La brecha jurídico-técnica

Los abogados redactan la Política de Privacidad. Los ingenieros escriben el esquema de la base de datos. Si no hablan, te demandarán. GDPR (Reglamento General de Protección de Datos) otorga a los usuarios derechos:

Derecho de acceso: “Muéstrame lo que sabes sobre mí”.
Derecho a Borrar (Derecho a ser Olvidado): “Eliminar todo sobre mí”.
Derecho a la Portabilidad: “Dame un CSV de mis datos”. La mayoría de las startups ignoran esto. “Lo haremos manualmente si alguien nos lo pide”. Entonces un usuario pregunta. Y te das cuenta de que sus datos están dispersos en Postgres, Salesforce, Stripe, Mailchimp y S3 Logs. Pasas 2 semanas eliminándolo manualmente. El cumplimiento del RGPD debe ser Código automatizado.

Por qué Maison Code analiza esto

En Maison Code operamos en la UE (París). El RGPD forma parte naturalmente de nuestro ADN. Ayudamos a las empresas estadounidenses a lanzarse en Europa. A menudo se sorprenden por el rigor (“Espera, ¿no puedo simplemente rastrear a todos?”). Implementamos Privacidad por Diseño. Diseñamos el sistema para que “Eliminar un usuario” se transmita correctamente a todos los sistemas. Hablamos de esto porque la Privacidad es el nuevo Lujo. Respetar los datos de los usuarios genera confianza.

Implementación técnica: la cascada de eliminación

¿Cómo implementar el “Derecho de Supresión”? Mala manera: ELIMINAR DE los usuarios DONDE id = 1. Esto falla debido a claves externas (la tabla Pedidos hace referencia a Usuario). O deja “datos huérfanos” en el análisis.

Buena manera: Anonimización. No eliminas el pedido (lo necesitas para impuestos/contabilidad). Usted borra la PII (información de identificación personal).

ACTUALIZAR usuarios
CONJUNTO 
  correo electrónico = 'eliminado-' || identificación || '@anon.com',
  nombre = 'Anónimo',
  teléfono = NULO,
  dirección = NULO
DONDE identificación =?;

Ahora las estadísticas financieras siguen siendo correctas (“Vendimos €100”), pero el usuario ya no está.

No puede eliminar las cookies de Google Analytics hasta que el usuario esté de acuerdo. El modo de consentimiento de Google v2 es obligatorio en 2024. Indica a las etiquetas de Google si tienen permiso para realizar un seguimiento del almacenamiento.

Predeterminado: ad_storage: 'denegado', analytics_storage: 'denegado'.
El usuario hace clic en “Aceptar”:
Actualización: gtag('consentimiento', 'actualización', {... 'concedido' }).

Esta lógica debe estar codificada en su script “head”. Advertencia: Si carga el script GTM antes de la verificación de consentimiento, violará el RGPD.

Residencia de datos

“¿Dónde está el servidor?” GDPR prefiere que los datos permanezcan en la UE. Si utiliza AWS us-east-1 (Virginia), está transfiriendo datos fuera de la UE. Necesita marcos legales de cláusulas contractuales estándar (CCT). Mejores prácticas: elija AWS Frankfurt (eu-central-1) o París (eu-west-3). Mantener los datos de los usuarios de la UE en la UE.

Logotipos y copias de seguridad

Ésta es la trampa oculta. Eliminaste al usuario de Live DB. Pero sus datos están en la Copia de seguridad creada ayer. Y está en los Registros de acceso (los registros de nginx suelen contener direcciones IP). Consejo de cumplimiento: No es necesario borrar las copias de seguridad inmediatamente (imposible). Pero debe tener un proceso en el que la restauración no autorizada de copias de seguridad reintroduzca datos eliminados. Por lo general, las copias de seguridad caducan naturalmente después de 30 días. Esta es una “supresión putativa” compatible. Para troncos: rótelos cada 30 días. Anonimizar las IP en los registros (192.168.x.x).

7. El ROPA (Registro de Actividades de Tratamiento)

El artículo 30 del RGPD requiere que documentes lo que haces. Necesita un Mapa de datos.

Fuente: Registro de Usuario.
Datos: Email, Nombre, IP.
Destino: Postgres (DB), Mailchimp (Marketing), Sentry (Registros).
Retención: Vida útil de la cuenta + 3 años. Este documento debe estar activo. Automatizamos esto etiquetando nuestros esquemas de base de datos (comentarios de Prisma) y generando automáticamente la ROPA durante CI/CD. “Documentación como código”.

8. Capacitación de los empleados: el cortafuegos humano

Podrás tener el mejor cifrado del mundo. Pero si su agente de soporte envía por correo electrónico un CSV de los usuarios a su Gmail personal… usted está violado. El phishing es el vector número uno. Exigimos Higiene de minimización de datos.

No Slack información del cliente. Utilice identificaciones.
No pongas PII en los tickets de Jira.
Utilice “yubikeys” (2FA) para acceso de administrador. La tecnología no puede arreglar la estupidez, pero el proceso puede limitar el daño.

10. Portabilidad de datos (la exportación JSON)

Usuario: “Dame mis datos.” No puede enviarles un volcado de SQL sin formato. Debe proporcionar un “formato estructurado, de uso común y legible por máquina” (artículo 20). Construimos un botón de autoservicio: “Descargar Mis Datos”. Activa un trabajo en segundo plano.

Obtener perfil, pedidos y mensajes.
Desinfecte las banderas internas (is_banned: true; tal vez manténgalas internas).
Genere JSON.
Enlace seguro por correo electrónico (caduca en 24 horas). Esto satisface el requisito legal sin intervención humana.

11. Gestión de riesgos de proveedores (Subprocesadores)

Usted es responsable de sus proveedores. Si envía correo electrónico a través de SendGrid y SendGrid es pirateado, USTED es responsable. GDPR requiere que usted enumere todos los “Subprocesadores”. Si agrega uno nuevo (por ejemplo, cambia a Klaviyo), técnicamente debe informar a los usuarios (actualizar la Política de privacidad). Mantenemos un “Registro de subprocesador” en el panel de administración para rastrear quién tiene acceso a qué datos.

12. La visión del escéptico

“Esto mata mis análisis”. Verdadero. Perderá ~30% de los datos (usuarios que rechacen las cookies). Acéptalo. Los datos que obtienes son de mayor calidad (alta intención). Además, el “Modelado de conversión” de Google ayuda a llenar los vacíos mediante el uso de IA. Respetar la privacidad es un activo de marca a largo plazo. Ser espeluznante es una responsabilidad.

Preguntas frecuentes

P: ¿CCPA (California) funciona igual? R: Mayormente sí. Si cumple con GDPR, cumple en un 95% con CCPA. GDPR es la “Marca máxima”. Apunta a eso.

P: ¿Qué pasa con el “interés legítimo”? R: Puede almacenar datos sin consentimiento si son esenciales para el servicio (por ejemplo, dirección de envío para entregar un paquete). No puede utilizar esa dirección para la ejecución de marketing sin un consentimiento específico.

Conclusión

El cumplimiento es ingeniería. Requiere mapeo de datos. Requiere API. Requiere tratar los “datos de usuario” como un “activo tóxico” que desea conservar la menor cantidad posible. Minimizar la recolección. Maximizar la confianza.

¿Riesgo de multas?

Las multas del RGPD pueden representar el 4% de la facturación global. Maison Code realiza Auditorías de Cumplimiento Técnico. Mapeamos sus flujos de datos, implementamos scripts de anonimización y aseguramos su gestión de consentimiento.

¿Preocupado por las multas?

Implementamos el cumplimiento técnico del RGPD (derecho de eliminación, anonimización de datos, consentimiento de cookies) directamente en su pila. Contrata a nuestros Arquitectos.

Cumplimiento del RGPD: es un problema de ingeniería