Qué es realmente una DSAR

Una solicitud de acceso del interesado (DSAR) es el momento en que un usuario ejerce los derechos que el RGPD le otorga sobre sus datos personales. Para un editor móvil, ese “interesado” es uno de tus jugadores o usuarios, y la solicitud puede llegar por correo electrónico, ticket de soporte, reseña en la tienda de aplicaciones o formulario dentro de la app. El detonante es simple: alguien quiere saber qué información tienes sobre él — o quiere que actúes sobre ella.

Es fundamental entender que una DSAR no necesita mencionar el RGPD, usar la palabra “DSAR” ni seguir plantilla alguna. Un mensaje de una sola línea como “envíame mis datos” o “elimina mi cuenta” pone en marcha el reloj con la misma firmeza que una carta legal formal. Tratar como válidas solo las solicitudes con apariencia formal es una manera rápida de incumplir un plazo.

Los derechos detrás de la solicitud

Las DSAR agrupan varios derechos distintos, y un mismo mensaje puede invocar más de uno. Saber cuál es cuál determina lo que realmente tienes que hacer.

• Acceso — el usuario puede pedir una copia de sus datos personales más el contexto: qué recopilas, por qué, con quién los compartes y cuánto tiempo los conservas.
• Supresión (“derecho al olvido”) — eliminación de sus datos, incluidas las copias entregadas a socios de publicidad y analítica, salvo excepciones legales muy concretas.
• Portabilidad — los datos que te facilitó, devueltos en un formato estructurado y legible por máquina como JSON o CSV, para que puedan trasladarse a otro lugar.
• Rectificación — corrección de datos inexactos o incompletos, por ejemplo un correo electrónico o una región erróneos.

Derechos relacionados — la oposición al tratamiento y la limitación — suelen acompañar a estos, especialmente en torno a la personalización publicitaria, donde un usuario puede retirar el consentimiento en lugar de eliminar su cuenta por completo.

Los plazos son estrictos

Debes responder sin dilación indebida y en el plazo de un mes natural desde la recepción de la solicitud. El reloj empieza el día en que llega la solicitud, no el día en que alguien de tu equipo se da cuenta. Puedes ampliarlo dos meses más en solicitudes genuinamente complejas, pero solo si se lo comunicas al usuario dentro de ese primer mes y explicas el motivo.

Las respuestas son normalmente gratuitas. Solo puedes cobrar una tarifa razonable o negarte cuando una solicitud sea manifiestamente infundada o excesiva, y la carga de demostrarlo recae sobre ti. Para la mayoría de los editores, la suposición segura es: gratis y dentro de los treinta días. Incumplir el plazo es exactamente el tipo de fallo que los reguladores señalan al evaluar sanciones.

Crear un flujo de trabajo escalable

Los editores que gestionan las DSAR con calma las han convertido en un proceso repetible en lugar de un simulacro de incendio. Un flujo de trabajo viable tiene este aspecto:

• Recepción. Publica un único canal anunciado — un formulario dentro de la app o una dirección dedicada privacy@ — y dirige todo a través de él para que nada se pierda en las colas de soporte.
• Verifica la identidad. Confirma que quien solicita es el titular de la cuenta, pero pide solo lo necesario. Exigir el escaneo de un pasaporte para buscar un ID dentro del juego es en sí mismo un problema de cumplimiento.
• Registra y marca la fecha. Anota la fecha de llegada de inmediato; es tu punto de referencia para el plazo.
• Localiza los datos. Mantén un mapa de datos de cada almacén — tu backend, registros de fallos, analítica, SDK publicitarios, CRM — que toque datos de usuario, indexado por un identificador estable.
• Atiende y responde. Exporta, elimina o corrige según lo solicitado, propaga las supresiones a los encargados del tratamiento y responde en un lenguaje claro.
• Cierra el ciclo. Archiva la solicitud y tu respuesta como prueba de que actuaste a tiempo.

Errores habituales

La mayoría de los fallos son operativos, no legales. Vigila estos:

• Almacenes de datos olvidados. Los SDK de publicidad y atribución, los proveedores de notificaciones push y los informadores de fallos almacenan datos de usuario. Una supresión que los omita está incompleta.
• Recopilación excesiva durante la verificación, que convierte una solicitud de privacidad en un riesgo de privacidad.
• Tratar los mensajes informales como no solicitudes y dejar que el mes transcurra.
• Falta de prueba del consentimiento. Si un usuario discute que alguna vez tuviste una base legal para tratar sus datos con fines publicitarios, necesitas mostrar a qué consintió y cuándo.

Cómo un CMP hace manejables las DSAR

Aquí es donde tu capa de consentimiento demuestra su valor. Una DSAR es mucho más fácil de responder cuando puedes mostrar al instante a qué consintió un usuario, cuándo y bajo qué marco. FlexyConsent — un CMP certificado por Google compatible con IAB TCF 2.3 y Google Consent Mode v2 — almacena un registro de consentimiento y un rastro de auditoría con marca de tiempo para cada usuario. Cuando llega una solicitud de acceso, ese registro se convierte en una parte ya preparada de tu respuesta: las finalidades aceptadas, los proveedores implicados y la versión del aviso mostrado. Cuando llega una solicitud de supresión u oposición, ese mismo registro demuestra que detuviste las señales de publicidad personalizada en el momento adecuado. Combinar ese historial de consentimiento con tu mapa de datos convierte una DSAR de un caos en una simple consulta.

Este artículo es información general para editores y no constituye asesoramiento legal; consulta a un profesional cualificado para tu situación concreta.

Conclusiones clave

• Cualquier solicitud — por informal que sea — puede ser una DSAR, y el plazo de un mes, normalmente gratuito, empieza el día en que llega.
• Mapea cada almacén de datos, incluidos los SDK de publicidad y analítica, para que el acceso y la supresión sean realmente completos.
• Verifica la identidad de forma proporcionada y registra cada solicitud para probar que respondiste a tiempo.
• Los registros de consentimiento y el rastro de auditoría de FlexyConsent te dan pruebas instantáneas y defendibles para atender solicitudes de acceso, supresión y oposición.