Jitsi

Qué es Jitsi

Jitsi es una pila de videoconferencia de código abierto mantenida por 8x8 y la comunidad. Su componente visible es Jitsi Meet, una experiencia totalmente basada en navegador sobre WebRTC, complementada por Jitsi Videobridge (relé de medios), Jicofo (foco de conferencia) y Prosody (señalización XMPP). Se puede autoalojar o utilizar el servicio público meet.jit.si.

Qué datos recoge Jitsi

Una llamada Jitsi procesa audio y vídeo de los participantes, IP, identificador de navegador, alias mostrado, chat, compartición de pantalla y archivos enviados. localStorage guarda preferencias de dispositivos, idioma, último nombre de sala e identificador de participante. Con grabación o streaming en directo, los archivos resultantes pasan a ser datos personales persistentes.

Implicaciones RGPD y ePrivacy

Incrustar un iframe Jitsi o cargar su External API hace que el navegador descargue JavaScript desde su servidor Jitsi (o meet.jit.si) y escriba en localStorage. El art. 5.3 de la Directiva ePrivacy exige consentimiento previo para acceder o almacenar datos en el equipo del usuario, salvo lo estrictamente necesario. La videoconferencia no es estrictamente necesaria para navegar la página: el consentimiento es la base adecuada.

Consentimiento y base legal

Para un widget Jitsi en una página de marketing o blog, recabe consentimiento explícito antes de cargar el iframe. Para un producto de pago donde Jitsi es la infraestructura de llamadas, la ejecución de contrato (art. 6.1.b RGPD) suele ser la base correcta. La grabación añade una finalidad nueva y una obligación reforzada de informar a todos los participantes, también a los que se incorporen después.

Transferencias y alojamiento

Un clúster Jitsi autoalojado en centros de datos UE (Hetzner, OVHcloud, Scaleway, Infomaniak, NetCup, infraestructura interna) mantiene señalización y medios en la UE. meet.jit.si está operado por 8x8 (EE. UU.); incluso con servidores de medios UE pueden producirse transferencias, que deben cubrirse con el EU US Data Privacy Framework o Cláusulas Contractuales Tipo.

Pasos prácticos de cumplimiento

Autoaloje en infraestructura UE cuando sea posible. Desactive en config.js los servicios externos (callstats, analítica de terceros, Gravatar). Desactive telemetría Sentry o Matomo que no controle. Use nombres de sala cortos no identificativos. Aplique TLS en todos los componentes, almacene grabaciones en almacenamiento objeto UE cifrado con retención corta y conecte a los participantes con micrófono o cámara desactivados por defecto.