Consentimiento, exportaciones y ciclo de vida de los datos

Seudónimo no significa anónimo

El rastreador usa un identificador aleatorio de visitante del navegador en el almacenamiento de sesión, condicionado al consentimiento. No obtiene una huella digital del dispositivo ni lee automáticamente valores de formularios o texto de páginas. Un identificador de visitante sigue siendo un dato seudónimo: un sitio puede asociarlo con un pago. No describas los recorridos individuales como anónimos.

Las etiquetas explícitas de páginas, las campañas de origen, los nombres de eventos y los valores enum no deben contener datos personales ni secretos. Las comprobaciones de sintaxis y las listas de valores enum permitidos reducen la recogida accidental, pero no demuestran que una etiqueta sea anónima. El propietario del proyecto controla esas etiquetas. No se infieren ni el país ni la identidad de la persona.

Concede y retira el consentimiento de forma deliberada

Llama a reylin.consent(true) solo después de que tu propio proceso de consentimiento permita esta recogida. El rastreador nunca toma esa decisión por ti. El consentimiento no se deduce de un clic, de iniciar sesión ni de una compra. Las colas de seguimiento denegado o anterior a la carga se descartan en lugar de guardarse para reproducirlas después.

Llamar a reylin.consent(false) desconecta los observadores de vistas, borra el identificador de visitante del navegador y cancela las solicitudes pendientes cuando se admite. Una solicitud ya recibida por el servidor no puede retirarse cancelando la solicitud del navegador. La retirada detiene el seguimiento futuro en ese navegador; no borra los registros existentes del servidor ni los correos ya aceptados.

// Connect these calls to your own consent manager.
reylin.consent(true);  // only after permission
reylin.consent(false); // withdrawal: stops future collection

Qué incluye la exportación del proyecto

La exportación JSON del proyecto es una exportación de registros de analítica: ajustes de recogida del proyecto, registros de eventos consentidos, registros del libro de pagos y reembolsos. Incluye un manifiesto explícito del alcance. No es una exportación completa de la cuenta y no incluye contraseñas, credenciales de sesión, secretos de tokens de API ni credenciales cifradas de proveedores.

Las notas del almacén complementario, los informes guardados, los registros de entrega de notificaciones, el historial de recepción y reintentos de proveedores, las filas de Google en caché y los marcadores de registros de recepción eliminados quedan fuera de esa exportación. Un Viewer con acceso al proyecto puede exportar la analítica; solo un propietario puede borrar o cambiar los ajustes de recogida. Mantén privadas las exportaciones descargadas y elimina las copias cuando dejen de ser necesarias.

Exportación de la cuenta por secciones

El panel Data export inventaría por separado las secciones de cuenta y complementarias almacenadas localmente. Puede exportar las secciones admitidas en páginas JSON limitadas, incluidos la configuración privada del espacio de trabajo, los registros de entrega de informes, las filas de búsqueda en caché, las instantáneas de suscripciones y determinados metadatos de integración. Solo el propietario con sesión iniciada puede usar esta ruta de cuenta; los roles Viewer y los tokens de API de solo lectura no pueden.

Cada página incluye la cobertura y una lista explícita de exclusiones. Una base de datos ausente o con esquema incompatible se marca como no disponible, no se presenta silenciosamente como una sección vacía. Se excluyen contraseñas, hashes de credenciales, secretos de tokens, credenciales cifradas de proveedores, detalles internos de los procesos de trabajo y copias de seguridad físicas. Las notas y etiquetas escritas por usuarios pueden contener información personal, por lo que debes proteger los archivos descargados.

Esta es una exportación local con alcance limitado, no una certificación universal de exhaustividad legal. Las páginas se generan por separado mientras pueden continuar las escrituras, no como una instantánea atómica de varias bases de datos. Descarga cada página, conserva su cobertura y marca de tiempo, y utiliza el proceso de copia de seguridad sin conexión únicamente cuando un operador necesite una instantánea restaurable del sistema.

Conservación y borrado son operaciones distintas

La conservación del plan y la acción manual de conservación eliminan JSON de eventos antiguos. No eliminan registros del libro financiero ni todos los registros de recepción: pueden conservarse identificadores de eventos, horas de recepción y hashes de contenido para mantener la idempotencia y evitar consumo duplicado. Esto no promete que todos los datos seudónimos caduquen al terminar el plazo de conservación de eventos.

El borrado del proyecto elimina los registros locales y los datos complementarios integrados tras comprobar los procesos de trabajo activos. El borrado de la cuenta requiere verificación de contraseña y requisitos previos de limpieza de proveedores y facturación. Los datos del proveedor, las exportaciones descargadas, los correos aceptados previamente y las copias de seguridad requieren su propia limpieza. Un flujo separado, exclusivo del propietario, coordina la limpieza de visitantes en almacenes locales limitados; no lo sustituyas por la retirada del consentimiento ni interpretes su finalización como borrado físico o universal.

Limpieza local coordinada de visitantes

Un propietario verificado puede solicitar la limpieza de un identificador seudónimo de visitante exacto. La solicitud no identifica a una persona. Conserva un hash de supresión SHA-256 limitado al proyecto, no el identificador original, para evitar la reproducción de identificadores conocidos y la nueva vinculación de pagos. El hash sigue siendo un dato seudónimo, no cifrado ni anonimización; alguien con identificadores candidatos podría probar conjeturas.

El proyecto pausa temporalmente la nueva recogida y la conciliación financiera. Las barreras dentro de cada transacción permiten finalizar a los procesos de trabajo existentes antes de que lotes limitados eliminen eventos coincidentes y registros vinculados de recepción y flujos, borren la vinculación de visitante en pagos, limpien campos normalizados de visitante en la bandeja de entrada del proveedor y cancelen notificaciones pendientes del proyecto. Se conservan importes monetarios, monedas, identificadores financieros, marcas de tiempo, consumo agregado del cupo y etiquetas de atribución fijadas.

La limpieza puede reanudarse después de una interrupción. Un trabajo puede esperar a un envío de correo activo o incierto; los mensajes aceptados no pueden retirarse, y los envíos inciertos abandonados requieren revisión controlada por un operador, no un reenvío automático. Otros proyectos pueden continuar.

La finalización describe únicamente este alcance local concreto. Pueden permanecer registros de recepción antiguos ya depurados que no tengan índice de visitante. Las notas del propietario, la información personal incluida accidentalmente en etiquetas de atribución, las copias del proveedor, las exportaciones descargadas, las páginas libres y el WAL de SQLite y las copias de seguridad necesitan revisión separada. Los nuevos identificadores de navegador no pueden reconocerse como la misma persona sin seguimiento de identidad, que este flujo no añade.

Informes por correo y proveedores externos

Los informes se dirigen únicamente al correo verificado del propietario. El envío está desactivado de forma independiente por defecto, incluso cuando existe un adaptador de correo. La interfaz distingue mensajes en cola y aceptados por el proveedor; la aceptación no demuestra entrega en la bandeja de entrada. Desactivar los informes cancela el trabajo en cola, pero no puede retirar un mensaje ya aceptado por el proveedor. Los informes cuyo envío nunca se intentó caducan tras 24 horas. Los registros de cola en estado final pueden limpiarse lógicamente después de 30 días, en lotes limitados en segundo plano; las reservas del límite de entrega caducan después de 32 días. Un planificador detenido o sobrecargado puede retrasar la eliminación física de filas, pero no pueden enviarse informes caducados por primera vez.

El procesamiento de pagos de Stripe y la facturación de las suscripciones SaaS de Reylin son integraciones y flujos de datos separados. Desconectar una integración impide futuras lecturas locales, pero no demuestra el borrado en el proveedor. Google Search Console utiliza una propiedad autorizada explícitamente y muestra datos de búsqueda del proveedor, no ingresos observados por palabra clave.

Antes de recoger datos reales de clientes

Publica un aviso de privacidad del operador y una experiencia de consentimiento precisos para el despliegue real, indicando operador, vía de contacto, finalidades, proveedores aplicables, conservación y proceso de atención de solicitudes. Aquí no se ha inventado ninguna identidad de operador, jurisdicción, base jurídica ni contacto de soporte. Esta guía técnica no es una política legal revisada ni una certificación de cumplimiento.

Verifica los controles de acceso de producción, los ajustes desplegados de los proveedores, la conservación de copias de seguridad, el comportamiento de restauración y los procedimientos de borrado. El borrado lógico en SQLite no demuestra el borrado físico de archivos WAL, páginas libres, instantáneas o sistemas externos. El operador del despliegue debe establecer y probar estos controles del ciclo de vida.