Cómo Automatizar los Derechos ARCO+ en tu Ecommerce Chileno

¿Qué significa automatizar ARCO+?

Automatizar los derechos ARCO+ significa construir un sistema capaz de recibir, procesar y ejecutar solicitudes de titulares de datos sin intervención manual, dentro de los plazos legales que exige la Ley 21.719.

Cuando un cliente ejerce su derecho de cancelación (el más crítico por su plazo de 3 días hábiles), los datos personales de ese titular deben ser eliminados de todos los sistemas donde se encuentren: tienda online, email marketing, plataformas publicitarias, CRM y cualquier otro sistema conectado.

El proceso universal de automatización ARCO+ consta de cuatro pasos:

1. Recibir la solicitud — El titular envía su solicitud a través de un portal, formulario web o correo electrónico. El sistema debe validar la identidad del solicitante, registrar la fecha y hora de recepción, y clasificar el tipo de derecho que se ejerce (cancelación, oposición, acceso, etc.).
2. Localizar los datos — El sistema debe identificar en qué sistemas y bases de datos puede estar presente la información del titular. En un ecommerce típico, los datos del cliente pueden estar replicados en la tienda, en listas de Mailchimp, en Custom Audiences de Meta Ads y en un CRM.
3. Purgar o modificar los datos — Se ejecutan las acciones correspondientes en cada sistema: eliminación de registros en la base de datos, REMOVE de audiencias publicitarias, adición a listas de exclusión, modificación de campos, etc.
4. Auditar y acreditar — Cada acción debe quedar registrada con timestamp, hash del titular y prueba de ejecución. Este registro es la evidencia que la Agencia de Protección de Datos Personales puede solicitar en una fiscalización.

Implicancias legales de automatizar

Automatizar el proceso ARCO+ no solo resuelve un problema operativo: es una decisión con implicancias legales directas. La Ley 21.719 establece que los responsables del tratamiento deben implementar "medidas técnicas y organizativas apropiadas" para garantizar el cumplimiento. Un sistema automatizado con ledger de auditoría cumple con este estándar.

Además, contar con un programa de cumplimiento documentado y operativo actúa como atenuante de multas (puede reducir la sanción hasta en 70%). Automatizar es, por tanto, una inversión en mitigación de riesgos tanto operativos como regulatorios.

Sin embargo, automatizar ARCO+ no reemplaza otras obligaciones de la ley: obtener consentimiento explícito, realizar Evaluaciones de Impacto (EIPD), designar un DPO cuando corresponda, mantener un registro de actividades de tratamiento, o notificar brechas de seguridad en 5 días hábiles. La automatización cubre la ejecución de los derechos ARCO+, no la gobernanza integral de datos.

Tutorial paso a paso por plataforma

Cada plataforma donde almacenas datos de clientes requiere un enfoque distinto para la purga ARCO+. A continuación, los tutoriales técnicos para las plataformas más usadas en ecommerce chileno.

Shopify — GraphQL Admin API

Shopify expone una GraphQL Admin API que permite eliminar clientes de forma programática. El proceso requiere dos pasos: primero obtener el ID del cliente mediante una consulta por email, y luego ejecutar la mutation de eliminación.

Paso 1: Obtén el customer ID.

{
  customers(first: 1, query: "email:cliente@ejemplo.cl") {
    edges {
      node {
        id
        firstName
        lastName
        email
      }
    }
  }
}

Paso 2: Ejecuta la eliminación.

mutation {
  customerDelete(input: { id: "gid://shopify/Customer/1234567890" }) {
    deletedCustomerId
    userErrors { field message }
  }
}

Alternativas: Shopify también permite la eliminación manual desde el panel de administración, y existen apps en la Shopify App Store que automatizan el borrado de clientes. La desventaja del método manual es que no escala ni deja trazabilidad auditora.

WooCommerce — WordPress hooks + REST API

WooCommerce al ser parte de WordPress ofrece dos caminos para eliminar datos de clientes: la REST API y los hooks de WordPress.

REST API: WooCommerce expone el endpoint /wp-json/wc/v3/customers/{id} que acepta DELETE con autenticación vía Consumer Key y Consumer Secret. El cliente se elimina permanentemente.

curl -X DELETE https://tutienda.cl/wp-json/wc/v3/customers/123 \
  -u "consumer_key:consumer_secret"

WordPress hooks: Si prefieres un enfoque desde código, puedes usar wp_delete_user() que acepta el ID de usuario y opcionalmente reasigna sus contenidos a otro usuario. El hook delete_user te permite ejecutar lógica adicional (limpiar metadatos, eliminar de listas de correo).

add_action('delete_user', 'purga_arco_completa', 10, 3);
function purga_arco_completa($user_id, $reassign, $user) {
  // Eliminar metadatos asociados
  delete_user_meta($user_id, 'billing_phone');
  delete_user_meta($user_id, 'shipping_address_1');
  // Registrar en ledger interno
  error_log('ARCO purge executed for user: ' . $user->user_email);
}

Alternativas: Plugins de borrado de datos como "WP Delete User Accounts" o "GDPR Data Request" ofrecen funcionalidad básica. También puedes construir una integración a medida usando la REST API de WooCommerce.

Meta Ads — Custom Audiences API

La integración con Meta Ads es técnicamente la más compleja porque los datos no se "eliminan" en el sentido tradicional: los emails de los clientes están hasheados (SHA-256) dentro de Custom Audiences que usas para remarketing.

Paso 1: Obtén un System User Token. A diferencia de los tokens de usuario normales que caducan cada 60 días, los System User Tokens son permanentes. Se configuran desde el Business Settings de Meta Business Suite.

Paso 2: Ejecuta un REMOVE sobre la Custom Audience que contiene los usuarios a eliminar. La API espera un array de hashes SHA-256 de los emails a remover.

curl -X POST \
  -F "payload={
    \"schema\": \"EMAIL_SHA256\",
    \"data\": [\"a1b2c3d4e5f6...hash_del_email\"]
  }" \
  -F "access_token=TOKEN" \
  "https://graph.facebook.com/v22.0/ACT_123456789/users"

Paso 3: Agrega el mismo hash a una audiencia de exclusión (opt-out). Esto evita que el titular sea incluido en campañas futuras.

Alternativas: Meta Business Suite permite la gestión manual de audiencias, pero no escala. Soluciones de terceros como LiveRamp o The Trade Desk ofrecen integración programática. Algunas plataformas de compliance como OneTrust también tienen conectores con Meta.

Mailchimp — Batch API

Mailchimp permite eliminar suscriptores individualmente o en lote mediante su API REST v3.

Eliminación individual: DELETE sobre el subscriber hash del email.

curl -X DELETE "https://us1.api.mailchimp.com/3.0/lists/abcd123456/members/a1b2c3d4e5" \
  -u "anystring:API_KEY"

Batch API: Para procesar múltiples solicitudes simultáneamente, usa la Batch API de Mailchimp.

curl -X POST "https://us1.api.mailchimp.com/3.0/batches" \
  -u "anystring:API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "operations": [
      {
        "method": "DELETE",
        "path": "/lists/abcd123456/members/hash1"
      },
      {
        "method": "DELETE",
        "path": "/lists/abcd123456/members/hash2"
      }
    ]
  }'

Alternativas: El panel de Mailchimp permite eliminar suscriptores uno por uno, pero no es escalable. Integraciones vía Zapier o Make pueden automatizar parcialmente el proceso. Klaviyo, la alternativa más usada en ecommerce, ofrece una API similar con DELETE /api/ profiles/{profile_id}.

Comparativa de opciones para automatizar ARCO+

Existen cuatro enfoques principales para implementar la automatización ARCO+ en tu ecommerce. Cada uno tiene ventajas, costos y limitaciones distintas.

¿Cuándo elegir cada opción?

• Desarrollo manual: Si tienes un equipo de desarrollo interno con capacidad para dedicar 2-4 meses a construir una solución. El costo oculto es el mantenimiento continuo: cada vez que una plataforma actualiza su API, tu integración puede romperse.
• PrivacyEngine: Si buscas una solución lista en minutos, con conectores prebuilt y costo predecible. Especialmente útil si usas Shopify (Embedded App) o combinas tienda + Meta Ads + Mailchimp. ¿Eres agencia? Descubre el Programa de Partners con revenue share hasta 30%.
• OneTrust / BigID: Si eres una corporación multinacional con presencia en Chile y necesitas cumplimiento global. El costo y la complejidad de implementación están diseñados para equipos de privacidad dedicados.
• Consultoría legal: Si tu prioridad es el diseño de políticas y procedimientos, no la ejecución operativa. Complementa con cualquiera de las otras opciones para la implementación técnica.

Preguntas Frecuentes sobre Automatización ARCO+