Cómo redactar la política de privacidad de un bot de Discord

Empieza por enumerar lo que tu bot recibe realmente y lo que guarda. Un inventario típico es así:

• Datos de usuario: ID de usuario, nombres de usuario, nombres visibles, avatares y roles en un servidor
• Datos del servidor: ID de servidor (guild), ID de canal, ID de rol y la configuración del servidor que guarda tu bot
• Contenido de los mensajes: texto, embeds y archivos adjuntos que lee tu bot, si tiene acceso
• Comandos e interacciones: entradas de comandos de barra (slash commands), clics en botones, opciones de menús de selección
• Datos de funciones que creas: XP y niveles, advertencias y registros de moderación, saldos de economía, recordatorios, tickets
• Datos del panel: si gestionas un panel web con Discord OAuth2, los datos que cubren los scopes que solicitas, como identify o email
• Datos operativos: registros de errores, registros de límites de peticiones y registros del proveedor de alojamiento, que pueden contener ID o texto de mensajes
• Pagos: si vendes funciones premium, el estado de la suscripción y los registros de tu proveedor de pagos

Para cada línea, anota si solo lo tratas en memoria para responder a un comando o lo guardas en una base de datos, y durante cuánto tiempo. Esa diferencia determina tanto tu sección de conservación como las normas de eliminación de Discord.

Sí. La sección 5 de los Términos de servicio para desarrolladores de Discord (Developer Terms of Service), titulada User Privacy and Security, dice que facilitarás y cumplirás una política de privacidad para tu aplicación que respete las leyes de privacidad aplicables y describa de forma clara, exacta y completa qué datos recoges, cómo los usas y los compartes con Discord y con terceros, y cómo pueden los usuarios solicitar su eliminación. La misma sección dice que mantendrás enlaces públicos y actualizados a tu política de privacidad en el Developer Portal y que harás que sea fácilmente accesible para los usuarios desde tu aplicación.

Discord también nombra las leyes que espera que cumplas, entre ellas el RGPD y la Directiva sobre privacidad y comunicaciones electrónicas (ePrivacy), el RGPD del Reino Unido, la LGPD de Brasil y la CCPA y la CPRA de California. Tu bot no tiene que ser grande para que esas leyes importen: un bot de moderación en unos pocos servidores europeos ya está tratando datos personales de residentes en la UE.

Hay otro detalle que sorprende a los desarrolladores. Discord dice que tu política de privacidad no puede prevalecer sobre los Developer Terms ni contradecirlos, y que en caso de conflicto prevalecen los Terms. Así que tu política no puede concederte derechos sobre datos que las normas de Discord prohíben. Las secciones siguientes muestran lo que eso significa en la práctica.

El contenido de los mensajes es el dato más sensible que toca la mayoría de los bots, y Discord lo trata en consecuencia. Según la documentación del gateway de Discord, MESSAGE_CONTENT es un intent privilegiado que controla el acceso a los campos de contenido de los mensajes en toda la API, incluidos content, embeds, attachments, components y polls.

Sin el intent, la documentación de Discord dice que las apps reciben valores vacíos en esos campos, con unas pocas excepciones:

• los mensajes que envía la propia app
• los mensajes directos con la app
• los mensajes en los que se menciona a la app
• el mensaje sobre el que se usa un comando de menú contextual de mensaje

Las normas de acceso han cambiado con el tiempo, así que consulta el artículo vigente del Centro de ayuda de Discord antes de planificar en torno a ellas. En el momento de escribir esto, dice que las apps con menos de 10.000 usuarios pueden activar los intents privilegiados en el Developer Portal, mientras que las apps que alcanzan los 10.000 usuarios necesitan una revisión para mantener el acceso. Por otra parte, el artículo de verificación de Discord dice que la verificación es obligatoria para que una app supere los 100 servidores.

Para tu política de privacidad, la conclusión práctica es sencilla: di si tu bot lee el contenido de los mensajes, por qué y si guarda algo de él. Si puedes crear las funciones con comandos de barra, recoges menos y tienes menos que explicar.

La Developer Policy de Discord tiene una sección llamada Handle Data with Care, y fija límites que tu política de privacidad debe reflejar en lugar de contradecir. Entre otras cosas, dice que no debes:

• usar los datos de la API para ningún fin que vaya más allá de lo necesario para la funcionalidad declarada de tu aplicación, salvo la mejora mediante datos agregados o anonimizados
• usar los datos de la API para elaborar perfiles de los usuarios de Discord, sus identidades o sus relaciones
• obtener datos de la API de personas menores de 13 años o de la edad mínima que exija la ley en su jurisdicción, ni información sensible como datos de salud o financieros salvo cuando lo permitan las condiciones de Discord
• revelar datos de la API a intermediarios de datos, redes publicitarias u otros servicios relacionados con la monetización
• vender, licenciar o comercializar de cualquier otro modo los datos de la API
• usar el contenido de los mensajes obtenido a través de las API para entrenar modelos de aprendizaje automático o de IA, incluidos los grandes modelos de lenguaje, salvo que Discord lo permita expresamente

Discord también exige a los desarrolladores que avisen a Discord y a los usuarios afectados de un posible acceso no autorizado a los datos de la API, como se describe en los Developer Terms.

Describe tus finalidades de forma acotada y concreta: «guardamos las advertencias para que los moderadores puedan revisar el historial de un miembro en ese servidor» es a la vez más claro y más seguro que «usamos los datos para mejorar nuestros servicios».

La sección 5(b) de los Developer Terms solo te permite compartir datos de la API con un tercero en casos limitados: con un proveedor de servicios, cuando lo exija la ley o cuando un usuario te indique expresamente que compartas sus datos. Antes de usar un proveedor de servicios, Discord exige un acuerdo por escrito que limite al proveedor a usar los datos en tu nombre y para ningún otro fin.

Casi con seguridad tu bot tiene proveedores de servicios. Los habituales son:

• un VPS o alojamiento en la nube y una base de datos gestionada
• un servicio de seguimiento de errores o de registros
• un proveedor de pagos para los niveles premium
• una API de IA que resume, traduce o responde preguntas usando el texto de los mensajes

Nombra a estos proveedores en tu política, o al menos sus categorías y ubicaciones, y explica qué datos recibe cada uno. Si envías contenido de mensajes a un proveedor de IA, dilo claramente, comprueba que el proveedor no usa el tráfico de tu API para entrenar sus modelos y recuerda la propia norma de Discord contra el entrenamiento con el contenido de los mensajes. La guía de información de privacidad para productos de IA explica cómo describir los proveedores de modelos y la conservación.

Si transfieres datos de la UE o del Reino Unido a proveedores de otros lugares, tu política también debe mencionar las transferencias internacionales.

Discord es especialmente concreto sobre la eliminación. Salvo cuando la ley te obligue a conservar datos, los Developer Terms dicen que debes eliminar sin demora los datos de la API cuando ya no sean necesarios para tu funcionalidad declarada, cuando dejes de gestionar tu aplicación, cuando Discord lo pida, cuando el usuario lo pida o cuando la ley lo exija. También debes dar a los usuarios una forma fácilmente accesible de pedir que se modifiquen y eliminen sus datos de la API.

En tu bot, eso podría significar:

• un comando de barra que elimine los datos guardados de un usuario, con un paso de confirmación
• un servidor de soporte o una dirección de correo indicados en la política
• la eliminación automática de los datos de los servidores que retiran el bot, tras un plazo que indiques

Tu política debe enumerar los plazos de conservación de cada tipo de dato, por ejemplo, registros de moderación que se conservan hasta que un administrador del servidor los elimina o el bot abandona el servidor, y registros de errores que se conservan durante un número fijo de días.

En cuanto a la seguridad, la sección 5(c) exige esfuerzos comercialmente razonables para proteger los datos de la API, incluido el cifrado de los datos en reposo y salvaguardas administrativas, físicas y técnicas, además de avisar sin demora a Discord de los incidentes. Un breve párrafo de seguridad en tu política debe describir estas medidas sin prometer de más.

Discord exige dos cosas: un enlace público y actualizado en el Developer Portal y un acceso fácil desde tu aplicación. En la práctica, eso significa:

1. Developer Portal: añade la URL a la configuración de tu aplicación para que aparezca donde Discord y los usuarios la esperan.
2. Dentro del bot: un comando, como uno de privacidad o de información, que responda con el enlace, y una mención en tu comando de ayuda.
3. Tu web o tus páginas de listado: enlázala desde las páginas de listas de bots, tu página de aterrizaje y el canal de información de tu servidor de soporte.

El enlace debe abrir una página web real que cualquiera pueda leer sin iniciar sesión. Un mensaje fijado en un servidor de Discord no es público, y un documento que cambia de permisos puede dejar de funcionar sin previo aviso.

Si no tienes una web para tu bot, consulta cómo conseguir una URL para la política de privacidad, que compara las opciones de alojamiento, incluida una página alojada por un generador. Mantén la misma URL durante toda la vida del bot y actualiza el contenido cuando cambien las funciones.

Muchos desarrolladores de bots publican unos términos de servicio junto a la política de privacidad, y cumplen una función distinta. La política de privacidad explica lo que haces con los datos; los términos fijan las reglas de uso del bot: uso aceptable, suscripciones premium y reembolsos, disponibilidad, límites de responsabilidad y tu derecho a bloquear a usuarios o servidores abusivos.

La Developer Policy de Discord también espera que ofrezcas a los usuarios una forma de informar de problemas o infracciones relacionados con tu aplicación, y que revises esos informes y tomes las medidas adecuadas. Tus términos son un lugar natural para explicar cómo funcionan los informes, junto con el servidor de soporte o el correo que indicas en la política de privacidad.

Si vendes funciones premium, los términos importan más: deben explicar la facturación, la cancelación y qué pasa con las ventajas premium si se retira el bot de un servidor. Nuestras guías sobre términos y condiciones para apps y sobre política de privacidad frente a términos y condiciones explican el reparto, y el generador de términos de servicio para apps puede redactar los términos a partir de tus respuestas.

Puedes crear la política de privacidad de un bot con el generador de políticas de privacidad para apps. Elige el caso de uso de aplicación y describe tus datos con honestidad: qué identificadores y contenido de mensajes guardas, tus proveedores de alojamiento y base de datos, cualquier API de IA, los pagos de las funciones premium, los plazos de conservación y las regiones en las que están tus usuarios. Los bots de Discord suelen llegar a usuarios de la UE, el Reino Unido, EE. UU. y Brasil, lo que coincide con las leyes que nombra la propia Discord.

El cuestionario, la vista previa completa y la descarga simple en HTML y PDF son gratis y sin cuenta. Las cláusulas proceden de una biblioteca versionada y se seleccionan de forma determinista a partir de tus respuestas, así que la política solo describe lo que confirmas. Los módulos regionales avanzados, como el RGPD, el Reino Unido, California y la LGPD de Brasil, cuestan $5, y el alojamiento público opcional añade $0.99 una sola vez, lo que te da una página pública para pegar en el Developer Portal.

Después de generarla, compara el texto con las normas de Discord: si la política describe un uso que la Developer Policy prohíbe, cambia tu bot, no solo la redacción. El texto generado refleja tus respuestas y no es asesoramiento jurídico.