Tienda online y Ley 21.719

Mapa de datos

Un solo pedido genera cinco flujos de datos distintos

Cada fila de esta tabla suele vivir en un sistema distinto — y cada uno necesita su propia base legal documentada.

Dato personal	Sensibilidad	Finalidad	Base legal	Dónde vive
Nombre, dirección, teléfono (checkout)	Normal	Procesar y despachar el pedido	Ejecución de contrato	Base de pedidos + courier
Datos de pago (tarjeta)	Crítico, no sensible per se	Cobro de la compra	Ejecución de contrato	Pasarela de pago (tokenizado)
Historial de compras	Normal	Recomendaciones, segmentación	Interés legítimo / consentimiento si hay perfilamiento	CRM / analítica de la tienda
Datos para evaluación de crédito (BNPL)	Financiero	Aprobar o rechazar financiamiento	Título III + Art. 8° bis si es automatizada	Proveedor de scoring / BNPL
Cuenta creada por un niño, niña o adolescente	Requiere consentimiento parental	Crear cuenta, personalizar experiencia	Consentimiento de padres/tutores (Art. 16 quáter)	Base de cuentas de la tienda

Obligaciones específicas

Lo que la Ley 21.719 exige a una tienda online

Cada tarjeta corresponde a un tramo distinto del flujo de compra.

Minimización en el checkout

No pidas RUN, fecha de nacimiento o datos que no necesitas para despachar o facturar el pedido.

"Los datos personales que se traten deben limitarse estrictamente a aquéllos que resulten necesarios, adecuados y pertinentes en relación con los fines del tratamiento."— Ley 21.719, Art. 3°, letra c)

Pasarela de pago como encargado

Nunca almacenes números de tarjeta en tus propios servidores. La pasarela procesa por cuenta tuya, con DPA firmado.

"(...) el tercero mandatario o encargado realiza el tratamiento de datos personales conforme al encargo y a las instrucciones que le imparta el responsable, quedándole prohibido su tratamiento para un objeto distinto del convenido con el responsable (...)"— Ley 21.719, Art. 15 bis

Cesión de datos al courier

Declara en tu política qué datos (dirección, teléfono) recibe cada transportista para hacer la entrega.

"Los datos personales podrán ser cedidos con el consentimiento del titular y para el cumplimiento de los fines del tratamiento. También se podrán ceder los datos personales cuando la cesión sea necesaria para el cumplimiento y la ejecución de un contrato en que es parte el titular (...)"— Ley 21.719, Art. 15

Retención con excepción legal

Las boletas/facturas se conservan por obligación tributaria aunque el cliente pida eliminar sus datos de marketing.

"El titular de datos tiene derecho a solicitar y obtener del responsable, la eliminación de los datos personales que le conciernen (...) No procede la supresión cuando el tratamiento sea necesario (...) ii. Para el cumplimiento de una obligación legal o la ejecución de un contrato suscrito entre el titular y el responsable."— Ley 21.719, Art. 7°, num. ii

Crédito y BNPL automatizado

Si rechazas un financiamiento con un algoritmo, el cliente tiene derecho a explicación y a pedir revisión humana.

"El titular de datos tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos personales, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente (...) el responsable deberá adoptar las medidas necesarias para asegurar (...) el derecho a obtener una explicación, a la intervención humana, a expresar su punto de vista y a solicitar la revisión de la decisión."— Ley 21.719, Art. 8° bis

Datos de menores de edad

Si tu catálogo puede atraer niños o adolescentes, necesitas verificación de edad y consentimiento parental para crear cuenta.

"El tratamiento de los datos personales que conciernen a los niños, niñas y adolescentes, sólo puede realizarse atendiendo al interés superior de éstos (...) para tratar los datos personales de los niños y niñas se requiere el consentimiento otorgado por sus padres o representantes legales o por quien tiene a su cargo el cuidado personal del niño o niña (...)"— Ley 21.719, Art. 16 quáter

Responsabilidades por relación

¿Qué te exige la ley según con quién te relacionas?

No es una sola responsabilidad — es una distinta con cada grupo de personas con las que te relacionas: tu equipo, tus proveedores y tus clientes. Aquí está cada una, explicada simple.

Con tus trabajadores

Confidencialidad de los pedidos que gestionan

Quien vea datos de clientes en el panel de pedidos firma un compromiso de confidencialidad, vigente incluso después de dejar la empresa.

"El responsable de datos está obligado a mantener secreto o confidencialidad acerca de los datos personales que conciernan a un titular, salvo cuando el titular los hubiere hecho manifiestamente públicos. Este deber subsiste aún después de concluida la relación con el titular. (...) El responsable debe adoptar las medidas necesarias con el objeto que sus dependientes o las personas naturales o jurídicas que ejecuten operaciones de tratamiento de datos bajo su responsabilidad, cumplan el deber de secreto o confidencialidad establecidos en este artículo."— Ley 21.719, Art. 14 bis

Acceso restringido al panel de pedidos

No todo el equipo necesita ver el nombre, dirección y teléfono de cada comprador.

"Las medidas aplicadas por el responsable deben asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento de datos."— Ley 21.719, Art. 14 quinquies

Con tus proveedores

DPA con la pasarela de pago

Nunca almacenes números de tarjeta en tus propios servidores — la pasarela procesa por tu cuenta, con contrato firmado.

Declarar qué datos recibe cada courier

Tu política debe declarar qué datos (dirección, teléfono) recibe cada transportista para hacer la entrega.

"La cesión de datos deberá constar por escrito o a través de cualquier medio electrónico idóneo. En ella se deberá individualizar a las partes, los datos que son objeto de la cesión, las finalidades previstas para el tratamiento y los demás antecedentes o estipulaciones que acuerden el cedente y el cesionario."— Ley 21.719, Art. 15

Con tus clientes

Acceso a sus propios datos

Un panel de "Mis datos" donde el comprador vea, corrija o pida copia de su información.

"Toda persona (...) tiene derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales, de conformidad a la presente ley." (Art. 4°) — "El titular de datos tiene derecho a solicitar y recibir una copia de los datos personales que le conciernen, que haya facilitado al responsable, en un formato electrónico estructurado, genérico y de uso común, que permita ser operado por distintos sistemas (...)" (Art. 9°)— Ley 21.719, Arts. 4° y 9°

Explicación y revisión humana si rechazas un crédito

Si un algoritmo rechaza un financiamiento (BNPL), el cliente tiene derecho a una explicación y a pedir revisión humana.

Checklist técnico

Ruta de cumplimiento, paso a paso

En el orden en que normalmente se resuelve: primero lo legal, luego la configuración técnica, después la operación día a día. Marca cada punto a medida que lo implementes.

0/9 pasos completados

Fundamentos legales

Antes de procesar el primer pedido

Checkout minimizadoSolo los campos necesarios para despachar y facturar; el resto, claramente opcional.
"Los datos personales que se traten deben limitarse estrictamente a aquéllos que resulten necesarios, adecuados y pertinentes en relación con los fines del tratamiento."— Ley 21.719, Art. 3°, letra c)
Política de privacidad con couriers declaradosQué transportistas reciben dirección y teléfono, y para qué.
"Los datos personales podrán ser cedidos con el consentimiento del titular y para el cumplimiento de los fines del tratamiento. También se podrán ceder los datos personales cuando la cesión sea necesaria para el cumplimiento y la ejecución de un contrato en que es parte el titular (...)"— Ley 21.719, Art. 15

Configuración técnica

Cómo se construye en el checkout

Pasarela de pago tokenizadaNunca almacenar números de tarjeta en tus propios servidores; DPA firmado con el proveedor.
"(...) el tercero mandatario o encargado realiza el tratamiento de datos personales conforme al encargo y a las instrucciones que le imparta el responsable, quedándole prohibido su tratamiento para un objeto distinto del convenido con el responsable (...)"— Ley 21.719, Art. 15 bis
DPA firmado con cada courier o transportistaContrato de encargo, no solo la mención en la política de privacidad: qué puede y qué no puede hacer el courier con los datos.
"En el contrato se deberá establecer el objeto del encargo, la duración del mismo, la finalidad del tratamiento, el tipo de datos personales tratados, las categorías de titulares a quienes conciernen los datos, y los derechos y obligaciones de las partes."— Ley 21.719, Art. 15 bis
Panel "Mis Datos" de autoservicioVer y exportar historial de compras, editar perfil, solicitar eliminación de cuenta.
"Toda persona (...) tiene derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales, de conformidad a la presente ley." (Art. 4) — "El titular de datos tiene derecho a solicitar y recibir una copia de los datos personales que le conciernen, que haya facilitado al responsable, en un formato electrónico estructurado, genérico y de uso común, que permita ser operado por distintos sistemas (...)" (Art. 9°)— Ley 21.719, Arts. 4 y 9
Verificación de edad si aplicaAge-gating y consentimiento parental si el catálogo puede atraer menores de edad.
"El tratamiento de los datos personales que conciernen a los niños, niñas y adolescentes, sólo puede realizarse atendiendo al interés superior de éstos (...) para tratar los datos personales de los niños y niñas se requiere el consentimiento otorgado por sus padres o representantes legales o por quien tiene a su cargo el cuidado personal del niño o niña (...)"— Ley 21.719, Art. 16 quáter

Operación y mantención

El trabajo del día a día

Retención diferenciadaDatos de marketing (borrables a pedido) separados de datos de facturación (retención legal).
"El titular de datos tiene derecho a solicitar y obtener del responsable, la eliminación de los datos personales que le conciernen (...) No procede la supresión cuando el tratamiento sea necesario (...) ii. Para el cumplimiento de una obligación legal o la ejecución de un contrato suscrito entre el titular y el responsable."— Ley 21.719, Art. 7°, num. ii
Camino de revisión humana para crédito/BNPLSi un algoritmo rechaza un financiamiento, el cliente puede pedir explicación y revisión.
"El titular de datos tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos personales, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente (...) el responsable deberá adoptar las medidas necesarias para asegurar (...) el derecho a obtener una explicación, a la intervención humana, a expresar su punto de vista y a solicitar la revisión de la decisión."— Ley 21.719, Art. 8° bis
Lista de supresión para remarketing y carrito abandonadoEl opt-out del pixel y de los emails de recuperación debe ser independiente de completar la compra.
"El titular de datos tiene derecho a oponerse ante el responsable a que se realice un tratamiento específico o determinado de los datos personales que le conciernan, en los siguientes casos: (...) Si el tratamiento se realiza exclusivamente con fines de mercadotecnia o marketing directo de bienes, productos o servicios, incluida la elaboración de perfiles, de conformidad con el artículo 8° bis."— Ley 21.719, Art. 8°, letra b)

Checkout, pagos, envíos y remarketing en un solo flujo