Tiendas en línea de marca propia que venden en la UE

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy
• Directive 2011/83/EU — Consumer rights
• Directive 2005/29/EC — Unfair commercial practices
• Regulation (EU) 2023/988 — GPSR Article 19 for the listings

Quién debe designarlo

Cualquier minorista establecido fuera de la Unión que gestione su propia tienda y venda a consumidores en la UE. Surgen dos obligaciones distintas: la parte de datos, porque procesas datos de clientes y visitantes y casi con certeza gestionas análisis y píxeles publicitarios, y la parte del producto, porque cada artículo físico que envías necesita un operador económico de la UE.

Umbrales y exenciones

Sin umbral en ninguno de los lados. La excepción estrecha del Artículo 27(2) no cubre una tienda con una base de datos de clientes, y el RGPD se aplica desde el primer artículo enviado.

Qué debe figurar en la etiqueta

En el sitio: la identidad y los datos de contacto del representante en el aviso de privacidad, la identificación del comerciante requerida por la ley de consumo, la información sobre el derecho de desistimiento con el formulario modelo, los términos de entrega y pago, y bajo el Artículo 19 del RGPD, los detalles del fabricante y la persona responsable y advertencias para cada producto antes de la compra.

Campos en los marketplaces

Los proveedores de pago y plataformas verifican cada vez más la identidad del comerciante y la presencia de un banner de cookies legal. Las autoridades de consumo realizan barridos coordinados sobre derechos de desistimiento, temporizadores de cuenta regresiva y escasez falsa, y los casos transfronterizos se persiguen a través de la red CPC.

Documentación que debes conservar

Registros del Artículo 30 que enumeran cada actividad de procesamiento y cada procesador, desde la plataforma de la tienda hasta la herramienta de correo electrónico y los píxeles publicitarios. La designación del Artículo 27. Una plataforma de gestión de consentimientos con registros de consentimientos por usuario. Acuerdos de procesamiento de datos con cada procesador. Cláusulas contractuales estándar y evaluaciones de impacto de transferencia para transferencias fuera de la UE. Documentación técnica del producto para los bienes en sí.

Normas y ensayos

No aplicable, excepto que el banner de cookies es efectivamente probado por los reguladores: si las etiquetas no esenciales se activan antes del consentimiento, si rechazar es tan fácil como aceptar, y si el consentimiento se registra. Los barridos automatizados son comunes.

Requisitos lingüísticos

Aviso de privacidad, banner de cookies e información al consumidor en el idioma de cada mercado que apuntas. Una tienda localizada con una capa legal solo en inglés es un fallo de transparencia.

Desde cuándo se aplica

El representante antes de que comience el procesamiento. Consentimiento antes de que se active cualquier cookie o píxel no esencial, lo que significa antes de la primera llamada de análisis, no después de que se cargue la página. Información sobre derechos de desistimiento antes de que se realice el pedido.

Cuánto se conservan los documentos

Registros de procesamiento durante la vida del procesamiento. Registros de consentimientos mientras continúe el procesamiento. Registros de pedidos y fiscales según la ley nacional, típicamente de seis a diez años, lo que es una retención separada y más larga que los datos de marketing.

Qué ocurre si no cumples

Hasta 20 millones de € o el 4% de la facturación por procesamiento ilegal, 10 millones de € o el 2% por un representante faltante, multas nacionales separadas por infracciones de cookies, y sanciones de ley de consumo de hasta el 4% de la facturación bajo las reglas del Omnibus por infracciones generalizadas. Los fallos del RGPD no suprimen nada en tu propio sitio pero traen órdenes de retirada de productos.

Quién lo controla

Autoridades de protección de datos en cualquier estado miembro donde estén los clientes, autoridades de protección al consumidor a través de la red CPC, y autoridades de vigilancia del mercado para los productos.

Dónde está el límite

Gestionar tu propia tienda elimina el filtro de cumplimiento del mercado, que los vendedores a menudo experimentan como libertad y las autoridades experimentan como un canal no monitoreado. Nadie suprime tu listado, por lo que la primera señal suele ser una queja o un barrido, y para entonces la exposición cubre todo el período comercial.

Las preguntas que nos hacen

Usamos Shopify — ¿eso nos cubre?

Shopify es un procesador para la tienda y un controlador para sus propios fines. Tus obligaciones como controlador, incluido el representante del Artículo 27, no se ven afectadas por la plataforma que elegiste.

¿Necesitamos consentimiento para análisis?

Para almacenar o leer cualquier cosa en el dispositivo del usuario que no sea estrictamente necesario, sí, antes de que ocurra. Eso cubre cookies de análisis y publicidad y la mayoría del seguimiento basado en píxeles.

¿Es suficiente una política de privacidad de EE. UU.?

No. Debe indicar el representante de la UE, las bases legales, los períodos de retención, el mecanismo de transferencia y los derechos bajo los Artículos 15 a 22, en el idioma de los usuarios.