Flyweight: Uso de un chatbot con IA para Shopify en cumplimiento del RGPD y de la Ley de IA

Acuerdo de tratamiento de datos, obligación de etiquetado, política de privacidad, RGPD, Ley de IA, ¿qué? 🤯🤯

La lista de verificación y la plantilla de política de privacidad que figuran a continuación parten de que gestionáis una tienda Shopify y queréis añadir un chatbot con IA conforme al RGPD. Como Flyweight ahora también redacta respuestas a correos electrónicos y tickets de soporte (Flyweight Copilot) y os permite a vosotros o a vuestro equipo tomar el control de los chats en directo, esta guía también cubre esos casos de uso. ¿Queréis la visión completa de lo que puede hacer nuestro chatbot para Shopify? Id a la guía principal. Este artículo no constituye asesoramiento jurídico ni reconocimiento de una obligación legal.

Terminología

1. Reglamento General de Protección de Datos (RGPD)
   El RGPD es la principal norma de privacidad en Europa. Establece las reglas sobre cómo las empresas tratan los datos personales, como recopilar solo lo que realmente se necesita y almacenarlo de forma segura. También otorga a las personas derechos sobre sus datos, incluidos el acceso, la rectificación y la supresión. En el caso de los chatbots, eso significa no recopilar datos de forma amplia o innecesaria, y comunicar con claridad cómo se usan los datos.

2. Ley de Inteligencia Artificial (Ley de IA)
   La Ley de IA es un reglamento de la UE que establece normas para la inteligencia artificial. Sus requisitos se aplican por fases; las obligaciones de transparencia del artículo 50 se aplican a partir del 2 de agosto de 2026. El objetivo es un uso más seguro y justo de sistemas de IA como los chatbots. Agrupa los sistemas de IA por nivel de riesgo, de bajo a alto. Cada categoría conlleva sus propios requisitos, como dejar claro que los usuarios están interactuando con IA y prevenir resultados discriminatorios. Los chatbots que gestionan casos de uso sensibles pueden encajar en categorías de mayor riesgo y enfrentarse a requisitos más estrictos.

3. Acuerdo de Tratamiento de Datos (DPA)
   Un Acuerdo de Tratamiento de Datos es un contrato entre la empresa que usa el chatbot y el proveedor que lo opera. Define que el proveedor trata los datos de los usuarios solo siguiendo las instrucciones de la empresa y de acuerdo con las normas de protección de datos. Si utilizáis un proveedor externo de chatbot, normalmente se necesita un DPA para documentar un tratamiento conforme al RGPD.

4. Política de privacidad
   Una política de privacidad explica qué datos se recopilan, por qué se recopilan y durante cuánto tiempo se almacenan. También debe explicar los derechos de los usuarios, como el derecho a solicitar la supresión o a acceder a los datos almacenados. En el uso de chatbots, esta información debe ser fácil de entender y fácil de encontrar.

5. Obligación de etiquetado
   En virtud del artículo 50 de la Ley de IA, las personas que interactúan directamente con un sistema de IA deben, con carácter general, ser informadas de que están interactuando con IA, salvo que ello resulte evidente en las circunstancias. Esa es la obligación de etiquetado. El objetivo es la transparencia y menos malentendidos.

Funciones y responsabilidades

Las funciones importan porque definen quién es responsable de qué.

Encargado del tratamiento

El proveedor del chatbot suele ser el encargado del tratamiento. Eso significa que el proveedor trata datos por cuenta del operador de la tienda y basándose en sus instrucciones. El proveedor se ocupa de la configuración técnica y del funcionamiento del chatbot, pero no decide por qué se tratan los datos. Su tarea es seguir los requisitos del responsable del tratamiento y aplicar medidas técnicas y organizativas para proteger los datos personales. En resumen, el proveedor del chatbot está vinculado contractualmente a tratar los datos solo según instrucciones, no para sus propios fines independientes.

Responsable del tratamiento

Esta es la parte que a menudo resulta un poco contraintuitiva: el operador de la tienda es el responsable del tratamiento. Como responsable del tratamiento, la tienda decide por qué y cómo se tratan los datos, por ejemplo, qué recopila el chatbot y si se utiliza para soporte, generación de leads u otra finalidad. El responsable del tratamiento es quien responde de que la recopilación y el tratamiento de datos cumplan los requisitos de privacidad y de que se respeten los derechos de los usuarios. En la práctica, eso significa que el operador de la tienda define cómo se utiliza el chatbot y es responsable del cumplimiento en materia de privacidad en torno a ese uso. Suena más grande de lo que es. Normalmente, empieza por ser claros en la política de privacidad.

Ejemplo práctico

Supongamos que la tienda Shopify "GarlicPress24" quiere usar un chatbot con IA para generar leads. Un cliente pregunta por las especificaciones de un prensador de ajos, y la IA ofrece orientación experta. Durante ese proceso, el chatbot recopila los datos de contacto del cliente, como nombre y correo electrónico, y los reenvía al experto.

La tienda tiene que decidir cómo debe funcionar esto. ¿Debe recopilarse el lead mediante IA? ¿O el chatbot debe mostrar simplemente un mensaje como: “Contactad con nuestros expertos en el correo X”? La tienda Shopify es el responsable del tratamiento porque decide qué ocurre y se asegura de que los clientes estén debidamente informados en la política de privacidad. El proveedor del chatbot con IA se ocupa de la configuración técnica y trata los datos de acuerdo con las instrucciones de la tienda, lo que convierte al proveedor en el encargado del tratamiento.

Cómo usar un chatbot con IA de forma conforme a los requisitos de protección de datos: lista de verificación

Si queréis utilizar un chatbot de acuerdo con el RGPD y la Ley de IA, las funciones anteriores definen las responsabilidades.

1. Recopilad solo los datos necesarios
   El chatbot debe recopilar solo los datos que realmente sean necesarios. Esto es principalmente responsabilidad del proveedor. En Flyweight, procuramos tratar únicamente los datos personales mínimos necesarios. Por ejemplo, si un cliente pregunta por el estado de un pedido, solo tratamos los códigos postales y los números de pedido, no datos adicionales de la dirección ni datos más amplios del pedido. Los datos introducidos en los formularios específicos del chatbot se tratan por separado del modelo de IA. Los mensajes en texto libre aún pueden contener datos personales, y Copilot trata la conversación de soporte abierta para redactar una respuesta.

2. Sed transparentes
   Los usuarios deben entender qué datos recopila el chatbot y para qué se utilizan. La política de privacidad es el lugar adecuado para explicarlo claramente, especialmente para los operadores de tiendas Shopify. Como la tienda es el responsable del tratamiento, la política debe actualizarse para que los clientes queden debidamente informados. A continuación se incluye una plantilla para ayudaros con ello.

3. Formalizad un Acuerdo de Tratamiento de Datos (DPA)
   Si el chatbot procede de un proveedor externo, debe existir un contrato que cubra un tratamiento de datos conforme al RGPD. Comprobad si el proveedor ofrece un DPA, a menudo como parte del acuerdo estándar.

4. Revisad regularmente la seguridad y la protección de datos
   La Ley de IA también apunta a revisiones periódicas de los riesgos relacionados con la IA, para que la configuración del chatbot siga siendo conforme con el tiempo. De esto suele ocuparse el proveedor del chatbot. Mantenemos esta guía actualizada y compartimos los cambios relevantes.

5. Etiquetad claramente el chatbot
   Los usuarios deben saber que están hablando con una IA. Las obligaciones de transparencia del artículo 50 se aplican a partir del 2 de agosto de 2026; consultad la guía de la Comisión Europea. Nuestro chatbot con IA incluye por defecto un pie de página que dice: “IA impulsada por Flyweight”, y recomendamos mantenerlo. Si queréis ser especialmente prudentes, también podéis mencionar la IA en el mensaje de bienvenida o en el nombre del chatbot.

6. Soporte por correo electrónico y tickets con IA (Flyweight Copilot)

   Si vosotros o vuestro equipo usáis Flyweight Copilot para redactar respuestas a correos electrónicos o tickets, se aplican las mismas funciones: vosotros sois el responsable del tratamiento, Flyweight es vuestro encargado del tratamiento en virtud del DPA. Cada borrador es revisado y enviado por vosotros o por una persona de vuestro equipo, por lo que no se toma ninguna decisión automatizada sobre la solicitud del cliente. Qué tenéis que hacer: añadid a vuestra política de privacidad la sección de la plantilla que figura más abajo, aseguraos de que solo vosotros y las personas a las que autoricéis tengáis acceso, y no pidáis nunca a los clientes datos de salud u otra información sensible que no sea necesaria para resolver la solicitud.

7. Tomar el control de chats en directo

   Cuando vosotros o un miembro de vuestro equipo toméis el control de un chat desde la IA, el cliente debe ver que se ha unido una persona. Este es el reverso de la obligación de etiquetado de la IA: si informáis a los clientes cuando hablan con una IA, informadles también cuando hablan con un humano. Flyweight muestra el traspaso en el widget de chat por defecto. Usad nombres de pila o alias del equipo; vosotros decidís qué se muestra.

¿Necesito el consentimiento de los clientes que nos envían correos electrónicos?

Por lo general, no se requiere un consentimiento separado simplemente para responder a un correo electrónico rutinario de soporte. Dependiendo de la solicitud, el tratamiento puede ser necesario para ejecutar un contrato con el cliente (artículo 6, apartado 1, letra b), del RGPD) o estar justificado por una evaluación documentada del interés legítimo para la atención al cliente (artículo 6, apartado 1, letra f), del RGPD). El comerciante debe seleccionar la base adecuada para el tratamiento real, incluida la asistencia de IA, y garantizar que solo se utilicen los datos necesarios. El consentimiento no sustituye esa evaluación, y la asistencia no debe depender del consentimiento para tratamientos no relacionados.

Lo que sí necesitáis es transparencia: identificad a Flyweight como encargado del tratamiento en vuestra política de privacidad (plantilla más abajo) y, si queréis, enlazadla desde vuestra firma de correo electrónico o respuesta automática.

Las categorías especiales requieren un cuidado adicional: los datos de salud y otras categorías especiales requieren una condición aplicable del artículo 9, apartado 2, del RGPD, además de una base jurídica del artículo 6. Un contrato de soporte o el interés legítimo por sí solos no son suficientes. No podéis impedir que un cliente escriba "Necesito devolver esto por mi alergia", pero sí podéis (1) aseguraros de que vosotros, vuestro equipo y vuestra configuración de IA nunca solicitéis activamente esos datos, (2) añadir una breve nota en vuestra política de privacidad o respuesta automática pidiendo a los clientes que no compartan datos de salud salvo que sean necesarios para su solicitud, y (3) si vuestra tienda vende productos relacionados con la salud (suplementos, dispositivos médicos, productos de farmacia), hablar con vuestro delegado de protección de datos sobre una evaluación de impacto relativa a la protección de datos antes de implantar soporte asistido por IA. El DPA de Flyweight cubre el tratamiento incidental de dichos datos y excluye una evaluación separada o el entrenamiento del modelo; el DPA no proporciona por sí mismo la condición del artículo 9 del comerciante. Evaluad si el tratamiento previsto probablemente generará un alto riesgo y, por tanto, requiere una evaluación de impacto relativa a la protección de datos antes de la implantación.

Véase la guía del CEPD sobre bases jurídicas y categorías especiales de datos.

⭐️ Plantilla de política de privacidad

Como hemos visto, las tiendas Shopify que actúan como responsables del tratamiento son principalmente responsables de explicar claramente cómo se tratan los datos.

¿Y cuál es el mejor lugar para eso? Vuestra política de privacidad.

💡 Si fuéramos el operador de la tienda que usa el chatbot con IA de Flyweight, añadiríamos la siguiente sección a la política de privacidad (sin reconocer una obligación legal ni proporcionar asesoramiento jurídico):

Adaptad la plantilla a las funciones que realmente utilicéis, a vuestras bases jurídicas y a vuestra política de conservación.

---

Uso del chatbot con formularios
Le ofrecemos en nuestro sitio web un chatbot basado en IA de Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Alemania (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) para responder a sus preguntas. Al utilizar el chatbot, sus consultas se combinan utilizando la base de datos creada a partir de la información del sitio web leída desde nuestro propio sitio web y un modelo lingüístico de gran tamaño para proporcionarle respuestas a su consulta. El chatbot está instruido para no solicitar datos personales. Conviene saberlo: Si, como resultado de sus consultas, aparecen formularios independientes en los que luego pueda tener que proporcionar datos personales en función de su consulta, la información que facilite allí se tratará por separado y, en consecuencia, no se enviará a la IA.

Categorías de datos tratados: Las categorías de datos se derivan de sus consultas cuando introduce datos personales en su pregunta.

• Por ejemplo, si pregunta: “¿Dónde está mi pedido?”, aparecerá un formulario en el que podrá introducir su número de pedido y su código postal.

• Si, por ejemplo, desea obtener más información sobre un producto y recibir el asesoramiento correspondiente, aparecerá un formulario en el que podrá introducir la información pertinente (p. ej., nombre, teléfono, correo electrónico, etc.).

Finalidad del tratamiento: Tratamiento de la información que usted facilita para crear respuestas a sus solicitudes utilizando el chatbot.

• Ejemplo: Por ejemplo, si pregunta: “¿Dónde está mi pedido?” e introduce su número de pedido y su código postal en el formulario, esta información se utiliza para realizar una consulta directa al sistema de la tienda (Shopify), de modo que pueda enviarse la información de entrega y usted pueda ser informado sobre el estado del pedido.

• Ejemplo: Si desea asesoramiento sobre un producto, su solicitud (con los datos que facilite en el formulario y todo el historial del chat) se remitirá al operador de la tienda para que pueda ponerse en contacto con usted.

Fuente de los datos: Recogemos estos datos directamente de usted.

Base jurídica: Tratamos los datos para cumplir obligaciones contractuales o precontractuales de conformidad con el artículo 6, apartado 1, letra b), del Reglamento General de Protección de Datos (RGPD).

Conservación de los datos: Conservamos los datos de soporte durante el tiempo necesario para resolver su consulta y para cualquier reclamación legal aplicable u obligación de conservación de registros. Los plazos legales de conservación de 6 a 10 años se aplican solo a los registros sujetos a dichos requisitos. Flyweight almacena las conversaciones por cuenta nuestra durante la vigencia de nuestro contrato y las elimina en un plazo de 30 días tras su finalización, de conformidad con nuestro acuerdo de tratamiento de datos.

Ubicación de los destinatarios: UE y fuera de la UE.

Garantías para transferencias a terceros países: Cláusulas Contractuales Tipo de la UE (SCC), decisión de adecuación

Atención al cliente asistida por IA (correo electrónico y tickets)

Cuando contacta con nuestro servicio de atención al cliente por correo electrónico o a través de nuestro servicio de asistencia, utilizamos Flyweight Copilot, una herramienta proporcionada por Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Alemania (aviso legal / declaración de privacidad), para ayudarnos con la atención al cliente. La herramienta lee su mensaje y, cuando está disponible, la información del pedido relacionada de nuestro sistema de tienda, y redacta una respuesta sugerida. Cada respuesta es revisada y enviada por un miembro de nuestro equipo. No se toma automáticamente ninguna decisión sobre su solicitud. Por favor, no incluya datos de salud ni otra información sensible en su mensaje, salvo que sea necesaria para su solicitud.

Categorías de datos tratados: El contenido de su mensaje (asunto y texto), su nombre y dirección de correo electrónico, y los detalles del pedido relacionados con su solicitud (como número de pedido, estado del pedido e historial del pedido).

Finalidad del tratamiento: Responder a su solicitud de soporte con mayor rapidez y precisión.

Fuente de los datos: Recibimos estos datos directamente de usted y de nuestro sistema de tienda.

Base jurídica: Artículo 6, apartado 1, letra b), del RGPD (ejecución de un contrato o medidas precontractuales) y artículo 6, apartado 1, letra f), del RGPD (nuestro interés legítimo en prestar una atención al cliente eficiente). Flyweight GmbH trata sus datos por cuenta nuestra como encargado del tratamiento en virtud de un acuerdo de tratamiento de datos.

Conservación de los datos: Conservamos los datos de soporte durante el tiempo necesario para resolver su solicitud y para cualquier reclamación legal aplicable u obligación de conservación de registros. Los plazos legales de conservación de 6 a 10 años se aplican solo a los registros sujetos a dichos requisitos, no automáticamente a cada mensaje de soporte. Flyweight almacena las conversaciones por cuenta nuestra durante la vigencia de nuestro contrato y las elimina en un plazo de 30 días tras su finalización, de conformidad con nuestro acuerdo de tratamiento de datos.

Ubicación de los destinatarios: UE y fuera de la UE.

Garantías para transferencias a terceros países: Cláusulas Contractuales Tipo de la UE (SCC), decisión de adecuación.

Chat en directo con nuestro equipo

Un miembro de nuestro equipo puede unirse a una conversación del chatbot y continuarla personalmente. Usted verá en el chat cuando esto ocurra. La conversación, incluida cualquier información que usted haya proporcionado en el chat, quedará entonces a disposición de nuestro equipo para que podamos ayudarle con su solicitud.

Base jurídica: Artículo 6, apartado 1, letra b), del RGPD (ejecución de un contrato o medidas precontractuales). Flyweight GmbH proporciona la infraestructura de chat como nuestro encargado del tratamiento.

Conservación de los datos: Según se indica arriba para el chatbot.

---

Instalad el chatbot conforme con la privacidad para tiendas Shopify europeas ✌️