Algunos datos no deben quedarse para siempre. Cuando alguien deja tu empresa o una persona pide que borres sus datos, la anonimizas. El nombre y la dirección de correo se sustituyen entonces por un marcador de posición como «Anonymized user 3». Los tickets se quedan. Los informes, los plazos, los registros de tiempo y las cifras de satisfacción siguen contando.
Cada persona recibe su propio número. Dos entradas con el mismo número proceden de la misma persona. La dirección de correo pasa a ser «anonymized-3@anonymized.invalid». A una dirección así no se puede entregar ningún correo, por eso el sistema la omite al enviar. El marcador de posición se guarda en inglés y sigue en inglés en todos los idiomas.
Hay dos caminos. El camino automático anonimiza las cuentas eliminadas después de un número fijo de meses. El camino inmediato anonimiza a una sola persona en el acto, por ejemplo tras una solicitud de supresión.
El camino automático está en «Settings → Security», en la tarjeta «Data protection». El interruptor «Anonymize deleted users automatically» viene apagado de fábrica. Junto a «after» introduces el número de meses. Se permiten de 1 a 120; el valor de fábrica es 36. «Save» guarda un número cambiado.
El tiempo cuenta desde el día en que se eliminó una cuenta. El sistema comprueba cada diez minutos si toca una ejecución. Se ejecuta una vez al día, en la primera comprobación después de las 03:00 en la zona horaria definida en «Settings → General Settings». En esa ejecución se anonimiza cada cuenta eliminada cuyo tiempo ha vencido.
Cuando enciendes el interruptor, primero se abre una ventana. Muestra los usuarios eliminados que anonimizará la próxima ejecución, cada uno con el día de su eliminación. Escribe ANONYMIZE en el campo y haz clic en «Confirm». Solo entonces queda encendido el interruptor. Si en esa zona horaria ya han pasado las 03:00, la primera ejecución llega en unos diez minutos.
La misma ventana aparece cuando acortas el número de meses con el interruptor encendido. Para apagarlo no hace falta confirmar.
El tiempo solo empieza cuando se elimina una cuenta. Archivarla no basta. Una cuenta archivada solo está bloqueada y puede volver en cualquier momento, por ejemplo tras un permiso parental. Para eliminar una cuenta, haz clic en el símbolo de la papelera «Delete account» de su fila en «User management».
Antes de que pase nada, una ventana dice lo que viene. Si la anonimización automática está encendida, indica el número de meses. Una cuenta eliminada aparece en la vista «Archived» con la etiqueta «Deleted». El símbolo «Restore account» la recupera. Para administradores y agentes, Basic necesita para ello una plaza libre. Si la cuenta se vuelve a eliminar más tarde, el tiempo empieza de nuevo.
Tu propia cuenta no tiene símbolo de papelera. Solo un administrador puede eliminar o archivar una cuenta de administrador. El último administrador activo no se puede eliminar ni archivar.
Por eso, cuando alguien se ha ido para siempre, elimina la cuenta y no te limites a archivarla. Una cuenta archivada desde hace más de un año muestra un símbolo de calendario en su fila. Su texto de ayuda te recuerda que debes eliminar la cuenta.
El camino inmediato está en el diálogo de la exportación de datos, en el área «Anonymize», debajo de los hallazgos. Abres el diálogo desde la fila de una cuenta, o con «Export by e-mail address» para una persona sin cuenta.
Si la dirección pertenece a una cuenta, haz clic primero en «Use this account». Solo así se anonimiza la propia cuenta. Una ejecución solo por la dirección sustituye la dirección allí donde está guardada y deja la cuenta como está.
Escribe ANONYMIZE en el campo y haz clic en «Anonymize». Una cuenta activa se elimina primero y después se anonimiza. Tu propia cuenta no se puede anonimizar. El último administrador activo, tampoco.
Después, la fila lleva la etiqueta «Anonymized». Una cuenta así ya no se puede editar, restaurar ni reactivar. Solo queda la exportación de datos. Puedes volver a ejecutar la anonimización. El número sigue siendo el mismo, y también se cubren los datos restaurados desde entonces.
La casilla «Also clear the content of tickets this person requested» va más allá. El número entre paréntesis es el número de esos tickets. Sus textos se vacían y sus adjuntos se eliminan. Los tickets de otras personas en los que la persona solo respondió únicamente se anonimizan.
Antes comprueba tus obligaciones de conservación. En Alemania, por ejemplo, las cartas comerciales deben conservarse seis años. El diálogo te lo recuerda. El camino automático solo anonimiza. Nunca vacía contenido.
Si no se pudo eliminar un archivo del servidor, el diálogo indica cuántos. La ejecución cuenta igualmente como terminada. El sistema no lo vuelve a intentar por sí solo.
Cada ejecución queda registrada con su momento, el número del marcador de posición y lo que se cambió. En el camino inmediato, el registro indica además quién la inició. No contiene ni el nombre ni la dirección de correo de la persona.
Anonimizar requiere el permiso «Anonymize people». De fábrica solo lo tienen los administradores. Solo un administrador puede usarlo. Nunca se puede dar al rol «Customer». El diálogo de la exportación de datos requiere además «Data export (data subject request)».
Límites
Los nombres en el texto corrido se quedan, por ejemplo «Saludos, Max» al final de un correo. Los números de teléfono en el texto corrido también se quedan. Ninguno de los dos se puede reconocer con fiabilidad. Para los tickets de un cliente está la casilla para vaciar el contenido.
Si otra cuenta tiene el mismo nombre y apellidos, el nombre de la persona no se sustituye en el historial del ticket ni como nombre del solicitante. Si no, también se verían afectadas las entradas de la otra persona. La dirección y el teléfono se sustituyen igualmente. La comprobación compara el nombre y los apellidos. El historial de asignaciones guarda el nombre de inicio de sesión. Por eso no se detecta a una persona del mismo nombre que solo aparece allí con su nombre de inicio de sesión.
Las entradas muy antiguas del historial del ticket que todavía no apuntan a la cuenta solo llevan el nombre. No se reconocen.
Un ticket que un agente registró por teléfono sin la dirección de correo del solicitante no se reconoce. El nombre y el número de teléfono del solicitante se quedan en él.
Las direcciones en la configuración no se cambian, por ejemplo en las reglas de correo y las reglas de automatización. Si ahí aparece la dirección de la persona, cámbiala tú mismo.
Si la persona vuelve a escribir después de la ejecución, una nueva ejecución por su dirección abarca también los correos nuevos. La inicias con «Export by e-mail address». El número sigue siendo el mismo. Una nueva ejecución sobre la cuenta anonimizada no encuentra los correos nuevos. La cuenta ya no conoce la dirección antigua.
De los archivos se encarga el propio sistema. Cuando restauras un archivo, todas las personas anonimizadas antes se vuelven a anonimizar en los tickets restaurados. El mensaje después de restaurar indica cuántas. Una dirección que en esos tickets solo aparece en el texto corrido no se reconoce allí. Además, la ejecución nocturna posterior a una anonimización actualiza los archivos. La tarjeta «Plazos de conservación» lo explica.
Con una copia de seguridad es distinto. Una copia hecha antes de una ejecución todavía contiene los datos antiguos. Al restaurar, «Ticket System Backup & Restore» se ocupa de ello. La aplicación pregunta si todas las personas anonimizadas en el estado actual deben anonimizarse de nuevo. «Yes» está preseleccionado. El sistema de tickets lo hace entonces en la ejecución nocturna de las 03:00, en la zona horaria definida. Esto también vale si el interruptor está apagado. Hasta entonces sus nombres vuelven a verse. La tarjeta «Data protection» muestra un aviso con el número. La copia de seguridad también trae de vuelta el estado del interruptor de entonces. Por eso, comprueba el interruptor después de restaurar.
Si restauras una copia de otra forma, respondes «No» o usas «--no-reapply» en la línea de comandos, esto no ocurre. El camino automático vuelve entonces a encontrar las cuentas eliminadas, siempre que el interruptor esté encendido. Las ejecuciones que iniciaste a mano tienes que repetirlas. Para eso te ayuda el enlace «Download list of anonymizations» de la tarjeta «Data protection». Descarga la lista antes de restaurar. Después ya no contiene las ejecuciones hechas después de la copia de seguridad. La lista tiene una fila por cada persona anonimizada, con las columnas «Date», «Number», «Account ID», «E-mail hash» y «Content cleared». «Date» es el momento de la primera ejecución en UTC. «Account ID» solo está rellenado si se anonimizó una cuenta. «E-mail hash» es una huella de la dirección que no se puede revertir. «Content cleared» indica si se vació el contenido de los tickets que solicitó la persona. Después de cada ejecución, descarga tú mismo la lista y guárdala fuera del sistema. Una copia de seguridad hecha antes de una ejecución no contiene esa ejecución.
Solicitudes de supresión y personas que vuelven
Eliminar y anonimizar son dos cosas distintas. «Delete account» solo oculta una cuenta. «Restore account» la recupera. Hasta entonces, su dirección de correo queda reservada para esa cuenta. Por eso una solicitud de supresión la resuelves con «Anonymize» en el diálogo de exportación de datos. Esto no se puede deshacer. El nombre y la dirección se sustituyen por «Anonymized user» y el número. Se elimina la vinculación con la cuenta de un proveedor de inicio de sesión único.
Cada dirección de correo pertenece a una sola cuenta. Si creas una cuenta con una dirección que ya tiene otra cuenta, el sistema lo rechaza. El mensaje es «This e-mail address already belongs to another account.» Lo mismo vale cuando cambias la dirección de una cuenta. Si la dirección pertenece a una cuenta eliminada, el mensaje es «This e-mail address belongs to a deleted account. Restore that account instead.» Restaura entonces la cuenta antigua en lugar de crear una nueva. Las cuentas anonimizadas no cuentan. Solo llevan la dirección del marcador de posición.
Una cuenta eliminada no se puede restaurar si otra cuenta activa tiene ahora la misma dirección. El mensaje es entonces «This e-mail address already belongs to another account.» Cambia primero la dirección de la otra cuenta.
De la época anterior a esta regla puede haber cuentas que comparten una dirección. La gestión de usuarios las marca con el aviso «This e-mail address belongs to more than one account. Change it so that each account has its own address.» Da a cada una de estas cuentas su propia dirección. Hasta entonces no funciona el inicio de sesión con esa dirección en lugar del nombre de usuario. Tampoco se envía el correo para restablecer la contraseña.
Si una persona vuelve tras una solicitud de supresión, obtiene una cuenta nueva. Ocurre, por ejemplo, cuando vuelve a iniciar sesión con Google o Microsoft con la misma dirección. Para ello, «Automatically create accounts on first sign-in» debe estar activado. La cuenta anonimizada ya no lleva su dirección y no estorba a la cuenta nueva.
Las anonimizaciones antiguas nunca afectan a los tickets nuevos de esta persona. Esto vale también después de restaurar una copia de seguridad o un archivo. Cuando una anonimización se vuelve a aplicar, solo abarca datos creados antes de su momento.
Si la cuenta antigua solo se eliminó y no se anonimizó, el sistema rechaza el primer inicio de sesión por SSO con esa dirección. Lo que ve la persona depende del proveedor. Si el proveedor confirma la dirección, el mensaje es «An account with this e-mail address was deleted. Ask an administrator to restore it.» Si no la confirma, el mensaje es «Your e-mail address is not verified with the provider.» Así el sistema no revela si existe una cuenta eliminada para una dirección.
Como administrador tienes entonces dos caminos. Si restauras la cuenta antigua con «Restore account», la persona sigue trabajando en ella con su historial. El inicio de sesión por SSO funciona si la cuenta ya estaba vinculada a ese proveedor o si el proveedor confirma la dirección. Si la solicitud de supresión sigue vigente, anonimiza la cuenta antigua. Después la dirección queda libre y el inicio de sesión crea una cuenta nueva.
El autorregistro responde en este caso de forma neutra: «Registration could not be completed. If you already have an account, use the password reset on the sign-in page.» No revela si existe una cuenta para la dirección.
