IBM Carbon Design System

Qué es el Carbon Design System

IBM Carbon Design System es un sistema de diseño de código abierto mantenido por IBM y una amplia comunidad de contribuidores. Proporciona un conjunto coherente de componentes de interfaz accesibles (botones, campos, modales, tablas, widgets de visualización de datos), un framework CSS, iconos, ilustraciones, la tipografía IBM Plex e implementaciones para React, Angular, Vue y Web Components. Carbon es utilizado por productos de IBM, sus socios y numerosos equipos externos que desean una base accesible robusta sin construirla desde cero. Se distribuye a través de paquetes npm integrados en un pipeline de build o mediante bundles prefabricados servidos desde un CDN.

Datos y cookies

Como biblioteca, Carbon no instala cookies, no realiza fingerprinting ni envía eventos analíticos. El único intercambio de datos provocado por Carbon es la petición HTTP que descarga sus archivos CSS, JavaScript, fuentes e iconos, junto con las cabeceras de caché habituales. Sin embargo, toda petición HTTP transmite por naturaleza la dirección IP del visitante, el user agent, el referer y la marca temporal al servidor que entrega el archivo. Cuando ese servidor es un CDN de terceros, el operador del CDN se convierte en destinatario de datos y puede conservar registros de acceso, instalar sus propias cookies analíticas o aplicar desafíos de seguridad.

Implicaciones para el RGPD y la ePrivacy

Si los archivos de Carbon se autoalojan en su propia infraestructura, el tratamiento se limita a la carga técnica estrictamente necesaria de recursos que usted controla. El artículo 5(3) de la Directiva ePrivacy no exige consentimiento para operaciones puramente técnicas estrictamente necesarias para un servicio solicitado por el usuario, y el interés legítimo del artículo 6(1)(f) del RGPD suele ser una base defendible. Si Carbon se carga desde un CDN de terceros, el editor debe evaluar además si el CDN cumple el RGPD, si instala cookies fuera de la exención y cómo registra las direcciones IP de los visitantes.

Transferencias de datos y elección del CDN

Los CDN públicos más utilizados (unpkg enrutado por Cloudflare, jsDelivr por Fastly y Cloudflare, puntos de IBM sobre IBM Cloud) implican operadores con sede en Estados Unidos y redes de edge mundiales. Tras la sentencia Schrems II y la entrada en vigor del Marco UE Estados Unidos de Privacidad de Datos, las transferencias pueden ser lícitas cuando el destinatario está certificado en el DPF, pero el editor debe verificar la certificación, documentar la transferencia en el registro de actividades y considerar si la IP registrada en el edge puede vincularse a un visitante identificable. Autoalojar Carbon o usar un espejo basado en la UE elimina por completo esta transferencia.

Pasos prácticos de cumplimiento

Para la mayoría de los sitios en producción, el patrón recomendado consiste en instalar Carbon vía npm, empaquetarlo con el código de su aplicación y servir los archivos resultantes desde el mismo origen que el resto del sitio, detrás de su CDN o servidor web habitual. Esto elimina cualquier transferencia a terceros específica de Carbon y evita la dependencia de la disponibilidad externa. Si necesita un CDN público, opte por uno con presencia documentada en la UE y certificación DPF, añada hashes de Subresource Integrity a las etiquetas script y link, e indique el CDN en su política de privacidad. Carbon en sí sigue siendo amigable con el cumplimiento porque es un conjunto pasivo de primitivas de interfaz.