Una tienda online recopila información desde el primer clic: datos de navegación, formularios, direcciones, historial de pedidos, comunicaciones, pagos y preferencias. El cumplimiento de la LOPDP no se limita a publicar una política de privacidad. Debe integrarse al checkout, a los proveedores tecnológicos y a la forma en que la empresa usa la base después de la compra.

El checkout debería pedir solo lo necesario para la operación

La empresa debe distinguir entre datos necesarios para procesar el pedido, información requerida por obligaciones legales y datos opcionales utilizados para marketing o personalización. Solicitar información adicional “por si acaso” aumenta el riesgo y puede contrariar el principio de minimización. También conviene definir qué ocurre con carritos abandonados y cuentas que nunca completaron una compra.

Pago y logística incorporan terceros al tratamiento

Pasarelas de pago, plataformas de e-commerce, couriers, herramientas antifraude, CRM y servicios de soporte pueden recibir información de clientes. La tienda necesita identificar qué datos comparte con cada proveedor, el rol que cumple, las garantías contractuales y si existen transferencias internacionales. El hecho de que el proveedor sea conocido no elimina la obligación de evaluarlo.

Comprar no equivale automáticamente a aceptar publicidad

Las finalidades necesarias para ejecutar una compra deben diferenciarse de comunicaciones promocionales, perfilamiento o campañas posteriores. La empresa debe identificar la base de legitimación correspondiente y respetar las preferencias del titular. Esta separación también facilita atender solicitudes de oposición o revocatoria sin afectar datos que todavía deban conservarse por razones contractuales o legales.

La privacidad debe funcionar igual en web, app y atención al cliente

El cliente puede iniciar la compra en una web, continuar por WhatsApp y terminar mediante una plataforma de pago. El sistema de cumplimiento debe cubrir todo el recorrido, no solo el sitio principal. Avisos, consentimientos, plazos de conservación y procedimientos de derechos deberían ser coherentes entre canales y quedar respaldados en los registros internos.

¿Puedo pedir fecha de nacimiento para todas las compras?

Solo debería solicitarse si existe una finalidad clara y una base que justifique el tratamiento. Si no es necesaria para vender o cumplir una obligación, conviene evaluar si puede eliminarse del formulario.

¿La pasarela de pago es responsabilidad exclusiva del proveedor?

No. Cada actor puede tener un rol distinto, pero la tienda debe conocer el flujo de información, seleccionar proveedores con garantías suficientes e informar adecuadamente al cliente sobre el tratamiento.