betool está diseñado para cumplir los requisitos del RGPD sin apaños: cada acceso al contenido de un usuario por parte de un agente perteneciente a otra organización se registra, y cada organización puede consultar su propio registro.
El registro de accesos
Una tabla dedicada registra, para cada acceso cross-tenant:
- La marca de tiempo
- La organización de destino (cuyo contenido se leyó)
- La organización lectora (normalmente el proveedor)
- El usuario que desencadenó la lectura
- La herramienta a través de la cual se realizó la lectura
- El tipo de entidad (vocabulario cerrado:
contextpara una conversación,scenariopara un benchmark) - El ID de la entidad leída (y el exchange concreto cuando la lectura se refiere a un único turno)
El vocabulario de entidades está cerrado a nivel de base de datos (restricción CHECK) y cerrado a nivel de código (lista blanca de la aplicación). Añadir un tipo = nueva migración + actualización de la lista blanca. Sin entradas sorpresa.
Derecho de acceso (artículo 15)
Cada organización puede consultar SUS PROPIOS registros de acceso, en Ajustes de la organización → Privacidad (sección Registro de accesos) o mediante:
GET /api/admin/me/supervisor-reads
La ruta devuelve las lecturas en orden cronológico descendente (hasta 1 000 entradas por llamada).
Sin acceso cross-org al registro de auditoría: el proveedor nunca ve los registros de auditoría del cliente.
Derecho de supresión (artículo 17)
La arquitectura permite ejecutar la supresión de forma limpia: todos los datos de una organización están vinculados a su org_id (tablas de negocio, carpetas de archivos, secretos), lo que permite una supresión específica — un usuario concreto, una conversación concreta o la organización entera — sin tocar el resto.
Las solicitudes de supresión (artículo 17) se tramitan con nuestro soporte: escribe a contact@betool.fr desde una cuenta de administrador de la organización correspondiente.
Opt-in y opt-out de lectura cross-tenant
Por defecto, el opt-in de lectura cross-tenant está fijado en FALSE. Un administrador de la organización puede activarlo — y revocarlo en cualquier momento — en Ajustes de la organización → Privacidad.
- Desactivado — por defecto. El proveedor no puede acceder a ningún contenido de esta organización. Consecuencia: no es posible ningún soporte cross-org sobre lo que afecta al contenido (el soporte estructural sigue siendo posible).
- Activado — el supervisor puede leer las conversaciones de la organización para diagnosticar, y cada acceso queda auditado y es consultable por la organización.
El proveedor NO PUEDE activar este opt-in en nombre del cliente. Esta es una prueba fundamental: si el proveedor puede activarlo sin una acción del cliente, la arquitectura está rota.
Salvaguarda de operaciones destructivas
Cualquier operación que destruya o reemplace contenido (DELETE, REPLACE-IN-PLACE) se rechaza en el validador si la organización de destino no ha activado el opt-in de lectura. Motivo: sin visibilidad, el operador estaría proponiendo a ciegas un payload que sobrescribiría el contenido existente.
Denegación en cascada si la auditoría no está disponible
Si la base de datos de auditoría no está disponible (incidente de infraestructura), todas las lecturas cross-tenant se rechazan. Política estricta: sin lectura sin rastro.
Consecuencia del lado del código: un llamador que capture una excepción debe volver a lanzar el error de auditoría antes de cualquier procesamiento de negocio. Es un invariante verificado por el benchmark de seguridad.
Cookies de consentimiento
El sitio de marketing (betool.ai) mide su audiencia con Google Analytics 4, en Consent Mode v2:
- Por defecto, todos los consentimientos de Google (medición, publicidad) están en rechazado: el script de Google Analytics no se carga y no se deposita ninguna cookie analítica.
- El script solo se carga, y la medición solo se activa, tras tu aceptación explícita de la medición de audiencia en el banner.
- Puedes retirar este consentimiento en cualquier momento (Gestionar las cookies, en el pie de página): la medición vuelve entonces a rechazado.
Los consentimientos publicitarios siguen rechazados: el sitio no realiza segmentación publicitaria.