WhatsApp GDPR：为什么两者总被一起提起
客户的姓名、电话号码、消息、照片和语音消息都属于个人数据。只要您把 WhatsApp 用于业务，就是在处理这些数据，并且根据欧盟《通用数据保护条例》（GDPR）对其负责。个体经营者和有员工的公司都一样。GDPR 适用于在欧盟经营或面向欧盟客户的企业；其他国家和地区有各自的个人信息法规。另外，WhatsApp 在中国大陆无法正常使用，本页面向在中国大陆以外，尤其是在欧洲经营的华人商家。本文用通俗的语言整理常见要点，不构成法律意见：各国和各行业的解读不同，如有疑问，请咨询当地数据保护机构、行业协会或专业顾问。
GDPR 在实际中要求您做什么
通讯录的问题
欧洲的数据保护机构和顾问经常提到通讯录同步。如果您允许 WhatsApp 访问手机通讯录，应用会读取通讯录里的号码，其中也包括从未同意这样做的人。对于工作手机，常见的建议是只存工作联系人，或者不给 WhatsApp 通讯录权限。客户先给您发消息时，您仍然可以正常回复，只是看到的是号码，而不是保存的名字。
把客户消息转给同事
把客户的问题交给负责这项工作的同事很正常，他需要这些信息才能帮助客户。GDPR 关心的是他拿到了多少数据。常见的省事做法往往给得太多：
- 把工作手机或 WhatsApp 网页版交给同事：他能看到这个账号的所有聊天、联系人和群组。参见 给同事用 WhatsApp 网页版。
- 截图或手动转发到私人手机：客户数据的副本留在私人设备上，之后很难清理。
- 转给公司以外的人，例如自由职业者或分包商，相当于把数据交给另一方。请书面约定对方如何处理这些数据。
更稳妥的做法是：同事只收到需要的消息，看不到客户号码，对话始终留在公司号码上。
InBetween 的做法
InBetween 通过二维码或配对码连接您现有的 WhatsApp 或 WhatsApp Business 号码，作为已关联设备运行，原理和 WhatsApp 网页版相同。它不是 Meta 官方的 Business API。每条客户消息都会自动转发给一位同事，同事在自己的 WhatsApp 里回复，客户收到的回复来自您的公司号码。
- 默认隐藏客户号码：同事看到的是“客户 1”、“客户 2”。
- 只转发新的客户消息：同事拿不到您的聊天列表、历史记录、群组和联系人。
- 欧盟境内托管：服务器位于德国 Hetzner。会话数据采用 AES-256-GCM 加密，可选的仅内存模式不向磁盘写入任何内容。
- 暂停：同事下班时，例如晚上，可以暂停转发。
需要说清楚的是：和 WhatsApp 网页版一样，InBetween 是您账号的设备之一，因此会处理它转发的消息，并在后台显示。请在隐私声明和处理活动记录中把它列为服务商。如需用于存档的信息，请发邮件至 in.between.techsolutions@gmail.com。应用后台目前只有荷兰语界面。更多内容见 隐私与安全。
自动转发客户消息，回复从您的号码发出。
免费试用 30 天简明清单
- 使用公司号码，这部手机上只存工作联系人。
- 在隐私声明中写明 WhatsApp 和已连接的工具。
- 开启两步验证，定期检查已关联设备。
- 只给同事他们需要的对话。
- 与团队约定，客户照片不要在私人手机上保留过久。
- 按固定周期删除旧聊天和媒体文件。
- 尽量不要在 WhatsApp 上处理敏感信息，例如健康状况或身份证件。
什么时候 WhatsApp 不是合适的渠道
坦白说：如果您的行业有严格的保密义务，或者客户经常发送敏感数据，那么专门为此设计的渠道，例如客户门户或加密邮件，会比任何 WhatsApp 方案更合适。WhatsApp 适合快速、实际的沟通：预约、照片，以及关于具体工作的问题。
| 事项 | 含义 | 您可以怎么做 |
|---|---|---|
| 合法依据 | 处理数据需要正当理由，例如回答客户的咨询，或完成客户要求的订单。 | 只在客户主动联系或同意的情况下使用 WhatsApp，不发送未经请求的广告。 |
| 透明 | 客户应当知道您如何使用他们的数据。 | 在隐私声明中写明 WhatsApp 以及处理消息的工具。 |
| 数据最小化 | 只收集和分享必要的信息。 | 没有真正需要时，不要通过 WhatsApp 索取身份证件复印件或健康信息。 |
| 访问权限 | 只有需要的人才能看到数据。 | 给每位员工与其工作相关的对话，而不是整部手机。 |
| 保存期限 | 数据保存时间不超过必要期限。 | 按固定周期删除旧聊天和媒体文件。 |
| 安全 | 防止数据丢失和被滥用。 | 设置锁屏，开启两步验证，定期检查已关联设备。 |
| 服务商 | 代您处理数据的第三方需要有明确约定。 | 确认每家服务商处理哪些数据、在哪里处理、依据什么条款（数据处理协议）。 |
常见问题
WhatsApp Business 符合 GDPR 吗？
GDPR 针对的是您的企业如何使用 WhatsApp，而不只是应用本身。许多小企业这样使用：有明确的合法依据，在隐私声明中写明，限制访问权限，并定期删除旧聊天。请核实您所在行业的规定；本文不构成法律意见。
可以把客户的 WhatsApp 消息转给员工吗？
把消息交给需要它来帮助客户的同事，通常属于正常经营。只给必要的内容：这条消息，而不是整个 WhatsApp，最好也不包括客户的电话号码。
隐私声明里需要写 WhatsApp 吗？
如果您用 WhatsApp 联系客户，建议写明，并列出代您处理消息的工具或服务商。具体措辞可以请当地数据保护机构或顾问协助。
同事能看到客户的电话号码吗？
默认看不到。同事看到的是“客户 1”、“客户 2”等。您可以在后台选择显示号码。