Què és realment una DSAR

Una sol·licitud d'accés de l'interessat (DSAR) és el moment en què un usuari exerceix els drets que el RGPD li atorga sobre les seves dades personals. Per a un editor mòbil, aquest “interessat” és un dels vostres jugadors o usuaris, i la sol·licitud pot arribar per correu electrònic, tiquet de suport, ressenya a la botiga d'aplicacions o formulari dins l'aplicació. El desencadenant és senzill: algú vol saber què teniu sobre ell — o vol que hi actueu.

És crucial entendre que una DSAR no cal que mencioni el RGPD, faci servir la paraula “DSAR” ni segueixi cap plantilla. Un missatge d'una sola línia com “envieu-me les meves dades” o “esborreu el meu compte” posa el comptador en marxa amb la mateixa fermesa que una carta legal formal. Tractar com a vàlides només les sol·licituds d'aparença formal és una manera ràpida d'incomplir un termini.

Els drets darrere de la sol·licitud

Les DSAR agrupen diversos drets diferents, i un mateix missatge en pot invocar més d'un. Saber quin és quin determina què heu de fer realment.

• Accés — l'usuari pot demanar una còpia de les seves dades personals més el context: què recolliu, per què, amb qui ho compartiu i durant quant de temps ho conserveu.
• Supressió (“dret a l'oblit”) — eliminació de les seves dades, incloent-hi les còpies transmeses a socis publicitaris i d'analítica, subjecta a excepcions legals estrictes.
• Portabilitat — les dades que us van facilitar, retornades en un format estructurat i llegible per màquina com ara JSON o CSV perquè es puguin traslladar a un altre lloc.
• Rectificació — correcció de dades inexactes o incompletes, per exemple un correu electrònic o una regió equivocats.

Drets relacionats — l'oposició al tractament i la limitació — sovint van acompanyats d'aquests, especialment al voltant de la personalització publicitària, on un usuari pot retirar el consentiment en comptes d'eliminar el compte del tot.

Els terminis són estrictes

Heu de respondre sense dilació indeguda i dins d'un mes natural des de la recepció de la sol·licitud. El comptador comença el dia que arriba la sol·licitud, no el dia que algú del vostre equip se n'adona. Podeu prorrogar-ho dos mesos més per a sol·licituds genuïnament complexes, però només si ho comuniqueu a l'usuari dins d'aquest primer mes i n'expliqueu el motiu.

Les respostes normalment són gratuïtes. Podeu cobrar una taxa raonable o negar-vos només quan una sol·licitud sigui manifestament infundada o excessiva, i la càrrega de demostrar-ho recau en vosaltres. Per a la majoria d'editors, la suposició segura és: gratuïta i dins dels trenta dies. Incomplir el termini és exactament el tipus de descuit que els reguladors assenyalen quan avaluen sancions.

Crear un flux de treball escalable

Els editors que gestionen les DSAR amb calma les han convertit en un procés repetible en comptes d'un simulacre d'incendi. Un flux de treball viable té aquest aspecte:

• Recepció. Publiqueu un únic canal anunciat — un formulari dins l'aplicació o una adreça privacy@ dedicada — i encamineu-ho tot a través seu perquè res no es perdi a les cues de suport.
• Verifiqueu la identitat. Confirmeu que el sol·licitant és el propietari del compte, però demaneu només el que necessiteu. Exigir l'escaneig d'un passaport per consultar un identificador dins el joc ja és un problema de compliment.
• Registreu i marqueu l'hora. Anoteu immediatament la data d'arribada; aquest és el punt d'ancoratge del vostre termini.
• Localitzeu les dades. Manteniu un mapa de dades de cada repositori — el vostre backend, els registres de fallades, l'analítica, els SDK publicitaris, el CRM — que toqui dades d'usuari, indexat per un identificador estable.
• Compliu i responeu. Exporteu, esborreu o corregiu segons la sol·licitud, propagueu les supressions als encarregats del tractament i responeu en llenguatge planer.
• Tanqueu el cicle. Arxiveu la sol·licitud i la vostra resposta com a prova que vau actuar a temps.

Errors habituals

La majoria de fallades són operatives, no legals. Vigileu aquestes:

• Repositoris de dades oblidats. Els SDK de publicitat i d'atribució, els proveïdors de notificacions push i els reportadors de fallades guarden dades d'usuari. Una supressió que se'ls salti és incompleta.
• Recollir en excés durant la verificació, convertint una sol·licitud de privacitat en un risc de privacitat.
• Tractar els missatges informals com a no-sol·licituds i deixar que passi el mes.
• Cap prova de consentiment. Si un usuari discuteix que mai vau tenir una base legal per tractar les seves dades amb finalitats publicitàries, heu de poder mostrar què va acceptar i quan.

Com una CMP fa que les DSAR siguin manejables

Aquí és on la vostra capa de consentiment es guanya el sou. Una DSAR és molt més fàcil de respondre quan podeu mostrar instantàniament què va consentir un usuari, quan i sota quin marc. FlexyConsent — una CMP certificada per Google compatible amb IAB TCF 2.3 i Google Consent Mode v2 — emmagatzema un registre de consentiment i una pista d'auditoria amb marca de temps per a cada usuari. Quan arriba una sol·licitud d'accés, aquest registre esdevé una part ja preparada de la vostra resposta: les finalitats acceptades, els proveïdors implicats i la versió de l'avís mostrat. Quan arriba una sol·licitud de supressió o oposició, el mateix registre demostra que vau aturar els senyals d'anuncis personalitzats en el moment adequat. Combinar aquest historial de consentiment amb el vostre mapa de dades converteix una DSAR d'un caos en una simple consulta.

Aquest article és informació general per a editors i no és assessorament jurídic; consulteu un professional qualificat per a la vostra situació específica.

Punts clau

• Qualsevol sol·licitud — per informal que sigui — pot ser una DSAR, i el termini d'un mes, normalment gratuït, comença el dia que arriba.
• Cartografieu cada repositori de dades, inclosos els SDK de publicitat i analítica, perquè l'accés i la supressió siguin realment complets.
• Verifiqueu la identitat de manera proporcionada i registreu cada sol·licitud per demostrar que vau respondre a temps.
• Els registres de consentiment i la pista d'auditoria de FlexyConsent us donen proves instantànies i defensables per atendre les sol·licituds d'accés, supressió i oposició.