Cómo redactar una política de privacidad paso a paso

Toda política de privacidad precisa empieza con un inventario de datos, no con una plantilla. Abre una hoja de cálculo y recorre tu producto como lo haría un usuario, anotando cada punto por el que entran datos personales:

• Formularios: contacto, registro, pago, soporte y candidaturas de empleo
• Cuentas: dirección de correo, nombre, hash de la contraseña, foto de perfil y ajustes
• Recogida automática: registros del servidor con direcciones IP, cookies, SDK e informes de fallos
• Datos de terceros: inicio de sesión con Google o Apple, confirmaciones de pago y audiencias publicitarias
• Contenido que crean los usuarios: mensajes, archivos subidos, reseñas y prompts enviados a funciones de IA

En cada fila, anota la categoría de datos, el origen y la herramienta que los trata. No olvides la recogida invisible: los vídeos incrustados, las fuentes web cargadas desde un tercero y los widgets de chat pueden transmitir direcciones IP. Si no sabes qué hace un script, lee la documentación del proveedor u observa la pestaña de red en las herramientas para desarrolladores de tu navegador. Este inventario será la columna vertebral de todos los pasos siguientes, así que merece una hora extra.

A continuación, anota por qué usas cada categoría de datos. Las finalidades típicas son prestar el servicio, gestionar cuentas, procesar pagos, responder a solicitudes de soporte, enviar boletines, medir el uso, prevenir el fraude y hacer publicidad. Sé específico: «para mejorar nuestros servicios», por sí solo, dice muy poco al lector, mientras que «para ver qué páginas leen los visitantes y así corregir el contenido confuso» es honesto y concreto.

Si alguien del Espacio Económico Europeo o del Reino Unido usa tu producto, el artículo 13 del RGPD también te pide indicar la base jurídica de cada finalidad, como la ejecución de un contrato, el consentimiento, una obligación legal o el interés legítimo, y nombrar los intereses legítimos en los que te basas. Una breve tabla en tus notas mantiene la coherencia de la política:

• Boletines por correo: consentimiento
• Gestión de pedidos y recibos: contrato
• Prevención del fraude y seguridad: intereses legítimos
• Registros fiscales y contables: obligación legal

Incluye solo las finalidades que realmente persigues hoy. Una finalidad que quizá añadas algún día corresponde a una actualización futura, no al aviso actual.

Los lectores y los reguladores quieren saber quién más recibe los datos. Recorre tu inventario y enumera cada proveedor de servicios: alojamiento, entrega de contenidos, envío de correo, analítica, pagos, atención al cliente, seguimiento de errores, publicidad y proveedores de modelos de IA. Para cada uno, anota si actúa solo siguiendo tus instrucciones, como hace un encargado del tratamiento o proveedor de servicios, o si también usa los datos para sus propios fines, como hacen muchas redes publicitarias.

Tu política debe describir las categorías de destinatarios y, cuando ayude al lector, nombrar a los propios proveedores. Algunos contratos con proveedores exigen una redacción concreta. Las condiciones de Google Analytics, por ejemplo, te obligan a publicar una política de privacidad que informe de que usas Google Analytics y de cómo recoge y trata los datos, y la guía de información sobre analítica explica lo que suele cubrir esa sección.

Anota también dónde trata los datos cada proveedor. Si la información sale del Espacio Económico Europeo o del Reino Unido, el RGPD espera que menciones la transferencia y la garantía en la que te basas, como una decisión de adecuación o las cláusulas contractuales tipo.

Hay dos preguntas que hacen tropezar a muchos primeros borradores: cuánto tiempo conservas los datos y cómo los proteges. Para la conservación, el RGPD acepta un plazo fijo o los criterios que usas para determinarlo. Algunos ejemplos prácticos:

• Datos de la cuenta: se conservan mientras la cuenta esté abierta y se eliminan dentro de un plazo determinado tras su cierre
• Registros de facturación: se conservan durante el plazo que exige la normativa fiscal y contable
• Correos de soporte: se conservan durante un periodo definido después de cerrar la incidencia
• Datos de analítica: se conservan durante el periodo de retención configurado en tu herramienta de analítica

En cuanto a la seguridad, describe tus medidas reales en términos generales, como el cifrado en tránsito, el acceso restringido del personal y la actualización rápida del software. Evita promesas absolutas como «tus datos están completamente seguros». Ningún sistema es inmune a las brechas, y una afirmación exagerada sobre seguridad es justo el tipo de declaración que se convierte en una práctica engañosa si algo sale mal. Escribe lo que haces, no lo que esperas hacer.

Tu público, y no solo la ubicación de tu empresa, decide la mayor parte del contenido regional. Hazte tres preguntas: dónde están tus usuarios, qué datos recoges y qué tamaño tiene tu negocio.

• Usuarios en la UE o el Reino Unido: los elementos de transparencia del RGPD y del RGPD del Reino Unido (UK GDPR), incluidas las bases jurídicas, las transferencias y el derecho a reclamar ante una autoridad de control. La guía de la política de privacidad según el RGPD los enumera.
• Visitantes de California: la CalOPPA exige una política publicada de forma visible a cualquier web comercial o servicio en línea que recoja información de identificación personal de residentes en California, sin umbral de tamaño. La CCPA añade obligaciones de información detalladas para las empresas que superan sus umbrales; la guía de la CCPA y la CPRA las explica una a una.
• Otros estados de EE. UU.: muchos estados tienen ya leyes de privacidad integrales, cada una con sus propios umbrales y derechos de exclusión.
• Menores: un servicio dirigido a menores de 13 años en Estados Unidos activa las normas de aviso y consentimiento parental de la COPPA.
• Canadá, Brasil, Australia y Nueva Zelanda: cada uno tiene sus propias obligaciones de apertura o transparencia.

Incluye solo los módulos que se apliquen. Añadir todas las leyes «por si acaso» crea contradicciones, como prometer procesos de solicitud que en realidad no gestionas.

Una política de privacidad es también un manual de instrucciones para quienes quieren ejercer sus derechos. Para cada región a la que das servicio, enumera los derechos aplicables y explica exactamente cómo ejercerlos: una dirección de correo que alguien revise, un formulario web o un ajuste dentro de la app.

Según el RGPD, eso incluye el acceso, la rectificación, la supresión, la limitación, la portabilidad, la oposición, la retirada del consentimiento y la reclamación ante una autoridad de control. Los californianos que tratan con una empresa sujeta a la CCPA tienen derecho a saber, eliminar, corregir, oponerse a la venta o al intercambio de su información personal y limitar el uso de su información personal sensible, y el reglamento de la CCPA pide una descripción general de cómo verificas las solicitudes.

Prueba la vía antes de publicar. Envía una solicitud a tu propia dirección de privacidad, comprueba que llega y decide quién la responde y en cuánto tiempo. Una sección de derechos que apunta a un buzón que nadie revisa es peor que inútil, porque indica a los lectores que la política no se mantiene y deja sin respuesta solicitudes reales.

El artículo 12 del RGPD pide que la información se facilite de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Es un buen consejo para cualquier público, y unos pocos hábitos hacen legible incluso una política larga:

• Empieza con un breve resumen de los puntos más importantes
• Usa encabezados descriptivos que se puedan escanear, como «Con quién compartimos los datos»
• Prefiere «nosotros» y «tú» a «la Empresa» y «el Interesado»
• Sustituye palabras vagas como «podremos» y «determinados» por datos concretos siempre que puedas
• Usa listas para las categorías de datos y una tabla para los plazos de conservación
• Añade un índice con enlaces de anclaje cuando la política sea larga

Lee el borrador en voz alta. Si una frase necesita una segunda lectura para entenderse, reescríbela. El lenguaje claro no consiste en ser informal; consiste en asegurarte de que el lector termina sabiendo qué ocurre realmente con su información. Para ver patrones de redacción reales, la guía de ejemplos de política de privacidad analiza fragmentos comentados sección por sección.

Publica la política en una URL pública y estable y enlázala en todos los puntos donde la gente toma decisiones sobre sus datos. Los lugares habituales son:

• El pie de página de todas las páginas de tu web
• Los formularios de registro, pago y suscripción al boletín
• La pantalla de ajustes o de información dentro de tu app
• Tus fichas en App Store Connect y Google Play Console

Las tiendas de apps tienen normas específicas. La directriz 5.1.1(i) de Apple exige un enlace a la política de privacidad en el campo de metadatos de App Store Connect y dentro de la app, de forma fácilmente accesible. Google Play exige un enlace en Play Console y dentro de la app, en una URL activa, de acceso público y sin restricciones geográficas, y no acepta archivos PDF. La CalOPPA exige que la política se publique de forma visible, y el reglamento de la CCPA espera un enlace visible que incluya la palabra «privacidad» en tu página de inicio o en la página de descarga de la app. Para ver diseños que funcionan en webs reales, consulta dónde poner el enlace a la política de privacidad.

Una política de privacidad es un documento vivo. Muestra una fecha de entrada en vigor al principio, como exige la CalOPPA, y guarda una copia de cada versión que publiques para poder demostrar qué vieron los usuarios en cada momento. Revisa la política cada vez que:

• Añadas o retires una herramienta, un SDK o un proveedor
• Empieces a recoger una nueva categoría de datos o a usar datos para una nueva finalidad
• Te lances en un nuevo país o estado de EE. UU.
• Añadas funciones de IA, publicidad o pagos
• Cambies la forma en que los usuarios ejercen sus derechos

Las empresas sujetas a la CCPA deben actualizar la información obligatoria sobre California al menos una vez cada 12 meses según el artículo 1798.130(a)(5) del Código Civil de California, así que anota una revisión anual en tu calendario aunque no parezca haber cambiado nada. Ante cambios sustanciales, avisa directamente a los usuarios en lugar de editar la página en silencio. El proceso completo, incluida la redacción del aviso, está en cada cuánto actualizar tu política de privacidad.

Repasa este checklist antes de publicar la política:

1. El nombre legal del responsable, el correo de contacto y la dirección postal, cuando se exija, son correctos
2. Todas las categorías de datos de tu inventario aparecen en la política, y no hay ninguna de más
3. Cada finalidad es específica y tiene una base jurídica si hay usuarios de la UE o del Reino Unido
4. Se enumeran todas las categorías de destinatarios, incluidas las herramientas de analítica y publicidad
5. Se describen las transferencias internacionales y sus garantías cuando corresponda
6. Se indican los plazos de conservación o los criterios para fijarlos
7. Se explican los derechos, los métodos de solicitud y la verificación de cada región a la que das servicio
8. Las opciones sobre cookies y seguimiento coinciden con lo que hace realmente tu banner de consentimiento
9. Se tratan los datos de menores, los datos sensibles y las funciones de IA si existen
10. La fecha de entrada en vigor está fijada y las versiones anteriores están archivadas
11. El enlace aparece en el pie de página, los formularios, los ajustes de la app y las fichas de las tiendas

Si prefieres no reunir todo esto a mano, Legal Policy Generator te hace estas preguntas en lenguaje sencillo y selecciona cláusulas versionadas según tus respuestas. El cuestionario y la vista previa completa son gratuitos y no necesitan cuenta, así que puedes comparar el resultado con tu propio checklist.