Cookies y consentimiento (CMP)

CMP (Consent Management Platform) es un banner de consentimiento de cookies más la mecánica que realmente bloquea los scripts de terceros antes de que el visitante pulse «Aceptar». Con una «franja en la parte inferior de la pantalla» no basta para el GDPR: antes del consentimiento, la analítica y los píxeles publicitarios no deben ejecutarse en absoluto.

Nuestro CMP funciona tanto en nuestro Escaparate como en su propio sitio web — con el mismo código.

Dónde se configura:

Marketing → «Mi sitio» → tarjeta «Cookies y consentimiento» (para el sitio externo);
o bien Sitio → «Configurar sitio» → sección «Cookies y consentimiento (CMP)» (para nuestro Escaparate).

Cómo activarlo#

Inserte en el sitio el código de instalación de la sección «Mi sitio» — el banner de cookies se carga primero entre todos los Widgets, para que los demás scripts vean la decisión ya tomada.
Active el interruptor del Widget.
Ejecute el Escáner — recopilará la lista de cookies de su sitio.
Publique la página «Política de cookies» o indique un enlace a la suya.

El banner determina por sí mismo el idioma de la página y se muestra en él — las traducciones a 45 idiomas ya están listas.

Para WordPress hay un plugin aparte, Cenaly Consent: lo instala en su panel de administración de WP, pulsa «Conectar», elige la Local en la ventana que se abre — la etiqueta y los ajustes llegan solos, no hace falta insertar el código a mano.

Cuánto cuesta#

El banner en sí y el bloqueo de rastreadores son gratuitos en cualquier Plan — tanto en nuestro Escaparate como en su propio sitio web. El cumplimiento legal no se vende por partes: 45 idiomas, autobloqueo, Consent Mode v2, centro de preferencias y página alojada «Política de cookies» forman parte de la plataforma.

Aparte se vende el nivel «Cookies Pro» — tarjeta «Cookies y consentimiento» en la Tienda de Aplicaciones, 9 $ al mes o 90 $ al año por Local. No es acceso a la sección, sino la escala del servicio: un Escáner del sitio más profundo y frecuente (incluidas secciones cerradas), un registro de consentimientos extenso con exportación como prueba, reglas propias por países, configuración completa del diseño y textos de sustitución por idiomas, y la retirada de la insignia «Funciona con Cenaly». La composición vigente del nivel y el precio están en la propia tarjeta de la tienda.

El etiquetado con IA de cookies no reconocidas no está incluido en el nivel y no se vende aparte: está disponible en cualquier nivel, y cada llamada se paga con el saldo de IA de la Cuenta. En las marcas en la Nube de Yandex (cenaly.ru) no hay Escáner automático del sitio (véase más abajo), por lo que esa parte del nivel no funciona allí; el registro de consentimientos y la exportación sí están.

Categorías y qué se bloquea antes del consentimiento#

Cuatro categorías estándar:

Categoría	Qué incluye	Por defecto
Necesarias	Carrito, sesión, seguridad	Siempre activadas, no se pueden desactivar
Preferencias	Idioma, moneda, Local elegida previamente	A decisión del visitante
Estadística	Google Analytics, Яндекс.Метрика, Matomo, Clarity	A decisión del visitante
Marketing	Facebook Pixel, VK, TikTok, píxeles publicitarios y remarketing	A decisión del visitante

Mientras no haya consentimiento, los scripts e iframes de estas categorías no se cargan: sus direcciones se cotejan con el registro integrado de rastreadores, y usted puede añadir sus propios patrones. Un iframe bloqueado (por ejemplo, un vídeo de YouTube) muestra un marcador de posición con el enlace «permitir».

Además, se transmiten señales de consentimiento a los sistemas publicitarios: Google Consent Mode v2 (antes del consentimiento — modo sin cookies), Microsoft UET, Meta (fbq), Clarity Consent API. Se tienen en cuenta las señales del navegador GPC y Do Not Track.

La vigencia del consentimiento es configurable (por defecto 365 días, admisible 30–730), tras lo cual el banner volverá a preguntar. La negativa del visitante se recuerda — no volveremos a preguntar en cada visita. Se puede activar un consentimiento común para todos los subdominios e indicar un enlace a la lista de sitios que cubre.

Modos por países#

Un modo es el comportamiento del banner antes de que el visitante pulse algo. Se elige así:

su regla para el país del visitante (si está definida),
su modo predeterminado,
el mapa de países integrado,
la heurística por zona horaria del navegador.

El país del visitante se determina por IP. ⚠️ Es la elección de un comportamiento que ha configurado usted, no una conclusión sobre qué ley le resulta aplicable.

Cinco modos#

Modo	Qué ocurre antes de la decisión del visitante	Qué ve el visitante
opt-in	todo lo que no es necesario está bloqueado	banner «Aceptar / Rechazar / Configurar»
opt-out	permitido hasta el rechazo explícito	banner + «Do Not Sell or Share»; la señal del navegador GPC o Do Not Track se considera rechazo automático del marketing
suave	permitido, no se bloquea nada	banner informativo
aviso	permitido	una línea de mensaje, no pedimos consentimiento
oculto	permitido	no hay banner en absoluto; los ajustes se abren con el enlace `#cenaly-consent` en su sitio

Al margen de los modos existe un complemento: «aviso en lugar de solicitud de consentimiento»: usted lo habilita y, si el informe del escáner demuestra que fuera de la categoría «necesarias» no hay nada en el sitio, la primera capa informa en vez de preguntar. No levanta el bloqueo: si aparece un nuevo rastreador, seguirá bloqueado hasta que el visitante lo permita.

Mapa de países integrado#

Se aplica cuando no ha definido ni una regla para el país ni su propio modo predeterminado:

opt-in — 32 países: los 27 países de la Unión Europea más Islandia, Liechtenstein y Noruega (en conjunto, el EEE), Reino Unido y Suiza;
opt-out — EE. UU.;
todos los demás países — no hay regla: se aplicará su modo predeterminado y, si tampoco está definido, la heurística por zona horaria del navegador (Europe/* → opt-in, America/* → opt-out, en los demás casos opt-in). El valor predeterminado seguro es opt-in.

⚠️ El mapa es nuestra configuración predeterminada, no una clasificación jurídica de los países. Los países donde se acostumbra pedir consentimiento pero que no están en el mapa (Turquía, Rusia, Brasil y decenas de otros) quedarán bajo su valor predeterminado o bajo la heurística. Si necesita un modo concreto en un país concreto, defínalo con una regla en lugar de confiar en el mapa.

⚠️ La determinación del país por IP no está disponible en todas partes. En las marcas en la nube de Yandex (cenaly.ru) no hay endpoint de geolocalización, y el widget recurre directamente a la heurística por zona horaria, que es más tosca: un visitante de la UE de viaje por EE. UU. obtendrá America/* → opt-out. Si esto es importante para usted, defina el modo predeterminado de forma explícita. El país de siete husos horarios el widget sí lo reconoce (Moscú → RU, Estambul → TR, Tiflis → GE, Kiev → UA, Londres → GB, Ereván → AM, Tirana → AL): su regla para ese país se aplicará incluso con un modo predeterminado definido.

Dónde se configura: la ficha «Cookies y consentimiento» → engranaje → «Modo de consentimiento predeterminado» y «Reglas por países» (país en formato ISO-2 → modo).

Qué NO hace el modo#

no elige la jurisdicción por usted — qué modo activar en cada país lo decide usted (y su abogado);
no cambia los textos de los documentos: el conjunto de páginas jurídicas y sus formulaciones es una herramienta aparte con sus propios países, véase Documentos jurídicos;
no cubre las aplicaciones móviles — es un script para páginas web;
no emite la cadena TCF de IAB Europe: si un socio publicitario exige precisamente un CMP certificado del marco TCF, nuestro banner no le servirá. Transmitimos las señales de consentimiento directamente: Google Consent Mode v2, Microsoft UET, Meta, Clarity.

De dónde vienen las expectativas habituales del mercado#

⚖️ Estas son referencias orientativas, no asesoramiento jurídico ni una afirmación de que le resulte aplicable tal o cual norma. Citamos las fuentes primarias en las que nos basamos nosotros mismos; compruebe su vigencia y su aplicabilidad a su negocio con un abogado.

Dónde	Norma	Qué dice sobre las cookies	Fuente primaria
UE / EEE	Directiva 2002/58/CE (ePrivacy), art. 5(3), más las implementaciones nacionales	el acceso al dispositivo del usuario para cookies no estrictamente necesarias solo con consentimiento previo; las estrictamente necesarias, sin consentimiento	eur-lex.europa.eu/eli/dir/2002/58
Francia	recomendaciones de la CNIL sobre cookies y rastreadores	los botones «Aceptar» y «Rechazar» deben ser equivalentes en visibilidad; continuar la navegación no cuenta como consentimiento	cnil.fr
Reino Unido	PECR 2003 (modificado por la Data (Use and Access) Act 2025)	las cookies no esenciales y tecnologías similares solo con consentimiento explícito y activo; las casillas premarcadas no sirven	legislation.gov.uk/uksi/2003/2426
EE. UU., California	CCPA/CPRA y los reglamentos de la CPPA	modelo de exclusión: opt-out de la «venta/el uso compartido» y reconocimiento obligatorio de la señal Global Privacy Control. Se aplica por encima de los umbrales (en particular, de ingresos) — un negocio pequeño típico puede no estar sujeto a ellos	cppa.ca.gov
Turquía	guía de la KVKK sobre cookies (2022) y la decisión del Kurulu n.º 2022/1358	las cookies no esenciales requieren consentimiento explícito; seguir viendo el sitio no cuenta como consentimiento	kvkk.gov.tr
Rusia	no hay una ley específica sobre cookies — normas generales de la 152-FZ, art. 9	el consentimiento para el tratamiento de datos personales es explícito, separado y revocable	consultant.ru, 152-FZ
Georgia	no hay una ley específica sobre cookies — Ley de protección de datos personales	la base del tratamiento es el consentimiento; las cookies técnicas, la información	matsne.gov.ge

En el mundo hay más países que filas en esta tabla: la lista es incompleta a propósito — solo enumeramos lo que usamos nosotros mismos al configurar el producto.

Aspecto y textos#

Diseño: barra, tarjeta, ventana modal; la posición es cualquiera de las seis variantes de borde/esquina.
Pantalla de ajustes: despliegue en tarjeta o panel lateral deslizante.
Paleta por elementos por separado para tema claro y oscuro, logotipo propio, CSS propio (hasta 10 KB).
Interruptores de botones: aspa, «Rechazar todo», «Configurar». El botón «Aceptar» no se puede ocultar, y en modo opt-in el panel de administración avisará de los riesgos si se quita «Rechazar».
Las categorías se pueden mostrar con casillas directamente en la primera capa del banner.
Cualquier texto del banner se edita por idiomas sobre nuestras traducciones.
La vista previa en la cuenta se alterna entre desktop, tableta y móvil.
Se configura por separado el botón flotante «Ajustes de cookies» (izquierda/derecha/desactivado) y la lista de páginas en las que no se muestra el banner.

Escáner de cookies y declaración#

⚠️ El escáner no está disponible en las marcas en la nube de Yandex (cenaly.ru). Allí la lista de cookies para la declaración se lleva manualmente en la misma tabla de abajo —la página de política sigue activa—, y no hay avisos en lugar de solicitud de consentimiento ni marcado con IA, que se apoyan en el informe del escaneo.

El escáner abre su sitio en el navegador y recopila cookies reales y servicios de terceros. Cada página se recorre dos veces —sin consentimiento (así se ven las infracciones de prior consent) y con consentimiento completo (así se recopila la declaración completa):

recorrido por robots.txt, sitemap.xml y enlaces desde las páginas iniciales, con límite por número de páginas;
programación: mensual o semanal, en la cuenta se ve la fecha del siguiente escaneo;
historial de escaneos: cuántas páginas se recorrieron, cuántas cookies se encontraron y cuántas de ellas son nuevas respecto a la vez anterior;
escaneo con inicio de sesión: para las páginas del área personal;
clasificador con IA: las cookies desconocidas reciben una categoría propuesta con explicación, usted confirma o cambia. La llamada es de pago: se descuenta del saldo de IA de la cuenta en cualquier nivel.

Declaración de cookies: tabla de todas las cookies por categorías: nombre, proveedor, plazo de conservación, finalidad. Se pueden añadir registros propios, editar descripciones y traducciones. De esta misma tabla se recopila la lista para el banner y para la página de política.

No confunda el escáner con la página pública «Comprobación del sitio»: está disponible sin iniciar sesión en la cuenta, pero solo lee el HTML de origen de una página: mostrará los rastreadores en el código, la presencia del banner de consentimiento y nuestra etiqueta, pero no verá las cookies reales ni lo que cargan los scripts en el navegador. Es un escaparate-gancho para «ver qué tengo en mi sitio»; la declaración completa la recopila precisamente el escáner de arriba.

Página «Política de cookies»#

El enlace del banner lleva o bien a su página existente, o bien a un documento que generamos y publicamos nosotros mismos: se recopila a partir de los resultados del escaneo, se publica en 45 idiomas y se actualiza junto con la declaración: la tabla de cookies en él siempre está activa.

Si necesita también el resto de páginas legales (política de privacidad, condiciones, devoluciones, envío), consulte Documentos legales.

Registro de consentimientos e informes#

ℹ️ En las marcas en la nube de Yandex (cenaly.ru) el registro se recopila de otra forma, pero igual de completo. En la infraestructura principal de la solución los datos se trasladan al registro por la noche, y en cenaly.ru, en el momento en que usted abre el registro, las tendencias o la exportación: la primera apertura del día puede tardar un par de segundos más, pero las decisiones recientes se ven de inmediato. El formato, la deduplicación y los plazos de conservación son comunes, por lo que la exportación como prueba es idéntica en ambas nubes.

El registro es la prueba del consentimiento (proof of consent) en caso de inspección:

fecha, identificador anónimo, categorías seleccionadas, versión de la política, país e idioma;
exportación CSV y de un registro individual;
tendencias: aceptado / rechazado / parcial por días y por países;
contador de impresiones del banner.

El botón «Volver a preguntar a todos ahora» sube la versión de la política: tras cambios sustanciales, el banner vuelve a preguntar a todos.

Limitaciones#

El «prior consent» estricto requiere una etiqueta aparte. A través del cargador único, el banner de cookies se levanta el primero de nuestros widgets, pero no adelantará a la analítica ajena fijada en <head> por encima de nuestro código. Si necesita que ningún script de terceros se inicie antes de la respuesta del visitante, coloque la etiqueta del banner en la primera línea de <head>, antes que todas las demás.
Una configuración rota o no disponible retira el bloqueo, no lo activa. Widget desactivado, página en exclusiones, configuración no leída: los rastreadores del sitio funcionan con normalidad. No se puede mantener bloqueado el sitio de otro por un fallo nuestro, así que compruebe que el banner se muestra realmente.
Se bloquea lo que se conoce. Los scripts e iframe se cotejan con el registro integrado de rastreadores; un contador no estándar o propio debe añadirse con su propio patrón; de lo contrario, se cargará antes del consentimiento.
La puerta de edad 18+ es una sección aparte y textos aparte. Está desactivada por defecto, y sus rótulos existen en inglés, ruso, georgiano y turco con caída al inglés, mientras que el propio banner habla en 45 idiomas: defina la formulación para su mercado con sus propios textos.
La cobertura de regiones es un ajuste, no una certificación. El mapa integrado conoce 32 países con opt-in y EE. UU. con opt-out; el resto lo define usted con reglas; el banner no puede verificar la conformidad con su jurisdicción ni lo intenta: los detalles y las fuentes primarias están en la sección «Modos por países».
No tenemos el framework TCF (IAB Europe). Si una red publicitaria exige un CMP certificado con cadena TCF, nuestro banner no le servirá: transmitimos el consentimiento directamente: Google Consent Mode v2, Microsoft UET, Meta, Clarity.
Es un banner web. No está pensado para aplicaciones móviles (sus propios SDK, solicitudes de seguimiento del sistema).
El banner no sustituye la política. El enlace a la página «Política de cookies» (la nuestra publicada o la suya propia) debe estar rellenado: sin él, el visitante no tiene dónde ver a qué consiente.

Solución de problemas#

El banner no aparece en el sitio. La etiqueta no está insertada o no está en todas las páginas de la plantilla (pulse «Comprobar instalación»); en la etiqueta hay un data-domain ajeno; el interruptor del Widget está apagado; los cambios aún no han llegado — los archivos de los Widgets se distribuyen a través de CDN con una caché de 5 minutos. La etiqueta que inserta Google Tag Manager ya en el navegador, la comprobación de instalación no la verá — esto no es un error, mire el sitio con sus propios ojos; la lista completa de estos casos está en «Qué no ve la comprobación de instalación».

El banner aparece, pero los rastreadores se cargan antes del Consiente. Lo más probable es que un script ajeno esté en el <head> por encima de nuestra etiqueta — mueva nuestra etiqueta al primer lugar. El segundo caso frecuente es que el contador no esté en el registro integrado: añada su dirección con su propio patrón.

El banner se muestra una y otra vez. Compruebe la vigencia del Consiente y si no se ha reeditado la política: la reedición sube la versión, y el banner vuelve a preguntar — así está pensado.

Herramientas de diagnóstico:

Comprobar instalación — leemos el HTML de origen de su página e indicamos si se ha encontrado el código y si está dentro de <head>.
Enviar código al desarrollador — abre un correo ya redactado con el fragmento en su programa de correo.
Guía de Google Tag Manager — cómo colocar el banner con una etiqueta GTM.
Modo de depuración: abra el sitio con ?cenaly_consent_debug=1 — en la consola aparecerán los eventos de Consent Mode (default/update) y el modo de región determinado; se ve qué reciben exactamente Google y otros sistemas.

Secciones relacionadas#

Mi sitio — código de instalación y los demás Widgets
Documentos legales — política de privacidad, condiciones, devoluciones
Analítica — qué se ve después del Consiente

Preguntas frecuentes#

¿El banner es obligatorio? Esta es una pregunta para su abogado, no para nosotros: la obligación depende de dónde trabaje, de dónde vengan sus visitantes y qué scripts haya en el sitio. Por parte del producto, la respuesta es esta: nuestro banner admite cinco modos; por defecto, en 32 países del EEE, Reino Unido y Suiza se activa el opt-in estricto; en EE. UU., el opt-out con «Do Not Sell»; en los demás países, usted define el comportamiento. Las referencias y las fuentes primarias están recopiladas más arriba, en la sección «Modos por países».

¿El CMP bloqueará mi propia analítica? Antes del Consiente — sí, esa es su función. La analítica de la plataforma, mientras tanto, sigue contando las visitas en modo cookieless de Consent Mode v2.

¿Qué pasará con los Consientes antiguos después de modificar la política? Nada, hasta que pulse «Volver a preguntar a todos ahora» o reedite la política — entonces la versión subirá y el banner volverá a preguntar.

¿Funciona esto si el sitio no está en nuestra plataforma? Sí — es el escenario principal. Una etiqueta en cualquier sitio y, para WordPress, el plugin Cenaly Consent, que coloca la etiqueta por usted.