Pista de auditoría, privacidad, conservación y acceso de reguladores

La vista de administración

El panel de administración resume la organización - perfil, personas y permisos, capacidad del plan y actividad de auditoría reciente - y enlaza con las páginas de gestión. Solo lo ven propietarios y administradores.

La pista de auditoría

La pista de auditoría registra quién hizo qué, sobre qué ficha y cuándo: creaciones, actualizaciones, publicaciones, validaciones, respuestas de proveedores, cambios de justificantes y sesiones, y aprovisionamiento a nivel de plataforma. Se filtra por entidad, acción y rango de fechas, y se exporta a CSV para un auditor.

La pista se trata como prueba inmutable. La conservación nunca la purga y ninguna interfaz modifica ni borra una entrada: es justamente el objetivo. Un cambio de máquina se atribuye como tal en lugar de recibir un actor humano ficticio.

Enviar la pista de auditoría a un SIEM

En Ajustes, Flujos de auditoría, un propietario o administrador puede enviar cada entrada de auditoría a un SIEM en cuanto se registra: un colector HTTPS (peticiones firmadas con HMAC-SHA256 en x-dpp-signature, como los webhooks), un HTTP Event Collector de Splunk o Datadog. El secreto del colector se guarda cifrado y no vuelve a mostrarse.

Las entradas salen en el orden de la cadena y al menos una vez: cada una lleva su número de secuencia y su huella SHA-256 de cadena, para descartar duplicados y verificar la copia. Un colector que falla se reintenta con espera, exactamente desde donde se detuvo. La cadena completa también se puede descargar en NDJSON.

Solicitudes de privacidad

Una exportación de interesado reúne los datos personales que se tienen sobre un contacto de proveedor, un custodio, un arrendatario o un miembro, para atender una solicitud sin rebuscar en las tablas.

El borrado anonimiza los campos personales en lugar de eliminar filas: la ficha permanece, porque las entradas de auditoría, las pruebas y la trazabilidad de retirada deben sobrevivir. Exige una confirmación explícita porque no se puede deshacer, y cada solicitud se registra con su resultado para que puedas mostrar qué hiciste.

Conservación

Los ajustes de conservación fijan cuánto se guarda la telemetría operativa - escaneos de soportes, intentos de entrega de webhooks, indicios de solicitudes de privacidad - con valores por defecto de la plataforma y excepciones por organización. La vista previa muestra qué eliminaría una purga antes de ejecutarla, y una purga programada aplica esas ventanas a diario.

La pista de auditoría queda explícitamente excluida, y los documentos de prueba son tuyos. La conservación trata del ruido operativo, no del registro de lo que declaraste.

Acceso de reguladores y terceros

En lugar de enviar una hoja de cálculo a quien la pida, emite una autorización: un propósito, los mercados y categorías que cubre y una fecha de caducidad, con aprobación de propietario o administrador. El token se muestra una vez y se guarda con hash, y puede revocarse en cualquier momento.

El titular obtiene un registro de cumplimiento con alcance limitado y un registro de pruebas - metadatos de documentos, nunca el contenido de los ficheros - y puede ser rechazado si pide fuera de su ámbito. Cada lectura se audita como acceso de regulador, para que veas exactamente qué se consultó y cuándo. Un token pendiente, desconocido, caducado o revocado se rechaza sin explicación.

Informes de ciclo de vida de reparadores y recicladores

Un socio con un acceso aprobado puede informar de lo que hizo con un producto: un reparador (acceso de servicio) informa reparaciones, inspecciones y remanufacturas; un reciclador, reciclaje e inspecciones; un operador con interés legítimo, inspecciones y devoluciones. Usa POST /regulator/passports/{id}/reports con su x-regulator-token.

Un informe no cambia nada por sí solo: espera en Lifecycle reports y en la bandeja de acciones hasta que un propietario o administrador lo acepta - lo que registra el evento en el pasaporte y actualiza el estado del artículo - o lo rechaza con un motivo visible para el socio.

¿Cómo lee el titular de una autorización los datos restringidos?

Cada pasaporte público tiene una vista autorizada, enlazada desde su sección de acceso. El titular de una autorización pega allí su token; se envía en una cabecera de la solicitud, nunca en la dirección, y la página muestra los campos restringidos del nivel de la autorización - el estado de salud para un interés legítimo, la información de desmontaje para un reparador o reciclador - con las mismas etiquetas y unidades que la página pública. Cada consulta queda en el registro de auditoría como acceso de autoridad.

La propia página pública indica qué campos no muestra y qué niveles pueden leer cada uno, para que el lector sepa a quién dirigirse.

Referencia página por página

Estas páginas se revisaron en la consola de la organización el 8 de octubre de 2026 con una organización de ejemplo aislada. Los controles pueden variar según el rol, el plan, el estado del registro y los proveedores configurados. Las explicaciones prácticas y los nombres de los controles siguientes siguen la interfaz en inglés revisada.

Organization overview (/admin)

Owners and administrators see team size, subscription capacity, recent organization audit events and shortcuts to the settings they control.

Use the overview to identify which administrative area needs attention: member capacity, subscription capacity, or a recent audit event. Follow its shortcut into the corresponding settings page for the actual change. The summary is a starting point; the detailed page shows the permissions, limits, and confirmation controls for that operation.

Editor and viewer roles do not get this administrative page.

Controles y opciones

• Manage team opens invitations and membership controls.
• Plan capacity compares current use with limits; open Billing to see subscription details.
• Recent audit activity links to the searchable audit log.
• Admin shortcuts open billing, webhooks, custom rules and privacy settings.

Audit log (/admin/audit)

The audit table records an action, entity, actor and time for organization changes. It is a trace of events, not an editable record.

Set a narrow date range and entity type before exporting when you need to investigate one change. Match the event time, actor, action, and entity identifier against the record's own version or review history. This view is an organization change trace, so it is useful for reconstruction and accountability rather than editing the recorded event.

Audit entries are retained separately from operational retention windows.

Controles y opciones

• Filter by action and entity type or restrict From and To dates, then Apply filters.
• Clear returns to the full recent list; pagination continues through the log.
• Export CSV downloads the current audit data for offline review.
• Use the entity identifier and timestamp together when reconciling a change with a passport version or document review.

Lifecycle reports (/lifecycle-reports)

Approved external partners can submit repair, inspection, return or recycling reports, but each report waits for an organization decision.

Open a pending partner report and compare its item, event, and evidence with the organization's record. Acceptance records the lifecycle event and may update the item state; rejection sends a reason back to the reporter. Leave the report pending when the evidence is incomplete, because pending submissions do not change the passport.

A pending report changes no passport state.

Controles y opciones

• Filter reports by status and open one to inspect source, event, item and evidence.
• Accept records the lifecycle event on the passport and updates the reported item where applicable.
• Reject requires a reason visible to the reporting partner.
• Manage access grants controls who may submit in the first place.

Audit log streaming (/settings/audit-streams)

Audit streams forward signed, chained organization events to an HTTPS collector, Splunk HEC or Datadog.

Choose the destination type and HTTPS collector, then configure the receiver to verify signed, chained events before relying on the stream. Starting from now avoids a historical replay; choose backfill only when the collector is ready for the full chain. Watch delivery and sequence status after creation, and deduplicate by event identity or sequence on the receiver.

The collector credential is stored sealed and is not shown again.

Controles y opciones

• Name a stream, choose collector type and HTTPS endpoint, and provide its signing secret or token.
• Start from now or request the whole chain when an authorized backfill is needed.
• Create stream, then inspect delivery status and retry information.
• Use sequence numbers and hashes to deduplicate and verify the receiver's copy.

Regulator access (/settings/regulators)

A grant limits an external authority to an approved purpose, market, category, access tier and expiry.

Define a grant by authority, purpose, market, product category, tier, and expiry before sharing a token. Copy the one-time token through an approved channel and verify the recipient can see only the intended registry or evidence metadata. Revoke the grant when its purpose ends rather than relying solely on a distant expiry date.

Read-only registry and evidence metadata remain bounded by the grant; file contents are not automatically exposed.

Controles y opciones

• Enter authority, contact reference and purpose; choose markets and product categories.
• Set expiry and the appropriate access tier before Create grant.
• Copy the one-time token securely to the authorized recipient.
• Review grant status and revoke access when the purpose ends.

Privacy requests (/settings/privacy)

Privacy tools find a subject's organization data and record export or anonymization outcomes.

Identify the subject with the exact reference used in the organization, then inspect the proposed export before responding to a request. Erasure anonymizes eligible personal fields only after confirmation and records the action; it must preserve necessary product and audit trace. Use the request log to reconcile the requested action, actor, time, and outcome.

Anonymization preserves necessary audit and product trace while removing personal fields.

Controles y opciones

• Choose subject type and supply the exact email or tenant reference.
• Export data produces a reviewable subject package and logs the request.
• Erase (anonymise) requires explicit confirmation and records the reason and result.
• Check the request log before replying to the requester.

Data retention (/settings/retention)

Retention windows cover operational telemetry such as scan events and delivery attempts, with preview before cleanup.

Set the window for each operational record class, then preview the number of rows affected before a sweep. A dry run shows the impact without deleting telemetry; use the real sweep only after reviewing those counts and the policy exclusions. Audit history and uploaded evidence follow their own retention rules and are not removed by these windows.

The audit chain and uploaded evidence are not swept by these telemetry settings.

Controles y opciones

• Set days per record class within the displayed limits and Save windows.
• Preview impact counts records that would be removed under current windows.
• Dry run sweep reports the effect without deletion; Run sweep now applies it after review.
• Read Policy notes for excluded evidence and audit records.