Si tens una botiga en línia, cada comanda que processes genera un rastre de dades personals: nom, adreça d'enviament, telèfon, historial de compres i, en molts casos, dades de facturació. És fàcil pensar en això com "dades de la comanda" i no com una cosa que t'obliga legalment, però per al RGPD són exactament el mateix que les dades que maneja qualsevol altre negoci: informació que cal protegir, i que si es filtra, cal notificar.
Anem a veure què implica això a la pràctica per a una botiga en línia, sense embuts legals.
Quines dades personals maneja un ecommerce
Una botiga en línia típica maneja bastants més dades del que sembla a primera vista: nom i cognoms, adreça d'enviament i facturació, correu electrònic, telèfon, historial de comandes, preferències de producte i, en la majoria de plataformes, adreces IP i galetes de navegació. Les dades de la targeta solen processar-les passarel·les de pagament externes (Stripe, Redsys, PayPal...) i no arribar a la teva base de dades directament, però la resta de la informació sí és teva, i teva és també la responsabilitat de protegir-la.
A més, si vens a través d'un marketplace o utilitzes un CRM, un ERP o un servei d'email marketing connectat a la teva botiga, aquestes dades viatgen a més llocs dels que potser tens controlats. Cadascun d'aquests serveis és un punt addicional on alguna cosa pot sortir malament.
Obligacions pràctiques d'una botiga en línia amb el RGPD
- Registre d'activitats de tractament: quines dades de clients recullis, amb quina finalitat (enviament, facturació, màrqueting), i durant quant de temps les conserves.
- Mesures de seguretat tècniques: xifratge de la base de dades de clients, contrasenyes robustes per al panell d'administració de la botiga i actualitzacions al dia del CMS o la plataforma (Shopify, PrestaShop, WooCommerce...), que solen ser el punt d'entrada més habitual per a un atac.
- Contractes d'encarregat del tractament: amb qualsevol proveïdor que tracti dades dels teus clients per tu (logística, email marketing, CRM, hosting) necessites un contracte que reguli com les tracten.
- Drets dels clients: accés, rectificació, supressió i portabilitat de les seves dades, amb un procediment clar per atendre aquestes sol·licituds en termini, incloses les dades que puguin quedar en newsletters o programes de fidelització.
Aquestes obligacions apliquen igual si vens cinc productes al mes des d'un garatge que si gestiones un catàleg de milers de referències.
Bretxes de dades: el termini de 72 hores amb l'AEPD
Un ecommerce és un objectiu especialment atractiu per a atacants, precisament perquè concentra moltes dades personals i de compra en un mateix lloc. Una bretxa pot ser des d'un accés no autoritzat a la base de dades de clients fins a un error de configuració que deixa exposat temporalment un llistat de comandes amb adreces i telèfons.
Des que en tens constància, disposes d'un termini legal de 72 hores per notificar-la a l'AEPD, i no fer-ho pot comportar una sanció independent de la que correspongui per la bretxa en si. Si la filtració suposa un risc alt per als teus clients (per exemple, si inclou dades que faciliten suplantació d'identitat), també hauràs d'avisar-los directament a ells. T'expliquem el procés complet, pas a pas, a la nostra guia per notificar una bretxa de seguretat a l'AEPD.
Sancions: el que hi ha en joc
Les sancions per incomplir el RGPD poden arribar, en els casos més greus, fins a 20 milions d'euros o el 4% de la facturació global anual de l'empresa, encara que a la pràctica les sancions a pimes i botigues en línia petites solen quedar molt per sota d'aquest màxim. El cost real més habitual, però, no és la multa: és la pèrdua de confiança dels teus clients quan s'assabenten que les seves dades han circulat sense control, una cosa especialment danyina en un negoci que viu de la recompra i de les ressenyes.
Monitorització de filtracions: com Alerta Brecha et pot ajudar
A Alerta Brecha vigilem de manera contínua si les dades de la teva botiga (correus electrònics, dominis, telèfons, etc.) apareixen en filtracions conegudes o en llistats d'internet. En estar en fase d'accés anticipat, pots apuntar-te a la llista d'espera per accedir al servei.
Tenim dos plans pensats per a pimes i autònoms: el Pla Bàsic (9€/mes, monitorització setmanal) i el Pla Professional (14,50€/mes el primer any, 29€/mes després), amb monitorització diària, alerta immediata i un PDF precarregat per facilitar la notificació a l'AEPD. Cap servei de monitorització pot garantir que detecti totes les filtracions existents ni substitueix un delegat de protecció de dades, però és una capa de seguretat assequible quan no disposes d'un equip de compliment dedicat. Si vols comparar el cost real de no prevenir davant el d'un incompliment, ho expliquem amb detall a el cost d'incomplir el RGPD davant el de prevenir-lo.
---
Recorda que aquest article té un caràcter merament divulgatiu i no substitueix l'assessorament d'un professional legal qualificat. Per resoldre dubtes concrets sobre la teva situació, consulta amb un professional.