API WhatsApp et l'opt-in RGPD : guide pour les plateformes de fidélité

L'opt-in WhatsApp RGPD est l'obligation légale et contractuelle de recueillir le consentement explicite d'un contact avant de lui envoyer des messages via l'API WhatsApp Business. Meta l'exige dans ses conditions d'utilisation et le RGPD l'impose pour tout traitement de données personnelles à des fins marketing. Pour une plateforme de fidélité, cela signifie que chaque numéro de téléphone dans la base d'un marchand doit être accompagné d'un consentement traçable, spécifique à WhatsApp, avant qu'une seule campagne puisse être envoyée.

Ce que Meta exige en matière d'opt-in

Meta impose des règles strictes sur le consentement pour l'API WhatsApp Business. Ces règles vont au-delà du simple opt-in email ou SMS.

Conditions cumulatives requises par Meta :

• Consentement explicite à WhatsApp spécifiquement. Un opt-in générique "communication marketing" ne suffit pas. Le contact doit avoir accepté de recevoir des messages via WhatsApp de la part de l'enseigne.
• Mention du nom de l'enseigne. Le formulaire ou le point de collecte doit indiquer clairement quelle entité enverra les messages.
• Option de désabonnement. Chaque message doit offrir un moyen simple de se désinscrire.
• Collecte via un canal contrôlé par l'enseigne. L'opt-in ne peut pas être collecté directement dans WhatsApp sans avoir obtenu un premier contact via un autre canal (site web, formulaire physique, QR code, etc.).

Meta peut auditer les pratiques d'opt-in des comptes Business. En cas de non-conformité, le numéro peut être suspendu. Pour votre plateforme, cela signifie que vous devez imposer ces standards à tous vos clients marchands.

Les exigences RGPD spécifiques à WhatsApp

Le RGPD ajoute une couche supplémentaire. Le numéro de téléphone d'un client est une donnée personnelle. L'envoyer via l'API WhatsApp constitue un traitement automatisé de données. Voici ce que la CNIL attendrait en cas de contrôle :

Base légale : le consentement est la base légale la plus appropriée pour les communications marketing. Ce consentement doit être :

• Libre : pas conditionné à l'inscription au programme de fidélité.
• Spécifique : distinct de l'opt-in email ou SMS.
• Informé : le contact sait ce qu'il accepte.
• Non ambigu : une case à cocher active, pas pré-cochée.

Droit à l'effacement : si un contact demande la suppression de ses données, son numéro doit être retiré de toutes les listes et aucun message ne peut lui être envoyé. Votre plateforme doit propager ce droit à l'effacement à tous les tenants concernés.

Durée de conservation : un opt-in ne dure pas indéfiniment. Un contact qui n'a pas interagi depuis deux ans devrait être sorti des listes actives ou faire l'objet d'une re-confirmation de consentement.

Registre des traitements : vos marchands doivent être en mesure de documenter leurs traitements de données. Votre plateforme peut les aider en exportant automatiquement les logs de consentement.

Pour une vue d'ensemble de l'architecture conforme, voir le guide complet de l'API WhatsApp Business.

Comment architecturer la collecte et le stockage des opt-ins

Votre plateforme doit fournir l'infrastructure de gestion des consentements, pas seulement les capacités d'envoi.

Structure de données recommandée pour un opt-in :

Champ	Type	Obligatoire
phone_number	string (E.164)	Oui
consent_date	datetime (UTC)	Oui
consent_source	string (web, QR, caisse, app)	Oui
consent_text	text	Oui
tenant_id	string	Oui
channel	string (whatsapp)	Oui
status	enum (active, unsubscribed, deleted)	Oui
unsubscribe_date	datetime	Non (si applicable)

Points d'intégration dans votre plateforme :

• API de collecte d'opt-in : endpoint que les marchands appellent depuis leur site web, caisse ou app mobile pour enregistrer un consentement.
• Vérification avant envoi : avant chaque message, votre plateforme vérifie que le contact a un opt-in actif pour le tenant concerné. Si non, le message est bloqué.
• Gestion des désabonnements : les réponses "STOP" ou "Désabonner" détectées via webhook mettent automatiquement le contact en statut unsubscribed.

Ce que vous ne devez pas faire :

• Importer une liste SMS existante en supposant que l'opt-in WhatsApp est couvert.
• Laisser un marchand envoyer des messages sans vérifier le statut de consentement.
• Stocker des opt-ins sans date ni source (illisibles en cas d'audit).

Consentement et onboarding : intégrer l'opt-in dans le parcours fidélité

La collecte de l'opt-in WhatsApp doit s'inscrire naturellement dans le parcours d'adhésion au programme de fidélité. Les meilleurs moments pour le solliciter :

• À l'inscription au programme : formulaire en ligne ou en caisse avec une case dédiée WhatsApp.
• Via QR code en point de vente : le client scanne, arrive sur une landing page avec la case à cocher.
• Par message SMS ou email : un premier message sur un canal existant propose de s'abonner aux notifications WhatsApp avec un lien vers un formulaire.
• Dans l'app mobile : une pop-in contextuelle lors d'un achat propose d'activer les notifications WhatsApp.

Whakup héberge son infrastructure en Europe (hébergement EU), ce qui simplifie la documentation RGPD pour vos clients marchands : les données ne quittent pas l'Union Européenne. Couplé à la certification Meta Tech Provider de Whakup, vous disposez d'une base technique solide pour garantir la conformité de vos déploiements.

Retrouvez les détails de l'intégration sur la page API WhatsApp de Whakup.

FAQ

Un opt-in SMS collecté il y a deux ans couvre-t-il WhatsApp ?

Non. Un opt-in SMS couvre uniquement les SMS. Pour envoyer via WhatsApp, un consentement spécifique à ce canal est requis, à la fois par Meta et par le RGPD. Il faut recollecte un consentement WhatsApp explicite, même si le client est déjà abonné aux SMS.

Peut-on utiliser un opt-in collecté lors d'un achat en ligne pour envoyer des messages fidélité WhatsApp ?

Oui, à condition que le formulaire de l'achat en ligne incluait une case à cocher spécifique WhatsApp avec mention de l'enseigne. Si l'opt-in était générique ou pré-coché, il n'est pas valide.

Comment gérer un client qui se désabonne via WhatsApp mais pas depuis l'app fidélité ?

Le désabonnement WhatsApp doit être immédiatement répercuté dans votre base. Un webhook "STOP" ou "Désabonner" doit mettre le contact en statut unsubscribed pour ce canal dans votre CRM interne. Le client peut rester abonné aux emails ou SMS — le désabonnement est spécifique au canal.

Les logs d'opt-in doivent-ils être conservés combien de temps ?

La CNIL recommande de conserver la preuve de consentement pendant toute la durée d'utilisation du contact, plus un délai raisonnable après sa dernière interaction (généralement 3 à 5 ans). En pratique, conservez les logs aussi longtemps que vous conservez le numéro dans votre base, plus le délai de prescription des litiges.