Matomo Analytics

Matomo instala cuatro cookies principales de origen: _pk_id (identificador único del visitante, 13 meses), _pk_ses (seguimiento de sesión, 30 minutos), _pk_ref (atribución de origen de referencia, 6 meses) y _pk_cvar (variables personalizadas de sesión, 30 minutos). Las cookies opcionales incluyen mtm_consent y mtm_consent_removed para la gestión del consentimiento, y _pk_hsr para Heatmaps y Session Recordings. Matomo también puede configurarse para funcionar completamente sin cookies.

En la mayoría de los países de la UE, el consentimiento es obligatorio conforme a las normas ePrivacy antes de cualquier seguimiento analítico, incluido Matomo. Sin embargo, en Francia (CNIL), España, Italia y los Países Bajos, Matomo puede acogerse a una exención de consentimiento cuando se configura con ajustes específicos de privacidad: modo sin cookies, anonimización de IP, sin seguimiento entre sitios y retención de datos limitada. En jurisdicciones estrictas como Alemania, Austria e Irlanda, el consentimiento es siempre obligatorio independientemente de la configuración.

Para Matomo se aplican dos bases jurídicas: el consentimiento o el interés legítimo. El consentimiento es la opción más segura y es obligatorio en la mayoría de las jurisdicciones de la UE. El interés legítimo puede utilizarse si se realiza una Evaluación de Intereses Legítimos (EIL) que documente el propósito, la necesidad y la prueba de ponderación. Al acogerse a la exención de la CNIL, la base jurídica para el cumplimiento ePrivacy es la exención de estricta necesidad, aunque los requisitos del RGPD siguen aplicándose cuando se tratan datos personales.

No. Con Matomo On-Premise, todos los datos permanecen en sus propios servidores en la ubicación que usted elija. Con Matomo Cloud, los datos se almacenan exclusivamente en centros de datos de la UE (Alemania y Francia). Matomo nunca comparte datos con terceros ni los utiliza para sus propios fines. Esta es una ventaja de cumplimiento fundamental frente a herramientas como Google Analytics, que ha sido declarada ilegal por varias autoridades europeas de protección de datos debido a las transferencias de datos a EE. UU.

Por lo general no se requiere una EIPD para los despliegues estándar de Matomo con la configuración de privacidad predeterminada, ya que la herramienta está diseñada con privacidad por defecto y sin transferencias a terceros países. Sin embargo, se recomienda una EIPD cuando se activan Heatmaps y Session Recordings, se procesan datos de grupos vulnerables, se combinan datos de Matomo con otras fuentes de datos personales, o se utiliza el seguimiento por ID de usuario para vincular sesiones con personas identificadas.

Pasos clave: elegir On-Premise o Matomo Cloud para control total de los datos. Activar la anonimización de IP (2 o 3 bytes). Establecer políticas de retención de datos adecuadas. Documentar Matomo en el Registro de Actividades de Tratamiento (RAT). Actualizar la política de privacidad. Integrar un CMP o utilizar la API de consentimiento integrada de Matomo. Para la exención de la CNIL, seguir la guía de configuración oficial. Proporcionar un mecanismo de exclusión voluntaria mediante el iframe de exclusión de Matomo o un formulario personalizado en la página de privacidad.

Las alternativas de análisis orientadas a la privacidad incluyen: Plausible Analytics (sin cookies, ligero, alojado en la UE), Fathom Analytics (sin cookies, sencillo, orientado a la privacidad), GoatCounter (código abierto, seguimiento mínimo) y Umami (código abierto, autoalojado). Para las organizaciones que necesitan paridad completa de funciones con Google Analytics, Matomo sigue siendo la opción más completa y respetuosa con la privacidad gracias a su modelo autoalojado y la aprobación de la CNIL.

La política de cookies debe listar cada cookie de Matomo por nombre, tipo, finalidad y duración: _pk_id (persistente, identificación del visitante, 13 meses), _pk_ses (sesión, seguimiento de sesión, 30 minutos), _pk_ref (persistente, atribución de referencia, 6 meses), _pk_cvar (sesión, variables personalizadas, 30 minutos). Si se utiliza gestión del consentimiento, listar también mtm_consent y mtm_consent_removed. Indicar que Matomo utiliza únicamente cookies de origen, que los datos se almacenan en los propios servidores o en la UE y que no se comparten datos con terceros.

Matomo Analytics deposita tres cookies propias: _pk_id (identificador único de visitante, por defecto 13 meses), _pk_ses (sesión activa, 30 minutos) y _pk_ref (información de origen, 6 meses). Existe un modo sin cookies donde la identificación se hace en el servidor a partir de una IP truncada y del agente de usuario. Matomo nunca establece cookies de terceros.

Cuatro cookies propias: _pk_id (identificador de visitante, 13 meses), _pk_ses (sesión, 30 minutos), _pk_ref (referente, 6 meses) y cookies cortas de configuración. El modo sin cookies las desactiva.

No necesariamente. Cuando Matomo Analytics se configura bajo la exención de la CNIL (anonimización IP, cookies de 13 meses, sin seguimiento entre sitios, sin intercambio con terceros, opt out, respeto a Do Not Track), se considera una medición estrictamente necesaria y no exige consentimiento previo. En cualquier otra configuración se requiere consentimiento opt in conforme al artículo 6(1)(a) del RGPD y al artículo 5(3) de la Directiva ePrivacy.

En Francia o España no si aplica el perfil CNIL/AEPD (IP anónima, máximo 13 meses, sin fingerprinting, opt out). En Alemania, el TDDDG exige consentimiento salvo en modo sin cookies.

En la configuración exenta, la base jurídica es el interés legítimo (artículo 6(1)(f) del RGPD) porque el tratamiento es estrictamente necesario para un servicio de medición que el editor requiere y el riesgo para el interesado es bajo. Fuera de esa configuración, la base jurídica es el consentimiento. El DPA con InnoCraft (Cloud) se firma conforme al artículo 28; en autohospedado no existe relación de encargo.

Interés legítimo (art. 6.1.f del RGPD) bajo exención CNIL/AEPD. En otro caso, consentimiento (art. 6.1.a del RGPD junto con el art. 5.3 ePrivacy / art. 22 LSSI).

No. Matomo Cloud se aloja en Francia y Alemania y el autoalojamiento se realiza en su infraestructura europea. No hay transferencia a Estados Unidos.

No. Los datos de Matomo Cloud se almacenan exclusivamente en Alemania (Hetzner Online, Falkenstein y Núremberg). Matomo autohospedado se ejecuta en la infraestructura elegida por el operador. InnoCraft, la editora, tiene sede en Nueva Zelanda, que cuenta con una decisión de adecuación europea desde 2012, por lo que el acceso del soporte no constituye una transferencia que requiera CCT.

Por lo general no, si Matomo funciona con perfil de privacidad en infraestructura europea. Se recomienda en seguimiento masivo, categorías sensibles o cruce con el CRM.

En la configuración exenta con IP anonimizada no suele exigirse una EIPD completa porque el riesgo residual es bajo. Resulta recomendable cuando activa session replay, mapas de calor sobre usuarios identificados, análisis avanzado de embudos con User ID persistente, pruebas A/B o plugins de enriquecimiento de perfil. Documente siempre la configuración en el registro del artículo 30.

Active la anonimización de IP, desactive el fingerprinting, limite las cookies a 13 meses, respete Do Not Track, exponga el opt out. Documente la configuración en el registro de actividades y en el aviso de privacidad.

Provea una cuenta de Matomo Cloud o instale on premise, replique objetivos y seguimiento ecommerce, ejecute el importador oficial de Google Analytics sobre los últimos 24 meses, despliegue matomo.js en paralelo con GA en modo comparación durante 30 a 60 días, retire la etiqueta de GA, actualice la política de cookies y avise al DPD. Verifique en los logs en bruto que la anonimización IP está activa antes del cambio definitivo.

Plausible Analytics, Fathom Analytics, Piwik PRO, Pirsch y Umami autoalojado para privacidad. Google Analytics 4 y Adobe Analytics para paridad funcional empresarial (con consentimiento).

Para análisis exento de consentimiento: Plausible (Alemania), Pirsch (Alemania), Fathom Lite (autohospedable), Cabin (autohospedable), umami (código abierto). Para análisis basado en consentimiento con más funcionalidades: PostHog (US/UE), Mixpanel (US), Amplitude (US), Heap (US). Para análisis de logs del lado servidor: Piano Analytics (Francia, antes AT Internet), eulerian (Francia), Wide Angle Analytics (Polonia).

Liste las cuatro cookies con finalidad, duración y base jurídica. Mencione la configuración (IP anónima, sin fingerprinting, alojamiento UE). Regenere el documento ante cada cambio.

Registre la entrada como análisis exento (cuando se cumplen las condiciones de la CNIL) o como análisis sujeto a consentimiento. Indique el encargado (InnoCraft Ltd. para Matomo Cloud, o autohospedado), la finalidad (medición de audiencia), la base jurídica, las cookies y su duración (13 meses, 30 minutos, 6 meses), la conservación (máximo 25 meses), la ausencia de transferencias a terceros y un enlace a la página de opt out.