¿Vendés online y manejás datos de clientes europeos? Esto te interesa. El Reglamento General de Protección de Datos (GDPR) exige a las tiendas online establecer plazos claros para almacenar información personal y eliminarla cuando ya no sea necesaria. No cumplir con estas normas puede derivar en multas millonarias que pueden alcanzar hasta €20 millones o el 4% de la facturación anual global.
Cumplir con el GDPR no solo evita sanciones; también demuestra compromiso con la privacidad de tus clientes. Seguí leyendo para entender cómo implementar estas prácticas en tu negocio.
El GDPR establece reglas claras para la retención de datos, definiendo estrictamente cuándo, cómo y por cuánto tiempo se pueden conservar. Comprender estos principios es esencial para diseñar una política de retención que sea práctica y efectiva. A continuación, se detalla cómo se aplican estos principios en la práctica.
Para retener datos, tu empresa necesita una base legal que lo justifique. El Artículo 6 del GDPR enumera las principales opciones: consentimiento del usuario, necesidad contractual, obligación legal o interés legítimo. Incluso la mera retención debe estar respaldada por una de estas bases.
Sin embargo, no basta con tener una base legal. Según el principio de limitación de finalidad (Artículo 54), los datos solo pueden usarse para el propósito específico por el que fueron recopilados. Por ejemplo, si obtuviste una dirección de correo electrónico para procesar un pedido, no puedes reutilizarla para enviar promociones sin contar con una base legal adicional. Una vez que se cumple el propósito original, comienza a correr el plazo de retención de los datos.
Estos principios van de la mano. La minimización de datos (Artículo 54) exige recolectar solo lo estrictamente necesario. En términos prácticos, esto significa revisar formularios y eliminar campos que no sean esenciales, como la fecha de nacimiento o el género si no son relevantes para la transacción.
Por otro lado, la limitación del almacenamiento (Artículo 54) obliga a eliminar los datos una vez que cumplen su propósito. Como explica el abogado Bart Lieben:
"El principio de limitación del almacenamiento no autoriza retenciones indefinidas a la espera de una decisión empresarial de eliminarlos. Es una obligación activa de establecer, documentar e implementar períodos de retención."
Esto implica que cada tipo de dato (facturas, registros, tickets) debe tener un plazo de retención definido y un mecanismo para su eliminación una vez vencido.
Los titulares de los datos tienen derechos específicos sobre su información, y ejercerlos obliga a las empresas a tomar medidas concretas respecto a los datos almacenados. Algunos de estos derechos y su impacto en la retención son:
| Derecho | Artículo GDPR | Impacto sobre la retención |
|---|---|---|
| Supresión ("derecho al olvido") | Art. 17 | Eliminación obligatoria cuando el dato deja de ser necesario o se retira el consentimiento |
| Restricción del tratamiento | Art. 18 | Los datos se conservan pero no se procesan, por ejemplo, durante una disputa legal |
| Oposición | Art. 21 | Detiene el uso de datos para marketing, pero requiere mantener una "lista de supresión" para evitar futuros contactos |
El derecho a la supresión asegura que los datos sean eliminados o anonimizados cuando ya no sean necesarios. Sin embargo, un detalle importante es la lista de supresión: si un usuario se da de baja de tus comunicaciones y eliminas completamente su registro, no podrás evitar que se vuelva a suscribir accidentalmente. Por eso, cumplir con el derecho de oposición puede implicar conservar un dato mínimo, como un hash del correo, de manera indefinida.
Es importante destacar que el derecho a la supresión no es absoluto. Por ejemplo, las leyes fiscales pueden exigir la conservación de facturas por períodos de entre 5 y 10 años, prevaleciendo sobre este derecho.
Con los principios del GDPR en mente, el siguiente paso es organizar y manejar correctamente los datos de tus clientes. Saber qué información se recopila, dónde se almacena y quién puede acceder a ella es clave para que una política de retención sea más que un simple documento.
Un negocio online recoge diversos tipos de datos, cada uno con diferentes requisitos legales y periodos de conservación. Entre los más comunes están:
Cada categoría tiene una base legal específica y, por tanto, un tiempo de retención determinado:
| Categoría | Ejemplos | Retención sugerida (GDPR) |
|---|---|---|
| Identidad | Nombre, email, teléfono | Duración de la relación + 30 días |
| Financieros | Facturas, IDs de transacción | 7–10 años (obligación legal) |
| Conductuales | Clics, historial de navegación | 14–26 meses (con consentimiento) |
| Soporte | Chats, tickets de soporte | 2 años tras la resolución |
| Técnicos | IP, ID de dispositivo | Corto plazo (seguridad) |
Una vez clasificados, es importante rastrear cómo estos datos se distribuyen entre diferentes plataformas.
El gran desafío es la dispersión de la información en múltiples sistemas. Un cliente puede figurar con distintos identificadores en tu tienda online (Shopify o Tiendanube), la pasarela de pago, el historial de WhatsApp o en el sistema de soporte. Esta fragmentación complica responder a solicitudes de acceso o eliminación de datos.
Para resolverlo, se recomienda unificar los datos en un perfil único o "Golden ID". Esto se logra combinando:
Además, el Artículo 30 del GDPR exige documentar este proceso en un Registro de Actividades de Tratamiento (ROPA), donde se detalla qué datos se recopilan, con qué base legal, dónde se almacenan, quién tiene acceso y durante cuánto tiempo.
"El mapeo de datos es el primer paso no negociable - no podés proteger datos que no hayas inventariado." - ECOSIRE Research and Development Team
Si utilizás herramientas de terceros, como pasarelas de pago o plataformas de mensajería, es indispensable que cada una tenga un Acuerdo de Procesamiento de Datos (DPA) firmado, incluyendo cláusulas contractuales estándar (SCCs) para transferencias fuera de la UE.
Soluciones integradas, como Burbuxa, pueden ayudarte a consolidar la información de múltiples fuentes en un perfil único, facilitando el cumplimiento de las normativas del GDPR.
Una vez inventariados los datos, el siguiente paso es clasificarlos según su nivel de sensibilidad y la razón legal para conservarlos. Por ejemplo:
Para datos que deben conservarse por obligación legal, pero que ya no son necesarios operativamente, la pseudonimización es una opción eficaz. Este proceso reemplaza los identificadores personales con valores genéricos, manteniendo la integridad contable sin retener información personal identificable.
Un detalle adicional son los backups. Borrar un registro específico de una copia de seguridad cifrada puede ser complicado. Por eso, los reguladores aceptan mantener una lista de supresión y reaplicar las eliminaciones si se restaura un backup. Este enfoque asegura que se respeten las normativas del GDPR y se proteja la privacidad del usuario de manera efectiva.
Plazos de Retención de Datos GDPR para E-commerce
Después de inventariar y clasificar los datos, es momento de formalizar una política operativa. Basándote en la clasificación previa, establecé plazos específicos para cada tipo de dato. Un error frecuente es tratar la retención como un simple trámite administrativo, en lugar de un proceso técnico que debe ser automatizado y revisado regularmente. Esta formalización será la base para implementar medidas automatizadas y técnicas.
"'Los conservamos hasta que alguien nos dice que los eliminemos' no es una política de conservación." - GRCTrail Blog
Cada tipo de dato necesita un plazo definido, respaldado por una base legal. A continuación, se presenta un ejemplo con plazos típicos de retención:
| Tipo de dato | Plazo de retención | Base legal |
|---|---|---|
| Pedidos y facturas | 7–10 años | Obligación legal (impositiva/contable) |
| Cuenta de cliente activa | Duración de la relación + 30 días | Necesidad contractual |
| Consentimientos de marketing | Duración del consentimiento + 2–3 años | Interés legítimo (prueba de cumplimiento) |
| Tickets de soporte | 2–3 años tras la resolución | Interés legítimo |
| Analítica web | 12–26 meses | Consentimiento |
| Datos de carrito abandonado | 30 días | Directiva ePrivacy |
| Transcripciones de chat | 12 meses | Interés legítimo |
No cumplir con estos plazos puede tener consecuencias graves. En marzo de 2023, la Agencia Española de Protección de Datos (AEPD) multó a Vodafone España con €3,94 millones por conservar datos de clientes más allá de lo permitido (Expediente PS/00059/2021). En otro caso, Deutsche Wohnen en Alemania recibió una sanción de €14,5 millones por un sistema de archivo que no permitía eliminar datos obsoletos de inquilinos, violando el principio de limitación del almacenamiento.
Para conservar datos con fines analíticos sin infringir el GDPR, aplicá técnicas de anonimización irreversible. A diferencia de la pseudonimización, esta elimina cualquier posibilidad de reidentificación, lo que excluye los datos del alcance del GDPR. Algunas de las técnicas más comunes incluyen:
Estas técnicas permiten seguir utilizando los datos para análisis sin exponerte a riesgos legales relacionados con la retención de información personal.
Los historiales de chat y archivos multimedia en plataformas como WhatsApp e Instagram también son considerados datos personales y deben manejarse cuidadosamente. Por lo general, se recomienda eliminarlos o anonimizarlos dentro de los 12 a 24 meses posteriores a la resolución de la consulta, a menos que exista una razón legal para conservarlos más tiempo, como una disputa en curso.
Herramientas como Burbuxa, que centralizan la comunicación de WhatsApp e Instagram junto con los datos del pedido, facilitan la aplicación de estas reglas. Al tener toda la información en un único sistema, es más sencillo configurar eliminaciones automáticas basadas en el tipo de interacción y la fecha de cierre. Esto reduce la dependencia de procesos manuales, que suelen tener una tasa de error cercana al 40%.
Tener una política definida es solo el comienzo. El verdadero reto está en implementarla de manera efectiva, asegurando que cada sistema con datos personales cumpla con las normas establecidas.
Para que una política de retención funcione, es crucial automatizar procesos y supervisar la eliminación o anonimización de datos. El primer paso es crear un mapa de sistemas: un registro que detalle cada plataforma utilizada (como tiendas online, CRMs, herramientas de email marketing, mensajería, analítica o pasarelas de pago), especificando qué datos personales almacena cada una y el tiempo que deben conservarse. Sin este mapa, es imposible gestionar adecuadamente los datos.
Con los sistemas identificados, la automatización asegura que la política se cumpla. Por ejemplo:
customers/data_erasure y customers/data_request permiten que las aplicaciones conectadas eliminen o anonimen datos automáticamente cuando sea necesario.Un aspecto que a menudo se pasa por alto es la necesidad de registrar los logs de las tareas automatizadas. Cada eliminación o anonimización debe quedar documentada con detalles como fecha, alcance y resultado. Estos registros son esenciales como evidencia ante posibles inspecciones regulatorias.
Además de estas automatizaciones, es fundamental contar con procedimientos claros para responder a solicitudes de derechos.
El GDPR exige que las solicitudes de acceso, supresión o restricción sean respondidas en un mes. Para cumplir con este plazo, el equipo de soporte debe seguir procedimientos definidos, con listas de verificación específicas para cada tipo de solicitud.
La verificación de identidad debe ser proporcional al riesgo. Por ejemplo:
Cuando se procesa una solicitud de supresión, es indispensable revisar todos los sistemas del mapa: tienda online, CRM, mensajería, email marketing y analítica. Si algún sistema no permite un borrado eficiente, debe ser reemplazado o configurado para manejar solo datos agregados.
Una política de retención sin auditorías pierde efectividad. La CNIL de Francia encontró que muchas empresas de retail conservaban historiales de compras por más de 10 años sin justificación, simplemente porque no se verificaban los procesos de eliminación.
Para evitar esto, es útil definir métricas clave como:
Estas métricas deben revisarse trimestralmente en un comité interno de privacidad, idealmente alineado con eventos de negocio como análisis post-Hot Sale o CyberMonday. Cualquier desviación debe investigarse a fondo, implementando acciones correctivas concretas.
Finalmente, los logs de auditoría deben conservarse entre 5 y 10 años, en línea con los requisitos legales en Argentina y la UE. Estos registros, que documentan quién modificó las reglas de retención y cuándo, no necesitan incluir datos personales completos; referencias a IDs internos o hashes son suficientes para rastrear las acciones sin comprometer información adicional. Además de cumplir con regulaciones, estos logs ayudan a identificar problemas recurrentes y ajustar la política de retención de forma continua.
Implementar una política de retención de datos no es algo que se haga una vez y se olvide. Es un proceso continuo que requiere estructura, automatización y revisiones periódicas. En esta guía, hemos desglosado los pasos esenciales para que un e-commerce pueda cumplir con el GDPR de manera efectiva.
El primer paso es el mapeo de datos. Sin un inventario claro que detalle qué información se recopila, dónde se almacena y cuál es su base legal, gestionar los plazos de retención se vuelve imposible. El Registro de Actividades de Tratamiento (ROPA), exigido por el Artículo 30, es el punto de partida para cualquier estrategia de cumplimiento. Una vez que se cuenta con este inventario, es fundamental establecer plazos específicos para cada categoría de datos.
Por ejemplo, los datos financieros suelen conservarse entre 6 y 10 años, los datos de marketing hasta 2 años tras la retirada del consentimiento, y los logs de servidor entre 30 y 90 días. Documentar y mantener actualizados estos plazos transforma una política de retención en una herramienta práctica y eficiente, más allá de ser un simple trámite.
La automatización juega un papel crucial en este proceso. Los métodos manuales tienen una tasa de error del 40%, lo que hace que herramientas como scripts automatizados y webhooks sean indispensables. Soluciones como Burbuxa demuestran cómo automatizar la eliminación y gestión de datos, incluso en canales como WhatsApp e Instagram. Una vez implementados estos sistemas, es esencial auditar y ajustar su funcionamiento de forma regular.
"Los datos que ha eliminado no pueden ser objeto de una violación, no pueden estar sujetos a una DSAR y no pueden convertirse en un pasivo." - GRCTrail
Además, revisar las métricas y actualizar el ROPA al menos una vez al año es clave para reducir riesgos. En España, las multas para pymes aumentaron un 320% entre 2023 y 2025, lo que subraya la importancia de mantener una política de privacidad sólida. Este enfoque dinámico no solo asegura el cumplimiento actual, sino que también prepara al negocio para adaptarse a futuras exigencias.
El Reglamento General de Protección de Datos (GDPR) entra en juego si manejás datos personales de ciudadanos o residentes de la Unión Europea. Esto abarca actividades como:
Si llevás a cabo estas acciones, es obligatorio implementar un Registro de Actividades de Tratamiento (ROPA) y establecer Acuerdos de Tratamiento de Datos (DPA) con los proveedores con los que trabajás. Estas medidas aseguran que cumplas con los estándares de protección de datos exigidos por el GDPR.
El GDPR no define un plazo único para la conservación de datos. En cambio, establece que los datos deben mantenerse solo mientras sean necesarios para cumplir con su propósito original. En el caso del e-commerce, los plazos habituales suelen ser los siguientes:
Es importante auditar regularmente los datos almacenados, justificar los plazos de conservación y automatizar procesos para eliminar o anonimizar la información una vez que se cumplan estos períodos. Esto no solo asegura el cumplimiento legal, sino que también protege la privacidad de los usuarios.
Eliminar datos dispersos no se trata solo de borrarlos de un lugar visible, sino de asegurarte de que sean irrecuperables en todos los medios donde puedan estar almacenados: respaldos, servidores y cualquier sistema conectado.
Si utilizás herramientas como Burbuxa, aprovechá las configuraciones de políticas de retención automatizadas. Estas plataformas pueden ayudarte a manejar datos dispersos de forma más eficiente y con menos margen de error.
Tené en cuenta que algunos servicios, como WhatsApp, pueden requerir hasta 90 días para completar el proceso de eliminación de datos. Esto es algo a considerar al planificar tus tiempos y expectativas.