Furnizorul tău de WhatsApp este cu adevărat european?

De ce „găzduit în UE” nu este răspunsul

Când o firmă întreabă dacă furnizorul ei de WhatsApp este european, de obicei pune trei întrebări deodată: ce legi pot ajunge la conversațiile pe care i le trimit clienții, pe cine poate trage la răspundere dacă ceva merge prost și dacă responsabilul cu protecția datelor (DPO) își va da acordul. Locația serverului răspunde doar la o parte din prima întrebare.

Motivul este CLOUD Act, legea americană din 2018. Ea permite autorităților din SUA să oblige un furnizor aflat sub jurisdicția SUA să predea datele aflate în posesia, custodia sau sub controlul său, oriunde ar fi stocate. Un server din Frankfurt operat de o companie care răspunde în fața unei societăți-mamă americane poate intra sub incidența acestei legi; același server, operat de o companie din UE fără o astfel de societate-mamă, nu intră. Unde stau datele și cine le controlează sunt întrebări separate, iar un furnizor poate trece de una și pica la cealaltă.

Regulile privind transferurile adaugă un al doilea motiv. Transferul datelor cu caracter personal în Statele Unite se sprijină în prezent pe EU–US Data Privacy Framework, adoptat în 2023. Cei doi predecesori ai săi, Safe Harbor și Privacy Shield, au fost invalidați amândoi de Curtea de Justiție a Uniunii Europene, în 2015 și în 2020. O firmă care nu vrea ca soluția ei de WhatsApp să depindă de supraviețuirea celei de-a treia încercări preferă un lanț care nu are nevoie de ea.

Șase verificări fac diferența între cele două situații. Fiecare poate fi confirmată din documente pe care un furnizor ar trebui să le publice deja, fără să crezi pe nimeni pe cuvânt — nici pe noi.

Firma cu care semnezi

Pornește de la entitatea juridică din contract, nu de la marca de pe site. Un furnizor european o face publică: denumirea firmei, sediul social, numărul de înregistrare la registrul comerțului și codul de TVA, de obicei pe o pagină de mențiuni legale sau cu datele de identificare ale firmei.

• Verifică codul de TVA în VIES, serviciul de validare al Comisiei Europene. Un cod valid confirmă că firma există și că este înregistrată în scopuri de TVA în acel stat membru.
• Citește în termeni cine este partea contractantă. Unii furnizori cu birou în Europa încheie totuși contractele printr-o firmă înregistrată în altă parte, iar biroul nu este partenerul tău contractual.
• Lipsa mențiunilor legale este și ea un răspuns. Un furnizor care nu vrea să spună cu ce firmă ai de-a face îți transmite, de fapt, ceva.

Cine deține acea firmă

O firmă înregistrată în UE poate fi filiala unui grup cu sediul în altă parte, iar pentru întrebarea legată de CLOUD Act aceasta este verificarea care contează cel mai mult. Caută societatea-mamă în mențiunile legale, pe pagina „Despre noi”, în situațiile financiare anuale depuse la registrul comerțului sau într-o bază de date despre finanțări.

Filiala din UE a unui grup american nu este automat o problemă — multe au aranjamente solide —, dar reprezintă un alt risc decât o firmă cu acționariat din UE, iar responsabilul tău cu protecția datelor va vrea să știe pe care dintre ele o cumperi. Întreabă-l direct pe furnizor; unul european îți poate răspunde într-o propoziție.

Unde sunt datele și cine poate ajunge la ele

„Găzduit în UE” ar trebui să acopere mai mult decât baza de date principală. Locurile prin care datele de pe WhatsApp tind să ajungă în altă parte sunt previzibile:

• Backupurile. Sunt o copie a tuturor datelor și sunt adesea păstrate la alt furnizor decât cel al serverelor principale.
• Fișierele. Imaginile, mesajele vocale și documentele schimbate în conversații stau de obicei într-un spațiu de stocare de tip obiect (object storage), tot adesea la un furnizor separat.
• Logurile și monitorizarea. Instrumentele de urmărire a erorilor și de analiză primesc fragmente de conversații și numere de telefon mai des decât și-ar propune cineva.
• Accesul echipei de suport. Comitetul European pentru Protecția Datelor consideră accesul de la distanță din afara SEE un transfer, chiar și atunci când datele în sine nu se mută niciodată. O echipă de suport de pe alt continent care îți poate deschide inboxul face și ea parte din răspuns.

Lista subcontractanților

Orice furnizor se bazează pe alte companii — pentru găzduire, stocarea fișierelor, email, plăți și, tot mai des, AI. Articolul 28 din GDPR cere autorizarea ta pentru ele și îl obligă pe furnizor să te anunțe înainte să adauge sau să înlocuiască vreuna, ca să poți obiecta. În practică, asta înseamnă o listă în acordul de prelucrare a datelor (DPA), cu scopul și locația fiecărei persoane împuternicite ulterioare (subcontractant).

• Cere DPA-ul înainte să semnezi. Un furnizor care ți-l trimite abia după plată a luat deja decizia în locul tău.
• Citește coloana cu locația. Un singur instrument găzduit în afara UE, pentru răspunsurile generate cu AI sau pentru email, poate anula un lanț altfel european.
• Verifică termenul de notificare pentru modificările listei și dacă poți renunța la serviciu atunci când obiectezi la unul dintre subcontractanți.

Factura și legea aplicabilă

Factura arată pe cine plătești de fapt. De la o firmă din UE, o firmă din alt stat membru primește o factură fără TVA, cu mențiunea „taxare inversă”, după ce furnizorul i-a validat codul de TVA în VIES. Poți plăti și un furnizor din afara UE — atunci TVA-ul îl declari tu, după aceeași regulă a taxării inverse —, așa că TVA-ul în sine nu decide nimic.

Termenii, în schimb, decid. Caută clauza privind legea aplicabilă și instanța competentă. Dacă un litigiu despre datele sau contul tău ar fi judecat după legea unui stat membru al UE, îți poți apăra drepturile cu instrumente pe care le cunoști deja. Dacă l-ar judeca o instanță de pe alt continent, celelalte verificări contează mai puțin decât păreau.

Segmentul Meta

Orice furnizor de pe platforma oficială WhatsApp Business îți trimite mesajele prin Cloud API-ul Meta, iar față de firmele din UE răspunderea pentru acesta o poartă entitatea irlandeză a Meta. Niciun furnizor nu poate scoate Meta din lanț. Unul care îți spune că mesajele tale nu părăsesc niciodată propriile lui servere fie nu este pe API-ul oficial, fie nu îl descrie corect.

Ce poate face un furnizor este să-i ceară Meta stocare locală (local storage). Când aceasta este activată pentru un număr, Meta păstrează conținutul mesajelor în repaus (at rest) doar în centre de date din regiunea selectată; cât timp un mesaj este procesat, el poate sta în centre de date Meta din alte locuri timp de până la 60 de minute. Meta permite schimbarea setării doar cât timp numărul nu este înregistrat, așa că e treaba furnizorului să o solicite în momentul în care numărul este conectat. Întreabă-l dacă face asta și pentru ce regiune.

Cealaltă jumătate a segmentului Meta este să fii, înainte de toate, pe API-ul oficial. Instrumentele care folosesc WhatsApp prin aplicația pentru uz personal sau prin WhatsApp Web încalcă termenii WhatsApp, iar numerele pe care le folosesc ajung blocate. Niciuna dintre verificările de mai sus nu protejează un număr pe care îl poți pierde peste noapte.

Segmentul Meta este și cel pe care trebuie să-l consemnezi în propriile documente — unde se află Meta în harta datelor tale este explicat în ghidul despre GDPR.

Cum răspunde Whapier la cele șase verificări

Am construit Whapier ca să treacă de aceste verificări, așa că e corect să-ți arătăm răspunsurile noastre — împreună cu locul în care poți verifica fiecare dintre ele, în loc să ne crezi pe cuvânt.

Ce nu putem schimba este partea pe care n-o poate schimba niciun furnizor: mesajele tale trec prin Meta, în condițiile stabilite de Meta. Politica noastră de confidențialitate spune asta deschis, la fel și recenzia independentă de mai jos.

Directoare care verifică în locul tău

Când compari mai mulți furnizori, directoarele independente de software european fac dinainte o parte din această muncă. European Purpose, de exemplu, listează doar companii cu sediul și înregistrate în Europa, lasă pe dinafară orice instrument cu societate-mamă americană și marchează pozițiile plătite de pe fiecare pagină. Recenzia sa despre Whapier enumeră atât ce nu face Whapier, cât și ce face — doar WhatsApp, fără email sau live chat —, iar acesta este genul de recenzie care merită citit înainte de a face orice listă scurtă.

Un director verifică un furnizor în ziua în care scrie recenzia. DPA-ul îți spune ce e valabil în ziua în care semnezi, așa că citește-le pe amândouă.