La mayoría de los sitios web no funcionan por sí solos. Entre bastidores, es probable que su sitio dependa de una larga lista de servicios de terceros: herramientas de análisis, plataformas publicitarias, contenido incrustado, widgets de chat, procesadores de pagos y mucho más.
¿El reto? Incluso una sola herramienta de terceros puede introducir funciones de seguimiento, intercambio de datos o transferencias transfronterizas de datos que supongan riesgos para la privacidad si no se divulgan o gestionan adecuadamente.
En este artículo, analizo los servicios de terceros más comunes que se utilizan en los sitios web y los riesgos para la privacidad asociados a cada uno de ellos.
Verás cómo herramientas como los análisis, las plataformas publicitarias, los elementos incrustados y los servicios de infraestructura pueden afectar a la recopilación y el intercambio de datos, y por qué son una parte esencial del panorama general de la privacidad de un sitio web.
¿Qué son los servicios de terceros en los sitios web?
El concepto de «tercero» varía según las leyes de privacidad. Según el rgpd, muchos sitios web operan como procesadores de datos que actúan en nombre del propietario del sitio web.
Según las leyes de privacidad, como la Ley de Privacidad del Consumidor de California (CCPA), las herramientas de los sitios web pueden clasificarse en diferentes categorías legales, dependiendo de cómo procesen la información personal.
Un proveedor de servicios es una entidad que procesa información personal en nombre de una empresa de conformidad con un contrato escrito con restricciones específicas. Un tercero es una entidad que recibe información personal para sus propios fines comerciales.
Estas distinciones son importantes porque dan lugar a diferentes obligaciones de divulgación y derechos de los usuarios.
Estos servicios suelen añadirse a los sitios web mediante scripts, plugins, etiquetas, API o contenido incrustado. Se utilizan para las siguientes funciones:
- Alojamiento web
- Análisis y seguimiento del rendimiento
- Publicidad
- Atención al cliente
- Procesamiento de pagos
- Marketing por correo electrónico
- Optimización de sitios web
Dado que los proveedores externos operan servicios de terceros, pueden recopilar o procesar datos de los usuarios en nombre del propietario del sitio web o, en algunos casos, para sus propios fines, dependiendo de la configuración del servicio, los términos contractuales y la legislación aplicable una vez que están activos en un sitio.
Muchos de estos servicios pueden cargarse automáticamente cuando alguien visita su sitio web.
Dependiendo de cómo estén configuradas, pueden recopilar datos técnicos, identificadores en línea o información sobre el comportamiento, a veces sin que los propietarios de los sitios web tengan una visibilidad clara de qué datos se recopilan, con qué finalidad o dónde se transfieren.
Esto los convierte en una parte importante del ecosistema general de datos de un sitio web y en un factor clave a la hora de evaluar los riesgos de privacidad y las obligaciones de transparencia.
Por qué los servicios de terceros crean riesgos para la privacidad
Los servicios de terceros pueden suponer riesgos para la privacidad, ya que a menudo recopilan o procesan datos de los usuarios fuera del control directo del propietario del sitio web.
Una vez que un script, plugin o elemento incrustado de terceros está activo, puede recopilar información como:
... a veces antes de que el usuario sea plenamente consciente de que está sucediendo.
Cuando estos servicios no se divulgan adecuadamente, las empresas pueden infringir las leyes de privacidad.
Reglamento general de protección de datos (rgpd)
El rgpd exige a las empresas disponer de una base legal para el tratamiento de datos personales en virtud del artículo 6, que incluye:
- Consentimiento
- Necesidad contractual
- Obligación legal
- Intereses vitales
- Tarea pública
- Intereses legítimos
Cuando los servicios de terceros implican a encargados del tratamiento de datos, las empresas también deben celebrar con estos últimos un acuerdo de tratamiento de datos (DPA) que cumpla los requisitos del artículo 28.
En virtud de los artículos 13 y 14, las empresas deben informar claramente a los usuarios sobre la recopilación de datos por parte de terceros y, cuando sea el caso, obtener también el consentimiento válido antes de utilizar cookies no esenciales o tecnologías de seguimiento similares, como las que se utilizan para:
- Análisis,
- Publicidad, o
- Personalización
A menos que se aplique una exención limitada en virtud de las directrices aplicables.
En la práctica, muchas herramientas de análisis, publicidad y personalización requieren un consentimiento válido en la UE.
También es importante señalar que, cuando los servicios de terceros transfieren datos personales fuera de la UE/EEE o del Reino Unido, se requieren garantías adicionales en virtud del capítulo V rgpd.
Tras la sentencia Schrems II, las empresas deben realizar primero una evaluación del impacto de la transferencia (TIA) para evaluar si la protección de datos en el país de destino es esencialmente equivalente a las normas de la UE.
La TIA revelará si pueden ser necesarias medidas complementarias además de las cláusulas contractuales tipo comunes, que constituyen una garantía para las transferencias internacionales.
Directiva sobre la privacidad y las comunicaciones electrónicas (Ley de cookies de la UE)
La Directiva sobre privacidad electrónica exige el consentimiento del usuario antes de almacenar o acceder a información en su dispositivo, lo que incluye muchas cookies de terceros y tecnologías de seguimiento.
Este requisito se aplica junto con los requisitos rgpd mencionados anteriormente.
Ley de Privacidad del Consumidor de California (CCPA)
La CCPA exige a las empresas que revelen las categorías de terceros a los que se vende o se comparte información personal, el propósito de dichas revelaciones, y que proporcionen los derechos de exclusión voluntaria requeridos cuando sea aplicable y expliquen cómo se utilizan esos datos.
Las empresas también deben ser capaces de distinguir entre «venta» (divulgación a cambio de una contraprestación monetaria u otra contraprestación valiosa) y «compartir» (divulgación para publicidad conductual en distintos contextos). Ambas situaciones dan lugar al derecho de exclusión voluntaria.
Muchas de las herramientas publicitarias o analíticas pueden constituir una «venta» o «compartir» según estas definiciones amplias, y es por eso que es necesario un enlace «No vender ni compartir mi información personal».
Otras leyes de privacidad estatales de EE.UU.
Leyes como la Ley de Protección de Datos del Consumidor de Virginia (VCDPA) y la Ley de Privacidad de Colorado (CPA) exigen una notificación clara sobre el intercambio de datos con terceros y los fines definidos del tratamiento.
Más allá de los requisitos de divulgación, los servicios de terceros también pueden generar problemas relacionados con las transferencias internacionales de datos, la retención de datos y la responsabilidad de los proveedores, especialmente cuando se superponen múltiples herramientas en un solo sitio web.
Sin la visibilidad y la documentación adecuadas, incluso los servicios de uso común pueden aumentar el riesgo legal y operativo.
Los servicios de terceros más comunes en los sitios web
Hoy en día, los sitios web dependen de una amplia gama de servicios de terceros para funcionar de manera eficiente, medir el rendimiento y atraer a los usuarios.
Aunque estas herramientas suelen aportar un valor comercial significativo, cada tipo tiene sus propias consideraciones en materia de privacidad, dependiendo de cómo se recopilen, compartan y procesen los datos.
1. Análisis y seguimiento del rendimiento
Las herramientas de análisis y seguimiento del rendimiento ayudan a los propietarios de sitios web a comprender cómo los visitantes encuentran y utilizan sus sitios.
Se utilizan habitualmente para medir los volúmenes de tráfico, las visitas a las páginas, los recorridos de los usuarios, las tasas de conversión y el rendimiento general del sitio. Esta información puede servir de base para tomar decisiones de diseño, elaborar estrategias de contenido y planificar iniciativas de marketing.
Los proveedores habituales incluyen:
Dado que estas herramientas suelen basarse en cookies o tecnologías de seguimiento similares y pueden recopilar identificadores como direcciones IP o datos de dispositivos, normalmente requieren una divulgación clara y, en algunas regiones, el consentimiento del usuario.
Dependiendo del proveedor y la configuración, las herramientas de análisis pueden actuar como procesadores o controladores independientes.
Cuando los datos se transfieren fuera de la UE, los propietarios de sitios web también deben evaluar los mecanismos de transferencia internacional, como las decisiones de adecuación disponibles emitidas por la Comisión Europea o las garantías adecuadas (por ejemplo, cláusulas contractuales tipo).
2. Redes publicitarias y de retargeting
Las redes publicitarias y de retargeting permiten a las empresas promocionar productos o servicios, realizar un seguimiento del rendimiento de las campañas y llegar a los usuarios a través de diferentes plataformas.
Estas herramientas se utilizan para mostrar anuncios personalizados basados en el comportamiento de navegación o en interacciones previas.
Los proveedores habituales incluyen:
Debido a su dependencia del seguimiento del comportamiento, la elaboración de perfiles y el intercambio de datos entre los ecosistemas publicitarios, estos servicios suelen estar sujetos a requisitos más estrictos en materia de consentimiento y exclusión voluntaria.
3. Complementos y elementos incrustados de redes sociales
Los complementos de redes sociales y el contenido incrustado permiten a los sitios web mostrar vídeos, publicaciones, comentarios o botones para compartir directamente en una página.
Estas funciones pueden aumentar el compromiso y hacer que el contenido sea más interactivo para los visitantes.
Los proveedores habituales incluyen:
Incluso cuando los usuarios no hacen clic ni interactúan con el contenido incrustado, estas herramientas pueden seguir cargando scripts de terceros que recopilan datos automáticamente, lo que puede plantear problemas de transparencia o riesgos para la privacidad debido a que:
- Los datos se transfieren antes de cualquier interacción del usuario; o
- Es posible que los usuarios no sean conscientes de que sus datos están siendo recopilados o procesados por terceros.
En algunos casos, los tribunales y los organismos reguladores han determinado que existe un control conjunto entre los operadores de sitios web y las plataformas de redes sociales en lo que respecta a la recopilación inicial de datos a través de contenidos incrustados.
4. Atención al cliente y herramientas de chat
Las herramientas de atención al cliente y chat permiten a las empresas comunicarse con los visitantes en tiempo real, responder preguntas y proporcionar asistencia a lo largo de todo el recorrido del cliente.
Se utilizan a menudo en páginas de ventas, pantallas de pago y portales de asistencia.
Los proveedores habituales incluyen:
Dado que estas herramientas pueden recopilar datos personales y almacenar historiales de conversaciones, las empresas deben explicar claramente cómo se utilizan, almacenan y comparten los datos de los chats.
5. Servicios de pago y finalización de la compra
Los servicios de pago y finalización de compra facilitan las transacciones en línea mediante el procesamiento de pagos, la detección de fraudes y la gestión de los flujos de trabajo de facturación.
Estas herramientas son esenciales para los sitios de comercio electrónico y los negocios basados en suscripciones.
Los proveedores habituales incluyen:
Dado que estos servicios manejan información financiera y de identidad confidencial, la transparencia en torno al manejo de datos y la participación de terceros es especialmente importante.
Herramientas de marketing por correo electrónico y CRM
Las herramientas de marketing por correo electrónico y gestión de relaciones con los clientes (CRM) ayudan a las empresas a gestionar listas de contactos, enviar campañas de marketing, realizar un seguimiento del compromiso y organizar las relaciones con los clientes a lo largo del tiempo.
Estas plataformas suelen integrarse con sitios web, herramientas de comercio electrónico y servicios de análisis.
Los proveedores habituales incluyen:
Dado que estas herramientas suelen combinar datos procedentes de múltiples fuentes, pueden plantear riesgos para la privacidad relacionados con el consentimiento, la elaboración de perfiles y la conservación de datos a largo plazo, tales como:
- Según rgpd, las comunicaciones de marketing suelen requerir el consentimiento previo (opt-in), con excepciones limitadas para las relaciones con clientes existentes (soft opt-in).
- Según la ley CAN-SPAM (EE. UU.), los correos electrónicos comerciales deben incluir mecanismos de exclusión voluntaria y una identificación precisa del remitente.
- La elaboración de perfiles y la segmentación pueden activar las protecciones del artículo 22 sobre la toma de decisiones automatizada o los requisitos de la DPIA.
- Estas plataformas agregan datos de múltiples fuentes (formularios de sitios web, historial de compras, integraciones de terceros), lo que requiere transparencia sobre todas las fuentes de datos.
- Derechos de los interesados (acceso, supresión, portabilidad, oposición) deben implementarse, incluida la posibilidad de exportar o suprimir los datos de los suscriptores.
7. Proveedores de alojamiento, CDN e infraestructura
Los proveedores de alojamiento, CDN e infraestructura constituyen la columna vertebral técnica de un sitio web. Garantizan la disponibilidad, el rendimiento, la seguridad y la entrega de contenidos del sitio en diferentes regiones.
Los proveedores habituales incluyen:
Aunque estos servicios operan principalmente a nivel de infraestructura, pueden procesar de forma rutinaria datos personales como direcciones IP o registros de servidor, lo que puede dar lugar a consideraciones sobre la divulgación y la transferencia de datos.
8. Herramientas de experiencia de usuario, pruebas A/B y personalización
Las herramientas de pruebas UX y personalización ayudan a los sitios web a experimentar con diseños, contenidos y funciones para mejorar la experiencia del usuario y las tasas de conversión.
A menudo se utilizan para comparar diferentes versiones de una página o adaptar el contenido a públicos específicos.
Los proveedores habituales incluyen:
Dado que estas herramientas pueden rastrear interacciones detalladas de los usuarios, como clics, desplazamientos o actividad de la sesión, a menudo requieren una consideración cuidadosa en torno al consentimiento y la divulgación.
Cómo gestionar los riesgos de privacidad de terceros en su sitio web
El uso de servicios de terceros suele ser inevitable, pero las herramientas no gestionadas pueden aumentar rápidamente el riesgo para la privacidad.
La clave está en comprender qué se ejecuta en su sitio web, qué datos recopilan esos servicios y cómo se divulgan y controlan esos datos.
A continuación se indican varios pasos que los propietarios de sitios web pueden seguir para gestionar mejor los riesgos de privacidad de terceros.
Audite los servicios de terceros en su sitio web.
Comience por identificar todos los servicios de terceros activos en su sitio web, incluyendo herramientas de análisis, redes publicitarias, medios integrados, widgets de chat y procesadores de pago.
Algunos servicios son fáciles de detectar, mientras que otros se ejecutan en segundo plano a través de scripts o complementos añadidos con el tiempo.
Herramientas como escáner de cookies Termly escáner de cookies ayudarte a identificar las cookies y tecnologías de seguimiento instaladas en tu sitio web.
Esto puede resultar especialmente útil para detectar cookies que quizá no sepas que están en funcionamiento, lo que te llevará a revisar más detenidamente las herramientas o integraciones de terceros responsables de ellas.
Comprender qué datos recopila cada servicio
No todas las herramientas de terceros recopilan los mismos tipos de datos.
Algunos pueden procesar solo información técnica, como direcciones IP, mientras que otros recopilan datos de comportamiento, preferencias o detalles de interacción.
Revisar la documentación de cada proveedor puede ayudar a aclarar qué datos personales se recopilan, cómo se utilizan y si se comparten con terceros.
Divulgue claramente los servicios de terceros en sus políticas.
Las leyes de privacidad suelen exigir a las empresas que expliquen cómo recopilan y comparten los datos personales.
Su política de privacidad debe revelar claramente las categorías de proveedores de servicios externos utilizados en su sitio web y describir sus fines.
El uso de una herramienta como Generador de política de privacidad Termly Generador de política de privacidad ayudar a garantizar que estas divulgaciones estén claramente documentadas y sean más fáciles de actualizar a medida que los servicios de terceros cambian con el tiempo.
Recopilar y respetar el consentimiento del usuario cuando sea necesario.
Ciertos servicios de terceros, en particular los utilizados para análisis, publicidad y personalización, pueden requerir el consentimiento del usuario antes de su activación.
Gestionar cuándo se cargan estas herramientas en función de las elecciones del usuario ayuda a alinear la recopilación de datos con las leyes de privacidad aplicables y las expectativas de los usuarios.
Revisar los acuerdos con los proveedores y las prácticas de datos.
Los proveedores externos suelen tener sus propios términos de tratamiento de datos, períodos de conservación y prácticas de seguridad.
Revisar los acuerdos con los proveedores puede ayudar a aclarar las responsabilidades, especialmente cuando los servicios procesan datos personales en su nombre u operan en múltiples jurisdicciones.
Escrito por Hanna De La Garza
Hanna De La Garza es redactora especializada en privacidad en Termly licenciada en Periodismo por la Universidad de Florida. Crea recursos interesantes sobre privacidad de datos, gestión del consentimiento, actualizaciones normativas y mucho más.
Leer todas las publicaciones de Hanna De La Garza
Revisado por Teodor Stanciu, CIPP/E, CIPM
Teodor Stanciu es coordinador jurídico y delegado de protección de datos, licenciado en Derecho por la Universidad de Bucarest y máster en Derecho de la Unión Europea y Derecho Mercantil Internacional por la Universidad Radboud.
Leer todas las publicaciones revisadas por Teodor Stanciu, CIPP/E, CIPM
