Chat en vivo y RGPD: checklist de 10 puntos para tiendas online (2026)

Respuesta corta: Puedes usar un chat en vivo cumpliendo el RGPD, pero ninguna herramienta "cumple el RGPD" por sí sola: depende de cómo la configures. Necesitas un contrato de encargado del tratamiento con el proveedor del chat, un apartado sobre el chat en tu política de privacidad, decidir cuándo se carga el script (al abrir la página, tras aceptar las cookies o al hacer clic), un plazo para borrar conversaciones antiguas y, desde el 2 de agosto de 2026, un chatbot que la gente reconozca como IA. Los diez puntos de abajo te llevan una tarde.

Casi todo lo que encuentras sobre "chat y RGPD" se escribió en 2018. Desde entonces han cambiado tres cosas: las autoridades alemanas de protección de datos dijeron en 2024 que un chat es un servicio añadido y no parte de la página que el visitante pidió, la obligación de transparencia de la Ley de IA europea para chatbots se aplica desde agosto de 2026 y la AEPD actualizó su guía de cookies en 2023. Este checklist tiene en cuenta las tres.

Esto es un resumen práctico, no asesoramiento legal. Si tratas datos de salud, vendes a menores o tienes una tienda grande, consulta con un abogado especializado o tu DPD.

Qué exige la ley a un chat en tu web

El checklist de 10 puntos

1. Firma un contrato de encargado del tratamiento con el proveedor del chat

El proveedor guarda los mensajes de tus clientes por cuenta tuya, así que es encargado del tratamiento según el art. 28 del RGPD. El contrato le obliga a seguir tus instrucciones, mantener la confidencialidad, aplicar medidas de seguridad, respetar las reglas sobre subencargados, ayudarte con las solicitudes de los interesados y borrar los datos cuando dejes el servicio. Casi todos los proveedores tienen un contrato estándar que se acepta en línea. Guarda una copia con la fecha. Si un proveedor no ofrece ninguno, busca otro.

2. Sabe dónde van los datos

Tres preguntas: en qué país se guardan las conversaciones, qué subencargados las ven (alojamiento, correo, modelo de IA) y con qué base salen datos de la UE.

Para proveedores de EE. UU. existe desde julio de 2023 el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795). El Tribunal General lo confirmó el 3 de septiembre de 2025 en el asunto Latombe/Comisión (T-553/23) y hay un recurso pendiente ante el Tribunal de Justicia, el C-703/25 P (DOUE, diciembre de 2025). Hoy puedes usar un proveedor estadounidense certificado, pero recuerda que los dos acuerdos anteriores acabaron anulados.

3. Decide cuándo se carga el script del chat

Aquí se atascan casi todas las tiendas. Un widget de chat carga un script desde el servidor del proveedor, lo que envía la IP del visitante a ese servidor, y suele guardar algo en el navegador para que la conversación no se pierda al cambiar de página.

La guía de cookies de la AEPD exime, entre otras, las cookies de "entrada del usuario" (formularios, carrito), pero no menciona el chat. La lectura más estricta publicada en la UE viene de Alemania: en su guía de servicios digitales (versión 1.2, noviembre de 2024), las autoridades alemanas tratan el chat como un servicio añadido. Quien abre una página todavía no ha pedido el chat; lo que el chat guarde solo puede ser estrictamente necesario cuando el visitante lo usa, por ejemplo al hacer clic (DSK, Orientierungshilfe Digitale Dienste, apartados 74–80).

Nuestra recomendación: carga el chat tras el consentimiento o al hacer clic. El clic deja el chat abierto a todos; el consentimiento conserva los mensajes proactivos para quien aceptó. Si instalas el chat con Google Tag Manager, cambia el activador de "All Pages" al evento de consentimiento que envía tu banner (cómo poner el chat con Tag Manager).

4. Añade el chat a tu política de privacidad

Un apartado corto y claro con lo que pide el art. 13 del RGPD:

Chat en vivo. Cuando usas el chat de nuestra web, tratamos tus mensajes, tu nombre y tu email si nos los das, tu dirección IP y las páginas que visitaste. Lo hacemos para responder a tus consultas (art. 6.1.b RGPD) y, si aún no has hecho un pedido, por nuestro interés legítimo en atender consultas (art. 6.1.f RGPD). El chat lo presta [proveedor, dirección], que trata los datos por cuenta nuestra. Los datos se guardan en [país]. [Si responde una IA: Algunas respuestas las escribe un asistente de IA; para ello tu mensaje se envía a [proveedor de IA].] Borramos las conversaciones [12] meses después del último mensaje.

Si tu equipo ve lo que el visitante escribe antes de que pulse enviar (vista previa de escritura), menciónalo también.

5. Pide solo lo que necesitas

Un formulario previo que exige nombre, email, teléfono y empresa antes del primer mensaje recoge más de lo que necesitan casi todas las consultas (minimización de datos, art. 5.1.c RGPD). Pide el email solo si quieres responder por correo fuera de horario. Para "¿dónde está mi pedido?" basta con el número de pedido.

6. Mantén los números de tarjeta y las contraseñas fuera del chat

Los clientes pegan números de tarjeta y contraseñas en el chat. Pídeles que no lo hagan en el saludo de las páginas de pago y activa el enmascarado si tu herramienta lo tiene. En Shopxare, Ajustes → General → Ocultar números de tarjeta y contraseñas enmascara los números de tarjeta (salvo los 4 últimos dígitos), los códigos de seguridad y las contraseñas en los mensajes de clientes (ajustes del espacio de trabajo).

7. Fija un plazo de conservación y atiende las solicitudes de supresión

El art. 5.1.e del RGPD dice que guardes los datos solo el tiempo necesario, y el art. 17 da a los clientes derecho a la supresión. Elige un plazo acorde con el motivo, por ejemplo el final del plazo de desistimiento y garantía, escríbelo en la política de privacidad y borra las conversaciones antiguas en una fecha fija cada trimestre. Si un cliente pide la supresión, borra el contacto y sus conversaciones a la vez y confírmaselo por escrito.

8. Que la IA se reconozca como IA

Desde el 2 de agosto de 2026, el art. 50.1 de la Ley de IA exige informar a las personas de que interactúan con un sistema de IA, salvo que sea evidente. La obligación recae en el proveedor del sistema y el "Digital Omnibus" de la UE no la aplazó (Reglamento (UE) 2026/1744). Pero el nombre y la primera frase los eliges tú. No llames a tu bot "Lucía" con una foto de stock. Llámalo "Asistente de IA" y di en la primera respuesta que una persona puede seguir la conversación. Explicamos la diferencia entre bots y agentes en agente de IA vs chatbot.

9. Controla qué envía la IA al proveedor del modelo

Un agente de IA envía el mensaje del cliente a un proveedor de modelos de lenguaje. Comprueba quién es, si figura como subencargado y si se pueden quitar antes los datos personales. En Shopxare, Are AI tiene el ajuste Ocultar datos personales al proveedor de IA, que sustituye emails, teléfonos y números de tarjeta antes de enviar el texto. También eliges a quién responde la IA: a todos, solo a visitantes o solo a usuarios con sesión iniciada.

10. Limita quién puede leer qué

La bandeja de soporte guarda direcciones, pedidos y quejas. Da a cada persona del equipo el rol que necesita y usa la verificación de identidad para que nadie pueda hacerse pasar por un cliente con sesión iniciada y leer sus conversaciones (roles y permisos, verificación de identidad).

Ejemplo: una tienda pequeña de Valencia repasa la lista

Una tienda de dos personas en Valencia vende cerámica en Shopify, sobre todo en España y Francia. El chat se carga en todas las páginas desde 2023, la política de privacidad no lo menciona y por la noche Are AI responde preguntas de envío.

En una tarde aceptan el contrato de encargo del proveedor y lo archivan, pasan el script del chat a su herramienta de consentimiento para que solo se cargue tras "Aceptar" y ponen en el pie de página un enlace "Escríbenos" que lo carga con un clic para el resto. Añaden el apartado de arriba a la política de privacidad con un plazo de 12 meses, cambian el nombre de la IA de "Lucía" a "Asistente de IA" y activan el enmascarado de tarjetas. A las 23:10 un visitante pregunta: "¿Este plato se puede meter en el lavavajillas?" El asistente responde con la ficha del producto y avisa de que, si hace falta, alguien del equipo contestará por la mañana.

Dónde ayuda Shopxare y qué te toca a ti

"Sin cookies en tu dominio" no resuelve por sí solo la cuestión del consentimiento: la LSSI se aplica a cualquier almacenamiento o acceso en el dispositivo, y al cargar el script la IP del visitante llega al proveedor. Esa decisión sigue siendo tuya.

Cuándo este checklist no basta

Si los clientes te envían datos de salud (una farmacia, suplementos con dudas médicas), documentos de identidad o datos de menores, necesitas más de diez puntos: quizá una evaluación de impacto y un delegado de protección de datos. Lo mismo si grabas llamadas o usas el chat para decisiones de crédito. Consulta a un especialista.

Preguntas frecuentes

¿Necesito consentimiento de cookies para un chat en vivo?

Depende de lo que el chat guarde en el navegador. La guía de la AEPD no habla del chat; con la lectura estricta alemana (2024), el chat solo se considera solicitado cuando el visitante lo usa. Lo más seguro es cargarlo tras el consentimiento o al hacer clic.

¿Necesito un contrato de encargado con el proveedor del chat?

Sí. El proveedor guarda los mensajes de los clientes por cuenta tuya, así que es encargado del tratamiento (art. 28 RGPD) y hace falta un contrato.

¿Tengo que decir a los clientes que hablan con una IA?

En la UE, desde el 2 de agosto de 2026, sí, salvo que sea evidente (art. 50.1 de la Ley de IA). Lo más sencillo: un nombre claro como "Asistente de IA" y una primera frase que diga que una persona puede intervenir.

¿Puedo usar un chat de una empresa estadounidense?

Sí, si el proveedor está certificado en el Marco de Privacidad de Datos UE-EE. UU. o firma cláusulas contractuales tipo. El Tribunal General confirmó el marco en septiembre de 2025 y hay un recurso pendiente.

¿Cuánto tiempo puedo guardar las conversaciones del chat?

El tiempo que las necesites para un fin concreto, como el plazo de garantía, y no más. Escribe el plazo en la política de privacidad y borra las antiguas de forma periódica.

Si buscas un chat que funcione en un marco aislado, esté alojado en Europa y pueda ocultar datos personales a la IA, Shopxare tiene un plan gratuito.