Acotar: quién, cuánto y desde cuándo

El día en que se publicó una versión no es el día en que el tercero empezó a recibir: las versiones salen de forma escalonada y hace falta que alguien la instale y la abra. La fuente que fija el comienzo del envío es el registro de quien lo recibe, no el calendario de publicación. Un periodo bien acotado empieza por el primer evento real.

Consulta la exportación del tercero y toma el primer día con eventos.

La app pedía el consentimiento de medición en su pantalla de privacidad, y la traza demostró que el componente enviaba aunque se rechazara. Quien aceptó no es parte del daño que se está acotando; quien rechazó o nunca respondió, sí. El inventario trae el recuento por versión, y cada persona está en una sola fila, la de la versión que tiene instalada, de modo que se pueden sumar sin contar dos veces. Las versiones que no llevan el componente no entran.

Suma las personas sin consentimiento de las versiones que traen el componente en Pedidos.

El alcance de una fuga tiene tres ejes: cuántas personas, qué datos de cada una y durante qué periodo. Cuando los datos cambian de una versión a otra, una sola cifra global mezcla situaciones distintas: quien tiene 5.8.0 expuso contacto y compra, y quien tiene 5.8.1 además su domicilio. Informar por versión es lo que permite después decidir a quién se avisa primero y con qué texto.

Lee los campos por versión y decide cómo se presenta el alcance.

La duración de la exposición se cuenta desde el primer evento registrado por el tercero hasta el día del aviso, que es el hito que consta en el expediente. Es una cifra mínima: el envío pudo continuar después del aviso y hasta que se contenga, y por eso en el informe se escribe como «al menos» y se actualiza al contener. Para contar días entre dos fechas se cuentan los días transcurridos, no las fechas.

Calcula los días entre el primer evento y el aviso.

Cada cifra del informe necesita una fuente que la sostenga. El registro de la API de Rucamilla guarda lo que los clientes piden a Rucamilla, pero el envío al tercero sale del teléfono directamente a su destino, sin pasar por la API; por eso ese registro no puede contar cuántas personas fueron alcanzadas. Las fuentes que sí pueden son dos: el inventario de versiones propio, para saber quién tiene qué, y la exportación del tercero, para saber qué recibió y desde cuándo.