Google Sign-In

Que es Google Sign-In

Google Sign-In, también presentado como Acceder con Google, permite a las personas autenticarse en su sitio con su cuenta de Google existente. Se basa en la biblioteca Google Identity Services y ofrece un botón, un flujo emergente y el aviso One Tap que puede aparecer automáticamente. Tras la autorización, Google devuelve un token de identidad con datos de perfil como nombre, correo y avatar.

Que datos y cookies intervienen

Cargar el script Identity contacta dominios de Google y expone la dirección IP y el agente de usuario del visitante. El flujo One Tap usa una cookie propia g_state para recordar el rechazo, mientras que las sesiones autenticadas dependen de cookies de cuenta de Google como SID, HSID, SSID y NID establecidas en el contexto google.com. Los datos de perfil devueltos tras el acceso son datos personales de los que usted pasa a ser responsable.

Implicaciones del RGPD y ePrivacy

La autenticación que el usuario inicia de forma deliberada puede basarse en el contrato como base jurídica, y las cookies de sesión necesarias para mantenerlo conectado son estrictamente necesarias. Sin embargo, cargar automáticamente el script Identity y mostrar One Tap antes de cualquier acción trata datos para fines propios de Google y entra en el artículo 5(3) de la Directiva ePrivacy, por lo que necesita consentimiento. Ambas situaciones deben tratarse por separado.

Consentimiento y el aviso One Tap

No muestre One Tap automáticamente ni cargue el script Identity antes de que el visitante haya podido elegir. Active el script solo cuando el usuario pulse un control de acceso claramente etiquetado, o condicione los avisos automáticos a un consentimiento para funciones funcionales o de marketing. Asegúrese de que el aviso no presione a aceptar, ya que un consentimiento que no es libre no es valido.

Transferencias a Estados Unidos

Los datos de autenticación y perfil los trata Google en Estados Unidos bajo el Marco de Privacidad de Datos UE Estados Unidos y cláusulas contractuales tipo. Revele esta transferencia en su política de privacidad, solicite solo los permisos realmente necesarios y conserve los datos de perfil de forma segura con un plazo definido. Trate a Google como responsable independiente de los datos vinculados a la cuenta.

Pasos prácticos de cumplimiento

Cargue el script Google Identity con la acción del usuario o tras el consentimiento, desactive One Tap automático en la primera visita, solicite permisos mínimos y describa la función de acceso, las cookies y la transferencia a Estados Unidos en sus políticas. Ofrezca otro método de acceso para no imponer una cuenta de Google y revise los permisos solicitados periódicamente.