El texto del RGPD es el mismo que hace cinco a\u00f1os. Lo que cambi\u00f3 es la aplicaci\u00f3n. Las autoridades que dedicaron los primeros a\u00f1os a redactar directrices ahora emiten resoluciones, y las m\u00e1s grandes apuntan justo a lo que los compradores de WhatsApp sol\u00edan pasar por alto: a d\u00f3nde van los datos en cuanto salen de la aplicaci\u00f3n.<\/p>\n\n\n
En mayo de 2023, la autoridad irlandesa de protecci\u00f3n de datos mult\u00f3 a Meta con 1.200 millones de euros y le orden\u00f3 dejar de enviar datos de usuarios europeos a Estados Unidos. Detr\u00e1s de esa cifra no hubo una filtraci\u00f3n ni una brecha. El propio mecanismo de transferencia, mover datos de la UE a servidores en Estados Unidos, hab\u00eda sido declarado ilegal.<\/p>\n\n\n
Cualquier empresa que enrute datos de clientes a trav\u00e9s de infraestructura bajo control estadounidense tiene ahora un precio concreto por equivocarse: las multas del RGPD llegan hasta 20 millones de euros o el 4 % de la facturaci\u00f3n anual global.<\/p>\n\n\n
Una evaluaci\u00f3n de un Solution Partner hoy lo refleja. Meta retir\u00f3 la etiqueta Business Solution Provider (BSP); estos socios ahora se llaman oficialmente Solution Partners. Va mucho m\u00e1s all\u00e1 de los banners de consentimiento y las pol\u00edticas de privacidad, y el \u00e1rea de compras quiere detalles concretos:<\/p>\n\n\n
- \n
- D\u00f3nde funciona f\u00edsicamente la infraestructura<\/li>\n\n\n
- Qu\u00e9 subprocesadores tienen contacto con los datos<\/li>\n\n\n
- Qu\u00e9 sistema jur\u00eddico puede obligar a acceder a ellos<\/li>\n\n\n
- C\u00f3mo est\u00e1n estructuradas las transferencias internacionales<\/li>\n<\/ul>\n\n\n
En esas respuestas es donde se decide realmente la conformidad de WhatsApp con el RGPD.<\/p>\n\n\n
D\u00f3nde est\u00e1 realmente su exposici\u00f3n al RGPD<\/strong><\/h3>\n\n\n
Ninguna autoridad seria trata a WhatsApp como autom\u00e1ticamente no conforme. Lo que determina su exposici\u00f3n es la arquitectura que lo rodea. Dos empresas pueden ejecutar campa\u00f1as id\u00e9nticas en WhatsApp y terminar en posiciones de riesgo muy distintas, seg\u00fan d\u00f3nde aloje los datos su Solution Partner, c\u00f3mo enrute los mensajes, qu\u00e9 subprocesadores use y d\u00f3nde guarde los registros.<\/p>\n\n\n
En los sectores regulados, es justamente esa cuesti\u00f3n de arquitectura la que pone sobre la mesa la WhatsApp Business API alojada en la UE<\/a>. Mantener los datos y el procesamiento de la aplicaci\u00f3n dentro del Espacio Econ\u00f3mico Europeo reduce la parte de su configuraci\u00f3n que una evaluaci\u00f3n de transferencias debe cubrir. Las obligaciones del RGPD siguen aplicando de todos modos, pero la pregunta m\u00e1s dif\u00edcil de toda la revisi\u00f3n, qu\u00e9 ocurre con estos datos una vez que salen de la UE, simplemente deja de existir.<\/p>\n\n\n
La conformidad con el RGPD se reduce al flujo de datos<\/strong><\/h2>\n\n\n
La mayor\u00eda de los equipos subestima lo detallada que se ha vuelto una revisi\u00f3n moderna de RGPD. Desde Schrems II, la sentencia de 2020 que anul\u00f3 el Privacy Shield entre la UE y Estados Unidos, las autoridades europeas esperan que las organizaciones mapeen sus flujos de datos con precisi\u00f3n real:<\/p>\n\n\n
- \n
- Por d\u00f3nde viajan los metadatos de los mensajes<\/li>\n\n\n
- D\u00f3nde se escriben los registros de la aplicaci\u00f3n<\/li>\n\n\n
- Qu\u00e9 sistemas procesan los identificadores de clientes<\/li>\n\n\n
- Si algo sale de la UE durante el enrutamiento o el soporte<\/li>\n<\/ul>\n\n\n
Aqu\u00ed es donde se caen muchas promesas de los Solution Partners. Un proveedor puede autodenominarse \u201corientado a Europa\u201d y aun as\u00ed ejecutar logging, herramientas de soporte o procesamiento de contingencia en sistemas fuera de la UE. Puede pasar una revisi\u00f3n superficial y fallar en el momento en que alguien aplica una evaluaci\u00f3n de impacto en la protecci\u00f3n de datos (DPIA).
La residencia de datos de WhatsApp pas\u00f3 de ser una nota jur\u00eddica al pie a algo que a usted le pueden pedir que demuestre: d\u00f3nde residen estos datos y qui\u00e9n puede acceder a ellos. La pregunta se vuelve m\u00e1s seria en cuanto WhatsApp deja de ser un canal de marketing y pasa al onboarding y al soporte a trav\u00e9s de la API de WhatsApp, gestionando datos personales todo el d\u00eda.<\/p>\n\n\nUso de la aplicaci\u00f3n frente a control de la infraestructura<\/strong><\/h3>\n\n\n
La diferencia que la mayor\u00eda de los compradores pasa por alto est\u00e1 entre usar una aplicaci\u00f3n y controlar la infraestructura que hay debajo. Una plataforma de mensajer\u00eda puede verse limpia en la interfaz y aun as\u00ed exponerlo por debajo. Los mensajes pueden estar cifrados de extremo a extremo mientras los metadatos operativos pasan por sistemas en Estados Unidos, los registros quedan en una regi\u00f3n fuera de la UE o un agente de soporte accede a los datos desde un tercer pa\u00eds. Una demostraci\u00f3n de producto nunca muestra nada de esto. Aparece despu\u00e9s, cuando el \u00e1rea legal rastrea a d\u00f3nde van realmente los datos.<\/p>\n\n\n
Alojamiento en la UE frente a alojamiento global, en la pr\u00e1ctica<\/strong><\/h2>\n\n\n
Una configuraci\u00f3n global tradicional est\u00e1 pensada para la escala y la comodidad. Por lo general:<\/p>\n\n\n
- \n
- Distribuye las cargas de trabajo en varias regiones<\/li>\n\n\n
- Replica los registros a nivel mundial<\/li>\n\n\n
- Centraliza el soporte en una sola ubicaci\u00f3n<\/li>\n\n\n
- Usa procesamiento en Estados Unidos por defecto<\/li>\n<\/ul>\n\n\n
Para muchos casos de uso funciona bien. Con datos regulados, le deja una larga lista de transferencias que despu\u00e9s tiene que justificar. Una WhatsApp Business API alojada en la UE hace lo contrario: el procesamiento se queda en una regi\u00f3n de la UE, el almacenamiento se mantiene local, las transferencias se reducen al m\u00ednimo y los controles se definen por regi\u00f3n. Usted sigue firmando un DPA y sigue realizando sus evaluaciones. La diferencia es que el \u00e1rea que debe defender es m\u00e1s peque\u00f1a, y la revisi\u00f3n avanza m\u00e1s r\u00e1pido porque hay menos que explicar.<\/p>\n\n\n
La CLOUD Act y el acceso extraterritorial<\/strong><\/h3>\n\n\n
Los compradores europeos vuelven una y otra vez a una pregunta: de qui\u00e9n es la infraestructura, en realidad. Bajo la CLOUD Act estadounidense, de 2018, un proveedor con sede en Estados Unidos puede ser obligado a entregar datos que controla incluso cuando esos datos est\u00e1n almacenados en el extranjero. El riesgo aqu\u00ed es de jurisdicci\u00f3n. Incluso una empresa en la que usted conf\u00eda por completo puede recibir una orden judicial estadounidense y tener que cumplirla.
Para un banco o un hospital, eso abre una serie de preguntas que ninguna presentaci\u00f3n comercial resuelve: si los datos pueden ser solicitados, qu\u00e9 metadatos entran en ese alcance y qu\u00e9 hay en realidad entre una orden judicial estadounidense y los datos de clientes europeos. Por eso la ubicaci\u00f3n del alojamiento y la propiedad de la infraestructura dejaron de ser detalles secundarios, y la exposici\u00f3n a la CLOUD Act en WhatsApp aparece ya como un punto fijo en las evaluaciones serias de proveedores.<\/p>\n\n\nLa documentaci\u00f3n pesa m\u00e1s que el marketing<\/strong><\/h2>\n\n\n
\u201cGDPR-ready\u201d, \u201cprivacy-focused\u201d, \u201centerprise secure\u201d: todo proveedor ofrece alguna versi\u00f3n de esto. Los equipos de compras aprendieron a pasar por alto los adjetivos y pedir la documentaci\u00f3n:<\/p>\n\n\n
- \n
- Una lista real de subprocesadores<\/li>\n\n\n
- Documentaci\u00f3n de d\u00f3nde ocurre realmente el despliegue<\/li>\n\n\n
- T\u00e9rminos contractuales de procesamiento que permitan exigir responsabilidad al proveedor<\/li>\n<\/ul>\n\n\n
El documento de mayor peso aqu\u00ed es el WhatsApp DPA. El Data Processing Addendum sol\u00eda ser un anexo que nadie abr\u00eda. Hoy se revisa como un contrato, porque define qui\u00e9n es responsable de qu\u00e9, c\u00f3mo se gestionan las transferencias, cu\u00e1ndo le avisan de una brecha y qu\u00e9 puede hacer el subprocesador con los datos. En 2026 los equipos lo leen con mucha m\u00e1s atenci\u00f3n que hace tres a\u00f1os, y notan cu\u00e1ndo es vago.<\/p>\n\n\n
![\"Lista](\"https:\/\/360dialogblog.com\/wp-content\/uploads\/2026\/07\/lista-verificacion-rgpd-whatsapp-business-platform-1024x614.png\")
<\/figure>\n\n\nPor qu\u00e9 los sectores regulados se mueven primero<\/strong><\/h3>\n\n\n
La presi\u00f3n es mayor donde la conversaci\u00f3n en s\u00ed es sensible: un banco en el onboarding de un cliente, una cl\u00ednica confirmando una cita, una aseguradora gestionando un siniestro, un organismo p\u00fablico atendiendo a ciudadanos. En esos contextos, WhatsApp pasa a formar parte del stack de gobernanza, y un alojamiento d\u00e9bil genera fricci\u00f3n real.
Las compras se frenan, el \u00e1rea legal escala, se reabre una DPIA, seguridad se opone. Por eso, quienes m\u00e1s tienen que perder son justamente los que adoptan m\u00e1s r\u00e1pido la infraestructura por regi\u00f3n. Un reporte limpio y basado en la UE, a trav\u00e9s de sus herramientas de WhatsApp Analytics y de gobernanza<\/a>, tambi\u00e9n ayuda cuando los auditores empiezan a pedir evidencia en lugar de garant\u00edas.<\/p>\n\n\nLa conformidad se est\u00e1 convirtiendo en una decisi\u00f3n de Marketplace<\/strong><\/h2>\n\n\n
Uno de los cambios m\u00e1s claros de este a\u00f1o es qui\u00e9n se sienta a la mesa en una decisi\u00f3n de Solution Partner. Antes era seguridad. Ahora participan compras, legal, operaciones y a veces la direcci\u00f3n, porque la infraestructura de mensajer\u00eda alimenta directamente el riesgo corporativo.
Eso cambi\u00f3 la forma en que compite el WhatsApp Marketplace<\/a>. La disponibilidad y la velocidad de onboarding siguen importando, pero por s\u00ed solas ya no ganan un contrato. Los compradores ahora comparan proveedores por la transparencia de la infraestructura, la jurisdicci\u00f3n del alojamiento y si todo el conjunto se puede defender ante una autoridad.<\/p>\n\n\nDe \u201cconforme\u201d a \u201cdefendible\u201d<\/strong><\/h3>\n\n\n
Hay una diferencia real entre marcar una casilla de conformidad y poder defender su configuraci\u00f3n cuando alguien la cuestiona. Defendible significa poder demostrar, cuando se lo pidan:<\/p>\n\n\n
![\"Diagrama](\"https:\/\/360dialogblog.com\/wp-content\/uploads\/2026\/07\/whatsapp-residencia-de-datos-ue-360dialog-1024x614.png\")
<\/figure>\n\n\n