> Insertar vídeos de TikTok y el RGPD: cookies del iframe de TikTok, consentimiento según ePrivacy, transferencias fuera de la UE y carga en dos clics. > > Canonical: https://www.flowconsent.com/es/services/redes-sociales/tiktok-embed Redes sociales # TikTok Embed Marketing TikTok Embed es el iframe oficial que permite mostrar un vídeo público de TikTok dentro de otra web. El embed carga embed.js desde www\.tiktok.com, instala cookies de tracking de ByteDance (tt\_webid, tt\_csrf\_token, \_ttp, msToken, ttwid) y transmite la IP, el User Agent y la URL de referencia del visitante a TikTok en cuanto se inicializa el iframe. La DPC irlandesa impuso 345 millones de euros a TikTok en septiembre de 2023 y 530 millones más en mayo de 2025 por transferencias hacia China, y los reguladores europeos clasifican el embed como tratamiento de alto riesgo que exige consentimiento previo según la Directiva ePrivacy. [Bloquear TikTok Embed hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=social) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [Redes sociales](https://www.flowconsent.com/es/services/redes-sociales) - Consentimiento Marketing - Consentimiento previo Obligatorio - Cookies documentadas 7 - Dominios de terceros 7 - Servidores TikTok Ireland Ltd is the EEA controller. Project Clover commits to storing EEA user data on Oracle infrastructure inside the EU, with NCC Group as security trustee. ByteDance Ltd in China retains controlled remote access for engineering, moderation and trust and safety. Presentación ## ¿Qué hace TikTok Embed? ## **Cómo funciona realmente el embed de TikTok** El embed de TikTok se activa al incluir una etiqueta script que apunta a www\.tiktok.com/embed.js y un blockquote con la URL del vídeo. En cuanto el script se ejecuta, el navegador del visitante abre conexiones a www\.tiktok.com, p16 sign.tiktokcdn us.com y a varios CDN auxiliares, descarga el reproductor y permite a TikTok leer y escribir sus identificadores de seguimiento. Técnicamente equivale a abrir el vídeo en tiktok.com pero dentro de un iframe en su dominio. ByteDance recibe entonces la IP del visitante, el User Agent, el idioma, la zona horaria, la URL de referencia y todas las cookies previamente instaladas en tiktok.com. ## **Qué datos comparte el embed con TikTok y ByteDance** TikTok instala una serie de cookies de tracking: tt\_webid y tt\_webid\_v2 (identificadores de dispositivo), tt\_csrf\_token (protección CSRF), \_ttp (identificador del TikTok Pixel cuando está activado), msToken (token anti scraping y de sesión), ttwid (identificador web) y passport\_csrf\_token / passport\_auth\_status\_ss cuando el visitante está conectado. La visualización del embed se registra en la analítica de TikTok y alimenta el grafo de recomendación. Si el operador también ejecuta un TikTok Pixel en el mismo dominio, el embed y el Pixel pueden correlacionarse para enriquecer el perfil ByteDance del visitante. ## **RGPD, ePrivacy y decisiones de la DPC irlandesa** El embed de TikTok no es estrictamente necesario para el servicio solicitado, por lo que el artículo 5(3) de la Directiva ePrivacy exige un consentimiento opt in previo antes de escribir cualquier cookie o cargar cualquier script. La decisión DPC del 1 de septiembre de 2023 sancionó a TikTok con 345 millones de euros por carencias relativas a datos de menores y transparencia, y en mayo de 2025 la misma autoridad añadió 530 millones por transferencias de datos de usuarios europeos a China. Los reguladores europeos consideran las integraciones de TikTok de alto riesgo, sobre todo cuando el público puede incluir menores. ## **Project Clover, acceso desde China y evaluación de riesgo** Project Clover obliga a TikTok a almacenar los datos de los usuarios europeos en infraestructura Oracle dentro de la UE, con NCC Group como security trustee externo. El proyecto se está desplegando y el personal de ByteDance en China conserva acceso remoto controlado para ingeniería, moderación y trust and safety. Mientras Project Clover no esté plenamente auditado y respaldado por el EDPB, el embed debe tratarse como una transferencia de alto riesgo a países terceros no adecuados. En la mayoría de los casos es necesaria una EIPD y los operadores en sectores regulados deberían evitar el embed. ## **Cumplimiento práctico y alternativas más seguras** Implemente un placeholder click to load con opt in por defecto, exponga TikTok en el banner como proveedor de redes sociales o publicidad e inyecte el embed solo tras un consentimiento granular. Evite los embeds de TikTok en páginas dirigidas a menores. Actualice la política de privacidad con el enlace a las condiciones de TikTok, la lista de cookies y la declaración de la transferencia a ByteDance. Las alternativas más seguras incluyen alojar un MP4 en su propio CDN bajo la licencia del creador, mostrar una miniatura estática que enlace a la URL de TikTok o un proxy del servidor que recupere el vídeo sin que el navegador del visitante contacte con TikTok. Cumplimiento ## TikTok Embed y el RGPD TikTok Embed está clasificado como «Marketing». En un sitio dirigido a visitantes europeos, solo debe cargarse después del consentimiento del visitante y debe figurar en su política de cookies. - Base jurídica Article 6(1)(a) GDPR (consent). The embed loads scripts from www\.tiktok.com that read and write tracking identifiers and is not strictly necessary to the user requested service. Article 5(3) of the ePrivacy Directive therefore requires prior opt in consent before the embed is allowed to run. - Nivel de riesgo high - Normativa aplicable GDPR, ePrivacy Directive, French CNIL guidance on social plugins, German TTDSG, Spanish LSSI, Schrems II case law, Irish DPC 2023 and 2025 decisions on TikTok, Digital Services Act (TikTok is a designated VLOP), Project Clover commitments, EU US Data Privacy Framework ### Evaluación de impacto (EIPD) Una EIPD es obligatoria para el embed de TikTok en la mayoría de propiedades dirigidas a la UE. La combinación de tratamiento a gran escala por parte de ByteDance, posibles inferencias de categorías especiales de datos a través de los vídeos consumidos y transferencias históricas a China lo convierten en una actividad de alto riesgo. Tras las decisiones DPC 2023 y 2025, los operadores deben documentar la base legal, el flujo de consentimiento, el riesgo residual tras Project Clover, las categorías de datos transferidos y las alternativas más seguras evaluadas. ### Texto de ejemplo para su banner > Incluimos vídeos de TikTok. Cargar este embed comparte su dirección IP, su User Agent y su contexto de navegación con TikTok y ByteDance, y puede implicar transferencias fuera del EEE. El embed solo se carga después de que acepte las cookies publicitarias y de redes sociales. Cookies y rastreadores ## Lo que TikTok Embed instala y contacta - Método de seguimiento JavaScript embed loaded from www\.tiktok.com (TikTok oEmbed iframe with embed.js), first party cookies set by TikTok / ByteDance on tiktok.com, server side oEmbed API for content fetching, optional pairing with the TikTok Pixel on the operator domain - Ubicación de los servidores TikTok Ireland Ltd is the EEA controller. Project Clover commits to storing EEA user data on Oracle infrastructure inside the EU, with NCC Group as security trustee. ByteDance Ltd in China retains controlled remote access for engineering, moderation and trust and safety. - Transferencia de datos fuera de la UE TikTok is owned by ByteDance Ltd in Beijing, with operational headquarters in Singapore and the US. Project Clover migrates EEA visitor data to EU data centres but ByteDance personnel in China retain controlled access. The Irish DPC fined TikTok 345 million euros in September 2023 over child data and transparency failures and, in May 2025, an additional 530 million euros over transfers of EEA user data to China. The embed must therefore be treated as a high risk transfer to non adequate third countries. ### Cookies instaladas (7) | Nombre | Tipo | Duración | Finalidad | | --------------------- | ---- | ------------ | ----------------------------------------------------------------------------------------------------------------------------------- | | tt\_webid | http | 12 months | TikTok device identifier set by www\.tiktok.com when the embed loads. Used for analytics, recommendations and fraud prevention. | | tt\_webid\_v2 | http | 12 months | Newer TikTok device identifier used alongside tt\_webid for cross session recognition. | | tt\_csrf\_token | http | Session | CSRF token paired with TikTok requests to prevent cross site request forgery on actions performed inside the embed. | | msToken | http | \~30 minutes | Anti scraping and short lived session token rotated on every interaction with TikTok endpoints. | | ttwid | http | 12 months | TikTok web identifier used to track the device across TikTok properties and recommend content. | | \_ttp | http | 13 months | TikTok Pixel identifier. Set on the operator domain when a TikTok Pixel is installed and shared with the embed to correlate visits. | | passport\_csrf\_token | http | 6 months | TikTok login session protection cookie set when the visitor is authenticated, linking the embed view to a TikTok account. | ### Dominios de terceros contactados (7) - `tiktok.com` - `www.tiktok.com` - `p16-sign.tiktokcdn-us.com` - `p16-sign-va.tiktokcdn.com` - `mssdk.tiktokv.com` - `byteoversea.com` - `tiktokcdn.com` Preguntas ## Preguntas frecuentes sobre TikTok Embed ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué cookies instala el embed de TikTok? Cuando se carga el embed, www\.tiktok.com instala cookies de tracking de ByteDance: tt\_webid y tt\_webid\_v2 (identificadores de dispositivo, 12 meses), tt\_csrf\_token (protección CSRF), msToken (anti scraping y sesión, unos 30 minutos), ttwid (identificador web de TikTok, 12 meses) y \_ttp si el operador también ejecuta un TikTok Pixel. Para visitantes conectados se añaden cookies de passport que vinculan la visualización del embed a una cuenta TikTok. ### ¿Requiere consentimiento el embed de TikTok? Sí. El embed carga scripts y escribe cookies de tracking y no es estrictamente necesario para el servicio. El artículo 5(3) de la Directiva ePrivacy exige consentimiento opt in previo y el EDPB aclara que ese consentimiento debe ser específico, informado y granular. La implementación estándar es un placeholder de doble clic servido desde su propio dominio, que solo carga el iframe tras la aceptación. ### ¿Cuál es la base legal para los datos compartidos con TikTok? La única base realista es el consentimiento del artículo 6(1)(a) del RGPD. El interés legítimo no es viable porque el embed permite un profiling a gran escala por ByteDance y expone al visitante a posibles transferencias a China. TikTok recurre a otras bases para sus propios tratamientos, pero el operador que integra el iframe es responsable de obtener el consentimiento antes de que cualquier dato salga del navegador del visitante. ### ¿Transfiere el embed de TikTok datos fuera de la UE? Sí. Aun con Project Clover trasladando los datos de los usuarios europeos a centros Oracle dentro de la UE, el personal de ByteDance en China conserva acceso controlado. La DPC irlandesa sanciónó a TikTok con 345 millones de euros en 2023 y 530 millones más en 2025, principalmente por transferencias y datos de menores. El embed debe tratarse como transferencia de alto riesgo a países terceros no adecuados y declararse así en la política de privacidad. ### ¿Es necesaria una EIPD para el embed de TikTok? Sí en la mayoría de casos. La combinación de tratamiento masivo por ByteDance, posibles inferencias de categorías especiales de datos a través de los vídeos consumidos y transferencias históricas a China suele superar el umbral del artículo 35 del RGPD. La EIPD debe documentar la necesidad, la base legal, el mecanismo de consentimiento, el riesgo residual bajo Project Clover y las alternativas más seguras evaluadas. En sectores regulados conviene evitar el embed. ### ¿Cómo implemento el embed de TikTok de forma conforme? Bloquee el embed por defecto y sustitúyalo por un placeholder click to load servido desde su propio dominio que explique el flujo de datos hacia TikTok. Exponga TikTok en el banner como proveedor de redes sociales o publicidad e inyecte el iframe solo tras un consentimiento granular. Documente el tratamiento en la política de privacidad con la lista de cookies, el enlace a las condiciones de TikTok y la declaración de la transferencia a China. Evite el embed en páginas dirigidas a menores. ### ¿Qué alternativas más seguras hay al embed de TikTok? Las alternativas habituales incluyen descargar el MP4 del vídeo con la autorización del creador y alojarlo en su propio CDN, mostrar una miniatura estática que enlace a la URL de TikTok o usar un proxy del servidor que recupere el vídeo sin exponer el navegador del visitante a los endpoints de TikTok. Para casos editoriales, un host de vídeo basado en la UE (PeerTube, Vimeo con residencia UE, Bunny Stream) puede sustituir por completo la integración TikTok. ### ¿Cómo actualizo mi política de cookies para el embed de TikTok? Añada a TikTok y a ByteDance Ltd como destinatarios de los datos, enumere las cookies instaladas por www\.tiktok.com (tt\_webid, tt\_webid\_v2, tt\_csrf\_token, msToken, ttwid, \_ttp, variantes passport) con su duración y finalidad, declare la transferencia fuera del EEE y a China, mencione Project Clover y haga referencia a las decisiones de la DPC irlandesa. Actualice la entrada cuando TikTok modifique sus informaciones. Misma categoría ## Más servicios: Redes sociales [Ver toda la categoría](https://www.flowconsent.com/es/services/redes-sociales) ### [Bazaarvoice Curation](https://www.flowconsent.com/es/services/redes-sociales/bazaarvoice-curation) [Marketing](https://www.flowconsent.com/es/services/redes-sociales/bazaarvoice-curation) · ### [LinkedIn Share](https://www.flowconsent.com/es/services/redes-sociales/linkedin-share) [Marketing](https://www.flowconsent.com/es/services/redes-sociales/linkedin-share) · ### [OneAll](https://www.flowconsent.com/es/services/redes-sociales/oneall) [Marketing](https://www.flowconsent.com/es/services/redes-sociales/oneall) · ### [Sharpay](https://www.flowconsent.com/es/services/redes-sociales/sharpay) [Marketing](https://www.flowconsent.com/es/services/redes-sociales/sharpay) · ### [SnapWidget](https://www.flowconsent.com/es/services/redes-sociales/snapwidget) [Marketing](https://www.flowconsent.com/es/services/redes-sociales/snapwidget) · ### [Embedly](https://www.flowconsent.com/es/services/redes-sociales/embedly) [Marketing](https://www.flowconsent.com/es/services/redes-sociales/embedly) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)