Política de cookies · LSSICE Art. 22.2 · AEPD 2023
Qué cookies y tecnologías similares utiliza octia.es, cómo gestionarlas, plazos de retención y el marco legal aplicable según LSSICE Art. 22.2 y guía AEPD 2023.
Marco normativo: Directiva 2002/58/CE (ePrivacy) · Ley 34/2002 LSSICE Art. 22.2 · Reglamento (UE) 2016/679 RGPD · Ley Orgánica 3/2018 LOPDGDD · Guía AEPD sobre el uso de cookies (julio 2023, actualización octubre 2024) · Directrices EDPB 03/2022 sobre patrones engañosos en interfaces de redes sociales.
1. ¿Qué es una cookie y qué se equipara a ella?
Una "cookie" es un pequeño archivo de información que se descarga en el terminal de la persona usuaria al visitar determinadas páginas web, con la finalidad de almacenar y recuperar datos relativos al equipo, la navegación o el uso del servicio.
La regulación se aplica también a tecnologías similares: localStorage, sessionStorage, IndexedDB, etag, fingerprinting de dispositivo, píxeles invisibles y cualquier otro método de almacenamiento o acceso a información en el terminal del usuario (AEPD 2023, apartado 1).
El uso de estas tecnologías está regulado por el artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSICE), cuyo tenor literal establece:
Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la normativa de protección de datos.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.
Adicionalmente, la Guía sobre el uso de cookies de la AEPD (versión vigente julio 2023, actualizada octubre 2024) interpreta el alcance de la excepción técnica y define las condiciones que deben cumplir las cookies analíticas para quedar exentas del consentimiento (apartado 4.2 de la Guía).
2. Arquitectura de cookies y tecnologías en octia.es
OctIA aplica el principio de minimización (Art. 5.1.c RGPD): solo se cargan las cookies y tecnologías estrictamente necesarias para prestar el servicio y, con consentimiento, las que permiten mejorar la experiencia y medir campañas. La arquitectura se estructura en tres capas:
- Capa 1 · Cookies y tecnologías exentas (siempre activas · no requieren consentimiento).
- Capa 2 · Cookies y tecnologías de analítica (opt-in · requieren consentimiento explícito previo).
- Capa 3 · Cookies y tecnologías de marketing (opt-in · requieren consentimiento explícito previo).
Garantía técnica: mientras la persona usuaria no preste consentimiento explícito para las capas 2 y 3, OctIA no carga, no ejecuta y no descarga los scripts ni los recursos de los proveedores terceros listados en dichas capas. El bloqueo es real y verificable inspeccionando el código fuente y la pestaña Network del navegador antes de aceptar el banner.
2.1 · Capa 1 · Cookies y tecnologías exentas (sin consentimiento)
Esta capa cumple alguna de las excepciones del artículo 22.2 LSSICE: o bien es estrictamente necesaria para la prestación del servicio expresamente solicitado, o bien cumple las cuatro condiciones acumulativas del apartado 4.2 de la Guía AEPD 2023 para analítica exenta (propia, sin transferencia internacional, solo estadística agregada, datos seudonimizados).
| Cookie / tecnología | Proveedor | Finalidad | Duración | Justificación de la exención |
|---|---|---|---|---|
| __cf_bm | Cloudflare, Inc. (EEUU) · sub-encargado del responsable | Protección anti-bot y mitigación de tráfico malicioso. Sin ella el Sitio no se sirve con garantías de seguridad mínima. | 30 minutos | Estrictamente necesaria para la prestación del servicio (Art. 22.2 LSSICE, párrafo segundo · EDPB Opinion 04/2012). |
| octia_consent | OctIA · cookie propia | Almacena la elección granular de la persona usuaria sobre las capas opcionales (analítica · marketing). Sin esta cookie el banner se mostraría en cada visita. | 12 meses | Estrictamente necesaria para cumplir la obligación legal de recabar y recordar el consentimiento (Art. 22.2 LSSICE + Art. 7 RGPD). |
| Cloudflare Web Analytics (_cfuvid · cookie-less) | Cloudflare, Inc. · sub-encargado del responsable | Análisis agregado del tráfico del Sitio (visitas, páginas vistas, Core Web Vitals, referrer, agente de usuario agregado). No identifica visitantes individuales. No utiliza cookies ni almacenamiento persistente: usa fingerprinting de baja entropía (URL · IP · UA) procesado en tiempo real y descartado tras agregación. | No persiste (cookie-less) | Cumple las 4 condiciones acumulativas de analítica exenta · AEPD Guía Cookies 2023 apartado 4.2: (i) primera parte respecto al sitio web · (ii) sin transferencia internacional efectiva (infraestructura CF en zona EU para origen EU) · (iii) solo estadística agregada · (iv) datos seudonimizados sin perfilado individual. |
2.2 · Capa 2 · Cookies y tecnologías de analítica (opt-in)
Esta capa permite a OctIA entender en detalle cómo se utiliza el Sitio: en qué puntos las personas usuarias encuentran fricción, qué contenidos se leen más, qué flujos abandonan. Mejora la calidad del servicio pero no es estrictamente necesaria para que el Sitio funcione, por lo que requiere consentimiento expreso previo.
| Cookie / almacenamiento | Proveedor (responsable autónomo o encargado) | Finalidad detallada | Duración | Transferencia internacional |
|---|---|---|---|---|
| _clck, _clsk, MUID, ANONCHK, SM, CLID | Microsoft Clarity · Microsoft Corporation (EEUU) y Microsoft Ireland Operations Limited (UE) · co-responsable o encargado según finalidad | Mapas de calor (heatmaps), grabaciones agregadas de sesión (con datos sensibles auto-enmascarados conforme a la configuración de privacidad de Clarity activada por OctIA), mapas de scroll y análisis de fricción. Permite a OctIA detectar errores de usabilidad y mejorar la conversión legítima. | Hasta 12 meses (MUID hasta 13 meses) | Sí · transferencia a EEUU bajo cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914) conforme al Art. 46.2.c RGPD. Microsoft está certificada en el Marco de Privacidad de Datos UE-EEUU UE-EEUU (julio 2023). |
| _ga, _ga_ | Google Analytics 4 · Google Ireland Ltd. (UE) y Google LLC (EEUU) · co-responsables | Estadísticas avanzadas de visitas, comportamiento, atribución multi-canal. (NO ACTIVO a fecha de esta versión · se documenta de forma transparente para una eventual activación futura. Cuando se active, requerirá consentimiento previo de nuevo). | Hasta 13 meses | Sí · EEUU, bajo cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EEUU. |
| octia_anon_id, octia_session_id, octia_contact_id, octia_utm (localStorage) | OctIA · responsable del tratamiento | Atribución interna OctIA: identifica de forma seudonimizada el origen de la visita (UTM source/medium/campaign), persiste el identificador anónimo durante la sesión y, en caso de que la persona usuaria se identifique mediante formulario, asocia el identificador anónimo con el contact_id. Permite a OctIA cuantificar qué canales generan conversiones reales. No se realiza perfilado individual con fines publicitarios. | 12 meses (renovables si hay actividad) | No · almacenamiento exclusivamente local en el navegador. Los eventos se envían al backend de OctIA en Supabase (UE · Frankfurt · proyecto tsqsmkuskbditojpeiqs). No hay transferencia internacional. |
Base legal de la Capa 2: artículo 22.2 LSSICE · consentimiento previo, libre, específico, informado, granular e inequívoco prestado mediante acción positiva clara (clic en "Aceptar todas" o activación del interruptor "Analítica" en el panel "Personalizar"), conforme a los Arts. 4.11 y 7 RGPD y las Directrices EDPB 03/2022.
2.3 · Capa 3 · Cookies y tecnologías de marketing (opt-in)
Esta capa permite medir la eficacia de las campañas publicitarias de OctIA en redes profesionales y construir audiencias para futuras campañas. Solo se carga si la persona usuaria presta consentimiento expreso para "Marketing".
| Cookie | Proveedor | Finalidad | Duración | Transferencia internacional |
|---|---|---|---|---|
| li_at, li_gc, li_mc, lidc, bcookie, bscookie, UserMatchHistory, AnalyticsSyncHistory, lms_ads, lms_analytics | LinkedIn Insight Tag · LinkedIn Ireland Unlimited Company (UE) y LinkedIn Corporation (EEUU) · co-responsables | Medición de conversiones derivadas de campañas publicitarias en LinkedIn (visita → contacto, visita → reserva diagnóstico) y construcción de audiencias personalizadas/similares para optimización de campañas futuras. (NO ACTIVO a fecha de esta versión · se documenta de forma transparente para una eventual activación futura tras consentimiento marketing y formalización del Partner ID). | Hasta 2 años | Sí · EEUU, bajo cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EEUU (LinkedIn certificada). |
Base legal de la Capa 3: artículo 22.2 LSSICE · consentimiento previo, libre, específico, informado, granular e inequívoco, separado del consentimiento de la Capa 2.
Por qué Microsoft Clarity no se incluye en la Capa 1 (analítica exenta)
OctIA documenta esta decisión por transparencia. La Guía AEPD 2023 (apartado 4.2) exige cumplir las cuatro condiciones acumulativas para que una cookie analítica quede exenta. Microsoft Clarity no cumple al menos dos de ellas: (i) es un servicio prestado por un tercero (Microsoft Corporation), no de primera parte estricta del responsable del sitio web, y (ii) implica transferencia internacional de datos a EEUU. Por ello, OctIA lo categoriza correctamente como Capa 2 (analítica opt-in) y bloquea su carga hasta el consentimiento expreso, alineándose con el criterio sancionador reciente de la AEPD (precedentes 2024-2025 sobre Google Analytics y herramientas equivalentes).
3. Gestión del consentimiento
En la primera visita al Sitio se muestra un banner informativo que presenta tres acciones equivalentes en visibilidad, posición jerárquica, tipografía, contraste y accesibilidad (cumpliendo las Directrices EDPB 03/2022 sobre patrones engañosos · no se utiliza ningún dark pattern):
- Aceptar todas las cookies opcionales (Capa 2 + Capa 3).
- Rechazar opcionales · solo se mantienen las cookies y tecnologías exentas de la Capa 1.
- Personalizar · panel granular con interruptor independiente para cada categoría.
El panel "Personalizar" permite activar o desactivar de forma independiente cada categoría:
- Capa 1 · Exentas (siempre activas · sin opción de desactivación porque son técnicamente necesarias o analítica exenta conforme a Art. 22.2 LSSICE y Guía AEPD 4.2).
- Capa 2 · Analítica (opt-in · por defecto desactivada).
- Capa 3 · Marketing (opt-in · por defecto desactivada).
El consentimiento prestado por la persona usuaria es libre (no se condiciona el acceso al Sitio a la aceptación), específico (granular por categoría), informado (con esta política accesible desde el banner y desde el footer), inequívoco (acción positiva clara · ningún botón está pre-marcado) y demostrable (se registra en la cookie octia_consent con versión, marca temporal y estado por categoría) · conforme al Art. 4.11 y Art. 7 RGPD.
Revocación del consentimiento: en cualquier momento la persona usuaria puede modificar o revocar su elección haciendo clic en "Preferencias de cookies", enlace permanente disponible en el footer del Sitio. La revocación es de aplicación inmediata, sin perjuicio de la licitud de los tratamientos efectuados con base en el consentimiento previo a la revocación (Art. 7.3 RGPD).
4. Conservación y renovación del consentimiento
Los plazos máximos de conservación de cada cookie o tecnología se indican en las tablas del apartado 2.
La cookie octia_consent tiene una duración de 12 meses. Conforme a la Guía AEPD 2023 (apartado 6) y a las directrices EDPB, el consentimiento se renovará como mínimo cada 24 meses; OctIA opta voluntariamente por solicitarlo cada 12 meses para reforzar el principio de control efectivo del interesado.
Si la arquitectura de cookies de octia.es cambia de forma sustancial (alta o baja de un proveedor de Capa 2 o Capa 3 · cambio significativo de finalidad · cambio de transferencia internacional), se incrementará la versión de la cookie octia_consent y se mostrará nuevamente el banner para que la persona usuaria preste un nuevo consentimiento informado.
5. Configuración desde el navegador
Adicionalmente, la persona usuaria puede gestionar y/o eliminar cookies desde la configuración de su navegador:
Deshabilitar las cookies técnicas puede afectar al correcto funcionamiento del Sitio.
6. Tratamiento de datos personales asociado
En la medida en que las cookies analíticas u otras puedan implicar tratamiento de datos personales (Art. 4.1 RGPD), las personas usuarias pueden ejercer los derechos descritos en la Política de Privacidad (apartado 8) escribiendo a [email protected].
7. Modificaciones
OctIA podrá actualizar esta Política de Cookies para adaptarla a cambios técnicos, legales o de servicio. La versión vigente será siempre la publicada en este apartado, indicando la fecha de última actualización.
Consultas sobre cookies o gestión del consentimiento: [email protected].