Cómo redactar la política de privacidad de una app infantil

La mayoría de los problemas de privacidad infantil vienen del código de terceros. Antes de redactar la política, comprueba que:

• Cada SDK de la build está enumerado, con lo que recoge de los usuarios menores.
• Ningún SDK transmite identificadores publicitarios u otros identificadores del dispositivo que la política de Familias o la categoría Niños prohíben.
• Los anuncios, si los hay, son contextuales y solo los sirven SDK permitidos, con la personalización desactivada para los menores.
• La analítica está desactivada para los menores o limitada a herramientas que cumplen las excepciones de la plataforma.
• Los informes de fallos no envían identificadores que no tienes permitido recoger.
• La ubicación está desactivada, o limitada a lo que permiten las normas.
• Las funciones de chat y de compartir tienen controles parentales y recordatorios de seguridad.
• Los plazos de conservación están por escrito y se aplican en el código.
• Los terceros que reciben datos de menores están nombrados en la política, con sus finalidades.

Nuestra guía de información sobre publicidad explica cómo describir las redes publicitarias, y la guía de la política de privacidad para juegos cubre el chat, el multijugador y las compras integradas que muchas apps infantiles comparten con los juegos.

Todo empieza con esta pregunta, y la respuesta no depende solo de tu intención. Según la COPPA Rule, la FTC decide si un servicio está dirigido a menores de 13 años fijándose en su temática, contenido visual, uso de personajes animados o de actividades e incentivos orientados a niños, música, edad de los modelos, celebridades infantiles, lenguaje y publicidad, junto con las pruebas sobre el público real y el previsto, como los planes de marketing y las reseñas de los usuarios.

La norma también reconoce los servicios de público mixto: una app para el público general que incluye menores no se considera dirigida a menores respecto de los usuarios que no se han identificado como menores de 13 años, y por eso muchas apps usan un control de edad neutro. Por otra parte, si sabes a ciencia cierta que recoges información personal de un menor, la COPPA se aplica a los datos de ese menor.

Las tiendas hacen la misma pregunta. Google Play te exige declarar tu público objetivo en Play Console y puede revisar si tus imágenes y tu terminología sugieren que te diriges a niños. Apple reserva términos como «For Kids» y «For Children» en los metadatos de las apps para la categoría Niños (Kids Category).

Sé honesto contigo mismo. Un juego de dibujos animados de colores vivos con una clasificación para adolescentes puede seguir pareciendo dirigido a niños a ojos de un regulador. La guía de la política de privacidad según la COPPA resume las normas sobre su ámbito de aplicación.

La COPPA llama a la política de privacidad aviso en línea (online notice), y la norma enumera lo que debe indicar. Según 16 CFR 312.4(d), un aviso completo incluye:

• el nombre, la dirección, el teléfono y el correo electrónico de todos los operadores que recogen o conservan información personal de menores, o un contacto designado más los nombres de todos los operadores
• qué información recoges de los menores, incluido si los menores pueden hacer pública información personal
• cómo la usas y tus prácticas de comunicación, incluidas las identidades y las categorías específicas de los terceros que la reciben y sus finalidades
• tu política de conservación de datos
• cuando proceda, las operaciones internas para las que recoges identificadores persistentes y cómo evitas que se usen para otros fines
• cuando recojas archivos de audio con la voz de un menor al amparo de la excepción de la norma, cómo los usas y que los eliminas inmediatamente después de responder a la solicitud
• que los padres pueden revisar o hacer eliminar la información de su hijo y negarse a que se siga recogiendo, y cómo hacerlo

La norma también exige un enlace destacado y claramente identificado a este aviso en la pantalla de inicio o de entrada y en cada zona donde recojas información de menores, además de un aviso directo y separado a los padres antes de recoger datos. Una política de privacidad general que nunca menciona a los menores no cumple este estándar.

La FTC publicó su COPPA Rule modificada en el Federal Register el 22 de abril de 2025. Entró en vigor el 23 de junio de 2025, y las empresas reguladas tenían hasta el 22 de abril de 2026 para cumplir la mayoría de sus disposiciones. Si tu app se creó antes, revísala ahora.

Cambios que afectan a tu política y a tu app:

• Consentimiento separado para las comunicaciones a terceros. Los padres deben poder consentir la recogida y el uso sin consentir la comunicación a terceros, salvo que esa comunicación sea parte integral del servicio. Las comunicaciones con fines como la publicidad dirigida necesitan un consentimiento parental verificable separado.
• Política de conservación de datos por escrito. Debes conservar los datos de los menores solo durante el tiempo razonablemente necesario, nunca indefinidamente, e incluir tu política de conservación por escrito en el aviso en línea.
• Programa de seguridad por escrito. Los operadores deben establecer y mantener un programa de seguridad de la información por escrito, proporcional a su tamaño y a la sensibilidad de los datos.
• Información personal más amplia. La definición incluye ahora los identificadores biométricos y los identificadores emitidos por las administraciones.
• Terceros identificados. El aviso en línea debe indicar las identidades y las categorías específicas de los terceros que reciben datos de menores.

Cada uno de estos cambios exige trabajo operativo, no solo frases nuevas. Tu política debe describir lo que realmente has construido.

Si los niños forman parte de tu público objetivo en Google Play, las políticas de Familias se aplican además de la política general de Datos de usuario. Puntos clave de la política de Google:

• Debes completar con exactitud la sección Público objetivo y contenido, la sección de Seguridad de los datos y el cuestionario de clasificación de contenido, y mantenerlos al día.
• Las apps dirigidas exclusivamente a niños no deben transmitir el ID de publicidad de Android, el número de serie de la SIM, el número de serie de la build, el BSSID, la MAC, el SSID, el IMEI ni el IMSI; las apps de público mixto no deben transmitirlos de niños ni de usuarios de edad desconocida.
• Las apps dirigidas exclusivamente a niños no pueden solicitar el permiso de ubicación ni recoger, usar o transmitir la ubicación precisa.
• Los anuncios mostrados a niños solo pueden proceder de SDK de anuncios autocertificados para Familias, y las apps de público mixto necesitan un control de edad, como un control de edad neutro.
• Las apps y funciones que permiten a los niños compartir contenido libre necesitan un recordatorio de seguridad en línea dentro de la app y controles para adultos.
• Tu app, incluidas las API y los SDK que usa, debe cumplir la COPPA, el RGPD y otras leyes aplicables, y tu política de privacidad debe reflejar con exactitud tus prácticas con los datos.

Tu política de privacidad debe coincidir con estos ajustes: indica qué SDK se ejecutan para los usuarios menores, que los anuncios no son personalizados y cómo se trata la ubicación. La página del generador de políticas de privacidad para Google Play cubre los requisitos generales de Play Console.

Las directrices de revisión de apps de Apple tratan con rigor las apps infantiles. La directriz 1.3 dice que las apps de la categoría Niños no pueden enviar información de identificación personal ni información del dispositivo a terceros, y no deben incluir analítica ni publicidad de terceros. Existen excepciones limitadas: la analítica que no recoge ni transmite el IDFA ni información identificable sobre los niños, su ubicación o sus dispositivos, y la publicidad contextual de servicios con prácticas públicamente documentadas para la categoría Niños que incluyan la revisión humana de las creatividades publicitarias.

Las apps de la categoría Niños también deben poner detrás de un control parental los enlaces fuera de la app, las oportunidades de compra y otras distracciones. Apple señala que, una vez que los usuarios esperan que tu app siga estas normas, debe seguir cumpliéndolas en actualizaciones posteriores aunque desmarques la categoría.

La directriz 5.1.4 añade que las apps de la categoría Niños, o las apps que recogen información personal de un menor, deben incluir una política de privacidad y cumplir las leyes de privacidad infantil. Las apps solo pueden pedir la fecha de nacimiento y los datos de contacto de los padres para cumplir esas leyes. Apple también establece que un control parental no equivale, en general, al consentimiento parental que exigen las leyes de privacidad.

La página del generador de políticas de privacidad para la App Store de Apple explica cómo encaja tu política con las etiquetas de privacidad de la app.

Si niños de Europa o del Reino Unido usan tu app, se aplican dos marcos más.

Artículo 8 del RGPD. Cuando ofreces directamente a un menor un servicio de la sociedad de la información y te basas en el consentimiento, el tratamiento solo es lícito si el menor tiene al menos 16 años, o si un progenitor da o autoriza el consentimiento. Los Estados miembros pueden rebajar la edad, pero no por debajo de 13 años, así que el umbral varía en la UE. Debes hacer esfuerzos razonables para verificar el consentimiento parental, teniendo en cuenta la tecnología disponible. En el Reino Unido, la edad para esta norma es de 13 años.

El Código de diseño adecuado a la edad (Age appropriate design code) del Reino Unido. El Children's code de la ICO es un código de buenas prácticas con rango legal que tiene 15 estándares para apps, juegos, juguetes conectados y webs a los que probablemente accedan menores de 18 años en el Reino Unido. Entre ellos: el interés superior del menor, las evaluaciones de impacto relativas a la protección de datos, una transparencia adaptada a la edad del menor, ajustes de alta privacidad por defecto, la minimización de datos, la limitación del intercambio de datos, la geolocalización desactivada por defecto, un tratamiento de los controles parentales adecuado a la edad, la elaboración de perfiles desactivada por defecto y la ausencia de técnicas de empujón (nudge).

Para tu política de privacidad, el estándar que más pesa es la transparencia: la información debe ser concisa, destacada y estar en un lenguaje claro adaptado a la edad del menor. La guía de la política de privacidad según el RGPD del Reino Unido y la guía de la política de privacidad según el RGPD cubren los requisitos generales.

Una app infantil tiene dos públicos, y un solo documento rara vez sirve para ambos. Una estructura práctica usa capas:

1. La política de privacidad completa, escrita para los padres y los reguladores, que cubre cada elemento de la COPPA y del RGPD: operadores, datos, finalidades, terceros, conservación, seguridad y derechos de los padres.
2. Un resumen breve y adaptado a los niños al principio o en una pantalla aparte, con palabras sencillas y frases cortas.
3. Explicaciones en el momento oportuno dentro de la app, justo cuando algo ocurre, como antes de solicitar el permiso del micrófono o de la cámara.

Una frase adaptada a los niños podría ser: «Guardamos tus dibujos en tu tableta. No se los enviamos a nadie a menos que un adulto diga que está bien.» Eso solo funciona si es cierto, así que escríbela después de haber comprobado tus flujos de datos.

Para los padres, sé concreto sobre los controles que tienen: cómo revisar los datos, cómo eliminarlos, cómo retirar el consentimiento y cómo contactarte. Evita el lenguaje jurídico que esconde los datos importantes en párrafos largos. Si tu app también tiene usuarios adultos o una versión para adolescentes, plantéate políticas separadas para que cada público lea solo lo que le afecta.

Los datos de menores son donde más probable es que fallen las plantillas genéricas, y donde los errores salen más caros. La FTC hace cumplir la COPPA con sanciones civiles, las infracciones de las normas de las plataformas pueden provocar la retirada de tu app y los reguladores europeos consideran que los datos de los menores merecen una protección especial.

Además, una política de privacidad es solo una parte del trabajo. La COPPA exige un aviso directo a los padres, un consentimiento parental verificable antes de la recogida, un consentimiento separado para la mayoría de las comunicaciones a terceros, una política de conservación por escrito y un programa de seguridad por escrito. La política describe esos procesos; no los crea.

Legal Policy Generator incluye un módulo de la COPPA entre sus módulos regionales avanzados, que cuestan $5, junto con los del RGPD, el Reino Unido y otros módulos regionales. En el generador de políticas de privacidad para apps, respondes a preguntas sobre menores y sobre las regiones a las que das servicio, y las cláusulas se seleccionan de forma determinista a partir de una biblioteca versionada, con una vista previa gratuita que muestra el resultado antes de pagar. Eso te da un borrador estructurado y legible para llevar a un abogado, lo que puede agilizar la revisión.

Pero trata el resultado como un borrador. El texto generado refleja tus respuestas y no es asesoramiento jurídico. Para cualquier app dirigida a menores, pide a un abogado cualificado que revise la política, el flujo de consentimiento y tu configuración de SDK antes del lanzamiento.