Una base de datos política es una base de datos sensible
Aquí hay nombres, teléfonos, direcciones y opiniones políticas de miles de personas. Eso no se protege con una pantalla de inicio de sesión: se protege en la capa donde viven los datos, y se pide con consentimiento.
- AislamientoPor campaña (RLS)
- AlcancePor municipio
- Intención de votoCon consentimiento
- Vista del candidatoSolo agregados
- FotografíasBucket privado
- AuditoríaRegistro por acción
Cada campaña, su propio mundo
Varias campañas pueden estar corriendo sobre la misma plataforma sin que exista una consulta capaz de cruzarlas. La separación no es una condición en el código de la aplicación: es una política dentro de la base de datos.
- Cada fila pertenece a una organización. Las políticas de la base devuelven únicamente las filas de la campaña de quien consulta.
- El municipio es un segundo filtro. Un coordinador con alcance en un municipio no obtiene líderes de otro, ni siquiera pidiéndolos directamente.
- Un perfil desactivado queda sin organización a ojos de la base: pierde el acceso a todo de inmediato.
- El navegador no es una frontera de confianza. Manipular la aplicación del lado del cliente no abre datos, porque la autorización no vive ahí.
En política, la filtración no es un incidente técnico: es una noticia. Una base de simpatizantes en manos equivocadas expone a personas que confiaron su dato a una campaña, y expone a la campaña a una sanción.
Por eso el diseño parte de asumir que alguien va a intentar sacar datos desde adentro, con una sesión válida. Contra eso, la única defensa que sirve es que la consulta misma no devuelva las filas.
La intención de voto se pide, no se deduce
Es el dato más delicado que maneja una campaña y el que la ley colombiana protege con más fuerza. Gestratega lo trata como lo que es.
El ciudadano autoriza el tratamiento antes de que exista el registro. La autorización queda guardada con su fecha, y es revocable.
El candidato y su equipo ven cuántas personas están en cada nivel de intención por territorio. No ven quién dijo qué, porque no lo necesitan para decidir.
El dato se recoge para la campaña que lo pidió y se usa para eso. No se comparte con otras campañas de la plataforma ni se vende.
El tratamiento se ajusta a la Ley 1581 de 2012 y sus decretos reglamentarios: autorización previa, finalidad informada, derecho a conocer, actualizar y suprimir, y un responsable identificable. La campaña es la responsable del tratamiento; la plataforma, el encargado.
Detalles de operación que no se ven
Las fotos de líderes y ciudadanos viven en almacenamiento privado y se entregan con enlaces firmados que caducan. No hay una dirección pública desde la cual descargar el álbum de la estructura.
Las acciones que crean, aprueban o eliminan información quedan registradas con su autor y su hora. Cuando algo se borró y nadie sabe quién, el registro lo sabe.
El ingreso pasa por verificación contra automatización y las sesiones se renuevan del lado del servidor. Cerrar el acceso de una persona surte efecto en su siguiente petición, no cuando decida salir.
Sacar datos es una acción deliberada, disponible para los perfiles que administran, y queda registrada. No es un botón presente en todas las pantallas.
Lo que la plataforma no hace
- No compra bases de datos ni las cruza con las de la campaña. Todo lo que hay dentro lo puso la campaña o lo publicó un ciudadano.
- No entrega la identidad detrás de una intención de voto, ni siquiera al candidato.
- No comparte datos entre campañas. Dos clientes de la misma plataforma son dos mundos separados.
- No sustituye la asesoría jurídica electoral. Organiza la información; las decisiones y sus responsabilidades siguen siendo de la campaña.
¿Le preocupa un escenario en particular?
Traiga el caso: qué pasa si se va un coordinador, qué ve un testigo, cómo se borra el dato de un ciudadano que lo pide. Preferimos responderlo antes de que sea una urgencia.