Cómo se prueba el consentimiento de cookies
Jumpdot CMP guarda cada respuesta al banner con la decisión, la política vigente y la hora del servidor, y la sella con una firma HMAC-SHA256. Así la empresa puede mostrar qué aceptó cada persona, y si alguien cambia la decisión, la versión de la política o la hora del registro, la firma deja de coincidir.
Por qué importa
La Ley 21.719 exige que el consentimiento sea libre, informado, específico e inequívoco, y pone en la empresa la carga de probar que lo obtuvo (artículo 12). Un banner que solo guarda una cookie en el navegador de la persona no deja nada que mostrar si la Agencia de Protección de Datos Personales lo pide.
Qué se guarda de cada respuesta
| Dato | Para qué sirve | Va en la firma |
|---|---|---|
| Categorías aceptadas y rechazadas | Muestra exactamente qué permitió la persona: medición, publicidad, personalización. | Sí |
| Versión de la política | Indica qué versión tenía a la vista al decidir. | Sí |
| Hora del servidor | Fecha y hora que no dependen del reloj del computador de la persona. | Sí |
| Hash de la IP con sal | Ayuda a detectar fraude sin guardar la IP en claro. | Sí |
| Cómo respondió | Distingue si eligió en el banner o si su navegador envió la señal GPC. | No |
| Direcciones de las políticas | Guarda dónde estaban publicadas las políticas en ese momento. | No |
| País | Permite aplicar la regla correcta en sitios que operan en varios países. | No |
Cómo se sella
- El servidor arma un texto canónico, siempre en el mismo orden: cuenta, identificador, decisiones, versión de la política, hora del servidor y hash de la IP.
- Calcula una firma HMAC-SHA256 sobre ese texto con una clave secreta que no sale del servidor.
- Guarda el registro junto con su firma. Si el mismo acto llega dos veces, no se duplica.
- La persona puede descargar su comprobante. Jumpdot verifica la firma con su clave, que no se comparte, para confirmar que corresponde al registro guardado.
Pruébalo: cambia una letra
Este es un registro de ejemplo firmado con una clave de demostración. Modifica cualquier carácter, por ejemplo cambia marketing=false por marketing=true, y mira qué pasa con la firma.
La firma se calcula en tu navegador con una clave de prueba. En producción la clave vive solo en el servidor de Jumpdot.
Qué muestras ante una fiscalización
- La exportación de los registros del período que pidan, con sus firmas.
- La versión de la política de cookies y de privacidad vigente en cada fecha.
- La configuración del banner: categorías, textos y que rechazar es tan fácil como aceptar.
- Las solicitudes de derechos recibidas por el centro Mi Privacidad y su respuesta.
Lo que el registro no prueba
El registro prueba la decisión tomada en un navegador, en un momento, con una política a la vista. No identifica a la persona por su nombre, y no reemplaza tener bien escritas la política de privacidad y la de cookies, ni una base legal para los demás tratamientos de datos de la empresa.
Preguntas frecuentes
¿Quién debe probar el consentimiento según la Ley 21.719?
La empresa que trata los datos. El artículo 12 pone en el responsable la carga de probar que obtuvo el consentimiento.
¿Qué guarda Jumpdot CMP de cada respuesta?
Las categorías aceptadas y rechazadas, cómo se respondió (banner o señal GPC), la versión y las direcciones de las políticas vigentes, la hora del servidor, el país y un hash de la IP con sal. La firma HMAC-SHA256 cubre la cuenta, el identificador, las decisiones, la versión de la política, la hora del servidor y el hash de la IP.
¿Qué significa que el registro esté sellado?
Que la firma se calcula sobre la decisión, la versión de la política, la hora del servidor y el hash de la IP, con una clave secreta que solo tiene Jumpdot. Si alguien cambia cualquiera de esos datos, la firma deja de coincidir.
¿Se guarda la IP de las personas?
No en claro. Se guarda un hash de la IP con una sal secreta, que sirve para detectar fraude sin poder recuperar la IP original.