Google Business Profile
Google Business Profile (antes Google My Business) permite a las empresas aparecer en Google Search y Google Maps. Cuando se integran mapas o widgets de Google en un sitio web, cargan scripts de Google que exponen la IP del visitante a Google y establecen cookies de Google, lo que requiere consentimiento bajo el RGPD y la Directiva ePrivacy.
¿Qué hace Google Business Profile?
Que es Google Business Profile?
Google Business Profile, antes llamado Google My Business, es el listado gratuito que controla como aparece un negocio en los resultados de Google Search y Google Maps. En un sitio web, el listado se integra a través de elementos incrustados como un mapa interactivo de Google Maps de la ubicación del negocio, un widget de reseñas o lugar incrustado, o un enlace encontrarnos en Google. Cuando estos elementos están presentes en una página, cargan recursos desde dominios de Google, lo que significa que Google puede observar la dirección IP del visitante y establecer cookies en su dispositivo.
Que datos y cookies recopila?
Cuando se carga un mapa de Google Maps incrustado o un widget de lugar, la dirección IP del visitante y las cabeceras de solicitud HTTP se envían a los servidores de Google. Google puede establecer cookies incluyendo NID (identificador de preferencias y publicidad, 6 meses), CONSENT (2 años, estado de consentimiento de Google) y SOCS (cookie específica de Google Maps). Estas cookies pueden identificar al visitante en diferentes servicios y sesiones de Google. Incluso sin cookies, la propia dirección IP constituye un dato personal bajo el RGPD.
Implicaciones del RGPD y ePrivacy
Incrustar un mapa de Google crea dos obligaciones de cumplimiento. Primero, bajo el artículo 5(3) de la Directiva ePrivacy, cargar los scripts del mapa que almacenan o acceden a información en el dispositivo del visitante requiere consentimiento previo informado, independientemente del propósito de las cookies. Segundo, bajo el RGPD, la divulgación de la dirección IP del visitante a Google en Estados Unidos constituye una transferencia de datos personales a un tercero en un tercer país, requiriendo una base jurídica y salvaguardas apropiadas.
Requisitos de consentimiento
Se requiere consentimiento previo antes de que se cargue el mapa o widget incrustado. Un enfoque conforme común es mostrar una imagen de marcador de posición estática con un botón o casilla de verificación etiquetada mostrar mapa que activa la carga del mapa de Google solo después de que el usuario opte activamente. El consentimiento debe ser libre, específico, informado e inequívoco, y los usuarios deben poder rechazar sin perder acceso al resto del contenido de la página.
Transferencias de datos fuera de la UE
Cada vez que se carga la integración de Google Maps, los datos de IP del visitante se transmiten a Google LLC en Estados Unidos. Esto es una transferencia internacional de datos en el sentido del Capítulo V del RGPD. Google se basa en la decisión de adecuación del Marco de Privacidad de Datos UE Estados Unidos y en las cláusulas contractuales tipo. Los operadores de sitios web deben divulgar esta transferencia en su política de privacidad y asegurarse de que las Condiciones de Tratamiento de Datos de Google estén en vigor.
Pasos prácticos de cumplimiento
Para integrar Google Business Profile de forma conforme al RGPD: (1) Reemplace los iframes de mapa en vivo con un marcador de posición estático que solo cargue el mapa cuando el usuario haga clic en un botón de consentimiento. (2) Añade las cookies de Google Maps (NID, CONSENT, SOCS) a su política de cookies. (3) Divulgue la transferencia de IP a Estados Unidos en su política de privacidad. (4) Firme los Términos de Servicio de Google Maps Platform y el Adendum de Procesamiento de Datos. (5) Considere alternativas menos invasivas para la privacidad. (6) Audite todas las páginas donde aparecen mapas y asegúrese de que su CMP los bloquee por defecto.
Google Business Profile y el RGPD
Google Business Profile está clasificado como «Sin clasificar». En un sitio dirigido a visitantes europeos, solo debe cargarse después del consentimiento del visitante y debe figurar en su política de cookies.
- Base jurídica
- Consent under Article 6(1)(a) GDPR for loading Google Maps and Google widgets that set cookies and disclose the IP address to Google in the United States
- Nivel de riesgo
- medium
- Normativa aplicable
- GDPR, ePrivacy Directive (2002/58/EC)
Evaluación de impacto (EIPD)
Debe considerarse una EIPD cuando Google Maps o widgets de lugar se integran en páginas de alto tráfico, dada la exposición sistemática de las direcciones IP de los visitantes a Google en Estados Unidos. Las áreas de riesgo clave incluyen: (1) la transmisión de la dirección IP a Google LLC como tercero responsable del tratamiento en cada carga de página; (2) las cookies establecidas por Google que pueden usarse para publicidad; (3) la transferencia internacional a Estados Unidos bajo el Marco de Privacidad de Datos UE Estados Unidos. Las organizaciones deben evaluar si la integración es estrictamente necesaria o si existen alternativas menos invasivas para la privacidad.
Texto de ejemplo para su banner
Nos gustaría mostrar un mapa de Google interactivo en esta página. Al cargar este mapa, Google puede ver su dirección IP y puede establecer cookies en su dispositivo. ¿Esta de acuerdo en cargar el mapa de Google? [Mostrar mapa] [No gracias]
Lo que Google Business Profile instala y contacta
- Método de seguimiento
- Embedded Google Maps and Google place or review widgets loaded from Google domains that expose the visitor IP and can set Google cookies
- Ubicación de los servidores
- United States
- Transferencia de datos fuera de la UE
- When the embedded map or widget loads, the visitor IP address and request data go to Google LLC in the United States under the EU US Data Privacy Framework and standard contractual clauses
Cookies instaladas (3)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| NID | Advertising / Preferences | 6 months | Google identifier storing user preferences and used for advertising personalisation across Google properties |
| CONSENT | Preference | 2 years | Records the visitor Google consent choices across Google domains |
| SOCS | Functional | Session | Google Maps operational state cookie managing map session data |
Dominios de terceros contactados (3)
maps.googleapis.commaps.gstatic.comwww.google.com
Preguntas frecuentes sobre Google Business Profile
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Qué cookies establece la integración de Google Business Profile?
Incrustar un mapa de Google o un widget de Business Profile en su sitio web hace que Google establezca varias cookies en el dispositivo del visitante. Las principales cookies son NID (identificador de preferencias y publicidad de Google con validez de 6 meses), CONSENT (cookie de 2 años que registra las elecciones de consentimiento de Google del visitante) y SOCS (cookie operativa de Google Maps). Se establecen bajo el dominio google.com y pueden persistir entre sesiones y en otros servicios de Google.
¿Se requiere consentimiento antes de cargar un mapa de Google incrustado?
Si. Bajo el artículo 5(3) de la Directiva ePrivacy, cualquier script que almacene o acceda a información en el dispositivo del visitante requiere consentimiento previo, independientemente del propósito. Además, la transferencia de la dirección IP a Google en Estados Unidos requiere una base jurídica bajo el RGPD. El enfoque más común es bloquear el iframe del mapa hasta que el visitante opte activamente a través de su CMP o un botón mostrar mapa dedicado en la página.
¿Cuál es la base jurídica para incrustar Google Maps en un sitio web?
La base jurídica adecuada es el consentimiento bajo el artículo 6(1)(a) del RGPD y el artículo 5(3) de la Directiva ePrivacy. El interés legítimo generalmente no es suficiente para cargar iframes de mapas de terceros que establecen cookies publicitarias y transfieren la IP del visitante a un tercer país, dado el impacto significativo en el tratamiento de datos del visitante. El consentimiento debe ser específico, informado, libre y revocable.
¿La integración de Google Maps transfiere datos a Estados Unidos?
Si. Cada vez que se carga el mapa de Google o el widget incrustado, la dirección IP del visitante y los metadatos de la solicitud se transmiten a los servidores de Google LLC en Estados Unidos. Esto es una transferencia internacional de datos en el sentido del Capítulo V del RGPD. Google se basa en el Marco de Privacidad de Datos UE Estados Unidos y las cláusulas contractuales tipo. Debe divulgar esta transferencia en su política de privacidad y asegurarse de que las Condiciones de Tratamiento de Datos de Google Maps Platform estén aceptadas.
¿Se requiere una EIPD para incrustar Google Maps?
Puede requerirse una EIPD dependiendo de la escala y sensibilidad de las páginas donde aparece el mapa. Los factores que apuntan hacia una EIPD incluyen: recopilación sistemática de IPs de visitantes en páginas de alto tráfico, transferencia a un tercero responsable estadounidense (Google), uso de cookies publicitarias e integración en páginas donde podrían inferirse temas sensibles de la visita. Consulte con su DPO y la lista de desencadenantes de EIPD de su autoridad supervisora.
¿Cómo integrar Google Maps de forma conforme al RGPD?
Buenas practicas para una integración conforme: (1) Reemplace los iframes en vivo con un marcador de posición estático que muestre la dirección y un botón mostrar mapa. (2) Cargue el script de Google Maps solo después de que el usuario haga clic en el botón o otorgue consentimiento en su CMP. (3) Añade las cookies de Google Maps a su política de cookies. (4) Divulgue la transferencia de IP a Estados Unidos en su política de privacidad. (5) Firme el Adendum de Procesamiento de Datos de Google Maps Platform. (6) Explore si una imagen de mapa estática con un enlace a Google Maps podría cumplir el propósito sin requerir consentimiento.
¿Cuáles son las alternativas respetuosas con la privacidad a incrustar Google Maps?
Si desea mostrar la ubicación de su negocio sin activar los requisitos de consentimiento de Google, considere: (1) Una imagen de mapa estática generada a través de una llamada del lado del servidor a la API Maps Static (el visitante no carga recursos de Google directamente). (2) Integraciones basadas en OpenStreetMap vía Leaflet.js u OpenLayers, que pueden ser auto hospedadas. (3) Una dirección en texto con un enlace a Google Maps externo que el usuario puede elegir abrir. (4) Una captura de pantalla del mapa. Cada alternativa evita el requisito de consentimiento de cookies ePrivacy y limita las transferencias internacionales de datos.
¿Cómo actualizo mi política de cookies para la integración de Google Maps?
Su política de cookies debe listar las cookies establecidas por la integración de Google Maps o Business Profile. Añade entradas para: NID (google.com, 6 meses, preferencias y publicidad), CONSENT (google.com, 2 años, estado de consentimiento de Google), SOCS (google.com, sesión o corto plazo, estado operativo de Google Maps). Para cada cookie incluya nombre, proveedor, finalidad, duración y categoría. Clasifique NID y CONSENT como cookies publicitarias o analíticas. Vincule su política de cookies desde el banner de consentimiento y actualícela cuando cambie su proveedor de mapas.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.