Documentación · Privacidad, seguridad y cumplimiento

Notas sobre GDPR / DSGVO

Este documento resume cómo las características del plugin ADP Car Market Hub se relacionan con el Reglamento General de Protección de Datos de la UE (GDPR) y su implementación en Alemania y Austria (Datenschutz-Grundverordnung, DSGVO). Está pensado como una referencia práctica para los operadores de sitios que gestionan un sitio web de concesionario de vehículos dentro de la UE/EEE.

Este documento no es asesoramiento legal y no garantiza el cumplimiento. La evaluación legal final depende de la configuración del sitio, las características configuradas, la implementación del consentimiento y las normas nacionales aplicables. Los operadores del sitio deben revisar sus obligaciones específicas con su propio asesor legal o Delegado de Protección de Datos.

Cuándo usar este documento

Use este documento cuando necesite:

Preparar un registro de actividades de tratamiento de GDPR o DSGVO para un sitio que utiliza el plugin.
Redactar o revisar la sección de la política de privacidad para consultas de vehículos, alertas de búsqueda y analíticas integradas.
Decidir si habilitar características opcionales (analíticas, AI Assistant) en un sitio de la UE/EEE.
Documentar la gestión de los derechos de los interesados para las consultas y las suscripciones a alertas de búsqueda.

Descripción general

El plugin es un plugin de WordPress que importa listados de vehículos y proporciona características orientadas al visitante como consultas, favoritos, comparación, alertas de búsqueda y analíticas opcionales. Desde la perspectiva de la protección de datos, las categorías relevantes de datos personales gestionadas por el plugin son:

Leads de consulta — nombre, correo electrónico, número de teléfono opcional y mensaje enviado a través del formulario de contacto o de prueba de conducción, además del vehículo relacionado y la URL de origen.
Suscripciones a alertas de búsqueda — dirección de correo electrónico (y nombre opcional) junto con los criterios de búsqueda elegidos por el visitante, utilizados para el motor de emparejamiento de doble opt-in.
Eventos de analítica — cuando están habilitados, registros de eventos agregados (tipo de evento, ID del vehículo y marca de tiempo). La tabla de analíticas no almacena direcciones IP, identificadores de usuario ni cookies en el lado del servidor.

Los listados de vehículos, las imágenes de los vehículos y la mayoría de los ajustes del plugin no son datos personales de los visitantes del sitio web; son datos operativos del concesionario.

Para un inventario completo de los datos almacenados, consulte la Descripción general del almacenamiento de datos.

La siguiente relación describe cómo el comportamiento del plugin se asocia con los principios comunes de GDPR / DSGVO. Es informativa y no reemplaza una evaluación específica del proyecto.

Licitud, lealtad y transparencia

El plugin expone una casilla de verificación de consentimiento configurable en el formulario de consulta (la etiqueta y el estado obligatorio son configurables en los ajustes del plugin).
Se puede enlazar una URL de la página de privacidad configurable desde la etiqueta de consentimiento; el operador es responsable del contenido real de la política de privacidad.
El formulario de suscripción a alertas de búsqueda utiliza un flujo de trabajo obligatorio de doble opt-in: la suscripción solo se activa después de que el suscriptor hace clic en el enlace de confirmación enviado por correo electrónico.
Las analíticas integradas están desactivadas por defecto. Cuando se habilitan, un ajuste opcional Requerir consentimiento puede condicionar cada llamada de seguimiento a través del filtro as24ci_analytics_consent_check, permitiendo la integración con un plugin de gestión de consentimiento.

Limitación de la finalidad

Los datos de la consulta se capturan con el fin de responder a una consulta de vehículo o solicitud de prueba de conducción; el plugin no transmite datos de leads a ningún tercero.
Los datos de las alertas de búsqueda se capturan con el fin de enviar correos electrónicos de notificación sobre vehículos coincidentes recién importados.
Los eventos de analítica se capturan con el fin de realizar analíticas internas del sitio (páginas vistas y, opcionalmente, eventos de inteligencia de negocio).

Minimización de datos

El formulario de lead permite ocultar campos opcionales (Teléfono, Mensaje). Solo el Nombre y el Correo electrónico son obligatorios.
La dirección IP del remitente no se almacena con los leads. Se utiliza un hash SHA-256 con sal de la IP únicamente para la limitación de tasa temporal en memoria a través de un transient de WordPress (5 envíos por IP cada 5 minutos).
La tabla de analíticas almacena únicamente un tipo de evento, un payload minimizado opcional, un ID de vehículo y una marca de tiempo. No almacena direcciones IP, identificadores de usuario ni cookies en el lado del servidor.
Una opción de Minimización de datos de filtros (activada por defecto) elimina los términos de búsqueda de texto libre (s, search, q) del payload de búsqueda de filtros de analítica antes de que se escriba. La lista de bloqueo se puede ampliar utilizando el filtro as24ci_analytics_filter_blocked_keys.
Los criterios de las alertas de búsqueda se validan contra una lista fija de claves permitidas; las claves desconocidas se descartan durante la desinfección.

Exactitud

Los administradores pueden editar las suscripciones a alertas de búsqueda (nombre, correo electrónico, criterios, estado) desde la pestaña de administración de Alertas de búsqueda.
Los datos de los leads se pueden revisar y actualizar (campo de estado) desde la pestaña de administración de Leads.

Limitación del plazo de conservación

Los eventos de analítica están sujetos a una ventana de retención configurable (por defecto 180 días, mínimo 7 días). Un evento diario de WP-Cron elimina las filas más antiguas que el límite establecido. Consulte la Retención de analíticas.
Los leads y las suscripciones a alertas de búsqueda no tienen un período de retención automático integrado. El operador del sitio es responsable de eliminar los datos que ya no sean necesarios.
Los favoritos en el lado del navegador se almacenan únicamente en el localStorage del visitante y nunca se guardan en el servidor.

Integridad y confidencialidad

Las acciones de administración están protegidas por comprobaciones de capacidades de WordPress (la capacidad manage_as24_imports del plugin) y nonces. Consulte el Control de acceso y capacidades y las Recomendaciones de seguridad.
El registrador del plugin enmascara los fragmentos token=…, client_secret=… y Authorization: Bearer … antes de escribir en el archivo de registro (defensa en profundidad). Los registros se almacenan en un subdirectorio dedicado de la carpeta de subidas WordPress, protegido por un .htaccess y un index.php vacío.

Responsabilidad proactiva

El plugin proporciona vistas administrativas (pestaña de administración de Leads, pestaña de administración de Alertas de búsqueda, pestaña de administración de analíticas) que permiten a los operadores inspeccionar lo que está almacenado y actuar sobre ello.
Una acción de purga con un solo clic elimina todas las filas de analíticas bajo demanda, independientemente de si las analíticas están habilitadas actualmente o no.

Derechos de los interesados — gestión práctica

El plugin no registra un gancho de exportación o eliminación de datos personales de WordPress. Se espera que los operadores gestionen las solicitudes de los interesados manualmente utilizando las herramientas de administración integradas. Verifique este comportamiento en la versión actual del plugin antes de publicar documentación de procesos que dependa de ello.

Derecho	Cómo gestionarlo con el plugin
Información / transparencia	Documente las categorías enumeradas en la Descripción general del almacenamiento de datos en su política de privacidad. Utilice los ajustes de etiqueta de consentimiento y URL de la página de privacidad en el formulario de lead.
Acceso	Busque el correo electrónico o el nombre del solicitante en la pestaña de administración de Leads y en la pestaña de administración de Alertas de búsqueda. Utilice la acción de exportación a CSV en la pestaña de Leads para proporcionar una copia.
Rectificación	Edite el estado del lead afectado o el registro de la alerta de búsqueda desde la pestaña de administración correspondiente.
Supresión	Elimine el lead coincidente (pestaña de Leads) y/o la alerta de búsqueda (pestaña de Alertas de búsqueda). Active la acción de purga de analíticas si corresponde.
Limitación	Establezca el estado de una suscripción a alerta de búsqueda en `paused` o `inactive` para detener las notificaciones sin eliminar el registro.
Oposición	Para las analíticas, desactive el seguimiento de analíticas en todo el sitio, o confíe en la integración del consentimiento para bloquear a visitantes individuales.
Retirar el consentimiento (alertas de búsqueda)	El enlace para darse de baja en cada correo electrónico de notificación establece el estado de la suscripción en `inactive` de inmediato.

Referencia de configuración

Los ajustes más relevantes para la postura ante GDPR / DSGVO son:

Ajuste	Dónde	Notas
Casilla de consentimiento habilitada	Ajustes del formulario de lead	Muestra la casilla de verificación de consentimiento en el formulario de consulta.
Etiqueta de la casilla de consentimiento	Ajustes del formulario de lead	Etiqueta de texto libre redactada por el operador.
URL de la página de privacidad	Ajustes del formulario de lead (`as24ci_lead_privacy_url`)	URL opcional a la política de privacidad del sitio.
Analíticas habilitadas	Referencia de ajustes de analíticas	Interruptor principal; desactivado por defecto.
Seguimiento de BI habilitado	Referencia de ajustes de analíticas	Habilita eventos que no son de páginas vistas cuando las analíticas están activadas.
Requerir consentimiento	Referencia de ajustes de analíticas	Condiciona el seguimiento a través del filtro `as24ci_analytics_consent_check`.
Minimización de datos de filtros	Referencia de ajustes de analíticas	Elimina los términos de búsqueda de texto libre del payload de analíticas.
Jurisdicción de privacidad	Referencia de ajustes de analíticas (`as24ci_analytics_privacy_jurisdiction`)	Selecciona la etiqueta del marco de privacidad para el aviso de administración (`auto`, `gdpr`, `dsgvo`, `revdsg`, `uk_gdpr`, `generic`). Solo informativo — no cambia qué datos se recopilan.
Retención de analíticas (días)	Referencia de ajustes de analíticas	Por defecto 180, mínimo 7.
Eliminar datos al desinstalar	Ajustes del plugin (`as24ci_delete_data_on_uninstall`)	Cuando está activado, las publicaciones de vehículos, las publicaciones de leads y las páginas del plugin también se eliminan al desinstalar. Las tablas de analíticas, del agente de búsqueda y de Content Studio se eliminan al desinstalar en cualquier caso.

Notas operativas

Transporte de correo electrónico. Todos los correos electrónicos del plugin (notificaciones de leads, confirmaciones de clientes, confirmaciones y notificaciones de alertas de búsqueda) utilizan el wp_mail de WordPress. El contenido del correo electrónico normalmente contiene datos personales, por lo que el transporte de correo configurado (el servicio SMTP del sitio o el proveedor de hosting) se convierte en un encargado del tratamiento para ese contenido. Los operadores deben asegurarse de que el transporte sea adecuado y, cuando corresponda, esté cubierto por un contrato de encargo de tratamiento.
API de AutoScout24 Hub. El plugin se conecta a la API de AutoScout24 Hub para importar listados de vehículos utilizando las credenciales configuradas por el operador del sitio. El plugin no envía datos personales de los visitantes del sitio web a esa API.
AI Assistant opcional. La característica de AI Assistant utiliza la configuración gestionada de Google Gemini en ADP Car Market Hub. No se requiere selección de proveedor, selección de modelo ni introducción de clave API en el backend de WordPress; el aprovisionamiento de IA específico del cliente lo completa AD Promotion después de la instalación. Cualquier prompt enviado a través de esa característica se transmite al endpoint gestionado de Gemini. Desactive el AI Assistant si no se desean dichas transferencias. Revise el tratamiento de datos aplicable y los términos contractuales para la configuración de IA gestionada antes de habilitar las características de IA en producción.
Hosting y copias de seguridad. Las copias de seguridad estándar de WordPress incluirán las publicaciones de leads, los eventos de analítica y las suscripciones a alertas de búsqueda. Defina la retención de las copias de seguridad teniendo esto en cuenta.
Multisitio. Al desinstalar, la rutina de limpieza itera sobre todos los sitios de la red y elimina las tablas y opciones del plugin para cada sitio.
Selector de jurisdicción de privacidad. El ajuste Privacy jurisdiction cambia únicamente la etiqueta del marco de privacidad que se muestra en el aviso de analíticas del plugin; no cambia los datos recopilados.

Lea la Descripción general del almacenamiento de datos e identifique qué categorías de datos se aplican realmente al sitio (algunas solo aparecen cuando la característica correspondiente está habilitada).
Actualice la política de privacidad del sitio para describir la gestión de consultas, las alertas de búsqueda y (si están habilitadas) las analíticas. Mencione al concesionario como el responsable del tratamiento y a cualquier encargado del tratamiento utilizado para el envío de correos electrónicos.
En los ajustes del formulario de lead, establezca la URL de la página de privacidad y configure una etiqueta de consentimiento que coincida con su política de privacidad.
Si las analíticas están habilitadas, decida una estrategia de consentimiento: - Bien habilite Requerir consentimiento e integre un plugin de gestión de consentimiento a través del filtro as24ci_analytics_consent_check, - O bien documente una base legal alternativa con su asesor legal.
Establezca la Retención de analíticas (días) en un valor aprobado por su revisión de privacidad.
Documente un proceso interno para eliminar leads antiguos y suscripciones de alertas de búsqueda pending inactivas.
Decida si habilitar Eliminar datos al desinstalar para su entorno, equilibrando la minimización de datos frente al riesgo operativo.

Resolución de problemas

El visitante solicita una copia de los datos de su consulta: busque en la pestaña de administración de Leads por correo electrónico o nombre y utilice la acción de exportación a CSV, opcionalmente antes de eliminar el lead.
El visitante solicita ser eliminado de las alertas de búsqueda: puede utilizar el enlace de darse de baja en cualquier correo electrónico de notificación; alternativamente, elimine o establezca el estado de la suscripción en inactive en la pestaña de administración de alertas de búsqueda (Search Alerts).
El recuento de filas de Analytics crece más allá de la ventana de retención configurada: confirme que WP-Cron se está ejecutando y que el evento de limpieza diario (as24ci_daily_cleanup) está programado.
La etiqueta de jurisdicción de privacidad no coincide con la realidad: cambie el ajuste de Jurisdicción de privacidad de auto al valor correcto (gdpr, dsgvo, revdsg, uk_gdpr o generic).