Onde se gardan realmente os datos dos teus clientes? O que o teu provedor web non che dixo

Cando alguén lle pregunta a un responsable de negocio onde se gardan os datos dos seus clientes, a resposta habitual é o nome do provedor de aloxamento: «En SiteGround», «En AWS», «No servidor que xestiona a nosa axencia». É unha resposta parcialmente correcta e, sobre todo, incompleta.

Os datos dos usuarios dunha web típica en España non viven nun só sitio. Viven no servidor de aloxamento, pero tamén en Google Analytics, no CRM integrado, no servizo de email márketing, no píxel de Meta, no CDN que serve os arquivos, nos logs do servidor e no formulario de contacto de terceiros. Cada un deses sistemas ten a súa propia política de privacidade, os seus propios servidores e as súas propias implicacións legais.

⚠️ Este artigo é informativo e non constitúe asesoramento xurídico. Para aplicar estas consideracións ao teu caso concreto, consulta cun especialista en protección de datos.

A pregunta que poucas empresas se fan sobre as súas propias webs

O RXPD esixe que as empresas saiban que datos persoais tratan, con que finalidade, onde se almacenan e quen ten acceso a eles. É a base do rexistro de actividades de tratamento que toda organización que trata datos persoais debe manter.

Na práctica, moitas empresas teñen unha política de privacidade que menciona as categorías de datos que recollen e os dereitos dos usuarios, pero non teñen un mapa real de todos os sistemas que reciben eses datos. A política de privacidade describe a intención. O mapa de datos describe a realidade. E a miúdo non coinciden.

O mapa real dunha web española típica

Para entender a onde van os datos dos usuarios dunha web, hai que seguir o rastro de cada interacción desde que o usuario chega ata que se vai. Este é o mapa dunha web corporativa con formulario de contacto, Google Analytics e un píxel de Meta, unha configuración moi habitual en empresas medianas españolas.

Punto 1: o servidor de aloxamento

É o sistema que a maioría dos propietarios coñecen. A base de datos do CMS (WordPress, na maioría dos casos), os arquivos subidos, os datos de rexistro de usuarios se os hai e os formularios de contacto se os xestiona o propio CMS. Segundo o provedor de aloxamento, os servidores poden estar na UE (OVH, Arsys, moitos provedores europeos) ou fóra (algúns plans de Bluehost, HostGator e outros provedores norteamericanos usan servidores nos EUA).

Os logs do servidor (rexistros de cada petición HTTP, incluído o enderezo IP do visitante, a páxina visitada, o navegador e o sistema operativo) tamén se almacenan aquí e conteñen datos persoais segundo o RXPD. A maioría das configuracións de servidor por defecto conservan estes logs durante meses sen que ninguén o decidise explicitamente.

Punto 2: Google Analytics

Cando se instala Google Analytics nunha web, cada visita envía datos aos servidores de Google. Eses datos inclúen o enderezo IP do visitante (que Google Analytics 4 non garda, pero que recibe e que segue a ser un dato persoal na orixe), o comportamento de navegación, o dispositivo, a localización aproximada e os eventos configurados.

Google Analytics procesa eses datos en servidores que poden estar nos EUA, o que implica unha transferencia internacional de datos. Google ten mecanismos de cumprimento do RXPD documentados (está adherida ao Marco de Privacidade de Datos UE-EUA e ofrece Cláusulas Contractuais Tipo), pero eses mecanismos deben estar reflectidos na política de privacidade e no rexistro de actividades de tratamento da empresa. Moitas webs teñen Google Analytics instalado sen documentar esa transferencia internacional.

Nos últimos anos, varias autoridades europeas de protección de datos (como as de Austria, Francia ou Italia) consideraron contrarios ao RXPD usos concretos de Google Analytics por non ofrecer garantías suficientes nas transferencias de datos aos EUA.

Punto 3: o píxel de Meta (Facebook e Instagram)

O píxel de Meta é un fragmento de código que, instalado nunha web, envíalle a Meta información sobre o comportamento dos visitantes: que páxinas visitan, que accións realizan, se completan unha compra ou un formulario. Meta usa esa información para optimizar os anuncios da empresa e para o seu propio sistema de publicidade.

Os servidores de Meta están maioritariamente nos EUA, coas mesmas implicacións de transferencia internacional ca Google Analytics. Ademais, o píxel de Meta pode cruzar os datos do visitante co seu perfil de Facebook ou Instagram se o visitante ten a sesión iniciada nesas plataformas, o que engade unha capa de tratamento de datos que vai alén da analítica.

Punto 4: o servizo de email márketing

Cando un usuario se subscribe á newsletter ou deixa o seu correo nun formulario, ese dato envíase habitualmente de forma automática á plataforma de email márketing integrada: Mailchimp, Brevo (antes Sendinblue), ActiveCampaign, HubSpot. Cada unha destas plataformas ten os seus servidores en localizacións distintas, con implicacións distintas para a transferencia internacional de datos.

Mailchimp, por exemplo, ten os seus servidores principais nos EUA e apóiase en mecanismos como as Cláusulas Contractuais Tipo para cumprir o RXPD nas transferencias desde a UE. Brevo ten servidores na UE e é unha opción que algúns responsables de protección de datos prefiren precisamente por iso. A elección da plataforma de email márketing ten implicacións de cumprimento do RXPD que raramente se teñen en conta cando se toma a decisión.

Punto 5: o CDN

Un CDN (Content Delivery Network, rede de distribución de contidos) é un sistema de servidores distribuídos xeograficamente que serve os arquivos estáticos da web (imaxes, CSS, JavaScript) desde o servidor máis próximo ao visitante. Cloudflare, o CDN máis usado do mundo, ten nodos en máis de 300 cidades de todo o mundo.

O CDN rexistra as IP dos visitantes para optimizar o encamiñamento. Segundo a configuración, tamén pode rexistrar información sobre as peticións para análises de rendemento e seguridade. Son datos persoais segundo o RXPD que viaxan por unha infraestrutura distribuída globalmente.

Punto 6: os formularios de terceiros

Moitas webs usan ferramentas de terceiros para os formularios de contacto, os chats en directo ou os sistemas de reservas: Typeform, Calendly, Tally, Intercom. Cada unha destas ferramentas recibe os datos que o usuario introduce e almacénaos nos seus propios sistemas, que xeralmente están fóra da UE.

O problema específico dos formularios de terceiros é que os datos do usuario van directamente á plataforma externa, sen pasar polo servidor do cliente, o que fai que o cliente sexa potencialmente menos consciente desa transferencia e das implicacións que ten.

O problema dos servidores fóra da UE

Que os servidores estean fóra da UE non é automaticamente un problema legal, pero si implica requisitos adicionais segundo o RXPD. Desde a anulación do Privacy Shield en 2020 (sentenza Schrems II do Tribunal de Xustiza da UE), as transferencias de datos persoais a países de fóra do Espazo Económico Europeo requiren garantías específicas.

O mecanismo máis habitual son as Cláusulas Contractuais Tipo aprobadas pola Comisión Europea, que a maioría dos grandes provedores tecnolóxicos estadounidenses adoptaron, e desde 2023 súmase o Marco de Privacidade de Datos UE-EUA para as empresas adheridas a el. Pero ter un mecanismo non abonda: cando a transferencia se apoia nas cláusulas, a empresa que transfire os datos ten que avaliar o impacto da transferencia e documentar que as garantías son adecuadas.

A solución non é necesariamente cambiar de provedor. É documentar correctamente as transferencias que existen, verificar que os provedores teñen os mecanismos de cumprimento axeitados e reflectilo na política de privacidade e no rexistro de actividades de tratamento.

Que lle podes esixir ao teu provedor web

O teu provedor web (a axencia ou o freelance que xestiona a túa presenza dixital) debería ser quen de responderche con precisión a estas preguntas:

• Onde están os servidores do aloxamento? Están dentro da UE?
• Que servizos de terceiros están integrados na web e que datos recibe cada un?
• Que datos se rexistran nos logs do servidor e durante canto tempo?
• Como está configurado Google Analytics respecto ao consentimento, á conservación de datos e ás transferencias internacionais?
• Hai formularios ou ferramentas de terceiros que reciben datos de usuarios directamente?

Un provedor que non pode responder a estas preguntas non ten o nivel de criterio necesario para xestionar correctamente a privacidade dos datos dos teus clientes.

Checklist de auditoría para non técnicos

Esta checklist permite identificar os sistemas que reciben datos de usuarios da túa web sen necesidade de coñecementos técnicos:

• Sabes en que país están os servidores do teu provedor de aloxamento?
• Tes Google Analytics instalado? Está configurado respectando o consentimento e coas condicións de tratamento de datos de Google aceptadas?
• Tes o píxel de Meta instalado? Está documentado na túa política de privacidade e no rexistro de actividades de tratamento?
• Usas unha plataforma de email márketing? Sabes onde están os seus servidores?
• Usas un CDN? Sabes que datos rexistra e durante canto tempo?
• Hai formularios, chats ou ferramentas de reservas de terceiros na túa web? A onde van os datos que recollen?
• A túa política de privacidade menciona todos os servizos de terceiros que reciben datos dos teus usuarios?
• Tes un rexistro de actividades de tratamento que inclúa todas estas transferencias?

Se non podes responder con seguridade a 3 ou máis destas preguntas, é o momento de facer unha auditoría dos sistemas que tratan datos na túa web.

FAQ

Usar Google Analytics co modo de consentimento activado resolve todos os problemas?

O modo de consentimento de Google Analytics reduce de forma importante o tratamento de datos de usuarios que non deron o seu consentimento, pero non elimina todas as implicacións da transferencia internacional de datos. É unha mellora importante, pero segue a ser necesario documentar a transferencia e ter ben configuradas as condicións de tratamento de datos con Google.

Hai alternativas a Google Analytics con servidores na UE?

Si. Matomo (autoaloxado ou en servidores europeos), Plausible (servidores na UE, código aberto), Fathom Analytics (opción de servidores na UE) e Pirsch son alternativas que procesan os datos na UE e que algúns responsables de protección de datos prefiren precisamente para evitar as complexidades das transferencias internacionais.

Quen é responsable de cumprir estas obrigas: a empresa ou o seu provedor web?

A empresa é a responsable do tratamento segundo o RXPD: é quen decide que datos se tratan, con que finalidade e que ferramentas se usan. O provedor web é o encargado do tratamento: actúa seguindo as instrucións do responsable. A responsabilidade principal ante a AEPD recae sobre a empresa, aínda que o provedor ten obrigas propias como encargado e pode pasar a ser considerado responsable se trata os datos á marxe das instrucións recibidas.

⚠️ Este artigo é informativo e non constitúe asesoramento xurídico. Para unha auditoría completa dos sistemas que tratan datos na túa web, consulta cun especialista en protección de datos.

En Baqueiro documentamos todos os servizos de terceiros que se integran nos proxectos que desenvolvemos e incluímolos no mapa de datos que lle entregamos ao cliente. Se non tes claro que sistemas están a recibir datos dos usuarios da túa web, podemos axudarche a facer ese mapa.