Cómo elegir un CMP para sitios web corporativos: RGPD, ePrivacy y KVKK

Guía de compra para elegir un CMP a escala corporativa: gestión multidominio, acceso basado en roles, informes de auditoría, residencia de datos en la UE o Türkiye y las preguntas clave para el proveedor.

Resumen

Elegir un CMP para un portafolio corporativo es distinto de elegirlo para un sitio único: decenas de dominios de marca, filial y país deben gestionarse desde un panel; legal, marketing e IT necesitan permisos separados; cada consentimiento debe poder convertirse en informe de auditoría; los datos deben poder alojarse en la UE o en Türkiye; y las compras necesitan un DPA, un cuestionario de seguridad y un SLA. Cookietrace cubre hasta 100 dominios en Premium (79 $/mes) y ofrece un contrato Enterprise con alojamiento de datos en la UE o en Türkiye.

Equipo de Ingeniería de Privacidad de Cookietrace — Publicado 2026-09-12 · 9 min de lectura

Por qué la gestión del consentimiento es distinta a escala corporativa

La presencia web de un grupo holding es un portafolio de 10 a 100 dominios: el sitio corporativo, filiales, microsites de marca, páginas de empleo y de relación con inversores, versiones por país y dominios de campaña. Algunos los gestionan agencias y están en distintos CMS. A esta escala, y sujetos al RGPD y a la ePrivacy con la AEPD como autoridad de referencia, el consentimiento es un problema de gobernanza, no de banner.

Visibilidad del portafolio: generar informes por sitio ante una inspección de la AEPD exige conocimiento centralizado de cada dominio
Reparto de responsabilidad: cada dominio debe vincularse a la entidad jurídica correcta
Riesgo de agencias y proveedores: un solo píxel añadido por una agencia expone a todo el grupo
Expectativas de auditoría: la auditoría interna y los auditores independientes exigen la prueba del consentimiento en formato de informe
Compras: un contrato de grupo, un DPA, un cuestionario de seguridad y un SLA, en lugar de licencias por sitio

Ocho criterios para evaluar un CMP corporativo

Gestión multidominio, acceso basado en roles, informes de auditoría, residencia de datos, conjuntos de reglas separados para la UE, Consent Mode v2 y TCF, capacidad de ampliación a nuevas obligaciones, y soporte local con un SLA.

Todos los dominios desde un único panel, con plantilla de banner centralizada y excepciones por dominio
Acceso basado en roles para legal, marketing, IT y agencias
Tasas de consentimiento y registros con prueba de integridad exportables para auditorías
Alojamiento de datos en la UE por defecto, con Türkiye como opción alineada con el artículo 9 de la KVKK
Conjuntos de reglas GDPR/ePrivacy, TCF v2.2 e idiomas locales para los sitios filiales en la UE
Consent Mode v2, TCF v2.2 y compatibilidad con contenedores GTM de todo el grupo
Capacidad de ampliarse a las obligaciones de transparencia del artículo 50 del Reglamento de IA de la UE a partir del 2 de agosto de 2026
Soporte en español, DPA, respuestas al cuestionario de seguridad y un SLA

Expectativas adicionales por sector

Banca y seguros necesitan una clasificación estricta en portales de pago y de clientes, además de residencia de datos. Los grupos de energía e industria necesitan estructuras de filiales en varios países y cookies mínimas en las páginas de relación con inversores. Las marcas de retail necesitan diseño de banner por marca y una alta rápida de dominios de campaña. Salud y educación necesitan analítica restringida por la sensibilidad de los datos.

Diez preguntas para hacer al proveedor

Incluya la lista en la solicitud de propuesta para poder comparar las respuestas una a una.

¿Cuántos dominios incluye un único contrato y los subdominios se cuentan aparte?
¿Dónde se alojan los registros de consentimiento; hay opción de alojamiento en Türkiye?
¿Se admiten el acceso basado en roles y las cuentas de agencia?
¿En qué formato se exporta el informe de prueba del consentimiento?
¿Consent Mode v2 y TCF v2.2 están incluidos en el plan?
¿En cuánto tiempo se pone en marcha un nuevo sitio filial?
¿El escaneo de cookies es automático y recurrente?
¿Los textos de la política se actualizan automáticamente?
¿Se proporcionan DPA, cuestionario de seguridad y SLA?
¿En qué horario y por qué canal se ofrece el soporte en español?

Lo que Cookietrace ofrece a los grupos corporativos

Cookietrace gestiona el RGPD, la ePrivacy, la CCPA, la LGPD y la KVKK desde un único panel, es compatible con IAB TCF v2.2 y Google Consent Mode v2, y escanea cada dominio para construir el inventario de cookies. Con la opción de Bloqueo Previo de Cookietrace activada, las cookies y rastreadores no esenciales detectados por el escaneo —cargados vía GTM o incrustados directamente en la página— no se ejecutan hasta que el visitante hace una elección; si rechaza, nunca se ejecutan, y si acepta, solo se cargan las categorías aceptadas. El plan Premium cubre hasta 100 dominios con una sola licencia a 79 $/mes; el contrato Enterprise cubre un número de dominios a medida, alojamiento de datos en la UE o en Türkiye, un DPA y un SLA. Los registros de consentimiento se conservan con marca temporal y prueba de integridad durante al menos tres años, y el Módulo de Divulgación de IA para el artículo 50 del Reglamento de IA de la UE funciona en la misma plataforma. Entre las alternativas globales están OneTrust, Cookiebot, Usercentrics y Didomi.

Plan de implantación corporativa (4 semanas)

Ordene el despliegue para que la aprobación legal se complete antes de la implantación en todo el portafolio.

Semana 1: inventario de dominios, mapeo de entidades jurídicas y escaneo automático de todos los sitios
Semana 2: plantilla de banner corporativa, clasificación por categorías y aprobación legal
Semana 3: puesta en marcha en sitios filiales piloto, conexión con GTM y Consent Mode v2, permisos de agencia
Semana 4: despliegue en todo el portafolio, primer informe de auditoría y presentación a auditoría interna

Preguntas frecuentes

¿Quién es el responsable del tratamiento en una estructura de holding?

Cada dominio se vincula a la entidad jurídica correspondiente, y los banners y textos de política se publican en nombre de esa entidad. En Cookietrace los dominios pueden agruparse por entidad jurídica y generar informes por grupo.

Tenemos más de 50 sitios web; ¿pueden funcionar con una sola licencia?

Sí. El plan Premium cubre hasta 100 dominios con una sola licencia; los portafolios más grandes pasan a un contrato Enterprise.

¿Pueden las agencias acceder a sitios sin ver todo el portafolio?

Sí. Con el acceso basado en roles, las cuentas de agencia solo ven y editan los dominios para los que están autorizadas.

¿Se pueden mantener los registros de consentimiento en Türkiye?

Sí. El alojamiento de datos está disponible en la UE por defecto o en Türkiye, y la ubicación se establece por escrito en un contrato Enterprise.

¿Se pueden gestionar los banners de las filiales en la UE desde el mismo panel?

Sí. La segmentación geográfica aplica reglas GDPR/ePrivacy y el idioma local a los visitantes de la UE, y KVKK a los visitantes turcos; se admite TCF v2.2.

¿Proporcionan un DPA, un cuestionario de seguridad y un SLA?

Sí, los tres se proporcionan en el contrato Enterprise.

Fuentes

Fuentes oficiales citadas en esta guía.

A quién va dirigida

Responsables de sitios web, equipos de marketing y desarrolladores encargados del consentimiento, el etiquetado analítico y la documentación de privacidad.

Cookietrace

Escrito y revisado por el equipo de ingeniería de privacidad de Cookietrace. (9 min — enterprise)