¿Tu sitio web utiliza servicios de terceros? Cumple con el RGPD en minutos.
Probar FlowConsentmobileCta.note
Salesforce Marketing Cloud Account Engagement (anteriormente Pardot) es una plataforma de automatización de marketing B2B con formularios de captación de leads, email marketing, scoring y grading de prospectos, campañas de nurturing y seguimiento de visitantes web mediante el código de tracking Pardot. Asigna cookies visitor_id persistentes, vincula las visitas anónimas a un prospecto identificado tras el envío de un formulario y alimenta Salesforce CRM. La utilizan equipos de ventas y marketing B2B para calificar leads, medir el interés de cuentas y activar flujos de venta.
Salesforce Marketing Cloud Account Engagement, aún conocido por su nombre anterior Pardot, es una plataforma de automatización de marketing B2B fuertemente integrada con Salesforce CRM. Combina landing pages, formularios de captación, email marketing, programas de nurturing, scoring y grading de prospectos y una visión de engagement por cuenta. El componente más sensible para la privacidad es el código de tracking Pardot, un snippet JavaScript (habitualmente llamado pi.js) que se incrusta en cada página del sitio de marketing. Tras el consentimiento, el script escribe una cookie de primera parte con un visitor_id ligado al identificador de cuenta Pardot (piAId), registra páginas vistas, tiempo en página, envíos de formularios y clics, y envía estos eventos a un endpoint Salesforce como pi.pardot.com o el subdominio tracker configurado. Cuando un visitante anónimo envía un formulario, Pardot realiza cookie stitching: el visitor_id se vincula al registro de prospecto que contiene la dirección de correo y todo el historial pasado pasa a ser identificable, motivo por el cual el consentimiento previo es imprescindible.
Pardot plantea varias cuestiones RGPD que superan a las de una simple herramienta analítica. La plataforma realiza una elaboración de perfiles sistemática al asignar puntuaciones numéricas y grados alfabéticos a los prospectos, lo que activa la asignación automática a un comercial y la inclusión en cadencias de email dirigidas. El artículo 22 RGPD reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o significativos similares, y la prospección agresiva basada en el scoring puede acercarse a ese límite. La duración de las cookies también es muy larga: por defecto hasta diez años para las cookies de visitante de Pardot, lo que permite perfiles retrospectivos muy extensos. Por último, el mecanismo de cookie stitching que vincula retroactivamente el historial anónimo con una persona identificada debe presentarse de forma transparente en la política de privacidad y estar amparado por una base jurídica válida desde la primera visita.
Las cookies principales del script Pardot son visitor_id seguido del número de cuenta (por ejemplo visitor_id12345), que almacena el identificador único del visitante, lpv seguido del número de cuenta para la marca temporal de la última página vista, una cookie de sesión pardot para continuidad de corta duración y pi_opt_in, que registra el estado de consentimiento cuando se implementa la API de opt in. Según la configuración del tracker domain, estas cookies pueden ser de primera parte en su propio dominio de marketing o de tercera parte en pi.pardot.com. Todas son no esenciales conforme al artículo 5(3) de la Directiva ePrivacy y al artículo 22 de la LSSI, ya que sirven al análisis de marketing entre sesiones y a la identificación de leads, no a la entrega de la página solicitada.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Account Engagement está operado por Salesforce Inc. con infraestructura principal en Estados Unidos. Los clientes europeos pueden activar el pod UE, que mantiene la base de datos productiva en Fráncfort, pero el soporte global, los subencargados y las integraciones de Marketing Cloud pueden generar transferencias fuera del EEE. Salesforce se apoya en las Cláusulas Contractuales Tipo en su versión de 2021 y está autocertificado bajo el EU-U.S. Data Privacy Framework, su extensión británica y el Swiss-U.S. DPF. Los responsables deben documentar esta cadena de transferencias en el registro de actividades de tratamiento, realizar una Transfer Impact Assessment que considere leyes estadounidenses como FISA 702 y la Executive Order 14086, y reflejar la transferencia con claridad en la política de privacidad y en el banner de cookies.
Un despliegue conforme comienza con la gestión del consentimiento. El snippet de Pardot debe bloquearse por defecto e inyectarse solo tras aceptar la categoría de marketing o publicidad en su CMP, con borrado de las cookies ya depositadas en caso de rechazo. Configure un tracker subdomain de primera parte para que las cookies se depositen en su propio dominio de marketing, lo que mejora su vida útil en Safari (ITP) y reduce riesgos entre sitios. Acorte la duración de las cookies desde el valor predeterminado de diez años hasta el mínimo necesario para su ciclo de ventas, habitualmente entre seis y veinticuatro meses. Utilice la Pardot Consent API para honrar los opt out, suprimir perfiles de personas que ejerzan su derecho de supresión e integrar el flujo de derechos de los interesados en Salesforce. Limite los campos del formulario a los datos estrictamente necesarios para la finalidad declarada, separe el consentimiento a comunicaciones de marketing del consentimiento de cookies y documente la conservación del historial de actividad de los prospectos.
Para organizaciones que buscan un dispositivo de marketing más ligero, las alternativas incluyen HubSpot Marketing Hub (proveedor estadounidense con perfil similar), Adobe Marketo Engage (infraestructura US con opciones UE) y proveedores europeos como Brevo (antes Sendinblue), ActiveCampaign con residencia UE, Mautic (open source, auto alojado) o Plezi para B2B. Para audiencias de muy alto riesgo (sector público, sanidad, jurídico), considere mantener la captación de leads en el servidor, transmitir al CRM únicamente los datos de formulario consentidos y utilizar una solución de analítica sin cookies para medir el rendimiento de marketing sin identificadores persistentes.
Websites using Salesforce Marketing Cloud Account Engagement must obtain user consent under GDPR regulations.
DPIA considerations
Una Evaluación de Impacto en Protección de Datos (EIPD) es muy recomendable y probablemente obligatoria conforme al artículo 35 del RGPD. Pardot implica seguimiento sistemático de visitantes, identificadores persistentes entre sesiones, scoring automatizado (una forma de elaboración de perfiles que puede tener efectos significativos en las personas contactadas por ventas), tratamiento a gran escala de datos de contacto y transferencias internacionales a Estados Unidos. La EIPD debe evaluar la necesidad del seguimiento conductual frente a alternativas menos intrusivas (tratamiento de formularios del lado del servidor sin cookies persistentes), los plazos de conservación del historial de visitantes, el impacto del scoring automatizado sobre los prospectos, la idoneidad de las CCT y del DPF, la transparencia hacia visitantes anónimos que se vuelven identificados tras enviar un formulario, así como los derechos previstos en el artículo 22 del RGPD sobre elaboración de perfiles.
Sample consent text
Utilizamos Salesforce Marketing Cloud Account Engagement (Pardot) para reconocer a visitantes recurrentes, medir el interés en nuestros productos, atribuir campañas de marketing y enviar comunicaciones relevantes. Este servicio almacena cookies visitor_id en su dispositivo, vincula su actividad con su dirección de correo electrónico cuando envía un formulario y comparte sus datos de comportamiento con Salesforce Inc. en Estados Unidos al amparo de las Cláusulas Contractuales Tipo y del EU-U.S. Data Privacy Framework. Pardot y el script pi.pardot.com solo se activan con su consentimiento explícito. Puede retirar el consentimiento en cualquier momento desde la configuración de cookies. Sin consentimiento puede seguir navegando por el sitio y contactarnos por otros canales.
Third-party domains contacted
pi.pardot.comgo.pardot.compardot.comsalesforce.comforce.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| visitor_id<piAId> | first_party | 10 years (default, configurable) | Persistent visitor identifier scoped to the Pardot account number (piAId). Tracks a browser across sessions, links anonymous browsing to a prospect record once a form is submitted, and powers lead scoring and email attribution in Salesforce Account Engagement. |
| lpv<piAId> | first_party | 30 minutes | Last Page View timestamp, scoped to the Pardot account number. Used by the tracking script to deduplicate rapid successive page views, throttle scoring events and avoid double counting of activity within the same browsing session. |
| pardot | first_party | Session | Session cookie set during a single browsing session to maintain continuity between page views and form interactions. Cleared when the browser is closed. |
| pi_opt_in | first_party | 10 years (configurable) | Stores the visitor opt in or opt out decision when the Pardot Consent API is enabled. Allows the tracking script to determine whether to activate visitor tracking, lead scoring and email engagement attribution on subsequent visits. |
| visitor_id<piAId>-hash | first_party | 10 years | Hashed verification value paired with the visitor_id cookie, used by Salesforce Account Engagement to validate the integrity of the visitor identifier and prevent tampering or cookie injection. |
Salesforce Marketing Cloud Account Engagement instala cookies de seguimiento con fines publicitarios — cumple el RGPD con FlowConsent.
Pardot deposita varias cookies no esenciales, todas cargadas por el script de tracking pi.js. La principal es visitor_id seguido del número de cuenta Pardot (por ejemplo visitor_id12345), un identificador persistente que por defecto puede durar hasta diez años. Le acompañan lpv más número de cuenta (marca temporal de la última página vista, usada para deduplicar visitas), una cookie de sesión llamada pardot y pi_opt_in cuando se activa la Pardot Consent API. Según la configuración del tracker domain, estas cookies se escriben en su propio dominio de marketing (primera parte) o en pi.pardot.com (tercera parte). Ninguna es estrictamente necesaria, por lo que todas requieren consentimiento previo conforme al artículo 5(3) de la Directiva ePrivacy.
Sí. Pardot realiza seguimiento entre sesiones, identifica leads mediante cookie stitching y elabora perfiles automatizados con lead scoring. El artículo 22 de la LSSI y el artículo 5(3) de la Directiva ePrivacy exigen consentimiento previo, libre, específico, informado e inequívoco para cualquier almacenamiento no esencial. El script de Pardot debe estar bloqueado por defecto en su CMP y cargarse solo tras la aceptación de la categoría de marketing o publicidad. Las casillas premarcadas, el opt in implícito o la simple continuación de la navegación no son válidos como consentimiento.
Para el tracking web y la elaboración de perfiles resultante, la única base jurídica realista es el consentimiento del artículo 6(1)(a) RGPD, combinado con el artículo 5(3) ePrivacy para el almacenamiento de cookies. El interés legítimo del artículo 6(1)(f) no es adecuado para el seguimiento conductual, los identificadores persistentes ni el profiling entre sesiones, ya que las directrices del CEPD y la AEPD consideran que el impacto sobre el interesado prevalece sobre el interés del responsable. Para contactos de CRM existentes, el interés legítimo o la ejecución de un contrato pueden cubrir comunicaciones transaccionales, pero la automatización de marketing, el scoring y el tracking por cookies se apoyan en el consentimiento.
Sí. Salesforce Inc. es una empresa estadounidense y Account Engagement se aloja principalmente en Estados Unidos. Los clientes europeos pueden contratar el pod UE con base de datos productiva en Fráncfort, pero el soporte global, los subencargados y las integraciones de Marketing Cloud pueden generar transferencias fuera del EEE. Salesforce se apoya en las Cláusulas Contractuales Tipo versión 2021 y está certificado bajo el EU-U.S. Data Privacy Framework, su extensión británica y el Swiss-U.S. DPF. Debe documentar estas transferencias en su registro, realizar una Transfer Impact Assessment y reflejarlas en su política de privacidad.
Una EIPD es muy recomendable y normalmente obligatoria. Pardot cumple varios criterios de las listas del CEPD y de la AEPD que activan una evaluación conforme al artículo 35 RGPD: seguimiento sistemático de visitantes, identificadores persistentes, scoring automatizado con efectos potencialmente significativos (contacto comercial, exclusión de campañas), tratamiento a gran escala de datos de contacto y transferencias internacionales a un tercer país. La EIPD debe describir el ciclo de vida desde la visita anónima hasta el prospecto identificado, evaluar la conservación, examinar el impacto del scoring automatizado, valorar las CCT y el DPF, y definir medidas de mitigación como reducir la vida de las cookies y usar un tracker domain de primera parte.
Trate Pardot como una herramienta de marketing que solo debe cargarse tras el consentimiento. Bloquee el script pi.js por defecto en su tag manager y en su CMP, y cárguelo únicamente cuando se acepte la categoría de marketing o publicidad. Configure un tracker subdomain de primera parte para que las cookies se escriban en su propio dominio de marketing. Reduzca la vida de las cookies respecto al valor por defecto de diez años hasta el mínimo necesario para su ciclo de ventas. Active la Pardot Consent API para honrar los opt out en toda la plataforma y eliminar o suspender perfiles ante solicitudes de supresión. Mantenga los campos del formulario al mínimo, separe el consentimiento de cookies del consentimiento a comunicaciones, y actualice la política de privacidad para describir el cookie stitching, el scoring automatizado y las transferencias a Estados Unidos.
Entre las alternativas habituales en automatización de marketing destacan HubSpot Marketing Hub (con sede en Estados Unidos y perfil similar), Adobe Marketo Engage (infraestructura US con opciones regionales) y proveedores europeos como Brevo (antes Sendinblue), ActiveCampaign con residencia UE, Mautic (open source, auto alojable) o Plezi para B2B en Europa. Para escenarios muy sensibles también puede mantener la captación de leads totalmente en el servidor, integrarla directamente con su CRM sin tracking web y medir el rendimiento de marketing con una solución analítica sin cookies como Plausible, Matomo (auto alojado) o Fathom.
Liste explícitamente las cookies de Pardot en su política de cookies: visitor_id (con el sufijo del número de cuenta), lpv, pardot y pi_opt_in. Describa la finalidad de cada una (identificación del visitante, última página vista, continuidad de sesión, estado de consentimiento), su duración (de la sesión a varios años), su categoría (marketing o publicidad) y su carácter de primera o tercera parte según su configuración. Indique a Salesforce Inc. como destinatario, explique que los datos se transfieren a Estados Unidos al amparo de las CCT y del EU-U.S. Data Privacy Framework, y proporcione un enlace a la política de privacidad de Salesforce. Estas mismas informaciones deben aparecer de forma granular en el centro de preferencias de su CMP para que los usuarios puedan aceptar o rechazar específicamente Pardot.