Verwerkersovereenkomst (DPA) bij een WhatsApp API: waar moet je op letten?

Stuur je klantcommunicatie via een WhatsApp Business API, dan verwerkt de leverancier van die API persoonsgegevens namens jou: telefoonnummers, berichtinhoud, timestamps, soms bijlagen zoals facturen of foto's. Onder de AVG maakt dat de leverancier een verwerker en jou de verwerkingsverantwoordelijke — en die verhouding moet vastliggen in een verwerkersovereenkomst (DPA, Data Processing Agreement). Dit artikel is algemene informatie, geen juridisch advies; laat een DPA bij twijfel altijd nalezen door een jurist.

Waarom je niet zonder DPA kan

Artikel 28 AVG verplicht een schriftelijke overeenkomst zodra een derde partij persoonsgegevens verwerkt in jouw opdracht. Zonder DPA ben je als verwerkingsverantwoordelijke niet in orde, ook al ligt de technische fout bij de leverancier. Bij een controle door de gegevensbeschermingsautoriteit is "we hadden geen overeenkomst" geen verdedigbare positie — het is zelf al een inbreuk.

Dit geldt voor elke tool die klantgegevens verwerkt, niet alleen voor WhatsApp-API's: je CRM, je mailingtool, je boekhoudsoftware. Maar berichtenverkeer via WhatsApp is gevoelig genoeg (telefoonnummers zijn direct te herleiden tot een persoon) dat het vaak als eerste over het hoofd gezien wordt terwijl het net veel data bevat.

Wat een goede DPA moet regelen

Een volledige verwerkersovereenkomst dekt minstens:

• Onderwerp en duur van de verwerking — welke data, hoe lang, voor welk doel.
• Aard van de gegevens: telefoonnummers, naam, berichtinhoud, media-bijlagen, statusdata (verzonden/afgeleverd/gelezen).
• Beveiligingsmaatregelen: encryptie in transit en at rest, toegangscontrole, logging.
• Sub-verwerkers: welke onderaannemers (hosting, monitoring) de leverancier zelf inschakelt, en of je daarover geïnformeerd wordt.
• Locatie van verwerking: binnen of buiten de EU. Verwerking buiten de EU vraagt bijkomende waarborgen (SCC's).
• Bijstand bij datalekken: binnen welke termijn de verwerker jou meldt, zodat jij binnen de wettelijke 72 uur de toezichthouder kan informeren.
• Rechten van betrokkenen: hoe de verwerker jou ondersteunt bij inzage-, correctie- of verwijderingsverzoeken (zie ook ons artikel over AVG-verzoeken bij WhatsApp-data afhandelen).
• Verwijdering/teruggave van gegevens bij einde van het contract.

Praktische checklist voor kmo's

1. Vraag de DPA op vóór je live gaat, niet achteraf. Bij textmeflow.eu wordt de DPA automatisch toegevoegd bij een betaald plan — je hoeft er niet apart om te vragen.
2. Controleer waar de servers staan. textmeflow.eu host in de EU (Parijs); dat vermijdt discussies over doorgifte buiten de EU voor je berichtdata.
3. Check of de leverancier sub-verwerkers publiceert of op aanvraag deelt.
4. Leg intern vast wie bij jou verantwoordelijk is voor het beheer van AVG-verzoeken die via WhatsApp binnenkomen.
5. Koppel de DPA aan je verwerkingsregister (art. 30 AVG) — één regel per verwerker volstaat, met verwijzing naar de overeenkomst.
6. Herzie jaarlijks: nieuwe features (bijv. een nieuw type webhook of media-opslag) kunnen de verwerking uitbreiden.

Wat dit betekent voor je WhatsApp-integratie

Een DPA lost niet alles op. Je blijft zelf verantwoordelijk voor hoe je de API gebruikt: geen berichten sturen zonder rechtsgrond, STOP-verzoeken correct verwerken, en geen onnodig lange bewaartermijnen hanteren. Zie ons overzicht van de AVG-basisregels voor WhatsApp-berichten voor die kant van het verhaal.

Voor de technische documentatie over hoe webhooks en data-events precies verlopen, zie de webhooks-documentatie — handig om te weten welke velden onderweg zijn wanneer je je verwerkingsregister invult.

Aan de slag

Een DPA hoort geen obstakel te zijn om te starten. Test de WhatsApp API van textmeflow.eu gratis met het free-plan (50 berichten/maand) — inclusief EU-hosting en een automatisch bijgevoegde verwerkersovereenkomst zodra je naar een betaald plan overstapt.