Preguntas frecuentes sobre el RGPD

Qué aprenderás

Descubre cómo el RGPD se relaciona con el consentimiento, las solicitudes de datos del cliente y las herramientas que utilizas en Klaviyo.

«RGPD» son las siglas del Reglamento General de Protección de Datos, un reglamento de la UE adoptado en 2016 que entró en vigor el 25 de mayo de 2018. Regula el tratamiento de datos personales por parte de empresas establecidas en la UE, así como de empresas fuera de la UE que ofrezcan bienes o servicios a personas en la UE o supervisen allí su comportamiento. Para saber más sobre el RGPD, consulta esta serie de entradas de blog.

¿Es legal transferir los datos de mis clientes europeos a Klaviyo?

El RGPD reconoce varios mecanismos legales para transferir datos personales fuera de la UE. Klaviyo se ha autocertificado en el Marco de Privacidad de Datos y lo utiliza para las transferencias mientras se reconozca como un mecanismo de transferencia válido en la región correspondiente. Las Cláusulas Contractuales Tipo se aplican como recurso alternativo, tal como se describe en nuestro Acuerdo de procesamiento de datos, que se incorpora a nuestros términos del servicio. Te recomendamos que consultes esto con tu equipo jurídico a fin de determinar el mecanismo adecuado para cualquier transferencia de datos que pueda realizar tu empresa.

Si no puedo demostrar que los perfiles antiguos se han registrado explícitamente, ¿hay alguna forma de confirmar el consentimiento por correo?

Antes de la entrada en vigor del RGPD (25 de mayo de 2018), recomendábamos enviar una campaña de recuperación de permisos a cualquiera de tus suscriptores de la UE. Sin embargo, desde que el RGPD entró en vigor, ya no recomendamos esta práctica. Antes de ponerte en contacto con los clientes o suscriptores de los que no puedas demostrar que se han registrado explícitamente, consulta con tu equipo jurídico.

¿Cómo demuestro el consentimiento, incluido el día de registro de los suscriptores?

Klaviyo recomienda la doble confirmación de registro para las suscripciones por email. Para demostrar el consentimiento, conserva el mensaje que se presentó al suscriptor en el formulario, email o página web donde lo proporcionó, junto con la fecha y la hora en que dio su consentimiento y exactamente a qué accedió. Consulta con tu equipo legal sobre cualquier requisito de registro específico de cada país.

Para los campos de correo de los sitios web, ¿tenemos que añadir más casillas de verificación para que los clientes las marquen antes de enviar los datos?

Klaviyo proporciona formularios que cumplen con la normativa del RGPD con múltiples casillas de verificación, lo que permite conseguir un consentimiento detallado (es decir, consentimiento por separado para el marketing por email y el marketing de Facebook).

Al crear desde cero un formulario de registro emergente, desplegable, incrustado o de página completa, activa Habilitar campos de protección de datos. Personaliza el idioma y las casillas de verificación del programa de marketing, y haz que el equipo legal las revise antes de publicar el formulario. Si recopilas datos personales sobre consumidores de la UE a través de otras plataformas, también tendrás que hacer cambios en esas plataformas.

Si usas una casilla de verificación personalizada para recopilar el consentimiento de email, utiliza sus propiedades de perfil para crear un segmento de suscriptores que la hayan seleccionado. Asigna a la casilla de verificación su propia propiedad personalizada en lugar de $consent. Klaviyo añade email a $consent automáticamente cuando alguien se suscribe, así que ese valor por sí solo no muestra una opción. Envía marketing a ese segmento y añade un filtro correspondiente a los flujos de marketing. El valor guardado de una casilla de verificación personalizada no controla si el envío del formulario suscribe a alguien al marketing por email.

¿Qué tipos de datos personales procesáis, dónde se alojan, con quién se comparten y cuánto tiempo se conservan?

Encontrarás información sobre los datos que procesamos y las medidas que tomamos para protegerlos en nuestro Acuerdo de procesamiento de datos (DPA). El Anexo 1 describe las categorías de datos y los fines del procesamiento. Las medidas de seguridad se describen en el Anexo 2. También puedes leer los términos del servicio en su totalidad.

¿Debo actualizar la letra pequeña cuando capture correos que incluyan información sobre cómo se están almacenando los datos de los clientes en Klaviyo?

Sí, tu letra pequeña debe actualizarse para reflejar las directrices siguientes para los clientes potenciales y clientes de la UE:

• Usa un lenguaje claro y sencillo que sea fácil de entender.
• Especifica para qué quieres los datos y qué vas a hacer con ellos.
• Indica el nombre de la empresa y de los procesadores terceros que vayas a usar.
• Informa a las personas de que pueden retirar su consentimiento.

¿Tengo que proporcionar correos de registro en el idioma local para cumplir con el RGPD?

No necesariamente. Los requisitos específicos pueden variar de un país a otro, por lo que te recomendamos que consultes con tu equipo jurídico para conocer los requisitos específicos de cada país. No obstante, Klaviyo proporciona un mensaje de registro predeterminado en varios idiomas.

¿Tengo la obligación de obtener el consentimiento de los consumidores para todos los datos personales?

En el caso de los datos personales que no pertenecen a una categoría especial, existen varias bases jurídicas posibles para el tratamiento, incluido el consentimiento. El RGPD enumera varias excepciones a su prohibición general de tratar datos de categorías especiales, incluido el consentimiento explícito. Sin embargo, la Política de uso aceptable de Klaviyo prohíbe recopilar, almacenar o tratar datos de categorías especiales, como la información sanitaria, en Klaviyo, incluso si se cuenta con el consentimiento.

Otras bases legales para tratar datos personales que no pertenecen a una categoría especial incluyen:

• El tratamiento es necesario para la ejecución de un contrato o para adoptar medidas a petición de la persona interesada antes de formalizar un contrato.
• El tratamiento es necesario para el cumplimiento normativo de una obligación legal.
• El tratamiento es necesario para proteger los intereses vitales de la persona interesada u otra.
• El tratamiento es necesario para los intereses legítimos de la empresa y dichos intereses no se ven supeditados a los intereses o derechos fundamentales de la persona interesada.
• El tratamiento es necesario para una tarea llevada a cabo por interés público o para cumplir con las responsabilidades de un funcionario público.

Te recomendamos que consultes esto con tu equipo jurídico para determinar la base jurídica adecuada para el tratamiento de datos por parte de tu empresa.

¿Podéis anonimizar mis datos para que vea un perfil, pero no la información de identificación personal?

Klaviyo no ofrece una forma de ver una versión anonimizada de un perfil existente. Cuando eliminas un perfil, se censura la información identificativa de su historial de eventos, mientras que los datos de eventos (p. ej., eventos Placed Order) permanecen en la cuenta para preservar la precisión de las métricas de rendimiento. Los datos exportados se pueden anonimizar fuera de Klaviyo; exportarlos no anonimiza el perfil de la cuenta.

La eliminación del perfil es permanente. Puedes eliminar un perfil y registrar la solicitud de privacidad de datos. En el cuadro de diálogo de eliminación, selecciona Eliminar el perfil de conformidad con una solicitud de privacidad de datos antes de confirmar la eliminación. También puedes exportar todos los datos de un perfil determinado si lo solicita cualquiera de tus contactos.

¿Un correo de carrito abandonado cumple con el RGPD?

No se puede responder a esta pregunta con total certeza. Sin embargo, muchas empresas opinan que sí se pueden enviar correos sobre carritos abandonados sin consentimiento explícito para mensajes de marketing si se tiene en cuenta el interés legítimo. Un email de carrito abandonado podría considerarse un mensaje relevante si tienes la intención explícita de completar una transacción con tu empresa. Además, otros correos activados, como los de abandono de la navegación y los de recuperación, en algunos casos no están permitidos a menos que los clientes hayan dado previamente su consentimiento para recibir correos de marketing de forma que se ajuste al RGPD.

Dicho esto, la aplicabilidad de los intereses legítimos o de cualquier otra base jurídica dependerá de las circunstancias particulares, como la cantidad y frecuencia de los correos y el tiempo transcurrido desde que se haya abandonado el carrito. Te recomendamos encarecidamente que consultes con tu equipo jurídico las campañas de email para confirmar que cumplen con la legislación aplicable.

¿Usar Google Fonts se ajusta al RGPD?

El uso de Google Fonts puede implicar problemas de cumplimiento normativo del RGPD, ya que el servidor de Google necesita la dirección IP del receptor para entregar las fuentes. Según el RGPD, una dirección IP se considera un dato personal que puede servir para identificar al usuario. Ten en cuenta que, al incluir Google Fonts en tu repositorio de fuentes, se considera que estás usando esa herramienta.

Como alternativa a Google Fonts, Klaviyo proporciona una selección de fuentes alojadas en su plataforma que podrás usar en formularios de registro, páginas de consentimiento y correos. Cargar estas fuentes no envía la dirección IP del visitante ni la del destinatario a Google. Si cambias a fuentes alojadas por Klaviyo, actualiza las fuentes en el contenido existente y elimina también Google Fonts de la biblioteca de fuentes.

Recursos adicionales