Ejemplos de política de privacidad comentados sección por sección

Los fragmentos breves muestran el patrón, pero ayuda leer una política completa. Estos modelos ilustrativos se generaron con el mismo motor a partir de respuestas ficticias, para que veas cómo encajan las secciones en distintos productos:

• Modelo de política de privacidad para webs: una web de contenidos ficticia con Google Analytics, un boletín, consentimiento y derechos de la UE y del Reino Unido
• Modelo de política de privacidad para apps móviles: una app ficticia con cuentas, analítica de Firebase, suscripciones integradas e información para California
• Modelo de política de privacidad para comercio electrónico: una tienda online ficticia con pagos de Stripe, un boletín, publicidad con Meta Pixel y derechos de la UE y Canadá
• Modelo de política de privacidad para SaaS de IA: un producto ficticio de redacción con IA con proveedores de modelos, prompts almacenados, sin entrenamiento y derechos del RGPD

Úsalos para entender la estructura y el nivel de detalle, no como texto para copiar. Cada uno describe las prácticas de un negocio ficticio. Cuando estés listo, la página de la plantilla de política de privacidad explica cómo se adapta la misma estructura a tus propias respuestas.

Las políticas de privacidad sólidas tienen un aspecto distinto en la superficie, pero comparten unos cuantos rasgos que puedes reconocer en segundos:

• Concretas, no genéricas: nombran categorías de datos, herramientas y proveedores reales en lugar de «cierta información» y «socios de confianza»
• Guiadas por la finalidad: cada uso de los datos está vinculado a un motivo que el lector entiende
• Fáciles de escanear: encabezados claros, párrafos cortos, listas y, a menudo, un resumen al principio
• Prácticas: explican cómo ejercer los derechos, con una vía de contacto que funciona
• Honestas sobre sus límites: describen las medidas de seguridad sin prometer una seguridad perfecta
• Fechadas: muestran una fecha de entrada en vigor y explican cómo se anuncian los cambios

La lista de información de privacidad de la ICO británica y el artículo 13 del RGPD describen el contenido; el lenguaje claro lo hace útil. Los ejemplos siguientes usan un negocio ficticio, Harbor Lane Ceramics, una tienda online de cerámica en Irlanda que vende a clientes de la UE y del Reino Unido, usa un procesador de pagos, envía un boletín y usa analítica con consentimiento. Los fragmentos son solo ilustrativos. Tu propia redacción debe describir tus propias prácticas, y por eso copiar es mala idea, como se explica en ¿puedo copiar una política de privacidad?.

Ejemplo de redacción: «Harbor Lane Ceramics Ltd (ficticia), 1 Example Street, Example City, Irlanda, es responsable de la información personal descrita en esta política. Puedes contactar con nosotros sobre privacidad en [email protected]. Intentamos responder en un plazo de cinco días hábiles.»

Por qué funciona:

• Nombra a la entidad legal, no solo la marca, que es lo que pide el artículo 13 del RGPD cuando exige la identidad y los datos de contacto del responsable
• Ofrece un contacto de privacidad específico que alguien revisa
• Fija una expectativa realista sobre las respuestas

Si has nombrado a un delegado de protección de datos, o a un representante en la UE o el Reino Unido porque estás establecido fuera de esas regiones, sus datos de contacto también van aquí. Evita fórmulas genéricas como «contacta con nosotros a través de nuestra web» cuando puedas dar una vía directa.

Un punto débil habitual en las políticas que se encuentran en internet es nombrar solo una marca o una dirección web. Los lectores, los reguladores y los revisores de las tiendas de apps quieren saber qué empresa es realmente responsable, y la política de Datos de usuario de Google Play pide de forma explícita información del desarrollador y un punto de contacto de privacidad.

Ejemplo de redacción: «Recogemos:

• Datos del pedido que nos das al pagar: nombre, dirección de correo, dirección de entrega y número de teléfono
• Confirmación del pago de nuestro procesador de pagos; no vemos ni guardamos el número completo de tu tarjeta
• Datos del boletín: tu dirección de correo y qué correos abres, si te suscribes
• Información de uso recogida automáticamente con tu consentimiento: páginas vistas, tipo de dispositivo y ubicación aproximada derivada de tu dirección IP
• Mensajes que nos envías por correo o a través de nuestro formulario de contacto»

Por qué funciona: cada categoría es concreta y está vinculada a su origen: tú, la recogida automática o un tercero. Un lector puede relacionar cada elemento con algo que ha hecho en la web. Fíjate en la frase explícita sobre los números de tarjeta; responde a una pregunta que se hacen muchos compradores y solo es cierta porque la tienda usa un pago alojado.

La versión débil de esta sección dice «Podemos recoger información personal como tu nombre, tu correo y otra información». No le dice al lector nada sobre lo que realmente ocurre, y no cumpliría las leyes que exigen categorías y orígenes.

Ejemplo de redacción: «Usamos tu información para:

• Procesar y entregar tus pedidos y gestionar las devoluciones (base jurídica: ejecución de un contrato)
• Enviar confirmaciones de pedido y avisos de entrega (contrato)
• Enviarte nuestro boletín si te suscribes (consentimiento, que puedes retirar en cualquier momento)
• Entender cómo usan los visitantes nuestra web para poder mejorarla (consentimiento a través de nuestros ajustes de cookies)
• Llevar los registros contables que exige la normativa fiscal (obligación legal)
• Prevenir el fraude y mantener segura nuestra tienda (nuestro interés legítimo en proteger nuestro negocio y a nuestros clientes)»

Por qué funciona: cada finalidad va acompañada de una base jurídica, como exige el artículo 13 del RGPD, y el interés legítimo se nombra en lugar de dejarse en el aire. Las finalidades están escritas en lenguaje cotidiano que coincide con lo que la tienda hace a la vista.

Las políticas dirigidas a públicos fuera de Europa a menudo presentan las finalidades sin bases jurídicas, lo cual está bien donde no existe ese requisito. Sin embargo, si das servicio a usuarios de la UE o del Reino Unido, esta asociación es uno de los elementos que más a menudo faltan en las políticas creadas a partir de plantillas genéricas. La guía de la política de privacidad según el RGPD explica cada base.

Ejemplo de redacción: «Solo compartimos información con los proveedores que nos ayudan a gestionar la tienda:

• Nuestro procesador de pagos, para cobrar y prevenir el fraude
• Nuestra plataforma de comercio electrónico, que aloja la tienda y guarda los registros de pedidos
• Nuestro proveedor de correo, para enviar los correos de pedidos y nuestro boletín
• Nuestro proveedor de analítica, si das tu consentimiento a las cookies de analítica
• Las empresas de mensajería, para entregar tu paquete

No vendemos tu información personal. Algunos proveedores tienen su sede en Estados Unidos; cuando la información se transfiere fuera del Espacio Económico Europeo, nos basamos en las cláusulas contractuales tipo de la Comisión Europea u otra garantía legal.»

Por qué funciona: los destinatarios se agrupan por función y cada uno tiene un motivo. La declaración sobre transferencias nombra la garantía, como exige el RGPD cuando los datos salen de la región. Muchas políticas reales nombran a cada proveedor por separado; eso ayuda cuando los lectores pueden querer leer la política del propio proveedor.

La versión débil, «Podemos compartir datos con terceros de confianza», es una de las frases más habituales en las políticas deficientes. No responde a ninguna de las preguntas que haría un lector o un regulador.

Ejemplo de redacción: «Usamos cookies esenciales para que funcionen la cesta y el pago. Con tu consentimiento, también usamos cookies de analítica para medir qué páginas se visitan. Puedes aceptar o rechazar las cookies de analítica en el banner cuando nos visitas por primera vez y cambiar tu elección en cualquier momento con el enlace Ajustes de cookies del pie de página.»

Por qué funciona: separa las cookies esenciales de las opcionales, indica que las opcionales dependen del consentimiento y dice a los usuarios exactamente dónde cambiar su elección. Y, sobre todo, coincide con lo que hace realmente el banner de consentimiento. Una política que dice que la analítica solo funciona con consentimiento, en una web donde la analítica se carga de inmediato, es una contradicción que los reguladores y los usuarios pueden detectar.

Si usas muchas tecnologías de seguimiento, una tabla con cada cookie, su proveedor, su finalidad y su duración puede ir en esta sección o en una política de cookies aparte enlazada desde ella. Algunas herramientas también tienen requisitos contractuales; las condiciones de Google Analytics, por ejemplo, te piden que informes de que usas el servicio. Para los temas de redacción específicos de la analítica, consulta la guía de información sobre analítica.

Ejemplo de redacción: «Conservamos:

• Los registros de pedidos y facturas durante seis años, para cumplir nuestras obligaciones fiscales de conservación de registros
• Los datos del boletín hasta que te des de baja
• Los correos de atención al cliente durante dos años después de tu último mensaje
• Los datos de analítica durante 14 meses, tras los cuales se eliminan automáticamente»

Por qué funciona: el RGPD exige un plazo de conservación o los criterios usados para fijarlo, y este ejemplo da plazos concretos con sus motivos. Los lectores pueden ver que nada se guarda indefinidamente, y la tienda tiene una regla clara que seguir internamente.

Las cifras del ejemplo son ilustrativas para una tienda ficticia. Tus propios plazos deben salir de tus obligaciones legales reales, de la configuración de tus proveedores y de las necesidades de tu negocio. Cuando no sea posible fijar un plazo, describe los criterios, como «mientras tu cuenta esté abierta y durante un periodo limitado después para resolver posibles disputas».

Una sección de conservación débil dice «Conservamos los datos el tiempo que sea necesario». Sin criterios, esa frase no le dice nada a nadie y no cumple el requisito del RGPD.

Ejemplo de redacción: «Tienes derecho a acceder a tu información personal, corregirla o eliminarla, a oponerte a determinados tratamientos o limitarlos, a recibir tu información en un formato portátil y a retirar tu consentimiento en cualquier momento. Para hacer una solicitud, escribe a [email protected]. Puede que te pidamos que confirmes tu identidad antes de actuar. También tienes derecho a presentar una reclamación ante la Comisión de Protección de Datos (Data Protection Commission) de Irlanda o ante la autoridad de protección de datos del lugar donde vives.»

Por qué funciona: enumera los derechos aplicables al público de la tienda, ofrece una única vía sencilla para ejercerlos, explica la verificación y nombra a la autoridad de control, como exige el RGPD.

Si tu público incluye californianos y tu empresa supera los umbrales de la CCPA, esta sección se amplía para cubrir los derechos a saber, eliminar, corregir, oponerse a la venta o al intercambio y limitar el uso de la información personal sensible, además de cómo gestionas las señales de preferencia de exclusión y los agentes autorizados. El reglamento de la CCPA enumera cada elemento obligatorio. Otras regiones añaden sus propios derechos, y por eso un generador de políticas de privacidad que selecciona módulos regionales a partir de tus respuestas puede ahorrarte tiempo frente a editar una plantilla fija.

Ejemplo de redacción: «Nuestra tienda está dirigida a adultos. No recogemos a sabiendas información personal de menores. Si crees que un menor nos ha facilitado información, contacta con nosotros y la eliminaremos.

Actualizaremos esta política cuando cambien nuestras prácticas. Si hacemos cambios significativos, enviaremos un correo a los clientes y a los suscriptores del boletín antes de que los cambios surtan efecto.

Fecha de entrada en vigor: 1 de marzo de 2026. Última actualización: 1 de marzo de 2026.»

Por qué funciona: la declaración sobre el público es breve y honesta, el proceso de cambios describe un aviso directo en lugar de pedir a las personas que vuelvan a consultar la página con regularidad y se muestran ambas fechas. La CalOPPA exige una fecha de entrada en vigor y una descripción de cómo se avisa a los usuarios de los cambios sustanciales, y el reglamento de la CCPA exige la fecha de la última actualización de la política.

Si tu servicio está dirigido a menores de 13 años en Estados Unidos, esta breve declaración no basta; la COPPA exige un aviso específico con un contenido determinado. Para saber cuándo y cómo anunciar las actualizaciones, consulta cada cuánto actualizar tu política de privacidad.