API WhatsApp et l'opt-in RGPD : guide pour les SaaS e-commerce

L'opt-in WhatsApp RGPD est le consentement explicite qu'un contact doit donner avant de recevoir des messages WhatsApp de la part d'une entreprise. Il est distinct de l'opt-in email, distinct de l'opt-in SMS, et son absence expose votre SaaS e-commerce à un double risque : une dégradation du quality rating Meta (qui peut aller jusqu'à la suspension du numéro) et une non-conformité au RGPD pouvant entraîner une sanction de la CNIL. Gérer cet opt-in correctement dans votre plateforme n'est pas une option.

Ce que le RGPD et Meta exigent sur l'opt-in

Les deux référentiels se superposent sans se contredire.

Du côté RGPD (Règlement général sur la protection des données) :

• Consentement libre, spécifique, éclairé et univoque
• L'opt-in email ou l'acceptation des CGU n'est pas suffisant pour envoyer des messages WhatsApp commerciaux
• Obligation de tracer la preuve du consentement (date, canal, formulation exacte)
• Droit à la révocation du consentement à tout moment
• Les données de contact (numéro de téléphone) sont des données personnelles soumises au droit d'accès et de suppression

Du côté Meta (conditions d'utilisation de la WhatsApp Business Policy) :

• L'entreprise doit avoir obtenu un opt-in explicite avant d'envoyer tout message template
• L'opt-in doit mentionner clairement que le contact accepte de recevoir des messages via WhatsApp de la part de l'entreprise concernée
• L'entreprise doit être identifiable (pas d'envoi au nom d'un tiers sans autorisation)
• Meta peut demander une preuve de l'opt-in en cas de signalement

Ces deux exigences convergent vers la même conclusion : un formulaire de case à cocher générique dans vos CGU ne suffit pas. Il faut un consentement explicite, datable, lié à un numéro de téléphone précis.

Comment architecturer la collecte d'opt-in dans votre SaaS

Pour un éditeur de SaaS e-commerce, l'opt-in WhatsApp doit être collecté et stocké au niveau de chaque marchand (WABA) et de chaque contact final.

Les bons canaux de collecte :

Canal	Exemple	Niveau de conformité
Formulaire web explicite	Case "J'accepte de recevoir des messages WhatsApp de [Marque]"	Fort
Checkout e-commerce	Case non pré-cochée lors de la commande	Fort
Click-to-WhatsApp (publicité)	Le contact initie la conversation depuis une pub	Fort
QR code en magasin	Contact scan et envoie un message	Fort
Import liste email	Aucun consentement WhatsApp	Non conforme
Opt-in téléphonique oral	Non traçable	Risqué

Ce que votre base de données doit stocker par contact :

• Numéro de téléphone (format E.164)
• Date et heure de l'opt-in
• Canal de collecte (checkout, formulaire, etc.)
• Formulation exacte du consentement présenté
• Version des CGU ou de la politique de confidentialité en vigueur au moment du consentement
• Statut actuel (optin / optout / jamais contacté)

Cette traçabilité doit être par marchand. Dans un SaaS multi-tenant, les données d'opt-in du marchand A ne doivent pas être accessibles par le marchand B.

Pour comprendre comment structurer l'architecture multi-tenant et l'isolation des WABA, consultez notre guide complet de l'API WhatsApp Business.

Gérer les opt-outs et les demandes RGPD

La gestion du désabonnement WhatsApp est aussi importante que la collecte initiale. Meta exige que les entreprises honorent les demandes d'opt-out. Le RGPD impose de le faire sans délai.

Les signaux d'opt-out à détecter dans votre SaaS :

• Message texte contenant des mots-clés de désinscription : "STOP", "DÉSABONNER", "ARRÊTER"
• Contact qui bloque le numéro (signal indirect via le quality rating)
• Demande explicite de suppression via votre interface ou par email

Ce que votre plateforme doit faire à la réception d'un opt-out :

1. Marquer immédiatement le contact comme optout dans votre base
2. Empêcher tout envoi ultérieur vers ce numéro sur ce WABA
3. Confirmer le désabonnement par un dernier message (autorisé par Meta même en opt-out)
4. Conserver la trace de l'opt-out avec date et canal pour répondre à un éventuel contrôle CNIL

Droit d'accès et de suppression RGPD : Votre SaaS doit exposer aux marchands un moyen d'exporter et de supprimer les données d'un contact sur demande. La suppression d'un numéro de votre base ne doit pas effacer l'historique d'opt-in/opt-out (qui peut être requis comme preuve de conformité) — conservez les métadonnées, supprimez les données identifiantes.

L'hébergement des données en UE est un prérequis pour la conformité RGPD. Whakup héberge l'ensemble de son infrastructure en Europe, ce qui facilite la rédaction de votre registre des traitements. Pour choisir un BSP avec le bon niveau de conformité, consultez notre analyse du meilleur BSP WhatsApp en France.

Double opt-in WhatsApp : nécessaire ou non ?

Le double opt-in (envoyer un message de confirmation WhatsApp demandant une validation) est recommandé mais pas obligatoire réglementairement. Ses avantages pour un SaaS e-commerce :

• Valide que le numéro collecté est actif et utilisé par la bonne personne
• Génère une preuve de consentement supplémentaire très robuste
• Réduit les bounces et les faux numéros dans les listes marchands
• Améliore mécaniquement le quality rating en éliminant les contacts peu engagés

Son inconvénient principal est la friction : une partie des contacts n'effectue pas l'étape de confirmation. Dans un contexte e-commerce où l'opt-in est collecté au checkout, le taux de confirmation peut être significatif.

Recommandation : proposer le double opt-in comme option dans votre SaaS, activable par le marchand selon son contexte. Le rendre obligatoire pour les campagnes marketing, optionnel pour les messages transactionnels.

Accédez aux ressources techniques sur les templates WhatsApp et leurs catégories pour structurer votre message de confirmation double opt-in.

FAQ

Un opt-in email suffit-il pour envoyer des messages WhatsApp commerciaux ?

Non. L'opt-in email et l'opt-in WhatsApp sont deux consentements distincts pour deux canaux distincts. Un contact qui a accepté de recevoir vos emails n'a pas consenti à recevoir vos messages WhatsApp. Vous devez collecter un consentement explicite pour chaque canal.

Combien de temps dois-je conserver les preuves d'opt-in ?

La CNIL recommande de conserver les preuves de consentement pendant toute la durée de la relation commerciale plus 3 ans. En pratique, conservez les métadonnées d'opt-in (date, canal, formulation) pendant 5 ans après la dernière interaction avec le contact.

Peut-on importer une liste de contacts existante et envoyer en WhatsApp ?

Pas sans consentement WhatsApp préalable. Si vous avez une liste email avec opt-in email uniquement, vous ne pouvez pas envoyer un WhatsApp de premier contact. La seule exception est si l'opt-in collecté à l'origine mentionnait explicitement WhatsApp comme canal.

Comment gérer les contacts qui changent de numéro de téléphone ?

Le numéro change mais le consentement reste lié à l'ancien numéro. Vous ne pouvez pas transférer l'opt-in vers un nouveau numéro. Vous devez recollectar le consentement pour le nouveau numéro, idéalement via un formulaire de mise à jour du profil client.

---

L'opt-in WhatsApp RGPD est une exigence non négociable pour tout SaaS e-commerce sérieux. Votre plateforme doit l'intégrer nativement : collecte traçable, gestion des opt-outs en temps réel, isolation par WABA marchand. Whakup héberge ses données en EU et fournit une infrastructure conforme RGPD pour que vous puissiez construire votre couche de consentement sans compromis. Contactez notre équipe pour évaluer votre architecture de conformité.