Privacidad de Datos
Filosofía Central
El cumplimiento de la privacidad de datos (GDPR en Europa, CCPA/CPRA en California, LGPD en Brasil) no es un descargo de responsabilidad legal estático copiado y pegado en el pie de página de un sitio web. La privacidad es una arquitectura de ingeniería. Las regulaciones modernas hacen cumplir principios estrictos: privacidad por diseño, minimización de datos, justificación de base legal, cumplimiento automatizado de Solicitudes de Acceso a Datos (DSAR) en 30 días y notificación obligatoria de violaciones en 72 horas. Violar la privacidad de datos conlleva multas legales de hasta el 4% de la facturación anual global o 20 millones de dólares bajo GDPR.
Arquitectura Técnica de Privacidad de Datos en 4 Pasos
Paso 1: Inventario de Datos y Registro de Actividades de Procesamiento (ROPA / Art. 30)
- El Mapa Completo de Flujo de Datos:
- Rastrea cada elemento de datos personales a lo largo de su ciclo de vida (Recopilación -> Almacenamiento -> Procesamiento -> Compartición -> Destrucción).
- Documenta: Categorías de datos (PII, dirección IP, datos financieros, datos sensibles), Sujetos de datos (clientes, empleados), Ubicación de almacenamiento (AWS us-east-1), Período de retención, Subprocesadores (Stripe, PostHog, AWS).
- Base Legal para el Procesamiento (GDPR Art. 6):
- Identifica la base legal para cada flujo de procesamiento: Necesidad Contractual, Obligación Legal, Interés Legítimo (con Evaluación de Interés Legítimo documentada - LIA), o Consentimiento Explícito.
Paso 2: Gestión de Consentimiento y Gobernanza de Cookies (ePrivacy)
- Mandato de Consentimiento Previo en la UE:
- Las cookies de seguimiento, análisis y marketing nunca deben activarse antes del consentimiento afirmativo y explícito del usuario.
- Las casillas de verificación pre-marcadas y los muros de cookies (bloquear el acceso a menos que se dé consentimiento) son legalmente inválidos según las directrices del EDPB.
- Categorías de Consentimiento Granulares:
- Estrictamente Necesarias (Siempre activas).
- Análisis / Rendimiento (Se requiere consentimiento explícito).
- Publicidad / Marketing (Se requiere consentimiento explícito).
Paso 3: Canalización Automatizada de Solicitudes de Acceso a Datos (DSAR)
- Cumplimiento de Derechos Legales (Dentro de 30 Días Calendario):
- Derecho de Acceso / Portabilidad: Proporcionar al usuario todos los datos personales almacenados en un formato estructurado y legible por máquina (JSON/CSV).
- Derecho de Supresión ("Derecho al Olvido"): Eliminar la PII del usuario en bases de datos principales, registros, copias de seguridad y sistemas de subprocesadores.
- El Protocolo de Ingeniería de "Eliminación Definitiva":
- Ejecutar borrado criptográfico o anonimización de registros de bases de datos relacionales (
user_id -> hash). - Retener estrictamente lo requerido legalmente para auditorías financieras/fiscales (por ejemplo, registros de facturas de 7 años) con PII redactada.
- Ejecutar borrado criptográfico o anonimización de registros de bases de datos relacionales (
Paso 4: Gestión de Subprocesadores y Respuesta a Violaciones en 72 Horas
- Acuerdos de Procesamiento de Datos (DPA) y Transferencias Transfronterizas:
- Ejecutar DPAs firmados con todos los proveedores terceros que contengan Cláusulas Contractuales Estándar de la UE (SCC) y Adendas del Reino Unido.
- El Protocolo de Respuesta a Incidentes en 72 Horas:
- Si se produce una violación de datos personales, notificar a la Autoridad de Control Principal (DPA) dentro de 72 horas de haber tenido conocimiento de la violación según GDPR Art. 33.
- Si existe un alto riesgo para las personas: Notificar a los sujetos de datos afectados sin demora indebida.
Formato del Entregable: Especificación de Arquitectura de Privacidad de Datos y ROPA (PRIVACY-SPEC.md)
# Arquitectura de Privacidad de Datos y Registro ROPA: [Nombre del Producto]
## 1. Registro de Actividades de Procesamiento (ROPA - GDPR Art. 30)
| Actividad de Procesamiento | Categorías de Datos Personales | Sujetos de Datos | Base Legal | Ubicación de Almacenamiento | Límite de Retención |
|---|---|---|---|---|---|
| Autenticación de Usuario | Correo electrónico, Contraseña hasheada, IP | Usuarios Registrados | Necesidad Contractual | Postgres (AWS Dublín) | Vida de la Cuenta + 30 Días |
| Procesamiento de Pagos | Dirección de facturación, Últimos 4 dígitos de tarjeta | Clientes de Pago | Obligación Legal / Contrato | Stripe Inc. (EE. UU.) | 7 Años (Ley fiscal) |
| Análisis de Producto | ID de usuario anonimizado, Eventos de clic | Visitantes del Sitio Web | Consentimiento (Opt-in) | PostHog (Nube UE) | 12 Meses |
## 2. Lista de Subprocesadores y Mecanismos de Transferencia
- **Stripe, Inc.**: Infraestructura de pagos | DPA + Cláusulas Contractuales Estándar de la UE (SCC)
- **Amazon Web Services (AWS EMEA)**: Alojamiento en la nube | DPA + Certificación ISO 27001
## 3. Protocolo Automatizado de Eliminación por DSAR (`DELETE /api/v1/user/dsar`)
1. Invalidar sesión activa de usuario y tokens de autenticación.
2. Mezclar PII en la tabla `users`: `email = anonymized_${uuid}@deleted.local`.
3. Enviar webhook a Stripe y PostHog para activar la eliminación en sistemas descendentes.
4. Devolver 200 OK con recibo de confirmación al sujeto de datos.
## 4. Escalamiento de Notificación de Violación en 72 Horas
- DPA Principal: Comisión de Protección de Datos de Irlanda (DPC)
- Equipo de Escalamiento: Asesoría Jurídica General, CISO, CTO
- Plantilla de Notificación de Emergencia: `legal/templates/breach-notification-dpa.md`
Ejemplo Práctico: Canalización Automatizada del Derecho al Olvido
- Desafío: El usuario invocó una solicitud de supresión según GDPR Art. 17. Ingeniería enfrentó eliminación manual en 8 bases de datos y 4 herramientas SaaS de terceros.
- Solución: Se construyó un trabajador DSAR asíncrono automatizado en AWS Lambda. Tras verificar la solicitud, el trabajador realizó eliminaciones suaves que se convirtieron en anonimización criptográfica definitiva y envió webhooks de eliminación automatizados a Stripe y Segment.
- Resultado: El tiempo de respuesta de DSAR se redujo de 14 días de ingeniería manual a 90 segundos automatizados; se generó un registro de auditoría de cumplimiento completo.
Lista de Verificación
- El Registro de Actividades de Procesamiento (ROPA) documenta todos los flujos de datos personales y bases legales.
- Los banners de consentimiento de cookies requieren consentimiento explícito antes de activar rastreadores de análisis o publicidad en la UE.
- Los endpoints automatizados de exportación y eliminación DSAR funcionan y cumplen con las solicitudes dentro de 30 días.
- Se ejecutan Acuerdos de Procesamiento de Datos (DPA) firmados con SCC para todos los subprocesadores terceros.
- El procedimiento de notificación de violación legal dentro de 72 horas está documentado y probado con el liderazgo.
Anti-Patrones
- Banners de Cookies Pre-Marcados: Asumir consentimiento implícito o usar patrones oscuros engañosos que violan las resoluciones del EDPB.
- Ignorar la Eliminación en Subprocesadores: Eliminar al usuario de tu base de datos local mientras dejas su PII sin procesar en tu CRM y herramientas de análisis.
- Ocultar Incidentes de Violación: Esperar 3 meses para notificar a los reguladores sobre una fuga de datos, desencadenando las sanciones legales máximas.