Come waboom tratta i dati. Ultimo aggiornamento: 2026.
waboom è un middleware tra WhatsApp e i tuoi flussi: i messaggi e i media transitano verso i tuoi endpoint (webhook, automazioni). Non teniamo un archivio delle tue conversazioni. Ci sono però eccezioni, ed è importante conoscerle: se configuri un webhook, il contenuto degli eventi che ti consegniamo — testo del messaggio incluso — resta nel registro delle consegne del nostro database per il periodo di conservazione del tuo piano (vedi Webhook e registro delle consegne); restano nel database il testo dei broadcast con i numeri dei destinatari e il testo dei modelli di messaggio che salvi (vedi Broadcast e modelli di messaggio); e sul volume del gateway resta per un massimo di 24 ore una copia dei messaggi che invii tu (vedi Copia dei messaggi inviati).
Per funzionare (rispondere ai tentativi di riconsegna di WhatsApp, permettere risposte, reazioni e download dei media) il gateway tiene i messaggi transitati di recente in una finestra temporanea in memoria, per un massimo di 24 ore o 10.000 messaggi per istanza — vale il limite raggiunto per primo, quindi su un'istanza molto attiva la finestra può restringersi a meno di 24 ore. Non viene scritta su disco e si svuota a ogni riavvio.
Sul volume restano i metadati delle chat: identificativo, nome visualizzato, data dell'ultimo messaggio e conteggio dei non letti. Per ogni chat conserviamo anche un riferimento all'ultimo messaggio noto — identificativo del messaggio, mittente e orario — necessario per poter richiedere lo storico a WhatsApp quando serve. Questi dati servono a elencare le conversazioni, a ritrovarle per nome e a recuperarne lo storico su richiesta. Puoi cancellarli in qualsiasi momento dagli strumenti GDPR della console.
Insieme ai nomi delle chat conserviamo il nome visualizzato di ogni identificativo WhatsApp che l'istanza incontra, non solo quello delle chat elencate: nei gruppi ciò include i singoli partecipanti, perché è il dato che permette di mostrare chi ha scritto. Sono nomi e identificativi, mai contenuti, e seguono la stessa cancellazione per contatto dagli strumenti GDPR della console.
Quando WhatsApp non riesce a decifrare un messaggio sul dispositivo del destinatario, chiede al mittente di rispedirlo: senza risposta quel messaggio resta per sempre come "In attesa del messaggio" su chi doveva leggerlo. Per poter rispondere a queste richieste il gateway tiene una copia dei messaggi in uscita sul proprio volume.
Comprende solo i messaggi inviati dalla tua istanza, mai quelli in arrivo, e dura al massimo 24 ore, 500 messaggi o 1 MB per istanza: vale il limite raggiunto per primo, quindi su un'istanza attiva la finestra è più corta.
La copia sta sul volume del gateway, non nel nostro database, e non entra nei backup. Si cancella da sola alla scadenza, e la cancellazione per contatto degli strumenti GDPR della console la rimuove subito per quel contatto.
Oltre ai metadati di chat descritti sopra, nel registro restano metadati d'istanza: identificativo, nome, owner, token in forma di hash, stato e configurazione webhook. A parte il registro delle consegne, i broadcast e i modelli descritti sotto, e della copia dei messaggi inviati descritta sopra, nessun contenuto di messaggio è persistito, salvo le programmazioni descritte sotto.
Immagini, video e vocali vengono scaricati e decifrati lato server solo su richiesta, il tempo di recapitarli ai tuoi flussi; non li archiviamo nel nostro database.
Se configuri un webhook, gli eventi vengono recapitati all'URL da te indicato. Sei responsabile del trattamento sul tuo endpoint.
Per poter riprovare le consegne fallite, mostrarti il log nella console e permetterti il replay, ogni consegna viene salvata nel nostro database con il payload completo dell'evento: per un messaggio ricevuto questo significa il testo del messaggio, oltre a mittente, chat, orario e tipo.
La conservazione dipende dal piano: 1 giorno sul piano Free, 7 su Starter, 30 su Pro e Business, 90 su Enterprise. Passato quel termine le consegne già completate o definitivamente fallite vengono cancellate automaticamente, senza che tu debba chiedere nulla e anche se non hai mai attivato un abbonamento: senza un piano si applica la conservazione del piano Free, cioè 1 giorno. Se non vuoi che il contenuto degli eventi resti nel registro, non configurare un webhook.
Il registro delle consegne non è l'unico punto in cui compare un contenuto di messaggio. Sono contenuti che ci affidi tu, non conversazioni in arrivo, ma è giusto saperlo:
Broadcast. Quando lanci un invio massivo conserviamo il testo del broadcast e l'elenco dei numeri destinatari, con l'esito di ciascun invio: è ciò che permette di riprendere un invio interrotto e di mostrarti il resoconto. Questi dati non hanno una scadenza automatica e restano finché non li cancelliamo su tua richiesta: scrivici a info@barikreativa.com.
Modelli di messaggio. Il testo dei modelli che salvi resta nel database finché non lo elimini: puoi cancellarlo in qualsiasi momento dalla console, ed è una cancellazione immediata e definitiva.
Le app mobili sono client del gateway configurato dall'utente. L'accesso a un account esistente usa l'indirizzo email e un codice monouso tramite Supabase Auth; il servizio conserva l'identificativo dell'account e le appartenenze alle organizzazioni. In alternativa puoi configurare direttamente un profilo con URL e token dell'istanza.
La rubrica viene letta sul dispositivo solo se concedi il permesso e apri il selettore dei contatti. Non carichiamo l'intera rubrica: al gateway vengono inviati soltanto il nome e l'identificativo del destinatario selezionato, insieme al messaggio. Puoi negare il permesso e inserire il numero manualmente. Foto, video, audio e documenti vengono caricati solo quando li scegli come allegati.
Profili, credenziali, bozze e copie locali delle programmazioni restano nello spazio privato dell'app. Su Android le credenziali e i dati strutturati sono cifrati con chiavi protette da Android Keystore; su iOS le credenziali sono nel Portachiavi. Le app native non integrano SDK pubblicitari o di analisi e non effettuano tracciamento pubblicitario.
Il gateway conserva destinatario, nome scelto, testo, data, fuso orario, stato ed eventuale riferimento all'allegato per eseguire la programmazione anche ad app chiusa. Questi dati restano nella cronologia finché non vengono eliminati su richiesta. Gli allegati sono conservati in uno storage privato mentre servono a programmazioni attive; dopo la conclusione dell'ultima programmazione collegata vengono rimossi dopo sette giorni. Gli upload inutilizzati vengono eliminati dopo 24 ore.
Il servizio di pianificazione cron-job.org riceve un identificativo della programmazione e un token limitato alla singola chiamata: non riceve il testo, il destinatario, gli allegati o le credenziali WhatsApp. Il gateway invia i contenuti a WhatsApp e ai destinatari scelti dall'utente per eseguire la sua richiesta. Le connessioni delle app al gateway usano HTTPS.
Per chiedere l'eliminazione dei dati o dell'account Waboom, scrivi a info@barikreativa.com dall'indirizzo associato all'account, indicando l'organizzazione o l'istanza e se vuoi eliminare l'intero account oppure soltanto specifici dati. Non inviare token o password. Dopo aver verificato la titolarità, eliminiamo i dati richiesti, incluse programmazioni, allegati e metadati associati; ti comunichiamo gli eventuali dati che dobbiamo conservare per obblighi di legge e il relativo periodo. Puoi anche eliminare i template dall'app e i dati dei contatti dagli strumenti GDPR della console. La rimozione di un profilo dall'app elimina i suoi dati locali, ma non equivale alla cancellazione sul server.
Accesso via HTTPS e token bearer per istanza; i token sono conservati come hash. La admin key non è mai esposta lato client.
Storage tecnico e necessario. Nella console (/app) salviamo in localStorage la sessione di login (token gestito da Supabase Auth) e l'organizzazione selezionata, per mantenerti autenticato. Questi dati restano sul tuo dispositivo e vengono rimossi al logout. Non essendo cookie di profilazione, non è richiesto il consenso.
Cookie di analisi (facoltativi). Sulla home page usiamo Google Analytics 4 per misurare in forma aggregata come viene usato il sito (pagine viste, sorgenti di traffico). Questi cookie non vengono attivati senza il tuo consenso: lo script di Google non viene nemmeno scaricato finché non premi «Accetta» nel banner, quindi prima di quel momento nessuna richiesta raggiunge i server di Google. Se rifiuti, la scelta viene ricordata e nulla viene caricato.
Titolare del trattamento per questi dati è Google Ireland Ltd.; i dati possono essere trasferiti negli Stati Uniti sulla base del Data Privacy Framework UE-USA. Non usiamo cookie pubblicitari né di profilazione a fini di marketing.
Revoca. Puoi cambiare idea in qualsiasi momento dal link «Preferenze cookie» nel footer della home page, che riapre il banner. La revoca è immediata e non richiede alcuna procedura.
Per richieste sui dati: info@barikreativa.com.