Ketch

Que es Ketch

Ketch es una plataforma de operaciones de privacidad de Ketch.com Inc., empresa de software de San Francisco fundada en 2018. La plataforma combina cuatro componentes principales: una CMP con banner, centro de preferencias y soporte TCF v2.2; una herramienta de cartografía e inventario de datos que rastrea los flujos de datos personales en la organización; una capa de automatización de derechos de los interesados (acceso, supresión, portabilidad, oposición); y una capa de soporte para Global Privacy Control y mecanismos de Universal Opt Out que interpreta señales de navegador según las leyes estatales estadounidenses. Los operadores europeos utilizan Ketch principalmente para CMP y derechos, a menudo en entornos que también deben cumplir leyes estadounidenses como la CCPA y la CPRA de California.

Que datos recoge Ketch

La CMP escribe ketch_consent (12 meses por defecto), un registro JSON con la decisión por finalidad y la marca temporal, y _swb (también 12 meses), identificador de backend para localizar el registro en las bases de Ketch. Cuando TCF v2.2 esta activado para programática europea, el SDK escribe además la cookie estándar euconsent-v2. El backend almacena el log de consentimiento con dirección IP y user agent como prueba. Para solicitudes de derechos, Ketch trata nombre, email, teléfono, descripción libre y, si el operador lo configura, documentos de verificación. Las señales GPC se leen desde navigator.globalPrivacyControl y se convierten en una decisión automática de oposición según las políticas configuradas.

Implicaciones RGPD y ePrivacy

El considerando 30 de la Directiva ePrivacy admite que almacenar la decisión es tratamiento necesario, así que el banner de Ketch puede cargarse antes del consentimiento. El artículo 7(1) del RGPD obliga al responsable a demostrar el consentimiento, lo que justifica el log de consentimiento bajo interés legítimo u obligación legal. Para los derechos de los interesados la base suele ser obligación legal (artículo 6(1)(c)), ya que el propio RGPD obliga a tramitar las solicitudes de los artículos 15 a 22, con conservación limitada a lo necesario para demostrar el cumplimiento ante las autoridades. La integración TCF arrastra las mismas consideraciones que cualquier CMP TCF, incluida la sentencia de la APD belga contra IAB Europe y el escrutinio continuo del CEPD.

Flujo de consentimiento y proveedores posteriores

Con TCF activado, Ketch expone __tcfapi() y, además, su propia cola de comandos ketch() para proveedores no TCF. Los operadores conectan cada etiqueta posterior (Google Analytics, Meta Pixel, pixels propios) a la finalidad de Ketch correspondiente mediante gating server side, triggers de consentimiento de GTM o el motor de políticas de Ketch. La plataforma soporta el mapeo a Google Consent Mode v2: la finalidad analítica dispara analytics_storage y la finalidad publicitaria dispara ad_storage, ad_user_data y ad_personalization. En móvil, los SDK cubren Android e iOS con integración App Tracking Transparency.

Transferencias y residencia

La infraestructura por defecto corre en AWS us-west-2 y us-east-1. El banner puede servirse desde edges de CloudFront cercanos a los visitantes europeos, pero el log de consentimiento y los datos de solicitudes de derechos quedan en infraestructura US, salvo que el operador negocie residencia UE en eu-west-1 (Irlanda) o eu-central-1 (Frankfurt). Ketch esta autocertificada bajo EU US Data Privacy Framework y usa Cláusulas Contractuales Tipo para transferencias fuera del DPF. Operadores que tramiten solicitudes sensibles o con compromisos estrictos UE deben pedir la opción de residencia UE antes del despliegue.

Pasos prácticos

Banner con igual prominencia entre aceptar y rechazar, sin casillas premarcadas, controles granulares a un clic, enlace de retirada en el pie. Mapear todas las etiquetas a las finalidades de Ketch desde el motor de políticas y escanear cookies con regularidad para confirmar que respetan el consentimiento. Activar el respeto a Global Privacy Control para visitantes UE (algunas autoridades lo reconocen como señal de oposición valida) y alinear el tratamiento GPC con las leyes US cuando aplique. Documentar la opción de residencia elegida, el mecanismo de transferencia y los plazos de conservación de las solicitudes de derechos en el registro de tratamientos. Probar el flujo de derechos de extremo a extremo, incluyendo el paso de verificación, antes del lanzamiento.