MARKETIA y TikTok

Qué hace MARKETIA

• Muestra el perfil de la cuenta conectada (nombre, foto, biografía, si está verificada) y sus contadores: seguidores, seguidos, «me gusta» y número de vídeos.
• Lista los vídeos de la cuenta con sus métricas para medir qué contenido funciona.
• Publica y programa vídeos y fotos en la cuenta conectada desde el calendario de MARKETIA, siguiendo las pautas de TikTok para el Content Posting API: consulta la información del creador antes de cada publicación, el usuario elige la visibilidad (no hay valor por defecto), activa o no comentarios, dúos y stitch según lo que permita la cuenta, declara el contenido comercial («Tu marca» o «Contenido de marca») y ve la declaración de aceptación de la Confirmación de uso de música y, si aplica, de la Política de contenido de marca. Mientras la app no esté auditada por TikTok, todo se publica como «Solo yo».
• Con TikTok API for Business: paneles de campañas, grupos de anuncios y anuncios con métricas agregadas (inversión, impresiones, clics, conversiones).
• Cuando el negocio activa esas funciones: moderación de los comentarios de sus vídeos y de sus anuncios (responder, ocultar), recepción de los formularios de clientes potenciales (leads) de sus anuncios, envío de eventos de conversión (Events API) con los identificadores personales transformados con SHA-256, catálogos de productos, y consulta de los directos ya terminados y sus resultados.
• Mensajes directos de TikTok en la bandeja unificada: solo cuando TikTok apruebe Business Messaging para MARKETIA; hasta entonces está desactivado.

Qué no hace

• No accede a cuentas que el negocio no haya conectado ni a datos de otros usuarios de TikTok más allá de los comentarios y mensajes que reciben las cuentas del negocio.
• No emite ni modera directos en vivo por API (TikTok no lo permite): solo lee los directos terminados.
• No vende datos, no los usa para publicidad de terceros ni para entrenar modelos de inteligencia artificial.
• No publica nada sin una acción del usuario: cada publicación la crea o programa una persona del negocio.

Cómo se autoriza

1. Un administrador del negocio entra en MARKETIA → Conexiones → TikTok (o TikTok Business) y pulsa «Conectar».
2. MARKETIA le redirige al diálogo oficial de TikTok con un parámetro state firmado (caduca a los 15 minutos y lleva la organización y el usuario) que protege contra CSRF.
3. La persona inicia sesión en TikTok y decide qué permisos concede. MARKETIA nunca ve su contraseña.
4. TikTok devuelve a la URL de callback. El servidor de MARKETIA canjea el código por los tokens, los cifra y guarda qué permisos se concedieron.
5. Si falta un permiso, la función que depende de él queda desactivada en la interfaz y se explica cómo volver a conectar para concederlo. Nada falla a medias.

Permisos y para qué se usan

Qué datos guarda

• De la cuenta de TikTok: identificador, nombre de usuario, nombre público, foto de perfil (copiada a nuestro almacenamiento porque el enlace de TikTok caduca), si es cuenta Business o verificada, y los contadores de seguidores, vídeos y «me gusta».
• De las cuentas publicitarias: nombre, moneda, zona horaria, estado, saldo y métricas agregadas de campañas; de los Business Centers, su nombre y empresa. Las métricas publicitarias no identifican a personas.
• Solo si el negocio activa esas funciones: los comentarios de sus vídeos y anuncios con el nombre público de quien comenta, los mensajes directos que le escriben y los datos de los formularios de leads de sus anuncios.
• Los tokens de acceso y de refresco, siempre cifrados, y la lista de permisos concedidos y rechazados.

Cifrado y seguridad

• Tokens de TikTok API for Business cifrados en reposo con AES-256-GCM (clave de 256 bits derivada con HKDF-SHA256, nonce aleatorio por token). Tokens de la app de TikTok for Developers cifrados con cifrado autenticado (Fernet: AES-128-CBC + HMAC-SHA256).
• Los tokens se descifran solo en el servidor en el momento de llamar a TikTok, y nunca se devuelven a la interfaz ni a la API, ni se escriben en registros o alertas.
• El token de acceso dura 24 horas y se renueva solo; el de refresco rota y se guarda bajo bloqueo para no invalidar la cuenta.
• Aislamiento por organización: cada cuenta se busca siempre por su organización; una cuenta publicitaria o una cuenta de TikTok activa solo puede estar conectada a un negocio.
• Los webhooks de TikTok se verifican con la firma Tiktok-Signature y un margen de tiempo máximo de 5 minutos, y se procesan de forma idempotente.
• Todo el tráfico va cifrado con TLS (HTTPS).

Desconexión, retención y borrado

• Desde MARKETIA (Conexiones → TikTok → Desconectar): se revoca el acceso en TikTok, se cancelan las publicaciones pendientes y se borran la cuenta, sus tokens y los datos que dependen de ella.
• Al quitar la autorización de un anunciante: se revoca en TikTok, se cancelan sus suscripciones y se borran sus cuentas publicitarias, métricas y Business Centers.
• Desde TikTok (Ajustes y privacidad → Seguridad → Gestionar permisos de apps, o en TikTok for Business): TikTok nos envía authorization.removed, la cuenta queda revocada al instante, dejamos de leer y de enviar nada y el negocio recibe un aviso. Ese evento se aplica siempre, aunque el módulo esté apagado.
• Borrado a petición: escribiendo a developer@cerebria.co, en un plazo máximo de 30 días. Detalle en la página de eliminación de datos.

Documentos relacionados: privacidad · eliminación de datos · términos · seguridad

URLs de callback y webhooks

Contacto