RGPD y tracking de afiliados: cookies, direcciones IP y datos personales

Un programa de afiliados trata datos personales: de quien hace clic, de quien compra y de los propios afiliados. Esto es un resumen práctico, no asesoramiento jurídico; confirma tu caso con quien te apoye en protección de datos.

Qué datos recoge el tracking

• De quien hace clic: dirección IP, tipo de dispositivo, país y la página de origen.
• De quien compra: normalmente solo un identificador del pedido y el importe. La plataforma de afiliados no necesita el nombre ni el email del cliente.
• De los afiliados: contacto y datos de pago.

Cookies y consentimiento

El tracking por postback une la venta al clic mediante un click ID que guarda el anunciante, sin cookies de terceros. El píxel depende del navegador y de las cookies, y ahí es donde más pesan las reglas de consentimiento. Consulta postback o píxel.

Buenas prácticas

1. Recoge lo mínimo: no envíes nombres ni emails de clientes en los postbacks.
2. Protege las IPs: guárdalas seudonimizadas y bórralas tras un plazo corto.
3. Define plazos de conservación para clics y conversiones.
4. Ten un contrato de encargo de tratamiento con la plataforma, que trata los datos por tu cuenta.
5. Responde a las solicitudes: tienes que poder exportar y borrar los datos de una persona.

Qué pedir a la plataforma

• ¿Dónde están los datos y quién accede a ellos?
• ¿Las IPs se guardan completas?
• ¿Los datos de cada cliente están aislados de los demás?
• ¿Hay 2FA y registro de auditoría?

En RastroAff

Las IPs se guardan solo como hash y en forma truncada; la forma truncada se borra por defecto a los 30 días. Los datos de cada red están aislados en la base de datos, los datos de pago de los afiliados están cifrados, los administradores usan 2FA y las acciones sensibles quedan en auditoría. Cada usuario puede exportar sus datos y pedir la eliminación de su cuenta.