Modos de privacidad y RGPD en el seguimiento de enlaces

Toda conversación sobre privacidad en el seguimiento de enlaces acaba llegando a la misma pregunta por parte de un cliente: ¿qué sabéis exactamente de las personas que hacen clic en nuestros enlaces? La respuesta suele improvisarse, y por eso suele estar equivocada en una dirección o en la otra: o tranquiliza más de lo que el sistema garantiza, o es lo bastante vaga como para sonar evasiva.

Este artículo es el material para una respuesta mejor: qué contiene un evento de clic, por qué el nivel de detalle se decide al escribir en lugar de filtrarse fuera de un informe, qué pasa con la dirección de red, cómo funciona de verdad la retención, qué cubre el consentimiento y el papeleo que pedirá el revisor de cumplimiento normativo de un cliente. No es asesoramiento legal: las obligaciones dependen de tu jurisdicción, de tu audiencia y de lo que hagas después con los datos.

Qué apunta un clic

En el momento de la redirección, antes de que se haya cargado ninguna página, el motor ve una solicitud. De ella el evento puede registrar el momento del clic, el enlace y el dominio, el destino, una ubicación aproximada derivada de la dirección de red, el tipo de dispositivo, el navegador y el sistema operativo extraídos del user agent, el dominio de referencia cuando se envía alguno, el idioma del navegador y las etiquetas de campaña que lleve la dirección.

Cuando el espacio de trabajo ha activado la capa detallada, el mismo evento puede llevar además región y ciudad con sus identificadores de GeoNames, coordenadas y radio de precisión, la zona horaria y la hora local del visitante, el número de sistema autónomo y el nombre del proveedor, y un veredicto de tipo de tráfico con una puntuación de calidad. Para qué sirve esa capa se cuenta en la documentación de reglas de tráfico.

Faltan dos cosas a propósito. El código postal lo resuelve la base de datos geográfica y luego no se registra, porque en zonas de vivienda densa un código postal se parece mucho a una dirección. Y la propia dirección de red no se escribe nunca, algo que tiene su propia sección más abajo.

Lo que el evento no contiene importa igual. No identifica a una persona, no dice si la página de destino llegó a cargarse ni si hubo una compra después, y no lleva ningún identificador entre sitios. Todo lo que vaya más allá exige una segunda fuente de datos en el lado del destino, como cuenta nuestra guía sobre medir los clics de tus enlaces.

Dos formas muy distintas de limitar datos

Confundirlas es el error más caro de este terreno, y los proveedores rara vez las separan.

Un plan limita hasta dónde puede mirar hacia atrás un espacio de trabajo. Las filas siguen existiendo; un plan mayor enseña más. Ese es un límite comercial, reversible mejorando el plan. Un modo de privacidad limita qué se apunta, para empezar: lo que apaga no llega nunca al almacenamiento, así que ningún informe, ninguna exportación, ninguna petición a soporte y ninguna consulta futura pueden devolverlo, y un cambio de opinión tampoco.

| | Retención del plan | Modo de privacidad | | --- | --- | --- | | Qué controla | Hasta dónde puedes mirar hacia atrás | Qué se registra, para empezar | | Dónde se aplica | Al leer | Al escribir | | Reversible | Sí, mejorando el plan | No, para las filas ya escritas | | Quién lo cambia | Quien gestione la facturación | Propietario o administrador del espacio de trabajo |

Los dos se aplican a la vez, y esa es la parte que se le escapa a la gente. Un espacio de trabajo con un plan de dos años de profundidad de consulta que haya fijado su propia retención en 30 días conserva 30 días.

El detalle se elige al escribir

El ajuste vive en Ajustes → Datos del visitante y privacidad: tres niveles de ubicación más tres interruptores independientes.

| Nivel | Qué lleva el evento | | --- | --- | | Completo | País, continente, región, ciudad, identificadores de GeoNames, coordenadas, radio de precisión, zona horaria, hora local | | Ciudad sin coordenadas | Todo lo anterior salvo las coordenadas y el radio de precisión | | Solo país | País y continente |

Con solo país ni siquiera se consulta la base de datos geográfica para el evento: el país y el continente ya llegan de la CDN sin coste alguno. El ajuste quita trabajo además de datos, así que la opción más protectora de la privacidad es también la más barata de ejecutar.

Los interruptores son más estrechos. Guardar la red del visitante controla el número de sistema autónomo y el nombre del proveedor; apagado, el desglose de Redes se queda vacío. Guardar la dirección de referencia completa controla solo la ruta y la cadena de consulta de la página de referencia: el dominio de referencia se conserva siempre, porque el informe de Orígenes se construye sobre él. Detectar el tipo de tráfico apaga las propias comprobaciones y no solo los campos: sin consultas de rangos, sin comprobaciones de nombre inversas, sin contadores de comportamiento.

Un solo botón aplica la combinación pensada para jurisdicciones con requisitos estrictos: solo país, red no guardada, dirección de referencia completa no guardada, detección del tipo de tráfico apagada, retención de 30 días. Lo que sobrevive es la capa agregada: país, dispositivo, navegador, sistema operativo, dominio de referencia, etiquetas de campaña y la huella diaria del visitante. Esa última se conserva a propósito: sin ella desaparece la noción misma de visitante único, y con ella todos los agregados construidos encima.

Dos consecuencias cortan por los dos lados. Guardar reescribe la configuración cacheada de cada enlace y de cada página de bio publicada del espacio de trabajo, así que el siguiente clic ya se registra bajo el modo nuevo y no en la siguiente caducidad de caché: «apagué las coordenadas y se estuvieron recogiendo un día más» no es una respuesta aceptable para un ajuste cuyo propósito es no recoger. Y el cambio no es retroactivo: las filas ya escritas conservan aquello con lo que se escribieron. El filtrado no se ve afectado en ningún caso: una regla de tráfico que enruta por ciudad sigue enrutando por ciudad aunque la ciudad no se registre, porque las reglas deciden a dónde va un visitante, no qué se guarda sobre él.

La dirección: truncarla o no conservarla

El enfoque habitual del sector es el truncado —poner a cero el último octeto de una dirección IPv4, o un prefijo más ancho en IPv6— y es mejor que guardarla entera. También es más débil de lo que suena: una dirección truncada sigue identificando una red de tamaño limitado, sigue estrechando bastante a un visitante de un pueblo pequeño y se puede combinar con los demás campos de la misma fila. El truncado baja la resolución; no quita el campo del sistema.

La alternativa es no conservarla. Aquí la dirección vive dentro de una sola función el tiempo justo para hacer exactamente dos cosas, y después se descarta. El hash es de un solo sentido, sobre la dirección, el user agent, el dominio del enlace y una sal secreta que rota cada día a medianoche UTC, descartando la sal anterior.

address + user agent + link domain + daily salt  ->  one-way hash  ->  stored
address                                          ->  range lookup  ->  country, city, network
address                                          ->  discarded

De ahí salen dos consecuencias honestas, y las dos van en la conversación con el cliente y no en una nota al pie.

Primero, la métrica es visitantes únicos por día. Como la sal rota cada noche, la misma persona es mañana un hash distinto, así que una cifra mensual es una suma de únicos diarios y no un recuento de personas distintas. Cualquier proveedor que informe de únicos mensuales exactos sin cookies o está persistiendo un identificador más tiempo del que admite o está estimando.

Segundo, la dirección no se puede producir después para nadie: ni para ti, ni para una petición a soporte. Ese es el objetivo del diseño, y también una limitación que conviene conocer antes de prometerle a un cliente una investigación que la necesitaría.

El principio continúa en la frontera de salida. La página pública de estadísticas de un enlace recibe de la capa geográfica solo el país y la ciudad: ni redes, ni tipo de tráfico, ni puntuación de calidad, ni coordenadas, y eso lo garantiza un test sobre el cuerpo de la respuesta y no la costumbre. Qué expone cada desglose está documentado en analíticas geográficas y en la página de geografía y calidad del tráfico.

La retención es un ajuste del espacio de trabajo

Deja el campo de retención vacío para el máximo de la plataforma, 730 días, o pon un número de días.

El mecanismo importa más que el número. El valor viaja dentro de cada evento, y la caducidad del almacenamiento se expresa en función de ese valor. Una fila escrita con un ajuste de 30 días se borra a los 30 días aunque el espacio de trabajo pase después a 730, porque manda el ajuste que se aplicaba cuando se escribió la fila.

Esto es lo que convierte la retención en una respuesta utilizable en lugar de en una vaga tranquilización. «Guardamos 90 días» es defendible si el 90 va estampado en cada fila al escribirla; no lo es si describe un filtro de informes sobre filas que en realidad se conservan dos años. Al comparar plataformas, no preguntes cuál es el periodo de retención sino dónde se aplica, y aparte cuál es la profundidad de consulta del plan, porque ese límite también cuenta. Las dos cosas están descritas en datos del visitante y modos de privacidad.

El consentimiento cubre los datos, no la redirección

La confusión más habitual aquí es tratar la propia redirección como aquello de lo que trata el consentimiento. Un visitante que toca un enlace corto ha pedido que lo lleven a algún sitio, y llevarlo es el servicio. Las preguntas sobre el consentimiento se enganchan a otras dos cosas: qué se registra sobre esa visita y cualquier tecnología almacenada en el dispositivo del visitante que no sea estrictamente necesaria.

Ese encuadre tiene consecuencias prácticas. No hay ninguna cookie de medición entre sitios, porque la huella diaria sustituye al mecanismo sobre el que se escribieron casi todos los regímenes de consentimiento. Hay exactamente una cookie en el camino de la redirección —una marca de primera visita en tu propio dominio de redirección— y solo se pone cuando una regla tuya pregunta de verdad si esta es la primera visita o una repetida. Así que la respuesta a «¿vuestros enlaces ponen cookies?» depende de una configuración que puedes señalar y no de una política general.

Los píxeles de seguimiento son la excepción clara. Cuando un espacio de trabajo engancha un píxel de retargeting a un enlace, ese píxel y todo lo que ponga pertenecen a quien es dueño del píxel y al tercero, no al servicio de redirección. El dueño del enlace es el responsable del tratamiento de ese procesamiento y le toca informar de él y obtener el consentimiento que haga falta: una agencia que engancha píxeles por cuenta de un cliente debería tener esto en el contrato con el cliente y no descubrirlo durante una auditoría.

Los papeles importan por la misma razón. Para los datos de clic, el espacio de trabajo o el socio que creó el enlace es el responsable del tratamiento y la plataforma es el encargado del tratamiento, así que la base jurídica, la información de privacidad y cualquier consentimiento le corresponden al dueño del enlace. Las agencias que llevan enlaces para clientes están en esa posición más a menudo de lo que esperan, algo que nuestra guía de agencias sobre enlaces de marca cuenta desde el lado comercial.

El papeleo que pedirá quien lo revise

Dos documentos hacen casi todo el trabajo, y ninguno de los dos se debería improvisar.

Un Acuerdo de Encargo del Tratamiento regula el tratamiento que se lleva a cabo por cuenta tuya. Quien lo revisa lo lee buscando un conjunto concreto de cosas: quién es responsable y quién encargado del tratamiento para cada categoría de datos, las categorías de interesados y de datos personales, las medidas de seguridad, el plazo de notificación de brechas, el mecanismo de transferencia para los datos que salen del Espacio Económico Europeo o del Reino Unido, los derechos de auditoría y qué pasa con los datos al terminar. Nuestro DPA fija esos términos, incluidos un plazo de 72 horas para notificar una brecha, Cláusulas Contractuales Tipo con el anexo del Reino Unido cuando procede, un derecho de auditoría anual previo aviso y el borrado dentro de los 30 días siguientes al fin de la ventana de exportación.

Una lista de subencargados nombra a los terceros que tratan datos por cuenta de la plataforma, para qué se usa cada uno y dónde guarda los datos. Es parte del DPA y no una página de marketing, y lo que evalúa quien revisa es el mecanismo que la rodea: al menos 30 días de aviso antes de añadir o sustituir a uno, un derecho de oposición documentado y la terminación de la parte afectada sin penalización cuando no exista una alternativa razonable. Nuestra lista de subencargados publica los proveedores actuales con su finalidad y la ubicación de los datos; la descripción general está en la política de privacidad.

Si un proveedor no puede producir los dos documentos, o produce una lista de subencargados sin ningún mecanismo de aviso enganchado, ese es el hallazgo, y no la ausencia del logotipo de un certificado.

Una lista de comprobación para la conversación con el cliente

1. Produce la lista de campos del modo que de verdad está en uso: no el máximo de la plataforma, sino lo que ese espacio de trabajo escribe hoy.
2. Di la retención en días y dónde se aplica, distinguida de la profundidad de consulta del plan, y di cuál de las dos manda ahora mismo.
3. Responde a la pregunta de la dirección en una frase: guardada entera, truncada o no guardada, y si no se guarda, explica la huella diaria y el carácter diario de los visitantes únicos.
4. Enumera las cookies del camino de la redirección y qué hace que se ponga cada una. «Ninguna, salvo que haya configurada una regla de primera visita» le gana a «solo cookies esenciales».
5. Separa lo que enganchas tú de lo que hace la plataforma. Los píxeles, las etiquetas de terceros y las analíticas del lado del destino son tratamiento tuyo, no del redirector.
6. Entrega el DPA y la lista de subencargados en lugar de resumirlos, y señala el plazo de aviso para los cambios.
7. Pon el modo de privacidad en el nivel más estricto con el que puedan vivir tus informes, y luego confirma qué desgloses se quedaron vacíos: así es como te enteras de si un ajuste se eligió o simplemente vino por defecto.

La parte incómoda de este asunto es que las decisiones del momento de la escritura son permanentes en los dos sentidos. Los datos que elegiste no recoger no se pueden recuperar cuando alguien pide después un desglose por ciudad, y los datos que sí recogiste no se pueden des-recoger cuando alguien pregunta después por qué los tienes. Ese es un argumento para decidir a conciencia al principio de un encargo en lugar de heredar un valor por defecto. Todo lo de analíticas sigue funcionando en el extremo estricto del rango; lo que cambia es cuánto ves del visitante, no cuánto ves de la campaña.