API WhatsApp et l'opt-in RGPD : guide pour les plateformes no-code

L'opt-in WhatsApp RGPD est la condition légale et technique pour envoyer des messages marketing via l'API WhatsApp Business à des contacts dans l'Union européenne. Meta l'exige dans ses conditions d'utilisation, et le RGPD l'impose de son côté. Pour une plateforme no-code qui héberge des clients professionnels, mettre en place un système d'opt-in solide n'est pas optionnel — c'est la base de toute délivrabilité durable.

Ce que Meta et le RGPD exigent exactement

Les deux référentiels se superposent mais ne sont pas identiques.

Du côté Meta : avant d'envoyer un message template à un contact, l'entreprise doit avoir obtenu le consentement explicite de ce contact pour recevoir des messages WhatsApp. Meta ne vérifie pas techniquement cet opt-in, mais en cas de taux de blocage élevé (signe d'envois non consentis), le quality rating du numéro baisse, ce qui peut mener à la suspension du compte.

Du côté RGPD : le consentement doit être :

• Libre : pas conditionné à un service
• Spécifique : la personne sait qu'elle s'inscrit pour recevoir des messages WhatsApp, pas juste une "newsletter"
• Éclairé : le canal (WhatsApp), la fréquence approximative, et l'identité de l'expéditeur doivent être mentionnés
• Univoque : une case à cocher pré-cochée ne constitue pas un consentement valide
• Traçable : vous devez être capable de prouver quand, comment et pour quoi le consentement a été donné

Les points de collecte d'opt-in compatibles avec l'API WhatsApp

Il existe plusieurs façons de collecter un opt-in WhatsApp valide. Chaque point de collecte a ses avantages selon le cas d'usage :

Point de collecte	Contexte	Niveau de friction
Formulaire web avec case dédiée	E-commerce, inscription service	Faible
Message SMS avec lien opt-in	Base existante, migration canal	Moyen
WhatsApp widget sur le site	Visiteurs déjà sur WhatsApp	Très faible
QR code en point de vente	Commerce physique	Faible
Confirmation verbale en magasin	Vente directe	Fort (à documenter)
Email de demande de consentement	Base email existante	Moyen

Ce qui ne constitue pas un opt-in valide :

• L'achat d'une liste de contacts
• Le fait qu'un contact vous ait envoyé un message WhatsApp dans un autre contexte sans demander à être contacté
• Une mention générique dans les CGU sans case à cocher explicite

Ce que votre plateforme no-code doit stocker

Pour chaque opt-in WhatsApp, vous devez conserver :

• Le numéro de téléphone du contact (format international E.164)
• La date et l'heure de l'opt-in (timestamp UTC)
• La source : URL de la page, identifiant du formulaire, ou référence du canal de collecte
• Le contenu exact de ce que le contact a accepté (texte de la case à cocher ou du message d'opt-in)
• L'adresse IP et/ou l'identifiant de session au moment du consentement
• L'identifiant du client sur votre plateforme (pour rattacher l'opt-in au bon compte)

Sur une plateforme no-code, ces données vont typiquement dans une table "consents" dans Airtable, Notion, Supabase, ou votre base de données interne. Chaque envoi WhatsApp doit vérifier l'existence d'un opt-in valide avant de déclencher le message.

Gestion des désinscriptions (opt-out)

Le RGPD impose que toute personne puisse retirer son consentement aussi facilement qu'elle l'a donné. Pour WhatsApp, cela signifie :

• Inclure une instruction de désinscription dans les premiers messages : "Répondez STOP pour ne plus recevoir nos messages"
• Traiter les réponses STOP en temps réel : dès qu'un contact répond STOP (ou toute variante), son numéro doit être marqué comme opt-out et exclu des prochains envois
• Ne pas réactiver automatiquement : un contact qui a répondu STOP ne peut pas être réinscrit sans un nouveau consentement explicite

Via les webhooks de l'API WhatsApp, chaque message entrant est transmis en temps réel. Sur une plateforme no-code, un flux Make ou Zapier peut détecter le mot-clé STOP et mettre à jour le statut du contact dans votre base.

Pour comprendre comment les webhooks WhatsApp fonctionnent techniquement, consultez notre article dédié sur les webhooks WhatsApp pour les intégrateurs.

FAQ

Peut-on utiliser une liste de contacts existante (email, SMS) pour envoyer des messages WhatsApp ?

Seulement si l'opt-in original mentionnait explicitement WhatsApp comme canal de communication. Un opt-in "je souhaite recevoir des offres de la marque" par email ne couvre pas WhatsApp. Il faut recollecterun consentement spécifique pour ce canal.

Un contact qui m'a envoyé un message WhatsApp spontanément a-t-il donné un opt-in ?

Pas automatiquement. Le fait qu'un contact vous contacte ouvre une fenêtre de service de 24h pour répondre, mais cela ne constitue pas un consentement pour les messages marketing futurs. Pendant cette fenêtre, vous pouvez lui proposer de s'inscrire à vos communications.

Faut-il conserver les preuves d'opt-in indéfiniment ?

Le RGPD exige de conserver les preuves de consentement aussi longtemps que vous utilisez ce consentement, plus un délai raisonnable après (généralement 3 ans pour couvrir une éventuelle contestation). Si vous supprimez un contact de votre base, vous devez aussi supprimer ses données d'opt-in conformément au droit à l'effacement.

L'infrastructure de Whakup est-elle hébergée en Europe pour respecter le RGPD ?

Oui. Whakup héberge ses données en Union européenne et n'effectue pas de transferts hors UE non encadrés. C'est un point différenciant pour les clients soumis à des exigences de localisation des données. Consultez les détails sur la page de l'API WhatsApp Whakup.

---

L'opt-in RGPD n'est pas une formalité : c'est le fondement de votre délivrabilité WhatsApp sur le long terme. Pour construire votre plateforme no-code sur une base conforme et scalable, appuyez-vous sur Whakup — Meta Tech Provider certifié, hébergement EU, documentation RGPD incluse. Contactez-nous pour intégrer la gestion des consentements dès le départ.