​

Portal DSAR de autoservicio de extremo a extremo

​

1. Dos vías de recepción, una cola

​

2. Recorrido del portal

​

Publicar el enlace

https://orbit.devotel.io/<locale>/dsar

​

El prerrequisito del correo remitente

​

Lo que ve el interesado

1. Begin — correo, teléfono (E.164), tipo de solicitud. Un OTP de correo sale de inmediato.
2. Verify email — un código de correo de 6 dígitos (TTL de 10 minutos, 3 intentos, enfriamiento de reenvío de 60 segundos).
3. Send phone code — un OTP de SMS al mismo teléfono (enfriamiento de 60 segundos entre envíos).
4. Verify phone — un código SMS de 6 dígitos.
5. Submit — la solicitud entra en su cola solo con ambas pruebas. La reclamación completa tiene un TTL extremo a extremo de 30 minutos.

​

La jurisdicción mapea al reloj de SLA

​

3. Lo que ven los operadores tras una presentación

• Estado y plazo. La fila lleva el estado de ciclo de vida habitual y una insignia de SLA Day X of N anclada a la ventana de la jurisdicción; cualquier incumplimiento levanta el banner de SLA a nivel de workspace. GET /compliance/dsar/sla da el mismo cuadro por la API.
• Presentaciones de clase borrado. Un interesado que eligió “delete” aparece en la sección de portal de la pestaña Erasure requests (Art. 17), con la insignia de SLA al lado, por delante del enfriamiento predeterminado de 7 días.
• Cumplimiento. Una presentación de acceso o portabilidad corre hasta Completed con export_url firmado; la acción Download decrypted construye la exportación en claro para un operador. Un borrado, una vez ejecutado, ofrece el certificado Proof of deletion y Propagate a sus destinos conectados.
• Cadena de auditoría. Begin, ambas verificaciones y submit escriben filas con identificadores hasheados (nunca en bruto), IP de origen y user agent — el registro del que tira su evidence binder cuando un regulador pregunta cómo se estableció la identidad.

​

4. Lo que Orbit no hace

• Orbit nunca decide validez. Nunca acepta ni rechaza una solicitud por motivos legales. Las filas con verificación pendiente esperan su aprobar/rechazar; las filas verificadas se cumplen porque usted lo permite, no porque la plataforma juzgara la reclamación.
• Orbit nunca auto-cumple un veredicto de operador. Para una solicitud presentada por operador, no se produce exportación ni se borra nada mientras verification_status: pending. Una presentación por portal salta la puerta solo porque su OTP ya probó la identidad.
• El borrado honra su posture de enfriamiento. El predeterminado de 7 días (anulable por tenant) le da la ventana para rechazar, retener o eximir antes de la destrucción.
• Decirle qué ley aplica sigue siendo tarea de su asesor. Orbit ancla el reloj de SLA a la jurisdicción que el interesado eligió y usted confirmó.
• El portal muestra el subconjunto de derechos amigable al consumidor — un interesado que necesita un derecho solo de operador (rectificar, limitar datos sensibles, no discriminación) presenta a través de su equipo.

​

Bucle de reclamación del portal — muestras de petición ejecutables

​

1. Comenzar la reclamación

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/begin \
  -H "Content-Type: application/json" \
  -d '{
    "email": "customer@example.com",
    "phone": "+4915112345678",
    "request_type": "access",
    "turnstile_token": "…token from the hosted page…"
  }'

{
  "data": {
    "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T",
    "email_sent": true,
    "expires_in": 600
  }
}

​

2. Verificar el código de correo

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/verify-email \
  -H "Content-Type: application/json" \
  -d '{ "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T", "code": "582917" }'

{
  "data": { "state": "email_verified", "next_step": "phone_send" }
}

{
  "error": {
    "code": "VALIDATION_ERROR",
    "message": "Invalid verification code.",
    "status": 422
  }
}

​

3. Enviar y verificar el código de teléfono

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/send-phone \
  -H "Content-Type: application/json" \
  -d '{ "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T", "phone": "+4915112345678" }'

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/verify-phone \
  -H "Content-Type: application/json" \
  -d '{ "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T", "code": "034861" }'

{
  "data": { "state": "phone_verified", "next_step": "submit" }
}

​

4. Enviar con ambas pruebas en archivo

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/submit \
  -H "Content-Type: application/json" \
  -d '{ "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T" }'

{
  "data": {
    "reference_id": "dsar_pub_01JZW4KC7F2H8R1Y5A",
    "queued": true
  }
}

​

5. Leerlo de vuelta en la cola del operador

curl https://api.orbit.devotel.io/api/v1/compliance/dsar?status=processing \
  -H "X-API-Key: $ORBIT_API_KEY"

{
  "data": {
    "items": [
      {
        "id": "dsar_01JZW4M0BXK7Q3P9VN",
        "requester_email": "customer@example.com",
        "request_type": "know",
        "applicable_jurisdiction": "gdpr",
        "verification_method": "email_phone",
        "verification_status": "verified",
        "status": "processing",
        "requested_at": "2026-09-27T09:41:12.104Z"
      }
    ],
    "total": 1
  }
}

curl https://api.orbit.devotel.io/api/v1/compliance/dsar/sla \
  -H "X-API-Key: $ORBIT_API_KEY"

{
  "data": {
    "items": [
      {
        "id": "dsar_01JZW4M0BXK7Q3P9VN",
        "kind": "export",
        "sla_days": 30,
        "days_elapsed": 1,
        "days_remaining": 29,
        "severity": "green",
        "sla_deadline_at": "2026-10-27T09:41:12.104Z",
        "approaching": false,
        "breach": false
      }
    ],
    "breach_count": 0
  }
}

​

5. Ejemplo resuelto — una solicitud de acceso GDPR de extremo a extremo

1. Begin. Introduce su correo, su teléfono en E.164 (+4915…), elige access y supera el check Turnstile. El portal devuelve un claim id; el OTP de correo ya va en camino.
2. Verify email. Lee el código de 6 dígitos (TTL de 10 minutos, hasta 3 intentos) y pasa el primer factor.
3. Send phone code, verify phone. El segundo factor se repite por SMS — con enfriamiento de 60 segundos entre envíos — y ambas pruebas constan ya.
4. Submit. El portal presenta la solicitud. Como su correo y teléfono coinciden con un contacto de su workspace, la fila entra en cola como know bajo gdpr y devuelve una referencia dsar_pub_….
5. En su cola. La fila muestra Day 1 of 30 — verification_status: verified — y el worker de exportación ya la tiene. Nadie de su equipo toca el triaje.
6. Cumplir. El worker compila la exportación y marca la fila Completed con export_url y tables_exported. Un operador entrega el enlace de descarga (una copia en claro solo de operador está a un clic de Download decrypted).
7. Pasada la línea de SLA. Si la fila sigue abierta cuando transcurre la ventana GDPR de 30 días, el banner de SLA del workspace lo señala — y si ella eligió mal una jurisdicción en la recepción, la reclasificación desde su cola corrige el reloj retroactivamente.

​

Referencias relacionadas

• Referencia DSAR — las superficies completas de endpoints de operador y públicas, los límites de defensa contra abuso y los niveles de severidad de SLA.
• Designación de DPO y representante EU/UK — las designaciones Art.37/Art.27 que un aviso de privacidad debe nombrar.
• Registro de tratamiento GDPR (ROPA + DPIA) — el inventario Art.30 llevado antes de que llegue ninguna solicitud.
• Evidence binder de cumplimiento — ensamble las filas de auditoría que deja una presentación por portal.
• Cumplir una DSAR y operar el registro de incidentes de brecha — el recorrido del operador por la cola que alimenta su portal.
• Ensamblar una posture GDPR de extremo a extremo — dónde encaja la recepción por portal en la secuencia completa.