Implementación de la API OpenGDPR

Flujo de solicitudes GDPR

Los tipos de solicitud de RGPD, de acceso, portabilidad, supresión y rectificación, tienen el mismo flujo:

1. El usuario de la aplicación envía una solicitud.
2. El propietario de la aplicación genera la solicitud de RGPD (ver más abajo) y la envía a AppsFlyer.
3. AppsFlyer  recibe la solicitud y responde con un "201 OK" para las solicitudes válidas.
4. Durante las siguientes 48 horas, la solicitud se pone en cola y su estado es pending (pendiente). El usuario de la aplicación puede cancelar la solicitud. 
5. Después de 48 horas, el estado de la solicitud cambia a in_progress (en curso). AppsFlyer envía un postback ‘status change’ (cambio de estado). La solicitud no se puede cancelar. 
6. a) Dentro de un período de 28 días, AppsFlyer completa la solicitud.
   En el caso de una solicitud de supresión o rectificación, los datos del usuario de la aplicación se eliminan.
   En el caso de una solicitud de portabilidad o acceso,  se puede acceder a los datos del usuario de la aplicación en el panel de control de AppsFlyer bajo RGPD, o mediante la API de solicitud (ver más abajo).
   b) El estado de la solicitud se actualiza a completed (completada).  AppsFlyer envía un postback status change (cambio de estado).

Formato de solicitudes GDPR

Se puede presentar una API de solicitudes GDPR por medio de HTTP POST al punto de conexión 

https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=[api token]

El token de la API es el mismo token de la API que se utiliza para Pull API. El administrador recupera el token de la Pull API de la página del token de la API en el panel de control.  

Ejemplo de solicitud de supresión de RGPD 

curl --location --request POST 'https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=[api_token]' \
--header 'Accept: application/json' \
--header 'Content-Type: application/json' \
--data-raw '{ 
 "subject_request_id":"f4e5a271-f25e-4107-b681-************",
 "subject_request_type":"erasure",
 "submitted_time":"2020-07-05T10:00:00Z",
 "subject_identities":[ 
  { 
   "identity_type":"android_advertising_id",
   "identity_value":"55*****-****-****-************",
   "identity_format":"raw"
  }
 ],
 "api_version":"0.1",
 "property_id":"com.*********.*******.********",
 "status_callback_urls":[ 
  "https://examplecontroller.com/opengdpr_callbacks"
 ]
}'
 

Ejemplo de código de solicitud de borrado GDPR

/* 
using the okhttp package install from maven
https://mvnrepository.com/artifact/com.squareup.okhttp3/okhttp
 */

import okhttp3.*;
import java.io.IOException;

public class GdprSendRequest {
 public static void main(String[] args){

  OkHttpClient client = new OkHttpClient();
  RequestBody body = RequestBody.create(null, "" +
  "{\r\n\"subject_request_id\": \"<SUBJECT_ID>\"," +
  "\r\n\"subject_request_type\": \"erasure\"," +
  "\r\n\"submitted_time\": \"2018-11-02T15:00:00Z\"," +
  "\r\n\"subject_identities\": [\r\n" +
  "{\r\n\"identity_type\": \"android_advertising_id\"," +
  "\r\n\"identity_value\": \"<ADVERTISING_ID>\"," +
  "\r\n\"identity_format\": \"raw\"\r\n}" +
   "\r\n]," +
   "\r\n\"property_id\": \"com.example.application\"}");

  Request request = new Request.Builder()
  .url("https://hq1.appsflyer.com/gdpr/opengdpr_requests?api_token=<API_TOKEN>")
  .post(body)
  .addHeader("Content-Type", "application/json")
   .addHeader("Accept", "application/json")
  .build();

  try {
   Response response = client.newCall(request).execute();
   System.out.println(response.code());
   System.out.println(response.body().string());
   System.exit(0);
  } catch (IOException e) {
   e.printStackTrace();
   System.exit(1);
  }
 }
}

""" using the requests python package, 
install using pip install requests """

import requests
import json
headers = {
 "Content-Type": "application/json",
 "Accept": "application/json"
}
params = {
 "api_token": ""
}
body = {
 "subject_request_id": "", 
 "subject_request_type": "erasure", 
 "submitted_time": "2018-10-02T15:00:00Z", 
 "subject_identities": [
  { "identity_type": "android_advertising_id", 
   "identity_value": "", 
   "identity_format": "raw" }
  ], 
 "property_id": "com.example.application" 
} 
body = json.dumps(body) 
res = requests.request("POST", 
"https://hq1.appsflyer.com/gdpr/opengdpr_requests", 
headers=headers, data=body, params=params) 
print(res.text) 
 

/* using the request npm package, 
install using npm install request */

var request = require("request");
var options = { method: 'POST',
 url: 'https://hq1.appsflyer.com/gdpr/opengdpr_requests',
 qs: { api_token: '' },
 headers: 
 { Accept: 'application/json',
  'Content-Type': 'application/json' },
 body:
 { subject_request_id: '<SUBJECT_ID>',
  subject_request_type: 'erasure',
  submitted_time: '2018-10-02T15:00:00Z',
  subject_identities: 
  [ { identity_type: 'android_advertising_id',
   identity_value: '<ADVERTISING_ID>',
   identity_format: 'raw' } ],
 property_id: 'com.example.application'
 },
 json: true };
request(options, function (error, response, body) {
 if (error) throw new Error(error);

 console.log(body);
});

using System;
using RestSharp;
namespace CS
{
 class Gdpr
 {
  static void Main(string[] args)
  {
		var url = "https://hq1.appsflyer.com/gdpr/opengdpr_requests";
		var apiToken = "?api_token=<API_TOKEN>";
  var client = new RestClient(url + apiToken);
  var request = new RestRequest(Method.POST);
  request.AddHeader("Content-Type", "application/json");
  Request.AddHeader("Accept", "application/json");
  var body = "{\r\n\"subject_request_id\": \"<SUBJECT_ID>\"," + 
   "\r\n \"subject_request_type\": \"erasure\"," + 
   "\r\n \"submitted_time\": \"2018-11-02T15:00:00Z\"," +
   "\r\n \"subject_identities\": [\r\n" +
   "{ \r\n \"identity_type\": \"android_advertising_id\"," +
   "\r\n \"identity_value\": \"<ADVERTISING_ID>\"," + 
   "\r\n \"identity_format\": \"raw\"\r\n }" + 
   "\r\n ]," + 
   "\r\n \"property_id\": \"com.example.application\"}";
		 
   request.AddParameter("undefined", body,ParameterType.RequestBody);
   IRestResponse response = client.Execute(request);
   // handle response by reading response.StatusCode
   Console.WriteLine(response.Content);
  }
 }
}

Cada solicitud GDPR que se presente puede consultarse posteriormente para saber su estado. Para esto, se debe especificar el subject_request_id. Existen cuatro tipos de estado admitidos:

1. pending (Pendiente): Se recibió una solicitud correcta y en este momento se encuentra en la cola.
2. in_progress (En curso): En este momento se está procesando una solicitud.
3. completed (Finalizada): Se cumplió con una solicitud.
4. canceled (Cancelada): Se canceló una solicitud.

Formato de solicitud de estado

Se puede presentar una solicitud de estado por medio de HTTP GET al punto de conexión

https://hq1.appsflyer.com/gdpr/opengdpr_requests/[subject_request_id]?api_token=[api token]

Ejemplo de respuesta de estado

HTTP/1.1 200 OK
Content-Type: application/json
X-OpenGDPR-Processor Domain: example processor.com
X-OpenGDPR-Signature:
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
{
 "controller_id":"example_controller_id",
 "expected_completion_time":"2018-11-01T15:00:01Z",
 "subject_request_id":"a7551968-d5d6-44b2-9831-815ac9017798",
 "request_status":"pending",
 "api_version":"0.1"
}

Postbacks de estado

Tal como se describiera anteriormente en la sección Flujo de solicitudes GDPR, cuando cambia el estado de una solicitud GDPR, de pending (pendiente) a in_progress (en curso) y a completed (finalizada), AppsFlyer envía un postback GDPR a los puntos de conexión de la solicitud, especificados con la propiedad status_callback_urls.

Ejemplo de postback de estado:

POST /opengdpr_callbacks HTTP/1.1
Host: examplecontroller.com
Content-Type: application/json
X-OpenGDPR-Processor Domain: appsflyer.com
X-OpenGDPR-Signature: kiGlog3PdQx+FQmB8wYwFC1fekbJG7Dm9WdqgmXc9uKkFRSM4uPzylLi7j083461xLZ+mUloo3tpsmyIZpt5eMfgo7ejXPh6lqB4ZgCnN6+1b6Q3NoNcn/+11UOrvmDj772wvg6uIAFzsSVSjMQxRs8LAmHqFO4cF2pbuoPuK2diHOixxLj6+t97q0nZM7u3wmgkwF9EHIo3C6G1SI04/odvyY/VdMZgj3H1fLnz+X5rc42/wU4974u3iBrKgUnv0fcB4YB+L6Q3GsMbmYzuAbe0HpVA17ud/bVoyQZAkrW2yoSy1x4Ts6XKba6pLifIHf446Bubsf5r7x1kg6Eo7B8zur666NyWOYrglkOzU4IYO8ifJFRZZXazOgk7ggn9obEd78GBc3kjKKZdwaCrLx7WV5y9TMDCf+2FILOJM/MwTUy1dLZiaFHhGdzld2AjbjK1CfVzyPssch0iQYYtbR49GhumvkYl11S4oDfu0c3t/xUCZWg0hoR3XL3B7NjcrlrQinB1KbyTNZccKR0F4Lk9fDgwTVkrAg152UqPyzXxpdzXjfkDkSEgAevXQwVJWBNf18bMIEgdH2usF/XauQoyrne7rcMIWBISPgtBPj3mhcrwscjGVsxqJva8KCVCKD/4Axmo9DISib5/7A6uczJxQG2Bcrdj++vQqK2succ=

{
"controller_id":"example controller id at the processor",
"expected_completion_time":"2018-11-01T15:00:01Z",
"status_callback_url":"https://examplecontroller.com/opengdpr_callbacks",
"Subject_request_id":"a7551968-d5d6-44b2-9831-815ac9017798",
"Request_status":"pending"
}

Una vez finalizada una solicitud de acceso o portabilidad, puede descargar el reporte por medio de HTTP GET al punto de conexión

https://hq1.appsflyer.com/gdpr/download/[REQUEST_ID]?api_token=[TOKEN]

El reporte generado estará disponible durante 14 días a partir de la finalización.

Para conocer los formatos admitidos por AppsFlyer, se puede enviar una solicitud de descubrimiento por medio de HTTP GET al punto de conexión

https://hq1.appsflyer.com/gdpr/discovery?api_token=[api token]

Ejemplo de respuesta de descubrimiento

HTTP/1.1 200 OK
Content-Type: application/json
{
 "api_version": "0.1",
 "supported_identities": [
 {
  "identity_type": "android_advertising_id",
  "identity_format": "raw"
 },
 ],
 "supported_subject_request_types": [
 "erasure", "access", "portability", "rectification"
 ],
 "processor_certificate": "https://exampleprocessor.com/cert.pem"
}

Es posible cancelar una solicitud GDPR, según su subject_request_id, pero solo durante la fase pending (pendiente). 

Para esto, se debe enviar un HTTP DELETE con el subject_request_id a

https://hq1.appsflyer.com/gdpr/opengdpr_requests/[subject_request_id]?api_token=[api token]

Respuesta de cancelación

Cuando se recibe una solicitud de cancelación GDPR, AppsFlyer devuelve una respuesta de HTTP con código de estado 202 y varios parámetros más.

Una vez que se cancela la solicitud, AppsFlyer envía un postback con el estado cancelled (cancelada). 

Se trata de una API de prueba de AppsFlyer correspondiente a la API de solicitudes GDPR de AppsFlyer. 

¿Cómo Funciona?

La API de prueba funciona de la siguiente manera:

1. Una vez presentada una solicitud GDPR, inmediatamente se le asigna el estado "Pending" (pendiente). A los fines de la prueba, el estado cambia cada 30 segundos.

2. Si se insertó un punto de conexión para un postback de estado en la solicitud GDPR, se envía un primer postback inmediatamente después de la solicitud, y dos postbacks de estado más con intervalos de 30 segundos.

Punto de conexión de prueba de solicitud GDPR:

https://hq1.appsflyer.com/gdpr/stub?api_token=[api token]

Punto de conexión de prueba de solicitud de estado:

https://hq1.appsflyer.com/gdpr/stub/[request id]?api_token=[api token]

Punto de conexión de prueba de solicitud de descubrimiento:

https://hq1.appsflyer.com/gdpr/stub/discovery?api_token=[api token]

Punto de conexión de prueba de solicitud de cancelación:

https://hq1.appsflyer.com/gdpr/stub/[request id]?api_token=[api token]

El administrador de la cuenta puede acceder a las solicitudes de RGPD enviadas en el Panel de control de registros.

En el caso de las solicitudes de acceso y portabilidad finalizadas, también es posible descargar el reporte desde este panel de control.

Para acceder al panel de control de registros:

1. Accede al panel de control principal y haz clic en tu nombre de usuario.
2. Haz clic en Registros, y se abrirá la siguiente ventana:

Los mensajes de error y códigos de retorno HTTP de la API de RGPD se detallan en esta sección. 

Código de retorno HTTP 400: solicitud incorrecta

Los mensajes que tienen el código de retorno 400 contienen un JSON con el mensaje y código de error.

{ "error": { "Code":400, "af_gdpr_code": "%AF error code%", "message":"%error message text%" } }