Direcciones de creadores, RGPD y CCPA: qué pueden hacer las marcas

Puedes recoger y usar el nombre, la dirección y el teléfono de un creador para enviarle el regalo que pidió, sin una casilla de consentimiento aparte. Conserva los datos solo mientras los necesites, explica al creador qué haces con ellos y no lo pases a tu lista de marketing sin un opt-in si está en el Reino Unido o en la UE. La mayoría de las marcas pequeñas están por debajo de los umbrales de la CCPA, pero el RGPD te alcanza en cuanto haces gifting a un creador en Europa.

Esta es una guía en lenguaje llano, no asesoramiento jurídico. Acude a un abogado especialista en privacidad si recibes una carta de un regulador (en España, la AEPD), si sufres una brecha de datos o si estás cerca de los umbrales de la CCPA que verás más abajo. Para todo lo demás, los pasos de aquí te cuestan una tarde.

Este artículo trata de la ley. Para recoger una dirección completa en primer lugar, consulta cómo recoger las direcciones de envío de los creadores, y para conservar tu lista cuando dejas una herramienta o una agencia, consulta de quién es tu lista de creadores.

¿Es la dirección de un creador un dato personal?

Sí, en todas las normas que importan aquí. La California Consumer Privacy Act menciona expresamente la «dirección postal» como identificador en su definición de información personal (Civ. Code § 1798.140). El RGPD abarca cualquier información sobre una persona identificable. El usuario, el correo, el teléfono, la dirección de casa, la talla de ropa de un creador y lo que le enviaste son datos personales. Tener 80.000 seguidores no hace pública una dirección particular.

¿Qué leyes de privacidad se aplican de verdad a una marca pequeña?

Dos notas sobre esa tabla. El punto del RGPD pilla desprevenidas a las marcas estadounidenses. Un regalo sigue contando como oferta de bienes, así que una marca de Ohio que hace gifting a una creadora en Berlín está tratando sus datos bajo el RGPD. La obligación del artículo 27 de designar un representante en la UE tiene una excepción para tratamientos «ocasionales» y de bajo riesgo, lo que un puñado de regalos al mes podría ser razonablemente. Un programa estable en la UE está menos claro.

Sobre la CCPA, la cifra de 26.625.000 $ es el ajuste por inflación de la California Privacy Protection Agency, en vigor desde el 1 de enero de 2025 (la ley sigue diciendo 25 millones). El criterio de las 100.000 personas cuenta los datos que compras, vendes o «compartes», y «compartir» incluye pasar datos a plataformas publicitarias para publicidad conductual entre contextos. Una tienda con mucho tráfico que use píxeles publicitarios puede acercarse a ese límite por los visitantes de la tienda, no por sus creadores. Si ese puede ser tu caso, consúltalo con un abogado.

¿Puedes usar la dirección de un creador sin su consentimiento?

Sí. Esta es la parte que la mayoría de las marcas entiende al revés. El consentimiento es solo una de las seis bases jurídicas del artículo 6 del RGPD, y es la más débil para un envío porque se puede retirar en cualquier momento. Dos bases mejores encajan con el gifting:

• Contrato o medidas precontractuales (art. 6.1.b). El creador pidió el regalo y te dio su dirección para que se lo enviaras. El tratamiento «a petición del interesado» queda cubierto.
• Interés legítimo (art. 6.1.f). Tienes un interés legítimo en enviar producto a creadores, y un creador que te dio su dirección espera que le envíes allí.

Lo que el RGPD sí exige es transparencia. El artículo 13 dice que, en el momento de la recogida, debes informar a la persona de quién eres, por qué recoges los datos y con qué base jurídica, quién más los recibe, cuánto tiempo los conservarás y qué derechos tiene. Eso es un aviso, no una casilla de consentimiento. La línea de privacidad de más abajo lo cubre.

El límite es la finalidad. Los datos recogidos «con fines determinados, explícitos y legítimos» no pueden reutilizarse para algo incompatible (art. 5.1.b). Enviar el regalo, hacer seguimiento de la publicación y enviar un segundo regalo encajan en la finalidad. Añadirlos a tu newsletter semanal, no.

¿Puedes meter a los creadores en tu lista de email marketing?

Creadores de EE. UU.: legalmente sí, sin consentimiento previo. La CAN-SPAM es una ley de exclusión voluntaria (opt-out). Según la guía de cumplimiento de la FTC, todo correo comercial necesita una opción de baja clara, tu dirección postal física válida y cabeceras y asuntos veraces, y debes atender las bajas en 10 días hábiles. Cada correo que infrinja puede costar hasta 53.088 $. Que sea legal no significa que sea inteligente: una oleada promocional al día siguiente de que llegue la caja de PR hace que el creador se sienta un lead.

Creadores del Reino Unido y de la UE: en general no, no sin consentimiento. El regulador británico, la ICO, dice que no debes enviar correo de marketing a personas físicas salvo que hayan consentido de forma específica. La excepción del «soft opt-in» cubre a quienes compraron, o negociaron comprar, algo tuyo. Un regalo no es una compra, así que no te apoyes en ella. Los países de la UE aplican reglas similares a través de la Directiva sobre privacidad y comunicaciones electrónicas; en España, además, la LSSI exige consentimiento previo para comunicaciones comerciales por correo electrónico.

La respuesta que funciona en todas partes: una casilla opcional y sin marcar en el formulario de regalo: «Quiero recibir lanzamientos y novedades de la marca por correo». Quien la marque entra en la lista. Nadie más. Los correos individuales sobre su regalo, su publicación y tu próximo regalo no son envíos de marketing y no necesitan la casilla.

¿Cuánto tiempo puedes conservar las direcciones de los creadores?

La regla del RGPD es «no más tiempo del necesario» para la finalidad (art. 5.1.e). No fija una cifra, así que la fijas tú y la dejas por escrito. Una política fácil de defender:

• Creadores activos: conserva su dirección mientras les hagas gifting. Volver a regalar forma parte de la finalidad original.
• Creadores inactivos: tras 24 meses sin un nuevo regalo, borra la dirección de las listas de trabajo (hojas de cálculo, CRM, herramienta de correo). Si quieres, conserva el usuario y una nota de «regalado, publicó».
• Registros de pedidos: guárdalos el tiempo que exijan tus obligaciones fiscales. La referencia del IRS es de 3 años desde la presentación, más en algunos casos. Tus pedidos de regalo de 0 $ son esos registros, y el RGPD te permite conservar los datos que la ley te obliga a mantener (art. 17.3.b).
• Hojas de cálculo compartidas con un asistente virtual: el peor sitio para las direcciones. Borra las filas en cuanto se envíe el pedido. El pedido ya contiene la dirección.

¿Qué haces cuando un creador te pide que borres sus datos?

Pasa pocas veces y lleva unos 20 minutos. Hazlo el mismo día.

1. Confirma que es realmente la persona. Responde desde el hilo o la cuenta que usó contigo, no a una dirección nueva desconocida.
2. Localiza todas las copias. Shopify, hojas de cálculo, herramienta de correo, DMs que hayas exportado y todo lo que tenga una agencia o un asistente virtual.
3. Borra en Shopify. En su ficha de cliente, usa Más acciones y después Borrar datos personales. Shopify indica que la solicitud de supresión abarca tu tienda y las apps y canales que tengas instalados, y que los detalles de la venta, como qué se vendió y cuándo, siguen visibles con los datos personales censurados. Eres responsable de cualquier otra persona con quien hayas compartido los datos.
4. Pide por escrito a tu agencia o asistente virtual que borre su copia, y consigue una confirmación de «hecho».
5. Responde al creador. El RGPD te da un mes, ampliable en dos más para solicitudes complejas (art. 12.3). La CCPA, si te aplica, da 45 días, ampliables una vez otros 45 (§ 1798.130).

Una respuesta que puedes pegar:

Hola [nombre], hecho. Hemos borrado tu dirección, teléfono y correo de nuestros registros de creadores y hemos pedido a [agencia/herramienta] que haga lo mismo. Conservamos el registro del pedido en sí por motivos fiscales, con tus datos personales eliminados en la medida en que nuestros sistemas lo permiten. No volverás a saber de nosotros salvo que nos escribas tú.

¿Puedes compartir tu lista de creadores con una agencia o un asistente virtual?

Sí, siempre que trabajen para ti y no para ellos mismos. La ley lo trata como un encargado del tratamiento (RGPD) o un proveedor de servicios (CCPA), y ambos exigen un contrato escrito que limite lo que pueden hacer con los datos. El artículo 28 del RGPD exige que el tratamiento se rija por un contrato. En la práctica:

• Incluye una cláusula de datos en el contrato con la agencia. Que usen los datos de los creadores solo para tus campañas, no los reutilicen con otros clientes, los mantengan seguros y los borren o devuelvan al terminar el encargo. La mayoría de las agencias tiene un contrato de encargado del tratamiento estándar; pídelo.
• Da acceso, no envíes archivos. Un puesto en una herramienta que controlas se puede revocar. Una hoja de cálculo en la bandeja de entrada de otra persona es permanente.
• No intercambies listas con otras marcas. Pasar las direcciones de tus creadores a una marca amiga para su gifting ya no es tratamiento por tu cuenta. Es comunicar datos a otro responsable y, posiblemente, una «venta» según la ley estatal. Comparte usuarios, no direcciones, y deja que la otra marca se lo pida directamente al creador.

El riesgo realista para una marca pequeña no es una multa del RGPD. El techo teórico es de 20 millones de euros o el 4 % de la facturación mundial (art. 83.5), pero los reguladores se centran en piezas mayores. El riesgo real es una hoja filtrada con las direcciones particulares de los creadores y el creador que descubre cómo salieron las suyas. Eso es un problema de reputación en una comunidad donde todos hablan.

Una línea de privacidad para pegar en tu formulario de regalo

Ponla justo encima del botón de enviar y enlázala a tu política de privacidad completa:

Usamos tu nombre, dirección, teléfono y correo para enviarte tu regalo y contactarte sobre él y sobre futuros regalos. Solo los compartimos con nuestros proveedores de envío y logística y con las herramientas que usamos para gestionar el gifting. Conservamos tu dirección mientras te hacemos gifting y la borramos tras 24 meses de inactividad, salvo los registros de pedidos que debamos conservar por motivos fiscales. Para ver o borrar tus datos, escribe a [privacidad@tumarca.com]. No te añadiremos a correos de marketing salvo que marques la casilla de abajo.

Después añade un breve apartado de «Gifting a creadores» en la política de privacidad de tu tienda con lo mismo, incluida la base jurídica para creadores de la UE y del Reino Unido (cumplir el regalo que solicitaron y nuestro interés legítimo en trabajar con creadores). Si gestionas el gifting con Seed, el formulario de regalo te permite añadir tu propio texto de condiciones con una casilla de aceptación, de modo que el aviso queda justo donde el creador escribe su dirección. Cada envío se convierte en un pedido de Shopify en lugar de una fila en una hoja compartida.

La lista de comprobación

• Línea de privacidad en el formulario de regalo, enlazada a tu política.
• Opt-in de email marketing como casilla aparte y sin marcar.
• Las direcciones viven en pedidos de Shopify, no en hojas de cálculo compartidas.
• Regla de conservación por escrito: 24 meses de inactividad, registros fiscales según lo exigido.
• Una cláusula de datos en cada contrato con agencias o asistentes virtuales.
• Un procedimiento de supresión que puedas ejecutar en 20 minutos.

Para el resto de tu documentación con creadores, consulta la guía del contrato de influencer y del acuerdo de gifting. Para regalos enviados al extranjero, consulta gifting internacional a creadores: envío y aduanas.

Preguntas frecuentes

¿Necesito consentimiento para guardar la dirección de envío de un creador?

No según el RGPD, si la usas para enviar el regalo que el creador pidió. El envío queda amparado por la «ejecución de un contrato» o por medidas adoptadas a petición del creador (artículo 6.1.b), o por el interés legítimo (artículo 6.1.f). Lo que sí necesitas es transparencia: informar al creador, en el momento de la recogida, de quién eres, para qué usarás los datos, cuánto tiempo los conservarás y cómo pedir su supresión.

¿Se aplica la CCPA a mi pequeña marca de Shopify?

Probablemente no. La CCPA se aplica a empresas con ánimo de lucro que hacen negocio en California y cumplen uno de tres criterios: unos ingresos brutos anuales superiores a 26.625.000 $ (la cifra de 2025 ajustada por inflación), comprar, vender o compartir los datos personales de 100.000 o más consumidores u hogares de California al año, u obtener la mitad o más de los ingresos de vender o compartir datos personales. La mayoría de las marcas que hacen gifting a creadores no cumple ninguno.

¿Puedo añadir a los creadores a mi lista de email marketing?

En EE. UU., la CAN-SPAM no exige consentimiento previo, pero todo correo comercial necesita una opción de baja que funcione y se atienda en 10 días hábiles, tu dirección postal física y asuntos veraces. Para creadores del Reino Unido y de la UE, el marketing por correo a personas físicas suele requerir consentimiento previo, y el «soft opt-in» para clientes existentes está ligado a una compra, que un regalo no es. La respuesta limpia en todas partes es una casilla de suscripción sin marcar en el formulario de regalo.

¿Cuánto tiempo puedo conservar las direcciones de los creadores?

El RGPD dice que no más del necesario para la finalidad con la que las recogiste. Una política defendible para una marca pequeña: conserva la dirección mientras estés haciendo gifting a ese creador, bórrala de las listas de trabajo tras unos 24 meses sin un nuevo regalo y guarda los registros de pedidos el tiempo que exijan tus obligaciones fiscales (en España, con carácter general, cuatro años por la prescripción tributaria; en EE. UU. la referencia del IRS es de 3 años).

¿Qué hago si un creador me pide que borre sus datos?

Confirma quién es, bórralo de tus hojas de cálculo, de tu herramienta de correo y de la copia de cualquier agencia, y usa la acción «Borrar datos personales» de Shopify en su ficha de cliente, que abarca tu tienda y las apps instaladas. Responde en el plazo de un mes para creadores de la UE y del Reino Unido (artículo 12.3 del RGPD), o 45 días bajo la CCPA si te aplica. Los registros que la ley te obliga a conservar, como los fiscales, pueden permanecer.

¿Puedo compartir mi lista de creadores con una agencia?

Sí, si la agencia trabaja por tu cuenta y bajo un contrato escrito que limite lo que puede hacer con los datos. Según el RGPD es un contrato de encargado del tratamiento (artículo 28); según la CCPA, un contrato con proveedor de servicios. Da acceso a través de una herramienta que controles en lugar de enviar una hoja de cálculo por correo y revócalo cuando termine el encargo. Vender o intercambiar la lista con otra marca es un acto distinto y requiere una base mucho más sólida.