Cómo derivar una queja de retención COPPA en 2026
Use cuatro puertas de evidencia para decidir si una queja sobre datos infantiles exige corregir la política, construir el borrado o inventariar datos.
Señales que conviene observar
- Un operador dice que su aviso no contiene plazo de borrado infantil, pero nadie confirma qué conserva producción
- Un grupo adtech informa de una cuenta infantil cerrada mientras identificadores persistentes o registros del proveedor podrían seguir presentes
- El equipo de privacidad no puede nombrar clases de datos, fines, necesidad empresarial, sistemas o terceros para su política escrita
Respuesta directa: pase una queja de retención COPPA por cuatro puertas de evidencia antes de cotizar. Si cobertura, clases de datos, fines y ubicaciones son desconocidos, empiece por inventario de datos. Si se conocen pero el borrado no se ejecuta o no puede demostrarse en sistemas y proveedores, empiece por construcción del flujo de borrado. Una corrección de política lidera solo cuando la evidencia operativa ya sustenta fines, necesidad y plazos, y el defecto restante está en el documento o aviso.
Esta es la decisión de quien dirige ventas en una consultora de privacidad infantil y sigue grupos autorizados de Telegram de operadores de apps, adtech y privacidad. «Las cuentas infantiles se guardan para siempre» puede requerir acción, pero no dice si COPPA aplica, qué contiene «cuenta», por qué sigue cada clase de datos ni quién conserva copias. Preguntar un día tarde puede dejar que el comprador elija a otro proveedor para definir el primer trabajo.
Qué dice la regla de retención vigente
La Children’s Online Privacy Protection Rule, regla COPPA, está en 16 CFR Part 312. Cubre operadores comerciales de webs o servicios dirigidos a menores de 13 años y operadores con conocimiento real de que recogen en línea información personal de un menor. La definición vigente de operador también aborda datos recogidos o mantenidos por agentes o proveedores en nombre del operador y casos donde este se beneficia de la recogida directa de otra persona.
La sección 312.10 limita la retención al tiempo razonablemente necesario para los fines específicos de recogida. Cuando deja de ser necesaria, debe borrarse con medidas razonables contra acceso o uso no autorizado durante el borrado. No puede conservarse indefinidamente.
La política escrita debe declarar:
- fines de recogida de información personal infantil;
- necesidad empresarial para retenerla;
- plazo de borrado.
La política debe figurar en el aviso en línea de la sección 312.4(d). Por eso «siete años por cumplimiento» no basta sin relacionar datos reales, fines específicos, necesidad y plazo.
La regla final de 2025 se publicó el 22 de abril, entró en vigor el 23 de junio de 2025 y, salvo disposiciones Safe Harbor especificadas en 312.11, debía cumplirse el 22 de abril de 2026. El 18 de agosto de 2026 la sección 312.10 no es un hito futuro.
Antes de derivar: reunir un paquete de evidencia
Ventas no decide cobertura ni inspecciona sistemas. Pida material revisable por asesoría y propietarios de datos:
- entidad jurídica y app, web o servicio;
- evidencia de servicio infantil, audiencia mixta o conocimiento real;
- clases sospechadas, incluidos identificadores persistentes, contacto, medios o geolocalización;
- fin específico y necesidad actual;
- sistemas, logs, almacenes, copias y herramientas de soporte;
- agentes, proveedores y otros terceros;
- política, aviso y calendario actuales;
- un registro de borrado terminado y evidencia descendente, si existe.
«Desconocido» es válido. No convierta un análisis ausente en «cubierto» ni una cuenta cerrada en «borrada».
Puerta 1: confirmar la ruta de cobertura COPPA
Resultado: el paquete expresa qué ruta podría aplicar y quién debe decidirla.
- Identifique la superficie exacta del producto.
- Registre hechos sobre si se dirige a menores según los criterios normativos.
- En un servicio general, registre evidencia de conocimiento real, si existe.
- Determine si agentes o proveedores mantienen información por cuenta del operador.
Verifique con una pregunta escrita y revisor jurídico nombrado. La etiqueta «app infantil» no es análisis. Si servicio infantil y conocimiento real son desconocidos, derive a alcance jurídico e inventario, no a redacción.
Puerta 2: relacionar datos con fines específicos
Resultado: cada clase tiene ubicación, fin, necesidad, propietario o brecha explícita.
- Liste campos o conjuntos coherentes.
- Relacione cada clase con el fin declarado.
- Escriba la necesidad que continúa.
- Registre sistemas y terceros que almacenan o recuperan datos.
Si la organización no puede completar el mapa, el primer proyecto es inventario. La política exigida no puede redactarse responsablemente con datos y destinatarios desconocidos.
Ejemplo hipotético de derivación: solo se sabe que una cuenta de menor de 13 años se cerró y un identificador publicitario aparece en una exportación analítica. Se desconocen dirección infantil, conocimiento real, titular del identificador, fin, necesidad, otros sistemas y copias del proveedor. Eso sustenta inventario y alcance, no demuestra infracción ni define todavía una construcción de borrado.
Puerta 3: probar la ruta de borrado
Resultado: el equipo demuestra que el fin de la necesidad activa el borrado en todas las ubicaciones pertinentes.
- Elija una clase y su fin.
- Identifique el evento que termina la necesidad.
- Siga la instrucción por almacén principal, réplicas, índices, soporte y proveedores.
- Conserve logs de finalización y excepciones.
- Confirme que la información no queda recuperable de forma normal, de acuerdo con la definición de «delete».
Si el mapa existe pero la prueba falla, derive primero a ingeniería. Cambiar texto público no repara una tarea que no corre, una instrucción no enviada o una excepción sin propietario.
Puerta 4: reconciliar política, aviso y operación
Resultado: registro escrito, aviso visible y flujo verificado coinciden.
Compare inventario y prueba con los tres elementos de 312.10 y revise el aviso 312.4(d). La regla exige describir recogida, uso, prácticas de divulgación, identidades y categorías específicas de terceros, fines de divulgación y política de retención.
La corrección de política puede liderar cuando mapa y evidencia son completos, actuales y coherentes, y solo faltan necesidad, plazo o detalle de divulgación. Si la política dice 30 días y producción 180, no es solo copy: un propietario operativo debe resolverlo.
Cómo encaja el descubrimiento en grupos autorizados
TOP Prospect filtra, fusiona, deduplica y ordena fragmentos de grupos conectados deliberadamente y con acceso autorizado, conservando original, fuente, hora, resumen de IA y motivos de revisión humana. Guardar un objetivo de coincidencia solo guarda la configuración; no crea automáticamente un candidato. No decide alcance, inspecciona apps, inventaría datos, verifica borrado, contacta al autor ni lee fuentes privadas o no autorizadas.
Use la escalera de fuentes oficiales si falta la norma y la revisión de límites de datos de monitorización para evaluar la propia retención del proveedor. El flujo de señales de Telegram explica la revisión humana de discusiones autorizadas.
Datos clave a 18 de agosto de 2026
- COPPA define child como persona menor de 13 años.
- La cobertura puede depender de servicio infantil o conocimiento real, ambos desconocidos en una queja.
- 312.10 limita la retención a fines específicos.
- Debe borrarse cuando deja de ser necesaria y nunca conservarse indefinidamente.
- La política declara fines, necesidad y plazo y aparece en el aviso 312.4(d).
- Vigencia: 23 de junio de 2025; cumplimiento general: 22 de abril de 2026, con excepciones Safe Harbor indicadas.
Preguntas frecuentes
¿COPPA fija un plazo único para todos los datos infantiles?
No. Los plazos se vinculan a fines y necesidad, no a un número universal.
¿Cerrar una cuenta prueba el borrado?
No. La definición se centra en si la información sigue siendo recuperable y el flujo debe cubrir sistemas y proveedores.
¿Puede una política corporativa general cumplir 312.10?
Sí, si abarca datos infantiles, contiene los elementos y aparece en el aviso exigido. No hace falta una política infantil separada en ese caso.
¿Cuándo lidera la política?
Cuando operaciones y borrado están sustentados y solo queda la divulgación escrita o visible.
¿Cuándo lidera ingeniería?
Cuando datos y fines se conocen, pero fallan disparadores, ejecución descendente o evidencia.
¿Cuándo lidera inventario?
Cuando no se conocen datos, ubicaciones, fines, necesidad, destinatarios o hechos de cobertura.
La transferencia está lista cuando nombra el primer trabajo y conserva responsables pendientes. Puede ser un proyecto o una secuencia. No venda una corrección de política para un patrimonio desconocido ni un flujo de borrado antes de saber qué datos y fines están incluidos.
Preguntas frecuentes
¿Qué exige la regla COPPA vigente sobre retención?
El operador solo puede conservar información personal recogida en línea de un menor durante el tiempo razonablemente necesario para los fines específicos de recogida. Debe borrarla cuando deje de ser necesaria y no puede conservarla indefinidamente.
¿COPPA fija un único plazo para todas las clases de datos?
No. La sección 312.10 exige un plazo de borrado vinculado a los fines declarados y la necesidad empresarial, no un número universal de días.
¿Cuándo entró en vigor la regla modificada y cuándo venció el cumplimiento?
Entró en vigor el 23 de junio de 2025. Salvo excepciones limitadas para disposiciones Safe Harbor, el cumplimiento venció el 22 de abril de 2026; por tanto, la sección 312.10 ya era exigible el 18 de agosto de 2026.
¿Cuándo debe liderar una corrección de política?
Solo cuando cobertura, datos, fines, necesidad, plazos, sistemas, terceros y borrado real ya están sustentados, y el defecto restante está en la política escrita o aviso en línea.
¿Cuándo debe liderar la construcción del flujo de borrado?
Cuando datos y fines son conocidos, pero sistemas, proveedores o contratistas no ejecutan y demuestran el borrado de forma fiable al terminar la necesidad.
¿Cuándo se empieza por inventario?
Cuando el equipo no puede identificar la información infantil, su ubicación, motivo de retención, terceros que la poseen o hechos de cobertura COPPA.
Fuentes y lecturas adicionales
- Electronic Code of Federal Regulations, 16 CFR Part 312, vigente hasta el 14 de agosto de 2026, consultado el 18 de agosto de 2026
- Federal Trade Commission, Children’s Online Privacy Protection Rule, regla final, 90 FR 16918, publicada el 22 de abril de 2025
- Federal Register API, metadatos del documento 2025-05904, consultados el 18 de agosto de 2026
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.