Zammad

Qué es Zammad

Zammad es un sistema moderno de helpdesk open source desarrollado por la Zammad Foundation con sede en Berlín. Reúne en una sola aplicación ticketing, base de conocimiento, chat en directo, integración telefónica y canales sociales. Está disponible como autoalojado o como SaaS sobre infraestructura europea (Hetzner, Alemania). Su sede alemana y su arquitectura exclusivamente europea lo convierten en una de las soluciones de helpdesk más respetuosas con el RGPD.

Qué datos y cookies trata

Zammad utiliza una cookie de sesión estrictamente necesaria (_zammad_session) para los agentes autenticados y un token CSRF. No se colocan cookies de terceros. Se tratan los tickets con todos sus datos (nombre, correo, teléfono, archivos adjuntos), registros de auditoría y metadatos técnicos como dirección IP y marca de tiempo. Para usuarios finales sin login, normalmente no se establecen cookies salvo que se incruste un widget de chat.

Implicaciones RGPD y ePrivacy

El tratamiento se ampara en ejecución de contrato (art. 6.1.b) o interés legítimo (art. 6.1.f) para operaciones de soporte. La cookie _zammad_session es estrictamente necesaria para la autenticación y queda fuera del régimen de consentimiento ePrivacy. Como Zammad procede de Berlín y se ejecuta sobre infraestructura europea, la problemática de transferencias internacionales se evita casi por completo.

Requisitos de consentimiento

Para uso interno del helpdesk no se requiere consentimiento. Cuando Zammad expone un portal de autoservicio o un widget de chat público, conviene incluir un aviso ePrivacy para la cookie de sesión. La política de privacidad debe identificar a Zammad como encargado (modelo SaaS) o como sistema operado por el propio responsable (modelo autoalojado).

Transferencias internacionales

En el modelo autoalojado el responsable controla la ubicación de los datos. En SaaS, Zammad se aloja en Alemania (Hetzner), por lo que no hay transferencia internacional. La Zammad Foundation tiene sede en Berlín, lo que convierte a Zammad en una opción especialmente adecuada para administraciones públicas, sanidad y empresas con altas exigencias de soberanía.

Pasos prácticos de cumplimiento

Firme el DPA con la Zammad Foundation o documente su rol como responsable en el modelo autoalojado. Active HTTPS, controles de acceso por rol y una integración de correo segura. Configure plazos de retención para tickets y adjuntos. Revise los registros de auditoría. Si publica un portal de autoservicio, añada el aviso ePrivacy para la cookie de sesión. Documente Zammad en el RAT.