Cómo armar una política de privacidad sin caer en plantillas genéricas
El error más común al copiar una plantilla genérica es no adaptar las cláusulas a lo que tu producto realmente hace. Si recolectás datos biométricos pero tu política habla solo de email y nombre, estás en infracción. Antes de redactar, mapeá cada flujo de datos: registro, login, compra, soporte, marketing. Para cada uno listá qué dato entra, dónde se guarda, quién lo procesa y por cuánto tiempo.
Una política sólida combina cuatro bloques: qué recolectás, cómo lo usás, con quién lo compartís y qué derechos tiene el usuario. Evitá formulaciones vagas como 'podemos compartir con terceros'. Listá los terceros concretos: Stripe para pagos, SendGrid para email, AWS para hosting. La transparencia específica es lo que diferencia una política legalmente defendible de una declarativa.
Si operás en mercados con normativa estricta (UE bajo GDPR, California bajo CCPA, Argentina bajo Ley 25.326), incluí las menciones obligatorias: base legal del tratamiento, datos del responsable, derechos específicos y autoridad de control aplicable. Una política bien armada no es defensa legal, es señal de calidad de producto.
GDPR, CCPA y Ley argentina: diferencias clave a contemplar
El GDPR exige base legal explícita para cada tratamiento: consentimiento, contrato, obligación legal, interés vital, interés público o interés legítimo. Si tu base es interés legítimo, debés haber realizado un test de ponderación documentado. Para datos sensibles (salud, orientación sexual, biometría) el consentimiento debe ser explícito y separado, no parte de un check general.
La CCPA y CPRA en California introducen el derecho a saber qué se vende y a quién, con un enlace 'Do Not Sell My Personal Information' visible. La definición de 'venta' es amplia: incluye intercambios por valor, no solo dinero. Si compartís datos con redes publicitarias, técnicamente vendés bajo CCPA.
La Ley 25.326 argentina exige inscripción de bases de datos ante la AAIP cuando recolectás datos de terceros. El plazo de respuesta a derechos es 10 días corridos, más estricto que los 30 del GDPR. Para transferencias internacionales fuera de países con nivel adecuado, necesitás cláusulas contractuales tipo. Brasil con LGPD sigue una estructura similar al GDPR pero con autoridad propia (ANPD) y plazos diferenciados.
Cookies y consentimiento: lo que cambió en los últimos años
El consentimiento implícito por seguir navegando ya no es válido en la UE desde el caso Planet49 (2019). El usuario debe realizar una acción afirmativa clara: clickear 'Aceptar' es válido, una checkbox premarcada no. Los banners deben tener tres opciones equivalentes: aceptar todo, rechazar todo y personalizar. Esconder 'rechazar' en un submenú es práctica engañosa multada por la CNIL francesa con cifras de millones.
Las cookies estrictamente necesarias (autenticación, carrito, balanceadores de carga) no requieren consentimiento. Las analíticas, marketing y personalización sí. Una práctica común errónea es cargar Google Analytics antes del consentimiento: el script debe ejecutarse solo después de la aceptación explícita. Tag managers como GTM permiten configurar consent mode para esto.
Almacená el consentimiento con marca temporal, versión de la política aceptada y categorías seleccionadas. Tras 6-12 meses revalidá: las preferencias caducan y el usuario debe poder revisarlas. Documentá la prueba del consentimiento para auditorías: en caso de denuncia tenés que demostrar cuándo, cómo y qué versión aceptó cada usuario. Sin ese log probatorio, el consentimiento se considera inexistente legalmente.
Errores típicos que generan multas y reputación dañada
El error más caro es no notificar brechas de seguridad en plazo. El GDPR exige notificación a la autoridad en 72 horas y a usuarios afectados sin demora indebida. Empresas como British Airways pagaron 22 millones de euros por una brecha que tardaron en reportar. Tener un protocolo de respuesta ante incidentes con responsables claros y tiempos definidos es defensa básica.
Otro error frecuente es retención indefinida. Conservar datos 'por si acaso' sin justificar el plazo es violación directa del principio de limitación. Definí en la política plazos concretos por categoría: cuentas activas durante la relación, soporte 6 meses, logs de seguridad 12 meses, contabilidad según ley fiscal. Implementá borrado automático con scripts programados, no manual.
Compartir datos con procesadores sin firmar acuerdo (DPA - Data Processing Agreement) es infracción. Cada proveedor que toca datos personales (Stripe, Mailchimp, AWS) debe tener su DPA firmado. Sin ese contrato, sos responsable solidario de cualquier mal uso. Mantené un registro actualizado de procesadores y revisalo anualmente. Si un proveedor cambia política o ubicación de servidores, podés necesitar actualizar tu propia política y notificar usuarios.