Estándar de anonimización de Tutti

Publicable en soytutti.com/anonimizacion. Es lo que prometemos en la sección 7 de la Política de privacidad y en la sección 8.4 de los Términos.

Referencia: Directrices 02/2026 del Comité Europeo de Protección de Datos sobre anonimización (borrador adoptado el 7 de julio de 2026, consulta hasta el 30 de octubre de 2026). Tres pruebas: que no se pueda individualizar a una persona, que no se puedan vincular registros de la misma persona y que no se pueda inferir información sobre ella. Este documento se revisará cuando se publique la versión definitiva.

1. Qué datos entran en el almacén agregado

Fuente: las líneas de presupuestos y facturas de todos los usuarios, copiadas periódicamente a un almacén separado del servicio.

Por cada línea se guarda: código de usuario, país, región (provincia o equivalente, derivada de la ciudad del negocio, nunca de la dirección del cliente), oficio, estado del documento (borrador, enviado, aceptado, cancelado), descripción del servicio, categoría, cantidad, unidad, precio unitario sin impuestos, moneda y fecha.

2. Qué NO entra nunca

• Ningún dato del cliente final: ni nombre, ni teléfono, ni correo, ni dirección, ni identificador fiscal, ni la dirección de la obra.
• Ni el subdominio, ni el teléfono, ni el nombre comercial, ni el logotipo del usuario.
• Ni el contenido de los mensajes, ni fotos, ni notas de voz.
• Ni importes con impuestos, ni datos de pago.

3. Seudonimización en origen

La identidad del profesional se sustituye por un código irreversible que no se almacena junto a los datos. No existe una tabla de correspondencia: el código se recalcula en cada sincronización y solo podría deshacerse con acceso a los sistemas internos de Tutti, que están bajo las mismas medidas de seguridad que el resto del servicio.

El almacén en sí es un conjunto seudonimizado, no anonimizado: contiene observaciones individuales. Por eso nunca sale de Tutti tal cual. Lo que se muestra, publica o cede son solo los agregados de la sección 4.

4. Reglas de agregación (lo único que sale)

Toda cifra que se muestre dentro del producto, se publique o se ceda a un tercero cumple las cuatro reglas:

1. Mínimo de cinco profesionales distintos en la celda (oficio × región × tipo de trabajo × período). Si no llega, la celda no se publica y el producto cae a las referencias de mercado estáticas.
2. Sin dominancia: se suprime la celda si un solo usuario aporta más del 50 % de las observaciones.
3. Solo estadísticos robustos: mediana y rango intercuartílico (percentiles 25 y 75), recuento redondeado a la decena. Nunca mínimos, máximos ni medias (un extremo identifica).
4. Sin series por usuario: no se publican evoluciones ni rankings que permitan seguir a un mismo profesional en el tiempo. Las series temporales son siempre sobre la celda completa.

Los presupuestos con un único precio global para todo el trabajo se agregan como "valor típico del trabajo", separados de los precios unitarios por servicio.

5. Cesión a terceros

Un tercero recibe únicamente tablas de agregados que cumplen la sección 4, con un contrato que prohíbe intentar la reidentificación y la combinación con otras fuentes para ese fin. Nunca recibe el almacén de la sección 1 ni ninguna fila individual.

6. Controles

• Pruebas automáticas que impiden publicar cualquier cifra que no cumpla el umbral de cinco profesionales o la regla de dominancia.
• Revisión semestral: un muestreo de celdas publicadas comprobando que no se puede individualizar, vincular ni inferir; la revisión queda documentada.
• Cuando se añade una dimensión nueva (por ejemplo, tipo de cliente o tamaño de obra), se evalúa antes si reduce el tamaño de las celdas por debajo del umbral.
• Si un usuario pide el borrado de su cuenta, sus observaciones individuales se eliminan del almacén en la siguiente sincronización. Los agregados ya publicados no cambian, porque no contienen sus datos.