¿Tu sitio web utiliza servicios de terceros? Cumple con el RGPD en minutos.
Probar FlowConsentmobileCta.note
Matomo (anteriormente Piwik) es una plataforma de análisis web de código abierto que le otorga plena soberanía sobre sus datos. Disponible como solución autoalojada, servicio en la nube o plugin de WordPress, Matomo rastrea el comportamiento de los visitantes mediante cookies de origen y admite el seguimiento sin cookies. Aprobada por la CNIL para la exención de consentimiento cuando se configura correctamente.
Matomo Analytics es el producto histórico de medición de la plataforma de código abierto Matomo (antes Piwik). Mide páginas vistas, sesiones, conversiones, eventos, transacciones de e commerce y comportamientos en la página mediante una etiqueta JavaScript (matomo.js) y una petición de imagen (matomo.php). Matomo Analytics puede desplegarse autoalojado sobre la infraestructura PHP y MySQL del editor, o como SaaS a través de Matomo Cloud, alojado en Francia en OVHcloud.
Las cookies por defecto que escribe Matomo Analytics son cookies de origen en el dominio del editor: _pk_id (identificador del visitante, 13 meses según CNIL), _pk_ses (contador de sesión, 30 minutos), _pk_ref (referente, 6 meses), _pk_cvar (variables personalizadas, 30 minutos) y _pk_testcookie (prueba de navegador, unos segundos). En modo sin cookies no se escribe identificador persistente; Matomo calcula un hash del lado del servidor diario a partir de la IP truncada y el user agent. El editor sigue obligado a respetar el art. 5(3) ePrivacy salvo que se cumplan las condiciones estrictas de la exención CNIL.
Para usar Matomo Analytics sin banner, siga la exención CNIL (guía de marzo de 2022): truncamiento de IP en al menos dos bytes, sin seguimiento entre sitios, sin reutilización comercial, sin compartir con terceros, retención limitada a 13 meses para cookies de visitante y 25 meses para informes agregados, mecanismo de oposición. Dentro de este marco la base jurídica es el interés legítimo (art. 6.1.f RGPD). Fuera de él, se requiere consentimiento explícito (art. 6.1.a RGPD y 5(3) ePrivacy).
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
En Matomo Cloud, todos los servidores están en Francia en OVHcloud. El operador InnoCraft Ltd tiene su sede en Wellington (Nueva Zelanda), país amparado por la decisión de adecuación de la Comisión Europea de 2012, por lo que el acceso administrativo desde Nueva Zelanda no requiere Cláusulas Contractuales Tipo. La instalación autoalojada no genera transferencias salvo que el editor opte por infraestructura fuera del EEE.
Active setIPv4Anonymize en al menos dos bytes, desactive la función User ID salvo justificación contractual, limite la retención a 13 meses, documente la configuración en su registro de actividades de tratamiento (art. 30 RGPD) y en la política de privacidad. Evite los plugins Heatmap, Session Recording y Form Analytics si se ampara en la exención. Ofrezca un enlace de oposición de un clic basado en trackerUrl.
Las alternativas privacy first comparables son Plausible (sin cookies, Alemania), Fathom Analytics, Piano Analytics (Francia, exento CNIL por defecto), Umami y Open Web Analytics. La migración a o desde Matomo Analytics es sencilla gracias al esquema SQL documentado y a la API de exportación.
Websites using Matomo Analytics must obtain user consent under GDPR regulations.
DPIA considerations
Cuando Matomo Analytics se configura siguiendo las directrices de la CNIL (anonimización IP, sin seguimiento entre sitios, cookies de 13 meses, sin intercambio con terceros, opt out disponible), el riesgo residual es bajo y no suele exigirse una EIPD completa. Se recomienda EIPD si activa session replay, mapas de calor sobre usuarios identificados, análisis avanzado de embudos con User ID persistente, pruebas A/B o plugins de enriquecimiento de perfil. La evaluación debe comparar con el despliegue anterior de Google Analytics para demostrar la mejora, y la configuración debe documentarse en el registro del artículo 30.
Sample consent text
Utilizamos Matomo Analytics, una herramienta de analítica web de código abierto, para contar visitas en este sitio. Cuando Matomo Analytics se configura bajo la exención CNIL (IP anonimizada, sin seguimiento entre sitios, sin reutilización comercial, retención limitada a 13 meses), no se requiere consentimiento, aunque puede oponerse en cualquier momento. En caso contrario, Matomo Analytics utiliza las cookies _pk_id, _pk_ses y _pk_ref. Sus datos se procesan en la Unión Europea en Matomo Cloud (Francia) o en nuestro propio servidor. Puede retirar su consentimiento en cualquier momento desde nuestro panel de preferencias.
Third-party domains contacted
matomo.cloudmatomo.orgmatomo.cloudmatomo.org*.matomo.cloudmatomo.orgplugins.matomo.orginnocraft.cloudinnocraft.cloudCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| _pk_id | first-party | 13 months | Stores a unique visitor ID to recognise new and returning visitors and build visitor profiles including visit count, timestamps, eCommerce orders, and goal conversions. |
| _pk_id | First party (Matomo) | 13 months | Visitor identifier used to recognise returning visitors. |
| _pk_id.{siteId}.{hash} | HTTP cookie (first party) | 13 months (configurable) | Stores the unique Matomo Analytics visitor identifier used to distinguish returning visitors from new visitors. |
| _pk_ses | First party (Matomo) | 30 minutes | Short lived session cookie used to track the current visit. |
| _pk_ses | first-party | 30 minutes | Used to link actions performed during a session (page views, downloads, events) to a unique visit, enabling accurate session attribution. |
| _pk_ses.{siteId}.{hash} | HTTP cookie (first party) | 30 minutes | Marks the current Matomo Analytics session as active. Expires 30 minutes after the last tracked event. |
| _pk_ref | First party (Matomo) | 6 months | Stores referrer or campaign attribution for the visitor. |
| _pk_ref.{siteId}.{hash} | HTTP cookie (first party) | 6 months | Stores the campaign and referrer information that brought the visitor to the site, used by attribution reports. |
| _pk_ref | first-party | 6 months | Stores referrer attribution data including the source (search engine, social media, external website, or campaign URL) that brought the visitor to the site. |
| _pk_testcookie | HTTP cookie (first party) | Session | Short lived test cookie used to verify whether the browser accepts cookies before any tracking starts. |
| _pk_cvar | first-party | 30 minutes (session) | Stores custom variables in key-value pairs to define additional metadata about the visitor or their actions during a session. |
| _pk_cvar | First party (Matomo) | 30 minutes | Stores temporary custom variables for the current visit (legacy). |
| _pk_testcookie | First party (Matomo) | Session | Tests whether cookies are supported by the browser. |
| mtm_consent | first-party | Until withdrawn (default: 30 years) | Records that the visitor has given consent to be tracked. Set when using Matomo's built-in consent management or a CMP integration. |
| mtm_consent_removed | first-party | Until withdrawn (default: 30 years) | Records that the visitor has opted out of being tracked. Used when the visitor withdraws previously given consent. |
| _pk_hsr | first-party | Session | Used by Heatmap and Session Recording features to track which areas of a webpage visitors interact with and to capture session recording data. |
Matomo Analytics recopila datos analíticos de los usuarios — necesitas legalmente un banner de consentimiento. Prueba FlowConsent gratis.
Matomo instala cuatro cookies principales de origen: _pk_id (identificador único del visitante, 13 meses), _pk_ses (seguimiento de sesión, 30 minutos), _pk_ref (atribución de origen de referencia, 6 meses) y _pk_cvar (variables personalizadas de sesión, 30 minutos). Las cookies opcionales incluyen mtm_consent y mtm_consent_removed para la gestión del consentimiento, y _pk_hsr para Heatmaps y Session Recordings. Matomo también puede configurarse para funcionar completamente sin cookies.
En la mayoría de los países de la UE, el consentimiento es obligatorio conforme a las normas ePrivacy antes de cualquier seguimiento analítico, incluido Matomo. Sin embargo, en Francia (CNIL), España, Italia y los Países Bajos, Matomo puede acogerse a una exención de consentimiento cuando se configura con ajustes específicos de privacidad: modo sin cookies, anonimización de IP, sin seguimiento entre sitios y retención de datos limitada. En jurisdicciones estrictas como Alemania, Austria e Irlanda, el consentimiento es siempre obligatorio independientemente de la configuración.
Para Matomo se aplican dos bases jurídicas: el consentimiento o el interés legítimo. El consentimiento es la opción más segura y es obligatorio en la mayoría de las jurisdicciones de la UE. El interés legítimo puede utilizarse si se realiza una Evaluación de Intereses Legítimos (EIL) que documente el propósito, la necesidad y la prueba de ponderación. Al acogerse a la exención de la CNIL, la base jurídica para el cumplimiento ePrivacy es la exención de estricta necesidad, aunque los requisitos del RGPD siguen aplicándose cuando se tratan datos personales.
No. Con Matomo On-Premise, todos los datos permanecen en sus propios servidores en la ubicación que usted elija. Con Matomo Cloud, los datos se almacenan exclusivamente en centros de datos de la UE (Alemania y Francia). Matomo nunca comparte datos con terceros ni los utiliza para sus propios fines. Esta es una ventaja de cumplimiento fundamental frente a herramientas como Google Analytics, que ha sido declarada ilegal por varias autoridades europeas de protección de datos debido a las transferencias de datos a EE. UU.
Por lo general no se requiere una EIPD para los despliegues estándar de Matomo con la configuración de privacidad predeterminada, ya que la herramienta está diseñada con privacidad por defecto y sin transferencias a terceros países. Sin embargo, se recomienda una EIPD cuando se activan Heatmaps y Session Recordings, se procesan datos de grupos vulnerables, se combinan datos de Matomo con otras fuentes de datos personales, o se utiliza el seguimiento por ID de usuario para vincular sesiones con personas identificadas.
Pasos clave: elegir On-Premise o Matomo Cloud para control total de los datos. Activar la anonimización de IP (2 o 3 bytes). Establecer políticas de retención de datos adecuadas. Documentar Matomo en el Registro de Actividades de Tratamiento (RAT). Actualizar la política de privacidad. Integrar un CMP o utilizar la API de consentimiento integrada de Matomo. Para la exención de la CNIL, seguir la guía de configuración oficial. Proporcionar un mecanismo de exclusión voluntaria mediante el iframe de exclusión de Matomo o un formulario personalizado en la página de privacidad.
Las alternativas de análisis orientadas a la privacidad incluyen: Plausible Analytics (sin cookies, ligero, alojado en la UE), Fathom Analytics (sin cookies, sencillo, orientado a la privacidad), GoatCounter (código abierto, seguimiento mínimo) y Umami (código abierto, autoalojado). Para las organizaciones que necesitan paridad completa de funciones con Google Analytics, Matomo sigue siendo la opción más completa y respetuosa con la privacidad gracias a su modelo autoalojado y la aprobación de la CNIL.
La política de cookies debe listar cada cookie de Matomo por nombre, tipo, finalidad y duración: _pk_id (persistente, identificación del visitante, 13 meses), _pk_ses (sesión, seguimiento de sesión, 30 minutos), _pk_ref (persistente, atribución de referencia, 6 meses), _pk_cvar (sesión, variables personalizadas, 30 minutos). Si se utiliza gestión del consentimiento, listar también mtm_consent y mtm_consent_removed. Indicar que Matomo utiliza únicamente cookies de origen, que los datos se almacenan en los propios servidores o en la UE y que no se comparten datos con terceros.
Matomo Analytics deposita tres cookies propias: _pk_id (identificador único de visitante, por defecto 13 meses), _pk_ses (sesión activa, 30 minutos) y _pk_ref (información de origen, 6 meses). Existe un modo sin cookies donde la identificación se hace en el servidor a partir de una IP truncada y del agente de usuario. Matomo nunca establece cookies de terceros.
Cuatro cookies propias: _pk_id (identificador de visitante, 13 meses), _pk_ses (sesión, 30 minutos), _pk_ref (referente, 6 meses) y cookies cortas de configuración. El modo sin cookies las desactiva.
No necesariamente. Cuando Matomo Analytics se configura bajo la exención de la CNIL (anonimización IP, cookies de 13 meses, sin seguimiento entre sitios, sin intercambio con terceros, opt out, respeto a Do Not Track), se considera una medición estrictamente necesaria y no exige consentimiento previo. En cualquier otra configuración se requiere consentimiento opt in conforme al artículo 6(1)(a) del RGPD y al artículo 5(3) de la Directiva ePrivacy.
En Francia o España no si aplica el perfil CNIL/AEPD (IP anónima, máximo 13 meses, sin fingerprinting, opt out). En Alemania, el TDDDG exige consentimiento salvo en modo sin cookies.
En la configuración exenta, la base jurídica es el interés legítimo (artículo 6(1)(f) del RGPD) porque el tratamiento es estrictamente necesario para un servicio de medición que el editor requiere y el riesgo para el interesado es bajo. Fuera de esa configuración, la base jurídica es el consentimiento. El DPA con InnoCraft (Cloud) se firma conforme al artículo 28; en autohospedado no existe relación de encargo.
Interés legítimo (art. 6.1.f del RGPD) bajo exención CNIL/AEPD. En otro caso, consentimiento (art. 6.1.a del RGPD junto con el art. 5.3 ePrivacy / art. 22 LSSI).
No. Matomo Cloud se aloja en Francia y Alemania y el autoalojamiento se realiza en su infraestructura europea. No hay transferencia a Estados Unidos.
No. Los datos de Matomo Cloud se almacenan exclusivamente en Alemania (Hetzner Online, Falkenstein y Núremberg). Matomo autohospedado se ejecuta en la infraestructura elegida por el operador. InnoCraft, la editora, tiene sede en Nueva Zelanda, que cuenta con una decisión de adecuación europea desde 2012, por lo que el acceso del soporte no constituye una transferencia que requiera CCT.
Por lo general no, si Matomo funciona con perfil de privacidad en infraestructura europea. Se recomienda en seguimiento masivo, categorías sensibles o cruce con el CRM.
En la configuración exenta con IP anonimizada no suele exigirse una EIPD completa porque el riesgo residual es bajo. Resulta recomendable cuando activa session replay, mapas de calor sobre usuarios identificados, análisis avanzado de embudos con User ID persistente, pruebas A/B o plugins de enriquecimiento de perfil. Documente siempre la configuración en el registro del artículo 30.
Active la anonimización de IP, desactive el fingerprinting, limite las cookies a 13 meses, respete Do Not Track, exponga el opt out. Documente la configuración en el registro de actividades y en el aviso de privacidad.
Provea una cuenta de Matomo Cloud o instale on premise, replique objetivos y seguimiento ecommerce, ejecute el importador oficial de Google Analytics sobre los últimos 24 meses, despliegue matomo.js en paralelo con GA en modo comparación durante 30 a 60 días, retire la etiqueta de GA, actualice la política de cookies y avise al DPD. Verifique en los logs en bruto que la anonimización IP está activa antes del cambio definitivo.
Plausible Analytics, Fathom Analytics, Piwik PRO, Pirsch y Umami autoalojado para privacidad. Google Analytics 4 y Adobe Analytics para paridad funcional empresarial (con consentimiento).
Para análisis exento de consentimiento: Plausible (Alemania), Pirsch (Alemania), Fathom Lite (autohospedable), Cabin (autohospedable), umami (código abierto). Para análisis basado en consentimiento con más funcionalidades: PostHog (US/UE), Mixpanel (US), Amplitude (US), Heap (US). Para análisis de logs del lado servidor: Piano Analytics (Francia, antes AT Internet), eulerian (Francia), Wide Angle Analytics (Polonia).
Liste las cuatro cookies con finalidad, duración y base jurídica. Mencione la configuración (IP anónima, sin fingerprinting, alojamiento UE). Regenere el documento ante cada cambio.
Registre la entrada como análisis exento (cuando se cumplen las condiciones de la CNIL) o como análisis sujeto a consentimiento. Indique el encargado (InnoCraft Ltd. para Matomo Cloud, o autohospedado), la finalidad (medición de audiencia), la base jurídica, las cookies y su duración (13 meses, 30 minutos, 6 meses), la conservación (máximo 25 meses), la ausencia de transferencias a terceros y un enlace a la página de opt out.