# Servicios, categorías de consentimiento y bases legales

Cómo funciona el catálogo de servicios de FlowConsent: categorías, detección, IDs canónicos, bases legales y lista de comprobación de la exención CNIL.

> Canonical: https://www.flowconsent.com/es/doc/services-and-legal-basis
> Last updated: 2026-07-30
Un servicio es cualquier tercero que carga su sitio, Google Analytics, Meta Pixel, Intercom, YouTube. La pestaña **Services** del Builder decide qué bloquea el banner, qué declara y bajo qué base legal. Cada servicio proviene de un catálogo mantenido: sus cookies, sus patrones de detección y sus señales de Google Consent Mode le siguen automáticamente.

## Las categorías de consentimiento

Cada servicio pertenece a una de cuatro categorías, que son lo que el visitante acepta o rechaza de forma granular:

- **Esencial**: necesario para que el sitio funcione; sin consentimiento requerido.
- **Analytics**: la medición de audiencia.
- **Marketing**: la publicidad y el retargeting.
- **Preferencias**: recordar las elecciones del visitante.

## Añadir servicios

Tres caminos, que terminan todos en la misma configuración:

- **El catálogo**: la ventana *Añadir servicios* lista todos los servicios disponibles con búsqueda y filtros por categoría; los servicios populares están señalados. Haga clic en una tarjeta para activarla.
- **La detección automática**: escanee una URL, o pegue el HTML de su página, y FlowConsent hace corresponder lo que encuentra con los servicios del catálogo.
- **El escaneo inicial**: cuando un banner se crea desde la URL de su sitio, los servicios detectados vienen prerrellenados.

Una vez activo, un servicio expone su configuración: pegue el script completo para los servicios que usted inyecta, o (para los iframes como YouTube) añada el atributo `data-service="…"` al embed para que el banner pueda controlarlo. Los servicios que llegan por un canal externo (como un tag manager) tienen un interruptor de **detección automática** con los patrones de URL que el banner vigila.

## IDs canónicos: los alias se fusionan

El catálogo había acumulado históricamente duplicados, `google-analytics-4` junto a `google-analytics`, `linkedin-insight-tag` junto a `linkedin-insight`. Esos duplicados eran peligrosos porque eran **silenciosos**: la entrada alias no llevaba ninguna cookie, así que un banner que la usara mostraba una lista de cookies vacía para GA, cuando listarlas es obligatorio.

Los alias llevan ahora un **ID canónico** y todos los caminos de escritura los resuelven: activar `google-analytics-4` registra `google-analytics`, con sus cookies reales y sus señales de Consent Mode. Los banners existentes que usaban un alias siguen funcionando: la resolución los redirige.

## Las bases legales

El consentimiento es el valor por defecto, pero no todo descansa en el consentimiento. Cada servicio del catálogo lleva una **base legal**, y el Builder solo muestra una insignia cuando difiere del consentimiento: la excepción es la que merece atención, no la regla:

- **Consentimiento**: el caso general; sin insignia.
- **Interés legítimo**: p. ej. Sentry: el seguimiento de errores sirve a la seguridad y la estabilidad del servicio. No requiere consentimiento, pero el servicio debe figurar en su política de privacidad **con derecho de oposición**, y el interés se documenta en su registro de actividades de tratamiento.
- **Contrato**: los servicios necesarios para entregar lo que el visitante pidió; típicamente la categoría esencial.
- **Exención CNIL posible**: la medición de audiencia que puede funcionar sin consentimiento bajo condiciones estrictas, más abajo.

> [!NOTE]
> La base legal proviene del catálogo y describe la base *plausible* para el uso estándar del servicio. Evaluar si se sostiene para **su** uso sigue siendo responsabilidad suya como editor del sitio.

## La lista de comprobación de la exención CNIL

La autoridad francesa CNIL exime de consentimiento la medición de audiencia (deliberación 2020-091) **solo si se cumplen todas las condiciones**. Para los servicios marcados como *Exención CNIL posible*, el Builder muestra la lista de comprobación:

1. Finalidad estrictamente limitada a la medición de audiencia, por cuenta exclusiva del editor.
2. Sin cruce de los datos con otros tratamientos ni seguimiento entre sitios.
3. Ninguna transmisión de los datos a terceros.
4. Dirección IP anonimizada antes de cualquier tratamiento.
5. Vida útil del rastreador ≤ 13 meses, datos conservados ≤ 25 meses.

> [!IMPORTANT]
> La lista de comprobación es informativa: el banner no puede verificar su configuración de analítica en su lugar (p. ej. Matomo en modo exento). Si falla alguna condición, el servicio sigue sujeto a consentimiento: déjelo en su categoría actual.

## Los servicios que el banner no puede bloquear

Algunos tratamientos se lanzan desde su **servidor**: GA4 Measurement Protocol, sincronización con el CRM, cookies de atribución colocadas por su backend. Un banner que corre en el navegador no puede bloquear nada de eso; solo puede proporcionar la decisión. Cubra ese camino con el [SDK de servidor](/es/doc/server-sdk).

## Próximos pasos

- [Comprobar la declaración de cookies resultante](/es/doc/cookie-declaration)
- [Probar que el bloqueo funciona con un escaneo de rechazo](/es/doc/compliance-verification)