Cuando envías producto a un creador, recoges su nombre, su dirección y, a menudo, su teléfono. Para el RGPD, eso es tratamiento de datos personales, y también lo es si el destinatario es un influencer al que contactas por Instagram y no un cliente habitual. La buena noticia es que cumplir no es complicado si lo planteas desde el principio.
Esta guía está pensada para marcas DTC españolas que hacen product seeding. No sustituye el asesoramiento jurídico de tu caso, pero te da una estructura clara de lo que debes revisar.
Qué dice el RGPD y quién lo vigila en España
El Reglamento General de Protección de Datos es de aplicación directa en toda la UE, y en España se complementa con la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD). La autoridad de control es la Agencia Española de Protección de Datos (AEPD), que publica guías prácticas para empresas y es la primera referencia para cualquier duda.
Si tu marca vende o envía a creadores de otros países de la UE, el mismo RGPD rige el tratamiento. Para una visión más amplia, incluida la parte estadounidense, tienes la guía completa en direcciones de creadores, RGPD y CCPA.
Qué datos pedir (y cuáles no)
El principio de minimización dice que solo debes recoger los datos adecuados, pertinentes y limitados a lo necesario. Para un envío de gifting, eso suele ser:
- Nombre y apellidos del destinatario.
- Dirección postal completa, con código postal, población y provincia.
- País (relevante si hay envíos fuera de la península).
- Teléfono de contacto, solo si tu transportista lo necesita para la entrega.
- Correo electrónico, para avisos del envío.
- Usuario de Instagram o TikTok, si lo usas para etiquetar el pedido y medir la campaña.
No necesitas pedir fecha de nacimiento, DNI, datos bancarios ni nada que no tenga que ver con la entrega. Cuantos menos datos recojas, menos riesgo asumes.
Base jurídica: por qué puedes tratar la dirección
Todo tratamiento necesita una base jurídica del artículo 6 del RGPD. En un envío de gifting, las más habituales son:
- Ejecución de una relación a petición del interesado. El creador canjea voluntariamente un producto y para entregárselo necesitas su dirección.
- Interés legítimo. Para tareas como llevar un registro de la campaña. Exige ponderar tu interés frente a los derechos del creador.
- Consentimiento. Necesario si quieres usar la dirección o el correo para algo distinto del envío, como incorporarlo a una lista de marketing. Debe ser libre, específico e informado, y no puede ir pre-marcado.
Cuál encaja con tu caso depende de qué hagas con los datos. Si dudas, consulta con tu asesor legal o con tu delegado de protección de datos.
Informar al creador en el momento de la recogida
El RGPD obliga a dar información clara en el momento en que recoges los datos. En un formulario de gifting, lo habitual es incluir un breve aviso y enlazar a la política de privacidad completa. La información debe cubrir:
- Quién es el responsable del tratamiento y cómo contactarle.
- Para qué usas los datos (gestionar y enviar el producto).
- La base jurídica.
- Con quién los compartes: transportista, plataforma de e-commerce y proveedores de tecnología.
- Cuánto tiempo los conservas.
- Los derechos del creador y cómo ejercerlos, incluida la posibilidad de reclamar ante la AEPD.
El enlace de privacidad debe estar a la vista, no escondido al final de la página. Un formulario de marca, en el que el creador escribe su propia dirección y ve ese aviso antes de enviarla, es más transparente que recibir datos por DM sin explicación alguna. Más sobre ese enfoque en cómo recoger las direcciones de envío de los creadores.
Cuánto tiempo conservar los datos
El RGPD no fija un plazo único: dice que no debes conservar los datos más de lo necesario para la finalidad. En la práctica:
- Define un plazo razonable tras la entrega para resolver incidencias y reenvíos.
- Conserva lo que exija la normativa contable o fiscal, y solo durante el tiempo que se exija.
- Pasado ese plazo, elimina o anonimiza.
- Documenta el plazo en tu política de privacidad.
Derechos de los creadores
Cualquier creador puede pedirte acceso a sus datos, rectificarlos, suprimirlos, limitar su tratamiento, oponerse o solicitar su portabilidad. Tienes un mes para responder, ampliable en casos complejos. Prepara un correo de contacto de privacidad y un procedimiento sencillo para atender estas solicitudes: lo más habitual será pedir el borrado de la dirección tras la entrega.
Encargados del tratamiento: transportistas y herramientas
Cuando usas un servicio de terceros que trata datos por tu cuenta (una plataforma de e-commerce, una herramienta de gifting, un servicio de correo), esa empresa suele actuar como encargado del tratamiento. Necesitas un contrato o cláusulas de encargo que cumplan el artículo 28 del RGPD. Los transportistas, en cambio, suelen actuar con responsabilidad propia sobre los datos de entrega. Revisa los acuerdos de protección de datos de cada proveedor y, si transfieres datos fuera del Espacio Económico Europeo, comprueba qué garantías aplican.
Lista de comprobación rápida
- Pide solo los datos necesarios para el envío.
- Muestra un aviso de privacidad visible y enlaza tu política completa en el formulario.
- No uses la dirección o el correo para marketing sin una base válida, normalmente consentimiento.
- Define y documenta un plazo de conservación.
- Ten un correo de contacto para ejercer derechos y responde en un mes.
- Revisa los acuerdos de tratamiento con tus proveedores.
- Consulta con un asesor legal cualquier duda específica.
Si quieres un formulario de marca para recoger direcciones desde tu dominio, Seed te ofrece un enlace de campaña en el que el creador introduce su propia dirección y un pedido en borrador de 0 € llega a tu panel de Shopify. El cumplimiento sigue siendo cosa tuya: usa la herramienta como parte de tu proceso, no como sustituto de tu política de privacidad.
Preguntas frecuentes
¿La dirección de un creador es un dato personal según el RGPD?
Sí. Cualquier información que identifique o permita identificar a una persona física, como su nombre junto con su dirección postal o su teléfono, es un dato personal. Si el creador es una persona física, el RGPD se aplica a ese tratamiento aunque se trate de una relación comercial.
¿Qué base jurídica puedo usar para tratar la dirección de un creador?
En un envío de gifting, lo habitual es la ejecución de la relación que el creador solicita al canjear el producto o, según el caso, el interés legítimo de la marca. Cuál aplica en tu caso lo decide tu situación concreta; consúltalo con tu asesor legal o tu delegado de protección de datos.
¿Qué datos debo pedir al creador?
Solo los necesarios para enviar el paquete: nombre, dirección, código postal, población, provincia, país y, si tu transportista lo necesita, un teléfono de contacto. Aplica la minimización de datos: no pidas fecha de nacimiento, DNI ni nada que no necesites para la entrega.
¿Qué información tengo que dar al creador cuando recojo sus datos?
El RGPD exige informar de quién es el responsable, para qué se usan los datos, con qué base jurídica, cuánto tiempo se conservan, a quién se comunican (por ejemplo, al transportista) y cómo ejercer sus derechos. Lo habitual es enlazar a tu política de privacidad desde el propio formulario.
¿Cuánto tiempo puedo conservar la dirección de un creador?
El que sea necesario para la finalidad que declaraste, más los plazos legales que te correspondan. Define un plazo, documéntalo en tu política de privacidad y elimina o anonimiza los datos cuando deje de ser necesario conservarlos.
¿Qué hago si un creador pide que borre su dirección?
Tienes que atender su solicitud de supresión salvo que exista una obligación legal o un interés legítimo que justifique conservarla, por ejemplo por obligaciones contables o fiscales vinculadas al envío. Responde dentro de un mes, que es el plazo general del RGPD.