--- title: "¿Quién Puede Ver los Envíos de Tus Formularios?" slug: submission-access-control description: "Los buzones compartidos hacen que todos lo vean todo y nadie sepa quién exportó qué. Un modelo de acceso práctico y una lista para las bajas del equipo." publishedAt: "2026-10-26" author: "Instaform Team" tags: ["forms", "compliance", "workflows"] locale: es --- Pregunta a un equipo pequeño quién puede leer los envíos de sus formularios y la respuesta honesta suele ser "todos, y también dos personas que se fueron". El mecanismo es casi siempre el mismo. Las consultas van a info@, info@ es un buzón compartido, la contraseña lleva tres años circulando, y los CVs de la última ronda de contratación están en la misma lista de hilos que las dudas de facturación. Nadie eligió eso. Se fue acumulando. Pero implica que no puedes responder a las dos preguntas que importan tras un incidente: quién podía ver esto y quién lo vio. ## Separa por formulario antes que por persona Los permisos por rol son el segundo paso. El primero es darse cuenta de que tus envíos no son un único montón. Candidaturas, tickets de soporte, consultas comerciales y facturas de proveedores tienen audiencias distintas y retenciones distintas. Meterlos en un solo buzón fuerza un único nivel de acceso para todos, y ese nivel es siempre el más permisivo que necesite cualquiera de los flujos. Sepáralos en el destino, no solo en el formulario. Las candidaturas aterrizan donde solo puede abrirlas el grupo de contratación. El soporte va donde llega el grupo de soporte. Las consultas comerciales pueden ser ampliamente visibles, porque normalmente no contienen nada peor que el nombre de una empresa y un rango de presupuesto, y por eso pertenecen a un [pipeline de CRM](/crm-pipeline) y no a un buzón. Esta separación por sí sola elimina la mayor parte de la exposición y cuesta una tarde. ## Tres niveles cubren a casi cualquier equipo Las matrices de permisos elaboradas no sobreviven al contacto con una empresa de diez personas. Tres niveles sí. **Ver lo que tengo asignado.** El nivel por defecto para quien hace el trabajo. Abre los registros que está gestionando y nada más. La mayoría de la gente debería quedarse aquí. **Ver todo en este espacio.** Para quien dirige ese flujo: un responsable de soporte, un responsable de contratación. Delimitado por flujo, no por antigüedad. **Gestionar el formulario y exportar.** Cambiar campos, cambiar destinatarios de notificación, descargar los datos. Este es el peligroso, y corresponde a dos o tres personas, no a todo el que tenga un cargo alto. La distinción que importa es la última. Leer un registro está acotado. Exportarlo crea una copia que ya no controlas. ## Las exportaciones son el agujero de todos los modelos En el momento en que alguien descarga un CSV, tu modelo de acceso deja de aplicarse. El archivo está en la carpeta de descargas, luego adjunto a un correo, luego en una sincronización en la nube que guarda los archivos borrados otros treinta días. Restringe quién puede exportar, registra cada exportación con quién, cuándo y con qué filtro, y pregunta para qué era cada una. La mayoría son para un informe que resolvería una vista filtrada, o para un envío masivo que debería ser una integración de verdad. Las que quedan suelen ser legítimas y pocas. Si las exportaciones no están restringidas, tu política de retención también es ficción, porque esas copias envejecen por su cuenta. ## Las notificaciones rodean tus permisos Puedes montar un modelo de acceso cuidadoso y deshacerlo con una sola regla de notificación. Un correo de notificación a una dirección personal entrega el contenido del envío a alguien sin cuenta y sin permiso, y sigue entregándolo después de que cambie de equipo. Audita la lista de destinatarios de cada formulario dos veces al año. Busca direcciones personales, listas de distribución que nadie mantiene y reglas de reenvío en buzones compartidos. Cada una de ellas es una concesión de acceso que tu pantalla de permisos no muestra. ## Las bajas son la prueba Todo lo anterior es teoría hasta que alguien se va. La lista que sí detecta cosas: - Revoca la cuenta, en lugar de cambiar la contraseña de una compartida. - Quítale de los destinatarios de notificación de todos los formularios, no solo de los que recuerdas. - Comprueba las reglas de reenvío que dejó puestas en buzones compartidos. - Rota cualquier clave de API, secreto de webhook o token de incrustación al que tuviera acceso. - Pregunta si tiene exportaciones en un dispositivo personal, y consigue la respuesta por escrito. Si revocar el acceso exige recordar en cuál de cinco herramientas estaba, ese es el hallazgo. Tener menos sitios con envíos es en sí mismo un control de acceso. ## Externos y agencias El acceso externo debería estar acotado en el tiempo y limitado a un espacio desde el día que lo concedes, porque nadie se acuerda de retirarlo después. Pon la fecha de fin en el calendario en el mismo momento en que creas la cuenta. Las agencias que gestionan tus formularios de captación acaban a menudo con permiso de exportación y una copia de todas las consultas que has recibido en tu vida. Esa copia es tuya en derecho y suya en la práctica. Limítalas al flujo en el que trabajan, y haz que el contrato diga qué pasa con sus copias cuando termina el encargo. ## La versión que aguanta Un solo sitio con los envíos. Flujos separados por espacio. La mayoría viendo solo su propio trabajo. Exportaciones restringidas y registradas. Destinatarios de notificación auditados. Bajas que se resuelven con una revocación en vez de cinco. En Instaform cada flujo vive en su propio cubby con su propia membresía, así que un cubby de contratación y uno de soporte no comparten audiencia, y el acceso se retira en un único sitio cuando alguien se va. La [configuración para reclutamiento](/for/recruiting) es el ejemplo más claro, porque las candidaturas son el flujo que más veces acaba en el buzón equivocado. El lado de [tickets de soporte](/support-tickets) funciona igual con los datos de clientes.