¿El probador virtual cumple con el RGPD? Lo que los comerciantes de la UE necesitan saber

El probador virtual es una de las pocas características de comercio electrónico que le pide a un comprador una foto de sí mismo. Para un comerciante que vende en la UE o el Reino Unido, ese simple hecho lleva el RGPD a la conversación incluso antes de que se lance la función. La mayor parte de la cuestión de cumplimiento se reduce a dos cosas: qué hace realmente la herramienta con la foto y si la documentación entre el comerciante y el proveedor lo refleja honestamente.

¿Es una foto de probador virtual un dato personal según el RGPD?

Sí, sin mucho debate. El RGPD define los datos personales de manera amplia: cualquier información relativa a una persona física identificada o identificable. Una foto que muestra el rostro o el cuerpo de un comprador califica en el momento en que podría vincularse a ese comprador, incluso si la empresa subyacente la procesa una vez y la descarta un segundo después. Una retención corta reduce el riesgo. No elimina la foto del alcance del RGPD.

Esto importa porque los comerciantes a veces asumen que una función que 'no almacena nada' cumple automáticamente. Todavía activa las obligaciones centrales del RGPD: una base legal para el tratamiento, un aviso claro para el comprador y, dado que el tratamiento real suele externalizarse a un proveedor, un acuerdo adecuado que cubra el papel de ese proveedor.

¿El probador virtual cuenta como dato biométrico?

Aquí es donde reside la verdadera sutileza legal, y hacerlo bien importa más que pasarlo por alto. El Artículo 9 del RGPD destaca los datos biométricos como una categoría especial, definidos en el Artículo 4(14) como datos resultantes de un tratamiento técnico específico relacionados con las características físicas que permiten o confirman la identificación única de una persona física. El tratamiento de datos de categoría especial necesita una base legal más sólida que los datos personales ordinarios, generalmente el consentimiento explícito.

• Herramientas que mapean la geometría facial para colocar gafas o lápiz labial con precisión (común en probadores de gafas y maquillaje) están extrayendo mediciones utilizadas para identificar características faciales, que es la actividad exacta para la que está escrito el Artículo 9.
• Herramientas que renderizan una prenda sobre un cuerpo en una foto sin extraer puntos de referencia faciales están haciendo algo estructuralmente diferente: haciendo coincidir la pose y las proporciones, no identificando a quién pertenece la cara.
• La orientación regulatoria sobre esta distinción no está completamente establecida. Los comentarios de la ICO del Reino Unido y varios bufetes de abogados de la UE han aconsejado tratar las fotos de los compradores como datos de categoría especial por precaución, incluso para probar ropa, mientras que otros interpretan la prueba de identificación única del Artículo 4(14) de manera más restrictiva.

La conclusión práctica para un comerciante es no apostar por la interpretación más restrictiva. Independientemente del lado de ese debate que finalmente decida un regulador, solicitar el consentimiento explícito y específico antes de la carga de una foto y elegir un proveedor que evite el análisis facial por diseño, se mantiene bajo cualquiera de las dos interpretaciones.

¿Quién es el responsable del tratamiento y quién el encargado del tratamiento?

Según el RGPD, el comerciante que gestiona la tienda es casi siempre el responsable del tratamiento de datos: la tienda decide por qué existe una función de probador, la ofrece a los compradores y es propietaria de la relación con el cliente. El proveedor que suministra la tecnología del probador, incluido Corlen, es el encargado del tratamiento de datos, actuando estrictamente según las instrucciones documentadas del comerciante y no para sus propios fines.

El Artículo 28 del RGPD exige un contrato por escrito entre el responsable y el encargado del tratamiento que cubra el objeto del tratamiento, su duración, la naturaleza y finalidad, las categorías de datos personales y los interesados involucrados, y las obligaciones y derechos del responsable. Ese contrato es el Acuerdo de Tratamiento de Datos, y un comerciante no debe habilitar una función de probador sin uno firmado y archivado.

¿Qué necesitan realmente tener los comerciantes de la UE?

1. Un DPA firmado con el proveedor, nombrando a cada subencargado del tratamiento involucrado (alojamiento en la nube, el proveedor del modelo de IA, envío de correos electrónicos, etc.), no solo una referencia genérica a 'terceros'.
2. Un paso de consentimiento claro y específico antes de la carga de la foto, separado de los términos de servicio generales, indicando para qué se usa la foto y cuánto tiempo se conserva.
3. Un período de retención declarado, en números claros: 'según sea necesario' no es una política de retención que un regulador o un comprador puedan evaluar.
4. Un proceso documentado para las solicitudes de derechos de los interesados, ya que un comprador puede pedir en cualquier punto de la cadena, al comerciante o al proveedor, que elimine su foto o que explique qué sucedió con ella.
5. Salvaguardias de transferencia internacional (típicamente cláusulas contractuales tipo) si algún subencargado del tratamiento opera infraestructura fuera de la UE o el Reino Unido, lo cual es común para herramientas basadas en IA que se ejecutan en los principales proveedores de la nube.

Cómo Corlen aborda el RGPD para el probador virtual

El Acuerdo de Tratamiento de Datos de Corlen lo establece directamente en lugar de dejarlo a la inferencia: Corlen no procesa datos de categoría especial o biométricos, y nunca realiza reconocimiento facial o análisis facial en ninguna foto que maneje. En una tienda Shopify, una foto enviada al botón 'Probar' se procesa en memoria para la única solicitud que genera una vista previa y nunca se escribe en una base de datos o almacenamiento de archivos. En un quiosco en tienda, las fotos se eliminan automáticamente en 2 horas, o inmediatamente si el comprador solicita la eliminación.

El DPA también nombra a cada subencargado del tratamiento involucrado (Google Cloud para la generación de IA en sí misma, Supabase para el almacenamiento, Resend para el correo electrónico, Stripe para la facturación, Vercel para el alojamiento), se compromete a las cláusulas contractuales tipo para cualquier transferencia internacional y proporciona a los comerciantes un contacto directo para las solicitudes de derechos de los interesados. Un comerciante que evalúe a cualquier proveedor de probador, no solo a Corlen, debe esperar el mismo nivel de especificidad antes de firmar. Vea cómo el mismo enfoque de privacidad se lee desde el lado del comprador en ¿es seguro el probador virtual?, o pruebe Corlen con su propia foto para ver todo el flujo de primera mano.