Política de privacidad para el chatbot de tu web: modelo con módulos para copiar

Esta página es una caja de herramientas. Los módulos de texto son ejemplos: adáptalos a tu chat y, si toca temas delicados, pide a tu asesor que los revise. Leímos todas las fuentes el 25 de octubre de 2026.

Qué debe contar la política de privacidad cuando responde un chatbot#

Un chat recoge datos directamente de tus visitantes, así que se aplica el artículo 13 del RGPD: hay que informar «en el momento en que estos se obtengan» y hacerlo «en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo» (artículo 12.1). Aplicado a un chat:

Sobre los destinatarios, la letra de la ley admite categorías. Las directrices de transparencia del Grupo de Trabajo del Artículo 29 (WP260 rev.01) van más allá: los encargados también son destinatarios y, «en la práctica», lo habitual serán «los destinatarios nombrados». Si das categorías, tienen que ser lo más específicas posible, con actividad, sector y ubicación. En las transferencias internacionales piden indicar el artículo del RGPD que las ampara y, por lo general, el nombre del país.

La AEPD tiene su propia lista, pensada para el usuario. En sus recomendaciones para usar chatbots con inteligencia artificial aconseja comprobar que haya una política de privacidad que identifique al responsable con sus datos de localización, fiscales y de contacto, que haga referencia al RGPD, que explique cómo ejercer los derechos y que diga si el chatbot sigue aprendiendo de las conversaciones y qué hace con esos datos. Es lo que buscará un visitante atento, así que tu texto debería responderlo.

El artículo 22 del RGPD se refiere a decisiones basadas únicamente en un tratamiento automatizado que produzcan «efectos jurídicos» en el interesado o le afecten «significativamente de modo similar». Responder a qué hora abres no es una decisión de ese tipo. Sí puede serlo un chat que, por sí solo, descarta candidatos a un empleo o decide si se concede un crédito.

Si un visitante escribe sobre otra persona, obtienes datos que no proceden del interesado, y para eso rige el artículo 14 del RGPD. En un chat informativo es un caso marginal, que reduces pidiendo en el propio chat que no se den datos de terceros (módulo E). La AEPD recomienda a los usuarios algo parecido: no dar datos personales de terceros si hay dudas de que el tratamiento vaya más allá del ámbito doméstico.

Qué base jurídica encaja con cada finalidad del chat#

El artículo 6.1 del RGPD exige que se cumpla «al menos una» de las condiciones que enumera. No hay una base reservada a los chatbots: depende de para qué uses cada dato. La tabla recoge una correspondencia razonable, no un criterio de la AEPD. A las autoridades públicas no les sirve el interés legítimo para los tratamientos que realizan en el ejercicio de sus funciones (artículo 6.1, párrafo segundo): el chat de un ayuntamiento necesita otra base, como el cumplimiento de una misión realizada en interés público (letra e).

Algunas guías sostienen que, en cuanto el chatbot pide nombre, correo o teléfono, hace falta el consentimiento. El RGPD no lo exige así: el consentimiento es una de las condiciones del artículo 6.1, no la única, y quien pide que le llamen para darle un presupuesto está solicitando una medida precontractual (artículo 6.1.b). Si eliges el consentimiento, debes poder demostrarlo (artículo 7.1), permitir retirarlo con la misma facilidad (artículo 7.3) y suprimir los datos si se retira y no hay otra base (artículo 17.1.b).

Con el interés legítimo, en cambio, pones en la balanza los intereses del visitante. El considerando 47 habla de las «expectativas razonables de los interesados basadas en su relación con el responsable». Quien abre un chat y escribe una pregunta espera que se trate para recibir una respuesta. Si espera también que se guarde un año es otra cuestión, y la responde tu plazo de conservación.

Qué datos trata un chat: el ejemplo de ChatterLab#

Para informar tienes que saber qué guarda tu chat y adónde envía los datos. Como ejemplo, un chat que funciona con ChatterLab, según nuestra documentación Datos y privacidad (en inglés). Si usas otro proveedor, sustituye cada fila por sus datos.

A eso se suma tu equipo: los compañeros que invites a tu espacio de trabajo leen las conversaciones, los contactos y los tickets igual que tú.

Lo que ChatterLab ya resuelve:

• El widget no instala cookies ni guarda nada en el navegador antes de que el visitante use el chat, salvo que tu web le pase su consentimiento para el segundo mensaje, una invitación posterior a chatear.
• ChatterLab no entrena modelos de IA con tu contenido ni con tus conversaciones. OpenAI no usa los datos de los vectores de búsqueda para entrenar sus modelos.
• El formulario de contacto y los tickets solo se pueden activar con un enlace a tu política de privacidad.
• El aviso de IA aparece en cada conversación y no se puede quitar.
• El contrato de encargo del tratamiento se pide por correo a management@sri-group.eu.

Lo que queda en tus manos:

• el texto de tu política de privacidad y la elección de la base jurídica
• un plazo para las conversaciones, porque ChatterLab no las borra por sí solo
• responder a las solicitudes de los visitantes
• lo que pones en tus fuentes: cualquier visitante puede preguntar por ello, así que ahí no van datos personales
• la valoración previa de si necesitas una evaluación de impacto

Encontrarás más sobre ChatterLab y el RGPD en Chatbot RGPD con IA. Si estás pensando en conectar ChatGPT directamente a tu web, lee antes cómo integrar ChatGPT en tu web.

Modelo de texto: los módulos para tu política de privacidad#

Los módulos siguen el orden del artículo 13 del RGPD. El módulo base va siempre; los demás, solo si tu chat tiene esa función. Rellena lo que va entre corchetes. Los plazos son los de ChatterLab: con otro proveedor, pon los suyos. El responsable y el delegado de protección de datos suelen figurar al principio de la política; en ese caso basta con remitir a ese apartado.

Módulo base: el asistente de chat con IA (siempre)

Chat con un asistente de inteligencia artificial

En nuestra web puedes hacer preguntas a un asistente de chat basado en inteligencia artificial. Responde a partir de contenidos que le proporcionamos nosotros, como nuestra web, documentos y respuestas a preguntas frecuentes. Las respuestas las genera un sistema de IA, no una persona, y pueden ser incompletas o contener errores. Para una información vinculante, escríbenos a [Correo o teléfono].

Qué datos tratamos. Tus mensajes y las respuestas del asistente, con fecha y hora, la dirección de la página desde la que preguntas, un número de visitante aleatorio y, si la das, tu valoración de una respuesta. Para mantener juntos los mensajes de una visita, tu navegador guarda hasta que cierras la pestaña el número de visitante, el de la conversación y otros valores técnicos similares. No guardamos tu dirección IP. Para evitar abusos se calcula una huella de la IP que, sin una clave que cambia cada día, no permite volver a la dirección, y que se borra pasadas 24 horas.

Finalidad. Responder a tus preguntas, revisar y mejorar la calidad de las respuestas y proteger el chat frente a abusos.

Legitimación. Nuestro interés legítimo (artículo 6.1.f del RGPD) en atender con rapidez, también fuera de nuestro horario, las preguntas sobre nuestros productos y servicios. Si tu pregunta se refiere a un presupuesto, una reserva o un contrato con nosotros, la base es la aplicación de medidas precontractuales o la ejecución del contrato (artículo 6.1.b), en la medida en que el tratamiento sea necesario para ello.

¿Aprende el asistente de las conversaciones? No por sí solo, y [ChatterLab] no usa las conversaciones para entrenar modelos de IA. Leemos las conversaciones para mejorar las respuestas y podemos añadir a sus fuentes una pregunta frecuente con su respuesta, sin datos personales. Usar el chat es voluntario. No se toman decisiones automatizadas en el sentido del artículo 22 del RGPD.

Escribe la frase sobre el entrenamiento solo si tu proveedor lo garantiza: es justo lo que la AEPD aconseja comprobar a los usuarios. Lo que garantizan ChatterLab y OpenAI está más arriba. Cortecs indica en su propia documentación que, por defecto, los datos no se usan para entrenar IA (leído el 25 de octubre de 2026); pide que te confirmen qué ajustes se aplican a tu chat. Si tu web le dice al chat quién es un visitante que ha iniciado sesión, añade que la conversación se guarda con el número de cliente que tu web le pasa.

Módulo A: datos de contacto en el chat (opcional)

Datos de contacto en el chat

Si quieres que te contactemos, puedes dejarnos en el chat [Tu correo electrónico, nombre, teléfono o empresa, según el formulario]. Los usamos para responder a tu solicitud. La base jurídica es la aplicación de medidas precontractuales o la ejecución de un contrato (artículo 6.1.b del RGPD) cuando tu solicitud se refiere a un presupuesto o a un contrato y, en otro caso, nuestro interés legítimo (artículo 6.1.f). También guardamos el texto que viste en el formulario y la página desde la que lo enviaste. Tus datos nos llegan por correo electrónico (ver «Proveedores y transferencias internacionales»). Los borramos a los 3 años, o antes si dejamos de necesitarlos.

Solo te enviaremos comunicaciones comerciales por correo electrónico si marcas la casilla específica para ello (artículo 6.1.a del RGPD y artículo 21 de la LSSI). Puedes retirar ese consentimiento en cualquier momento, por ejemplo escribiendo a [Dirección de correo].

Módulo B: consultas a nuestro equipo y respuestas por correo (opcional)

Consultas a nuestro equipo desde el chat

Puedes pasar tu pregunta del chat a nuestro equipo. Para ello tratamos tu correo electrónico, tu nombre si nos lo das, tu pregunta, la página y el idioma del chat. Te respondemos por correo y añadimos a la consulta las respuestas que nos envíes. La base jurídica es el artículo 6.1.b del RGPD cuando tu pregunta se refiere a un presupuesto o a un contrato y, en otro caso, nuestro interés legítimo (artículo 6.1.f). Borramos cada consulta 2 años después de resolverla.

Módulo C: archivos en el chat (opcional)

Archivos e imágenes en el chat

Puedes enviar documentos o imágenes en el chat. Tratamos el archivo y el texto que se extrae de él para responder a tu pregunta. De las imágenes se eliminan antes los datos que guarda la cámara, como el lugar donde se hizo la foto. Borramos el archivo y su texto a los 30 días; después solo queda su nombre en la conversación. La base jurídica es la misma que la de tu pregunta. Envía solo lo que necesites para tu consulta.

Módulo D: proveedores y transferencias internacionales (casi siempre necesario)

Proveedores y transferencias internacionales

El servicio de chat nos lo presta [ChatterLab, de SRI Group BV, Bélgica] como encargado del tratamiento (artículo 28 del RGPD). Las conversaciones, las fuentes de conocimiento y los archivos se guardan en la UE. Las respuestas las redacta un modelo de lenguaje al que se accede a través de [Cortecs, una pasarela europea de modelos]. Para buscar tu pregunta en nuestros contenidos, su texto se convierte en filas de números en [OpenAI], en Estados Unidos. Los correos de las solicitudes de contacto y de las consultas a nuestro equipo los envía y recibe [Resend], que trata el correo en Estados Unidos. Estas transferencias se basan en [Para cada destinatario: la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU., artículo 45 del RGPD, si el destinatario está adherido, o las cláusulas contractuales tipo, artículo 46.2.c]. Puedes pedir una copia de las garantías en [Dirección de correo].

La base de cada transferencia la sacas de tu contrato de encargo. Nuestra documentación indica para Resend el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo; para OpenAI, pídenos la base antes de publicar. EUR-Lex da la Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023, como en vigor, y la Comisión solo incluye a Estados Unidos en su lista de adecuación para las organizaciones comerciales adheridas al Marco (consultado el 25 de octubre de 2026).

Módulo E: lo que no conviene escribir (recomendado)

Qué no debes escribir en el chat

Por favor, no escribas en el chat datos de salud ni otros datos de categorías especiales (artículo 9 del RGPD), contraseñas, números de documento de identidad o de cuenta, ni datos de otras personas. El asistente no los necesita para responderte. Si ya lo has hecho, borraremos la conversación cuando nos lo pidas.

Módulo F: conservación de las conversaciones (siempre, con tu plazo)

Cuánto tiempo conservamos las conversaciones

Borramos las conversaciones [Plazo, por ejemplo 90 días] después del último mensaje, salvo que necesitemos conservar alguna más tiempo para terminar de atender tu solicitud o para formular, ejercer o defender reclamaciones. Para los datos de contacto, las consultas a nuestro equipo y los archivos rigen los plazos de sus apartados.

Módulo G: tus derechos (siempre)

Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, limitación del tratamiento y portabilidad (artículos 15 a 20 del RGPD) escribiendo a [Dirección de correo]. Si no nos dejaste tus datos de contacto en el chat, tu conversación no está asociada a un nombre: para encontrarla, indícanos aproximadamente la fecha y la hora, la página desde la que preguntaste y tu primera pregunta. Si consideras que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).

Módulo H: derecho de oposición (siempre, separado del resto)

Tu derecho de oposición

Cuando tratamos tus datos por interés legítimo (artículo 6.1.f del RGPD), puedes oponerte en cualquier momento por motivos relacionados con tu situación particular (artículo 21.1). Al tratamiento con fines de mercadotecnia directa puedes oponerte en todo momento (artículo 21.2). Basta con un mensaje a [Dirección de correo].

La oposición va en un bloque propio porque el artículo 21.4 exige que se presente «claramente y al margen de cualquier otra información». En la reclamación, la autoridad para una empresa privada suele ser la AEPD: las autoridades autonómicas de protección de datos se ocupan sobre todo de los tratamientos del sector público de su comunidad (artículo 57 de la LOPDGDD).

Frases que conviene evitar#

• «No guardamos datos personales.» Las conversaciones se guardan, y la gente escribe nombres, números de pedido y direcciones en los chats.
• «Todos los datos se quedan en la UE.» Solo es cierto si de verdad ningún paso se hace fuera. Con ChatterLab, dos pasos se hacen en Estados Unidos.
• «Conservamos tus datos el tiempo necesario.» Según el WP260, esa fórmula genérica no basta.
• «El chat es anónimo.» El número de visitante no lleva ningún nombre, pero reúne todos los mensajes de una visita, y lo que alguien escribe puede identificarlo.
• «Nuestro equipo responde a tus preguntas en el chat.» Si responde un sistema de IA, no es verdad.

Cuánto tiempo puedes guardar las conversaciones#

El RGPD no fija un plazo para los registros de chat. Los datos solo pueden mantenerse de forma que permitan identificar a los interesados «durante no más tiempo del necesario para los fines del tratamiento» (artículo 5.1.e), y el considerando 39 pide al responsable «establecer plazos para su supresión o revisión periódica». En la política va el plazo o el criterio para fijarlo (artículo 13.2.a), y en concreto: según el WP260, no basta con decir que los datos se conservarán «tanto tiempo como sea necesario», y conviene fijar plazos distintos para datos o fines distintos.

Dos cosas que conviene saber en ChatterLab antes de escribir un plazo:

1. ChatterLab no borra las conversaciones por sí solo. Tu plazo lo cumples borrando en Actividad las conversaciones antiguas con Eliminar, una a una, o desde el plan Studio a través de la API. Fija una fecha, por ejemplo el primer día laborable de cada mes.
2. Con una conversación se van su contacto, su ticket y sus archivos. Si guardas los datos de contacto más tiempo que las conversaciones, no borres antes las conversaciones que tengan contacto o ticket.

En España, además, el bloqueo. El artículo 32 de la LOPDGDD obliga al responsable a bloquear los datos cuando los rectifica o suprime: se identifican y reservan para impedir su tratamiento, salvo para ponerlos a disposición de jueces y tribunales, el Ministerio Fiscal o las administraciones competentes, en particular las autoridades de protección de datos, y solo durante el plazo de prescripción de las posibles responsabilidades; después se destruyen. Si el sistema no permite bloquear, la ley prevé una copia segura que acredite la autenticidad, la fecha del bloqueo y la no manipulación (artículo 32.4). ChatterLab no tiene función de bloqueo: Eliminar borra de forma definitiva. Decide con tu asesor cómo aplicas el bloqueo antes de borrar.

El aviso de IA y la primera capa van en el propio chat#

Casi nadie lee la política de privacidad antes de escribir. Por eso hay dos avisos que van dentro de la ventana del chat.

El aviso de IA. El artículo 50 del Reglamento de IA exige que las personas estén informadas «de que están interactuando con un sistema de IA», y «a más tardar con ocasión de la primera interacción» (apartados 1 y 5). El artículo 50 se aplica desde el 2 de agosto de 2026 (artículo 113), y la modificación del Reglamento por el Reglamento (UE) 2026/1744, de 8 de julio de 2026, no cambió esos dos apartados. En ChatterLab, cada conversación empieza con «Estás chateando con un asistente de IA», en el idioma del widget, y no se puede quitar. Más en la Ley de IA y tu chatbot.

La primera capa de información. El artículo 11 de la LOPDGDD permite cumplir el deber de informar del artículo 13 del RGPD con una información básica y una dirección electrónica u otro medio que permita acceder «de forma sencilla e inmediata a la restante información». Esa información básica incluye, como mínimo, la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. El WP260 recomienda lo mismo para la primera capa (apartados 35 y 36) y añade el tratamiento que podría sorprender al interesado. En ChatterLab, el sitio para esa primera capa es el campo Aviso de Ajustes, en la tarjeta Contenido: admite Markdown sencillo, como un enlace, y el visitante puede cerrarlo. Un ejemplo:

Protección de datos. Responsable: [Nombre de tu empresa]. Finalidad: responder a tus preguntas y mejorar las respuestas. Legitimación: interés legítimo. Derechos: acceso, supresión y los demás que te reconoce el RGPD, en [Dirección de correo]. No escribas datos de salud ni contraseñas. Más información: [Enlace a la política de privacidad]

El texto tiene una sola versión. Si tu web está en varios idiomas y el aviso tiene que cambiar, necesitas un agente por idioma. El formulario de contacto y la tarjeta de tickets enlazan por sí solos a tu política de privacidad.

Cuando un visitante pregunta qué datos tienes de él#

Un visitante tiene derecho de acceso, con copia de sus datos (artículo 15 del RGPD), y de supresión (artículo 17). Tienes que responder «en el plazo de un mes», prorrogable otros dos meses si hace falta por la complejidad o el número de solicitudes (artículo 12.3).

Las solicitudes que llegan por el propio chat. El artículo 12.2 de la LOPDGDD obliga a informar de los medios para ejercer los derechos y añade que su ejercicio «no podrá ser denegado por el solo motivo de optar el afectado por otro medio». Si alguien escribe en el chat «borrad mis datos», no conviene que se pierda. Indica en las Instrucciones del agente a qué dirección deben dirigirse las solicitudes de protección de datos, y revisa Actividad con regularidad.

Qué puedes identificar. El número de visitante solo vale para una pestaña y no está vinculado a ninguna cuenta ni a ninguna dirección IP; quien vuelve al día siguiente empieza una conversación nueva. Encontrarás la conversación por lo que te diga el visitante: hora aproximada, página y primera pregunta. Si dejó sus datos de contacto o abrió un ticket, lo encuentras por su correo en las páginas Contactos y Tickets. Con visitantes que han iniciado sesión en tu web, ChatterLab guarda con la conversación tu propio identificador del visitante. Si el responsable puede demostrar que no está en condiciones de identificar al interesado, no se aplican los artículos 15 a 20, salvo que el interesado facilite información adicional que permita identificarlo, y debe informarle de ello si es posible (artículo 11.2 del RGPD). En la práctica: pregunta antes de rechazar.

Cómo hacerlo en ChatterLab:

1. En Actividad, acota el periodo. Los filtros de fecha se basan en el último mensaje de cada conversación. Abre la conversación.
2. Para el acceso, entrega al visitante solo su conversación. Exportar PDF incluye todas las conversaciones del periodo elegido, y las de otras personas no deben ir en la copia (artículo 15.4 del RGPD). Desde el plan Studio, la API devuelve una sola conversación con sus mensajes.
3. Para la supresión, usa Eliminar en la parte superior de la conversación. Borra todos los mensajes, y también el contacto, el ticket y los archivos de esa conversación, y no se puede deshacer. Antes, ten en cuenta el bloqueo del artículo 32 de la LOPDGDD.
4. Si el visitante solo quiere quitar un archivo enviado por error, usa Eliminar archivo bajo su mensaje.
5. Un contacto o un ticket por separado se borran en las páginas Contactos, con Borrar, y Tickets, con Eliminar; la conversación se mantiene.

En el registro de auditoría queda lo que hizo el sistema, no lo que escribió nadie. ChatterLab no responde a estas solicitudes en tu lugar, porque los datos son tuyos. Más detalles en Actividad.

¿Necesitas una evaluación de impacto?#

La evaluación de impacto relativa a la protección de datos (EIPD) es obligatoria cuando un tipo de tratamiento, «en particular si utiliza nuevas tecnologías», entrañe probablemente un alto riesgo para los derechos y libertades de las personas (artículo 35.1 del RGPD). Cada autoridad de control publica una lista de los tratamientos que la requieren (artículo 35.4).

La lista de la AEPD, que se presenta como no exhaustiva, dice que será necesaria una EIPD «en la mayoría de los casos» cuando el tratamiento cumpla dos o más de sus criterios. Para un chatbot, los que más se acercan son el 10 (utilización de nuevas tecnologías o uso innovador de tecnologías consolidadas), el 4 (categorías especiales de datos, o datos que permitan conocer la situación financiera), el 7 (datos a gran escala) y el 9 (personas vulnerables, incluidos los menores de 14 años). Si tu web pasa al chat el identificador de los visitantes que han iniciado sesión, mira también el 3, que incluye el tratamiento de identificadores únicos que permitan identificar a usuarios de servicios de la sociedad de la información. Si consideras, como parece razonable, que un chatbot basado en un modelo de lenguaje encaja en el criterio 10, la pregunta es si se da un segundo.

Una EIPD incluye como mínimo una descripción sistemática de las operaciones y sus fines, una evaluación de su necesidad y proporcionalidad, una evaluación de los riesgos y las medidas previstas para afrontarlos (artículo 35.7). Para la parte técnica necesitas información del proveedor; la de ChatterLab está en Datos y privacidad y Seguridad.

Lista de comprobación antes de publicar#

• El chat tiene su propio apartado en la política de privacidad, accesible desde todas las páginas. Por qué: el artículo 13 del RGPD exige informar en el momento de la recogida.
• Cada finalidad tiene su base jurídica y, si es el interés legítimo, el interés está nombrado y la ponderación documentada. Por qué: artículos 6 y 13.1.d y responsabilidad proactiva (artículo 5.2).
• Los destinatarios tienen nombre, también el proveedor del modelo de lenguaje y el servicio de correo, con el país y la garantía de cada transferencia. Por qué: artículo 13.1.e y f y WP260.
• Cada tipo de dato tiene un plazo, tienes una fecha para borrar conversaciones y has decidido cómo aplicas el bloqueo. Por qué: artículo 5.1.e del RGPD y artículo 32 de la LOPDGDD; ChatterLab no borra las conversaciones por sí solo.
• Los derechos, la oposición por separado y la reclamación ante la AEPD están en el texto. Por qué: artículos 13.2, 21.4 y 77 del RGPD.
• En la ventana del chat están el aviso de IA y una primera capa con enlace y la petición de no escribir datos sensibles. Por qué: artículo 50 del Reglamento de IA, artículo 11 de la LOPDGDD y artículo 9 del RGPD.
• Tienes firmado el contrato de encargo con el proveedor y conoces sus subencargados. Por qué: artículo 28, apartados 2 a 4, del RGPD.
• Has documentado si necesitas una EIPD. Por qué: artículo 35 del RGPD y lista de la AEPD.

Preguntas frecuentes sobre la política de privacidad del chatbot#

¿Tengo que cambiar mi política de privacidad si pongo un chatbot en la web?#

Sí. Un chat trata datos personales: lo que escriben los visitantes, la página desde la que preguntan y, a menudo, datos de contacto. El artículo 13 del RGPD obliga a informar, en el momento de recogerlos, de quién es el responsable, para qué y con qué base se tratan, quién los recibe, si salen de la UE, cuánto tiempo se guardan y qué derechos hay. Basta con un apartado en tu política actual si responde a todo eso para el chat.

¿Qué base jurídica se aplica a un chatbot en una web?#

Depende de la finalidad. Para preguntas generales, el interés legítimo del artículo 6.1.f del RGPD es una base razonable, con la ponderación documentada y el derecho de oposición bien visible; las autoridades públicas no pueden invocarlo para sus funciones. Si la consulta trata de un presupuesto, una reserva o un contrato, cabe el artículo 6.1.b en la medida en que el tratamiento sea necesario. Para enviar comunicaciones comerciales por correo necesitas el consentimiento. No hay una base única reservada a los chatbots.

¿Necesito el consentimiento de los visitantes para usar un chatbot?#

No en todos los casos. El consentimiento es una de las bases del RGPD, y para un chat informativo suele encajar otra. Sí lo necesitas para enviar comunicaciones comerciales por correo (artículo 6.1.a del RGPD y artículo 21 de la LSSI), en muchos casos para datos de salud y otras categorías especiales (artículo 9.2.a) y, según el artículo 22.2 de la LSSI, si el widget guarda algo en el navegador que no sea estrictamente necesario.

¿Cuánto tiempo puedo guardar los registros del chat?#

No hay un plazo fijo. El RGPD solo permite conservar los datos el tiempo necesario para su finalidad (artículo 5.1.e), y tu política tiene que indicar el plazo o los criterios. Decir «el tiempo necesario» no basta, según las directrices de transparencia. Fija un plazo justificado por tipo de dato, por ejemplo unas semanas para las conversaciones solo informativas, bórralas de verdad al vencer y, en España, ten en cuenta el bloqueo del artículo 32 de la LOPDGDD.

¿Tengo que nombrar al proveedor de IA en la política de privacidad?#

El RGPD pide los destinatarios «o las categorías de destinatarios» (artículo 13.1.e), así que no exige el nombre de forma expresa. Pero las directrices de transparencia del Grupo de Trabajo del Artículo 29 indican que, en la práctica, lo habitual serán los destinatarios nombrados, encargados incluidos, y que las categorías deben ser muy precisas. Si hay una transferencia fuera de la UE, además debes indicar el país y la garantía. Nombrarlo es lo más seguro.

¿El chatbot necesita una política de privacidad propia?#

No. Basta con un apartado en tu política de privacidad actual que contenga para el chat toda la información del artículo 13 del RGPD. Lo importante es que el visitante lo encuentre antes de escribir: enlázalo desde la ventana del chat, por ejemplo en una primera capa sobre la conversación, como permite el artículo 11 de la LOPDGDD. En ChatterLab, el formulario de contacto y los tickets ya enlazan a tu política, porque sin ese enlace no se pueden activar.

Fuentes#

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento general de protección de datos), Boletín Oficial del Estado, leído el 25 de octubre de 2026.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, Boletín Oficial del Estado, leído el 25 de octubre de 2026.
• Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, Boletín Oficial del Estado, leído el 25 de octubre de 2026.
• Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), con la versión consolidada de 27 de julio de 2026, EUR-Lex, leído el 25 de octubre de 2026.
• Decisión de Ejecución (UE) 2023/1795 de la Comisión, relativa a la adecuación del nivel de protección de los datos personales en el Marco de Privacidad de Datos UE-EE. UU., EUR-Lex, leído el 25 de octubre de 2026.
• Adequacy decisions, Comisión Europea, leído el 25 de octubre de 2026.
• Recomendaciones para usuarios en la utilización de chatbots con inteligencia artificial, Agencia Española de Protección de Datos, leído el 25 de octubre de 2026.
• Listas de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos (art 35.4), Agencia Española de Protección de Datos, leído el 25 de octubre de 2026.
• Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679 (WP260 rev.01), Grupo de Trabajo del Artículo 29, versión en español en el archivo de la Comisión Europea, leído el 25 de octubre de 2026.
• Data Governance & Controls, Cortecs, leído el 25 de octubre de 2026.

Cómo se ha hecho esto: redactado con ayuda de IA y revisado después con el funcionamiento real de ChatterLab y con las fuentes que figuran en el artículo. ¿Ves un error? Escribe a management@sri-group.eu.