Web push y RGPD: de qué es usted responsable

Esta guía no es asesoramiento legal. Soy fundador, no abogado, y su caso depende de su país, de su mercado y de lo que envíe. Hable con quien se encargue de la protección de datos donde usted trabaja.

Lo que sí puedo hacer es describir las piezas, porque mucha gente da por hecho que el diálogo de permiso del navegador se ocupa de todo. No es así.

Lo que cubre el aviso del navegador

Cuando un visitante hace clic en permitir, le da al navegador permiso para mostrar notificaciones de su sitio. Es una elección clara y activa, y es una buena base.

No le dice al visitante quién es usted en sentido legal, qué va a enviar, qué datos guarda sobre él ni quién más los trata. El navegador no puede saber nada de eso. Esas partes le tocan a usted.

Una suscripción push es un dato personal

Cuando alguien se suscribe, el navegador crea una suscripción: una dirección de endpoint en el servicio push del fabricante del navegador y unas claves para cifrar los mensajes destinados a ella. Esa suscripción identifica un navegador en un dispositivo.

Lo más seguro es tratarla como un dato personal, junto con todo lo que le asocie: qué páginas leyó el suscriptor, en qué segmentos está, su idioma o país, cuándo hizo clic.

Eso significa que se le aplican las obligaciones habituales del RGPD.

Aquello de lo que usted es responsable

Una base jurídica. Para las notificaciones de marketing suele ser el consentimiento, que el opt-in le da cuando es informado. Informado es la palabra importante. Un aviso que dice qué va a recibir la gente es mejor que uno que solo dice "Permitir".

Transparencia. Su aviso de privacidad debería decir que usa notificaciones del navegador, qué envía, qué datos guarda sobre los suscriptores, durante cuánto tiempo y qué proveedores intervienen.

Retirada fácil. La gente tiene que poder dejarlo tan fácilmente como empezó. En la práctica, bloquear las notificaciones en el navegador detiene la entrega. Asegúrese de que su aviso explica cómo hacerlo, y elimine las suscripciones que vuelven como caducadas o desaparecidas.

Minimización. Guarde lo que necesita para enviar mensajes relevantes y medirlos. Evite recoger cosas "por si acaso".

Encargados del tratamiento. Su proveedor de push trata los datos de los suscriptores en su nombre, así que necesita un contrato de encargado del tratamiento con él y debería saber qué subencargados utiliza.

Conservación y borrado. Decida cuánto tiempo guarda los datos de las personas que se dieron de baja o cuya suscripción dejó de funcionar, y sea capaz de borrar a un suscriptor cuando se lo pidan.

El fabricante del navegador forma parte de la cadena

Los mensajes web push se entregan a través del servicio push que gestiona el fabricante del navegador. El estándar Web Push cifra el contenido del mensaje entre su servidor y el navegador del suscriptor, así que el servicio push transporta un mensaje que no puede leer. Aun así, ve que se está entregando un mensaje a un endpoint.

Así funciona el web push con cualquier proveedor, y conviene saberlo cuando describa el flujo en su aviso de privacidad.

Lo que conviene evitar

• Avisos diseñados para parecer diálogos del sistema, o que ocultan lo que la gente está aceptando.
• Enviar categorías de contenido a las que la gente no se apuntó. Un suscriptor de resultados de partidos no aceptó ofertas de compras.
• Construir perfiles detallados que no necesita para enviar mensajes relevantes.
• Conservar suscripciones muertas para siempre porque la lista parece más grande.

Lo que hace EngageNudge

EngageNudge está hecho en Suecia, EU-first, con la minimización de datos como opción predeterminada. Los endpoints de suscripción push se almacenan cifrados. Los datos de cada cliente están aislados, y los clientes usan sus propias claves VAPID.

Para la ubicación guardamos el país y la región en el momento de la suscripción, no direcciones IP ni user agents en bruto. Las suscripciones que vuelven como caducadas o desaparecidas se limpian automáticamente y nunca se facturan. Las rutas de exportación de audiencia y de borrado están documentadas, y el DPA y la lista de subencargados son públicos en este sitio.

Nada de eso sustituye su propio aviso de privacidad ni su evaluación legal. Significa que la herramienta no le complica el trabajo.