Política de privacidad

Responsable del tratamiento en este sitio web es el prestador indicado en el aviso legal. De los datos que el producto recoge sobre los visitantes de nuestros clientes es responsable el cliente correspondiente; allí actuamos como encargados del tratamiento.

Responsable del tratamiento

Kokolorum GmbH
Industriering Ost 66
47906 Kempen

Delegado de protección de datos

heyData GmbH
Schützenstraße 5
10117 Berlin
www.heydata.eu
datenschutz@heydata.eu

Punto de contacto para protección de datos

privacy@metrunio.com

Autoridad de control competente

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf

Metrunio trata datos en dos papeles separados. Como responsable, para este sitio web y para las cuentas de nuestros clientes. Como encargado, para los datos de medición recogidos por encargo de nuestros clientes en sus sitios — allí es el cliente quien determina fines y medios, no nosotros. Ambos papeles tienen bases jurídicas, destinatarios y plazos distintos; por eso se exponen por separado.

El art. 6.1.b RGPD solo se aplica cuando usted, como persona física, es parte de nuestro contrato y el tratamiento es necesario para él. Si actúa en nombre de una empresa, por ejemplo como gerente, empleado o agencia encargada, el tratamiento se basa en el art. 6.1.f RGPD. Nuestro interés legítimo consiste en crear y gestionar la cuenta de cliente empresarial, el inicio de sesión y la seguridad de su acceso, la facturación y la comunicación para ejecutar el contrato. Puede oponerse al tratamiento basado en la letra f por motivos relacionados con su situación particular conforme al art. 21 RGPD.

Inicio de sesión con llaves de acceso

Si crea una llave de acceso en el portal, puede iniciar sesión con ella sin contraseña o utilizarla como segundo paso después de la contraseña. Una llave de acceso solo es válida para la dirección del portal. De cada llave de acceso guardamos su identificador, la clave pública, el contador de su dispositivo, las vías de transmisión que comunica el navegador, si tiene copia de seguridad o se sincroniza, el nombre que usted le da y los momentos de creación y de último uso. Para que su dispositivo pueda mostrar la llave de acceso, al crearla le facilitamos su dirección de correo electrónico, su nombre y el identificador interno de su cuenta de usuario.

Metrunio no recibe su clave privada. La gestiona su dispositivo o el proveedor de llaves de acceso que usted haya elegido; según el proveedor y su configuración, puede tener copia de seguridad y sincronizarse entre sus dispositivos. Metrunio guarda la clave pública y los datos de identificación y de gestión descritos. La comprobación mediante PIN o biométrica la realiza su autenticador; Metrunio no recibe en ella datos de huellas dactilares ni del rostro.

Su dispositivo o el proveedor de llaves de acceso que usted haya elegido, por ejemplo el de su sistema operativo, su navegador o su gestor de contraseñas, guarda la llave de acceso con su dirección de correo electrónico, su nombre y el identificador de su cuenta de usuario. Si la guarda en una copia de seguridad o la sincroniza con sus demás dispositivos, y qué datos recibe para ello, depende de ese proveedor y de su configuración. En esa medida es destinatario de estos datos; su elección no lo convierte en encargado nuestro.

Crear y utilizar una llave de acceso en su dispositivo es necesario para el método de inicio de sesión que usted solicita expresamente (§ 25.2.2 TDDDG); no pedimos para ello un consentimiento aparte. Nuestro tratamiento de los datos se basa, como el de los demás datos de la cuenta, en el art. 6.1.b o 6.1.f RGPD (véase debajo de la tabla).

Para cada inicio de sesión y cada creación generamos un desafío a partir de números aleatorios, válido una sola vez y durante cinco minutos. Solo se guarda su hash. Un desafío canjeado lo suprimimos de inmediato; uno no canjeado, a más tardar seis minutos después de generarlo.

Suprimimos una llave de acceso en cuanto usted la elimina y, en otro caso, con su cuenta de usuario. Una cuenta de usuario puede pertenecer a varias cuentas de cliente, por ejemplo si usted trabaja para una agencia. Si termina una sola cuenta de cliente, su cuenta de usuario y sus llaves de acceso se mantienen por ello mientras usted pertenezca a otra; cuando termina la última, suprimimos la cuenta de usuario con ella 30 días después del fin del contrato (primera fila de la tabla). Si un Admin le retira de una cuenta de cliente, su cuenta de usuario y sus llaves de acceso también se mantienen; puede solicitar su supresión en cualquier momento. La creación y la eliminación de una llave de acceso constan, con su nombre y su identificador interno, en el registro de cada cuenta de cliente a la que usted pertenece, y un inicio de sesión con llave de acceso como cualquier inicio de sesión. Los intentos de inicio de sesión rechazados constan en el registro de la plataforma y, en el caso del enlace de inicio de sesión de la app de Shopify, en el registro de la cuenta de cliente. Suprimimos estas entradas a los 180 días, aunque usted elimine antes la llave de acceso, y las del registro de una cuenta de cliente, a más tardar con esta. Para que una llave de acceso eliminada no vuelva tras restaurar una copia de seguridad, dejamos constancia adicional de la eliminación, con el identificador interno de la llave de acceso, en un registro de operaciones separado durante 90 días.

Alta a través de la app de Shopify

Si configura su cuenta a través de nuestra app de Shopify, Shopify nos facilita los datos de la tienda necesarios para la asignación (identificador, nombre, idioma, moneda, zona horaria y dominios de la tienda), el nombre del titular de la tienda y la dirección de correo registrados en los datos maestros de la tienda —esa dirección pasa a ser la dirección de contacto de la cuenta— y la dirección de facturación de la tienda. La dirección de facturación solo la proponemos como empresa y dirección para el contrato de encargo del tratamiento; se guarda lo que confirma la persona que actúa. De la persona que maneja la app y crea la cuenta recibimos su identificador de usuario de Shopify, su nombre, su dirección de correo y la indicación de si Shopify la identifica como titular de la tienda. Esa persona pasa a ser titular de la cuenta de Metrunio, y con sus datos dejamos constancia de quién aceptó las condiciones generales y el contrato de encargo del tratamiento. Utilizamos estos datos para configurar y gestionar la cuenta de Metrunio y para conectarla con la tienda.

En la medida en que el interesado sea él mismo parte del contrato y el tratamiento sea necesario, este se basa en el art. 6.1.b RGPD. En el caso de personas de contacto de una empresa, se basa en el art. 6.1.f RGPD; nuestro interés legítimo reside en la gestión de la cuenta de cliente empresarial y en la comunicación para la ejecución del contrato. Puede oponerse a un tratamiento basado en la letra f por motivos relacionados con su situación particular (art. 21 RGPD); sus demás derechos figuran en «Qué puede exigir». Conservamos estos datos como los datos de la cuenta de la primera fila de la tabla anterior: durante la vigencia del contrato y después hasta la supresión de la cuenta, 30 días tras el fin del contrato. La constancia de la aceptación y de la celebración del contrato se conserva, en forma reducida, tras el fin del contrato durante el plazo que indica la fila «Constancia de la celebración del contrato» de la tabla: por regla general, seis años a partir del año de celebración del contrato (§ 257 del Código de Comercio alemán, HGB). Si la dirección del titular registrada en la tienda no coincide con la de la persona que actúa —por ejemplo, porque una empleada o una agencia configuró la app—, el titular de la tienda recibe esta información por correo electrónico conforme al art. 14 RGPD.

Inicio de sesión con Google Ads y Meta

Cuando un cliente conecta su cuenta publicitaria iniciando sesión con Google o Meta, la plataforma nos entrega una credencial de acceso: un token de actualización en el caso de Google y un token de acceso de larga duración en el de Meta. La guardamos cifrada (AES-256-GCM) y vinculada a la cuenta del cliente. Nunca se muestra ni se registra en los logs.

Con este acceso leemos de la cuenta publicitaria elegida:

• la lista de cuentas accesibles con nombre, identificador y moneda, para poder elegir la correcta;
• costes, impresiones y clics por campaña y día;
• si el análisis por anuncio está activado para la cuenta de cliente, además costes, impresiones y clics por anuncio y día, con el nombre y el identificador del anuncio y de su grupo de anuncios y, cuando la plataforma la facilita, la dirección de una imagen de vista previa del anuncio.

Guardamos las direcciones de las imágenes de vista previa, los nombres e identificadores de anuncios y grupos de anuncios y sus métricas como los demás costes, mientras exista la cuenta de cliente. Las imágenes de vista previa en sí no las conservamos de forma permanente: nuestros servidores las obtienen de la plataforma al abrir el análisis y las conservan como máximo una hora en la memoria de trabajo; su navegador no se conecta con Meta ni con Google. Las imágenes de vista previa y los nombres de los anuncios pueden mostrar o nombrar a personas identificables, por ejemplo personas que aparecen en la publicidad. Los costes por anuncio solo los mostramos en este análisis del portal; el asistente de datos, las exportaciones y las interfaces no los entregan.

Si el cliente activa el envío de conversiones, además comunicamos conversiones a su cuenta: el identificador de clic de la plataforma, el tipo, el momento, el valor y la moneda de la conversión, según la plataforma un identificador de evento con el que la plataforma reconoce comunicaciones duplicadas (Meta, TikTok, LinkedIn), el número de pedido (Google, Meta, TikTok) y la dirección de la página en la que llegó el clic (Meta, TikTok). Como valor transmitimos los ingresos de la conversión o, si el cliente lo configura así para un destino, en los pedidos el margen de contribución (valor neto menos coste de la mercancía). Si el cliente limita un destino a primeros pedidos, solo comunica esos; la plataforma sabe así de forma indirecta que un pedido fue un primer pedido. No transmitimos direcciones de correo, números de teléfono, direcciones IP, características del navegador ni nuestros propios identificadores de persona o dispositivo. Solo se comunica con consentimiento de marketing y, en Google, además solo con el consentimiento `ad_user_data` o la categoría de consentimiento que el cliente le haya asignado. No modificamos campañas, anuncios, pujas ni presupuestos.

Los datos sirven únicamente para mostrar al cliente sus propios costes junto a sus propias conversiones y para devolver esas conversiones a su propia cuenta. Si el cliente lo pide, el asistente de datos del portal puede leer las mismas cifras de coste. Funciona con Vertex AI en la región europe-west3, y sus entradas no se usan para entrenar modelos. No vendemos los datos, no los usamos con fines publicitarios ni los combinamos entre clientes. Solo los cedemos a terceros si el cliente conecta él mismo una herramienta de IA o un programa a su cuenta y con ello nos indica que transfiramos sus datos a ella (véase «Conexión con herramientas de IA de otros proveedores»).

El uso y la transferencia de la información obtenida a través de las API de Google se rigen por la Google API Services User Data Policy, incluidos los requisitos de uso limitado («Limited Use»).

Si se desconecta la cuenta en Metrunio, borramos la credencial de inmediato. El acceso también puede revocarse en cualquier momento en la plataforma, en myaccount.google.com/permissions o en «Integraciones empresariales» de la configuración de Meta. Los costes importados se conservan mientras exista la cuenta en Metrunio y se borran con ella. Puede solicitarse en cualquier momento la supresión de datos concretos en privacy@metrunio.com.

Inicio de sesión con Google Search Console

Si Search Console está activada para una cuenta de cliente y una persona con el rol Admin la conecta iniciando sesión con Google, Google nos entrega un token de actualización con permiso para leer Search Console (`https://www.googleapis.com/auth/webmasters.readonly`). Lo guardamos cifrado (AES-256-GCM) y vinculado a la cuenta de cliente. Nunca se muestra ni se registra. Sobre la conexión guardamos además quién la estableció y cuándo, qué acceso de Google utiliza (cliente OAuth) y la propiedad elegida para cada sitio web. Mientras dura el inicio de sesión conservamos un hash de su estado y el verificador PKCE; ambos son válidos diez minutos y se suprimen al completarse el inicio de sesión o, en otro caso, a más tardar once minutos después de iniciarlo.

Con este acceso leemos de Search Console:

• la lista de propiedades a las que tiene acceso la cuenta de Google con la que se ha iniciado sesión, con el tipo de permiso, para poder elegir la correcta para cada sitio web;
• para las propiedades elegidas, clics, impresiones, CTR y posición media en la búsqueda web de Google, por día, por página y por consulta.

No modificamos nada en Search Console. Los datos sirven únicamente para mostrar al cliente, en el informe «Búsqueda orgánica», sus propias cifras de búsqueda junto a sus propias visitas y conversiones medidas. Los comparamos por página; no asignamos ninguna consulta concreta a una visita, una persona o una conversión. Obtenemos las cifras al abrir el informe y las conservamos como máximo una hora en la memoria de trabajo, solo para la cuenta de cliente, la conexión y la propiedad para las que se obtuvieron; no se almacenan de forma permanente. Tras desconectar la conexión dejamos de entregarlas y las descartamos. Las cifras no se incluyen en exportaciones, interfaces, informes por correo electrónico ni en el asistente de datos. No vendemos los datos, no los utilizamos de forma independiente para fines propios, no los usamos con fines publicitarios, no los combinamos entre clientes ni los usamos para entrenar modelos. Solo los tratan los encargados con los que prestamos la función (véase «Destinatarios»).

El uso y la transferencia de la información obtenida a través de las API de Google se rigen por la Google API Services User Data Policy, incluidos los requisitos de uso limitado («Limited Use»).

Las consultas y las páginas pueden designar a personas, por ejemplo con su nombre. Google no muestra por separado las consultas poco frecuentes; eso no excluye en todos los casos que puedan hacerse deducciones. Por ello consideramos estas cifras datos personales que tratamos por encargo del cliente (art. 28 RGPD); su base jurídica la determina el cliente como responsable.

Al iniciar sesión y en cada consulta, Google recibe de nosotros la credencial, la propiedad y los parámetros de la consulta (periodo y desglose por día, página o consulta); no transmitimos datos de visitantes ni de medición. La interfaz la ofrece Google LLC en EE. UU. Esta transferencia se basa en la decisión de adecuación de la Comisión Europea para EE. UU. (EU-US Data Privacy Framework), bajo la que Google LLC está certificada. Aquí Google es la fuente de los datos y el destinatario de estas consultas, pero no se convierte por ello en encargado nuestro; por separado, Google Cloud, en la que operamos Metrunio, sigue siendo encargado nuestro.

Somos responsables de los datos de la conexión. La base jurídica es el art. 6.1.b RGPD, en la medida en que usted, como persona física, sea parte de nuestro contrato y el tratamiento sea necesario para ello. Si conectan empleados o encargados de un cliente, por ejemplo una agencia, se basa en el art. 6.1.f RGPD; nuestro interés legítimo consiste en una conexión autorizada y segura con el servicio del cliente. Puede oponerse conforme al art. 21 RGPD. La autorización en Google no es un consentimiento para este tratamiento. Si la persona que conectó pierde su rol o su pertenencia a la cuenta de cliente, la conexión se mantiene hasta que un Admin la desconecte o la vuelva a conectar; los Admins de la cuenta de cliente ven un aviso al respecto.

Si se desconecta la conexión en Metrunio, borramos de inmediato el token de actualización y las propiedades elegidas; si se solicita, revocamos además el acceso en Google. El acceso también puede revocarse en cualquier momento en Google, en myaccount.google.com/permissions. En el registro de la cuenta de cliente constan la conexión, la elección de una propiedad (con esa propiedad) y la desconexión, cada una con el momento y la persona que actuó; suprimimos estas entradas a los 180 días, a más tardar con la cuenta de cliente.

Otras fuentes de datos de nuestros clientes

Nuestros clientes pueden conectar otros servicios de los que obtenemos, por encargo suyo, costes y métricas. Para ello introducen una clave, un token o la dirección de una hoja de cálculo: para los costes publicitarios de TikTok, LinkedIn y Microsoft Advertising, para los costes de releva.nz, para las métricas de sus newsletters en Klaviyo o Brevo y para costes de una hoja de cálculo compartida (Google Sheets o un archivo CSV). Para Klaviyo, Brevo y releva.nz esto solo se aplica si estas fuentes están activadas para la cuenta de cliente. Puede conectarlas el rol Admin y, en el caso de una hoja de cálculo, también el rol Análisis.

De las fuentes publicitarias y de costes leemos costes, impresiones y clics por campaña o tienda y día. De una hoja de cálculo solo incorporamos al análisis las columnas previstas: campaña, día, costes y, si existen, moneda, impresiones, clics y plataforma; al obtener el archivo pueden transmitirse temporalmente otras columnas. De Klaviyo y Brevo leemos, por cada campaña enviada, su identificador, su nombre, el momento de envío, el parámetro de campaña `utm_campaign` y el número de destinatarios, entregas y clics únicos; ni aperturas, ni contenidos de los correos, ni datos sobre destinatarios concretos. También los totales, los nombres de campañas y las direcciones pueden referirse a personas concretas, por ejemplo con cifras muy pequeñas; por ello los tratamos como los demás datos que tratamos por encargo de nuestro cliente.

Utilizamos los costes como los de Google Ads y Meta: en los informes de la cuenta de cliente, en exportaciones, a través de la API de lectura, en el asistente de datos y en los informes por correo electrónico. Las métricas de Klaviyo y Brevo solo las mostramos en el portal, en la página «Newsletter», junto a las visitas y conversiones que medimos nosotros mismos; no se incluyen en exportaciones, en la API de lectura, en el asistente de datos ni en el espejo de análisis.

Guardamos las claves y los tokens de estas fuentes cifrados (AES-256-GCM) y vinculados a la cuenta de cliente y a su finalidad, y del mismo modo la dirección de una hoja de cálculo, porque basta con conocerla para acceder a la hoja. No se registran en los logs y en el portal no se muestran completos: como mucho se ven los cuatro últimos caracteres y, en una hoja de cálculo, el host y los cuatro últimos caracteres de la dirección.

Si se desconecta una conexión, borramos su clave de inmediato y, en Klaviyo y Brevo, también las métricas obtenidas. Los costes de releva.nz, de una hoja de cálculo y de las demás fuentes publicitarias y de costes se conservan, como todos los costes importados, mientras exista la cuenta de cliente y se borran con ella; si se elimina una hoja de cálculo, termina su consulta y borramos su dirección. La conexión, la sustitución de la clave y la desconexión de una plataforma de newsletter, así como el alta y la eliminación de una hoja de cálculo, constan con el momento y la persona que actuó en el registro de la cuenta de cliente, sin la clave y, en una hoja de cálculo, solo con su host; suprimimos estas entradas a los 180 días, a más tardar con la cuenta de cliente.

Somos responsables de los datos de la conexión; como para los demás datos de la cuenta, la base jurídica es el art. 6.1.b o 6.1.f RGPD (véase debajo de la tabla). Tratamos los costes y las métricas obtenidos por encargo de nuestro cliente (art. 28 RGPD); su base jurídica la determina el cliente como responsable. Los proveedores de estos servicios son proveedores de nuestro cliente y no se convierten en encargados nuestros por la consulta. Esto también se aplica a Brevo, que utilizamos por separado para nuestra propia newsletter (fila «Newsletter» de la primera tabla).

Conexión con herramientas de IA de otros proveedores

Si conecta a su cuenta, mediante la página de autorización del portal, una herramienta de IA de otro proveedor, por ejemplo Claude de Anthropic o ChatGPT de OpenAI, o si crea una clave de lectura, esa herramienta o programa recibe una autorización de lectura continuada sobre los datos de medición de la cuenta. Dentro de la autorización concedida, la herramienta conectada puede consultar datos para sus análisis; qué consultas realiza lo decide ella en el marco de sus propios procesos. Solo las personas con el rol Admin en la cuenta pueden conceder la autorización o crear claves, y solo después de un aviso sobre lo que significa la autorización.

Se pueden consultar métricas y desgloses, entre ellos los costes publicitarios importados de Google Ads, Meta y otras cuentas publicitarias conectadas, conversiones individuales con momento, valor y el número de pedido en texto claro, así como customer journeys seudónimos con identificador, momentos y canales. En las suscripciones se marcan los pagos de renovación; el identificador de la suscripción en texto claro solo lo entrega la API de lectura con una clave de lectura, una herramienta de IA conectada mediante la página de autorización no lo recibe. Las métricas están agregadas; aun así pueden ser posibles conclusiones sobre operaciones concretas. La conexión no entrega nombres, direcciones de correo electrónico, direcciones IP, identificadores del navegador, identificadores de clic de las plataformas publicitarias ni las páginas visitadas. Los pedidos que la tienda comunicó sin consentimiento de seguimiento no se entregan como registros individuales; están incluidos en las métricas permitidas, como recuentos y sumas de ingresos, y con cifras pequeñas pueden permitir conclusiones sobre pedidos concretos.

Los datos de medición de los visitantes y compradores de nuestros clientes los entregamos como encargado del tratamiento siguiendo las instrucciones de nuestro cliente; la base jurídica de esta transferencia la determina nuestro cliente como responsable. El proveedor de la herramienta no es subencargado nuestro. Trata los datos consultados según las condiciones de la cuenta que nuestro cliente tiene con él, posiblemente también fuera de la Unión Europea. Nuestro cliente garantiza el contrato con el proveedor, un contrato de encargo del tratamiento si es necesario y los requisitos de una transferencia a terceros países; nuestras propias obligaciones como encargado se mantienen. Somos responsables de los datos de la propia autorización; figuran en la tabla anterior.

Las medidas de protección específicas de nuestro asistente de datos del portal no se aplican a esta conexión: los números de pedido y los identificadores de journey no se sustituyen por códigos cortos, no rige el límite de filas individuales por pregunta, y el almacenamiento, el entrenamiento y la eliminación en el proveedor se rigen por sus condiciones, no por las de Google Cloud para Vertex AI.

Puede desconectar una autorización en cualquier momento en el portal, en «Exportaciones y conexiones de IA»; allí también revoca una clave de lectura. A partir de su siguiente consulta, la herramienta ya no recibe datos. La desconexión no borra en el proveedor los datos que la herramienta ya ha consultado; eso depende de su contrato con él.

Los partners recomiendan Metrunio y reciben a cambio una comisión. De los partners que son personas físicas y de las personas de contacto de una empresa partner tratamos el nombre, la dirección, la dirección de correo para la facturación, el número fiscal o el número de IVA, la situación fiscal y la fecha del acuerdo de partner, además del importe neto pagado y el mes del pago por cada cliente captado. La finalidad es asignar los clientes captados al partner, calcular la comisión, emitir la autofactura (§ 14.2 UStG) y llevar la contabilidad.

La base jurídica es el art. 6.1.b RGPD (acuerdo de partner); para las personas de contacto de una empresa partner, el art. 6.1.f RGPD (ejecución del acuerdo de partner con la empresa; puede oponerse conforme al art. 21 RGPD); para la conservación, el art. 6.1.c RGPD en relación con el § 147 AO y el § 257 HGB. Conservamos las autofacturas como justificantes contables durante ocho años desde el final del año natural; los datos maestros, hasta el final de la colaboración y después mientras deba conservarse una autofactura que los mencione. Los destinatarios son nuestra asesoría fiscal y, para la operación, los encargados del tratamiento indicados en «Destinatarios».

Si un cliente se registra con el código de recomendación de un partner, guardamos en la cuenta a qué partner está asignada y, para la comisión, los importes pagados por mes. El partner no recibe un desglose por cliente: su autofactura indica por cada tipo de comisión solo el total y el número de clientes. En grupos pequeños, por ejemplo si en un tipo de comisión solo hay un cliente, pueden ser posibles conclusiones sobre el importe de clientes concretos. La base jurídica es el art. 6.1.f RGPD (liquidación del programa de partners); los importes por cliente se conservan como base de la autofactura durante el mismo tiempo que esta. No pagamos comisión por clientes que ya tenían una cuenta con nosotros en los doce meses anteriores a su registro con un código de recomendación. Para comprobarlo, comparamos el nombre de la empresa y el dominio de correo electrónico del registro con las cuentas existentes. De las cuentas eliminadas conservamos para ello, durante doce meses desde la eliminación, solo una suma de verificación generada con una clave secreta (HMAC) del nombre de la empresa y de cada dominio de correo electrónico de las personas con el rol Admin, sin dominios de proveedores de correo generales y sin texto en claro. La base jurídica es el art. 6.1.f RGPD; nuestro interés legítimo consiste en proteger el programa de partners frente a abusos.

• Identificadores seudónimos de sesión y dispositivo, siempre que exista consentimiento. Antes de la decisión en el banner de consentimiento, el script conserva los eventos solo en la memoria de la página; tras el consentimiento los envía con ese consentimiento, tras una negativa o al abandonar la página los descarta.
• Datos de campaña procedentes de las creatividades y de los parámetros de campaña de la página visitada, por ejemplo `utm_source`, `utm_medium`, `utm_campaign` y `utm_content`. Si el análisis por anuncio está activado para la cuenta de nuestro cliente, asignamos una visita al anuncio cuyo identificador figura en `utm_content`; este identificador es el mismo para todos los clics en el mismo anuncio. Los identificadores individuales de clic e impresión, tanto los nuestros como los de las plataformas publicitarias (por ejemplo gclid o fbclid), solo con consentimiento de marketing; con un consentimiento solo para estadística, se conserva únicamente de qué plataforma procede un clic.
• Datos de eventos como páginas vistas, interacciones y conversiones con valor y moneda.
• Tratamos las direcciones IP durante la transmisión y para limitar las solicitudes y no las almacenamos en los datos de eventos, tampoco como suma de verificación. Desde el 14 de octubre de 2026 ya no formamos la suma de verificación truncada que se almacenaba allí antes y hemos suprimido los valores existentes. Otras características técnicas se almacenan truncadas o hasheadas.
• Sin direcciones de correo ni números de teléfono en claro en los eventos de analítica. Los eventos rechazados en la recepción (formato no válido, momento fuera del intervalo admitido o dirección de correo/número de teléfono en claro) no se almacenan. Para la resolución de errores solo se registran el motivo del rechazo, el momento, el origen, el sitio web, el tipo de evento y los nombres de los campos afectados con el tipo y la longitud del valor, sin contenido de los campos ni identificadores. Estos datos se suprimen con el plazo de conservación de datos brutos de nuestro cliente (por defecto 180 días).
• El estado del consentimiento se guarda y evalúa por cada evento. Sin el consentimiento adecuado no se guarda ningún evento publicitario, tampoco en bruto; solo se registra, sin identificador alguno, que un evento no se guardó por este motivo.
• Un identificador de vista para post-view: una cookie en la dirección de medición de nuestro cliente (`metrunio_view`, 30 días, solo para esa dirección). Solo se establece con consentimiento de marketing, mediante el píxel de impresión y la etiqueta de visibilidad en el sitio publicitario o mediante el script de medición en la tienda; el navegador la devuelve al visitar la tienda. Si el navegador la descarta, nada la sustituye: sin huella digital, sin cálculo de probabilidades. Si la persona retira su consentimiento de marketing, la dirección de medición elimina la cookie al recibir la retirada; si retira su consentimiento por completo, el script borra además el identificador seudónimo y la sesión en el navegador. Los contactos publicitarios ya registrados que están vinculados a ese navegador se eliminan; un consentimiento posterior empieza sin ellos.
• En los pedidos que una tienda comunica con consentimiento, un identificador seudónimo de cliente: el número de cliente de la tienda o una suma de comprobación (SHA-256) de la dirección de correo, tal como la transmiten nuestra app de Shopify y nuestros plugins para Shopware y WordPress. Al recibir cada uno de estos valores lo combinamos con una clave distinta para cada cliente y solo guardamos el resultado; la misma persona da dos valores distintos en dos clientes. El identificador vincula las compras de una misma persona entre dispositivos y no se transmite a ninguna plataforma publicitaria.
• Una redirección para los clics en creatividades: nuestra dirección de medición redirige al sitio web de nuestro cliente. Si no hay señal de consentimiento del sitio publicitario, solo añade a la dirección de destino el identificador de la campaña (`metrunio_camp`, igual para todos los clics de una misma campaña) y no guarda ningún clic; solo se registra, sin identificador alguno, que un clic no se guardó por este motivo.
• Si nuestro cliente utiliza un dominio de medición propio bajo su dominio, almacenamos además el identificador seudónimo de visitante como cookie en ese dominio (`metrunio_aid`), solo con consentimiento para análisis. La cookie hace legible el mismo identificador en todos los subdominios de ese dominio, por ejemplo en la tienda y en el proceso de pago, y reconoce un navegador aunque se haya borrado el almacenamiento de la página. La finalidad es vincular visitas y pedidos del mismo navegador. Dura 13 meses; Safari la limita a siete días. La retirada del consentimiento la elimina.
• Si nuestro cliente ha activado la pregunta posterior a la compra, la página tras la compra le pregunta cómo conoció usted a nuestro cliente, con una lista fija de respuestas y sin texto libre. Solo se pregunta con consentimiento para análisis. Almacenamos la respuesta con el número de pedido y el identificador seudónimo del navegador y la vinculamos al pedido y al historial de visitas; por tanto, no es una encuesta anónima. No se transmite a ninguna plataforma publicitaria y se suprime con los demás eventos.
• Si nuestro cliente ha activado el origen en formularios, el script escribe datos de origen en campos ocultos de sus formularios: un identificador de la solicitud, fuente, medio, campaña y plataforma publicitaria y, con consentimiento de marketing, además el identificador de clic. Por defecto esto solo ocurre con consentimiento para análisis; sin él, el script no escribe nada en los formularios ni lee para ello la dirección de la página. Para sitios web concretos nuestro cliente puede activarlo sin consentimiento; entonces solo se toman fuente, medio y campaña de la dirección de la página visitada, y nuestro cliente debe justificar él mismo esa configuración. Los campos se envían con su solicitud, es decir, junto con nombre y correo electrónico, al sistema de nuestro cliente, por ejemplo su CRM, no a nosotros. Allí puede vincular su solicitud con su origen y, si más tarde importa el cierre en Metrunio, con el historial de visitas seudónimo. Esto ocurre por instrucción suya y bajo su responsabilidad; su sistema no se convierte por ello en nuestro subencargado.
• En las suscripciones, el identificador de la suscripción, tal como lo asigna la tienda o el proveedor de pagos, y si un pago es un pago de renovación; ambos los indica la fuente, no los deducimos. Guardamos el identificador en texto claro como el número de pedido, pero solo en compras con consentimiento. Un pago de renovación con consentimiento asume la asignación del primer pedido de la misma suscripción en el mismo sitio web; no se transmite a ninguna plataforma publicitaria y no cuenta como cliente nuevo. Si el primer pedido desaparece por supresión, oposición, retirada del consentimiento o vencimiento de su plazo, recalculamos de inmediato sus pagos de renovación, que quedan sin asignación. El identificador de la suscripción solo lo entregamos en la exportación CSV de conversiones y a través de la API de lectura. El portal solo muestra la indicación «pago de renovación»; el asistente de datos y una herramienta de IA conectada mediante la página de autorización reciben también solo esa indicación, el espejo de análisis en BigQuery solo guarda la indicación y los webhooks no contienen ninguna de las dos.

La base jurídica de los identificadores y eventos procedentes del navegador es el consentimiento de la persona interesada conforme al art. 6.1.a RGPD y al § 25.1 TDDDG. En el sitio web de nuestro cliente lo recaba su herramienta de gestión del consentimiento. En los contactos publicitarios en sitios de terceros, el servidor publicitario que entrega el anuncio transmite la señal de consentimiento; no recibimos una prueba propia de ella. Si nuestro cliente importa conversiones desde un archivo, indica en cada fila el origen, el momento y una referencia a la prueba del consentimiento; comprobamos que estos datos estén completos y no se contradigan, no el consentimiento en sí. Sin consentimiento solo ocurre lo que describen los párrafos siguientes; la base jurídica la determina nuestro cliente como responsable. El plazo de conservación lo determina el cliente dentro de su tarifa; el valor por defecto es de 180 días para los datos brutos.

Una retirada en el banner de consentimiento surte efecto para el navegador en el que se declara. Si la persona retira solo su consentimiento de marketing, suprimimos los eventos publicitarios de ese navegador y los contactos publicitarios vinculados a él y eliminamos los identificadores de clic e impresión de sus demás eventos; se conserva lo que se basa en su consentimiento para estadística. Si lo retira por completo, suprimimos todos los eventos de ese navegador, incluidos los pedidos que la tienda comunicó con su identificador. Detenemos las comunicaciones a plataformas publicitarias aún no transmitidas. Las ya transmitidas están en poder de la plataforma y no podemos recuperarlas; indicamos los destinatarios a nuestro cliente para que pueda cumplir su obligación de informarles conforme al art. 19 RGPD. Guardamos el estado del consentimiento con el momento de la retirada junto al identificador seudónimo del navegador como prueba de que la retirada se ha ejecutado y para rechazar eventos posteriores de ese navegador; se conserva mientras sea necesario para el tratamiento o para hacer efectiva la retirada. Un estado de consentimiento se suprime cuando el navegador lleva 13 meses sin cambiar su decisión ni visitar el sitio web; el estado tras una retirada lo conservamos como prueba hasta el final del tercer año natural posterior a la retirada. Ambos se suprimen, como tarde, cuando se suprime el sitio web o la cuenta de nuestro cliente. Una retirada en el banner no es una solicitud conforme a los arts. 15 a 21 RGPD: quien desee acceso, la supresión de todos sus datos en todos los dispositivos o formular una oposición debe dirigirse a nuestro cliente, que lo ejecuta en el área de privacidad del producto.

Desde el 29 de septiembre de 2026, la medición de alcance para visitas sin consentimiento ya no puede activarse. En los sitios web en los que nuestro cliente la activó antes, se aplica lo siguiente: cuando falta el consentimiento no se almacena ningún identificador de persona ni de dispositivo. Por cada visita se genera un evento con el momento, la página sin parámetros de consulta, el título de la página, el origen de la referencia y los datos de campaña, que se condensa en un recuento por día, sitio web, canal y fuente. Ni el evento ni el recuento contienen un identificador mediante el cual una solicitud de acceso o de supresión pudiera encontrar a una persona. La base jurídica la determina nuestro cliente como responsable; nosotros tratamos siguiendo sus instrucciones. Las fuentes con menos de cinco visitas aparecen agrupadas en lugar de por separado, y los eventos y el recuento caducan con el mismo plazo que los demás datos brutos.

Si la tienda de nuestro cliente comunica pedidos y reembolsos desde el servidor sin consentimiento para el seguimiento, los tratamos por encargo suyo únicamente para la conciliación de ingresos: cuadrar sus ingresos, detectar operaciones duplicadas y asignar reembolsos. Esta finalidad está separada del seguimiento. Para ello almacenamos el número de pedido como clave de pedido necesaria, el tipo de operación (pedido, pago de renovación de una suscripción o reembolso), el importe, la moneda y el día del pedido sin la hora, pero ningún identificador de navegador, de cliente ni publicitario: el identificador seudónimo del visitante, la sesión, el identificador seudónimo de cliente, el identificador de clic, la característica de IP, la página visitada, los datos de campaña, el identificador de una suscripción y los artículos se eliminan antes de almacenarlos. La indicación «pago de renovación» muestra por separado en los ingresos conciliados los pagos de suscripciones en curso; no derivamos de ella ninguna característica de cliente nuevo. Los datos siguen siendo, en principio, datos personales, porque nuestro cliente puede asignar el número de pedido a una persona. El pedido no se vincula a ninguna visita ni a ningún contacto publicitario y no se transmite a ninguna plataforma publicitaria; la única excepción figura en el párrafo siguiente. Esto se aplica a pedidos para los que la tienda no transmite ninguna decisión sobre el consentimiento porque no se tomó ninguna. Si la tienda transmite una negativa, solo almacenamos el pedido con este alcance si nuestro cliente nos ha dado una instrucción separada para ello; sin esa instrucción no lo almacenamos. Un pedido así nunca se vincula a una visita. La base jurídica la determina nuestro cliente como responsable; puede aplicarse su interés legítimo en disponer de cifras de ingresos completas (art. 6.1.f RGPD). Nuestro cliente debe informar sobre este tratamiento, su base jurídica y la forma de oponerse en su propia política de privacidad. Rechazar el seguimiento no constituye por sí solo una oposición a la conciliación de ingresos. Dirija una oposición conforme al art. 21 RGPD a nuestro cliente; si él la ejecuta en el área de privacidad del producto, suprimimos los datos de su pedido y bloqueamos el número de pedido para comunicaciones posteriores. Retirar su consentimiento para el seguimiento hace que se supriman los pedidos comunicados con ese consentimiento; no se trasladan a la conciliación de ingresos.

Vinculación a través del proceso de compra. Solo afecta a pedidos para los que la tienda no transmitió ninguna decisión, nunca a pedidos tras una negativa, y solo si nuestro cliente la ha activado expresamente. Si en el mismo proceso de compra consintió la medición de seguimiento, cuyo alcance incluye vincular pedidos con visitas y contactos publicitarios, y ese consentimiento ya existía en el momento de la compra, vinculamos el pedido a su visita sobre esa base. Esto ocurre en dos pasos. En cuanto llega el pedido, creamos un registro de cotejo de corta duración, aunque después no llegue ningún evento coincidente de un navegador: una suma de verificación, formada con una clave, del identificador del proceso de compra y la hora exacta del pedido. Esto afecta también a pedidos que al final no se vinculan a ninguna visita; la base jurídica la determina nuestro cliente como responsable, y puede ser su interés legítimo (art. 6.1.f RGPD). El pedido solo se vincula en el segundo paso y solo con su consentimiento. Usamos la suma de verificación y la hora del pedido solo hasta 24 horas después del pedido, y la suma de verificación en los eventos del navegador solo hasta 24 horas después de su recepción; después las suprimimos en el funcionamiento ordinario. Las copias de seguridad tienen sus propios plazos; tras una restauración, los datos de cotejo caducados ya no se usan y se suprimen en la siguiente ejecución de mantenimiento. Si retira el consentimiento, suprimimos la vinculación y el pedido.

Salidas a destinatarios que determina nuestro cliente. Por instrucción suya transmitimos datos a destinos que él mismo introduce: webhooks a su propio sistema con el identificador del pedido o de la solicitud, el valor y el momento de pedidos, solicitudes o reembolsos concretos; resúmenes de informes y avisos a un canal de Slack o Teams; exportaciones y consultas a través de la interfaz de lectura o de una herramienta conectada. Los destinatarios no se convierten por ello en nuestros subencargados. Si una supresión, una oposición o una retirada del consentimiento afecta a un mensaje aún no entregado, ya no lo enviamos. No podemos recuperar datos ya entregados; comunicamos a nuestro cliente los destinatarios para que pueda cumplir su obligación conforme al art. 19 RGPD. Para poder indicar los destinatarios también más adelante, conservamos de cada entrega solo el destino, el momento y una suma de verificación del identificador del pedido o de la solicitud, sin contenido, durante el mismo tiempo que los demás datos brutos. También las salidas sin nombres ni direcciones de correo electrónico pueden ser datos personales, y lo mismo vale para el espejo de análisis en BigQuery que mantenemos para las cuentas de todos los clientes en la misma región y a partir del cual se calculan los informes de cada cuenta cuando el volumen de datos es mayor: los números de pedido y las claves de registros e historiales de visitas pueden volver a vincularse, y con cifras pequeñas incluso las sumas permiten sacar conclusiones sobre personas concretas.

Los clientes de Metrunio, por ejemplo agencias, pueden designar para una cuenta de cliente a personas que reciben cada mes un informe sobre esa cuenta en PDF por correo electrónico. Tratamos a los destinatarios de informes designados por nuestro cliente exclusivamente por encargo de este. Quién es responsable del envío y de qué fuente procede su dirección figura en el mensaje. Darse de baja bloquea los informes posteriores de esta cuenta de cliente. Para ello solo se conserva la constancia de bloqueo necesaria, mientras exista esta finalidad de envío.

La información completa conforme al art. 14 RGPD la facilita el responsable; el mensaje remite a ella. Se guardan su dirección de correo electrónico, su nombre si se indica, la cuenta de cliente, quién le dio de alta y cuándo, y un hash del token de baja. Para la cuenta de cliente registramos quién es el responsable (la agencia o su cliente), el enlace a su información sobre privacidad y quién introdujo ambos datos y cuándo; de ahí proceden los datos del mensaje. La única finalidad es el envío del informe mensual y el respeto de su baja. El informe solo contiene totales de la cuenta de cliente, ni pedidos individuales ni identificadores de visitantes; con cifras pequeñas, también los totales pueden permitir deducciones sobre personas concretas. Lo enviamos a través de Google Workspace, sin píxeles de seguimiento y sin enlaces rastreados.

Puede darse de baja mediante el enlace de cada mensaje. A continuación suprimimos su registro de inmediato. Para esta cuenta de cliente solo queda una constancia de bloqueo: un hash de su dirección de correo electrónico normalizada generado con una clave secreta (HMAC) con el momento de la baja, sin la dirección misma, su nombre ni el token de baja. Impide que su dirección vuelva a darse de alta allí; no bloquea otras cuentas de cliente. La suprimimos en cuanto desaparece esta finalidad de envío: con la cuenta de cliente o la cuenta de la agencia, en cuanto la agencia deja de gestionar la cuenta de cliente, y 30 días después de que se haya desactivado para la agencia el envío a destinatarios designados. Solo su propio deseo levanta el bloqueo. Para ello, nuestro cliente puede enviarle una invitación como máximo una vez cada 30 días, válida durante siete días; solo vuelve a recibir informes cuando confirma la invitación mediante el enlace de ese correo. Mientras una invitación está abierta, la constancia de bloqueo contiene su dirección, su nombre si se indica, y un hash del token de la invitación; después vaciamos estos datos. Nuestro cliente no puede levantar el bloqueo por sí mismo. Si nuestro cliente le retira como destinatario antes de que usted se dé de baja, suprimimos su registro. Dirija sus derechos conforme a los arts. 15 a 21 RGPD al responsable; nosotros le asistimos en ello.

El tratamiento principal se realiza en la Unión Europea: la aplicación, la base de datos, el espejo de análisis, los registros de la aplicación y el modelo de lenguaje de la función de preguntas del portal funcionan en la región europe-west3 (Fráncfort). En cada caso la parte contratante es una sociedad con domicilio en la UE.

Eso por sí solo no sería una respuesta completa. Hay excepciones. Los registros de administración y de sistema de la plataforma en la nube se guardan en áreas de registro globales del proveedor que no pueden trasladarse a una región, hasta 400 días. Para la administración y el soporte, sociedades del grupo y proveedores de servicios de nuestros proveedores pueden acceder a los sistemas desde fuera de la UE; la base es la decisión de adecuación de la Comisión Europea para EE. UU. (Marco de Privacidad de Datos UE-EE. UU.) en la medida en que el destinatario esté certificado conforme a él y, de forma complementaria y para las sociedades no certificadas, las cláusulas contractuales tipo de la UE; la lista indica la base de cada destinatario. Puede obtener información y una copia de las garantías correspondientes a través de privacy@metrunio.com. Las herramientas y los canales que conecta nuestro cliente los opera su proveedor, en su caso fuera de la UE. Qué destinatario trata dónde, con quién existe el contrato y qué accesos son posibles consta en cada entrada de la lista de encargados adicionales y en el resumen «Proveedores y destinatarios».

Recurrimos a proveedores que operan servidores, entregan correo y tramitan los pagos por nosotros. La función con la que tratan los datos no es la misma en todos los casos, y de ello depende qué contrato se aplica y a qué instrucciones están sujetos.

• Encargados del tratamiento según el art. 28 RGPD: operación de la aplicación, buzón y envío de correo. Tratan los datos únicamente siguiendo instrucciones.
• El proveedor de pagos, con función doble: respecto a los datos contractuales que le transmitimos es encargado del tratamiento. Respecto al pago en sí es responsable propio, porque la normativa de servicios de pago y de prevención del blanqueo le imponen obligaciones propias, y quien tiene obligaciones propias no sigue instrucciones en esa medida.
• Las plataformas publicitarias no son encargadas del tratamiento. Solo reciben algo si nuestro cliente activa el envío de conversiones, y entonces tratan los datos como responsables propias o corresponsables, con fines propios.

No cedemos nada a las plataformas publicitarias, salvo que nuestro cliente active expresamente el envío de conversiones. Incluso entonces, para la atribución publicitaria enviamos el identificador de clic de la plataforma y, para cada destino, los identificadores de pedido o de evento descritos más arriba para la comunicación y la detección de duplicados; no enviamos nuestros propios identificadores de persona o dispositivo. Lo que se transmite además se describe más arriba, en «Inicio de sesión con Google Ads y Meta».

Documentos para la revisión

• Acceso a los datos tratados sobre usted (art. 15 RGPD).
• Rectificación de datos inexactos (art. 16 RGPD).
• Supresión (art. 17 RGPD).
• Limitación del tratamiento (art. 18 RGPD).
• Portabilidad de los datos (art. 20 RGPD).
• Oposición a un tratamiento basado en intereses legítimos (art. 21 RGPD).
• Retirada de un consentimiento otorgado, con efectos para el futuro (art. 7.3 RGPD). La licitud del tratamiento anterior a la retirada no se ve afectada.
• Reclamación ante una autoridad de control (art. 77 RGPD).

Si su asunto se refiere a datos de medición del sitio de uno de nuestros clientes, diríjase a ese cliente: allí es él el responsable. Nosotros le damos apoyo: el producto tiene un área propia para acceso, supresión y oposición, y una supresión sigue surtiendo efecto mediante una lista de bloqueo, de modo que el mismo identificador no vuelva a registrarse un minuto después.

• Sin fingerprinting a partir de características del dispositivo.
• Sin atribución probabilística basada en probabilidades.
• Sin vinculación más allá de las fronteras entre clientes.
• Sin venta ni cesión con fines publicitarios propios.
• Sin almacenamiento permanente de direcciones IP en bruto: para limitar las solicitudes, se conservan como máximo diez minutos en la memoria de trabajo.

Los cambios en esta declaración figuran en el registro de cambios, en Estado.

Cada versión sigue disponible bajo su fecha, de forma permanente y sin cambios; el correo de confirmación que se envía al celebrar el contrato en el portal o a través de la app de Shopify enlaza a estas direcciones, y el portal conserva el propio texto acordado.

• Versión del 17 de octubre de 2026 · vigente
• Versión del 16 de octubre de 2026
• Versión del 15 de octubre de 2026
• Versión del 14 de octubre de 2026
• Versión del 13 de octubre de 2026
• Versión del 12 de octubre de 2026
• Versión del 11 de octubre de 2026
• Versión del 10 de octubre de 2026
• Versión del 7 de octubre de 2026
• Versión del 4 de octubre de 2026
• Versión del 3 de octubre de 2026
• Versión del 2 de octubre de 2026
• Versión del 1 de octubre de 2026
• Versión del 30 de septiembre de 2026
• Versión del 26 de septiembre de 2026
• Versión del 25 de septiembre de 2026
• Versión del 24 de septiembre de 2026