Servicios, categorías de consentimiento y bases legales

Un servicio es cualquier tercero que carga tu sitio — Google Analytics, Meta Pixel, Intercom, YouTube. La pestaña Services del Builder decide qué bloquea el banner, qué declara y bajo qué base legal. Cada servicio proviene de un catálogo mantenido: sus cookies, sus patrones de detección y sus señales de Google Consent Mode le siguen automáticamente.

Las categorías de consentimiento

Cada servicio pertenece a una de cuatro categorías, que son lo que el visitante acepta o rechaza de forma granular:

Esencial — necesario para que el sitio funcione; sin consentimiento requerido.
Analytics — la medición de audiencia.
Marketing — la publicidad y el retargeting.
Preferencias — recordar las elecciones del visitante.

Añadir servicios

Tres caminos, que terminan todos en la misma configuración:

El catálogo — la ventana Añadir servicios lista todos los servicios disponibles con búsqueda y filtros por categoría; los servicios populares están señalados. Haz clic en una tarjeta para activarla.
La detección automática — escanea una URL, o pega el HTML de tu página, y FlowConsent hace corresponder lo que encuentra con los servicios del catálogo.
El escaneo inicial — cuando un banner se crea desde la URL de tu sitio, los servicios detectados vienen prerrellenados.

Una vez activo, un servicio expone su configuración: pega el script completo para los servicios que inyectas tú, o — para los iframes como YouTube — añade el atributo data-service="…" al embed para que el banner pueda controlarlo. Los servicios que llegan por un canal externo (como un tag manager) tienen un interruptor de detección automática con los patrones de URL que el banner vigila.

IDs canónicos: los alias se fusionan

El catálogo había acumulado históricamente duplicados — google-analytics-4 junto a google-analytics, linkedin-insight-tag junto a linkedin-insight. Esos duplicados eran peligrosos porque eran silenciosos: la entrada alias no llevaba ninguna cookie, así que un banner que la usara mostraba una lista de cookies vacía para GA, cuando listarlas es obligatorio.

Los alias llevan ahora un ID canónico y todos los caminos de escritura los resuelven: activar google-analytics-4 registra google-analytics, con sus cookies reales y sus señales de Consent Mode. Los banners existentes que usaban un alias siguen funcionando — la resolución los redirige.

Las bases legales

El consentimiento es el valor por defecto, pero no todo descansa en el consentimiento. Cada servicio del catálogo lleva una base legal, y el Builder solo muestra una insignia cuando difiere del consentimiento — la excepción es la que merece atención, no la regla:

Consentimiento — el caso general; sin insignia.
Interés legítimo — p. ej. Sentry: el seguimiento de errores sirve a la seguridad y la estabilidad del servicio. No requiere consentimiento, pero el servicio debe figurar en tu política de privacidad con derecho de oposición, y el interés se documenta en tu registro de actividades de tratamiento.
Contrato — los servicios necesarios para entregar lo que el visitante pidió; típicamente la categoría esencial.
Exención CNIL posible — la medición de audiencia que puede funcionar sin consentimiento bajo condiciones estrictas, más abajo.

La checklist de exención CNIL

La autoridad francesa CNIL exime de consentimiento la medición de audiencia (deliberación 2020-091) solo si se cumplen todas las condiciones. Para los servicios marcados como Exención CNIL posible, el Builder muestra la checklist:

Finalidad estrictamente limitada a la medición de audiencia, por cuenta exclusiva del editor.
Sin cruce de los datos con otros tratamientos ni seguimiento cross-site.
Ninguna transmisión de los datos a terceros.
Dirección IP anonimizada antes de cualquier tratamiento.
Vida útil del rastreador ≤ 13 meses, datos conservados ≤ 25 meses.

Algunos tratamientos se lanzan desde tu servidor — GA4 Measurement Protocol, sincronización con el CRM, cookies de atribución colocadas por tu backend. Un banner que corre en el navegador no puede bloquear nada de eso; solo puede proporcionar la decisión. Cubre ese camino con el SDK de servidor.