Privacidad centrada en los datos de la encuesta, no en perfiles de participantes.

Alcance y datos de cuenta

Research Rill es un creador de encuestas online para propietarios y participantes. Las cuentas usan un nombre de cuenta y una frase de contraseña; V1 no exige correo electrónico para crear una cuenta.

Los registros de cuenta guardan el nombre normalizado, un hash Argon2id de la frase de contraseña, el estado de cuenta/seguridad y marcas de actividad necesarias para autenticación, retención y administración.

Datos de participantes

Las respuestas y el estado de presentación específico de la encuesta se almacenan para permitir avanzar, reanudar cuando corresponda, enviar y producir resultados correctos.

• Los registros de respuesta no persisten direcciones IP, huellas del navegador, ubicaciones inferidas, correos ni otros campos de identidad del participante.
• La red y el alojamiento procesan necesariamente metadatos normales de solicitud. Los límites de seguridad usan identidades de origen transitorias derivadas mediante clave/HMAC en lugar de guardar IP sin procesar en las claves de limitación.
• Las credenciales de sesión de respuesta son capacidades aleatorias almacenadas en el navegador; las tablas conservan hashes, no credenciales sin procesar recuperables.

Invitaciones y listas de destinatarios

Las encuestas desbloqueadas pueden usar invitaciones de un solo uso. Poseer una invitación demuestra acceso a esa invitación, no la identidad de una persona.

• PostgreSQL guarda hashes de tokens de invitación, no URL de invitación sin procesar recuperables.
• La entrega CSV de invitaciones se conserva solo como artefacto cifrado en Redis durante 15 minutos para recuperar una descarga interrumpida.
• Los identificadores opcionales de destinatarios no se guardan en tablas. Si se usan, la relación destinatario-invitación solo existe en ese artefacto cifrado temporal.

Pagos y denuncias de seguridad

Research Rill guarda solo los metadatos de pago y seguridad necesarios para desbloqueos, conciliación y triaje de abusos.

• El nombre, correo y mensaje libre del donante de Ko-fi no se copian a tablas de eventos de pago ni auditoría. Pueden conservarse identificadores normalizados, importe/moneda, correlación con encuesta y estado de procesamiento.
• Una denuncia guarda la referencia de encuesta, una categoría normalizada, estado/disposición y marcas de tiempo. El formulario no pide nombre, correo, respuestas, identificador de sesión/respuesta ni relato libre.

Retención

La retención varía según el tipo de dato y el estado de capacidad; una retención administrativa puede suspender la eliminación destructiva.

• Las respuestas de prueba/vista previa se conservan como máximo 30 días.
• En intentos abandonados, respuestas/estado de presentación se eliminan 30 días después del abandono y los metadatos mínimos a los 90 días si no existe retención.
• Las invitaciones revocadas y lotes totalmente revocados se conservan 90 días antes de su limpieza elegible; el historial completado sigue la retención de respuestas completadas.
• En encuestas gratuitas, 180 días sin actividad autenticada del propietario cierran automáticamente una encuesta abierta; a los 360 días, el contenido gratuito elegible puede eliminarse tras volver a comprobar actividad y retenciones.
• Las encuestas desbloqueadas y restringidas no están sujetas a la purga automática por inactividad de contenido gratuito en V1. Permanecen hasta que el propietario las elimine u otra acción administrativa/legal documentada; no se ha definido un plazo automático separado.

Eliminación, copias y recuperación

Eliminar datos de la base activa no significa que cada copia de seguridad existente desaparezca en el mismo instante.

• Las copias de producción y la recuperación a un punto en el tiempo se mantienen para recuperación ante desastres con una ventana operativa separada y acceso restringido.
• Una retención activa bloquea la retención destructiva automática y la eliminación destructiva solicitada por el propietario para el ámbito afectado.
• Los registros eliminados pueden permanecer en medios de recuperación previos hasta que expire esa ventana. Una restauración puede reintroducir temporalmente datos antiguos; después deben reaplicarse los controles normales.

Analítica, indexación y cookies

La analítica de marketing se mantiene separada de la actividad de aplicación y participantes.

• GA4 puede cargarse solo en páginas públicas de marketing cuando está configurado explícitamente para el sitio canónico de producción. Las páginas de marketing pueden usar una cookie de idioma.
• Las superficies de respuesta, invitación, resultados, exportación, cuenta, Ayuda y administración son noindex y no cargan GA4. Los flujos usan cookies funcionales de sesión/capacidad necesarias.

Controles y proceso de contacto

Los propietarios pueden archivar encuestas y eliminar permanentemente encuestas archivadas mediante el flujo autenticado, sujeto a reautenticación reciente y cualquier retención activa.

• Como V1 no exige correo, una frase de contraseña olvidada no puede recuperarse mediante restablecimiento por correo.
• Para un problema de privacidad o seguridad ligado a una encuesta pública, usa “Denunciar esta encuesta”; la denuncia es solo por categoría y no pide identidad.
• Los avisos que necesitan respuesta o adjuntos, incluidos avisos formales de copyright/legales, requieren un canal de contacto del operador aparte. El operador de producción debe publicarlo antes del lanzamiento; esta compilación no inventa dirección ni entidad.