Tus datos, en lenguaje claro (el RGPD para participantes de concursos)

Nos llega la misma pregunta casi cada semana. Suele caer a las 11 de la noche, de alguien que se apuntó al concurso de fotos de una marca polaca hace tres días y ahora se pregunta qué pasará con su número de teléfono si nos contrata para lanzar una pequeña campaña de anuncios que apunte a su página de participación.

Buena pregunta. Aquí va la respuesta honesta.

Esta página explica qué recopilamos, qué nos negamos a recopilar, dónde viven los datos, cuánto tiempo los guardamos y cómo haces que desaparezcan. Nada de jerga legal porque sí. Somos una pequeña agencia en Minsk que trabaja con participantes de concursos radicados en la UE, así que el RGPD nos aplica cuando tratamos tus datos. Y actuamos como tal.

La versión corta

Nos das cuatro cosas: tu nombre, un correo, un enlace a tu participación en el concurso y un registro de pago. Eso es lo básico. A veces algo más, si nos pides que escribamos textos que mencionen tu biografía. Nunca la contraseña de tu plataforma de concursos. Nunca una hoja de cálculo con los contactos de tus amigos. Guardamos los datos durante 30 días después de que termine la campaña, y luego los borramos con una tarea programada que se ejecuta cada domingo a las 03:00, hora de Minsk. Si quieres que desaparezcan antes, escríbenos y se van en 72 horas.

Esa es toda la historia. El resto de esta página es el detalle aburrido que hace que la versión corta sea de fiar.

Qué recopilamos de verdad de ti

Cuando rellenas el formulario en /contact.html o nos envías un mensaje por Telegram, acabamos teniendo lo siguiente:

• Nombre y dirección de correo. Para poder responderte y enviarte facturas.
• La URL de tu participación en el concurso. Para saber a dónde enviar el tráfico.
• La página pública de bases del concurso. La leemos. No lanzaremos una campaña para un concurso cuyas bases prohíban la promoción pagada y, sí, aproximadamente 1 de cada 6 encargos que recibimos terminan aquí.
• Tu país y ciudad, normalmente deducidos de tu zona horaria o preguntados directamente, porque la segmentación de anuncios necesita un ancla geográfica.
• Registro de pago. Un ID de transacción, el importe, la fecha, el método. No almacenamos números de tarjeta: de eso se encarga nuestro procesador de pagos, y nunca vemos el PAN completo.
• A veces: una breve biografía o unas frases que escribes sobre ti, si estamos redactando textos de anuncios para ti. Esto es opcional y tú controlas qué incluye.

Y ya está. La lista es corta a propósito.

Qué nos negamos a recopilar, jamás

Esta es la parte que la mayoría de las agencias se salta, así que vamos a ser directos.

1. Las credenciales de acceso a tu plataforma de concursos. Usuario, contraseña, códigos de doble factor, "solo la contraseña un momentito"... no. Si alguien te pide esto, no está lanzando una campaña de marketing, está cometiendo un fraude. Hemos rechazado a clientes que insistían en darnos sus accesos. Con educación, pero con firmeza.
2. Los datos personales de tus amigos o tu familia. Nada de listas de números de teléfono, nada de exportaciones de correos de tus contactos, nada de hojas de cálculo del tipo "aquí está todo el que podría votar por mí". Las audiencias personalizadas creadas a partir de listas de contactos que no controlas son una violación de las políticas de Meta y un problema del Artículo 6 del RGPD sin una base legal limpia. No las subiremos.
3. Documentos que no necesitas compartir. Escaneos de pasaporte, documentos de identidad, facturas de suministros. No los necesitamos para nada. Si un proveedor de pagos te pide KYC, eso es entre tú y el proveedor: nosotros no estamos en esa cadena.
4. Datos de navegación de cualquiera que no seas tú. No instalamos píxeles en páginas de concursos que no son nuestras. No raspamos listas de votantes. No compramos datos de "interés en concursos" a intermediarios.

Si negarnos a hacer cualquiera de estas cosas nos cuesta tu negocio, estamos en paz con ello. Lee nuestros límites en detalle en /services.html.

La base legal en la que nos apoyamos (el Artículo 6, desmitificado)

El RGPD dice que necesitamos un motivo legal para tratar tus datos. Hay seis. Nosotros nos apoyamos en dos.

Artículo 6(1)(b) — ejecución de un contrato. Nos contrataste para lanzar una campaña. Para hacerlo, obviamente necesitamos tu correo y la URL de tu participación. Esta base cubre el núcleo operativo del encargo.

Artículo 6(1)(f) — intereses legítimos. Para cosas como mantener un registro de auditoría de 30 días sobre qué creatividades de anuncios se publicaron (para poder responder preguntas si Meta o Google señalan algo), nos apoyamos en el interés legítimo, ponderado frente a tus derechos. Documentamos esta prueba de ponderación una vez, en 2024, y la releemos cada primavera.

No usamos el consentimiento del Artículo 6(1)(a) como nuestra base principal, porque el consentimiento bajo el RGPD tiene que darse libremente y poder retirarse con facilidad, y mezclarlo con un servicio de pago enturbia eso. El consentimiento es la base adecuada para cosas como un boletín, que no tenemos. El texto oficial está en eur-lex.europa.eu/eli/reg/2016/679/oj por si quieres leer el Artículo 6 por tu cuenta. Es más corto de lo que la gente cree.

Dónde viven los datos

Esto importa porque al RGPD le preocupan las transferencias internacionales. Aquí está la verdad:

• Correspondencia por correo electrónico: en un buzón alojado en la UE.
• Notas de proyecto y encargos: en un disco cifrado en una estación de trabajo en Minsk, con copia de seguridad cifrada externa en Fráncfort.
• Facturas: en nuestro software de contabilidad, que está alojado en la UE.
• Datos de las plataformas de anuncios: obviamente, en los servidores de Meta, Google y TikTok. No controlamos dónde los ponen; aceptaste sus términos cuando usaste esas plataformas. Minimizamos lo que les enviamos.

Bielorrusia no es un país con "adecuación" según el RGPD. Lo sabemos. Por eso usamos Cláusulas Contractuales Tipo con subencargados radicados en la UE y documentamos nuestras actividades de tratamiento. Si quieres la documentación, te la enviamos. Pocos la piden, pero la oferta sigue en pie.

Conservación: 30 días, y luego desaparece

La mayoría de las agencias guardan los datos de clientes para siempre "por si vuelves". Nosotros no. Nuestra conservación por defecto es de 30 días después de que termine una campaña.

Esto es lo que pasa el día 31. Una tarea programada en nuestro servidor se ejecuta cada domingo a las 03:00, hora de Minsk. Revisa cada proyecto marcado como "completado" y cuenta los días desde el cierre de la campaña. Si la cuenta supera los 30, la carpeta del proyecto se mueve a un directorio de cuarentena. Siete días después, otra tarea borra la cuarentena. Así que, en la práctica, tus datos desaparecen en un plazo de 30 a 37 días, según el día de la semana en que terminó tu campaña.

Excepciones que guardamos más tiempo:

• Facturas. La ley fiscal bielorrusa exige 5 años. No somos abogados y esto no es asesoramiento: es lo que nos dice nuestro contable, y lo cumplimos.
• Registros de reembolsos. Los mismos 5 años, el mismo motivo. La propia política de reembolsos está en /refund.html.
• Cualquier cosa que nos pidas guardar explícitamente, por ejemplo porque quieres que lancemos una segunda campaña el mes que viene. En ese caso te pedimos que lo confirmes por escrito y programamos un recordatorio en el calendario para la nueva fecha de conservación.

Si nos pides borrar todo antes —incluyendo lo que normalmente guardaríamos por motivos legales— borraremos lo que legalmente podamos y te diremos exactamente qué no podemos, y por qué. Sin fingir.

El derecho de supresión, mecánicamente

El Artículo 17 del RGPD te da derecho a que se supriman tus datos personales. La mayoría de los artículos sobre esto lo hacen sonar como un calvario burocrático. Con nosotros no lo es.

Envías un correo a la dirección que aparece en /contact.html con el asunto "Solicitud de supresión" o su equivalente en el idioma que prefieras. Te respondemos en un día laborable. En un plazo de 72 horas desde que confirmamos tu identidad (solo necesitamos que lo envíes desde la dirección de correo que tenemos registrada, o que confirmes una referencia de pago), nosotros:

1. Borramos la carpeta de tu proyecto del almacenamiento de trabajo.
2. Purgamos la entrada de nuestra copia de seguridad cifrada en la siguiente rotación de copias, que ocurre cada noche.
3. Pausamos de inmediato cualquier campaña de anuncios activa y eliminamos la URL de tu participación de los conjuntos de anuncios en un plazo de 24 horas.
4. Pedimos a nuestros subencargados (el buzón de la UE, el software de contabilidad) que borren lo que tienen, donde la ley lo permita.
5. Te enviamos una confirmación por escrito que detalla qué se borró y qué tuvimos que conservar, con la base legal para conservarlo.

El RGPD permite formalmente hasta 30 días, ampliables a 90 en casos complejos. Para el tipo de trabajo que hacemos, no necesitamos 30 días. Si alguna vez nos oyes decir "necesitamos más tiempo", es porque nos topamos con algo genuinamente complicado y te lo explicaremos.

Una limitación honesta. Si los datos de tu campaña ya han sido ingeridos por los sistemas de Meta o de Google, no podemos meter la mano dentro de sus bases de datos y sacarlos. Tienes que solicitarles la supresión a ellos directamente. El proceso de Meta está en facebook.com/help/contact/540977946302970; el de Google es a través de la configuración de privacidad de tu cuenta de Google. Podemos darte el enlace directo relevante para tu situación si nos lo pides. Lo hemos hecho para 11 clientes en los últimos 18 meses. Funciona.

En qué nos equivocamos una vez

Sección de honestidad. A principios de 2024 mantuvimos el encargo de un proyecto en un borrador de correo durante seis semanas después de que terminara la campaña —pasándonos de nuestra propia regla de los 30 días— porque habíamos estado redactando una propuesta de seguimiento y se nos olvidó borrar el borrador. Nada se filtró. Nadie salió perjudicado. El cliente se dio cuenta en una conversación informal, preguntó, lo admitimos, borramos el borrador durante la llamada y cambiamos nuestro proceso para que los borradores los revise la misma tarea de limpieza de los domingos. Lo mencionamos porque todas las agencias presumen de un historial perfecto y casi ninguna lo tiene.

Subencargados, con nombre

Estamos obligados a decirte quién más toca tus datos. La lista actual:

• Nuestro proveedor de correo de la UE (lo nombraremos por escrito si lo pides; no queremos que esta página sea un objetivo de phishing).
• Nuestro proveedor de software de contabilidad, radicado en la UE.
• Las plataformas de anuncios Meta, Google y TikTok, cuando autorizas una campaña con ellas.
• Nuestro procesador de pagos, que gestiona la facturación y nunca comparte con nosotros los datos completos de la tarjeta.

No usamos un CRM. No usamos una suite de automatización de marketing. No usamos un proveedor de IA que ingiera datos de clientes para entrenar. Si alguna vez cambiamos eso, actualizaremos esta página y escribiremos antes a todos los clientes activos.

Tus derechos, en forma de lista de verificación

Bajo el RGPD tienes derecho a: acceder a tus datos, corregirlos, suprimirlos, limitar su tratamiento, portarlos a otro proveedor y oponerte al tratamiento basado en intereses legítimos. Para todo excepto la portabilidad (no guardamos suficientes datos como para que eso tenga sentido), un solo correo a nosotros inicia el proceso. Respondemos en un día laborable y lo terminamos en tres.

Si crees que estamos gestionando mal tus datos y nuestra respuesta no es lo bastante buena, puedes reclamar ante tu autoridad nacional de protección de datos. En Polonia es la UODO (uodo.gov.pl). Preferiríamos que nos lo dijeras primero para poder arreglarlo, pero nunca te disuadiremos de acudir al regulador.

Qué no cubre esta página

Esta es la versión en lenguaje claro. La política de privacidad formal con todos los encabezados de sección que al RGPD le gusta ver está en /privacy.html. Si las dos llegaran a contradecirse, la versión formal prevalece, pero trabajamos duro para mantenerlas alineadas. Si detectas una contradicción, escríbenos. La arreglaremos el mismo día.

Para ver cómo llevamos el trabajo de verdad una vez resuelta la conversación sobre los datos, consulta /process.html. Para saber quiénes somos, /about.html. Para los costes, /pricing.html. Para las preguntas que los clientes hacen antes de firmar, /faq.html.

Una última cosa

Somos un equipo pequeño a propósito. Eso es una virtud, no una disculpa. Significa que menos personas tocan tus datos, que el inventario de datos de arriba es el inventario real (no un resumen maquillado) y que normalmente puedes identificar por su nombre a la persona que responde a tu solicitud de supresión. Si eso suena anticuado, bien. También suena al tipo de agencia que querríamos contratar si los papeles estuvieran cambiados.