Tu tienda recoge datos de clientes todos los días. Direcciones de email al pagar. Teléfonos para el envío. Información de pago. Direcciones IP desde la analítica. Historial de navegación desde los píxeles de seguimiento. Cada dato que recoges conlleva la responsabilidad legal de protegerlo y de decir a tus clientes cómo lo usas.
Ahí entran la política de privacidad, el consentimiento de cookies y el RGPD. No son simples trámites legales. Son las reglas que rigen cómo recoges, guardas y usas la información de tus clientes. Si te equivocas, te arriesgas a multas, a la desconfianza de los clientes y a problemas legales. Si lo haces bien, generas confianza en tu marca.
La mayoría de los dueños de tiendas pasa de largo por la privacidad porque parece aburrida y complicada. Es complicada. Pero este artículo desglosa lo que de verdad tienes que hacer.
Qué es el RGPD y a quién afecta
RGPD son las siglas de Reglamento General de Protección de Datos (GDPR, en inglés). Es una ley de la Unión Europea que fija reglas sobre cómo las empresas recogen y usan datos personales. Si tienes un solo cliente en la UE, el RGPD se te aplica. Si tu tienda atiende a cualquier cliente de la UE, debes cumplir el RGPD.
El RGPD no es opcional. No es una sugerencia. La Comisión Europea ha multado a empresas con miles de millones de euros por incumplirlo. Microsoft pagó 20 millones de USD. Facebook pagó 5.000 millones de USD. Son empresas enormes. Una tienda online pequeña puede pagar multas menores, pero el principio es el mismo: incumplir el RGPD sale caro.
El principio básico del RGPD es sencillo: los datos son de los clientes. Tú los tienes prestados de forma temporal. Tienes que pedir permiso antes de recogerlos. Tienes que explicar qué haces con ellos. Y tienes que borrarlos cuando te lo pidan.
Reglas clave del RGPD para tiendas online
Necesitas permiso antes de recoger datos
No puedes recoger direcciones de email, teléfonos ni ninguna información personal sin un consentimiento claro. En el pago, necesitas casillas de aceptación explícitas, no casillas marcadas de antemano. Si un cliente desmarca una casilla que dice "Acepto recibir emails de marketing", no puedes suscribirlo al marketing. Necesitas su acuerdo activo e informado.
Esto se aplica a las listas de marketing, al seguimiento de analítica y a las cookies de publicidad. Si usas Google Analytics, tienes que decir a tus clientes que lo usas y darles una forma de rechazarlo. Si usas el píxel de Facebook para volver a captar clientes, necesitas su consentimiento antes de que el píxel se active.
Tienes que explicar qué haces con los datos
Tu política de privacidad no es solo un documento legal. Es una comunicación con tus clientes. Tienes que explicar en lenguaje claro (no en jerga legal) qué datos recoges, por qué los recoges, cuánto tiempo los guardas y quién tiene acceso a ellos. El RGPD exige que esta información sea "fácilmente accesible" y esté "en un lenguaje claro y sencillo".
Una política de privacidad escondida tras 5 clics o escrita en jerga legal no cumple el estándar de "claro y sencillo".
Debes borrar los datos cuando te lo pidan
Los clientes tienen derecho a pedirte que borres su información. Es el llamado "derecho al olvido". Si un cliente te escribe por email pidiendo que borres su cuenta y sus datos, tienes 30 días para cumplir. No puedes cobrárselo. No puedes ignorar la solicitud. Tienes que borrarlos y confirmar que ya no existen.
Debes notificar las brechas de datos
Si los datos de tus clientes se ven comprometidos o se roban, tienes 72 horas para notificarlo a las autoridades europeas. También tienes que avisar a los clientes afectados. No puedes ocultar una brecha ni esperar que nadie se dé cuenta. Solo este requisito ya ha hecho que el RGPD sea costoso para muchas empresas, porque obliga a la transparencia y a rendir cuentas. Para conocer buenas prácticas de seguridad en el pago, lee cómo mantener seguro el pago de tu tienda online.
Las transferencias de datos requieren aprobación
Si guardas datos de clientes fuera de la UE, tienes que usar mecanismos de transferencia aprobados. Esto importa si tu procesador de pagos está en EE. UU., si usas un servicio de email estadounidense o si haces copias de seguridad en un centro de datos americano. No puedes mover los datos de clientes de la UE a cualquier sitio. Necesitas marcos legales que lo respalden.
Qué es una política de privacidad y por qué la necesitas
Una política de privacidad es un documento que explica cómo tu tienda recoge, usa y protege la información de los clientes. La exige el RGPD, muchas leyes estatales de EE. UU. y los estándares del sector. Sin ella, incumples la ley y los clientes no tienen forma de saber cómo tratas sus datos.
Tu política de privacidad debe cubrir:
Qué datos recoges
Enumera cada tipo de dato que reúnes. Eso incluye lo evidente, como direcciones de email y direcciones de envío, pero también lo menos obvio, como las direcciones IP del servidor de tu web, las cookies de analítica, el seguimiento del comportamiento y los datos de ubicación. Sé concreto. No digas solo "información personal". Di "email, teléfono, dirección de envío, historial de compras y comportamiento de navegación". Si aceptas pagos a través de una pasarela de pago, tu política de privacidad debe explicar qué datos de pago gestiona tu procesador. Mira cómo funcionan las pasarelas de pago para entender qué datos pasan por tu sistema de cobro.
Cómo los recoges
¿Recoges datos mediante formularios, páginas de pago o cookies? ¿A través de la atención al cliente o de tickets de soporte? ¿Con herramientas de analítica o píxeles publicitarios? Explica los métodos. Aquí mencionas Google Analytics, el píxel de Facebook, tu pasarela de pago o cualquier herramienta que uses para recoger datos.
Por qué los recoges
Recoges emails para procesar pedidos y enviar avisos de envío. Recoges teléfonos para la atención al cliente. Recoges datos de analítica para entender cómo usan tu web los visitantes. Usas cookies para recordar a los clientes y que no tengan que iniciar sesión cada vez. Explica el motivo de negocio de cada tipo de recogida de datos.
Cuánto tiempo los guardas
No guardas los datos para siempre. Tienes que definir plazos de conservación. Puedes guardar el historial de compras 7 años por motivos fiscales y legales. Puedes guardar los emails 3 años después de la última compra para marketing. Puedes guardar los tickets de soporte 1 año. Sea cual sea tu política de conservación, indícala con claridad.
Quién tiene acceso
Si usas un procesador de pagos, tiene acceso a los datos de pago. Si usas un proveedor de envíos, tiene acceso a las direcciones y puede usar esa información para la entrega. Si externalizas la atención al cliente, tu equipo de soporte ve los nombres y emails de los clientes. Enumera a todos los terceros que pueden ver datos de clientes y explica por qué. Para saber cómo funcionan los envíos, lee cómo configurar los envíos de tu tienda online.
Cómo los proteges
¿Usas certificados SSL para cifrar los datos en tránsito? ¿Exiges contraseñas seguras? ¿Haces copias de seguridad con regularidad? ¿Formas a tu equipo en seguridad de datos? Explica tus medidas de seguridad. Si tu seguridad es débil, dilo igualmente, pero comprométete a mejorarla.
Derechos de los clientes
Según el RGPD, los clientes tienen derecho a acceder a sus datos, corregirlos, borrarlos y llevarlos a otro servicio. Tu política de privacidad debe decirles cómo ejercer esos derechos. Incluye una dirección de email o un formulario de contacto donde los clientes puedan pedir el acceso o el borrado de sus datos.
Consentimiento de cookies y seguimiento
Las cookies son archivos pequeños que las webs guardan en el ordenador del cliente para recordarlo. Sirven para mantener tu sesión iniciada, recordar los productos del carrito y seguir tu comportamiento entre webs.
El RGPD distingue entre cookies necesarias y no necesarias. Las cookies necesarias (como las del carrito o las de sesión) no requieren consentimiento. Todas las demás sí.
Cookies necesarias que no requieren consentimiento
Las cookies del carrito son necesarias porque, sin ellas, los clientes perderían su carrito cada vez que pasan a otra página. Las cookies de sesión que mantienen tu sesión iniciada son necesarias. Las cookies de seguridad que previenen el fraude son necesarias. Puedes usar estas cookies sin pedir permiso porque son imprescindibles para que la tienda funcione.
Cookies no necesarias que requieren consentimiento
Las cookies de analítica (Google Analytics, herramientas de mapas de calor, analítica de producto) no son necesarias para que funcione tu tienda. Te ayudan a entender el comportamiento, pero la tienda funciona bien sin ellas. Conocer los datos de tus visitantes es útil para optimizar, pero los clientes deben dar su consentimiento antes de que los sigas. Las cookies de marketing y los píxeles de retargeting (el píxel de Facebook, el seguimiento de conversiones de Google Ads) claramente no son necesarios. Estas cookies siguen a los clientes por internet para mostrarles anuncios. Requieren consentimiento explícito antes de activarse. Para ver lo que puedes aprender con la analítica, lee cómo usar la analítica para entender el comportamiento de los visitantes.
Cómo aplicar el consentimiento de cookies
Necesitas un banner de consentimiento de cookies que aparezca cuando un cliente visita tu web por primera vez. El banner tiene que explicar qué cookies usas y para qué. Debe ofrecer al menos tres opciones: Aceptar todo, Rechazar las no necesarias y Personalizar. Aceptar todo debe ser un solo botón. Rechazar debe ser igual de fácil de pulsar (no enterrado en un menú). Los clientes deben poder decir que no a las cookies de analítica y marketing sin perder la posibilidad de comprar.
No hagas confuso el consentimiento con patrones engañosos, como "Aceptar" en letras grandes y azules y "Rechazar" en letra pequeña y gris. Eso incumple el RGPD. Ambas opciones deben ser igual de visibles y fáciles de pulsar.
Puedes usar una herramienta de consentimiento de cookies. Estos servicios gestionan el banner, el consentimiento del seguimiento y la actualización de tus preferencias. Tienen un coste, pero te ahorran riesgos legales.
Privacidad para tiendas fuera de la UE
El RGPD es una ley de la UE, pero hay normativas de privacidad en todas partes. Si tu tienda opera en California, te aplica la CCPA (California Consumer Privacy Act). Si estás en Virginia, existe la VDPA. Canadá tiene la PIPEDA. Brasil tiene la LGPD. Australia tiene los APP.
Estas leyes no son idénticas al RGPD, pero siguen principios parecidos: los datos son de los clientes, tienes que pedir permiso, tienes que ser transparente y tienes que borrar los datos cuando te lo pidan.
Si tienes clientes en varias regiones, no puedes tener una única política de privacidad que sirva en todas partes. Tienes que cumplir la ley más estricta que te afecte. Para la mayoría de las tiendas, esa es el RGPD, porque es la más estricta. Si cumples el RGPD, probablemente cumples también la mayoría de las demás leyes de privacidad.
Términos y condiciones frente a política de privacidad
Tu política de privacidad y tus términos y condiciones son documentos distintos con finalidades distintas.
La política de privacidad explica cómo tratas los datos: qué recoges, por qué, cuánto tiempo los guardas y cómo pueden los clientes acceder a ellos o borrarlos.
Los términos y condiciones explican cómo pueden usar tu tienda los clientes: condiciones de pago, política de devoluciones, política de reembolsos, límites de responsabilidad y lo que los clientes no pueden hacer. Un cliente puede estar de acuerdo con cómo tratas sus datos (privacidad) pero no con tu política de no reembolsos (términos).
Necesitas ambos documentos. Para saber cómo redactar los términos y condiciones, lee cómo redactar los términos y condiciones de tu tienda online.
Cómo te ayuda WEMASY con la privacidad y el cumplimiento
El creador de webs de WEMASY incluye cifrado SSL integrado para todos los datos en tránsito. Los datos de tus clientes se guardan en servidores seguros con copias de seguridad periódicas. WEMASY también permite añadir la política de privacidad y banners de consentimiento de cookies directamente a tu web, sin código personalizado. Puedes configurar qué cookies son necesarias y cuáles requieren consentimiento, y dejar que WEMASY gestione el proceso de consentimiento.
Esto no elimina tu responsabilidad legal de tener una política de privacidad clara, pero facilita su puesta en marcha. Consulta qué incluye tu plan de WEMASY.
Lista de comprobación de privacidad para tu tienda
Antes de salir en directo, repasa esta lista:
Política de privacidad
¿Tienes una política de privacidad en tu web? ¿Es de acceso público? ¿Explica qué datos recoges, por qué los recoges, cuánto tiempo los guardas y quién tiene acceso? ¿Incluye datos de contacto para solicitudes sobre datos? No copies la política de privacidad de otra tienda. Las políticas genéricas no explican tus prácticas concretas.
Consentimiento de cookies
Si usas cookies de analítica o de marketing, ¿tienes un banner de consentimiento de cookies? ¿Da a los clientes una opción real de rechazar? ¿El botón de rechazar es tan fácil de pulsar como el de aceptar? ¿El banner explica qué hace cada tipo de cookie?
Seguridad imprescindible
¿Usas SSL (HTTPS) en toda tu tienda? ¿Exiges contraseñas seguras? ¿Tienes un plan para el caso de que los datos se vean comprometidos? ¿Haces copias de seguridad de los datos de clientes con regularidad?
Herramientas de terceros
Enumera todas las herramientas que usas y que manejan datos de clientes: procesador de pagos, proveedor de envíos, servicio de email, plataforma de analítica, herramienta de marketing, software de soporte. ¿Tu política de privacidad las menciona todas? ¿Has leído sus políticas de privacidad? ¿Cumplen el RGPD o las leyes de tu país?
Proceso de borrado de datos
Si un cliente te escribe pidiendo que borres sus datos, ¿tienes un proceso para hacerlo? ¿Sabes cómo borrar datos del sistema de tu tienda, de tu procesador de pagos, de tu servicio de email y de cualquier otra herramienta? Necesitas un proceso documentado, no una suposición.
Asesoramiento legal
¿Has consultado a un abogado sobre privacidad? No necesitas un abogado para cada duda, pero para tu primera tienda merece la pena dedicar 1 o 2 horas de asesoría legal para asegurarte de que vas bien encaminado. Muchos abogados revisan una política de privacidad básica por entre 200 y 400 EUR.
Preguntas frecuentes
¿Necesito una política de privacidad si mi tienda es pequeña?
Sí. El RGPD y otras leyes de privacidad se aplican sin importar el tamaño de la tienda. Incluso una tienda con 10 clientes al mes tiene la obligación legal de proteger sus datos y explicar cómo los usa. Una política de privacidad es el mínimo legal.
¿Puedo usar una plantilla de política de privacidad?
Sí, pero solo como punto de partida. Los generadores de políticas de privacidad crean políticas a partir de tus herramientas y prácticas concretas. No copies palabra por palabra la política de otra tienda. La política tiene que coincidir con tus prácticas reales con los datos. Si tu política dice que borras los datos al cabo de 1 año pero en realidad los guardas 7 años, estás creando una responsabilidad legal.
¿Y si no tengo clientes en la UE?
Aun así puedes tener obligaciones de privacidad. EE. UU. tiene la CCPA en California y la VDPA en Virginia. Canadá tiene la PIPEDA. Brasil tiene la LGPD. La mayoría de los países tienen alguna forma de ley de privacidad. Incluso si solo te diriges a clientes de EE. UU., es más seguro seguir el RGPD, porque es el más estricto. Cumplir el RGPD suele significar cumplir también las leyes menos exigentes.
¿Cuánto cuesta realmente una política de privacidad?
Puedes generar una política básica gratis con un generador de políticas de privacidad. Para una política personalizada redactada por un abogado, calcula entre 500 y 2.000 EUR. La mayoría de las tiendas pequeñas empiezan con una política generada y piden a un abogado que la revise por entre 200 y 400 EUR para asegurarse de que cubre su configuración concreta.
¿Qué diferencia hay entre el RGPD y la CCPA?
El RGPD es una ley de la UE. La CCPA es una ley del estado de California. El RGPD es más estricto. Ambas dan a los clientes derecho a acceder a sus datos, borrarlos y corregirlos. Ambas exigen consentimiento expreso para el marketing. El RGPD exige consentimiento antes de recoger la mayoría de los datos. La CCPA permite la recogida pero exige opciones de exclusión. Si cumples el RGPD, probablemente cumples también la CCPA.
¿Cómo respondo a una solicitud de borrado de datos de un cliente?
Cuando un cliente pida que borres sus datos, responde en un plazo de 30 días. Borra su cuenta del sistema de tu tienda. Bórralo de tu lista de email marketing. Elimínalo de tu analítica. Pide a tu procesador de pagos que borre sus datos. Confirma por escrito que sus datos se han borrado. Guarda la documentación del borrado por si necesitas demostrar que cumpliste.