La reproducción de sesiones es lo más intrusivo que un sitio web normal le hace a sus visitantes, y la cuestión del consentimiento que plantea es más interesante que la de contarlos. Se aplican dos reglas distintas, la mayoría de las herramientas no cumplen ninguna de serie, y cumplir la primera no te libra de la segunda.
Así funcionan las reglas en la práctica; no es asesoramiento jurídico. Si tus páginas muestran datos de salud, financieros o de menores, consulta a un profesional cualificado.
Dos cuestiones, no una
¿Almacena algo en el dispositivo del visitante? Ese es el artículo 5, apartado 3, de la Directiva ePrivacy (en España, el artículo 22.2 de la LSSI, que aplica la AEPD) y es la cuestión a la que responde un banner de cookies. Trata del hecho de escribir en el dispositivo de alguien o leer de él, sea cual sea la tecnología: una cookie, localStorage, o una huella.
¿Lo que captura es un dato personal, y cuál es tu base jurídica? Ese es el RGPD, y se aplica se haya almacenado algo o no. La reproducción de alguien rellenando un formulario, moviendo el ratón y recorriendo su propio historial de pedidos es un dato personal sobre esa persona, se lea como se lea. Así que una herramienta puede estar de verdad libre de almacenamiento y necesitar igualmente una base jurídica para la grabación en sí.
Casi todo lo que se escribe sobre esto trata solo la primera cuestión, porque es la que lleva un banner asociado.
La primera cuestión: qué almacena normalmente una grabación
Para unir varias páginas vistas en una sola reproducción, una herramienta tiene que reconocer el mismo navegador a lo largo de esas páginas vistas. La forma habitual es un identificador en una cookie o en localStorage, que es almacenamiento en el dispositivo y necesita consentimiento en el EEE y el Reino Unido.
No tiene por qué ser así. El identificador se puede derivar en el servidor a partir de lo que la petición ya contiene, y rotarse para que no sobreviva al día, con el mismo mecanismo que la analítica sin cookies. Una reproducción montada así no toca nunca el dispositivo del visitante, y el artículo 5, apartado 3, no tiene dónde agarrarse.
Lo que eso cuesta es real y vale la pena decirlo: las grabaciones no se pueden unir de un día a otro, así que «enséñame todo lo que hizo esta persona la semana pasada» no es una pregunta que esa herramienta pueda responder. Para averiguar por qué un proceso de compra pierde gente, da igual. Para seguir el historial completo de un cliente concreto, no.
La segunda cuestión: una base jurídica, hayas almacenado lo que hayas almacenado
La grabación sigue tratando datos personales, así que según el RGPD necesitas una base jurídica para ella. En la práctica es o el consentimiento o el interés legítimo, y el interés legítimo significa hacer y conservar una ponderación, es decir, dejar por escrito por qué tu interés en mejorar la página pesa más que el interés del visitante en no ser filmado usándola.
Esa valoración se vuelve más difícil cuanto más captura la reproducción, y por eso lo que una herramienta graba de serie importa más que el banner:
- Los campos de formulario. Una reproducción que captura lo que se teclea captura contraseñas, números de tarjeta, respuestas médicas y todo lo demás que alguien escriba. Ninguna ponderación sobrevive a eso. Cualquier herramienta que merezca usarse enmascara el contenido de los campos de entrada y no lo ofrece como opción.
- Las palabras de la página. Distintas de lo que teclea la gente, y más fáciles de pasar por alto. Una página de cuenta, una confirmación de pedido o un historial clínico le enseña datos personales al visitante, y una reproducción que te los enseña a ti es una copia de esos datos en otro sistema.
- Las categorías especiales. Salud, religión, orientación sexual, afiliación sindical. Si una página puede mostrar alguna de esas cosas, la reproducción de esa página requiere un análisis aparte, y normalmente exige desactivarla para esa página.
Qué comprobar en la herramienta que uses
- ¿Se enmascaran los campos de formulario, y se puede desactivar? La respuesta correcta a la segunda mitad es no.
- ¿Se captura el texto de la página, y es decisión tuya? Una herramienta que la toma por ti ha hecho una elección jurídica en tu nombre.
- ¿Puedes excluir una página o un elemento? Vas a necesitarlo para al menos una página.
- ¿Almacena un identificador en el dispositivo? Si lo hace, el banner no es opcional.
- ¿Respeta el Global Privacy Control? El GPC es una señal de exclusión reconocida jurídicamente en varios estados de EE. UU., y llega como cabecera de la petición, la lea tu herramienta o no.
- ¿Cuánto tiempo se guardan las grabaciones, y puedes borrar una?
Cómo responde Skomi a eso
El contenido de los campos de formulario no se graba nunca, en ninguna configuración. Eso no es un valor por defecto en la grabación de sesiones de Skomi; no hay ningún ajuste para ello, en ningún modo.
Cuánto texto de página se captura es una elección por sitio, y hay tres respuestas. «Strict» no captura nada de texto, así que una reproducción enseña maquetación, estructura e interacción sin palabras. «Balanced» enmascara lo que parece un dato personal: los números y cualquier cosa con aspecto de dirección de correo. «Relaxed» captura el texto de la página y es la opción de serie, con el argumento de que una reproducción sin palabras dentro es muy difícil de aprovechar. Un sitio cuyas páginas muestran datos personales necesita uno de los dos primeros, y esa es una decisión que solo puede tomar el propietario del sitio.
Se puede excluir cualquier cosa. Un atributo data-skomi-mask enmascara una zona y data-skomi-unmask exime una dentro de ella, la clase skomi-block impide del todo que se capture un elemento, y un sitio puede listar selectores CSS que no se graban nunca.
El Global Privacy Control se respeta por sitio, y está desactivado hasta que lo actives. Cuando está activado, no se graba nada de una petición que lleve Sec-GPC: 1. Se comprueba en el servidor, así que funciona en todos los navegadores, independientemente de lo que la página tenga en caché. Se aplica solo a las grabaciones y los mapas de calor: la mitad de analítica nunca sigue a un visitante de un sitio a otro, lo que la convierte en mal candidato para una señal dirigida al seguimiento entre contextos.
No se almacena nada en el dispositivo del visitante de serie, así que con el ajuste de serie la primera cuestión de arriba no se plantea. La segunda sigue planteándose: sigues necesitando una base para grabar, y tenerla te corresponde a ti, no a nosotros.
Las grabaciones caducan antes que ninguna otra cosa. El plazo depende de tu plan y es el más corto de los tres periodos de conservación que aplica Skomi.
Los mapas de calor son la misma cuestión, en pequeño
Un mapa de calor se construye a partir de la misma captura (clics, movimiento y profundidad de desplazamiento sobre una página), así que la cuestión del almacenamiento es idéntica. Lo que difiere es la segunda cuestión: un agregado de dónde hicieron clic mil personas es mucho más fácil de justificar que un vídeo de una de ellas, y un mapa de calor construido sin almacenamiento en el dispositivo y sin texto de página es lo menos intrusivo que llega a ser la medición del comportamiento.
Si dudas de si usar la reproducción siquiera, esa es la diferencia útil: cuándo necesitas grabaciones de sesión, y cuándo no.
En Skomi, las dos funcionan en Behavior, con el enmascaramiento aplicado a los campos de entrada en todos los modos y no como un ajuste que haya que recordar. Si comparas herramientas justo en este punto, Microsoft Clarity documenta una exigencia de consentimiento propia para los visitantes de la UE, y qué pasa sin ella.