Una tienda online trata más datos de los que parece a simple vista: no solo el nombre y la dirección, sino también historial de pedidos, métodos de pago y, a menudo, valoraciones públicas. Esta guía repasa los puntos que no puedes dejar fuera.
El pedido, el núcleo del tratamiento
Cada compra genera un rastro de datos: nombre, dirección de facturación y envío, correo electrónico y el propio historial de pedidos. Todo esto es necesario para ejecutar el contrato de compraventa, así que su base jurídica es clara (art. 6.1.b RGPD) y no requiere consentimiento aparte.
El pago, casi siempre en manos de un tercero
Salvo excepciones, el pago lo procesa un proveedor externo especializado. Tu política debe dejar claro que ese proveedor trata los datos de pago bajo su propia responsabilidad y que tu tienda no almacena los datos completos de la tarjeta.
El envío, un tercero más
La empresa de transporte recibe el nombre y la dirección del comprador con el único fin de entregar el pedido. Es buena práctica nombrar a la empresa de transporte que usas, especialmente si el comprador puede elegir entre varias opciones.
Valoraciones de productos
Si permites que los clientes valoren productos, decide y documenta qué se hace público (normalmente el nombre) y qué se mantiene privado (el correo electrónico). Aclara también si moderas las valoraciones antes de publicarlas.
El derecho de desistimiento, aparte de la privacidad
El modelo de desistimiento para devoluciones es una obligación distinta del RGPD, regulada por la normativa de consumidores, pero suele mencionarse junto a la política de privacidad o en los términos y condiciones de la tienda.
Preguntas frecuentes de los propietarios de tiendas
¿Tengo que pedir consentimiento para procesar el pago? No, el procesamiento del pago forma parte de la ejecución del contrato de compraventa. ¿Y para enviar una newsletter tras la compra? Sí, salvo que se trate de comunicaciones estrictamente relacionadas con el pedido, como el aviso de envío.
El carrito abandonado, un caso especial
Muchas tiendas envían recordatorios automáticos cuando un cliente deja un carrito sin finalizar la compra. Para hacerlo necesitas haber capturado el correo electrónico antes de que se complete el pedido, normalmente en un paso anterior del checkout, y esa captura debe estar cubierta por su propia base jurídica y mencionada en la política de privacidad como un tratamiento independiente del pedido en sí.
Programas de fidelización y puntos
Si tu tienda tiene un programa de puntos o fidelización, estás tratando datos adicionales sobre el comportamiento de compra de cada cliente a lo largo del tiempo. Este tipo de perfilado, aunque sea sencillo, conviene mencionarlo explícitamente, indicando qué datos se usan para calcular los puntos y durante cuánto tiempo permanecen activos.
Devoluciones y garantías, un tratamiento adicional
Gestionar una devolución implica tratar de nuevo los datos del pedido original, junto con el motivo de la devolución y, en ocasiones, fotografías del producto defectuoso. Aunque forma parte del mismo ciclo de compra, es un buen detalle mencionar explícitamente este flujo en tu política, especialmente si usas un proveedor externo para gestionar las devoluciones.
Empieza con un ejemplo completo
Si prefieres partir de un texto ya estructurado, consulta nuestro ejemplo de política de privacidad para tienda online y adáptalo a tu caso.
Sigue explorando
Términos relacionados: Datos personales, Base jurídica, Transferencia internacional de datos.
Más artículos: Política de privacidad para SaaS: qué la hace diferente, RGPD para sitios web: guía completa con ejemplos prácticos.
Fuente oficial: Agencia Española de Protección de Datos (AEPD).