Publicidad en Google o Facebook para tus clientes

Publicidad en Google o Facebook para tus clientes

¿Quieres vender más a los que ya son tus clientes?

Te hablo de personas que ya te han comprado y de los que ya tienes sus datos (especialmente su dirección de correo electrónico).

  • Clientes que han comprado en tu web.
  • Clientes de tu negocio físico de los que tienes su correo porque se han inscrito en un programa de fidelización.

Google y Facebook funcionan con esta filosofía: Si te hacen ganar dinero, querrás poner anuncios en su plataforma y les pagarás gustosamente. Para ello disponen de herramientas impresionantes en las que apoyarte. Utilizan herramientas de big data para registrar todo lo que hacemos como usuarios de internet y eso les permite conocernos como si fueran nuestra madre.

Puedes pedirles que pongan un determinado anuncio a los que ya son tus clientes.

También puedes pedirles que pongan ese anuncio a los que no son todavía tus clientes, pero tienen un perfil de intereses similares a tus clientes. Tú no sabes quienes son, pero ellos sí.

Pero eso pasa por enviarle a Google y/o a Facebook tu lista de clientes (los correos electrónicos), y la LOPD y el RGPD no te dejan hacerlo sin un consentimiento de tus clientes. Dicho consentimiento ha de ser informado, explícito (no tácito) y revocable.

Para poder hacer esto, necesitas adaptar el formulario de compra o registro de tu web y además modificar tu política de privacidad añadiéndole un tratamiento de “Publicidad Segmentada”.

Hemos incorporado algunos ejemplos prácticos de estos textos para formularios en nuestra zona de clientes y si tienes alguna duda, estamos a tu disposición.

Foto de Vince Fleming en Unsplash

Entrega de información al presidente de la comunidad de propietarios

Un cliente, administrador de fincas profesional, nos presenta la siguiente duda:

El presidente de una comunidad de propietarios que administra, le ha pedido que le entregue una serie de documentación con datos personales de los propietarios, y el administrador duda de si debe o no hacerlo.

Comentamos nuestro planteamiento:

En una comunidad de propietarios, el representante legal es el presidente.

El presidente ha de ser uno de los propietarios. Generalmente se nombra por turno rotatorio y por periodos cortos de tiempo (habitualmente un año).

Estas circunstancias hacen que normalmente el cargo recaiga sobre personas que carecen de la formación necesaria en gestión, administración de fincas, o protección de datos.

Por ello la sabia decisión que adoptan muchas comunidades de propietarios es contratar un administrador de fincas profesional, que se encargue de toda la gestión de la comunidad, quedando la función del presidente a la mera supervisión del trabajo realizado por el administrador.

En materia de protección de datos de carácter personal, la forma más recomendable es que el administrador sea el único encargado de tratar los datos personales de la comunidad, ya que al ser un cargo profesional y remunerado, recae exclusivamente en él la responsabilidad y el trabajo administrativo, liberando de ambos al presidente.

En algunas ocasiones, el presidente solicita al administrador datos personales que custodia el administrador.

El presidente, es un representante que actúa por delegación. La responsabilidad de sus actuaciones recae directamente sobre la comunidad (que sería la que recibiría una sanción en caso de tratamiento indebido de datos personales).

Es por ello que nuestro criterio recomendado es que ante una solicitud de documentación del presidente, el administrador actúe siguiendo los mismos principios que si la solicitud la realizase cualquier otro propietario. Ya que la responsabilidad del administrador la tiene frente a toda la asamblea de propietarios que lo nombró, no sólo ante el presidente.

El artículo 20 e) de la Ley 49/1960, de 21 de julio, de Propiedad Horizontal, dispone que corresponde al administrador actuar, en su caso, como secretario de la Junta y custodiar a disposición de los titulares la documentación de la comunidad.

Ahora bien, el acceso de los titulares (propietarios) a la información de la comunidad no es libre ni directo, tal y como explica la Agencia Española de Protección de Datos en su consulta vinculante disponible en esta URL:

https://www.aepd.es/es/preguntas-frecuentes/9-comunidades-de-propietarios/FAQ-0906-puede-tener-acceso-un-propietario-a-los-gastos-de-su-comunidad

El administrador, habitualmente solicita nuestra asistencia como empresa especializada en protección de datos, para valorar cada solicitud de información a fin de determinar si el acceso a los documentos cumple el principio de proporcionalidad resultando idóneo, necesario y equilibrado para obtener la finalidad perseguida, según señala el Tribunal Constitucional. En otro caso, no procederá el acceso directo al documento.

En caso de que consideremos procedente proporcionar el acceso a la documentación solicitada, el receptor (presidente o propietario) deberá firmar un acuse de recibo en el que se le informe de sus obligaciones y en el que se comprometa a mantener indemne a la Comunidad en caso de incumplimiento de las mismas.

En Adelopd tenemos disponible para cada comunidad de propietarios los formatos recomendados para cada uno de estos procesos:

  • Solicitud de información.
  • Acuse de recibo de documentación

Podemos ser tus especialistas en protección de datos para administradores de fincas.

Apartado postal en aviso legal

Un cliente autónomo nos pregunta si es obligatorio publicar su dirección fiscal en el aviso legal de su sitio web, o si basta con contratar y hacer público un apartado postal en su lugar.

Entendemos y compartimos su preocupación: Nuestro cliente tiene como domicilio fiscal el mismo domicilio particular en el que vive, y lógicamente, el hecho de incluirlo en el aviso legal, representa hacer público su domicilio particular ante cualquier persona que visite su web.

Si nos atenemos al literal de la ley. El contenido informativo mínimo que debe tener un sitio web está regulado en el artículo 10 de la LSSI (Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico), que dice así:

1. Sin perjuicio de los requisitos que en materia de información se establecen en la normativa vigente, el prestador de servicios de la sociedad de la información estará obligado a disponer de los medios que permitan, tanto a los destinatarios del servicio como a los órganos competentes, acceder por medios electrónicos, de forma permanente, fácil, directa y gratuita, a la siguiente información:

a) Su nombre o denominación social; su residencia o domicilio o, en su defecto, la dirección de uno de sus establecimientos permanentes en España; su dirección de correo electrónico y cualquier otro dato que permita establecer con él una comunicación directa y efectiva. […]

Así pues, si queremos cumplir el literal de la ley sí es necesario incluir un domicilio postal y no sirve un apartado postal.

Ahora bien, una solución que te permite salvaguardar tu privacidad es contratar el domicilio en un centro de negocios donde quizá no pongas jamás un pie. Seguramente podrás pactar con ellos que te reenvíen toda la correspondencia, o bien, que te avisen si llega algún correo certificado o burofax y que depositen en el contenedor del papel todo lo demás.

Este servicio es totalmente legal. Al fin y al cabo, el autónomo o la empresa decide si quiere trabajar muchas horas en el centro de negocios o si prefiere “teletrabajar” desde su domicilio el 99.999999% del tiempo.

Hay muchas empresas que ofrecen este servicio. Si buscas “domiciliación de sociedades” encontrarás que hay mucha competencia donde elegir.

Cookies al insertar un video

Nuestra web puede ser mucho mejor si utilizamos recursos de video para mostrar lo que queramos a nuestros visitantes.
Pero los videos pesan. Y si los alojamos en el mismo servidor donde tenemos la web, corremos el riesgo de sobrecargarlo en momentos puntuales en los que tengamos un tráfico de usuarios elevado.

Para solucionar esto aparecieron servicios de video como Youtube o Vimeo, que nos permiten subir videos e incrustarlos dentro de nuestra web. Haciéndolo así, el contenido video se carga desde el servidor externo de Youtube o Vimeo. Fácil.

Así solucionamos el problema de la posible sobrecarga de nuestro servidor, pero nos crea otro problema peor aún: Youtube y Vimeo van a insertar cookies analíticas para tener estadísticas de uso de los videos. La legislación de Estados Unidos se lo permite, pero el Reglamento Europeo de Protección de Datos NO. Es ilegal utilizar cookies no esenciales sin recabar el consentimiento del usuario, y la autoridad nacional (en España la Agencia Española de Protección de Datos) nos puede sancionar por hacerlo.
Ciertamente puedes usar plugins bloqueadores de cookies y no cargar el contenido hasta que los usuarios acepten las cookies, pero los que visiten tu web, en lugar de ver el video, verán un aviso tan feo como este:

Entonces ¿Qué hacemos?
Hemos encontrado una solución mejor. Alojar el video en un espacio dedicado en la nube de Amazon llamado S3 (Simple Storage Service)

La ventaja de esta solución es que no sobrecarga el servidor donde tengamos alojada la web, ya que amazon utiliza una nube con una enorme potencia y escalabilidad y nos factura mensualmente por el consumo que hayamos realizado. (Las facturas que nos emite Amazon no suelen llegar al euro al mes)

En esta entrada del blog hemos utilizado esa fórmula: Hemos creado un bucket llamado adelopd en un servidor de Amazon ubicado en Irlanda, y este post carga ese video desde la URL siguiente:
https://adelopd.s3.eu-west-1.amazonaws.com/file_example.mp4

SOLUCIONADO: aquí puedes ver el video sin que utilicemos ninguna cookie.

NOTA: Los servicios de Amazon son muy potentes y muy flexibles. Están diseñados para poder ser utilizados por organizaciones grandes, por lo que a veces el manejo inicial es un poco complejo. Te hemos preparado esta pequeña guía de cómo lo hemos hecho nosotros por si te resulta de utilidad:

https://www.adelopd.com/wp/wp-content/uploads/2022/12/Guia-Rapida-Amazon-S3-para-videos.pdf

Han hackeado mi correo

¿han hackeado tu correo?

Si alguna vez te escribe un contacto de confianza (cliente, proveedor o amigo) diciéndote que ha recibido un correo sospechoso tuyo, pueden pasar dos casos:


1) Que efectivamente algún hacker se haya hecho con la contraseña de acceso a tu cuenta y esté enviando correos desde tu servidor SMTP como si fueses tú.

2) Que algún hacker esté enviando correos suplantando tu identidad desde un servidor SMTP ajeno al tuyo.

Para poder investigar más, no basta con que la persona que te avisa te reenvíe el correo. Necesitarás las cabeceras del correo sospechoso. ¿Cómo hacerlo? Depende del cliente de correo electrónico que utilice:

Obtener cabeceras de correo en GMAIL.
Obtener cabeceras de correo en Microsoft Outlook
Obtener cabeceras de correo en Thunderbird
Obtener cabeceras de correo en Mail en un Mac

Una vez tenga delante esas cabeceras, que haga un copia y pega y que te las envíe: Con ellas es mucho más fácil identificar el origen del problema y abordar su solución.

No pidas el teléfono para hacer facturas

La legislación tributaria establece los datos personales mínimos que ha de tener una factura: nombre y apellidos , NIF y domicilio fiscal.

El principio de minimización de datos nos exige no pedir más datos de los necesarios para la finalidad perseguida.

El camarero de un bar insistió en preguntarle el teléfono a una clienta que pidió una factura «porque su programa informático le exigía poner el teléfono para dar de alta a un cliente».

La clienta se negó a tal exigencia y la historia terminó en una sanción de 2000 euros al bar, por pedir más datos de los necesarios.

Puedes leer la noticia aquí.

4000 euros por agregar a un grupo de whatsapp

Un Club Deportivo agregó a un antiguo socio a un grupo de Whatsapp para informarle de los eventos y novedades del club.

Ese simple gesto que se hace en cuatro segundos, evidenció cuatro infracciones distintas al RGPD (Reglamento General de Protección de Datos), a mil euros, cada una, total 4000 euros.

Infracción 1: Agregar a un grupo de Whatsapp es un tratamiento de datos personales que requiere el consentimiento del interesado, que el club no tenía. (Artículo 6).

Infracción 2: La persona afectada se había dado de baja como socio, y el club no había cancelado sus datos. (Artículo 5.1.e)

Infracción 3: Agregar a un grupo de Whatsapp supone divulgar información personal (nombre y número de teléfono) a todos los terceros incluidos en ese grupo. Esta comunicación de datos requiere un consentimiento separado del tratamiento general que el club no tenía (Artículo 32.1.b , obligación de garantizar la confidencialidad)

Infracción 4: El club no tenía ningún procedimiento de revisión anual LOPD, lo que incumple el artículo 32.1.d (El responsable adoptara medidas técnicas y organizativas apropiadas… que incluya, entre otros: … d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.)

De ahí la importancia de ir incrementando la conciencia e implicación en materia de protección de datos tanto en empresas como en asociaciones y clubes.

Pueden revisar el procedimiento sancionador aqui.

 

Videovigilancia con audio

Una pregunta frecuente de muchos clientes es si el sistema de videovigilancia puede incorporar también la grabación de audio.

La captación y grabación de imágenes o voz hace que tropiecen dos derechos:
– El derecho a la seguridad y a perseguir el interés legítimo del que las quiere instalar.
– El derecho a la intimidad y a la protección de datos del que va a ser grabado.

Cuando tropiezan dos derechos hay que valorar si el tratamiento cumple el “Principio de proporcionalidad”

La instalación de cámaras de videovigilancia sería una medida proporcional y justificada si se cumplen los siguientes requisitos:

  1. Que se trate de una medida susceptible de conseguir el objetivo propuesto.
  2. Que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia.
  3. Que la misma sea ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto.

OJO: el hecho de que pueda resultar legítima la videovigilancia por razones de seguridad, no implica necesariamente que se legitime la grabación de la voz, tratamiento que tendría que tener su justificación propia.

El Tribunal Constitucional ha rechazado el uso de audio por parte de un casino porque la ventaja que consigue la empresa (plus de seguridad) la considera desproporcionada respecto al perjuicio que causa a las personas que son grabadas. (Clientes, y empleados, cuyas conversaciones van a ser grabadas).

Si consideras que tu empresa necesita la pista de audio además de las imágenes de videovigilancia, estamos a tu disposición para valorar los colectivos que van a ser grabados (empleados, clientes, usuarios, etc), y realizar el «Juicio de ponderación» para ver si el tratamiento cumple el «Principio de proporcionalidad» y es legítimo, o por contra, pondría en riesgo de sanción a tu empresa.

Sanción de 15.000 a comunidad de propietarios

Sanción de 15.000 a comunidad de propietarios

La AEPD ha sancionado con 15.000 euros a una Comunidad de Propietarios por publicar en el ascensor de la Comunidad el acta de una reunión. (Ver sanción AEPD)

Las actas se deben enviar individualmente a cada propietario, y la ley sólo contempla su exposición en el tablón de anuncios en caso de que la comunicación a un propietario haya sido imposible (siempre que esté acreditado de forma fehaciente).

Aún así, esa exposición pública está sometida a una serie de criterios, respetando unos plazos para hacer compatible la Ley de Propiedad Horizontal con la Legislación en materia de protección de datos.

Como además, la Comunidad no tiene entidad jurídica, ahora todos los propietarios son responsables solidariamente del pago de la sanción, por lo que deberán realizar una derrama extraordinaria para el pago de la misma.

Además, como menciona alguna fuente, si la finca tiene Administrador, que determina los objetivos y medios del tratamiento de los datos personales, es posible que sea corresponsable de la infracción según el artículo 26 del RGPD.

En Adelopd ayudamos a Administradores y a Comunidades de Propietarios a cumplir la legislación de protección de datos, previniendo este tipo de incumplimientos que pueden derivar en sanciones muy elevadas.

Para ampliar información de nuestro servicio: https://www.adelopd.com/proteccion-de-datos-administradores-de-fincas/

Imagen: Gabriel Ruiz Araoz, CC BY-SA 4.0 https://creativecommons.org/licenses/by-sa/4.0, via Wikimedia Commons

Filtrado DMARC en servidor de correo

Activando DMARC en tu dominio te aseguras que ningún hacker engañe a tus clientes y proveedores, enviando mensajes en tu nombre.

El filtrado DMARC de servidor es la otra cara de la moneda. Tu servidor de correo electrónico debe tener activado ese filtrado para que los hackers no te engañen a ti (y a los usuarios de tu dominio).

Esta medida la debe implementar el administrador del servidor con el que tengas contratado el servicio de hosting.

Si utilizas un servidor con panel Plesk, es bastante fácil y directo, basta con ir a «Herramientas y Opciones», «Configuración del Servidor de Correo» y activar la casilla «Activar DMARC para comprobar el correo entrante» que por defecto viene desactivada en algunos servidores.