Un cliente autónomo nos pregunta si es obligatorio publicar su dirección fiscal en el aviso legal de su sitio web, o si basta con contratar y hacer público un apartado postal en su lugar.
Entendemos y compartimos su preocupación: Nuestro cliente tiene como domicilio fiscal el mismo domicilio particular en el que vive, y lógicamente, el hecho de incluirlo en el aviso legal, representa hacer público su domicilio particular ante cualquier persona que visite su web.
Si nos atenemos al literal de la ley. El contenido informativo mínimo que debe tener un sitio web está regulado en el artículo 10 de la LSSI (Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico), que dice así:
1. Sin perjuicio de los requisitos que en materia de información se establecen en la normativa vigente, el prestador de servicios de la sociedad de la información estará obligado a disponer de los medios que permitan, tanto a los destinatarios del servicio como a los órganos competentes, acceder por medios electrónicos, de forma permanente, fácil, directa y gratuita, a la siguiente información:
a) Su nombre o denominación social; su residencia o domicilio o, en su defecto, la dirección de uno de sus establecimientos permanentes en España; su dirección de correo electrónico y cualquier otro dato que permita establecer con él una comunicación directa y efectiva. […]
Así pues, si queremos cumplir el literal de la ley sí es necesario incluir un domicilio postal y no sirve un apartado postal.
Ahora bien, una solución que te permite salvaguardar tu privacidad es contratar el domicilio en un centro de negocios donde quizá no pongas jamás un pie. Seguramente podrás pactar con ellos que te reenvíen toda la correspondencia, o bien, que te avisen si llega algún correo certificado o burofax y que depositen en el contenedor del papel todo lo demás.
Este servicio es totalmente legal. Al fin y al cabo, el autónomo o la empresa decide si quiere trabajar muchas horas en el centro de negocios o si prefiere “teletrabajar” desde su domicilio el 99.999999% del tiempo.
Hay muchas empresas que ofrecen este servicio. Si buscas “domiciliación de sociedades” encontrarás que hay mucha competencia donde elegir.
Nuestra web puede ser mucho mejor si utilizamos recursos de video para mostrar lo que queramos a nuestros visitantes. Pero los videos pesan. Y si los alojamos en el mismo servidor donde tenemos la web, corremos el riesgo de sobrecargarlo en momentos puntuales en los que tengamos un tráfico de usuarios elevado.
Para solucionar esto aparecieron servicios de video como Youtube o Vimeo, que nos permiten subir videos e incrustarlos dentro de nuestra web. Haciéndolo así, el contenido video se carga desde el servidor externo de Youtube o Vimeo. Fácil.
Así solucionamos el problema de la posible sobrecarga de nuestro servidor, pero nos crea otro problema peor aún: Youtube y Vimeo van a insertar cookies analíticas para tener estadísticas de uso de los videos. La legislación de Estados Unidos se lo permite, pero el Reglamento Europeo de Protección de Datos NO. Es ilegal utilizar cookies no esenciales sin recabar el consentimiento del usuario, y la autoridad nacional (en España la Agencia Española de Protección de Datos) nos puede sancionar por hacerlo. Ciertamente puedes usar plugins bloqueadores de cookies y no cargar el contenido hasta que los usuarios acepten las cookies, pero los que visiten tu web, en lugar de ver el video, verán un aviso tan feo como este:
Entonces ¿Qué hacemos? Hemos encontrado una solución mejor. Alojar el video en un espacio dedicado en la nube de Amazon llamado S3 (Simple Storage Service)
La ventaja de esta solución es que no sobrecarga el servidor donde tengamos alojada la web, ya que amazon utiliza una nube con una enorme potencia y escalabilidad y nos factura mensualmente por el consumo que hayamos realizado. (Las facturas que nos emite Amazon no suelen llegar al euro al mes)
En esta entrada del blog hemos utilizado esa fórmula: Hemos creado un bucket llamado adelopd en un servidor de Amazon ubicado en Irlanda, y este post carga ese video desde la URL siguiente: https://adelopd.s3.eu-west-1.amazonaws.com/file_example.mp4
SOLUCIONADO: aquí puedes ver el video sin que utilicemos ninguna cookie.
NOTA: Los servicios de Amazon son muy potentes y muy flexibles. Están diseñados para poder ser utilizados por organizaciones grandes, por lo que a veces el manejo inicial es un poco complejo. Te hemos preparado esta pequeña guía de cómo lo hemos hecho nosotros por si te resulta de utilidad:
Si alguna vez te escribe un contacto de confianza (cliente, proveedor o amigo) diciéndote que ha recibido un correo sospechoso tuyo, pueden pasar dos casos:
1) Que efectivamente algún hacker se haya hecho con la contraseña de acceso a tu cuenta y esté enviando correos desde tu servidor SMTP como si fueses tú.
2) Que algún hacker esté enviando correos suplantando tu identidad desde un servidor SMTP ajeno al tuyo.
Para poder investigar más, no basta con que la persona que te avisa te reenvíe el correo. Necesitarás las cabeceras del correo sospechoso. ¿Cómo hacerlo? Depende del cliente de correo electrónico que utilice:
Una vez tenga delante esas cabeceras, que haga un copia y pega y que te las envíe: Con ellas es mucho más fácil identificar el origen del problema y abordar su solución.
La legislación tributaria establece los datos personales mínimos que ha de tener una factura: nombre y apellidos , NIF y domicilio fiscal.
El principio de minimización de datos nos exige no pedir más datos de los necesarios para la finalidad perseguida.
El camarero de un bar insistió en preguntarle el teléfono a una clienta que pidió una factura «porque su programa informático le exigía poner el teléfono para dar de alta a un cliente».
La clienta se negó a tal exigencia y la historia terminó en una sanción de 2000 euros al bar, por pedir más datos de los necesarios.
La decisión de activar DMARC en un dominio, puede presentar básicamente dos tipos de problemas para los correos salientes desde el dominio:
1) Redirecciones habilitadas por nuestros clientes / proveedores
Algunos clientes / proveedores que tienen un correo del tipo hola@clienteuno.com pero que tienen contratado un servicio de hosting lowcost, que no tiene buzón físico, sino una redirección a un correo gratuito del tipo clienteuno@gmail.com o clienteuno@hotmail.com
Si activamos DMARC esos clientes/ proveedores dejarán de recibir nuestros correos. ¿Por qué? Porque por funcionamiento de estas redirecciones, lo que hace el servidor de nuestro cliente es reenviar a clienteuno@gmail.com el correo que enviamos nosotros, como si fuésemos nosotros. Técnicamente está falsificando la identidad de nuestro dominio para escribir a clienteuno@gmail.com Por ello cuando el correo llega a gmail y el sistema de Google verifica el origen del correo, se da cuenta que NO se ha originado en un servidor autorizado y lo rechaza.
¿Esto supone un problema grave en 2020? En Adelopd activamos DMARC hace más de 6 meses y tuvimos este problema en menos del 0,2% de los correos que enviamos. Pero es bueno tenerlo en cuenta.
2) Envío de correos desde plataformas externas.
Cuando una empresa utiliza servicios de plataformas externas para enviar correos electrónicos en nombre de su dominio. Ejemplo: Plataformas de envío de correos electrónicos masivos, como Mailchimp, SendinBlue, Acumbamail, etc
En ese caso ANTES de activar DMARC, hemos de modificar la política SPF para que incluya el servicio externo que va a enviar en nombre de nuestro dominio. De no hacerlo así, los correos electrónicos enviados desde esa plataforma se irían a spam o serían directamente rechazados por los servidores de los destinatarios.
Si una empresa no utiliza plataformas externas, y se limita a enviar correos electrónicos desde su programa de escritorio (Outlook, Thunderbird…) o desde su gestor de webmail, la activación del DMARC no tiene por qué suponer ningún problema en la entrega de sus correos electrónicos.
Hoy hemos recibido un correo del Ministerio del Interior, relativo a una multa impagada.
La primera impresión es que se trataba de un correo fraudulento, pero al mirar el remitente, me ha parecido legítimo. Lo envía:
Ministerio del Interior<multas@interior.gob.es>
He revisado las cabeceras del mensaje, y me ha mosqueado bastante que el Ministerio del Interior utilice un servidor ruso para enviarme una notificación de una multa:
Received: from 194-58-108-196.ovz.vps.regruhosting.ru
(194-58-108-196.ovz.vps.regruhosting.ru [194.58.108.196])
He consultado el registro SPF del subdominio interior.gob.es, y me he encontrado esto:
El Ministerio del Interior, sí tiene publicado un registro SPF en el que informa que los correos legítimos los envía desde los servidores autorizados para recibir correos (MX).
He revisado cuáles son estos servidores:
Y resulta que no tienen publicado ningún servidor de correo entrante para este subdominio (interior.gob.es). O sea, que aunque contestes a multas@interior.gob.es, ese correo será devuelto porque no hay dado de alta ningún servidor de correo para ese subdominio.
Por tanto, tal y como suponía, el servidor ruso que me ha enviado el correo con la multa, NO está autorizado por la política SPF del subdominio interior.gob.es
Y sin embargo, extrañamente, mi servidor de correo entrante no ha rechazado el correo.
Intrigado, he analizado todas las cabeceras del mensaje con la ayuda del servicio de MXToolbox
He ahí mi sorpresa: Puesto que el subdominio interior.gob.es no tiene activado DMARC, el SPF que consulta no es el del dominio interior.gob.es, sino el del servidor ruso que ha enviado el mensaje.
Esto me ha confirmado que tener publicado el registro SPF, si no tienes activado DMARC no sirve de nada. Cualquier hacker de medio pelo puede enviar correos haciéndose pasar por un usuario de ese dominio, y los servidores de correo no lo filtrarán.
