Crownpeak Universal Consent Platform
Crownpeak Universal Consent Platform (UCP, antes Evidon) es una plataforma estadounidense de gestión del consentimiento (CMP) que entrega banners conformes con TCF 2.2 del IAB, políticas geosegmentadas, un escáner de cookies y un centro de preferencias. Deposita una cookie de consentimiento estrictamente necesaria en el dominio del editor y conserva los registros de auditoría en infraestructura estadounidense, lo que plantea cuestiones de transferencia bajo RGPD pese a la certificación DPF.
¿Qué hace Crownpeak Universal Consent Platform?
Qué es Crownpeak Universal Consent Platform
Crownpeak Universal Consent Platform (UCP), antes comercializada como Evidon, es una plataforma de gestión del consentimiento (CMP) operada por la sociedad estadounidense Crownpeak Technology, Inc. Carga un SDK JavaScript en el dominio del editor, presenta un banner configurable y un centro de preferencias, y deposita una cookie estrictamente necesaria con la cadena de consentimiento del visitante. UCP expone la API del Transparency and Consent Framework 2.2 del IAB para que los proveedores publicitarios, analíticos y de personalización puedan leer la señal antes de dispararse. Un escáner de cookies recorre el sitio cada semana y alimenta automáticamente las categorías del banner.
Datos y cookies que utiliza la CMP
El banner escribe una cookie funcional de primera parte (habitualmente cp_consent o evidon-consent) que contiene la cadena TCF, la lista de proveedores aceptados y una marca temporal. El SDK transmite el registro de consentimiento junto con la IP del visitante, su agente de usuario y un identificador CMP a los servidores de Crownpeak para que la elección se replique entre subdominios y quede auditable. UCP no recopila identificadores publicitarios, historial de navegación ni interacciones con el contenido. Si se activan las analíticas de banner (tasa de aceptación, tiempo de visualización, test A/B), se deposita una cookie analítica adicional en el dominio del editor.
Implicaciones bajo el RGPD y la ePrivacy
Según el artículo 5(3) de la Directiva ePrivacy, la cookie de consentimiento depositada por una CMP se considera estrictamente necesaria, ya que sirve para prestar un servicio expresamente solicitado por el usuario: registrar y respetar sus preferencias. No se exige consentimiento previo para esta cookie. La conservación del registro de consentimiento sí constituye un tratamiento de datos personales conforme al RGPD. El responsable puede ampararse en el interés legítimo (art. 6(1)(f)) y en la obligación legal de demostrar el consentimiento (art. 7(1) y deber de responsabilidad proactiva del art. 5(2)). La CMP no debe premarcar casillas, debe ofrecer un botón de rechazo tan visible como el de aceptación y permitir retirar el consentimiento con la misma facilidad con la que se otorgó.
Transferencias internacionales a EE. UU.
Crownpeak está establecida en Estados Unidos y almacena los registros de auditoría en infraestructura estadounidense. Los responsables de tratamiento europeos deben documentar un mecanismo de transferencia válido al amparo del Capítulo V del RGPD. Crownpeak se autocertifica bajo el Data Privacy Framework UE-EE. UU., considerado adecuado por la Comisión Europea. Quienes prefieran no apoyarse en el DPF pueden firmar las cláusulas contractuales tipo de 2021, realizar una evaluación de impacto de la transferencia (TIA) y considerar medidas suplementarias como la pseudonimización del registro de auditoría. El contrato de encargo debe mencionar los riesgos vinculados a la sección 702 FISA y a la Executive Order 12333.
Consentimiento, EIPD y auditoría
Rara vez se requiere una EIPD específica para la CMP, ya que procesa un conjunto reducido de datos operativos. No obstante, debe figurar en el Registro de Actividades de Tratamiento (art. 30) y en cualquier EIPD que cubra la pila publicitaria y analítica subyacente. Los auditores esperan una duración de conservación del registro documentada (Crownpeak ofrece entre 6 y 36 meses), el historial de versiones del banner y la prueba de que la lista de proveedores mostrada al usuario coincide con la que realmente carga la página.
Implementación práctica y alternativas
Para desplegar UCP de forma conforme, configure políticas geosegmentadas: banner TCF 2.2 con botón de rechazo igualmente visible en la primera capa para UE y Reino Unido, señal de opt-out CCPA/CPRA para Estados Unidos y aviso informativo en el resto. Ejecute el escáner de cookies cada mes y revise la lista de proveedores antes de cada despliegue. Las alternativas alojadas en Europa incluyen Didomi (Francia), Usercentrics (Alemania), Axeptio (Francia) y Cookiebot by Usercentrics (Dinamarca), que soportan TCF 2.2 sin plantear cuestión de transferencia a EE. UU.
Crownpeak Universal Consent Platform y el RGPD
- Base jurídica
- Legitimate interest (Art. 6(1)(f) GDPR) and legal obligation (Art. 6(1)(c) GDPR) for storing the consent record. The CMP cookie itself is strictly necessary under ePrivacy Article 5(3) and does not require prior consent.
- Nivel de riesgo
- medium
- Normativa aplicable
- GDPR, ePrivacy Directive 2002/58/EC, IAB TCF 2.2, CCPA/CPRA, LGPD
Evaluación de impacto (EIPD)
Una EIPD específica para la CMP no suele ser obligatoria porque la cookie de consentimiento es estrictamente necesaria y el volumen de datos personales tratados es limitado. El responsable debe documentar la base jurídica para conservar el registro de consentimiento, evaluar la transferencia de los registros de auditoría a EE. UU. conforme al Capítulo V del RGPD y firmar un contrato de encargo de tratamiento con Crownpeak según el artículo 28. Si la CMP convive con analítica o fingerprinting, conviene una EIPD ampliada.
Texto de ejemplo para su banner
Utilizamos Crownpeak Universal Consent Platform para registrar sus preferencias de cookies y transmitirlas a los proveedores publicitarios y analíticos a través del Transparency and Consent Framework del IAB. El propio banner deposita una cookie estrictamente necesaria que no requiere su consentimiento previo. Puede modificar sus preferencias en cualquier momento desde el centro de preferencias.
Lo que Crownpeak Universal Consent Platform instala y contacta
- Método de seguimiento
- JavaScript SDK loaded on the publisher site that injects a consent banner, writes a consent string cookie, and exposes the IAB TCF 2.2 API to downstream vendors.
- Ubicación de los servidores
- United States (primary), with EU edge nodes via CDN for banner delivery
- Transferencia de datos fuera de la UE
- Crownpeak is a US-headquartered controller. Consent records, banner analytics and audit logs are processed on US infrastructure. EU to US transfers rely on the EU US Data Privacy Framework (DPF) certification or Standard Contractual Clauses with supplementary measures.
Cookies instaladas (4)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| cp_consent | functional | 12 months | Stores the IAB TCF consent string, the chosen vendor list and a timestamp so the visitor preference can be replayed on every page and across subdomains. Strictly necessary under ePrivacy Article 5(3). |
| evidon-consent | functional | 12 months | Legacy name of the same consent string cookie, still set on tenants migrated from Evidon. Used to honour and audit the cookie preference. |
| cp_consent_uuid | functional | 12 months | Pseudonymous identifier paired with the consent record to allow the visitor to update or revoke their choice without re-identification. |
| evidon_banner_id | analytics | 6 months | Optional cookie set when banner analytics (A/B testing, acceptance rate) are enabled. Requires consent under ePrivacy. |
Dominios de terceros contactados (4)
c.evidon.comc.betrad.comcdn.crownpeak.netconsent.crownpeak.com
Preguntas frecuentes sobre Crownpeak Universal Consent Platform
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Qué cookies deposita Crownpeak Universal Consent Platform?
UCP deposita una cookie estrictamente necesaria de primera parte que contiene la cadena de consentimiento TCF 2.2, la lista de proveedores aceptados y una marca temporal. Puede acompañarla una cookie UUID seudónima para permitir la revocación. Si se activan las analíticas de banner (test A/B, tasa de aceptación), se añade una cookie analítica adicional que sí requiere consentimiento previo.
¿Necesito consentimiento para desplegar el banner de Crownpeak?
No. La cookie de consentimiento es estrictamente necesaria conforme al art. 5(3) de la Directiva ePrivacy porque presta un servicio expresamente solicitado por el visitante: registrar sus preferencias. El banner puede desplegarse sin consentimiento previo. Las cookies opcionales de analítica de banner o tests A/B sí requieren consentimiento previo como cualquier otra cookie no esencial.
¿Cuál es la base jurídica para conservar el registro de consentimiento?
El tratamiento del registro de consentimiento se apoya en dos bases combinadas: el interés legítimo del responsable en poder demostrar el cumplimiento (art. 6(1)(f) RGPD) y una obligación legal derivada del art. 7(1) y del principio de responsabilidad proactiva del art. 5(2), que exigen probar que se obtuvo un consentimiento válido. No se necesita recabar consentimiento para registrar el propio consentimiento.
¿Dónde se tratan los datos y hay transferencias a EE. UU.?
Sí. Crownpeak es responsable en EE. UU. y los registros de auditoría se procesan en infraestructura estadounidense. Los despliegues en la UE y el Reino Unido deben documentar un mecanismo de transferencia del Capítulo V. Crownpeak se autocertifica bajo el Data Privacy Framework UE-EE. UU., considerado adecuado por la Comisión. En su defecto, firme las CCT 2021, realice una TIA y plantee la seudonimización del registro.
¿Hace falta EIPD para usar Crownpeak UCP?
Una EIPD específica para la CMP rara vez es obligatoria: el tratamiento se limita a datos operativos vinculados a la gestión del consentimiento. La CMP debe figurar en el Registro de Actividades de Tratamiento (art. 30) e incluirse en cualquier EIPD que cubra la pila publicitaria y analítica a la que sirve. Acompañe la evaluación con una TIA para la transferencia del registro a EE. UU.
¿Cómo implemento Crownpeak UCP de forma conforme?
Configure políticas geosegmentadas para que los visitantes de la UE y el Reino Unido vean un banner TCF 2.2 con botón de rechazo igualmente visible en la primera capa. Bloquee todas las etiquetas no esenciales hasta obtener consentimiento mediante la API TCF o el puente Google Consent Mode v2. Ejecute el escáner cada mes, sincronice la lista de proveedores con la página real y conserve los registros al menos 13 meses según la guía de la AEPD.
¿Existen alternativas europeas a Crownpeak UCP?
Sí. Didomi (Francia), Axeptio (Francia), Usercentrics (Alemania) y Cookiebot by Usercentrics (Dinamarca) son CMP alojadas en la UE/EEE que soportan plenamente TCF 2.2 y Google Consent Mode v2. Eliminan la cuestión de la transferencia a EE. UU. y simplifican el cumplimiento del Capítulo V, aunque mantienen un diseño de registro de consentimiento similar.
¿Cómo actualizo mi política de cookies al desplegar UCP?
Indique a Crownpeak Technology, Inc. como encargado del tratamiento, detalle el nombre de la cookie de consentimiento, su duración y finalidad, y aclare que es estrictamente necesaria. Referencie el mecanismo de transferencia a EE. UU. (DPF o CCT) y enlace al centro de preferencias. Vuelva a ejecutar el escáner UCP antes de publicar para que el inventario de la política coincida con las categorías del banner y el comportamiento real de la página.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.