Audit conformité WhatsApp Business : checklist en 25 points

Passer un audit de conformité WhatsApp Business est aujourd'hui un exercice recommandé pour toute entreprise marocaine qui envoie plus de quelques centaines de messages par jour. La conformité réglementaire, Meta et les clients eux-mêmes attendent des garanties précises. Voici une checklist opérationnelle en 25 points, structurée par thème.

1. Base légale et conformité réglementaire (points 1-5)

1. Déclaration conformité réglementaire effectuée et à jour, mentionnant explicitement le traitement Communication client via WhatsApp.
2. Politique de confidentialité publique décrivant le traitement, la base légale (consentement, contrat, intérêt légitime) et les droits des personnes.
3. Registre des traitements interne à jour, avec finalité, catégories de données et destinataires (BSP, Meta).
4. Contrat de sous-traitance signé avec le BSP, conforme aux exigences de la loi 09-08.
5. Transferts hors Maroc encadrés : identification des pays d'hébergement des données, mention dans la politique de confidentialité.

2. Consentement et opt-in (points 6-10)

6. Case à cocher explicite et non pré-cochée pour recevoir des messages WhatsApp, distincte des CGV.
7. Traçabilité du consentement : date, heure, IP, formulaire d'origine stockés dans le CRM.
8. Différenciation transactionnel vs marketing : un opt-in commande n'autorise pas l'envoi de promotions.
9. Mécanisme de désinscription : mot-clé STOP détecté et propagé au CRM en moins de 24 h.
10. Preuve de fourniture d'information : capture de la page de collecte du consentement archivée.

3. Templates et communication (points 11-15)

11. Templates approuvés par Meta pour tout message hors fenêtre de 24 h, avec catégorisation correcte (Authentication, Utility, Marketing, Service).
12. Absence de sur-catégorisation : ne pas déguiser du marketing en utility, cause classique de blocage Meta.
13. Variables limitées et validées : pas d'injection de contenu utilisateur non contrôlé.
14. Multilinguisme maîtrisé : versions français, arabe et darija testées avant production.
15. Fenêtre horaire respectée : messages non urgents envoyés entre 8h et 21h heure locale.

4. Sécurité technique (points 16-20)

16. Chiffrement en transit : TLS 1.2 minimum sur tous les endpoints, dont les webhooks.
17. Validation HMAC des webhooks avec l'App Secret Meta, protégeant contre les injections.
18. Authentification à deux facteurs sur tous les comptes Meta Business Manager admin.
19. Gestion des accès : principe du moindre privilège, revue trimestrielle des droits.
20. Journalisation des envois et réceptions avec horodatage, conservée selon la politique de rétention.

5. Rétention et gouvernance (points 21-25)

21. Politique de rétention écrite : par exemple 5 minutes pour un OTP, 12 mois pour les logs conversationnels, 24 mois pour les données de facturation.
22. Suppression automatisée à l'échéance, avec preuves d'exécution.
23. Procédure d'exercice des droits : accès, rectification, effacement, portabilité, opposition, testée annuellement.
24. Formation des équipes : commerciaux, support, marketing sensibilisés aux règles Meta et conformité réglementaire.
25. Revue annuelle de l'audit avec plan d'action documenté et responsable désigné.

Interpréter le score

Attribuez 1 point par item validé. Interprétation typique :

• 23-25 : conformité solide, prêt pour un contrôle conformité réglementaire.
• 18-22 : niveau intermédiaire, quelques quick wins à traiter en 30 jours.
• Moins de 18 : risque élevé, remise en conformité prioritaire.

Fréquence recommandée de l'audit

Une revue annuelle complète est le minimum. Une revue partielle trimestrielle sur les points sensibles (opt-in, templates, sécurité) permet de rester à jour face aux évolutions Meta, qui modifie régulièrement ses règles de catégorisation et de tarification.

Faire appel à un expert externe

Certains cabinets marocains spécialisés en conformité digitale proposent des audits WhatsApp complets, incluant un pentest léger sur les webhooks et une revue juridique des contrats BSP. Le coût typique se situe entre 15 000 et 60 000 MAD selon la taille de l'entreprise.

Conclusion

Un audit conformité WhatsApp bien mené protège votre entreprise de trois risques majeurs : sanction conformité réglementaire, blocage Meta et perte de confiance client. La checklist en 25 points offre une base solide pour structurer votre démarche, en interne ou avec un expert. Documentez, mesurez, et itérez.