Systeme.io

Qué es Systeme.io

Systeme.io es una plataforma francesa todo en uno para negocios online, creada por Aurélien Amacker en 2018. La entidad jurídica está registrada en Mauricio (Systeme.io Ltd) con una fuerte presencia comercial en Francia y Europa. La plataforma reúne embudos de venta, sitios web, email marketing, cursos en línea, automatización de marketing, programas de afiliación y comercio electrónico en una única suscripción. La infraestructura está alojada en Amazon Web Services en la Unión Europea con una red de distribución global a través de Amazon CloudFront. Es ampliamente utilizada por emprendedores individuales, infoproductores y pequeñas empresas, en particular en los mercados francófonos.

Datos y cookies recopilados

En una página pública servida por Systeme.io, la plataforma instala una cookie de sesión estrictamente necesaria (PHPSESSID) y varias cookies funcionales o analíticas vinculadas a la atribución de embudos y a la identificación de visitantes (por ejemplo _sio_visitor y las variantes _sio_funnel_*). Registra dirección IP, agente de usuario, referente, páginas vistas y conversiones por paso de embudo. En las campañas de email incrusta un píxel de seguimiento 1x1 para medir aperturas y reescribe los enlaces para capturar clics. Para los miembros de un curso almacena progreso, estado de inicio de sesión y metadatos de pago. Los datos tratados son por tanto, simultáneamente, estrictamente necesarios, conductuales e identificativos en el sentido del art. 4(1) RGPD.

Implicaciones RGPD y ePrivacy

Las cookies de seguimiento de embudos, el análisis de comportamiento y los píxeles de apertura o clic no son estrictamente necesarios para prestar un servicio expresamente solicitado por el usuario. En virtud del art. 5(3) de la Directiva ePrivacy, transpuesto al art. 22 de la LSSI en España, requieren consentimiento previo, libre, específico, informado e inequívoco. La Guía sobre el uso de las cookies de la AEPD (versión 2023) confirma que esto se aplica también a la analítica first party reutilizada con fines de marketing. La ejecución del contrato (art. 6(1)(b) RGPD) solo cubre la entrega estricta del curso, el área de miembros y el pago, no la elaboración de perfiles para upsell.

Requisitos de consentimiento

Antes de instalar cualquier cookie o píxel de seguimiento no esencial de Systeme.io, el usuario debe ver un banner CMP que permita: aceptar, rechazar con el mismo número de clics (según la AEPD y el CEPD) y elegir por finalidad. El consentimiento para email marketing debe recogerse mediante un opt in claro (se recomienda doble opt in en B2C en España y Alemania). Debe conservarse un registro del consentimiento (marca de tiempo, IP, versión del banner, opciones elegidas) para demostrar el cumplimiento del art. 7(1) RGPD. El rechazo debe ser tan sencillo como la aceptación y el usuario debe poder retirar el consentimiento en cualquier momento.

Transferencias internacionales

Aunque el alojamiento principal está en AWS en la Unión Europea, las ubicaciones edge de CloudFront son globales y pueden servir activos estáticos desde fuera del EEE. La entidad jurídica reside en Mauricio, un país tercero sin decisión de adecuación de la Comisión Europea. Algunos subencargados (entregabilidad de email, procesamiento de pagos) operan en Estados Unidos o el Reino Unido. Las transferencias fuera del EEE deben ampararse en Cláusulas Contractuales Tipo (art. 46(2)(c) RGPD) y en una evaluación de impacto de la transferencia (TIA) conforme a las Recomendaciones 01:2020 del CEPD tras Schrems II.

Pasos prácticos de cumplimiento

Firme el contrato de encargado de tratamiento (DPA) que ofrece Systeme.io y consérvelo. Cartografíe todos los subencargados de Systeme.io e incorpórelos a su Registro de Actividades de Tratamiento (art. 30 RGPD). Configure el banner de consentimiento para bloquear los scripts de seguimiento de embudo y el píxel del email hasta que se preste el consentimiento. Añada una sección Systeme.io a su política de privacidad con cookies, plazos de conservación y categorías de destinatarios. Establezca límites de conservación para contactos inactivos (por ejemplo 36 meses para prospectos, en línea con la CNIL). Forme al equipo de marketing en la atención a las oposiciones en el plazo de un mes (art. 12(3) RGPD) y en el derecho de supresión (art. 17).