Las leyes que afectan a su sitio web en EE. UU., explicadas con claridad.
La ley federal de accesibilidad, un mosaico de leyes de privacidad en cincuenta estados, y las normas propias de Nueva York y Míchigan. Qué exige cada una de un sitio público, qué cuesta ignorarla y cómo se cierra la brecha.
// El análisis lee lo que es públicamente visible en su sitio. Es un punto de partida para la revisión — no una opinión legal ni una certificación de cumplimiento.
Cuatro cuerpos legales alcanzan al sitio web de una empresa en EE. UU.
La mayoría de los propietarios conocen los nombres y nunca han visto los requisitos escritos con claridad. Estas son las obligaciones que aplican a un sitio público: sin jerga legal y, en la mayoría de los casos, sin exención para pequeñas empresas.
// Federal · Vigente en todos los estados
Accesibilidad, correo electrónico y mensajes de texto
Tres regímenes federales aplican en todas partes, sin importar la ley local: la Americans with Disabilities Act para su sitio web, CAN-SPAM para sus correos y la TCPA para sus mensajes de texto.
Un sitio web que las personas con discapacidad puedan usar
Los tribunales tratan un sitio público como un local comercial. El estándar de trabajo es WCAG 2.1 AA: contraste legible, formularios etiquetados, alternativas de texto para las imágenes, navegación por teclado. Sin umbral de ingresos ni exención para pequeñas empresas.
Menús en HTML real, no solo en PDF
Los menús solo en PDF y los módulos de terceros para pedidos o reservas son lo primero que busca el abogado de un demandante, y las fallas del módulo cuentan como suyas.
Una declaración de accesibilidad con un plan
Una declaración publicada que nombre un plan de corrección y un calendario, respaldada por un registro continuo y con fecha de qué se corrigió y cuándo.
Correos honestos, con una salida
Cada correo comercial necesita un remitente y un asunto exactos, una dirección postal válida y una baja que funcione y se atienda en 10 días hábiles.
Consentimiento escrito antes de los mensajes de marketing
Los mensajes de texto de marketing requieren consentimiento expreso previo por escrito, horas de silencio de 8 a. m. a 9 p. m. en la zona horaria del destinatario, gestión de la palabra STOP y un remitente registrado: las operadoras bloquean el tráfico no registrado.
Sin módulos superpuestos
Una capa de accesibilidad superpuesta a un sitio no corrige el código que hay debajo, y venderla como solución de cumplimiento ha provocado medidas regulatorias contra el proveedor.
// Nueva York · Estado y ciudad
Seguridad de datos, divulgaciones y precios
Nueva York añade sus propios deberes a los federales, y obligan a cualquier empresa que tenga información de un residente de Nueva York, sin necesidad de estar radicada allí.
Salvaguardas razonables para la información privada
La ley SHIELD exige salvaguardas administrativas, técnicas y físicas: en la práctica, un programa de seguridad escrito, cifrado en tránsito y en reposo, y controles de acceso. Sin umbral de ingresos ni de plantilla.
Aviso de brecha en 30 días
Los residentes afectados deben ser notificados dentro de los 30 días desde el descubrimiento, con el fiscal general y, desde diciembre de 2024, el regulador financiero en la lista. Un plazo tan corto tiene que ser un temporizador del sistema.
Los precios fijados con datos del cliente se divulgan
Desde noviembre de 2025, todo precio fijado por un algoritmo a partir de los datos personales de un cliente debe llevar al lado un aviso fijo y bien visible, en cada superficie que muestre el precio.
El precio mostrado es igual al total
Los artículos sobre prácticas engañosas y publicidad falsa son el cajón de sastre de los cargos ocultos y las promociones engañosas. El precio en la página, el total cobrado y cada afirmación deben resistir una lectura literal.
Las leyes de derechos humanos se suman a la ADA
Las leyes de derechos humanos del estado y de la ciudad añaden daños compensatorios que la ADA federal no prevé. Nueva York encabeza todos los estados en demandas de accesibilidad.
Ciudad de Nueva York: etiquetado de menús y biometría
Las cadenas con 15 o más locales deben mostrar calorías, una advertencia de sodio y una etiqueta de azúcares añadidos, incluido el pedido en línea. Cualquier quiosco de reconocimiento facial o de huella requiere un aviso publicado, y los datos biométricos nunca pueden venderse.
// Míchigan · Estado
Base de seguridad y prácticas honestas
Míchigan exige una base de seguridad, aviso rápido de brechas y una higiene de accesibilidad estándar: menos carga de divulgación que Nueva York, pero las normas federales aplican por completo.
Proteger la información sensible
La Identity Theft Protection Act obliga a las empresas a proteger la información sensible y a notificar con prontitud tras una brecha: la contraparte en Míchigan de la ley SHIELD de Nueva York.
Sin prácticas engañosas
La Consumer Protection Act es el cajón de sastre de Míchigan, y el fiscal general la usa. Precios mostrados, totales y afirmaciones promocionales deben sostenerse.
Accesibilidad, estatal y federal
La Persons with Disabilities Civil Rights Act es el equivalente estatal de la ADA, y la ley federal aplica por completo en Míchigan. Menos demandas que en Nueva York; el mismo estándar.
Privacidad alta por defecto para menores
La Kids Code Act, vigente desde julio de 2026, exige minimización de datos y ajustes de privacidad altos por defecto en cualquier servicio al que accedan menores: una página de menú infantil puede bastar para activarla.
La privacidad de los registros alcanza al rastreo
Una ley más antigua sobre los registros de compra de los clientes no impone requisito de residencia y se ha usado contra píxeles publicitarios: entra en juego en cuanto vende medios o enlaza un video a etiquetas publicitarias.
Listas de marketing filtradas por edad
Si algún local vende un producto que los menores no pueden comprar, las listas de marketing deben depurarse contra el registro estatal de protección infantil antes de cada envío.
// Unos 20 estados · La ley sigue al cliente
Privacidad, cookies y rastreo
Una veintena de estados tienen ya una ley integral de privacidad, y sigue el lugar donde viven sus clientes, no donde está usted. Dos de ellas alcanzan a casi todos los sitios de EE. UU.
Una política de privacidad publicada
La norma de publicación de California se activa con cualquier visitante californiano, lo que en la práctica abarca a todo sitio dirigido a EE. UU. Qué recopila, por qué, quién lo recibe, los derechos de sus clientes, un contacto y una fecha de entrada en vigor.
Acceso, eliminación, corrección y exclusión
Las leyes integrales otorgan a los consumidores derechos sobre sus datos cuando una empresa supera sus umbrales: normalmente 100 000 consumidores, o 25 000 más ingresos por la venta de datos.
Respetar la señal Global Privacy Control
Una docena de estados exigen ya que un sitio trate la señal GPC del navegador como una exclusión de la venta y de la publicidad dirigida. Los plazos de subsanación están desapareciendo: un primer aviso ya no viene con una oportunidad de corregir.
Píxeles y grabación de sesión: material para demandas
La exposición que más crece es el litigio privado bajo leyes de escuchas de hace décadas por píxeles publicitarios y herramientas de grabación de sesión, presentado como demanda colectiva.
Consentimiento antes de que se activen las etiquetas
Un inventario de etiquetas, un banner con un rechazo real, y ninguna etiqueta publicitaria o analítica activada antes del consentimiento: recomendable donde haya píxeles, obligatorio donde aplique una ley estatal.
Datos de menores
Menús infantiles, juegos e inscripciones a fiestas de cumpleaños pueden someter un sitio a la norma federal de privacidad infantil: consentimiento parental verificado antes de recopilar, y ningún rastreo en esas páginas.
Por qué no usamos capas de cumplimiento superpuestas
La forma más rápida de afirmar que se cumple es un script de terceros que pone un banner y un widget encima de su sitio actual. También es la forma más rápida de volverlo lento, y esas capas tienen un historial pobre a la hora de satisfacer a los reguladores o a las personas a las que deberían ayudar. Nestor cambia el código de fondo en su lugar — tarda más en desplegarse, pero es la versión que se sostiene cuando alguien mira de cerca.
Las cifras, tomadas de las propias leyes.
Cada cifra de abajo proviene de la ley que la fija, con el enlace — compruébelo usted mismo en un clic.
$500–$1,500 per text
Text-message damages are counted per message
A recipient may recover $500 for each message sent without the consent the law requires, and a court may treble that to $1,500 where the violation was willful or knowing. The right to sue is the recipient's own, which is what makes a single non-compliant campaign a class action.
Fuente: 47 U.S.C. § 227(b)(3)Up to $5,000 per violation
SHIELD Act — reasonable safeguards
Any business holding a New York resident's private information must keep reasonable administrative, technical and physical safeguards, wherever the business itself sits. No business is exempt, but one under 50 employees, $3M in revenue or $5M in assets may scale its safeguards to its own size and complexity. Enforced by the Attorney General, who recovers penalties of up to $5,000 per violation under § 350-d; there is no private right of action.
Fuente: NY General Business Law § 899-bb (penalties via § 350-d)Up to $250,000 for botched notice
Failing to notify
A court may impose the greater of $5,000, or up to $20 for each failed notification — capped at $250,000. That sits on top of the safeguards exposure.
Fuente: NY General Business Law § 899-aa$5,000 per violation, class-wide
Wiretapping suits over pixels and session replay
California's wiretap statute lets a plaintiff recover $5,000 per violation, or three times actual damages, whichever is greater — and says in terms that having suffered actual damages is not a prerequisite to suing. That is what turns one pixel firing on thousands of visitors into a class action.
Fuente: California Penal Code § 637.2$50 floor, trebled to $1,000
Deceptive acts and false advertising
New York declares unfair, deceptive and abusive business practices unlawful in general terms. Anyone injured may sue for actual damages or $50, whichever is greater, and a court may treble the award up to $1,000 where the violation was willful, plus attorney's fees. The Attorney General may act separately for restitution and an injunction.
Fuente: NY General Business Law § 349(h)Up to $1,000 per violation
Prices set from customer data carry a fixed sentence
Since 10 November 2025, a price set using a customer's personal data has to carry one exact sentence, clearly and conspicuously, near and at the same time as the price itself. The wording is prescribed, so an edited version is a defect rather than a variation.
Fuente: NY General Business Law § 349-aAddress, opt-out, 10 business days
Commercial email needs an address and a way out
Every commercial message must carry a valid physical postal address and an opt-out that still works for at least 30 days after sending, and an opt-out must be honoured within 10 business days. Materially misleading headers and subject lines are separately unlawful. Enforced by the FTC and state attorneys general; the per-message penalty is set by the FTC Act and adjusted for inflation each year.
Fuente: 15 U.S.C. § 7704No exemption, no safe harbour
The ADA reaches every public-facing site
The Justice Department's position is that the ADA reaches everything a business open to the public offers, including on the web, and it names no size threshold. Businesses are given flexibility in HOW they comply rather than a single mandated technical standard — WCAG is cited as helpful guidance, and it is the benchmark settlements and courts have converged on in practice.
Fuente: US Department of Justice — ADA guidance on web accessibilityA second law, with its own duties
New York's own laws stack on the federal one
New York's Human Rights Law separately bars disability discrimination by places of public accommodation, and requires reasonable modifications, removal of communication barriers where readily achievable, and auxiliary aids short of undue burden. It applies alongside the federal rule rather than instead of it.
Fuente: NY Executive Law § 296(2)30 days from discovery
New York breach notice
Affected New Yorkers must be notified within thirty days after a breach is discovered. The Attorney General, the Department of State and the State Police must be told as well; the Department of Financial Services only when the business is a DFS-covered entity, which a restaurant is not.
Fuente: NY General Business Law § 899-aaAny site with California visitors
California's posting rule reaches your site
Any commercial site collecting personal information from a California resident must post a privacy policy — which in practice means every US-facing site. It must name the categories collected and who they are shared with, describe how changes are announced, carry an effective date, and state how the site responds to browser Do-Not-Track signals. A missing policy becomes a violation only if it is still missing 30 days after notice.
Fuente: Cal. Business & Professions Code § 22575Parental consent before you collect
The federal rule reaches any surface built for under-13s
Where a site is directed at children under 13 — a kids' menu, a game, a birthday-party signup can be enough — verifiable parental consent must come before any collection, use or disclosure of a child's personal information, not after.
Fuente: 16 CFR § 312.5 (COPPA Rule)// Máximos legales y montos por infracción, no predicciones sobre ningún negocio. Lo que decida un tribunal o un regulador en un caso concreto depende de los hechos. Es un punto de partida para la revisión, no asesoría legal.
Analizar, reconstruir, aprobar, mantenerse al día.
El cumplimiento no es un arreglo único: la ley sigue cada cambio de contenido que usted hace. Nestor se ocupa de la primera pasada y luego evita la deriva.
// 01 · Análisis
Leemos su sitio público
Cada página, formulario, rastreador y módulo incrustado. Recibe un informe en lenguaje claro de lo que está en su lugar, lo que falta y lo que un análisis no puede confirmar desde fuera.
// 02 · Reconstrucción
Las correcciones van al código real
Texto alternativo, contraste, formularios etiquetados, consentimiento antes de las etiquetas, una política de privacidad que coincide con lo que el sitio recopila: integrados en el propio sitio, nunca un módulo superpuesto.
// 03 · Aprobación
Nada se publica sin usted
Cada cambio se prepara en el entorno de prueba y se previsualiza. Usted aprueba por SMS o en el panel — un toque para publicar, un toque para devolverlo.
// 04 · Mantenimiento
El registro se mantiene solo
Un registro de correcciones con fecha, registros de consentimiento con el texto mostrado y un registro de envíos que demuestra que una baja se atendió. Las comprobaciones continuas detectan la deriva antes que una carta de reclamación.
Los datos de sus clientes, guardados donde corresponde.
// Nos encargamos
Solicitudes, resueltas
Cuando un cliente pregunta qué datos tiene usted de él — o quiere que se eliminen — se hace, y los datos antiguos se borran según el calendario. No tiene que acordarse de nada.
// Se queda en su lugar
Alojamiento en la región
La información de sus clientes vive en servidores de la región que usted elija, con registros de auditoría inmutables que muestran dónde ha estado todo el tiempo.
// Un solo fragmento
Una línea de código
Nada que reconstruir, nada que migrar. Un fragmento en su sitio y la capa de cumplimiento ya está funcionando.