> Enlace Do Not Sell de la CCPA: redacción, ubicación, icono Your Privacy Choices, formulario de exclusión, GPC y el plazo de 15 días hábiles explicados. > > Canonical: https://www.flowconsent.com/es/blog/enlace-do-not-sell-ccpa-guia [Normativa](https://www.flowconsent.com/es/blog?category=regulation) # Enlace Do Not Sell de la CCPA: requisitos y cómo implantarlo Por Roland Vekemans · Publicado el 3 de noviembre de 2026 · 9 min de lectura En resumen «Do Not Sell My Personal Information» («no venda mi información personal») es el enlace de exclusión que la ley californiana CCPA exige a las empresas que venden o comparten datos personales. Desde la reforma CPRA se titula «Do Not Sell or Share My Personal Information», o puede sustituirse por un único enlace «Your Privacy Choices» con el icono oficial. El enlace Do Not Sell de la CCPA debe figurar en la cabecera o el pie de la página de inicio, llevar a un formulario de exclusión que funcione (un banner de cookies por sí solo no basta), y la solicitud debe ejecutarse en un plazo máximo de 15 días hábiles. Para un sitio europeo, el mecanismo resulta extraño: el RGPD exige un consentimiento previo, como explica nuestra guía sobre las [condiciones de validez del consentimiento RGPD](https://www.flowconsent.com/es/blog/consentimiento-rgpd-condiciones-validez). En California los rastreadores pueden cargarse por defecto, y el enlace Do Not Sell es la herramienta con la que el visitante dice que no. Este artículo se dirige a las empresas, también españolas y latinoamericanas, con audiencia en Estados Unidos: qué debe decir el enlace, dónde colocarlo, qué debe ocurrir tras el clic y cómo comprobarlo. ## ¿Qué significa «Do Not Sell My Personal Information»? La primera versión de la CCPA, vigente desde enero de 2020, dio a los residentes de California el derecho a prohibir a una empresa la venta de sus datos, y exigió un enlace «Do Not Sell My Personal Information» en la página de inicio. La California Privacy Rights Act (CPRA) extendió ese derecho al «compartir» a partir de enero de 2023, y el título obligatorio pasó a ser «Do Not Sell or Share My Personal Information». Muchos sitios todavía muestran la fórmula antigua, que conviene actualizar. Dos conceptos sostienen todo el mecanismo: - **Vender** (sell): comunicar datos personales a un tercero a cambio de dinero o de otra «contraprestación de valor». Una herramienta gratuita de analítica o publicidad que reutiliza los datos de sus visitantes a cambio de su servicio puede constituir una venta. - **Compartir** (share): comunicar datos a un tercero para publicidad comportamental entre sitios, pagada o no. Los píxeles de retargeting y las etiquetas de redes publicitarias son el caso típico. Para el visitante, hacer clic es decir «basta». Para la empresa, es una obligación con plazos, y los reguladores comprueban que el enlace funcione de verdad. La diferencia entre ambos modelos se explica en nuestro artículo sobre [opt-in y opt-out](https://www.flowconsent.com/es/blog/opt-in-opt-out-diferencias-rgpd), y nuestra guía de los [tipos de consentimiento](https://www.flowconsent.com/es/blog/tipos-de-consentimiento-explicito-implicito) muestra por qué la ausencia de oposición nunca valdría como consentimiento en Europa. ## ¿Necesita su sitio un enlace Do Not Sell? Sí, si se cumplen dos condiciones. Primero, su empresa entra en el ámbito de la CCPA: una sociedad con ánimo de lucro que hace negocios en California y cuyos ingresos anuales superan los 26.625.000 dólares (umbral de 2025), o que compra, vende o comparte los datos de 100.000 o más consumidores u hogares californianos, o que obtiene al menos la mitad de sus ingresos de vender o compartir datos. Una empresa europea puede, por tanto, estar afectada. Los umbrales y el texto se resumen en nuestra [página sobre la CCPA y la CPRA](https://www.flowconsent.com/es/laws/ccpa-cpra). Segundo, usted vende o comparte efectivamente datos. En California, los identificadores de cookies, las direcciones IP y los identificadores de dispositivo son datos personales: un Meta Pixel, un píxel de TikTok o el remarketing de Google Ads suelen bastar. Si no vende ni comparte nada, la sección 7013(g) del reglamento le exime del enlace, siempre que su política de privacidad lo indique. Esa afirmación debe ser cierta: en el acuerdo de 2022 con Sephora, el fiscal general de California reprochó al minorista haber dejado que rastreadores de terceros recogieran datos en su sitio sin informar a los visitantes de que los vendía. ## ¿Dónde colocar el enlace Do Not Sell? La sección 7013(c) exige el enlace en la cabecera o el pie de la página de inicio. La sección 7003(c) añade que debe parecerse a los enlaces vecinos: al menos un tamaño y un color aproximados, no una nota gris en letra pequeña. En la práctica: - Colóquelo en el pie de página global, para que aparezca en todas las páginas. - Use el título exacto en inglés: «Do Not Sell or Share My Personal Information». - Si utiliza datos sensibles más allá de lo que permite la ley, añada «Limit the Use of My Sensitive Personal Information», o use el enlace combinado descrito más abajo. - Para una aplicación móvil, la sección 7003(d) exige que la política de privacidad sea accesible desde la ficha de la aplicación en la tienda, y el enlace también puede figurar dentro de la aplicación. ## ¿«Do Not Sell or Share» o «Your Privacy Choices»? La sección 7015 ofrece una alternativa: un único enlace titulado «Your Privacy Choices» o «Your California Privacy Choices», con el icono oficial de exclusión (un interruptor azul y blanco) justo al lado del título, de un tamaño similar al de los demás iconos de la cabecera o el pie. Este enlace sustituye a la vez a «Do Not Sell or Share» y a «Limit the Use of My Sensitive Personal Information». La contrapartida: la página de destino debe explicar ambos derechos y permitir ejercer los dos en línea. Si solo necesita la exclusión de la venta y del intercambio, el enlace clásico es más sencillo. Si también cubre otros estados de EE. UU., «Your Privacy Choices» es un título neutro que encaja fuera de California. ## Qué debe ocurrir tras el clic La sección 7013(a) da al enlace un objetivo: hacer efectiva la exclusión de inmediato. Hay dos diseños conformes. 1. **Efecto inmediato.** El clic abre un interruptor o una confirmación que registra la exclusión en el acto. La información sobre el derecho de exclusión figura entonces en la política de privacidad. 2. **Una página dedicada.** El enlace lleva a una página que describe el derecho a excluirse de la venta y del intercambio y contiene el formulario interactivo exigido por la sección 7026(a)(1). El formulario debe ser breve: sin cuenta, sin inicio de sesión, sin documentos de identidad. En ambos casos, la exclusión debe llegar a las etiquetas que envían datos realmente. Un formulario que guarda una preferencia en una base de datos mientras el Meta Pixel sigue disparándose no es una exclusión. Antes de diseñar nada, haga la lista de lo que funciona en sus páginas. **Compruebe en 30 segundos qué cookies instala su sitio con el** [**escáner gratuito**](https://www.flowconsent.com/es/scan) y clasifique cada rastreador como necesario, analítica o publicidad. La otra mitad del trabajo está en el servidor: los datos enviados a plataformas publicitarias mediante eventos de servidor o cargas de CRM también deben detenerse. Un ejemplo concreto de cómo conectarlo: FlowConsent envía a su servidor un webhook firmado `consent.withdrawn` cuando un visitante rechaza o retira su consentimiento, que su backend puede usar para detener el intercambio del lado del servidor para ese visitante. ## Por qué un banner de cookies no basta Es el error más frecuente. La sección 7026(a)(4) lo dice claramente: un banner o unos controles de cookies no son, por sí solos, un método aceptable para excluirse de la venta o del intercambio, porque las cookies se refieren a la recogida de datos y no a su venta o intercambio. Un botón «Rechazar todo» ayuda, pero no sustituye al enlace. La sección 7026(a) exige además al menos dos métodos designados para recibir solicitudes de exclusión, uno de los cuales debe reflejar la forma principal en que usted se relaciona con los consumidores. Para un sitio web, la pareja habitual es el formulario tras el enlace más la señal Global Privacy Control. Nuestra guía sobre el [banner de cookies CCPA](https://www.flowconsent.com/es/blog/banner-cookies-ccpa-requisitos) explica cómo encajan el banner, el enlace y la GPC en una misma página. ## Las reglas para tramitar una solicitud Do Not Sell La sección 7026 regula el proceso, y las sanciones recientes han apuntado a cada uno de estos puntos: - **Sin cuenta ni verificación.** No puede exigir una cuenta (7026(c)) ni una solicitud verificable (7026(d)). Solo puede pedir lo necesario para localizar a la persona, por ejemplo un correo electrónico si quiere que la exclusión se aplique a su ficha de cliente. - **15 días hábiles como máximo.** Deje de vender y compartir lo antes posible y, como tarde, 15 días hábiles después de recibir la solicitud (7026(f)). - **Avisar a los terceros.** Notifique a los terceros a los que haya vendido o comunicado los datos entre la solicitud y su ejecución, e indíqueles que la respeten (7026(f)). - **Una opción para todo.** Puede ofrecer opciones detalladas, pero también debe existir una opción única de «excluirse de toda venta e intercambio» (7026(h)). - **El mismo esfuerzo.** El camino para decir que no debe ser tan sencillo como el de aceptar (sección 7004). En marzo de 2025, la Agencia de Protección de la Privacidad de California (CPPA) impuso a Honda una multa de 632.500 dólares, en parte por opciones asimétricas y por pedir información excesiva en su proceso de exclusión. - **Sin insistencia.** La ley obliga a esperar al menos 12 meses antes de volver a pedir a quien se ha excluido que autorice la venta o el intercambio. - **Menores.** Para los consumidores de menos de 16 años el modelo se invierte: no se pueden vender ni compartir sus datos sin consentimiento previo (Código Civil de California, 1798.120(c)). Puede mostrar al visitante que su exclusión se ha aplicado, por ejemplo con un estado «opted out» o un interruptor desactivado (7026(g)). ## Global Privacy Control y la opción sin fricción Global Privacy Control (GPC) es un ajuste del navegador que indica a cada sitio «no venda ni comparta mis datos». La sección 7025 la convierte en una solicitud de exclusión válida, y la sección 7025(e) aclara que publicar el enlace no exime de respetar la señal: hacen falta las dos cosas, salvo que elija la vía sin fricción. Según la sección 7025(g), puede prescindir de los enlaces «Do Not Sell» y «Your Privacy Choices» si procesa la GPC sin fricción (sin coste, sin empeorar el servicio, sin ventana emergente ni mensaje en respuesta a la señal), lo describe en su política de privacidad y la señal basta para aplicar por completo la exclusión. Un sitio que solo comparte datos en línea para publicidad comportamental puede acogerse a ello. En la práctica, la mayoría de las empresas mantiene el enlace, porque los visitantes sin GPC también deben poder excluirse. Nuestra comparativa de las [reglas de cookies de la CCPA y el RGPD](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies) muestra cómo combinarlo con una configuración europea. ## Lista de comprobación: implantar el enlace paso a paso 1. Inventaríe cada rastreador y cada flujo de datos del lado del servidor, y determine cuáles son ventas o intercambios. 2. Elija el título: «Do Not Sell or Share My Personal Information», o «Your Privacy Choices» con el icono si también trata datos sensibles. 3. Añada el enlace al pie de página global, con el mismo tamaño y color que sus vecinos. 4. Construya el destino: un interruptor inmediato, o una página con la información y un formulario breve. 5. Conecte la exclusión con sus etiquetas, para que los scripts publicitarios sigan bloqueados en ese navegador, y con su backend para los flujos de servidor. 6. Respete la GPC en todas las páginas y registre cada exclusión con su fecha. 7. Prevea un procedimiento para avisar a los terceros y cerrar las solicitudes en 15 días hábiles. 8. Pruebe con y sin GPC, en una ventana privada, y compruebe en la pestaña de red que no sale ninguna petición publicitaria tras la exclusión. ## Cómo gestiona FlowConsent las solicitudes Do Not Sell FlowConsent aplica el modelo opt-in a todos los visitantes, californianos incluidos: los scripts de publicidad y analítica permanecen bloqueados hasta la aceptación, de modo que a un visitante que nunca acepta no se le vende ni comparte nada a través de sus etiquetas. Cada decisión se conserva como prueba de consentimiento exportable. Para los flujos de servidor, los [webhooks de consentimiento](https://www.flowconsent.com/es/doc/consent-webhooks) envían a su backend un evento firmado `consent.withdrawn` cuando un visitante rechaza o retira su consentimiento. La documentación no describe, en cambio, una página «Do Not Sell or Share» lista para usar ni la detección automática de la GPC: el enlace del pie, su página de destino y el tratamiento de la GPC quedan a su cargo. Para un sitio centrado en EE. UU. que necesite esas funciones integradas, nuestra [comparativa con Osano](https://www.flowconsent.com/es/comparison/osano-vs-flowconsent) es un buen punto de partida. [Volver al blog](https://www.flowconsent.com/es/blog) Compartir el artículo · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fes%2Fblog%2Fenlace-do-not-sell-ccpa-guia) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fes%2Fblog%2Fenlace-do-not-sell-ccpa-guia) Preguntas ## Preguntas frecuentes sobre este tema. ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué significa «Do Not Sell My Personal Information»? Es el enlace con el que un residente de California pide a una empresa que deje de vender o compartir sus datos personales. Desde la entrada en vigor de la CPRA en 2023, el título obligatorio es «Do Not Sell or Share My Personal Information», porque también se incluye el intercambio para publicidad comportamental entre sitios. El clic debe registrar la exclusión, de inmediato o mediante un formulario breve, sin cuenta ni verificación de identidad. ### ¿Todos los sitios web necesitan un enlace Do Not Sell? No. Solo lo necesitan las empresas sujetas a la CCPA que venden o comparten realmente datos personales. La ley se aplica por encima de 26.625.000 dólares de ingresos anuales, a partir de 100.000 consumidores u hogares californianos, o cuando la mitad de los ingresos procede de vender o compartir datos. Si no vende ni comparte, puede omitir el enlace siempre que su política de privacidad lo indique con veracidad. ### ¿Qué diferencia hay entre «Do Not Sell or Share» y «Your Privacy Choices»? «Your Privacy Choices» es el enlace de exclusión alternativo previsto en la sección 7015 del reglamento de la CCPA. Sustituye a la vez a «Do Not Sell or Share My Personal Information» y a «Limit the Use of My Sensitive Personal Information» por un solo enlace, con el icono oficial de interruptor azul y blanco. A cambio, la página de destino debe explicar ambos derechos y permitir ejercer los dos en línea. ### ¿Cuánto tiempo tiene una empresa para atender una solicitud Do Not Sell? La sección 7026(f) del reglamento de la CCPA exige dejar de vender y compartir lo antes posible y, como tarde, 15 días hábiles después de recibir la solicitud. La empresa también debe avisar a los terceros a los que haya vendido o comunicado los datos entretanto e indicarles que respeten la exclusión. Después debe esperar al menos 12 meses antes de volver a pedir a la persona que autorice la venta o el intercambio. ### ¿Basta un banner de cookies para cumplir la regla Do Not Sell? No. La sección 7026(a)(4) del reglamento de la CCPA establece que un banner o unos controles de cookies no son, por sí solos, un método aceptable para excluirse de la venta o del intercambio, porque las cookies se refieren a la recogida de datos. Un botón Rechazar ayuda, pero sigue necesitando el enlace Do Not Sell o Your Privacy Choices, un formulario de exclusión que funcione y respetar la señal Global Privacy Control. ### ¿Sustituye Global Privacy Control al enlace Do Not Sell? Solo bajo condiciones estrictas. La sección 7025(g) permite prescindir del enlace si la empresa respeta la GPC sin fricción (sin coste, sin empeorar el servicio, sin ventana emergente en respuesta a la señal), lo explica en su política de privacidad y puede aplicar por completo la exclusión mediante la señal. Si no, necesita ambas cosas: el enlace para los visitantes sin GPC y el respeto automático de la señal en cada página. Siga leyendo ## Para saber más. [Todos los artículos](https://www.flowconsent.com/es/blog) [Normativa · 29 de octubre de 2026](https://www.flowconsent.com/es/blog/banner-cookies-ccpa-requisitos) ### [Banner de cookies CCPA: requisitos, GPC y cómo cumplir](https://www.flowconsent.com/es/blog/banner-cookies-ccpa-requisitos) [La CCPA no exige un banner de cookies como el del RGPD, pero las cookies que venden o comparten datos necesitan un aviso, una exclusión que funcione y el respeto de Global Privacy Control. Requisitos, sanciones de 2025 y configuración.](https://www.flowconsent.com/es/blog/banner-cookies-ccpa-requisitos) [Leer el artículo ](https://www.flowconsent.com/es/blog/banner-cookies-ccpa-requisitos)· [Normativa · 20 de octubre de 2026](https://www.flowconsent.com/es/blog/opt-in-opt-out-diferencias-rgpd) ### [Opt-in y opt-out: diferencias, ejemplos y normas del RGPD](https://www.flowconsent.com/es/blog/opt-in-opt-out-diferencias-rgpd) [Opt-in y opt-out explicados: qué significa cada modelo, qué exigen el RGPD, la LSSI y la AEPD para cookies y correos comerciales, y dónde se admite el opt-out.](https://www.flowconsent.com/es/blog/opt-in-opt-out-diferencias-rgpd) [Leer el artículo ](https://www.flowconsent.com/es/blog/opt-in-opt-out-diferencias-rgpd)· [Normativa · 9 de marzo de 2026](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies) ### [CCPA vs RGPD: las diferencias reales en materia de cookies](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies) [La CCPA y el RGPD tratan las cookies de forma distinta. Opt-in frente a opt-out, sanciones, ámbito geográfico: esto es lo que cambia para tu sitio web.](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies) [Leer el artículo](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)