A política de privacidade é o documento máis visitado e menos lido de calquera tenda en liña. Aparece ligada desde o pé da web, desde a alta de cliente, desde o formulario de contacto e desde a caixa do pedido. Aínda así, a maioría das políticas de privacidade do ecommerce español adoecen do mesmo problema: son textos copiados de plantillas xenéricas que non reflicten a realidade operativa do negocio. Cando chega unha reclamación ou unha inspección, esa distancia entre o que di a política e o que pasa de verdade é o que activa a sanción.
Esta guía resume o contido mínimo obrigatorio da política de privacidade dun ecommerce conforme ao art. 13 RGPD (Regulamento UE 2016/679) e á LOPDGDD (Lei Orgánica española 3/2018 de protección de datos), coas particularidades específicas do comercio electrónico: pasarela de pago, loxística, mercadotecnia, conservación contable, retargeting.
Por que a política de privacidade importa máis en ecommerce que noutros sectores
Tres factores fan que o documento sexa especialmente crítico nunha tenda en liña:
- Captación de datos sen contacto humano: a clientela dáse de alta soa, sen que ninguén lle explique nada. A política é a única forma efectiva de cumprir o deber de información do art. 13 RGPD.
- Cadea longa de encargados: nunha venda típica interveñen pasarela de pago, empresa de loxística, ERP, plataforma de email, xestor de reseñas, chatbot. Cada un trata datos da clientela e debe figurar dalgún modo na política.
- Transferencias internacionais habituais: o hosting está nunha nube cuxos provedores son globais, o email marketing adoita ser americano, o CRM tamén. A política debe reflectir esa realidade con honestidade xurídica.
Contido mínimo obrigatorio
O art. 13 RGPD fixa un contido mínimo cando os datos se recollen directamente da persoa interesada (que é o caso do ecommerce). Estes son os bloques que ningunha política pode omitir, traducidos á realidade dunha tenda en liña:
| Bloque | Que ten que dicir nun ecommerce |
|---|---|
| Identidade da persoa responsable | Denominación social completa, CIF/NIF, domicilio social, correo de privacidade e, se o hai, datos de contacto do Delegado de Protección de Datos. |
| Finalidades | Xestión da conta de cliente, tramitación do pedido e entrega, facturación, atención á clientela, mercadotecnia se a hai, xestión de reseñas, prevención de fraude, cumprimento de obrigas legais. |
| Bases xurídicas | Execución do contrato (art. 6.1.b) para o pedido; obriga legal (6.1.c) para facturación; consentimento (6.1.a) ou interese lexítimo (6.1.f) para mercadotecnia; interese lexítimo para prevención de fraude. |
| Destinatarios | Pasarela de pago, empresa de loxística, plataforma de email marketing se a hai, hosting, ERP, xestor de reseñas, autoridades fiscais cando legalmente proceda. |
| Transferencias internacionais | Mención expresa se o hosting ou algún provedor opera fóra do EEE, base da transferencia (DPF, cláusulas contractuais tipo) e como a persoa usuaria pode obter unha copia das garantías. |
| Prazos de conservación | Por bloques: facturación segundo o Código de Comercio español e a Lei Xeral Tributaria española; datos de conta de cliente mentres a conta estea activa máis o prazo de reclamación; datos de mercadotecnia mentres dure o consentimento. |
| Dereitos da persoa interesada | Acceso, rectificación, supresión, oposición, limitación, portabilidade, non decisións automatizadas; canle concreta para exercelos e mención ao dereito a reclamar ante a AEPD. |
| Orixe dos datos | Aclarar que os datos proveñen da propia persoa interesada (alta, pedido, formulario) e, se procede, de fontes externas (verificación de pago, axencias de prevención de fraude). |
Como desagregar as bases xurídicas sen contradicións
O erro máis típico das políticas plantilla é asignar unha única base xurídica —normalmente o consentimento— a todas as finalidades. Nun ecommerce isto é xuridicamente incorrecto e operativamente daniño: se a persoa usuaria retira o consentimento, o ecommerce non podería procesar o seu pedido nin emitir a factura.
A forma correcta é trocear as finalidades e asignar a cada unha a súa base xurídica natural:
- Xestión do pedido, entrega, devolucións e atención posvenda: execución do contrato (art. 6.1.b RGPD). Non require consentimento.
- Facturación, contabilidade, retencións: obriga legal (art. 6.1.c RGPD). Tampouco require consentimento.
- Conta de cliente con histórico de pedidos: execución do contrato e obrigas legais asociadas. Unha vez pechada a conta, conservación residual polos prazos legais mínimos.
- Newsletter e comunicacións comerciais a clientes xa existentes sobre produtos similares: interese lexítimo da persoa responsable (art. 6.1.f RGPD), combinado coa previsión do art. 21.2 LSSICE para correo electrónico.
- Newsletter e comunicacións comerciais a persoas usuarias que non son clientes (subscritoras da lista): consentimento expreso (art. 6.1.a RGPD).
- Retargeting publicitario, perfilado para campañas, cookies de mercadotecnia: consentimento expreso vía banner de cookies.
- Prevención de fraude: interese lexítimo, con explicación clara e ponderación realizada por escrito no RAT.
Transferencias internacionais: o que non se pode agochar
A gran maioría de ecommerces españois operan con polo menos un provedor cuxos servidores ou subencargados están fóra do Espazo Económico Europeo. A política de privacidade debe ser honesta sobre isto. Os puntos que convén mencionar expresamente cando existen:
- Hosting ou nube en Estados Unidos ou outros países sen decisión de adecuación: indicar o provedor, o país e a base de lexitimación. Para Estados Unidos, a base habitual é a adhesión do provedor ao Data Privacy Framework (DPF). Se o provedor non está adherido ao DPF, debe operarse con cláusulas contractuais tipo e terse realizado unha análise de impacto da transferencia.
- Email marketing: a maioría de plataformas son estadounidenses. Mesma análise.
- CRM e atención á clientela: se está aloxado fóra do EEE, mesma análise.
- Xestor de reseñas: se o servizo almacena reseñas e datos de clientes fóra do EEE, identificar país e base.
A persoa usuaria ten dereito a obter unha copia das garantías aplicadas á transferencia. A política debe explicar como solicitala (correo electrónico á persoa responsable ou ao DPD se o hai).
Dereitos da persoa interesada: a canle de contacto importa
A política debe identificar unha canle concreta e operativa para que a clientela exerza os seus dereitos. O razoable nun ecommerce é ofrecer polo menos dúas vías:
- Correo electrónico de privacidade: tipicamente privacidade@ ou protecciondatos@ seguido do dominio do ecommerce. O correo debe estar realmente atendido e con prazo de resposta dentro do mes que fixa o art. 12.3 RGPD.
- Formulario web específico para o exercicio de dereitos. Útil para clientes que prefiren unha canle trazable e adoita facilitar a identificación previa.
- Correo postal: opcional, pero necesario para clientes que prefiran esa canle.
Ademais, debe mencionarse expresamente o dereito a reclamar ante a AEPD coa ligazón ou a dirección da sede do organismo.
"En ecommerce, a política de privacidade non é mercadotecnia legal: é a fotografía precisa de como opera o negocio cos datos da súa clientela. Se a fotografía non coincide coa realidade —provedores que non aparecen, transferencias internacionais que non se mencionan, prazos que non se respectan— o problema non é a política, é o negocio."
Mario P. Talamillo · Socio director, Certix®
Mantemento: a política non é un documento estático
Unha política de privacidade de ecommerce debe revisarse polo menos:
- Cada vez que cambia un provedor relevante (nova pasarela de pago, novo email marketing, cambio de loxística).
- Cada vez que se engade unha finalidade nova (lanzamento dun programa de fidelización, nova integración con redes sociais, chatbot con IA).
- Cada vez que cambia a normativa aplicable ou a doutrina da AEPD sobre algún punto relevante.
- Como mínimo, unha revisión anual, deixando constancia na propia política da data de última actualización.
Checklist final
- Identificación completa e verificable da persoa responsable, con datos fiscais e dirección.
- Finalidades desagregadas por bloque e coas súas bases xurídicas correctas.
- Destinatarios identificados nominalmente ou por categorías recoñecibles, con mención específica de pasarela de pago, loxística e email marketing.
- Transferencias internacionais declaradas, con país e base de lexitimación.
- Prazos de conservación por finalidade, con referencias normativas cando se apliquen.
- Dereitos da persoa interesada e canle operativa de exercicio, con prazo de resposta e mención á AEPD.
- Data de última actualización visible ao pé da política.
- Aliñación efectiva entre o que di a política e o que o ecommerce fai na realidade técnica e operativa.
Preguntas frecuentes
Serve unha política de privacidade xenérica copiada dunha plantilla para a miña tenda en liña?
Como punto de partida formal si, como documento final non. A política debe reflectir á persoa responsable concreta, finalidades reais do negocio, provedores efectivos (pasarela, loxística, ERP, mercadotecnia) e países de transferencia. As plantillas xenéricas adoitan fallar precisamente onde a AEPD sanciona: prazos reais, destinatarios efectivos, transferencias internacionais e bases xurídicas coherentes con cada finalidade.
Teño que mencionar un por un a todos os provedores na política de privacidade?
O RGPD obriga a informar de destinatarios ou categorías (art. 13.1.e). A práctica recomendada é identificar nominalmente polo menos aos principais: pasarela de pago, transporte habitual, email marketing, hosting se está fóra do EEE e CRM. A listaxe pode manterse nun anexo actualizable vinculado desde a política.
Canto tempo podo conservar os datos dun cliente despois da súa última compra?
Depende da finalidade. Datos vinculados á factura mentres o esixa a normativa contable e tributaria. Datos vinculados a posibles reclamacións civís ata a súa prescrición. Datos para uso comercial mentres dure o consentimento ou a relación contractual. A política debe explicar eses prazos por bloques de finalidade, non fixar un único.
Teño que pedir consentimento ao cliente para enviarlle o email transaccional do seu pedido?
Non. O correo de confirmación, aviso de envío, seguimento e factura apóianse na execución do contrato (art. 6.1.b RGPD). O que si require base de mercadotecnia (consentimento ou interese lexítimo con produtos similares + art. 21 LSSICE) é a newsletter, as promocións e as recomendacións non vinculadas á compra realizada.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.
A política de privacidade do teu ecommerce reflicte o que pasa de verdade?
En Certix asignámosche un experto en cumprimento do sector ecommerce. Sen intermediarios comerciais, sen plantillas xenéricas.
Falar cun experto