Requisitos legales para sitios web y aplicaciones: Estados Unidos

Las obligaciones de los sitios web en EE. UU. dependen del estado, la empresa y los datos. Las leyes de privacidad estatales integrales a menudo tienen umbrales o exenciones, mientras que las normas sobre protección al consumidor, privacidad infantil, datos de salud, marketing y accesibilidad utilizan diferentes pruebas de alcance. No asuma que un producto nuevo o pequeño está fuera de toda ley de privacidad. Comience con sus clientes reales, modelo de facturación, marketing y funciones de datos confidenciales. Las prioridades dependen de esos hechos; no hay evidencia aquí de una clasificación universal sobre a qué demanda se enfrentará primero un fundador. Este es el capítulo de EE. UU. de nuestra lista de verificación legal previa al lanzamiento: ejecute primero esa secuencia de instrucciones y luego aplique lo que está aquí.

Puntos clave

• Evalúe el alcance, los umbrales y las exenciones de cada estado; no confíe en un recuento de usuarios genérico.
• COPPA, los datos de salud, los datos biométricos y las normas de marketing tienen sus propios activadores.
• La accesibilidad tiene cumplimiento público y privado; un escaneo automatizado no es una certificación.
• La regla de opción negativa de la FTC de 2024 fue anulada; las leyes de suscripción existentes siguen siendo importantes.
• Verifique los desarrollos actuales de los tribunales y las tiendas de aplicaciones antes de implementar señales de edad estatales.
• Los impuestos, la seguridad de los pagos, los derechos de autor y las divulgaciones de afiliados necesitan controles separados.

A quién llegan realmente las leyes de privacidad estatales

No utilice un umbral genérico de 100,000 usuarios. California tiene pruebas alternativas de ingresos, volumen y venta/uso compartido; otros estados utilizan criterios diferentes. Texas generalmente exime a las pequeñas empresas definidas por la SBA, pero mantiene un deber de consentimiento para la venta de datos confidenciales. Verifique la ley actual de cada estado al que sirve.

Si está cubierto, evalúe los avisos, las solicitudes de derechos, las opciones de publicidad dirigida y venta/uso compartido, las señales universales de exclusión voluntaria y las evaluaciones de riesgo. Consulte la explicación del alcance del Fiscal General de Texas.

Las reglas sin umbral de tamaño

Niños. Evalúe las pruebas dirigidas a niños y de conocimiento real de la COPPA, las excepciones y los requisitos de consentimiento de los padres. No recopile datos adicionales de edad o identidad simplemente porque una plantilla lo sugiera.

Afirmaciones veraces. La Sección 5 de la Ley de la FTC aborda las prácticas injustas y engañosas. Las promesas de privacidad, las capacidades del producto y los testimonios de los clientes deben reflejar la realidad. Las recomendaciones pagadas necesitan la divulgación adecuada.

Facturación recurrente. La ROSCA requiere términos materiales claros, consentimiento informado y un mecanismo de cancelación simple para las ventas en línea de opción negativa cubiertas. Verifique también los requisitos de renovación estatales aplicables. La página de reglas de la FTC distingue la elaboración de normas de los deberes existentes.

Correo electrónico y mensajes de texto. El correo electrónico comercial y las llamadas/textos de marketing automatizados tienen reglas diferentes. Configure información precisa del remitente, detalles de contacto requeridos, consentimiento cuando sea necesario y exclusiones voluntarias funcionales. Un permiso para enviar correos electrónicos no es automáticamente un permiso para enviar textos de marketing.

Accesibilidad. El Departamento de Justicia (DOJ) trata el acceso web como parte de los servicios de los alojamientos públicos cubiertos. El alcance legal y los recursos dependen del contexto. Combine comprobaciones automatizadas con pruebas de teclado y tecnología de asistencia; consulte la guía del DOJ.

Datos confidenciales. Los requisitos biométricos de Illinois y las normas de datos de salud del consumidor de Washington pueden afectar actividades fuera de los datos de cuenta ordinarios. Washington distingue el consentimiento de recolección/uso compartido de una autorización separada para la venta. Consulte la guía del Fiscal General de Washington antes de agregar inferencias o integraciones de salud.

Niños, adolescentes y tiendas de aplicaciones

La COPPA se centra en los servicios dirigidos a niños y los operadores con conocimiento real de la recopilación de menores de 13 años, sujeto a sus excepciones. Una pantalla de edad neutral no es un refugio seguro universal para un producto dirigido a niños. La regla modificada de la FTC tiene un hito de cumplimiento en abril de 2026; utilice su guía actual para los requisitos de consentimiento, divulgación y retención de los padres.

Las reglas de edad de las tiendas móviles tienen órdenes judiciales cambiantes y despliegues de plataformas. No trate las fechas de vigencia originales de Texas, Utah o Louisiana como evidencia de implementación suficiente. Verifique el estado relevante y los requisitos actuales de la tienda para su lanzamiento. Consulte la guía de la COPPA de la FTC.

Si recibe dinero

Impuesto sobre las ventas. Después de Wayfair, los estados pueden exigir a los vendedores fuera del estado que cobren el impuesto sobre las ventas una vez que crucen un umbral de nexo económico, más comúnmente $100,000 en ventas en ese estado al año, y algunos estados también cuentan el número de transacciones. Si el SaaS y los productos digitales son sujetos a impuestos varía según el estado. Esta es una pregunta para un contador, no para un abogado, y vale la pena hacerla antes de tener un problema, no después.

Pagos. Utilice un procesador (Stripe, Paddle, Lemon Squeezy o similar) y nunca toque los números de tarjeta sin procesar; eso lo mantiene fuera de las obligaciones más pesadas de PCI DSS. Un comerciante de registro como Paddle también se encarga del cobro del impuesto sobre las ventas, lo cual suele ser el intercambio correcto para un desarrollador independiente.

Si los usuarios publican contenido

Dos cosas que vale la pena hacer desde el primer día para cualquier sitio con contenido generado por el usuario:

• Registre un agente DMCA ante la Oficina de Derechos de Autor de EE. UU. (una tarifa pequeña, renovable cada tres años) y publique los detalles del agente en su sitio. Sin el registro, pierde la protección de puerto seguro contra reclamos de derechos de autor sobre lo que suben sus usuarios.
• Publique reglas de contenido claras y un proceso de eliminación, y sígalas realmente. La Sección 230 todavía protege a las plataformas de la responsabilidad por el contenido del usuario en la mayoría de los casos, pero sus propias promesas de moderación son ejecutables contra usted bajo la Sección 5.

La instrucción específica para EE. UU.

Ejecute esto después de las diez instrucciones en la lista de verificación principal:

Add United States compliance mechanics to this app. Implement each item and report what changed:

1. A "Your Privacy Choices" (or "Do Not Sell or Share My Personal Information") link in the footer of every page, leading to a page where a user can opt out of targeted advertising and of any sale or sharing of their data.
2. Detect the Global Privacy Control browser signal and treat it automatically as an opt-out for that user, without requiring any further action.
3. A privacy request form covering access, correction, deletion and portability, with an internal log recording each request's date, state of residence and outcome.
4. A US state rights section in the privacy policy, written as a general statement of rights rather than naming specific states — leave [[STATE-SPECIFIC DISCLOSURES]] as a placeholder for me to complete.
5. Inventory the intended audience and any age or parental-consent mechanisms. Implement the age flow I have selected after a COPPA scope assessment. Do not treat blocking a self-declared under-13 account as proof a child-directed service is compliant, or collect full birthdates without a need.
6. If we send marketing email: an unsubscribe link in every message, a postal address in the footer, and an unsubscribe that takes effect immediately without requiring login.
7. If we charge a recurring fee: the renewal date and amount shown before purchase and in account settings, plus a cancellation that completes in two clicks with no retention interstitial.

For each item, tell me PASS or explain what blocked it. Do not invent state law citations in any user-facing text.
Copiar prompt

Lista de verificación previa al lanzamiento — EE. UU.

• La política de privacidad coincide con un inventario de datos real, con un enlace de "Sus opciones de privacidad" si realiza segmentación de anuncios
• Señal de Control de Privacidad Global respetada
• Detección de edad en su lugar; no se recopilan datos de menores de 13 años sin consentimiento parental verificable
• Accesibilidad auditada según WCAG 2.1 AA y problemas críticos solucionados
• Términos de suscripción revelados antes de la facturación; cancelación en dos clics
• El correo electrónico tiene cancelación de suscripción más dirección postal; no hay SMS de marketing sin consentimiento por escrito
• Ninguna función biométrica sin aviso y consentimiento por escrito
• Umbrales de impuestos sobre las ventas verificados con un contador para los estados en los que vende
• Agente DMCA registrado si los usuarios pueden subir contenido
• Reglas de base de datos verificadas para que ningún usuario pueda leer los registros de otro usuario

Qué establecen los controles de construcción

La cancelación en dos clics y los valores predeterminados de consentimiento primero son opciones de diseño. Verifique el alcance legal por separado y pruebe la autorización, las solicitudes de derechos y la facturación con flujos de prueba reales. Un APROBADO del constructor no certifica el cumplimiento.

Fuentes oficiales y alcance de la revisión

Actualizado el 14 de septiembre de 2026. Las fuentes vinculadas respaldan el alcance y las correcciones discutidas aquí; esta es una revisión editorial, no una opinión legal exhaustiva ni una certificación de su producto. Verifique la norma operativa al actuar.

• Guía de la COPPA de la FTC
• Estado de la regla de opción negativa de la FTC
• Accesibilidad web del DOJ
• Guía de datos de salud de Washington

EE. UU. no es un reglamento único, es un mapa. Comience con la lista de verificación previa al lanzamiento, ejecute la instrucción de EE. UU. anterior y luego compare con la Unión Europea, el Reino Unido, Canadá, Australia, Brasil e Israel si vende allí. Puedes construir esto.