Cómo crear una política de privacidad para tu sitio web

Una política de privacidad solo es tan buena como el inventario que la respalda. Antes de escribir una sola palabra, recorre el sitio como visitante y como administrador, y anota cada punto por el que entran o salen datos:

• Formularios: de contacto, presupuesto, reservas, newsletter y candidaturas de empleo, incluidos los campos ocultos y la subida de archivos.
• Cuentas: registro, inicio de sesión, restablecimiento de contraseña y páginas de perfil.
• Analítica: Google Analytics, la analítica integrada del creador de webs, mapas de calor y grabación de sesiones.
• Cookies y almacenamiento local: qué hace cada elemento y quién lo instala.
• Contenido insertado: reproductores de YouTube o Vimeo, mapas, feeds sociales, widgets de reserva y burbujas de chat.
• Alojamiento y seguridad: registros del servidor, redes de distribución de contenidos (CDN), cortafuegos y herramientas CAPTCHA.
• Correo y marketing: plataformas de newsletter, CRM y píxeles publicitarios.
• Pagos: páginas de pago, procesadores de pagos y herramientas de facturación.

Una comprobación técnica rápida ayuda. Abre las herramientas para desarrolladores de tu navegador, carga algunas páginas en una ventana privada y revisa las cookies, el almacenamiento y las solicitudes de red. Cada dominio de terceros que veas es un proveedor que tu política quizá deba mencionar.

Casi todas las webs recogen datos personales, aunque su titular nunca lo pida. Tu proveedor de alojamiento registra direcciones IP en los registros del servidor, los scripts de analítica asignan identificadores y un simple formulario de contacto recoge nombres y direcciones de correo electrónico. Varias leyes convierten eso en la obligación de publicar un aviso de privacidad:

• RGPD y RGPD del Reino Unido (GDPR y UK GDPR): los artículos 13 y 14 enumeran la información que debes dar a las personas cuando recoges sus datos, y el artículo 12 exige que sea concisa, transparente y de fácil acceso.
• CalOPPA: las webs comerciales que recogen información de identificación personal de residentes en California deben publicar una política de privacidad de forma destacada.
• Otros regímenes: Canadá, Australia, Brasil y Nueva Zelanda esperan que las organizaciones sean transparentes sobre cómo tratan la información personal.

Las condiciones de las plataformas añaden sus propios requisitos. Tanto Google Analytics como Google AdSense exigen una política de privacidad adecuada antes de usarlos. Si quieres ver el panorama completo de quién debe publicarla, lee ¿necesito una política de privacidad? y nuestra guía sobre qué pasa si no tienes una política de privacidad.

Convierte el inventario en una tabla sencilla con cinco columnas: qué datos, por qué los recoges, quién los recibe, cuánto tiempo los conservas y, si se aplica el RGPD, en qué base jurídica te apoyas. Esta tabla se convierte en la columna vertebral de la política.

Un pequeño ejemplo para la web de un estudio pequeño:

• Formulario de contacto: nombre, correo electrónico, mensaje. Finalidad: responder a la consulta. Proveedor: tu servicio de correo. Conservación: 12 meses después de que termine la conversación.
• Analítica: páginas vistas, tipo de dispositivo, ubicación aproximada a partir de la dirección IP. Finalidad: entender qué páginas funcionan. Proveedor: tu proveedor de analítica. Conservación: el periodo configurado en los ajustes de analítica.
• Newsletter: dirección de correo y fecha de alta. Finalidad: enviar las novedades que la persona pidió. Proveedor: tu plataforma de email marketing. Conservación: hasta que se dé de baja.

Sé concreto con los ajustes que cambian la respuesta, como la conservación de datos de analítica, las funciones publicitarias o las opciones para compartir datos. Nuestra guía sobre información de privacidad sobre analítica muestra qué ajustes de analítica cambian lo que debes decir.

La mayoría de las políticas de privacidad web siguen el mismo esqueleto, porque las leyes plantean las mismas preguntas básicas. Usa encabezados sencillos que el visitante pueda recorrer de un vistazo:

1. Quién eres y cómo contactarte, con un correo de contacto para privacidad.
2. Qué datos personales recoges, agrupados por origen: formularios, cuentas, recogida automática y terceros.
3. Para qué los usas y, cuando se aplica el RGPD o el RGPD del Reino Unido, la base jurídica.
4. Cookies y tecnologías similares, con una forma de cambiar las preferencias.
5. Quién recibe los datos: proveedores de alojamiento, correo, analítica, pagos y publicidad.
6. Transferencias internacionales y las garantías en las que te apoyas.
7. Cuánto tiempo conservas cada categoría.
8. Los derechos de las personas y cómo ejercerlos.
9. Datos de menores, seguridad y cómo anuncias los cambios.

Escribe en voz activa y di lo que realmente haces. «Usamos Google Analytics para contar las páginas vistas» es más claro que «podemos utilizar diversas tecnologías». La lista de comprobación de ¿qué debe incluir una política de privacidad? explica cada sección con más detalle.

Las secciones regionales son donde muchas webs pequeñas se equivocan, ya sea ignorando leyes que se aplican o copiando secciones de leyes que no.

• Visitantes de la UE y el Reino Unido: si ofreces bienes o servicios a personas de la UE o el Reino Unido, o haces seguimiento de su comportamiento, cuenta con que se aplique el RGPD o el RGPD del Reino Unido. Necesitas bases jurídicas, derechos, transferencias y el derecho a reclamar ante una autoridad de control. Consulta la guía de la política de privacidad según el RGPD.
• California: la CalOPPA se aplica a las webs comerciales que recogen información de identificación personal de residentes en California y exige, entre otras cosas, una declaración sobre cómo respondes a las señales Do Not Track. La CCPA solo se aplica a las empresas que superan sus umbrales, como un umbral de facturación ajustado a la inflación o tratar la información personal de 100.000 o más consumidores u hogares de California. Consulta la guía de la CCPA y la CPRA.
• Otros estados de EE. UU., Canadá, Brasil, Australia y Nueva Zelanda: cada uno tiene sus propios desencadenantes y su propia terminología.

Atribúyete solo los derechos y obligaciones que te correspondan. Una política que promete derechos que nunca respetas crea su propio riesgo.

Tienes tres opciones realistas, y cada una tiene sus pros y sus contras.

• Redactarla tú: gratis y totalmente a medida, pero lento, y es fácil olvidar declaraciones obligatorias como las garantías de las transferencias o el texto sobre Do Not Track.
• Copiar la política de otra web: rápido pero arriesgado. Sus prácticas, proveedores y obligaciones legales no son los tuyos, y el texto suele estar protegido por derechos de autor. Te explicamos por qué en ¿puedo copiar una política de privacidad?
• Usar una plantilla o un generador: más rápido, siempre que la herramienta pregunte por tus prácticas reales en lugar de rellenar huecos con promesas genéricas.

El generador de política de privacidad para webs de Legal Policy Generator sigue la tercera vía. Respondes preguntas sencillas sobre formularios, analítica, seguimiento, proveedores y regiones. Después, la herramienta selecciona cláusulas versionadas que encajan con tus respuestas, sin que ninguna IA redacte cláusulas en tiempo de ejecución. El cuestionario, la vista previa completa y la descarga simple en HTML y PDF son gratuitos y no requieren cuenta. Los módulos regionales avanzados u opcionales cuestan $5. Elijas la vía que elijas, el resultado no es asesoramiento jurídico, así que revísalo frente a tu configuración real.

Dale a la política su propia página con una dirección corta y estable, como /privacy o /privacy-policy. Una URL estable importa porque la pegarás en tiendas de apps, plataformas publicitarias, herramientas de correo y ajustes de pago, y un enlace roto ahí puede frenar una revisión.

Los pasos genéricos son los mismos en casi todas las plataformas:

1. Crea una página nueva titulada Política de privacidad.
2. Pega el texto o el HTML de la política en el cuerpo de la página, o enlaza a una copia alojada.
3. Añade la fecha de entrada en vigor arriba para que los lectores sepan qué versión están leyendo.
4. Publica la página y ábrela en una ventana privada para confirmar que carga sin iniciar sesión.
5. Comprueba que los encabezados, las listas y los enlaces han sobrevivido al pegado.

Con Legal Policy Generator, la descarga simple en HTML se puede pegar en una página de un creador de webs. Si prefieres enlazar a una página web pública, el alojamiento opcional añade $0.99 una sola vez, y la suscripción mensual de $5 incluye el alojamiento mientras esté activa. Para consejos específicos por plataforma, lee cómo añadir una política de privacidad a Wix, Squarespace, Webflow o Shopify.

Una política que nadie encuentra sirve de poco. Como mínimo, coloca un enlace con el texto Política de privacidad en el pie de página de todas las páginas, para que aparezca en la página de inicio y en cualquier página a la que llegue un visitante.

Después, añade enlaces contextuales en cada punto de recogida:

• Junto al botón de envío de los formularios de contacto, presupuesto y newsletter.
• En las páginas de registro de cuenta y de pago.
• Dentro de tu banner de cookies o tu centro de preferencias, si usas uno.
• En las fichas de tiendas de apps, los ajustes de plataformas publicitarias y las pantallas de consentimiento OAuth que pidan la URL de una política de privacidad.

Usa un texto de enlace sencillo, mantén el enlace visible en los diseños móviles y asegúrate de que funciona sin JavaScript. Nuestra guía sobre dónde poner el enlace a la política de privacidad explica en detalle la expresión «conspicuously post» de la CalOPPA y lo que espera el RGPD.

Una política de privacidad describe tu web en un momento concreto, y las webs cambian constantemente. Revisa la política cada vez que ocurra uno de estos desencadenantes:

• Añades o quitas un plugin, script, contenido insertado o integración.
• Cambias de proveedor de alojamiento, correo, analítica o pagos.
• Empiezas a hacer publicidad, retargeting o venta online.
• Empiezas a atender a visitantes de un nuevo país o región.
• Cambia una ley en la que te apoyas o una plataforma actualiza sus condiciones.

Guarda una copia fechada de cada versión, cambia la fecha de entrada en vigor cuando cambie el texto e informa de los cambios importantes de una forma acorde con tu relación con las personas, como un aviso en la web o un correo a los titulares de cuentas. Una revisión breve cada pocos meses, aunque parezca que nada ha cambiado, detecta herramientas que algún compañero añadió sin avisar. Lee ¿cada cuánto debes actualizar tu política de privacidad? para un calendario de revisión práctico.