Se tes unha tenda online, cada pedido que procesas xera un rastro de datos persoais: nome, enderezo de envío, teléfono, historial de compras e, en moitos casos, datos de facturación. É doado pensar nisto como "datos do pedido" e non como algo que te obriga legalmente, pero para o RGPD son exactamente o mesmo que os datos que manexa calquera outro negocio: información que hai que protexer, e que se se filtra, hai que notificar.
Imos ver que implica isto na práctica para unha tenda online, sen rodeos legais.
Que datos persoais manexa un ecommerce
Unha tenda online típica manexa bastantes máis datos dos que parece a primeira vista: nome e apelidos, enderezo de envío e facturación, correo electrónico, teléfono, historial de pedidos, preferencias de produto e, na maioría de plataformas, enderezos IP e cookies de navegación. Os datos da tarxeta adoitan procesalos pasarelas de pago externas (Stripe, Redsys, PayPal...) e non chegar á túa base de datos directamente, pero o resto da información si é túa, e túa é tamén a responsabilidade de protexela.
Ademais, se vendes a través dun marketplace ou usas un CRM, un ERP ou un servizo de email marketing conectado á túa tenda, eses datos viaxan a máis sitios dos que quizais tes controlados. Cada un deses servizos é un punto adicional onde algo pode saír mal.
Obrigas prácticas dunha tenda online co RGPD
- Rexistro de actividades de tratamento: que datos de clientes recolles, con que finalidade (envío, facturación, marketing), e durante canto tempo os conservas.
- Medidas de seguridade técnicas: cifrado da base de datos de clientes, contrasinais robustos para o panel de administración da tenda e actualizacións ao día do CMS ou a plataforma (Shopify, PrestaShop, WooCommerce...), que adoitan ser o punto de entrada máis habitual para un ataque.
- Contratos de encargado do tratamento: con calquera provedor que trate datos dos teus clientes por ti (loxística, email marketing, CRM, hosting) precisas un contrato que regule como os tratan.
- Dereitos dos clientes: acceso, rectificación, supresión e portabilidade dos seus datos, cun procedemento claro para atender estas solicitudes en prazo, incluídos os datos que poidan quedar en newsletters ou programas de fidelización.
Estas obrigas aplícanse igual se vendes cinco produtos ao mes desde un garaxe que se xestionas un catálogo de miles de referencias.
Brechas de datos: o prazo de 72 horas coa AEPD
Un ecommerce é un obxectivo especialmente atractivo para atacantes, precisamente porque concentra moitos datos persoais e de compra nun mesmo sitio. Unha brecha pode ser desde un acceso non autorizado á base de datos de clientes ata un fallo de configuración que deixa exposto temporalmente un listado de pedidos con enderezos e teléfonos.
Desde que tes constancia do incidente, dispós dun prazo legal de 72 horas para notificala á AEPD, e non facelo pode acarrear unha sanción independente da que corresponda pola brecha en si. Se a filtración supón un risco alto para os teus clientes (por exemplo, se inclúe datos que facilitan a suplantación de identidade), tamén terás que avisalos directamente a eles. Explicámosche o proceso completo, paso a paso, na nosa guía para notificar unha brecha de seguridade á AEPD.
Sancións: o que está en xogo
As sancións por incumprir o RGPD poden alcanzar, nos casos máis graves, ata 20 millóns de euros ou o 4% da facturación global anual da empresa, aínda que na práctica as sancións a pemes e tendas online pequenas adoitan quedar moi por debaixo dese máximo. O custo real máis habitual, con todo, non é a multa: é a perda de confianza dos teus clientes cando se decatan de que os seus datos circularon sen control, algo especialmente daniño nun negocio que vive da recompra e das reseñas.
Monitorización de filtracións: como Alerta Brecha pode axudarche
En Alerta Brecha vixiamos de forma continua se os datos da túa tenda (correos electrónicos, dominios, teléfonos, etc.) aparecen en filtracións coñecidas ou en listados de internet. Ao estar en fase de acceso anticipado, podes apuntarte á lista de espera para acceder ao servizo.
Temos dous plans pensados para pemes e autónomos: o Plan Básico (9€/mes, monitorización semanal) e o Plan Profesional (14,50€/mes o primeiro ano, 29€/mes despois), con monitorización diaria, alerta inmediata e un PDF precargado para facilitar a notificación á AEPD. Ningún servizo de monitorización pode garantir que detecte todas as filtracións existentes nin substitúe a un delegado de protección de datos, pero é unha capa de seguridade asequible cando non dispós dun equipo de cumprimento dedicado. Se queres comparar o custo real de non previr fronte ao dun incumprimento, explicámolo con detalle en o custo de incumprir o RGPD fronte ao de previlo.
---
Lembra que este artigo ten un carácter meramente divulgativo e non substitúe o asesoramento dun profesional legal cualificado. Para resolver dúbidas concretas sobre a túa situación, consulta cun profesional.