Neos Flow

Qué es Neos Flow

Neos Flow es un framework de aplicaciones PHP de código abierto nacido como base del CMS Neos y utilizado hoy para construir una amplia gama de aplicaciones web a medida. Ofrece convenciones y componentes para enrutamiento, inyección de dependencias, seguridad, persistencia, validación y herramientas de línea de comandos. Como Flow se instala y opera en la propia infraestructura del responsable, los mantenedores no reciben datos de los despliegues en producción.

Cookies y datos depositados por Neos Flow

Por defecto, Neos Flow únicamente emite una cookie de sesión que sirve para mantener el estado del lado servidor, por ejemplo para rastrear a un usuario autenticado o un formulario en varios pasos. El framework no incorpora código de analítica, marketing o fingerprinting. Cualquier cookie adicional, script de terceros o rastreador lo introduce el equipo de desarrollo de la aplicación concreta construida sobre Flow.

Implicaciones de RGPD y ePrivacy

La cookie de sesión por defecto se considera estrictamente necesaria conforme al artículo 5(3) de la directiva ePrivacy, por lo que puede depositarse sin consentimiento previo. La base jurídica del RGPD para el tratamiento asociado suele ser el interés legítimo o, cuando el usuario está autenticado, la ejecución del contrato. Los datos tratados por la aplicación construida sobre Flow deben respetar los principios del RGPD de licitud, limitación de la finalidad, minimización e integridad.

Requisitos de consentimiento

No se exige consentimiento para la cookie de sesión por defecto. El consentimiento sí resulta necesario cuando los desarrolladores añaden módulos de analítica, marketing, incrustación social o pruebas A B. En ese caso los scripts adicionales deben bloquearse hasta el opt in mediante una plataforma de gestión del consentimiento.

Transferencias internacionales

Como Neos Flow es autoalojado, la localización de los datos depende del proveedor de hosting elegido por el responsable. No hay transferencia automática a los mantenedores ni a un backend SaaS. Los responsables deben asegurarse de que su proveedor de hosting respeta los requisitos de residencia de datos en la UE cuando proceda.

Pasos prácticos de cumplimiento

Documente la cookie de sesión en la política de cookies como estrictamente necesaria, configure atributos de seguridad como HttpOnly y SameSite, defina vidas de sesión realistas, registre solo lo imprescindible y evalúe el impacto en protección de datos de cualquier módulo de terceros añadido a la aplicación antes de la puesta en producción.