¿Tu sitio web utiliza servicios de terceros? Cumple con el RGPD en minutos.
Probar FlowConsentmobileCta.note
Matomo (antes Piwik) es una plataforma de análisis web de código abierto que es la principal alternativa conforme al RGPD de Google Analytics. Puede autoalojarse en la propia infraestructura o utilizarse a través de Matomo Cloud (alojado en Alemania). Matomo autoalojado en modo sin cookies con anonimización de IP es la única plataforma analítica importante que puede desplegarse sin banners de consentimiento según los criterios de exención de la CNIL. Usted es propietario del 100 % de sus datos sin transferencias a terceros países.
Matomo (antes Piwik) es la principal plataforma de analítica web de código abierto, utilizada por más de un millón de sitios en todo el mundo. La aplicación la publica InnoCraft Ltd bajo licencia GPLv3 y puede desplegarse de dos formas: autoalojada sobre la infraestructura del editor (PHP y MySQL) o como Matomo Cloud, la edición SaaS alojada en Francia en OVHcloud. Matomo mide páginas vistas, sesiones, conversiones, eventos de e commerce y comportamiento en la página mediante una etiqueta JavaScript (matomo.js) y un tracker de imagen (matomo.php).
Frente a Google Analytics, Matomo deja al editor el control total sobre la ubicación, el plazo de conservación y la reutilización de los datos, motivo por el que es la solución de referencia para las organizaciones que buscan encajar en la exención CNIL de medición de audiencia.
En su configuración por defecto, Matomo escribe cookies de origen en el dominio del editor: _pk_id (identificador del visitante, 13 meses según la recomendación CNIL), _pk_ses (contador de sesión, 30 minutos), _pk_ref (referente, 6 meses), _pk_cvar (variables personalizadas, 30 minutos), _pk_hsr (mapa de calor y grabación de sesión, 30 minutos cuando el plugin HSR está activo) y _pk_testcookie (prueba de navegador, unos segundos). Matomo también puede operar en modo sin cookies usando una huella del lado del servidor (IP truncada, user agent y día de visita), regenerada cada 24 horas. Incluso sin cookies, se escriben cookies de configuración en el terminal, por lo que el artículo 5(3) de la directiva ePrivacy sigue aplicándose salvo que se cumplan las condiciones de la exención de medición de audiencia.
La exención CNIL (guía de medición de audiencia, marzo 2022) permite a Matomo operar sin consentimiento si la configuración es estrictamente anónima: truncamiento de IP en al menos dos bytes, sin seguimiento entre sitios ni entre dispositivos, sin reutilización comercial, sin compartir con terceros, retención limitada a 13 meses para cookies de visitante y 25 meses para informes agregados, mecanismo de oposición siempre disponible. Si se cumplen estas condiciones, la base jurídica es el interés legítimo (art. 6.1.f del RGPD) y se levanta la obligación de consentimiento del art. 5(3) ePrivacy. Fuera de la exención (seguimiento entre sitios, activación de etiquetas de marketing vía Matomo Tag Manager, intercambio con terceros, publicidad comportamental), se exige consentimiento explícito y Matomo solo debe cargarse tras la aceptación.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
En Matomo Cloud todos los servidores de procesamiento están en Francia, en OVHcloud (Roubaix y Estrasburgo). InnoCraft, el operador, tiene su sede en Wellington, Nueva Zelanda, país amparado por la decisión de adecuación de la Comisión Europea de 19 de diciembre de 2012, por lo que la transferencia al personal del operador se permite sin garantías adicionales. La instalación autoalojada no genera transferencias salvo que el editor despliegue Matomo fuera del EEE. El contrato de encargado de tratamiento publicado por Matomo cumple con el art. 28 del RGPD e incluye las Cláusulas Contractuales Tipo para cualquier subencargado posterior.
Active la anonimización de IP con al menos dos bytes (setIPv4Anonymize) y nunca almacene la IP completa en los registros sin procesar. Desactive la función User ID salvo que tenga una finalidad contractual clara. Limite la retención a 13 meses para los registros de visitantes y 25 meses para los informes agregados en el panel de Privacidad. Documente la configuración en su registro de actividades de tratamiento (art. 30 RGPD) y en la política de privacidad. Si además utiliza Matomo Tag Manager para cargar píxeles de marketing, considere todo el conjunto como sujeto a consentimiento. Compruebe que ningún plugin de perfilado (Heatmaps y Session Recording, Form Analytics, Funnels) esté activo cuando se ampare en la exención.
Opciones comparables orientadas a la privacidad son Plausible Analytics (sin cookies, alojado en Alemania), Fathom Analytics, Piano Analytics (antes AT Internet, exento CNIL por defecto), Umami y Open Web Analytics. Migrar desde Matomo es sencillo porque el esquema SQL está documentado y la API permite la exportación masiva. Conserve los informes históricos durante el plazo legal de conservación antes de eliminar la base de datos, de acuerdo con el art. 5.1.e del RGPD sobre limitación del plazo de conservación.
Websites using Matomo must obtain user consent under GDPR regulations.
DPIA considerations
En la configuración exenta de consentimiento, normalmente no se requiere una EIPD completa porque el riesgo residual es bajo: los datos permanecen en la UE (Cloud) o en su propia infraestructura (autohospedado), las IP están anonimizadas, no hay enriquecimiento de perfil ni intercambio con terceros. La EIPD pasa a ser recomendable cuando Matomo se utiliza con plugins de enriquecimiento de perfil, retargeting, A/B testing, session replay avanzado o seguimiento extendido de usuarios identificados. Documente la configuración en todo caso (nivel de anonimización, vida útil de cookies, plugins activados, retención) para que el DPD pueda demostrar la responsabilidad proactiva del artículo 5(2) del RGPD.
Sample consent text
Utilizamos Matomo, una plataforma de analítica web de código abierto, para contar visitas y entender qué contenidos resultan más útiles. Según nuestra configuración, Matomo funciona sin cookies bajo la exención CNIL de medición de audiencia (IP anonimizada, sin seguimiento entre sitios, sin reutilización comercial) o con las cookies _pk_id, _pk_ses y _pk_ref conservadas hasta 13 meses. En Matomo Cloud, sus datos se procesan en Francia por InnoCraft Ltd, sociedad neozelandesa cubierta por la decisión de adecuación europea de 2012. Puede aceptar, rechazar o retirar el consentimiento en cualquier momento desde nuestro panel de preferencias, incluso cuando Matomo opera bajo la exención.
Third-party domains contacted
matomo.cloudmatomo.cloudmatomo.orgmatomo.orgmatomo.orgcloud.matomo.orginnocraft.cloudinnocraft.cloudcdn.matomo.cloudplugins.matomo.orgCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| _pk_id | persistent | 13 months | Matomo visitor identifier cookie — not set in cookieless mode; identifies unique visitors for analytics |
| _pk_id | First party (Matomo) | 13 months | Visitor identifier used to recognise returning visitors. Stores a random anonymous ID. |
| _pk_id.{siteId}.{hash} | HTTP cookie (first party) | 13 months (configurable) | Stores the unique Matomo visitor identifier used to distinguish returning users from new users and to link multiple sessions to the same visitor profile. |
| _pk_ses | session | Session | Matomo session cookie for grouping page views within a single visit — not set in cookieless mode |
| _pk_ses | First party (Matomo) | 30 minutes | Short lived session cookie used to track if the current visit is ongoing. |
| _pk_ses.{siteId}.{hash} | HTTP cookie (first party) | 30 minutes | Marks the current visitor session as active. The cookie expires 30 minutes after the last tracked event, at which point any new event starts a new session. |
| _pk_ref.{siteId}.{hash} | HTTP cookie (first party) | 6 months | Stores the campaign, search engine or external referrer information that led the user to the site, so attribution reports can be built without re reading the Referer header on every page. |
| _pk_ref | First party (Matomo) | 6 months | Stores the original referrer or campaign attribution for the visitor. |
| _pk_cvar | First party (Matomo) | 30 minutes | Stores temporary custom variables for the current visit (legacy). |
| _pk_cvar.{siteId}.{hash} | HTTP cookie (first party) | 30 minutes | Temporarily stores custom variables set via the setCustomVariable API at session scope. Only present if the website uses custom variables. |
| _pk_testcookie | HTTP cookie (first party) | Session | Short lived test cookie used by Matomo to verify whether the browser accepts cookies. Deleted immediately after the test. |
| _pk_testcookie | First party (Matomo) | Session | Used by Matomo to test whether cookies are supported by the browser. |
| mtm_consent | First party (Matomo Tag Manager) | 30 years (configurable) | Stores the consent decision of the visitor for Matomo Tag Manager. |
Matomo recopila datos analíticos de los usuarios — necesitas legalmente un banner de consentimiento. Prueba FlowConsent gratis.
Sí. Matomo en modo sin cookies con anonimización de IP cumple los criterios de exención de la CNIL para análisis sin consentimiento. Configuración necesaria: deshabilitar todas las cookies, anonimizar la IP (al menos 2 bytes), deshabilitar el seguimiento entre sitios y no compartir datos con terceros. Esta configuración no requiere banner de cookies.
La CNIL ha definido criterios bajo los cuales las herramientas analíticas pueden operar sin consentimiento: seguimiento sin cookies, anonimización de IP, datos de un único sitio sin seguimiento entre sitios, uso exclusivo para estadísticas internas y sin compartición con terceros. Matomo es una de las pocas herramientas capaces de cumplir todos estos criterios.
Autoalojado: no hay transferencias, los datos permanecen en su servidor. Matomo Cloud: alojado en Alemania, sin transferencias fuera de la UE. Ninguna opción requiere CCT. Esta es la principal ventaja de Matomo frente a Google Analytics para organizaciones de la UE.
Autoalojado: usted instala Matomo en su propio servidor, control de datos al 100 %, software de código abierto gratuito, requiere configuración técnica. Matomo Cloud: alojado por InnoCraft en Alemania, servicio gestionado, de pago, sin configuración técnica, requiere contrato de encargo de tratamiento con InnoCraft.
Matomo instala cookies por defecto (_pk_id para el ID de visitante, _pk_ses para la sesión, _pk_ref para la referencia), que pueden desactivarse en el modo sin cookies. Sin cookies, Matomo utiliza un hash diario de IP y agente de usuario para la agrupación temporal de sesiones que no persiste entre días.
En el panel de administración de Matomo, en Privacidad: active la anonimización de IP (al menos 2 bytes), active el seguimiento sin cookies (desactive todas las cookies de origen), desactive la toma de huella digital. Verifique en las herramientas de desarrollo del navegador que no se instalan cookies al visitar el sitio rastreado. Documente esta configuración en los registros de cumplimiento.
Sí, Matomo ofrece funciones de grabación de sesiones y mapas de calor. Estas funciones procesan sesiones individuales de usuarios y requieren consentimiento, igual que las herramientas de pago. La exención sin cookies no se aplica a las funciones de grabación de sesiones.
Matomo es significativamente más sencillo para el cumplimiento del RGPD: alojado en la UE (sin transferencias a EE. UU.), operable en modo sin cookies sin consentimiento, propiedad total de los datos, de código abierto y auditable. Google Analytics requiere consentimiento, CCT con EE. UU., contrato de encargo de tratamiento y ha sido declarado no conforme en configuración estándar por varias autoridades europeas de protección de datos.
Por defecto Matomo deposita cuatro cookies propias: _pk_id (identificador de visitante, 13 meses), _pk_ses (sesión, 30 minutos), _pk_ref (atribución del referente, 6 meses) y varias cookies de configuración de corta duración. Las cookies pueden desactivarse por completo desde la configuración: en ese caso Matomo usa una identificación sin cookies válida solo durante la visita.
Depende de la configuración. En Francia la CNIL permite usar Matomo sin consentimiento si se aplica el perfil de privacidad (IP anonimizada, sin fingerprinting, cookie máxima de 13 meses, opt out, sin seguimiento entre sitios). En Alemania, el TDDDG exige consentimiento salvo en modo sin cookies. En España, la AEPD se alinea con la CNIL y la LSSI obliga a documentar la base.
Con la exención CNIL o AEPD, la base es el interés legítimo (art. 6.1.f del RGPD) acompañada de una ponderación documentada. Fuera de la exención, o si hay seguimiento entre sitios, la base es el consentimiento (art. 6.1.a del RGPD junto con el art. 5.3 ePrivacy, transpuesto en el art. 22 LSSI).
No. Matomo Cloud se aloja íntegramente en la Unión Europea (Francia y Alemania) y Matomo autoalojado se ejecuta en la infraestructura que usted controla. No hay transferencia de datos personales a Estados Unidos, lo que sitúa a Matomo fuera del alcance de Schrems II y lo convierte en una opción sólida para entidades sensibles a las transferencias internacionales.
Una EIPD no suele ser necesaria cuando Matomo está configurado en modo privacidad sobre infraestructura europea, con IPs anonimizadas y sin seguimiento entre sitios. Se recomienda si se rastrean categorías sensibles (menores, salud), si se cruzan los datos de Matomo con identificadores del CRM o si se procesan volúmenes muy elevados que entran en los criterios de alto riesgo del EDPB.
Instale Matomo en infraestructura europea o contrate Matomo Cloud (UE). En el panel, active la anonimización de IP (2 bytes), desactive el fingerprinting, limite las cookies a 13 meses, desactive el seguimiento entre sitios, respete Do Not Track y publique el opt out. Actualice el aviso de privacidad y el registro de actividades. Si se requiere consentimiento, integre Matomo con su CMP mediante la API _paq.push.
Alternativas orientadas a la privacidad: Plausible Analytics (UE, sin cookies), Fathom Analytics (UE/EE.UU.), Piwik PRO (UE, enterprise), Pirsch (UE, sin cookies) y Umami autoalojado. Para mayor paridad funcional, compárelo con Google Analytics 4, Adobe Analytics o Mixpanel, que requieren consentimiento explícito y un análisis de transferencias.
Añada una entrada con las cuatro cookies de Matomo (_pk_id, _pk_ses, _pk_ref, más cookies de configuración), su finalidad (analítica), su duración, la base jurídica (interés legítimo con refuerzo o consentimiento), el lugar de alojamiento (UE) y un enlace de opt out. Refleje estas entradas en su Plataforma de Gestión del Consentimiento para que los visitantes puedan revocarlo en cualquier momento.