empresa es responsable de todas las actividades realizadas bajo su cuenta, según los WhatsApp Business App Terms. | Debe permitir el acceso solamente a personas autorizadas que actúen en su nombre y para fines autorizados, e implementar y seguir estándares y buenas prácticas de seguridad de datos e información reconocidos por la industria, según los WhatsApp Business App Terms. | Notificar inmediatamente sospechas de incidentes o accesos no autorizados. Sin plazo de retención especificado. | |
| LGPD Brasil | Obligación legal del controlador | El artículo 46 de la LGPD exige adoptar medidas de seguridad técnicas y administrativas para proteger datos personales de accesos no autorizados y de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado o ilícito, según la Presidência da República do Brasil. | El artículo 46, §2º, de la LGPD exige observar medidas de seguridad desde la fase de concepción del producto o servicio hasta su ejecución. El artículo 6º, X, exige demostrar medidas eficaces capaces de comprobar el cumplimiento y la eficacia de esas medidas, según la Presidência da República do Brasil. | Bajo los WhatsApp Business App Terms, la empresa usuaria actúa como Controller bajo la LGPD respecto de los datos de clientes tratados para habilitar el contacto por WhatsApp, según WhatsApp. | El artículo 48 exige comunicar a la autoridad nacional y al titular un incidente de seguridad que pueda causar riesgo o daño relevante, según la Presidência da República do Brasil. | Presidência da República do Brasil, WhatsApp |
| ANPD Brasil | Notificación de incidentes | La comunicación a la ANPD y a los titulares debe realizarse cuando el incidente pueda causar riesgo o daño relevante, según la Autoridade Nacional de Proteção de Dados. | La ANPD define como ejemplos de incidentes sujetos a evaluación aquellos relacionados con la violación de las propiedades de confidencialidad, integridad, disponibilidad y autenticidad de la seguridad de datos personales, según Serviço Federal de Processamento de Dados. | La comunicación debe incluir la naturaleza y categoría de los datos afectados, el número de titulares, las medidas de seguridad adoptadas, los riesgos identificados, las medidas de mitigación y la descripción y causa principal del incidente, según el Ministério das Mulheres do Brasil. | Dentro de 3 días hábiles, salvo que una legislación específica establezca otro plazo, según la Autoridade Nacional de Proteção de Dados. | ANPD, Serpro, Ministério das Mulheres do Brasil |
| ICO | Gobernanza de canales no corporativos | La Information Commissioner's Office recomienda controlar estrictamente o prohibir el uso de redes sociales o aplicaciones de mensajería como WhatsApp para compartir información personal. | Usar canales no corporativos para información oficial puede dificultar el cumplimiento de las obligaciones de protección de datos, según la Information Commissioner's Office. | La información oficial debería mantenerse en canales corporativos y, si se usan canales privados como WhatsApp, deben existir mecanismos para trasladarla rápidamente a los sistemas corporativos. Además exige políticas, seguridad de la información y supervisión adecuadas, según la Information Commissioner's Office. | Debe destruirse de forma segura cuando ya no sea necesaria. Sin plazo numérico especificado. | Information Commissioner's Office |
¿El cifrado de extremo a extremo alcanza para decir que WhatsApp Business es seguro?
WhatsApp Help Center dice que todos los mensajes están protegidos por el mismo protocolo de cifrado de Signal antes de salir del dispositivo y que las conversaciones con empresas que usan WhatsApp Business están protegidas por cifrado de extremo a extremo de forma predeterminada. Pero el mismo WhatsApp Help Center aclara que, después de que un mensaje llega a una empresa, queda sujeto a las prácticas de privacidad propias de esa empresa.
La lectura de Whalemate es que el cifrado protege el trayecto inicial, no la operación completa del dato. Si el caso de uso incluye atención, soporte, ventas o cobranzas, la evaluación no puede terminar en el canal, porque el riesgo relevante empieza cuando el mensaje ya está dentro del perímetro operativo de la empresa.
¿Qué cambia cuando la empresa usa Cloud API?
Meta for Developers documenta que, en Cloud API, el mensaje viaja cifrado entre WhatsApp y Cloud API, pero cuando llega a Cloud API se descifra y se reenvía a la empresa. La misma documentación dice que Cloud API actúa como intermediario y gestiona las claves de cifrado y descifrado en nombre de la empresa.
La lectura de Whalemate es que este punto cambia la pregunta de seguridad. Ya no alcanza con validar el cifrado del canal, porque el riesgo se desplaza a la entrega a sistemas propios, a la exposición de webhooks, a los servidores que reciben payloads JSON y al control sobre quién puede operar esa integración.
¿Dónde termina la protección del canal y dónde empieza la responsabilidad empresaria?
WhatsApp Help Center dice que una empresa puede designar empleados u otros proveedores para procesar y responder mensajes, y que puede usar los chats recibidos para marketing, incluso para publicidad en Meta. A la vez, los WhatsApp Business App Terms establecen que la empresa es responsable de todas las actividades realizadas bajo su cuenta.
La lectura de Whalemate es que el límite de seguridad no está dado por el producto sino por la gobernanza que la empresa sea capaz de demostrar. Si múltiples personas o terceros acceden a mensajes, cuentas o integraciones, el punto crítico deja de ser la promesa de cifrado y pasa a ser la cadena de custodia real del dato.
¿La verificación en dos etapas resuelve el riesgo de toma de cuenta?
WhatsApp Help Center presenta la verificación en dos etapas como una función opcional que agrega una capa adicional de seguridad a la cuenta. La Polícia Civil de Santa Catarina recomienda habilitar la autenticación de dos factores y activar la confirmación en dos etapas de WhatsApp con un PIN numérico de 6 dígitos, y WhatsApp recomienda no compartir el código de confirmación de seis dígitos ni la contraseña de verificación en dos etapas.
Pero NIST recomienda activar autenticación multifactor y avanzar hacia autenticación resistente al phishing, y NIST SP 800-63-4 establece que los autenticadores que requieren introducir manualmente un código, incluidos autenticadores OTP fuera de banda, no deben considerarse resistentes al phishing. Además, un documento de la Assembleia Legislativa de São Paulo advierte que la autenticación de dos factores no está totalmente protegida.
La lectura de Whalemate es que la verificación en dos etapas es un piso, no una garantía suficiente. Sirve para reducir exposición básica, pero no autoriza a tratar la cuenta como si estuviera protegida contra campañas de ingeniería social o robo de credenciales.
¿Qué obliga a controlar credenciales, dispositivos y accesos internos?
Los WhatsApp Business App Terms exigen mantener seguras las credenciales de la cuenta, proteger los dispositivos y la cuenta de WhatsApp, impedir accesos o usos no autorizados y notificar inmediatamente sospechas de incidentes o accesos no autorizados. También exigen permitir acceso solamente a personas autorizadas que actúen en nombre de la empresa y para fines autorizados.
El CIS Mobile Companion Guide identifica la gestión y configuración de dispositivos como tema central de la seguridad móvil, junto con el uso de criptografía y controles sobre la instalación y utilización de aplicaciones móviles. La lectura de Whalemate es que una cuenta bien configurada puede seguir siendo insegura si opera en dispositivos sin gestión, con credenciales compartidas o con acceso extendido a terceros sin trazabilidad.
¿Qué pasa con webhooks, payloads y trazabilidad?
Meta for Developers documenta que en Cloud API los mensajes entrantes y los estados de entrega se comunican al servidor de la empresa mediante webhooks, y que esos webhooks entregan payloads JSON. También documenta que Graph API y Webhooks operan mediante HTTPS protegido por TLS.
La lectura de Whalemate es que TLS protege el transporte, pero no reemplaza el control sobre el destino. Un CISO tiene que poder demostrar qué servidor recibe esos eventos, quién administra ese endpoint, cómo se autentican los accesos relacionados, qué logs conserva y cómo se correlacionan esos eventos con sistemas corporativos.
¿La retención de Cloud API resuelve las obligaciones de conservación y borrado?
Meta for Developers establece un período máximo de retención de 30 días para los datos de mensajes en Cloud API y dice que los identificadores de usuario se eliminan dentro de los 30 días posteriores a la última actualización de estado del mensaje, salvo indicación distinta. Por su parte, la Information Commissioner's Office señala que una empresa que procesa información personal debe mantenerla segura y destruirla de forma segura cuando ya no sea necesaria.
La lectura de Whalemate es que la retención de la plataforma no reemplaza la política de retención de la empresa. Si el contenido del chat ya fue derivado a CRM, mesa de ayuda, ticketing, cobranzas o repositorios internos, la obligación operativa pasa a estar en esos sistemas y en su ciclo de vida documental.