Vendemos online a países de la UE: ¿nos afecta directamente el GDPR?

Seamos realistas: la autoridad de protección de datos de Europa no va a venir a multar con millones de euros a un pequeño taller en Rusia. El riesgo real es que las pasarelas de pago internacionales o integraciones que usas congelen tu cuenta tras recibir una denuncia. Ellos sí exigen el cumplimiento del GDPR en sus propios contratos.

Si usas Google Analytics o píxeles publicitarios, activa la opción de anonimizar las direcciones IP. Además, el aviso de cookies de la web no basta con tener solo un botón de 'Aceptar'; debes permitir que el usuario rechace por separado las cookies analíticas y de marketing.

Añade en el proceso de pago un texto de confirmación con enlace clickable que diga 'Tus datos se procesan para gestionar y entregar el pedido de acuerdo con nuestra política de privacidad'. Pon también en la política un correo electrónico de contacto para cuando el cliente solicite eliminar sus datos.

A nosotros, cuando nuestras ventas a la UE rondaban los 4.500 EUR al mes, un cliente de Alemania nos mandó un correo formal preguntando en qué servidores se guardaban sus datos y pidiendo borrarlos del sistema. Tienes la obligación de responder por escrito en 30 días. Limpiamos los registros de la base de datos, le confirmamos y asunto resuelto.

¿Basta con tener la web solo en inglés y ver los precios en euros, o es imprescindible que el pedido se entregue físicamente allí?

Cabe señalar que existe la obligación de nombrar a un representante en la UE (EU Representative) para transferencias transfronterizas de datos por encima de ciertos volúmenes. Sin embargo, para las microempresas se aplica el principio de proporcionalidad, siendo el criterio prioritario de inspección adoptar medidas básicas de transparencia y seguridad de los datos.

no te entre la paranoia. las grandes demandas siempre son contra plataformas gigantes. tú no pidas datos innecesarios más allá del nombre y la dirección para el envío, pon un texto transparente y si un cliente pide borrar sus datos bórralos sin poner pegas. a escala de pyme esa es la clave.

Guardado.

Gracias por escribir esto, es lo correcto. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Voy a contar mi experiencia. La respuesta varía mucho según el sector, no hay una regla general.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Ha sido una buena idea abrir este hilo. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Ánimo.

Estoy siguiendo esto.

Gracias por escribir. Que todo el mundo haga algo no significa que sea lo correcto.

Espero que le sea útil.

Lo que se dice aquí es exactamente lo que nos pasó. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Eso es todo, disculpa si me he extendido demasiado.

Os explico cómo se hace en la práctica. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Este enfoque tiene un coste, y no se habla de ello. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Lo probaré.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. El error cometido por gdpr suele ser reversible, pero caro.

Si regañas las falsas alarmas, nadie volverá a reportar.