Craft CMS

Que es Craft CMS

Craft CMS es un sistema de gestión de contenidos comercial escrito en PHP y construido sobre el framework Yii. Fue creado en 2013 por Pixel & Tonic, Inc., una empresa con sede en Bend, Oregón, Estados Unidos. La plataforma se dirige a sitios editoriales profesionales y es ampliamente adoptada por agencias digitales, sobre todo en Europa, para sitios corporativos ricos en contenido, revistas y publicaciones de marca. Craft CMS se distribuye bajo licencia comercial en tres niveles: Solo (gratuito para proyectos personales o de un único editor), Pro (de pago, multi usuario) y Enterprise (a medida). La misma compañía ofrece Craft Commerce, una extension de comercio electrónico, y Craft Cloud, un servicio de alojamiento gestionado sobre DigitalOcean.

Que datos almacena Craft CMS por defecto

De forma predeterminada, Craft CMS solo trata datos relacionados con la administración del back end. Almacena cuentas de administrador y editor (correo electrónico, contraseña hasheada, nombre, campos de perfil opcionales), el contenido creado por estos usuarios e información básica de sesión para las solicitudes administrativas autenticadas. El CMS deposita un pequeño número de cookies estrictamente necesarias para el panel de administración: un token CSRF para protegerse de la falsificación de peticiones entre sitios, un identificador de sesión para los usuarios conectados y una cookie de autenticación persistente opcional cuando se utiliza la función recuerdame. El sitio publico no recibe ninguna cookie de seguimiento por parte de Craft, y no existe analítica, telemetría ni perfilado de visitantes integrados.

Autoalojamiento frente a Craft Cloud

Craft CMS puede instalarse en cualquier infraestructura que soporte PHP y una base de datos compatible, lo que ofrece al responsable plena libertad sobre la región de alojamiento y la residencia de los datos. Las agencias europeas suelen desplegar Craft en proveedores con sede en la UE como Hetzner, OVH, Scaleway o Combell para garantizar que los datos personales permanezcan dentro del Espacio Económico Europeo. Como alternativa, Pixel & Tonic ofrece Craft Cloud, una plataforma de alojamiento gestionado llave en mano construida sobre DigitalOcean que permite elegir región, incluidas ubicaciones en la UE. Independientemente de la opción, la activación de licencia y la tienda opcional de plugins se comunican con los sistemas de Pixel & Tonic en Estados Unidos; estos intercambios afectan a claves de licencia y metadatos de software, no a datos personales de visitantes.

Implicaciones del RGPD

Desde la óptica del RGPD, el núcleo de Craft CMS es una de las soluciones mainstream mas respetuosas con la privacidad. No hay cookies de seguimiento, ni llamadas de red a terceros en el sitio publico, y el responsable puede mantener todo el flujo de datos dentro de la UE. Las bases legales aplicables a los datos que Craft trata son la ejecución contractual (art. 6.1.b RGPD) para la relación administrativa con los editores y el interés legítimo (art. 6.1.f RGPD) para asegurar el back office. La situación cambia en cuanto el sitio integra servicios de terceros como Google Analytics, Meta Pixel, reproductores embebidos de YouTube o Vimeo, formularios de automatización de marketing o un tag manager: cada uno de ellos puede exigir un banner de consentimiento conforme a la Directiva ePrivacy y una base legal documentada. Los plugins instalados desde la Craft Plugin Store también pueden ampliar el ámbito de tratamiento, por lo que cada incorporación debe revisarse.

Pasos de cumplimiento para el responsable

Para desplegar Craft CMS de manera plenamente conforme: elija una región de alojamiento en la UE o una región UE de Craft Cloud; firme un contrato de encargado del tratamiento con el proveedor de alojamiento; documente el intercambio de licencia con Pixel & Tonic como tratamiento accesorio; mantenga un inventario de los plugins instalados y de los datos que tratan; implante una plataforma de gestión del consentimiento para cualquier script de terceros añadido en el front end; configure atributos de cookie seguros (Secure, HttpOnly, SameSite) en las cookies administrativas; active copias de seguridad y un procedimiento de respuesta ante incidentes; y actualice la política de privacidad para reflejar los flujos reales, incluyendo región de alojamiento y subencargados.

Craft Commerce: consideraciones adicionales

Si el sitio utiliza Craft Commerce, la huella de tratamiento se amplia significativamente. Las cuentas de cliente, el historial de pedidos y las direcciones de facturación y envio se almacenan en la misma base de datos. El procesamiento de pagos se delega habitualmente en terceros como Stripe, PayPal, Mollie o Adyen, cada uno de los cuáles actúa como responsable independiente o encargado y debe figurar en la política de privacidad. Las funciones de marketing (correos de carrito abandonado, notificaciones transaccionales) pueden requerir un consentimiento independiente. Se recomienda una EIPD dedicada cuando Craft Commerce se despliega a gran escala o cuando se manejan categorías de productos sensibles.