Hébergement des données WhatsApp en Europe : conformité RGPD

Lorsqu'une entreprise européenne intègre l'API WhatsApp Business, elle traite des données personnelles : numéros de téléphone, contenus de messages, métadonnées d'envoi, données de consentement. Le RGPD impose que ces données soient hébergées dans l'Union européenne ou dans un pays reconnu comme offrant un niveau de protection adéquat. Pour les éditeurs SaaS et les agences martech qui opèrent pour des clients européens, le choix d'un BSP (Business Solution Provider) ou Meta Tech Provider avec un hébergement EU n'est pas une option — c'est une obligation contractuelle.

Ce que Meta stocke vs ce que votre BSP stocke

La question de l'hébergement est plus complexe qu'il n'y paraît, car les données sont réparties entre deux acteurs.

Côté Meta (API Cloud). Meta héberge les messages en transit sur ses serveurs. Meta est classée comme sous-traitant dans la relation RGPD. Ses Data Center Standards et son Data Processing Addendum (DPA) couvrent partiellement les exigences européennes, mais Meta n'est pas une entreprise européenne. Le cadre Trans-Atlantic Data Privacy Framework (TADPF) régit les transferts UE-USA depuis 2023, mais il reste contestable juridiquement.

Côté BSP / Meta Tech Provider. Votre fournisseur d'accès à l'API stocke des données opérationnelles : logs d'envoi, statuts de livraison, données de webhooks, historiques de consentement, configurations de numéros. C'est là que votre responsabilité de sous-traitant est engagée vis-à-vis de vos clients.

Votre plateforme. Les données de contacts, les opt-ins, les historiques de conversation que vous conservez dans votre base de données propre relèvent entièrement de votre périmètre RGPD.

Pourquoi l'hébergement EU change concrètement

Un hébergement en dehors de l'UE expose à plusieurs risques :

• Transfert illicite. Sans encadrement contractuel adéquat (clauses contractuelles types, BCR, accord d'adéquation), tout transfert vers un pays tiers est interdit.
• Accès par des autorités étrangères. Le Cloud Act américain permet aux autorités US d'accéder aux données hébergées par des entreprises américaines, même sur des serveurs européens. Un hébergement chez un acteur 100 % européen élimine ce risque.
• Audit RGPD. En cas de contrôle de la CNIL, vous devez être capable de localiser précisément toutes les données traitées pour le compte de vos clients. Un hébergement EU simplifie considérablement cet exercice.
• DPA client. La majorité des grands comptes et des entreprises publiques exigent contractuellement un hébergement EU dans leur DPA. Sans cela, vous perdez des deals.

Ce que Whakup offre en matière d'hébergement

Whakup héberge l'intégralité de son infrastructure en Europe. Concrètement :

• Serveurs localisés dans l'UE (infrastructure cloud EU).
• Données de logs, webhooks et configurations stockées exclusivement en Europe.
• DPA disponible et signable, conforme aux exigences RGPD.
• Aucun transfert vers des serveurs hors UE pour les données opérationnelles de la plateforme.

En tant que Meta Tech Provider certifié, Whakup dispose d'un accès direct à l'API Cloud Meta avec des engagements contractuels documentés. Cela permet à vos clients finaux de concentrer leurs obligations RGPD sur votre plateforme, sans avoir à gérer une relation directe avec Meta pour les questions de conformité.

Pour comprendre la différence entre un Meta Tech Provider et un BSP classique, et ses implications pour votre architecture de conformité, lisez notre article sur le statut Meta Tech Provider WhatsApp.

Checklist technique pour un déploiement EU-conforme

Avant de déployer l'API WhatsApp Business pour vos clients européens, vérifiez ces points :

• Localisation des serveurs du BSP : UE confirmé par contrat, pas seulement par déclaration commerciale.
• DPA signé avec votre BSP en tant que sous-traitant ultérieur.
• Registre des traitements mis à jour avec le traitement WhatsApp et la chaîne de sous-traitance.
• Durée de conservation des logs définie et documentée (recommandation : 90 jours maximum pour les logs d'envoi).
• Chiffrement des données au repos et en transit confirmé.
• Procédure de suppression sur demande d'un utilisateur (droit à l'effacement) documentée et testée.
• PIA (Privacy Impact Assessment) réalisée si le traitement est à risque élevé (campagnes à grande échelle, données sensibles).

Comparatif des options d'hébergement

Option	Hébergement	Risque RGPD	Complexité de mise en conformité
API Cloud Meta directe	USA (Meta)	Modéré (TADPF)	Élevée (relation directe avec Meta)
BSP avec serveurs US	USA	Élevé	Élevée
BSP avec serveurs EU mais groupe US	EU / USA	Modéré (Cloud Act)	Moyenne
Meta Tech Provider hébergement EU	EU	Faible	Faible

Whakup se positionne dans la dernière catégorie : infrastructure EU, sans groupe parent américain, avec des engagements contractuels explicites.

L'API WhatsApp pour agences et éditeurs Whakup est pensée pour les éditeurs européens qui ne peuvent pas se permettre d'ambiguïté sur la localisation des données.

FAQ

Meta héberge-t-il des données en Europe ?

Meta dispose de Data Centers en Europe (Irlande, Danemark). Cependant, Meta est une entreprise américaine soumise au droit américain, y compris au Cloud Act. Les données hébergées par Meta en Europe peuvent théoriquement faire l'objet d'une demande des autorités américaines. Le TADPF (2023) encadre ces transferts mais reste juridiquement contestable. Pour les données de votre plateforme (logs, consentements, configurations), choisir un sous-traitant 100 % européen élimine cette ambiguïté.

Faut-il signer un DPA avec Meta ?

Oui. Meta propose un DPA standard dans son portail Business. Ce DPA couvre les données traitées par Meta en tant que sous-traitant. Il ne couvre pas les données que vous stockez vous-même dans votre infrastructure. Vous devez signer un DPA avec chacun de vos sous-traitants, y compris votre fournisseur d'API WhatsApp.

L'opt-in WhatsApp doit-il aussi être hébergé en Europe ?

Oui. Les données de consentement sont des données personnelles à part entière et relèvent du RGPD. Elles doivent être hébergées dans l'UE ou dans un pays adéquat, avec une durée de conservation définie. Pour les règles détaillées sur l'opt-in, consultez notre article opt-in WhatsApp : règles, RGPD et bonnes pratiques.

Un client grand compte peut-il exiger un hébergement dédié ?

Oui, certains grands comptes ou acteurs publics exigent un hébergement dédié (tenant isolé, serveurs dédiés). Whakup peut accommoder ces exigences dans le cadre d'un contrat sur mesure. Contactez l'équipe commerciale pour un cadrage technique.

---

L'hébergement des données en Europe n'est pas un argument marketing : c'est une condition contractuelle pour accéder à de nombreux clients B2B européens. En choisissant un Meta Tech Provider avec une infrastructure EU, vous simplifiez vos audits, sécurisez vos DPA et évitez les blocages commerciaux. Découvrez comment intégrer l'API WhatsApp sans devenir BSP avec Whakup, hébergé en Europe par défaut. Pour une vue d'ensemble de l'architecture, consultez notre guide complet de l'API WhatsApp Business.