Privacidad de datos y cumplimiento

Joryio incluye herramientas integradas de cumplimiento del RGPD y la CCPA para gestionar solicitudes de interesados, configurar la privacidad y mantener registros de auditoría normativos.

Solicitudes de interesados (DSR)

Las solicitudes de interesados permiten procesar solicitudes de supresión - derecho al olvido - y de exportación de datos - portabilidad - para una persona concreta.

Crear una DSR

1. Abre la página Solicitudes de interesados - /compliance/dsr en el panel.
2. Haz clic en Nueva solicitud.
3. Introduce el ID de usuario del interesado.
4. Elige el tipo de solicitud:
   • Exportar: reúne todos los datos personales de todos los sistemas en un archivo JSON descargable.
   • Suprimir: elimina o anonimiza permanentemente todos los datos personales de todos los sistemas.
5. Haz clic en Crear solicitud.

También puedes crear DSR directamente desde el perfil de una persona con los botones Exportar datos o Eliminar datos.

El ID de usuario debe pertenecer a alguien de quien este espacio de trabajo tenga datos: el ID interno o externo de un perfil, un perfil que ya se eliminó o una persona cuyos eventos siguen almacenados. Cualquier otro ID se rechaza (404). Una organización puede tener hasta 50 solicitudes pendientes o en proceso a la vez; a partir de ahí, una nueva solicitud se rechaza (429) hasta que terminen algunas.

Procesamiento de DSR

Cada DSR se procesa de forma asíncrona en todos los almacenes de datos:

Almacén	Datos afectados
Almacén de perfiles	Perfil de usuario, dispositivos, alias, suscripciones a listas y ejecuciones de canvas
Almacén de interacción	Mensajes y conversaciones de WhatsApp, mensajes SMS, impresiones in-app y asignaciones de variantes
Almacén de eventos de analítica	Eventos de analítica - incluidas aperturas y clics - y mensajes renderizados
S3	Archivos de exportación y archivos de pases Wallet

Los pasos se registran individualmente, por lo que puedes seguir el progreso en tiempo real en la página de detalle de la DSR.

Seguimiento de plazos

Los plazos se calculan automáticamente según la normativa aplicable:

• RGPD: 30 días desde la creación de la solicitud.
• CCPA: 45 días desde la creación de la solicitud.

Las solicitudes vencidas se marcan a diario y se registran en la auditoría de cumplimiento.

Descargar exportaciones

Para DSR de exportación, cuando el procesamiento haya terminado:

1. Ve a la página de detalle de la DSR.
2. Haz clic en Descargar exportación.
3. El archivo sigue disponible 24 horas después de procesarse; cada enlace de descarga generado es válido durante 1 hora.

El archivo de exportación es un archivo JSON comprimido con gzip que contiene todos los datos personales organizados por almacén.

Ajustes de privacidad

Abre Privacidad de datos y cumplimiento - /settings/privacy en el panel - para configurar los ajustes de privacidad de la organización.

Estos ajustes se aplican a todos los espacios de trabajo de tu organización - acortar un periodo de conservación elimina datos en todos ellos - por eso cambiarlos requiere el permiso de nivel de empresa Organization Settings: Write (org_settings:write). Cualquiera con Compliance: Read puede verlos.

Normativa predeterminada

Define el marco normativo predeterminado - RGPD o CCPA - que se aplica a las nuevas DSR. Esto determina el plazo predeterminado.

Conservación de datos

Configura cuánto tiempo se conserva cada tipo de dato:

Ajuste	Descripción	Predeterminado
Conservación de seguimiento	Aperturas y clics de mensajes	Igual que los eventos. Define de 7 a 365 días para eliminar antes las aperturas y clics - solo puede acortar, nunca ampliar
Conservación del registro de auditoría	Entradas de auditoría de cumplimiento	365 días. Define de 30 a 3650 días; la limpieza nocturna lo aplica. Las acciones de administración y los inicios de sesión nunca se conservan menos de 365 días
Conservación de archivos de exportación	Archivos de exportación DSR en S3	24 horas
Conservación de perfiles anónimos	Perfiles anónimos inactivos	365 días. Depende de tu plan - para cambiarlo contacta con Customer Success. Ver abajo

La conservación de eventos de analítica (730 días por defecto) la fija Joryio para tu plan y no se edita en esta página.

Las solicitudes que envías al soporte de Joryio son registros propios de Joryio, no datos del espacio de trabajo, así que no se configuran aquí - consulta cuánto tiempo conservamos las solicitudes de soporte.

Conservación de perfiles anónimos

Los visitantes que nunca has identificado también tienen un perfil, para que les lleguen los mensajes in-app, los eventos y el push. La mayoría visita una sola vez. Un proceso nocturno elimina un perfil anónimo solo si se cumplen todas estas condiciones:

• nunca se identificó - sin email, teléfono ni ID de usuario;
• no tuvo actividad (ningún evento ni cambio de perfil) durante 365 días;
• no tiene ningún dispositivo activo, así que se conserva a quien todavía pueda recibir push o in-app;
• no está en un journey activo o en espera, ni en ninguna lista.

Sus eventos permanecen en la analítica con el ID anónimo y caducan según la conservación de eventos. Cada ejecución nocturna queda registrada en el registro de auditoría de cumplimiento, con cuántos perfiles se eliminaron, cuántos se conservaron y por qué. El periodo es de 365 días por defecto y depende de tu plan. No se cambia en esta página - para cambiarlo, o para conservar los perfiles anónimos siempre, contacta con Customer Success.

Limpieza de contactos inactivos

Desactivada salvo que la pidas. Cuando Customer Success la activa en tu plan, un proceso nocturno elimina un contacto identificado solo si se cumplen todas estas condiciones: ningún canal puede alcanzarlo con ninguna configuración de campaña (su email está dado de baja, tiene un rebote permanente o no existe; su teléfono está dado de baja en SMS, WhatsApp y Viber, o no existe; no tiene ningún dispositivo activo), no tuvo actividad durante los días acordados (180 como mínimo) y no está en un journey activo ni suscrito a una lista. Un contacto cuyo estado simplemente nunca se definió cuenta como alcanzable y se conserva. Antes de eliminar un contacto, su baja o rebote se añade a tu lista de supresión, para que importar de nuevo la misma dirección no pueda volver a suscribirlo.

Cuando tu cuenta finaliza

Cuando tu suscripción termina, no les pasa nada a tus datos. Después, el equipo de Joryio confirma contigo que la cuenta ha finalizado; hasta entonces tus datos se quedan como están.

Una vez confirmado el final de la cuenta:

1. El mismo día, los propietarios y administradores de la cuenta, y el email de facturación de tus datos de facturación, reciben un email: la cuenta ha finalizado, y la fecha en que se eliminarán sus datos.
2. 7 días antes de que se cierre la cuenta, un recordatorio.
3. 14 días después de la confirmación, la cuenta se cierra: pasa a ser de solo lectura, sus claves de API se revocan y se detiene la recogida de datos.
4. 30 días después, todos sus datos - contactos, eventos, mensajes, archivos y ajustes - se eliminan de forma permanente.

Por tanto, tus datos se eliminan en un plazo de 60 días desde que se confirma el final de tu cuenta. Las copias de seguridad caducan después: las de la base de datos en 7 días.

Mientras haya una factura sin pagar o un pago todavía pendiente, no se da ninguno de estos pasos; continúan cuando se resuelve, siempre con al menos 7 días de aviso de la nueva fecha.

Para conservar tu cuenta y sus datos, escríbenos antes de que se cierre: cancelamos la eliminación o la aplazamos a una fecha posterior. Una vez cerrada la cuenta, todavía se puede restaurar hasta que se eliminen sus datos.

Comportamiento de supresión

• Anonimizar en lugar de eliminar: al activarlo, una supresión conserva las filas de eventos y mensajes, pero las desidentifica de forma irreversible. El identificador de usuario se sustituye por un token aleatorio no reversible y se eliminan todos los campos identificativos - properties de eventos e ID anónimos, de sesión o de dispositivo. Solo permanecen dimensiones de analítica no personales - nombre del evento, marca de tiempo, campaña y canal, por lo que la analítica agregada se conserva sin que la persona pueda volver a identificarse. Al desactivarlo, los registros se eliminan de forma definitiva.
• Conservar estadísticas agregadas (complemento Enterprise): para clientes que requieren una eliminación definitiva real - no anonimización - pero no quieren que los paneles pierdan datos, conserva filas de eventos depuradas y desidentificadas para que sobrevivan los totales de campaña y los embudos, mientras se eliminan por completo todos los almacenes de PII: perfiles, mensajes y dispositivos.

Complemento Enterprise

Conservar estadísticas agregadas es un complemento Enterprise. Solo el equipo de Joryio puede activarlo para tu organización desde nuestra consola de administración; no es autoservicio. Hasta que se active, el interruptor permanecerá deshabilitado en esta página. Cuando lo activemos, podrás decidir desde aquí si aplicarlo a cada supresión. Contáctanos para añadirlo a tu plan.

tip

La anonimización ya conserva la analítica agregada y cumple la supresión, por lo que la mayoría de las organizaciones no necesita el complemento de eliminación definitiva. Elígelo solo si una política o regulador exige expresamente eliminar los datos en lugar de anonimizarlos.

Contacto de privacidad (DPO)

Configura los datos de contacto del responsable de protección de datos:

• Nombre y email del DPO: se muestran en los registros de cumplimiento.
• URL de política de privacidad: enlace a la política de privacidad de tu organización.

Registro de auditoría de cumplimiento

Todas las acciones relacionadas con cumplimiento se registran en una auditoría inmutable, accesible desde la página Solicitudes de interesados. Las entradas aparecen en la página de detalle de cada DSR.

El registro muestra las entradas del espacio de trabajo actual. Las entradas de nivel de organización, como los cambios en los ajustes de privacidad, solo se muestran a los miembros con Organization Settings: Write.

Se registran, entre otras, estas acciones:

• Creación, procesamiento, finalización, error y cancelación de DSR.
• Descargas de archivos de exportación.
• Cambios en los ajustes de privacidad.
• Avisos de plazos vencidos.
• Ejecuciones de conservación de perfiles anónimos (cuántos se eliminaron y cuántos se conservaron).
• Ejecuciones de limpieza de contactos inactivos (cuántos se eliminaron y cuántos se conservaron).

Importante

El registro de auditoría de suscripciones nunca se elimina durante solicitudes de supresión - artículo 17(3)(b) del RGPD. En su lugar, los identificadores de usuario se anonimizan para conservar la prueba de consentimiento mientras se elimina la PII.

Pedidos de la tienda

Una supresión nunca elimina los pedidos de la tienda (Shopify, WooCommerce, Magento o la API de pedidos), para que los totales de ingresos sigan siendo correctos. Quita de cada pedido de la persona lo que la identifica - nombre, direcciones y teléfono, el ID de cliente de la tienda, la nota del pedido, el enlace de estado del pedido y el número de seguimiento - y desvincula los pedidos del contacto. Los importes, los productos y los códigos de cupón se mantienen, y también los campos personalizados que envías en el metadata de un pedido a través de la API - no pongas datos personales en ellos.

Marcar datos como personales (PII)

Los datos personales se almacenan con normalidad y se ocultan al leerlos a los usuarios sin el permiso pii:view. Marcar un campo no lo elimina ni cambia lo que puedes hacer con él: puedes seguir segmentando y orientando por él igual que antes. Controla quién ve los valores.

Qué es personal por defecto

Los campos que define la plataforma están cubiertos sin configuración: email, phone, firstName, lastName, campos de dirección, date_of_birth, postal_code, ip_address, national_id y similares. La coincidencia ignora el formato, así que first_name y firstName son el mismo campo.

No adivinamos más allá de esa lista. Un campo llamado plan_name o emailSubject son datos corrientes: adivinar por el nombre se equivoca en ambas direcciones, y un campo marcado por error oculta sus valores a tu propio equipo sin ninguna ganancia de privacidad.

Marcar tus propios campos

• Atributos: Configuración → Diccionario de datos, interruptor PII en la fila.
• Propiedades de eventos: Configuración → Diccionario de datos, abre un evento y usa el interruptor PII de la propiedad.

email y phone no se pueden desmarcar: son las direcciones a las que entrega la plataforma.

Qué cambia

Dónde	Efecto
Diccionario de datos y Event Explorer	valores ocultos sin pii:view
Segmentos y orientación	sin cambios
Personalización de campañas	sin cambios
Contexto del asistente de IA	los valores no se envían
Modelos predictivos	el campo se excluye del entrenamiento

La última fila se comporta distinto a propósito. La visualización se puede deshacer; un valor aprendido por un modelo no. Por eso los campos personales por naturaleza quedan fuera del entrenamiento aunque los desmarques, y los identificadores como externalId nunca se usan para entrenar aunque se muestren con normalidad.

La marca «ID?»

Algunas propiedades llevan una pequeña marca ID?: sus valores se comportan como un identificador (un valor nuevo en casi cada evento, o aproximadamente uno por persona). Es un aviso para revisar, no una decisión automática.

Acciones rápidas desde el perfil de usuario

En el perfil de cualquier persona encontrarás dos botones de cumplimiento:

• Exportar datos: crea una DSR de exportación para esa persona.
• Eliminar datos: crea una DSR de supresión - requiere confirmación.

Son accesos directos que crean solicitudes DSR con el mismo flujo de procesamiento.