API WhatsApp et l'opt-in RGPD : guide pour les plateformes de chatbot IA

L'opt-in WhatsApp RGPD est la condition sine qua non pour envoyer des messages proactifs via votre chatbot IA. Sans consentement valide et documenté, chaque message outbound est une infraction potentielle au RGPD et une violation des politiques Meta — les deux pouvant conduire à la suspension du numéro.

Ce que le RGPD et Meta exigent en matière d'opt-in WhatsApp

Le RGPD et les politiques Meta créent des obligations qui se cumulent — il ne suffit pas de satisfaire l'une pour être conforme à l'autre.

Exigences RGPD (article 7) :

• Consentement explicite, libre, éclairé et non ambigu
• Formulation de la demande séparée des autres conditions (pas un opt-in coché par défaut noyé dans les CGU)
• Preuve du consentement stockée et restituable sur demande de la CNIL
• Droit de retrait facile du consentement à tout moment

Exigences Meta (politique d'opt-in WhatsApp) :

• L'utilisateur doit explicitement accepter de recevoir des messages via WhatsApp de la part de votre business
• Le formulaire d'opt-in doit mentionner le nom de l'entreprise et le type de messages qu'il recevra
• L'opt-in peut être collecté via WhatsApp lui-même, un site web, une app, par téléphone ou en point de vente — mais doit être documenté

La différence clé : Meta autorise un opt-in collecté hors de WhatsApp (formulaire web, email de confirmation). Le RGPD, lui, exige que vous puissiez prouver le consentement avec un horodatage et le contexte exact dans lequel il a été donné.

Comment implémenter l'opt-in dans une plateforme chatbot IA

Niveau 1 : le recueil du consentement.

La méthode la plus robuste pour un chatbot IA est le double opt-in via WhatsApp : l'utilisateur s'inscrit sur un formulaire, puis reçoit un message WhatsApp lui demandant de confirmer son abonnement en répondant "OUI". Ce second clic constitue une preuve forte de consentement.

Ce que votre formulaire d'opt-in doit contenir :

• Nom de l'entreprise cliente (pas votre marque SaaS, celle de l'utilisateur final)
• Description précise des messages : "vous recevrez des notifications de suivi de commande et des offres promotionnelles via WhatsApp"
• Fréquence estimée si applicable
• Lien vers la politique de confidentialité
• Case à cocher non pré-remplie

Niveau 2 : le stockage de la preuve.

Votre base de données doit stocker pour chaque contact ayant donné son opt-in :

Champ	Valeur à stocker
Identifiant contact	Numéro de téléphone hashé ou ID interne
Source de l'opt-in	URL de la page, nom du formulaire, canal
Horodatage	Timestamp UTC exact
Version du texte de consentement	Hash ou référence versionnée
Méthode de collecte	Web, WhatsApp, app, point de vente
Double opt-in confirmé	Booléen + timestamp de confirmation

Niveau 3 : la gestion des désinscriptions.

Votre chatbot doit détecter et traiter automatiquement les mots de désinscription en langage naturel : "stop", "désinscription", "je ne veux plus", "arrêtez". Ne vous limitez pas à un mot-clé exact. Un modèle IA est justement bien placé pour faire cette détection.

À la réception d'une désinscription : supprimez le contact de toutes les listes d'envoi proactif, marquez l'opt-in comme révoqué avec horodatage, et envoyez un message de confirmation de désinscription (obligatoire selon les bonnes pratiques Meta).

Ce qui change pour vos clients SaaS

En tant qu'éditeur de plateforme chatbot, vous êtes sous-traitant au sens du RGPD. Votre client (l'entreprise qui utilise votre SaaS) est le responsable de traitement. Cela signifie :

• Vous devez conclure un DPA (Data Processing Agreement) avec chaque client
• Vous ne pouvez pas utiliser les données de consentement collectées pour le compte d'un client à d'autres fins
• Si votre infrastructure est hébergée hors UE, vous devez vous appuyer sur les mécanismes de transfert adéquats (SCCs)

Choisir un BSP avec hébergement EU simplifie cette chaîne de conformité. Vous pouvez documenter que les données ne quittent pas le territoire européen, ce qui facilite la rédaction de vos DPA.

FAQ

L'opt-in collecté par email est-il valide pour WhatsApp ?

Oui, pour Meta. Un email de confirmation d'inscription mentionnant explicitement la réception de messages WhatsApp est accepté. Pour le RGPD, un opt-in email distinct de l'opt-in WhatsApp est recommandé — les deux canaux constituent des finalités de traitement différentes.

Comment gérer les contacts importés depuis un CRM existant ?

Si les contacts ont donné leur consentement dans un contexte différent (ex : newsletter email), ce consentement ne s'étend pas automatiquement à WhatsApp. Vous devez recollecte le consentement WhatsApp explicitement. Envoyer un message WhatsApp à une base importée sans requalification de l'opt-in est une violation des politiques Meta et potentiellement du RGPD.

Mon chatbot IA peut-il demander l'opt-in pendant une conversation ?

Oui. Si un utilisateur initie une conversation (window service), votre chatbot peut demander pendant cette fenêtre : "Souhaitez-vous recevoir nos notifications de commande par WhatsApp ?". Une réponse affirmative constitue un opt-in valide. Horodatez et stockez cette confirmation immédiatement.

Quelle durée de conservation pour les preuves d'opt-in ?

Le RGPD ne fixe pas de durée précise pour les preuves de consentement, mais la CNIL recommande de conserver la preuve aussi longtemps que le traitement est actif, plus une période raisonnable après. En pratique, conservez la preuve 3 ans après le dernier message envoyé au contact concerné.

---

L'opt-in RGPD est autant une obligation légale qu'un levier de qualité : des contacts qui ont explicitement consenti génèrent moins de blocages, un meilleur quality rating et des taux d'engagement supérieurs. Construisez ce socle dans votre plateforme dès le départ. Pour déployer un chatbot WhatsApp conforme sur une infrastructure EU, découvrez l'API WhatsApp de Whakup, hébergée en Europe. Consultez aussi notre guide complet de l'API WhatsApp Business et notre article sur la politique qualité Meta et le quality score.