Política de cookies y consentimiento de los usuarios

1) Por qué se necesita una política de cookies

La política de cookies es una descripción transparente de lo que está recopilando, por qué, durante cuánto tiempo, con quién está compartiendo y cómo administrar el consentimiento. Para iGaming/Fintech, esto es crítico debido a la sensibilidad de los datos, los requisitos de los reguladores y los socios (proveedores de pago, redes de publicidad, afiliados).

• Legalidad (cumplimiento de GDPR/ePrivacy, CCPA/CPRA, LGPD, etc.).
• Transparencia y control para el usuario (opt-in/opt-out).
• Gestión de riesgos (multas, bloques de plataformas publicitarias, pérdida de confianza).
• Métricas estables (conversión de banner, impacto en la comercialización).

2) Categorías de cookies/rastreadores (taxonomía recomendada)

Nota: Los SDK/píxeles de aplicaciones móviles también entran dentro de estas categorías.

3) Banner y centro de preferencias (patrones UX)

• Botones claros: «Aceptar todo», «Rechazar todo», «Configurar» (igual visibilidad).
• Anuncio corto + enlace a la política detallada.
• Activación instantánea de la configuración (no posponer).
• No bloquear el acceso a la funcionalidad obligatoria.

• Tumblers granulares por categoría y (opcional) por vendedores.
• Guardar la selección con el temporizador, mostrar el estado.
• Posibilidad de cambiar la selección en cualquier momento (enlace en el perfil/perfil).
• Secciones separadas: GPC/» Do Not Sell or Share», Limit Sensitive Data (para CA), Retiro del consentimiento.

4) Plataforma de gestión de consensos (CMP): funciones

Dibujo del banner y del centro de preferencias (web + móviles SDK).
Diario de consentimiento (versión de la política, categoría, vendedor, hora, región).
Geotargeting del Reglamento (CE/California/Brasil y otros).
Integración con el administrador de etiquetas: bloquear las etiquetas antes del consentimiento (consent prioritario).
API para aplicaciones y sistemas de servidor (transferencia de estado de consentimiento).
Compatibilidad con Global Privacy Control (GPC) y forzar la desactivación de sharing/marketing cuando se recibe una señal.

5) Jurisdicciones y diferencias (breve)

EU/EEE (ePrivacy + GDPR): opt-in para análisis/marketing; «obligatorio» se puede sin consentimiento. Necesita una elección informada, fácil de cambiar/retirar.
California (CCPA/CPRA): derechos opt-out de «sale» y sharing (publicidad conductual); El GPC es obligatorio; ссылка «Do Not Sell or Share My Personal Information». Para niños <16 - opt-in.
Brasil (LGPD): principios similares: transparencia, fundamentos legítimos; consentimiento para rastreadores de marketing, derechos de revocación, portabilidad, eliminación.

6) Arquitectura de activación/bloqueo de rastreadores

1. Pre-load guard: antes de obtener el consentimiento, sólo enviamos scripts obligatorios.
2. Integración Tag Manager: cada etiqueta se marca con una categoría; activamos después de la señal CMP.
3. Análisis del lado del servidor (preferiblemente): reducir la cantidad de datos personales en el navegador, centralizar el enmascaramiento.
4. Mobile SDK gating: inicialización de SDK estrictamente después del estado de consentimiento; actualización cuando se modifica.
5. Píxeles de afiliación: primero sólo con consentimiento de marketing/atribución; El postbec de servidor es preferible.
6. Registros y auditorías: registramos qué y cuándo se activó, en qué base.

7) Transparencia y contenido de las políticas

1. Qué son las cookies/SDK y por qué son necesarias.

2. Categorías y objetivos (tabla).

3. Lista completa de cookies usadas/SDK: nombre, proveedor, propósito, vida útil, tipo (1st/3rd party).

4. Motivos de tramitación (consentimiento/LI/contrato) y modalidades de gestión.

5. GPC y los derechos regionales (opt-in/opt-out, «Do Not Sell or Share», «Limit Sensitive Data»).

6. Plazos de retención y criterios.

7. Transferencias a terceros y a otros países (mecanismos generales de protección).

8. Cómo retirar/cambiar una selección; Contactos DPO/Soporte.

9. Fecha de la última actualización y versión.

8) Almacenamiento y minimización

Retention Schedule: para cada categoría - plazo (por ejemplo, analítica 13 meses, marketing 6-13 meses, funcional 6-12 meses.).
Minimización: reduzca los campos a la necesidad; para el análisis - agregación y seudonimización.
Dev/Stage: no utilizar identificadores reales; aplique dummy -dados o enmascaramiento.

9) GPC и «Do Not Sell or Share»

Cuando obtenga el GPC, apague automáticamente el sharing/marketing y fije esto en el registro.
Un enlace separado en el fouter: «Do Not Sell or Share My Personal Information» es para usuarios de Estados Unidos (California).
En el centro de preferencias, muestre que GPC está activo y qué categorías, por lo tanto, no están disponibles.

10) Ejemplos de formulaciones (fragmentos terminados)

• "Utilizamos cookies para garantizar el funcionamiento del sitio, así como para análisis y publicidad personalizada. Haga clic en Aceptar todo o configure las categorías. Puede cambiar la selección en cualquier momento"

• "Procesamos métricas agregadas de asistencia y eventos. Las cookies de análisis sólo se colocan con su consentimiento. La vida útil es de hasta 13 meses"

• "Las cookies de marketing permiten mostrar anuncios personalizados y medir su eficacia. Puede darse de baja en el centro de preferencias o a través de GPC. Si se rechaza, no publicaremos dichos archivos y limitaremos la transferencia de datos a terceros"

11) Métricas y control de calidad

Tasa de consenso (general, por región/fuente).
Reject Rate y Adjust Rate (el usuario cambia la configuración).
Time-to-Consent (velocidad de aceptación).
GPC Honor Rate (cuántas sesiones se han procesado correctamente).
Post-Consent Firing Accuracy (proporción de activaciones de etiquetas correctas).
Impact on Conversion (antes/después - registro, depósito, FTD).
Tasa de Incident (firing no autorizado, fugas de ID).

12) Hojas de comprobación para la implementación

Políticas y textos

• Una breve pancarta con «Aceptar todo/Rechazar todo/Configurar».
• Política de cookies con tablas de categorías/vendedores/plazos.
• Enlace «Do Not Sell or Share...» (para Estados Unidos) y la sección GPC.
• Actualiza la fecha y la versión cada vez que se realiza un cambio.

Técnicas y etiquetas

• El CMP está conectado a cualquier etiqueta no obligatoria.
• El tag manager bloquea el firing antes del consentimiento (consent prioritario).
• Análisis del servidor y de los afiliados postbeca siempre que sea posible.
• Revistas de concordancia con la región, versión, tiempo.

Operaciones y controles

• Reconocimiento geográfico y normas diferentes (UE/EE.UU./Brasil).
• Pruebas de GPC y scripts opt-out.
• Auditoría trimestral de la lista de vendedores/SDK.
• Entrenamiento de sapport (cómo ayudar con el cambio de consentimiento).

13) Errores frecuentes y cómo evitarlos

Descargar análisis/marketing antes del consentimiento → utilizar el lado del servidor y el bloque principal.
La visibilidad desigual de los botones de → aumenta el riesgo de quejas/multas.
Categorías confusas → dividir por objetivos, no por los nombres de los vendedores.
No hay GPC → inconsistencia para los Estados Unidos (California).
La falta de registros de consentimiento → difícil de demostrar la legalidad.
Listas de vendedores irrelevantes → automatice las auditorías y actualizaciones.

14) Matriz «Categoría → Base → Acción por región»

15) Plantilla de sección en su Política (esqueleto)

1. Definiciones e información de contacto del operador/DPO.
2. Categorías de cookies y objetivos (tabla).
3. Lista de vendedores/SDK con asignaciones y plazos de retención.
4. Cómo administrar el consentimiento (banner, centro, GPC, enlaces en navegadores).
5. Derechos regionales: UE (opt-in/revocation), Estados Unidos (opt-out/» Do Not Sell or Share »/GPC), Brasil (revocación del consentimiento/derecho de la entidad).
6. Transferencias a terceros y a otros países (medidas generales de protección).
7. Actualizaciones de directivas, fecha y versión.

16) Hoja de ruta para la implementación (6 pasos)

1. Mapa de rastreadores: inventario de cookies/SDK/píxeles, objetivos, vendedores, plazos.
2. CMP: selección, integración con gestor de etiquetas y SDK móviles, geodirigido.
3. Textos: pancarta, centro de preferencias, política de cookies, secciones GPC/» No vender o compartir».
4. Techcontur: prior-blocking, análisis del servidor/postbeki, logs de consentimiento.
5. Plan de prueba: pancarta A/B, regresión primero, guiones GPC/niños/revisión.
6. Operaciones: auditoría trimestral de vendedores/plazos, informe de métricas a la administración.

Resultado

Una política de cookies fuerte no es solo un banner: es arquitectura de consentimiento, categorías transparentes y plazos, técnica de bloqueo de etiquetas correcta, soporte GPC e interfaces claras para cambiar las opciones. Al integrar estos elementos en el producto y las operaciones, cumplirá con los requisitos de diferentes jurisdicciones, reducirá los riesgos y mantendrá la conversión y la confianza de los usuarios.