Usar Microsoft Clarity conforme al RGPD

Microsoft Clarity (clarity.ms) ofrece mapas de calor y grabaciones de sesión y transmite datos a Microsoft (EE. UU.).

Que Clarity sea gratuito no cambia la situación jurídica: la grabación de sesiones y los mapas de calor captan el comportamiento de visitantes individuales y, por tanto, están claramente sujetos a consentimiento. Según sus propias indicaciones, Microsoft también usa los datos agregados para sus propios fines — eso hace discutible clasificarlo como mero encargo de tratamiento y hace aún más importante un contrato de encargo limpio junto con la comprobación de la corresponsabilidad.

La palanca técnica más importante es el enmascaramiento. Si está en «Balanced» o «Relaxed», las entradas en texto claro y contenidos de página pueden acabar en las grabaciones — incluidos datos personales de terceros visibles por descuido. «Strict» enmascara todos los textos y entradas y es el ajuste base frugal en datos.

Para la transferencia a EE. UU. rige lo mismo que para otros servicios de Microsoft: a través del EU-US Data Privacy Framework, la transferencia a Microsoft está en principio asegurada mientras exista la certificación. Eso debe figurar en la política de privacidad como base de la transferencia.

Clarity puede vincularse con Google Analytics y con Microsoft Advertising. Estas integraciones amplían la finalidad: de una simple comprensión del comportamiento se pasa a una base de datos para el análisis y la optimización publicitarios. Quien active el vínculo tiene que reflejar la finalidad ampliada en el consentimiento y en la política de privacidad — un consentimiento recabado como «estadística» no cubre finalidades publicitarias.

En la práctica, Clarity puede limitarse mediante los ajustes del proyecto: las grabaciones pueden restringirse a determinadas áreas por regla de URL o excluirse de páginas sensibles (inicio de sesión, cuenta, caja), y elementos individuales pueden controlarse específicamente mediante data-clarity-mask / data-clarity-unmask. Cuanto menos se grabe, más sencilla es la justificación.

¿Es un riesgo?

Como en otras grabaciones de sesión, se aplica el § 25 apdo. 1 TDDDG: uso solo tras consentimiento previo. Además, es necesario un contrato de encargo de tratamiento con Microsoft y hay que justificar la transferencia a un tercer país.

Qué puedes hacer

• Clasificar Clarity en la categoría que requiere consentimiento y cargarlo solo después.
• Ajustar el enmascaramiento a «estricto» para que no se graben el texto ni las entradas.
• Celebrar un contrato de encargo; en la política de privacidad, nombrar a Microsoft como destinatario y la transferencia a EE. UU.

Preguntas frecuentes

¿Se puede usar Microsoft Clarity sin banner de cookies?

No. Clarity fija cookies y graba el comportamiento — eso está sujeto a consentimiento según el art. 25.1 TDDDG. Sin consentimiento activo, el script no debe cargarse.

¿Necesito un contrato de encargo de tratamiento para Clarity?

Sí. Microsoft facilita las condiciones contractuales; deberían documentarse y anotarse en el registro de tratamientos. Como Microsoft usa los datos en parte para sus propios fines, además debe comprobarse si existe corresponsabilidad.

¿Qué nivel de enmascaramiento debería elegir?

«Strict». Así se enmascaran todos los textos y entradas de formulario en las grabaciones, lo que reduce notablemente el riesgo de datos personales captados por descuido.

¿En qué se diferencia Clarity de Google Analytics en cuanto al RGPD?

Ambos están sujetos a consentimiento. Clarity capta además recorridos de sesión concretos (movimiento del ratón, clics, desplazamiento), lo que penetra más profundamente en la privacidad que la medición de audiencia agregada de GA4.

¿Cuánto tiempo almacena Microsoft Clarity los datos?

Microsoft indica una conservación de las grabaciones y los datos de mapas de calor de unos 30 días, tras los cuales se eliminan o se agregan. El plazo concreto y las categorías de datos tratados deben figurar igualmente en la política de privacidad.

¿Puede Clarity cargarse solo en determinadas páginas?

Sí, y es recomendable. Mediante reglas de URL en el proyecto de Clarity, la grabación puede restringirse a páginas no críticas y excluirse de las páginas de inicio de sesión, cuenta y caja. Eso reduce notablemente el riesgo de datos personales captados por descuido.

Cómo ayuda consentglass

El análisis gratuito comprueba el HTML entregado y muestra qué servicios están integrados, si se detecta un banner de cookies y si hay enlaces a la privacidad y al aviso legal — con contexto para cada hallazgo. No sustituye el asesoramiento jurídico.