Glassbox

Que es Glassbox

Glassbox es una plataforma empresarial de analítica de la experiencia digital. Fundada en 2010 en Petach Tikva (Israel), con oficinas en Londres, Nueva York y Singapur, captura cada interacción en web y apps móviles para replay, análisis de fricción e investigación de reclamaciones. Se utiliza intensivamente en sectores regulados: banca, seguros, telecos, salud, aerolineas.

El seguimiento se implementa mediante un SDK JavaScript en web y SDK nativos en iOS y Android. El SDK captura el DOM completo, todas las interacciones de ratón y teclado, peticiones de red y errores JavaScript, y los transmite a un tenant cloud de Glassbox.

Que datos captura Glassbox

Por defecto, Glassbox captura todo lo visible e interactivo en una página: IP del visitante, características del dispositivo, geolocalización, URL, referrer, profundidad de scroll, posiciones de clic, pulsaciones de teclado (si se configuran), entradas de formulario, metadatos de subida y de peticiones de red. Sin enmascarado explícito, datos sensibles (salud, finanzas, identificadores oficiales) pueden acabar en las grabaciones.

Glassbox ofrece tres capas de enmascarado: enmascarado automático de todos los campos, enmascarado manual mediante atributos CSS (gb-mask, data-gb-sensitive) y redaction en servidor tras la captura. Las tres deben combinarse para cumplir la minimización de datos del RGPD.

RGPD, ePrivacy y Schrems II

Glassbox actúa como encargado según el art. 28 RGPD. Los clientes UE deben seleccionar la región Irlanda en el onboarding. Israel cuenta con una decisión de adecuación renovada (2024), pero pueden aparecer subencargados en EE.UU. (AWS US, tooling de soporte) que requieren CCT y EIPD de transferencia.

Como las cookies y el SDK no son estrictamente necesarios, el art. 5(3) ePrivacy y el §25 TTDSG exigen consentimiento previo e informado. El interés legítimo no es defendible para session replay completo en usuarios de la UE.

EIPD, sectores regulados y DORA

Una EIPD bajo el art. 35 RGPD es de hecho obligatoria para cualquier despliegue de Glassbox sobre tráfico UE. Debe abordar la estrategia de enmascarado, la retención, los subencargados, la residencia, los efectos colaterales de vigilancia de empleados y los riesgos del art. 22 cuando el scoring de fricción o antifraude alimenta decisiones automatizadas.

Los despliegues financieros añaden DORA (resiliencia operativa digital), PSD2 y PCI DSS. Las grabaciones de flujos de autenticación deben enmascarar credenciales, codigos OTP y números de tarjeta; el tenant de Glassbox debe revisarse en las pruebas de resiliencia operativa.

Implementacion del consentimiento

Difiera el SDK de Glassbox hasta que el visitante acepte la categoría Analítica o Marketing en su CMP. El banner debe mencionar a Glassbox, describir la finalidad de session replay y enlazar su política de privacidad. Si su CMP soporta TCF v2.2, registre Glassbox bajo la finalidad IAB correspondiente.

En portales B2B con interés legítimo defendible y enmascarado estricto, el usuario debe seguir siendo informado claramente y dispondra de opt out. Documente la ponderación y las medidas de protección en la EIPD.

Lista practica

Elija tenant Irlanda para tráfico UE. Firme el DPA y revise las CCT para Israel y subencargados en EE.UU. Active el enmascarado automático global y marque elementos sensibles con gb-mask. Fije una retención mínima útil (a menudo 30 días para replay, mas para agregados).

Realice una EIPD, registrela en su RoPA, forme a los equipos de producto e ingeniería en el uso de helpers de enmascarado y revise trimestralmente la tasa de consentimiento. En marcas multipais, documente cada despliegue regional y respete las obligaciones de comites de empresa cuando los agentes de soporte puedan ser vigilados.