Acaba de llegar una solicitud de eliminación. ¿Y ahora qué?

Publicar la página de eliminación es la parte sobre la que todo el mundo escribe. Lo que pasa después de que alguien la usa es lo que decide si cumples de verdad, y es una cuestión de proceso, no de alojamiento.

¿Adónde deben llegar las solicitudes?

A algún sitio donde una persona las vea en cuestión de días, no a una bandeja de entrada que revisas cuando algo se rompe.

El fallo es concreto y frecuente: una página recoge solicitudes en un buzón que nadie lee, o en un servicio de formularios cuyos emails de aviso van a spam. El usuario cree que su solicitud llegó. Legalmente, estás incumpliendo un plazo que no sabes que está corriendo.

Reglas prácticas:

• No una dirección personal que podrías abandonar. El correo de soporte de una ficha de la tienda llega a rachas: nada durante meses y luego varios seguidos.
• Algún sitio con un aviso que no puedas pasar por alto. Para un desarrollador independiente suele ser un canal de chat en lugar del email, precisamente porque el email es donde las cosas van a quedar ignoradas.
• Más de una vía si puedes. Si un canal falla sin avisar, quieres un segundo.
• Pruébalo. Envía una solicitud a través de tu propia página pública y confirma que te llega. Repítelo después de cualquier cambio en la página.

¿Cuánto tiempo tienes?

Si alguno de tus usuarios está en la UE o en el Reino Unido, se aplica el plazo del RGPD. El artículo 12(3) exige una respuesta sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción. Para solicitudes realmente complejas, el plazo puede ampliarse dos meses más, pero debes informar a la persona de la ampliación dentro del primer mes.

Dos detalles que los desarrolladores pasan por alto con frecuencia:

• «Hemos recibido tu solicitud» no es una respuesta. Cuando atiendes una solicitud de supresión, confirmas que la supresión se llevó a cabo y qué se eliminó.
• Si la rechazas, igualmente tienes que responder: dentro del mes, con tus motivos y diciendo a la persona que puede presentar una reclamación ante una autoridad de control o acudir a la vía judicial.

Otros regímenes tienen sus propios plazos. Si tienes usuarios en California, Brasil u otros lugares con leyes similares, comprueba la que se aplica en lugar de suponer que un mes te cubre en todas partes.

¿Qué hay que eliminar realmente?

La cuenta y los datos personales que hay detrás, y no solo en tu propia base de datos:

Dónde están los datos	Qué haces
Tu base de datos principal	Eliminar, no marcar como borrado y olvidarse
Copias de seguridad	Di con honestidad en tu política cuánto tiempo persisten las copias y que caducan
Analítica / reporte de fallos	Usa la API de eliminación del propio proveedor cuando exista
Herramientas de email o CRM	Quita los datos de las listas a las que los exportaste
Encargados y subencargados del tratamiento	Pídeles que eliminen y haz seguimiento: es tu obligación, no la suya
Logs	Decide un periodo de conservación y aplícalo

Si tu app depende de proveedores de servicios para tratar datos de usuarios, eliminarlos de tus propios servidores es solo la mitad del trabajo: también tienes que pedir al proveedor que haga lo mismo.

¿Qué puedes conservar?

Algunas cosas, por motivos declarados. Las habituales:

• Registros de facturación e impuestos, que normalmente se conservan por ley durante años.
• Un registro de la propia eliminación: necesitas poder demostrar que ocurrió.
• Marcadores de fraude o abuso, cuando tienes un motivo legítimo y lo has declarado.
• Agregados anonimizados, si realmente no se pueden volver a identificar.

Indica cuáles de estos se aplican en tu política de privacidad, con el periodo de conservación, antes de que nadie pregunte. Decidirlo en el momento de la solicitud es la forma en que la gente acaba prometiendo de más o improvisando.

¿Qué debe decir la respuesta?

Breve, concreta y con fecha:

Recibimos tu solicitud de eliminación el 3 de marzo. Tu cuenta y los datos personales asociados a ella se han eliminado. Hemos conservado tus facturas, que estamos obligados a guardar durante siete años por motivos fiscales, y un registro de esta solicitud. No queda nada más.

Esa es una respuesta conforme. «Hecho ✅» no lo es, porque no confirma nada.

Guarda el registro

Sea cual sea el volumen, guarda un registro: quién lo pidió, cuándo, qué eliminaste, qué conservaste y por qué, cuándo respondiste. «Lo eliminamos» es una afirmación; una lista con fechas es una prueba, y la prueba es lo que pide un regulador mucho después de que hayas olvidado la solicitud.

Esta es también la razón para guardar las solicitudes en un sitio estructurado y no como emails sueltos. Una carpeta de respuestas no es un registro.

Una salvedad sobre todo lo anterior

Esta página describe un proceso, no tus obligaciones legales. Qué regímenes se te aplican depende de dónde estén tus usuarios y de lo que haga tu app, los plazos y las excepciones varían entre ellos, y los periodos de conservación de la respuesta de ejemplo son ilustrativos, no una cifra que puedas copiar. Si gestionas solicitudes de eliminación en cualquier volumen, o tu app maneja datos de salud, finanzas o menores, la hora de abogado que convierte esto en tu propio procedimiento escrito merece la pena.

Qué hace AppFoyer aquí

Alojamos la página, guardamos la solicitud como tu registro de auditoría y te avisamos por los canales que configures: email en cualquier plan, Telegram o Slack en uno de pago, a través de nuestro propio bot y nuestra propia app, no de credenciales tuyas. El panel guarda cada solicitud con un flujo done → archive → delete (hecho → archivar → eliminar), de modo que el registro anterior es algo que ya tienes y no algo que construyes.

Dos cosas que no hacemos y que no afirmaremos: nunca contactamos al usuario final y nunca eliminamos nada en tus sistemas, porque no tenemos acceso a ellos. La eliminación, la respuesta y las decisiones de conservación son tuyas. Eso es lo que el requisito te pide realmente, y ninguna página alojada puede sustituirlo.

Las fuentes oficiales

• Understanding Google Play’s app account deletion requirements — Ayuda de Google Play
• Right to erasure — la Information Commissioner’s Office del Reino Unido, la guía de un propio regulador
• Artículo 12 del RGPD y artículo 17 — el plazo y el propio derecho