Cómo hacer una política de privacidad que cumpla la ley

La política de privacidad de la mayoría de los sitios chilenos tiene el mismo origen: alguien copió la de otra empresa, cambió el nombre y la subió. Funciona mientras nadie la lea. El problema es que a partir de diciembre puede leerla alguien con facultades para fiscalizar, y una política copiada tiene un defecto grave: describe una empresa que no eres tú.

La idea en simple

• La política de privacidad no es un trámite, es la declaración de lo que haces con los datos.
• Si dice algo distinto a lo que tu sitio hace de verdad, te perjudica en vez de protegerte.
• Tiene que escribirse después de saber qué datos tratas, no antes.
• Cambiar el texto sin cambiar la práctica no te deja en regla.

Por qué copiar es peor que no tener

Suena raro, pero es así. Una política copiada declara por escrito prácticas que probablemente no aplicas: que pides consentimiento antes de instalar cookies, que conservas los datos por un plazo determinado, que tienes un canal para atender solicitudes. Si nada de eso ocurre, acabas de dejar documentada la distancia entre lo que dices y lo que haces.

Un fiscalizador no necesita entrar a tu oficina para detectarlo. Abre tu sitio, revisa qué se activa al cargar la página y lo compara con tu propio texto. Es de las verificaciones más simples que existen.

Qué tiene que decir

Una política que sirve responde con claridad seis cosas:

Quién eres. Razón social, RUT y un canal de contacto real para temas de datos. No un formulario genérico.

Qué datos pides. Concretamente. No "datos de navegación", sino qué recoges: nombre, correo, teléfono, empresa, comportamiento en el sitio.

Para qué los usas. Cada finalidad por separado. Responder una cotización es una finalidad; mandarte newsletter es otra distinta. Mezclarlas es uno de los errores más comunes.

Con qué base legal. Aquí es donde la mayoría de las políticas copiadas se caen. Cada tratamiento necesita un fundamento: consentimiento, ejecución de un contrato, obligación legal, interés legítimo.

Cuánto tiempo los guardas. "El tiempo necesario" no es un plazo. Si un contacto no compró en tres años, ¿por qué sigue en tu base?

Con quién los compartes. Tu CRM, tu proveedor de correo, tu hosting, tu agencia. Si están fuera de Chile, hay que decirlo.

El orden correcto de trabajo

Acá está el error de proceso que hace fracasar la mayoría de estos proyectos: se parte por redactar el documento.

El orden que funciona es el inverso. Primero levantas el inventario: qué formularios tienes, qué guarda cada uno, dónde va a parar esa información, qué herramientas la tocan, cuánto tiempo se queda. Recién con ese mapa sobre la mesa se puede escribir una política que sea verdadera. De lo contrario estás describiendo una empresa imaginaria.

En ese levantamiento aparecen siempre las mismas sorpresas: formularios olvidados que siguen recibiendo datos, una planilla en el Drive de alguien que ya no trabaja ahí, una integración que manda contactos a una herramienta que nadie recuerda haber contratado.

Después del texto viene lo que cuesta

Publicar la política es la parte fácil y barata. Lo que de verdad toma trabajo es que el sitio se comporte como el documento promete:

• Que los píxeles de Meta y Google no se activen antes de que el visitante acepte.
• Que cada formulario guarde evidencia de qué aceptó la persona y cuándo.
• Que exista alguien a cargo de responder las solicitudes que lleguen.
• Que los plazos de conservación se apliquen de verdad en el CRM.

Una política correcta sobre un sitio que hace otra cosa no te protege. Una política honesta sobre un sitio que la cumple, sí.

Por eso en nuestros proyectos el documento lo redacta y firma un abogado (trabajamos con Salinas Whittaker Abogados) y la parte de arriba, el inventario, la hacemos antes entre ambos. Redactar primero y averiguar después es el orden que hace fracasar estos proyectos.

Si quieres partir por saber qué dice hoy tu sitio de verdad, este es el orden con el que trabajamos: diagnóstico primero, documento después, implementación al final.