Protección de datos para tu app: RGPD y CCPA en palabras simples
Resumen en palabras simples del RGPD y la CCPA para quien lanza una app: cuándo pueden aplicarte, qué suelen pedir y por dónde empezar. No es asesoría legal.
Read in English →
Si tu app recoge datos personales (nombres, correos, ubicaciones, datos de pago, mensajes), pueden aplicarte leyes de privacidad como el RGPD de la Unión Europea o la CCPA de California, a veces aunque tu empresa esté en otro país. En la práctica piden casi lo mismo: saber qué datos recoges y para qué, recoger solo lo necesario, explicarlo con claridad en una política de privacidad, dejar que las personas vean y borren sus datos, protegerlos, tener contratos con los servicios que los procesan por ti y actuar rápido si se filtran. Esto es un resumen en palabras simples, no asesoría legal. Revisa tu caso concreto con un abogado.
En esta guía verás cuándo puede aplicarte cada ley, qué suelen exigir, cómo se traduce eso en una app típica hecha con herramientas de IA y una lista corta de primeros pasos.
¿Me aplica el RGPD?
El Reglamento General de Protección de Datos (RGPD, o GDPR en inglés) es la principal ley de privacidad de la UE. Puede aplicarte en dos situaciones generales:
- Tu negocio está establecido en la UE (o en el Espacio Económico Europeo).
- Estás fuera de la UE pero ofreces bienes o servicios a personas que están allí, o monitoreas su comportamiento (por ejemplo, registrando cómo usan tu app).
Así que una startup de América Latina con usuarios en Europa bien puede estar alcanzada. El tamaño no te exime, aunque algunas obligaciones son más livianas para organizaciones pequeñas. El texto completo está en EUR-Lex.
¿Me aplica la CCPA?
La California Consumer Privacy Act (con las reformas de la CPRA) aplica a empresas con fines de lucro que hacen negocios en California y cumplen al menos uno de estos umbrales. Según la agencia de privacidad de California (CPPA), desde enero de 2025 son:
- Ingresos brutos anuales de más de 26.625.000 dólares (la cifra se ajusta por inflación cada dos años).
- Comprar, vender o compartir datos personales de 100.000 o más consumidores u hogares de California al año.
- Obtener al menos la mitad de los ingresos anuales de vender o compartir datos personales.
Muchas startups en etapa temprana no llegan a ninguno. Eso no significa "sin reglas": otros estados de EE. UU. tienen sus propias leyes con otros umbrales, y las tiendas de apps, los procesadores de pago y tus clientes empresariales te van a preguntar igual cómo manejas los datos.
¿Y las leyes de mi país?
Muchos países de América Latina tienen su propia ley de protección de datos personales (Brasil, por ejemplo, tiene la LGPD), y varias se inspiran en el RGPD. Las ideas de esta guía te sirven de base, pero los plazos, las autoridades y los registros obligatorios cambian de un país a otro. Esa parte la tiene que revisar un abogado local.
¿Qué suelen pedir estas leyes?
Los detalles cambian, pero los temas se repiten mucho.
| Tema | Qué significa en la práctica |
|---|---|
| Conocer tus datos | Una lista de qué datos personales recoges, dónde se guardan y para qué |
| Un motivo para cada uso | En el RGPD, una base legal como contrato, consentimiento o interés legítimo |
| Recoger menos | No pedir ni guardar datos que no necesitas |
| Transparencia | Una política de privacidad clara, enlazada en el registro |
| Derechos de las personas | Acceso, corrección, borrado y, en algunos casos, copia de sus datos u oponerse a su "venta" o "uso compartido" |
| Seguridad | Una protección razonable de los datos que guardas |
| Proveedores | Contratos (a menudo un acuerdo de tratamiento de datos o DPA) con los servicios que manejan datos por ti |
| Filtraciones | Evaluar rápido y notificar cuando corresponde. El RGPD fija 72 horas para avisar a la autoridad, cuando sea posible, si la filtración supone un riesgo para las personas |
Los plazos para responder solicitudes también varían: en el RGPD, en general un mes; en la CCPA, en general 45 días. En algunos casos se pueden extender.
¿Cómo se traduce esto en una app hecha con IA?
Una app típica de Lovable, Bolt o Cursor manda datos personales a varios servicios a la vez, y cada uno es parte de tu historia de datos:
- Base de datos y autenticación (Supabase, Firebase): las cuentas y todo lo que crean tus usuarios. ¿En qué región está el proyecto?
- Pagos (Stripe): datos de facturación, que maneja casi por completo el proveedor.
- Correo (Resend, SendGrid, SMTP): direcciones y contenido de los mensajes.
- Analítica y grabación de sesiones: suele ser lo más invasivo, y en Europa normalmente requiere consentimiento de cookies. En analítica en tu app web vemos configuraciones que respetan la privacidad.
- Proveedores de IA: si textos, archivos o imágenes de los usuarios van a un modelo, revisa qué dicen los términos del proveedor sobre retención y entrenamiento, menciónalo en tu política y no mandes más de lo que la función necesita.
- Seguimiento de errores y registros: juntan en silencio correos, IDs y a veces peticiones completas.
El mayor riesgo práctico no suele ser el papeleo sino la seguridad: datos que un usuario puede leer desde otra cuenta, o una base de datos abierta a cualquiera. Si no lo revisaste, empieza por un usuario ve datos de otro.
¿Qué puedo hacer esta semana?
- Arma un mapa de datos de una página. Para cada tipo de dato personal: qué es, para qué lo recoges, dónde vive (qué servicio, qué región), quién tiene acceso y cuánto tiempo lo guardas.
- Borra lo que no necesitas. Campos de perfil sin uso, exportaciones viejas de prueba, registros de depuración con peticiones completas.
- Haz la lista de proveedores y busca el acuerdo de tratamiento de datos de cada uno (casi todos lo ofrecen en su panel o en sus páginas legales).
- Publica una política de privacidad honesta que coincida con tu mapa. Una plantilla genérica que nombra datos que no recoges, o se olvida de los que sí, no sirve de nada.
- Haz posible borrar y exportar. Aunque sea un proceso manual ("escríbenos y lo resolvemos dentro del plazo"), siempre que de verdad puedas hacerlo en todos los servicios.
- Cierra los accesos. Reglas de base de datos, cuentas de admin con doble factor, nada de logins compartidos. Mira cómo proteger el panel de administración.
- Escribe qué harías ante una filtración: quién decide, a quién llamarías, cómo avisarías a los usuarios. No conviene inventarlo con un reloj de 72 horas corriendo.
Respuestas rápidas
¿Necesito política de privacidad si soy pequeño? En la práctica, sí. Las tiendas de apps, los procesadores de pago y muchas leyes la esperan, y te obliga a saber qué recoges.
¿Un banner de cookies alcanza para el RGPD? No. El consentimiento para rastreadores es una pieza. El resto (derechos, seguridad, proveedores, filtraciones) sigue aplicando.
¿Puedo usar datos de usuarios para mejorar mis funciones con IA? Solo si tu política de privacidad y tu base legal lo cubren y los términos del proveedor permiten lo que quieres hacer. Pregúntale a un abogado antes.
¿Usar Supabase o Stripe me hace cumplir? No. Te dan herramientas y contratos, pero cómo los configuras y qué datos recoges es responsabilidad tuya.
¿De quién es el código y los datos de mi app hecha con IA? Es otra pregunta, relacionada. Mira quién es dueño del código hecho con IA.
¿Dónde consigo ayuda con la parte técnica?
No somos abogados y no podemos decirte qué leyes te aplican. Lo que sí hacemos es la parte técnica: el chequeo de salud gratis muestra lo que tu app expone desde afuera, y nuestra revisión de seguridad de Supabase revisa en el código las reglas de acceso, las claves y la exposición de datos. Para lo demás, escríbenos.
