Para asegurarte de que tu tienda cumpla con el RGPD, una política de privacidad es imprescindible. Pero hay otras reglas que también debes considerar. Estas reglas se refieren a:

• Formularios web

• Cifrado del sitio web

• Marketing por correo electrónico

• Cookies

• Plugins de redes sociales

Formularios web

Cuando un cliente quiere ingresar sus datos personales en tu sitio (por ejemplo, durante el checkout o al suscribirse a tu boletín), necesita completar un formulario web. Para asegurar que los formularios web de tu sitio cumplan con el RGPD, deben cumplir dos requisitos importantes: 

• Minimización de datos: Como operador de la tienda, solo puedes solicitar la cantidad mínima de datos necesarios para cumplir con tu obligación contractual (por ejemplo, para completar un pedido). Así que, durante el checkout, lo único que realmente necesitas pedir es el nombre y la dirección del cliente. Si tu cliente solo quiere suscribirse a tu boletín de correo electrónico, no puedes requerir que también te proporcione su dirección postal y número de teléfono. 

• Confidencialidad: Como minorista en línea, tienes la obligación de asegurarte de que los datos personales de todos tus clientes estén protegidos de un procesamiento no autorizado o ilegal. Eso significa que cualquier transferencia de datos debe estar cifrada.

Cifrado del sitio web

El Artículo 32.1.a del RGPD requiere que los operadores de tiendas aseguren que la transferencia de sus datos esté cifrada. Es una buena idea usar el protocolo HTTPS para asegurar las comunicaciones en tu sitio web. También puedes usar un certificado SSL para asegurar que…

• … los socios de comunicación estén autorizados a través de un proceso de cifrado asimétrico.

• … la transferencia de datos esté asegurada de extremo a extremo con un proceso de cifrado simétrico.

• … la integridad de los datos transportados no se vea comprometida.

Para obtener más información sobre cómo obtener un certificado SSL y qué otras medidas de seguridad puedes tomar, consulta nuestro artículo sobre seguridad en eCommerce.

Marketing por correo electrónico

Desde que el RGPD entró en vigor, las tiendas en línea están obligadas a utilizar un proceso de doble consentimiento para obtener el consentimiento del cliente para procesar sus datos (por ejemplo, cuando un cliente se suscribe a tu boletín). Eso significa que un cliente interesado en recibir información o publicidad tuya debe consentir en esto cuando te proporcionen su información de contacto (por ejemplo, marcando una casilla para indicar que desean recibir correos electrónicos publicitarios tuyos). Después, también debes enviarles un enlace de confirmación por correo electrónico, que deben hacer clic para completar el proceso de suscripción. Esto significa que otorgan su consentimiento dos veces para recibir futura información/ofertas de tu parte. Si no obtienes este doble consentimiento, no puedes enviar mensajes publicitarios o de marketing a la dirección de correo electrónico del cliente. Si el cliente no hace clic en el enlace de confirmación, no puedes usar ni almacenar su dirección de correo electrónico para fines de marketing. 

Cookies

Las cookies son otro tema importante cuando se trata de la seguridad de los datos. Muchas tiendas en línea usan cookies para crear una experiencia más amigable para el usuario. Por ejemplo, las cookies pueden almacenar información para que los usuarios no tengan que rellenar sus datos cada vez que visiten el sitio. Estos incluyen información como:

• Configuraciones de idioma

• Artículos en el carrito de compras

• Detalles de inicio de sesión

La Directiva de Cookies de la UE (2009/136/EC) es otra pieza de legislación que está estrechamente relacionada con el RGPD. Bajo esta directiva, un propietario de tienda solo puede usar cookies sin el consentimiento del visitante si son estrictamente necesarias desde un punto de vista técnico. Además, tu sitio web siempre debe incluir un banner que informe a los visitantes que utiliza cookies. Y siempre debes pedir el consentimiento del visitante antes de usar cookies que no sean necesarias para que tu sitio funcione correctamente.

La siguiente tabla muestra ejemplos de qué tipos de cookies se consideran técnicamente necesarias y cuáles no lo son:

Plugins de redes sociales

En el pasado, los plugins de redes sociales podían comenzar a recopilar datos del usuario en el momento en que un visitante llegaba a tu sitio. El RGPD cambió todo eso. Bajo las nuevas reglas, los plugins de redes sociales siempre deben estar inactivos por defecto cuando un usuario llega a un sitio. Cuando un plugin está correctamente incrustado en tu sitio, es un botón pasivo que solo se activa cuando el usuario hace clic en él. Al hacer clic en el botón, el usuario da su consentimiento para que sus datos sean transferidos a la plataforma de redes sociales para la cual es el plugin. Después de todo, si un usuario hace clic en el botón, es lógico suponer que desea usarlo (por ejemplo, para compartir contenido de tu sitio web a través de las redes sociales).

Los plugins de redes sociales son muy comunes en el comercio electrónico y generalmente aparecen en forma de botones Shariff. Además, puedes usar un principio de consentimiento de dos clics para los botones de redes sociales en tu sitio (similar al principio de doble consentimiento para boletines). Bajo el sistema de dos clics, el usuario primero hace clic en el botón de redes sociales que desea usar. Luego, tu tienda le pregunta explícitamente si consiente que transfieras sus datos a la plataforma de redes sociales.

Procesamiento de pedidos

Como operador de una tienda, probablemente trabajas con muchos proveedores de servicios, tales como:

• Proveedores de servicios de pago

• Proveedores de SaaS

• Servicios en la nube

Estos proveedores de servicios también procesan datos personales relacionados con tus clientes, por lo que el RGPD requiere que celebres un acuerdo de procesamiento de datos (DPA) con cada socio. Sin un DPA, no tienes bases legales para transferir datos de clientes a un tercero. Aunque crear un DPA requiere un poco de esfuerzo adicional, te ofrece más seguridad de la que tenías en el pasado. Por ejemplo, un DPA define claramente quién es responsable en caso de una fuga de datos.