Política de privacidad del formulario de contacto: RGPD y textos de aviso

Un aviso breve junto al botón de envío es el enfoque por capas del RGPD en acción: lo esencial en el momento de la recogida, con los detalles a un clic. Limítalo a una o dos frases.

Tres pequeños ejemplos que puedes adaptar:

• Consulta general: «Usamos tu nombre, tu correo y tu mensaje solo para responderte y conservamos la conversación durante 12 meses. Lee nuestra Política de privacidad para conocer los detalles y tus derechos.»
• Solicitud de presupuesto: «Usamos estos datos para preparar tu presupuesto y hacer el seguimiento. Si te conviertes en cliente, los conservamos como parte de tu cuenta. Consulta nuestra Política de privacidad.»
• Con opción de newsletter: «Usamos tus datos para responderte. Marca la casilla si además quieres recibir nuestra newsletter mensual; puedes darte de baja en cualquier momento.»

Haz que Política de privacidad sea un enlace operativo al documento completo. Mantén el aviso visible, no escondido en una información emergente, y asegúrate de que coincide con lo que ocurre realmente. Si los mensajes se reenvían a un CRM o se conservan dos años, dilo. Para reglas de ubicación más amplias, lee dónde poner el enlace a la política de privacidad.

Datos personales es toda información sobre una persona identificable. Un formulario de contacto los recoge por diseño: un nombre, una dirección de correo, a veces un teléfono o una empresa, y un mensaje de texto libre que puede contener casi cualquier cosa. Entre bastidores, la herramienta del formulario o el servidor también pueden registrar la dirección IP del remitente, los datos del navegador y la hora del envío.

Eso tiene tres consecuencias:

1. Tienes que decir a las personas qué pasa con sus datos. Según el artículo 13 del RGPD, la información debe facilitarse en el momento en que los recoges.
2. Cuenta cada proveedor de la cadena. El plugin o servicio de formularios, tu proveedor de correo, tu CRM y cualquier filtro de spam tratan el mensaje.
3. También pueden aplicarse leyes de EE. UU. La CalOPPA cubre las webs comerciales que recogen información de identificación personal, como nombres y direcciones de correo, de residentes en California.

Si aún estás decidiendo si tu web necesita una política, la respuesta para casi cualquier web con formulario es sí. Nuestra guía ¿necesito una política de privacidad? explica los desencadenantes legales con más detalle.

El principio de minimización de datos del artículo 5 del RGPD dice que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad. En un formulario de contacto, la finalidad es responder a la persona, así que pregúntate qué necesitas de verdad para hacerlo.

Una lista práctica de campos:

• Dirección de correo: obligatoria, porque la necesitas para responder.
• Nombre: a menudo útil, pero plantéate hacerlo opcional o un único campo.
• Mensaje: obligatorio, con una indicación para no incluir datos sensibles.
• Teléfono: opcional, salvo que realmente devuelvas las llamadas.
• Empresa, presupuesto o tipo de proyecto: solo si los usas para dirigir o responder la consulta.
• Fecha de nacimiento, números de identificación, datos de salud: casi nunca son apropiados en un formulario de contacto general.

Cada campo que eliminas es un campo que no tienes que proteger, conservar ni explicar. Si ofreces un servicio especializado, como una clínica o un despacho de abogados, añade una línea pidiendo que no se envíen datos sensibles a través del formulario y ofrece un canal más seguro para ello.

Muchas webs añaden por reflejo una casilla de consentimiento a todos los formularios. Las orientaciones del regulador británico sugieren que a menudo es la herramienta equivocada. Otras dos bases jurídicas del artículo 6 suelen encajar mejor:

• Contrato, artículo 6(1)(b): la ICO explica que esta base cubre el tratamiento necesario para adoptar medidas concretas a petición de una persona antes de celebrar un contrato. Una solicitud de presupuesto o una pregunta sobre la contratación de tu servicio es un ejemplo típico.
• Interés legítimo, artículo 6(1)(f): para consultas generales, comentarios o preguntas de prensa, responder es un interés legítimo que la gente espera. La ICO describe una prueba en tres partes: una finalidad legítima, la necesidad y una ponderación frente a los intereses de la persona.

Las orientaciones de la ICO sobre el consentimiento advierten de que pedir consentimiento es engañoso cuando vas a tratar los datos de todos modos, porque no hay una elección real. Quien te envía una pregunta espera claramente una respuesta.

El marketing es distinto. Responder a una consulta no cubre añadir a la persona a una newsletter. Si las normas de ePrivacy exigen consentimiento para el mensaje de marketing, el consentimiento suele ser también la base jurídica adecuada para él.

Normalmente no, para responder al mensaje. Una casilla obligatoria de «Acepto la política de privacidad» puede incluso enturbiar las cosas, porque sugiere que el consentimiento es tu base jurídica cuando no lo es, y porque una política de privacidad es información, no un contrato que la gente tenga que aceptar.

Cuándo sí tiene sentido una casilla:

• Alta en la newsletter o consentimiento de marketing: usa una casilla separada y sin marcar, y no la conviertas en condición para enviar el mensaje.
• Extras opcionales: por ejemplo, permiso para publicar un testimonio o para compartir la consulta con un socio.
• Categorías especiales de datos: si de verdad necesitas información sensible, el consentimiento explícito puede ser una de las condiciones en las que te apoyas.

Recuerda que las casillas premarcadas no generan un consentimiento válido según el RGPD. Si quieres que se reconozca el aviso de privacidad, basta con una frase sencilla con un enlace junto al botón de envío, sin fingir que recoges un consentimiento. Si tienes dudas sobre un formulario concreto, la página del generador de política de privacidad RGPD explica cómo se reflejan las bases jurídicas en una política generada.

La política completa es donde va el detalle. Añade una sección, o una fila en tu tabla de datos, que cubra:

1. Qué recoges: los campos del formulario, más lo que se recoja automáticamente, como la dirección IP y la hora del envío.
2. Por qué: para responder a la consulta, y cualquier finalidad de seguimiento como preparar un presupuesto.
3. Base jurídica: normalmente medidas precontractuales o interés legítimo, y consentimiento solo para el marketing opcional.
4. Quién lo recibe: el proveedor del formulario, el servicio de correo, el CRM, la herramienta de atención al cliente y el servicio de protección antispam.
5. Transferencias: si alguno de esos proveedores trata datos fuera del Reino Unido o la UE, y la garantía utilizada.
6. Conservación: cuánto tiempo se guardan los mensajes.
7. Derechos: acceso, rectificación, supresión y oposición, y cómo solicitarlos.

Si además tienes una newsletter, un widget de chat o un formulario de reservas, dale a cada uno su propia entrada breve en lugar de meterlo todo bajo contacto. Las orientaciones de la ICO sobre qué información de privacidad facilitar son una buena forma de contrastar los elementos obligatorios.

El principio de limitación del plazo de conservación del RGPD dice que los datos personales no deben conservarse más tiempo del necesario para la finalidad. Ninguna ley fija una cifra única para los mensajes de formularios de contacto, así que establece un plazo que puedas justificar y cúmplelo.

Enfoques habituales:

• Consultas generales que no llegan a nada: bórralas tras un plazo fijo, por ejemplo de 6 a 12 meses después de la última respuesta, tiempo suficiente para atender preguntas de seguimiento.
• Consultas que acaban en clientes: consérvalas como parte del registro del cliente mientras lo exijan la relación y tus obligaciones legales de conservación de documentos.
• Spam y mensajes abusivos: bórralos pronto, salvo que los necesites por seguridad.
• Envíos guardados en la base de datos de tu web: muchos plugins de formularios guardan una copia de cada envío además del correo. Configura el plugin para que borre las entradas automáticamente o elimínalas con regularidad.

Indica el plazo en tu política de privacidad y configura recordatorios o el borrado automático para que la política siga siendo cierta. Recuerda las copias de seguridad y los archivos de correo, que a menudo guardan copias durante más tiempo que la bandeja de entrada.

Sí. Las herramientas antispam tratan datos de las personas que usan tu formulario, así que deben figurar en tu política de privacidad.

reCAPTCHA: las preguntas frecuentes de reCAPTCHA de Google indican que, desde el 2 de abril de 2026, los clientes son los únicos responsables del tratamiento de los datos tratados, que se han eliminado del distintivo de reCAPTCHA las referencias a la Política de Privacidad y las Condiciones de Google, y que los clientes deben revisar su propia información de privacidad para usuarios finales para asegurarse de que cubre la finalidad de seguridad y de prevención del fraude y el abuso. Las preguntas frecuentes siguen permitiendo ocultar el distintivo si informas de forma visible a los usuarios de que el sitio está protegido por reCAPTCHA. También señalan que reCAPTCHA instala una cookie necesaria para su análisis de riesgos.

Otros servicios: hCaptcha, Cloudflare Turnstile y los plugins antispam tratan datos del formulario o señales del dispositivo. Nombra el servicio que usas y describe su finalidad.

Los campos trampa (honeypot) y los límites de frecuencia son alternativas más ligeras que funcionan en tu propio servidor y no implican a terceros, aunque pueden ser menos eficaces contra bots persistentes. Elijas lo que elijas, descríbelo con palabras sencillas: qué se comprueba, quién lo hace y por qué.

Tu formulario de contacto rara vez es una sola herramienta. Una configuración típica encadena varios proveedores, y cada uno debe figurar en tu política.

• Plugin o servicio de formularios: guarda los envíos, a veces en sus propios servidores.
• Entrega de correo: envía las notificaciones a tu bandeja de entrada a través de tu proveedor de alojamiento o de un servicio de correo transaccional.
• Bandeja de entrada y CRM: donde viven los mensajes a largo plazo, como un buzón compartido, una herramienta de atención al cliente o un CRM de ventas.
• Automatizaciones: herramientas que copian las entradas en hojas de cálculo o canales de chat.

Cuando un proveedor trata datos por cuenta tuya, el artículo 28 del RGPD exige un contrato con cláusulas de encargado del tratamiento, normalmente el acuerdo de tratamiento de datos del proveedor. Enumera estos proveedores por nombre o por categoría en tu política, y mantén la lista al día cuando cambies de herramientas.

El cuestionario de Legal Policy Generator te permite elegir servicios de terceros como Mailchimp, HubSpot, Zendesk, Intercom, SendGrid, reCAPTCHA y hCaptcha, y selecciona las cláusulas correspondientes a partir de tus respuestas. El cuestionario, la vista previa y la descarga simple en HTML son gratuitos. Nuestra guía para crear la política de privacidad de una web cubre el resto del documento.