Privacidad y cookies: lo que tu web debe tener

Si tu web recoge nombres, emails o cualquier otro dato personal, las reglas de privacidad pueden aplicarte, aunque tu negocio sea muy pequeño. En esta lección vas a ver, en palabras simples, qué suele necesitar la web de un negocio pequeño: una política de privacidad cuando recoges datos personales y el consentimiento para las cookies donde lo exijan la ley o las herramientas que usas. Es información general, no asesoría legal.

Las reglas de privacidad vienen de varios lugares

Esta lección te da el panorama general. Las leyes cambian y son distintas en cada estado, así que cualquier duda legal sobre tu propio negocio debe llevarse a un abogado o a otro profesional calificado.

Las reglas de privacidad para la web de un negocio pequeño no vienen de una sola fuente. Vienen de varias.

• Reglas federales para temas puntuales. Dos muy comunes son las que protegen los datos personales de niños menores de 13 años, conocidas como COPPA, y las que regulan el correo comercial, conocidas como CAN-SPAM.
• Leyes estatales. California es la más conocida, con su ley de políticas de privacidad en línea y su ley de privacidad del consumidor. Otros estados aprobaron leyes de privacidad propias, y los detalles cambian.
• Las reglas de las herramientas que usas. Google, por ejemplo, pone condiciones a los negocios que usan Google Analytics y sus funciones de publicidad.
• Reglas de otros países. Si atiendes a visitantes de Europa, pueden importar las reglas europeas de consentimiento, y las propias herramientas de Google piden el consentimiento de los visitantes de allá.

Qué cuenta como dato personal en la web de un negocio pequeño

Recoges datos personales cada vez que un visitante te los da o que una herramienta los registra. En un sitio típico de un negocio pequeño eso incluye:

• Campos de formularios. Un nombre, un email, un teléfono o una dirección escritos en un formulario de contacto, de reserva o de presupuesto.
• Suscripciones. Un email escrito para recibir un boletín o una oferta de bienvenida.
• Datos de una reserva. Una fecha, la cantidad de personas y los datos de contacto que van con ellas.
• Mensajes. Todo lo que se escribe en una ventana de chat o en un formulario de contacto.
• Identificadores en línea. Los pequeños identificadores que las herramientas de analítica y de publicidad guardan en el navegador del visitante.

Los números de tarjeta son otra cosa. Deben ir directo a un servicio de pagos y nunca guardarse en tu propio sitio ni en tu bandeja de entrada.

Haz un inventario de lo que recoge tu sitio

No puedes describir tus prácticas si no las conoces. Dedica una hora a esta revisión y anota las respuestas.

1. Lista todos los formularios. Contacto, reservas, presupuestos, boletín, cuentas. ¿Qué pide cada uno?
2. Lista todas las herramientas. Analítica, mapas, chat, video, reservas, pagos, plataforma de email, botones de redes, etiquetas de publicidad.
3. Para cada herramienta, anota qué datos le llegan. ¿Quién los recibe y para qué?
4. Revisa las cookies. La configuración de tu navegador o sus herramientas para desarrolladores muestran las cookies que guarda un sitio. Pregúntale a quien armó el sitio si no estás segura o seguro.
5. Anota adónde van a parar los datos. Tu bandeja de entrada, una hoja de cálculo, una lista de clientes, una plataforma de email.

Una política de privacidad cuenta qué haces con la información

Una política de privacidad es una página simple de tu sitio que explica qué información recoges, para qué y qué haces con ella. La ley de privacidad en línea de California es clara en un punto: los sitios y servicios en línea que recogen información de identificación personal de residentes de California deben mostrar una política de privacidad de forma destacada. Una web llega a gente de todos los estados, así que publicar una política siempre que el sitio tenga un formulario, una suscripción o analítica es la práctica habitual y sensata.

Qué cubre una buena política

• Qué recoges. Las categorías de información, como datos de contacto o datos de una reserva.
• Para qué la recoges. Para responder una consulta, confirmar una reserva, enviar un boletín.
• Con quién la compartes. Los servicios externos que la reciben, como tu plataforma de email o tu servicio de pagos.
• Cómo pueden revisarla o cambiarla las personas. Y cómo pedirte que la borres.
• Cómo contactarte. Un email o un formulario reales.
• La fecha de entrada en vigor. Para que se vea cuándo se actualizó por última vez.

Dónde va y cómo mantenerla honesta

Pon el enlace a la política en el pie de página de todas las páginas, para que se encuentre desde cualquier lado. Y después mantenla verdadera. Si sumas una herramienta nueva, como un chat o una etiqueta de publicidad, actualiza la política esa misma semana. Una política que describe prácticas que ya no sigues, o que omite herramientas que usas, da más problemas que una corta y exacta.

No copies la política de otra empresa. Describe las prácticas de esa empresa, no las tuyas. Las plantillas y los generadores pueden darte un punto de partida, pero si recoges información sensible o usas etiquetas de publicidad, haz que un profesional lea el texto final.

Las leyes de California, en resumen

Dos leyes de California importan sobre todo a los negocios pequeños, y funcionan de forma distinta.

• La ley de políticas de privacidad en línea (CalOPPA). Se aplica a los sitios y servicios en línea que recogen información de identificación personal de residentes de California. Exige una política de privacidad destacada que cubra las categorías de datos recogidos, los terceros con los que se comparten, cómo pueden revisar o cambiar su información las personas y una fecha de entrada en vigor.
• La Ley de Privacidad del Consumidor de California (CCPA). Se aplica solo a las empresas con fines de lucro que hacen negocios en California y cumplen al menos una condición: ingresos anuales brutos de más de 25 millones de dólares (una cifra que el estado ajusta por inflación), comprar, vender o compartir la información personal de 100,000 o más residentes u hogares de California, o ganar el 50 por ciento o más de sus ingresos anuales vendiendo información personal de residentes de California.

Muchos negocios locales muy pequeños quedan por debajo de esos límites, pero no todos, y un negocio puede estar cerca de la línea sin darse cuenta. Si la ley te alcanza, los residentes pueden pedirte qué información tienes sobre ellos, pedirte que la borres o la corrijas, optar por no participar en la venta o el uso compartido de su información y limitar el uso de la información sensible. Tu política tiene que explicar esos derechos y cómo ejercerlos. Si vendes o compartes información personal, también debes ofrecer un enlace claro con el texto "Do Not Sell or Share My Personal Information" (no vender ni compartir mi información personal). La ley define "compartir" de forma estrecha, como compartir para publicidad conductual entre contextos distintos, y espera que las empresas alcanzadas respeten las señales de exclusión que envía el navegador del visitante, como el Control Global de Privacidad (Global Privacy Control). Un profesional puede decirte si algo de esto te corresponde.

Las cookies, en palabras simples

Una cookie es un archivo pequeño que un sitio guarda en el navegador del visitante. Algunas son esenciales: mantienen junto un carrito de compras o mantienen la sesión iniciada. Otras pertenecen a herramientas, como la analítica que cuenta visitas o las etiquetas de publicidad que siguen al visitante de un sitio a otro. Las herramientas pueden venir de tu propio sitio o de un tercero cuyo código agregaste.

La pregunta no es si tu sitio usa cookies. Es cuáles, quién las coloca y si los visitantes pueden elegir.

Cuándo necesitas el consentimiento para las cookies

No hay una respuesta única, porque depende de dónde vivan tus visitantes y de las herramientas que uses.

• Visitantes del Espacio Económico Europeo. Para mantener las funciones de medición, personalización y remarketing, Google pide a los dueños de sitios que obtengan el consentimiento de los visitantes de allá y que compartan esas señales de consentimiento con Google. Un aviso de consentimiento tiene que recoger el permiso antes de que la etiqueta de Google pueda guardar o leer cookies. Google trabaja con plataformas de gestión del consentimiento para esto, y también puedes armar tu propio aviso, pero el responsable de cumplir las normas es el dueño del sitio.
• Visitantes de Estados Unidos. Muchos de los avisos de cookies que ves en las webs vienen de las reglas europeas y de requisitos de las herramientas. En Estados Unidos, lo que te corresponde depende de tu estado, de tu tamaño, de tus visitantes y de tus herramientas. Si la ley de California te alcanza, respetar las señales de exclusión y ofrecer el enlace para optar por no participar son los deberes principales.
• Funciones de publicidad de Google Analytics. Si las activas, Google exige que las nombres en tu política de privacidad, que expliques cómo se combinan las cookies de tu sitio y las de los anunciantes y que describas las opciones para excluirse.
• Datos personales dentro de la analítica. Google prohíbe enviar a Analytics información que identifique a una persona, como un nombre o un email.

La forma más simple de necesitar menos consentimiento es usar menos herramientas. Algunas herramientas de analítica están diseñadas para funcionar sin cookies, como explica la lección 10-1. Revisa la documentación de cada una y, si necesitas certeza, consulta a un profesional.

Email, formularios y menores

Hay tres situaciones que piden un cuidado extra.

• Email de marketing. Según CAN-SPAM, los correos comerciales deben incluir una forma clara de darse de baja y tu dirección postal física. Respeta las bajas sin demora. Tu plataforma de email suele agregar estas piezas, pero la responsabilidad es tuya.
• Menores. Si tu sitio está dirigido a niños menores de 13 años, o recoges a sabiendas sus datos personales, COPPA exige por lo general el consentimiento verificable de los padres antes de empezar. Habla con un abogado antes de construir algo así.
• Información sensible. Los datos de salud, los financieros y otros parecidos tienen reglas más estrictas. No los recojas en un formulario de contacto simple.

Buenos hábitos que cuestan poco

• Pide menos. Cada campo que no necesitas es un dato que tienes que proteger.
• Explica para qué, cerca del formulario. Una línea corta como "Usamos tus datos solo para responderte" genera confianza.
• Mantén el candado. Una conexión segura protege lo que escribe el visitante, como explica la lección 2-7.
• Limita quién ve los datos. Dale a cada persona su propio usuario y borra a quienes se van.
• Borra lo que ya no necesitas. Las consultas viejas son un riesgo sin ningún beneficio.
• Revisa una vez al año. Mira tus formularios, tus herramientas y tu política, y cambia la fecha.

La privacidad y el sitio que construyes

La privacidad empieza en los formularios y en las herramientas de tus páginas. Todos los sitios que construimos incluyen formularios de contacto y una versión para celular, y el pie de página es el lugar donde suelen ir los enlaces a tus páginas legales. Una política de privacidad es un documento legal, así que viene de ti y de tu asesor profesional. Puedes ver cómo se organizan los pies de página y los formularios en nuestros diseños.

Preguntas frecuentes