Sin Eliminación de Cuenta
No ofrecer eliminación de cuenta viola el derecho de supresión del GDPR y el derecho a eliminar del CCPA — y es una señal de alerta de privacidad significativa para los usuarios.
Cómo Funciona
El Artículo 17 del GDPR da a los usuarios de la UE el derecho de solicitar la eliminación de sus datos personales. El CCPA da el mismo derecho a los usuarios de California. Si tu app recopila cualquier dato personal y no proporciona una forma para que los usuarios eliminen su cuenta y datos asociados, estás violando la ley en la mayoría de los mercados principales.
// MAL: sin opción de eliminación de cuenta en configuración
// La página de configuración no tiene botón de eliminar cuenta
// Sin endpoint de API para eliminación de cuenta
// Los usuarios deben enviar un email al soporte para solicitar la eliminación (frecuentemente ignorado)// BIEN: eliminación de cuenta self-service con borrado de datos
export async function DELETE(req: Request) {
const { userId } = await requireAuth(req);
// Elimina en orden: contenido del usuario, luego el registro del usuario
await db.userPosts.deleteMany({ userId });
await db.userSessions.deleteMany({ userId });
await db.users.delete({ id: userId });
// También: solicita eliminación de servicios de terceros (cliente de Stripe, etc.)
return Response.json({ deleted: true });
}Ejemplo Real
Múltiples empresas han sido multadas bajo GDPR por no proporcionar eliminación de cuenta accesible. British Airways fue investigada por hacer difíciles las solicitudes de eliminación. Los usuarios pueden presentar quejas GDPR que desencadenan investigaciones regulatorias que cuestan mucho más que construir la funcionalidad.
Cómo Prevenirlo
- Agrega una opción 'Eliminar Cuenta' en la configuración de cuenta que realmente elimine los datos del usuario
- Elimina en cascada todos los registros asociados al usuario — no solo marques la cuenta como inactiva
- También solicita eliminación de servicios de terceros que tienen los datos del usuario (Stripe, proveedores de email)
- Implementa un período de gracia de 30 días con un link de cancelación antes de la eliminación final
Tecnologías Afectadas
Data Hogo detecta esta vulnerabilidad automáticamente.
Escanea Tu Repo GratisVulnerabilidades Relacionadas
Sin Política de Privacidad
lowOperar sin una política de privacidad viola GDPR, CCPA y regulaciones similares — y hace que los usuarios desconfíen justificadamente del manejo de sus datos.
Sin Términos de Servicio
lowSin términos de servicio, no tienes base legal para restringir el abuso, terminar cuentas o limitar tu responsabilidad por contenido generado por usuarios.
Sin Banner de Cookies
lowEstablecer cookies no esenciales sin consentimiento del usuario viola los requisitos del GDPR y la Directiva ePrivacy para usuarios de la UE.
Datos de Pago Almacenados Localmente
criticalGuardar números de tarjeta completos, CVVs o PANs en localStorage, sessionStorage o tu propia base de datos viola PCI DSS y crea una responsabilidad masiva.