Condiciones, privacidad y cookies en una tienda online

Módulo 5: Obligaciones y condiciones · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Al terminar esta lección podrá ofrecer las condiciones generales de forma que sean válidas, completar la política de privacidad de una tienda con los tratamientos propios de la venta, valorar qué cookies puede instalar una tienda sin consentimiento y decidir con criterio neutral si un sello de confianza le conviene.

Conceptos clave: condiciones generales, entrega, puesta a disposición por vía electrónica, casilla de aceptación, política de privacidad, encargado del tratamiento, contrato de encargo del tratamiento, plazo de conservación, cookies funcionales, cookies de seguimiento, order attribution, consentimiento, sello de confianza, comisión de resolución de litigios, plataforma ODR

Esta lección explica las normas tal como se aplican el 9 de noviembre de 2026. No constituye asesoramiento jurídico ni fiscal. Si tiene dudas sobre su situación, consulte a un jurista, a su organización sectorial o a su asesor contable.

Condiciones generales: tenerlas no basta

Las condiciones generales son los acuerdos fijos que usted aplica a cada pedido: entrega, pago, garantía, responsabilidad, reclamaciones. No son obligatorias, pero casi todas las tiendas las tienen. La trampa: unas condiciones que el cliente no pudo leer a tiempo quizá no sean válidas.

En los Países Bajos, el artículo 6:234 del Código Civil neerlandés (BW) establece que las condiciones deben entregarse al cliente antes o en el momento de celebrar el contrato. En internet puede hacerse por vía electrónica, siempre que el cliente pueda guardarlas y volver a leerlas más tarde. Si no lo hace, el cliente puede anular las cláusulas. En la práctica:

• un enlace a las condiciones junto al botón de pedido, con una casilla que empieza sin marcar («He leído las condiciones generales»);
• las condiciones en PDF o en texto dentro del correo de confirmación o adjuntas a él, para que el cliente las tenga;
• una página fija siempre accesible, por ejemplo desde el pie de página.

Alemania tiene una norma similar (el cliente debe poder conocer de forma razonable las «Allgemeine Geschäftsbedingungen», AGB). En Bélgica, las condiciones son válidas si el cliente pudo conocerlas antes de celebrar el contrato y las aceptó. La idea es la misma en todas partes: mostrarlas a tiempo y permitir conservarlas. En España, los derechos del consumidor los regula el Texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (TRLGDCU), y la Ley 34/2002 de servicios de la sociedad de la información (LSSI) exige además información general en la web (aviso legal).

Lo que no puede figurar en ellas es igual de importante. Las condiciones no pueden limitar los derechos legales de un consumidor. «Devoluciones solo en el embalaje original sin abrir» o «sin desistimiento en artículos rebajados» choca con el derecho de desistimiento (lección 5.2). Una cláusula que solo aparece en sus condiciones tampoco sustituye nunca la información obligatoria (lecciones 5.1 y 5.4). Las organizaciones sectoriales y los sellos de confianza suelen ofrecer condiciones modelo; es un punto de partida más seguro que redactarlas usted mismo o copiar el texto de otra tienda (esto último, además, no es aceptable desde el punto de vista de los derechos de autor).

Privacidad: lo que una tienda trata de más

Los fundamentos del RGPD para un sitio web (datos personales, base jurídica, política de privacidad, formularios, encargados del tratamiento) se explican en el curso de WordPress, lección 9.3. Una tienda trata más datos, y con más partes implicadas:

Qué hacer con esto:

1. Mencione cada tratamiento en su política de privacidad, con su finalidad, base jurídica, plazo de conservación y destinatarios. WordPress ofrece una plantilla de ayuda en Ajustes > Privacidad; WooCommerce añade sus propias sugerencias de texto para la tienda. Úselas como punto de partida, no como texto definitivo.
2. Firme contratos de encargo del tratamiento con las partes que tratan datos en su nombre (proveedor de alojamiento, servicio de envío de correos, programa de contabilidad). En el caso de proveedores de pago y transportistas, el papel varía según la parte; lea lo que indica cada una.
3. Configure los plazos de conservación en WooCommerce > Ajustes > Cuentas y privacidad (lección 2.3): las cuentas inactivas se eliminan tras un plazo, los pedidos no pagados, fallidos y cancelados van a la papelera, y en los pedidos reembolsados y completados se anonimizan los datos personales. Tenga en cuenta la obligación fiscal de conservación (lección 5.6): guarde los datos de facturación en su contabilidad si los elimina de la tienda. En España, el Código de Comercio fija 6 años para libros y documentos; consulte a su asesor fiscal.
4. Sepa qué hacer ante una brecha de datos (KB 6749 y el curso Seguro en línea). Una tienda hackeada con datos de clientes casi siempre debe notificarse.

Cookies en una tienda

Las normas sobre las cookies en sí (en los Países Bajos, la Telecommunicatiewet; en la UE, la Directiva sobre la privacidad electrónica) también se explican en el curso de WordPress, lección 9.3. La regla general: las cookies funcionales, necesarias para el servicio que solicita el visitante, se pueden usar sin consentimiento. Para el seguimiento y la mayoría de las estadísticas necesita consentimiento previo.

Para una tienda, esto significa:

• Funcionales: las cookies de WooCommerce para el carrito y la sesión (woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_...) y las cookies de su proveedor de pago durante el pago. Están permitidas y deben figurar en su política de cookies.
• Order attribution: WooCommerce tiene una función que registra por qué canal llegó un pedido (buscador, campaña, correo electrónico). Usa cookies que empiezan por sbjs_, por defecto solo durante la visita. Si necesita pedir consentimiento depende de cómo use los datos; es medición, no es necesaria para el pedido. Puede desactivar la función en WooCommerce > Ajustes > Avanzado > Características. Averigüe qué se aplica en su caso e inclúyalo en su política de cookies.
• Seguimiento y publicidad: píxeles de redes sociales, redes publicitarias y estadísticas que comparten datos con terceros. Cárguelos solo después del consentimiento. Un banner de cookies que lo carga todo antes de que el visitante elija no cumple.

Trampa habitual: un botón «Aceptar» grande y verde junto a un «Rechazar» que hay que buscar. Las autoridades de control exigen que rechazar sea tan fácil como aceptar.

Sellos de confianza y litigios

Un sello de confianza es un acuerdo voluntario con una organización que revisa su tienda, le facilita condiciones modelo y a menudo ofrece un sistema de resolución de litigios. Ejemplos: Thuiswinkel Waarborg en los Países Bajos, BeCommerce en Bélgica, Trusted Shops en Alemania; hay más, también para tiendas en España. Difieren en requisitos, controles y costes. Un sello no es obligatorio ni sustituye a la ley; sí puede generar confianza y le ayuda a mantenerse al día con las normas. Compárelos por lo que revisan, lo que le exigen y el sistema de resolución de litigios que incluyen.

Sobre los litigios, un punto de actualidad: hasta 2025 las tiendas online debían incluir un enlace a la plataforma europea ODR de resolución de litigios en línea. Esa plataforma cerró el 20 de julio de 2025 (Reglamento (UE) 2024/3228) y la obligación de enlazarla ha desaparecido. Si el enlace sigue en sus condiciones o en el pie de página, elimínelo; remite a algo que ya no existe. La Comisión Europea remite ahora a una lista de organismos de resolución de litigios por país.

En la práctica: así se ve en WooCommerce

En Theehuis Example:

1. Páginas Términos y condiciones y Política de privacidad; en WooCommerce > Ajustes > Avanzado > Configuración de la página se ha elegido la página de condiciones (casilla de aceptación al finalizar la compra) y en Ajustes > Privacidad, la página de privacidad.
2. En Cuentas y privacidad: el texto de privacidad que WooCommerce muestra al registrarse y al finalizar la compra remite a la política de privacidad.
3. Un banner de cookies que solo carga el seguimiento tras el consentimiento; comprobado en una ventana privada con las herramientas para desarrolladores (pestañas Red y Almacenamiento): antes de elegir, ninguna solicitud a servicios de publicidad o estadísticas.
4. Las condiciones en PDF adjuntas al correo de confirmación (con una extensión) o un enlace en el contenido adicional del correo.

Resumen

• Las condiciones generales solo son válidas si las pone a disposición por vía electrónica antes o en el momento de celebrar el contrato, de modo que el cliente pueda conservarlas (Países Bajos: art. 6:234 BW); no pueden limitar los derechos del consumidor. En España rigen el TRLGDCU y, para la información general en la web (aviso legal), la LSSI.
• Una tienda trata más datos personales que un sitio corriente; incluya cada tratamiento con su base jurídica, plazo de conservación y destinatarios en su política de privacidad y configure los plazos de conservación en WooCommerce.
• Las cookies del carrito y de la sesión son funcionales; el seguimiento y la publicidad, solo tras el consentimiento; order attribution, activado o desactivado de forma consciente.
• Los sellos de confianza son voluntarios; compárelos con criterio neutral. El enlace obligatorio a la plataforma ODR desapareció el 20 de julio de 2025.

Cuestionario

Ejercicio

Ejercicio A5.5: Condiciones, privacidad y cookies. Introduzca la dirección de su tienda. El programa solicita la página de inicio sin cookies, como un visitante nuevo que aún no ha elegido nada, y anota solo los nombres de las cookies que instala el sitio. Busca un enlace a sus condiciones generales y un enlace a su política de privacidad (también en alemán, inglés y francés) y solicita ambas páginas. Verde si ambos enlaces existen y las páginas devuelven 200, si no hay scripts conocidos de estadísticas o publicidad en el HTML y si no se instalan cookies de estadísticas o publicidad (como _ga, _fbp) antes de que el visitante elija. Naranja si ya hay un script de ese tipo en el HTML («¿se carga solo tras el consentimiento?»), si se instalan cookies de order attribution (sbjs_) (informativo) o si sigue habiendo un enlace a la plataforma ODR. Rojo si falta uno de los dos enlaces, si una página no es accesible o si se instalan cookies de seguimiento o publicidad sin que el visitante haya elegido. El programa solo ve el HTML sin JavaScript; los scripts que cargan otros scripts más tarde debe comprobarlos usted mismo con la pestaña Red de su navegador.

Pregunta para usted (no se corrige): ¿qué tratamientos de la tabla de esta lección aún no figuran en su política de privacidad?

Para saber más

• Curso gratuito de WordPress 9.3: RGPD: cookies, formularios y política de privacidad
• Cookies (Autoriteit Persoonsgegevens, neerlandés): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• ¿Se trata de una filtración de datos y debo notificarla?
• Código Civil neerlandés, libro 6, artículo 6:234 (wetten.overheid.nl, neerlandés): https://wetten.overheid.nl/BWBR0005289/
• Cierre de la plataforma ODR y organismos de resolución de litigios por país (Comisión Europea, inglés): https://consumer-redress.ec.europa.eu/site-relocation_en
• Thuiswinkel.org (sello Thuiswinkel Waarborg, neerlandés): https://www.thuiswinkel.org/