¿Tu sitio web utiliza servicios de terceros? Cumple con el RGPD en minutos.
Probar FlowConsentmobileCta.note
La API web de Spotify y el reproductor integrado permiten a los sitios reproducir música y mostrar listas directamente en una página. Cuando el reproductor o la API se cargan en una página pública, solicitan dominios de Spotify que instalan cookies de terceros como sp_t, sp_dc y sp_adid. Estas cookies miden el uso, mantienen las sesiones iniciadas y sirven publicidad, por lo que no son estrictamente necesarias. Su uso requiere consentimiento previo conforme al RGPD y la Directiva ePrivacy, y los datos pueden tratarse en infraestructura de EE. UU.
La API web de Spotify es la interfaz para desarrolladores que permite a los sitios y aplicaciones leer datos del catálogo, gestionar listas de reproducción y controlar la reproducción, mientras que el embed de Spotify es un reproductor iframe listo para usar que reproduce pistas y álbumes en una página. Muchos sitios utilizan el reproductor integrado para compartir canciones o listas, y otros llaman a la API web para mostrar contenido musical enriquecido. En ambos casos, el navegador del visitante se conecta a dominios de Spotify, que instalan cookies y tratan datos técnicos al cargar el reproductor.
Cuando se carga el embed, Spotify instala cookies de terceros como sp_t para estadísticas de uso anónimas, sp_landing para almacenar la página de llegada, sp_dc para la continuidad de dispositivo y cuenta de los usuarios que han iniciado sesión, y sp_adid para publicidad cuando procede. Además de estas cookies, Spotify recibe la dirección IP del visitante, información del navegador y del dispositivo, la página de referencia y las interacciones de reproducción. Para los usuarios con sesión iniciada en Spotify, esta actividad puede asociarse a su cuenta, lo que convierte el tratamiento en datos personales conforme al RGPD.
Como estas cookies se escriben y se leen en el dispositivo del visitante con fines de medición y publicidad en lugar de funciones estrictamente necesarias, el artículo 5(3) de la Directiva ePrivacy exige consentimiento previo. La dirección IP y la vinculación con la cuenta también convierten los datos en personales conforme al RGPD, por lo que necesita una base jurídica, información clara y una entrada en el registro de actividades de tratamiento. Por tanto, el embed nunca debe cargarse antes de que el visitante haya aceptado la categoría de cookies correspondiente.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
El consentimiento debe obtenerse antes de contactar con cualquier dominio de Spotify, lo que significa que el iframe del reproductor y las llamadas a la API web deben bloquearse hasta que el visitante acepte de forma activa. Un patrón recomendado es un marcador de posición de tipo clic para cargar, que muestra una carátula estática y un botón de reproducción y solo carga el embed real tras obtener el consentimiento. Las casillas premarcadas, el consentimiento implícito por desplazamiento y los muros de cookies no cumplen el estándar, y el consentimiento debe ser tan fácil de retirar como de otorgar.
Spotify tiene su sede en Suecia pero utiliza infraestructura y subencargados en Estados Unidos, así que documente la transferencia mediante las Cláusulas Contractuales Tipo y haga referencia a las medidas complementarias de Spotify. En la práctica, condicione el embed y la API a su plataforma de gestión del consentimiento, utilice un mecanismo de clic para cargar y enumere las cookies de Spotify y sus duraciones en su política de cookies. Nombre a Spotify como destinatario, informe del tratamiento en Estados Unidos y revise periódicamente, ya que los nombres y duraciones de las cookies pueden cambiar.
Websites using Spotify Web API must obtain user consent under GDPR regulations.
DPIA considerations
El embed de Spotify instala cookies de terceros persistentes (sp_t, sp_dc) y un identificador publicitario (sp_adid), vincula la actividad con cuentas de Spotify de los usuarios con sesión iniciada y envía direcciones IP y datos del dispositivo a infraestructura que incluye Estados Unidos. Una EIPD debe evaluar el alcance del seguimiento mediante reproductores integrados, la combinación de cookies analíticas y publicitarias, la transferencia internacional a EE. UU. y la conservación, junto con medidas como el clic para cargar, el control del consentimiento y una divulgación clara de las cookies.
Sample consent text
Utilizamos el reproductor de Spotify para que pueda escuchar música en nuestro sitio. Cuando lo permite, Spotify instala cookies en su dispositivo para mantener su sesión, medir el uso y servir publicidad, y puede recibir su dirección IP e información de su dispositivo. Este contenido solo se carga después de que acepte la categoría de marketing, y los datos pueden tratarse en Estados Unidos. Puede retirar su consentimiento en cualquier momento desde la configuración de cookies.
Third-party domains contacted
open.spotify.comembed.spotify.comembed-cdn.spotifycdn.comaudio-ak.spotifycdn.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| sp_t | analytics | 1 year | Anonymous usage analytics cookie set by Spotify to measure how the embedded player and content are used. |
| sp_landing | analytics | Session | Stores the landing page so that Spotify can attribute the entry point of the visit. Short lived and used for measurement. |
| sp_dc | marketing | 1 year | Maintains device and account continuity for users who are logged in to Spotify, linking embedded activity to their account. |
| sp_adid | marketing | 1 year | Advertising identifier set where applicable to support advertising and measurement across Spotify services. |
Spotify Web API utiliza cookies para las preferencias de los usuarios — informa a tus visitantes con un banner de consentimiento.
El reproductor de Spotify instala cookies de terceros como sp_t para estadísticas de uso anónimas con una duración de aproximadamente un año, sp_landing para recordar brevemente la página de llegada, sp_dc para la continuidad de dispositivo y cuenta de los usuarios con sesión iniciada durante aproximadamente un año, y sp_adid para publicidad cuando procede. El conjunto exacto depende de si el visitante ha iniciado sesión en Spotify.
Sí. Las cookies que instala el embed son cookies analíticas y de marketing que no son estrictamente necesarias, por lo que conforme al artículo 5(3) de la Directiva ePrivacy y al RGPD debe obtener consentimiento previo y explícito antes de que el reproductor o la API web contacten con Spotify. El enfoque conforme más sencillo es un marcador de posición de clic para cargar.
El almacenamiento y la lectura de las cookies se basan en el consentimiento conforme a la Directiva ePrivacy, y el tratamiento posterior de datos personales como las direcciones IP se basa en el consentimiento conforme al artículo 6(1)(a) del RGPD. El interés legítimo no suele estar disponible porque el consentimiento ya es necesario para instalar las cookies y cargar el embed.
Sí. Aunque Spotify tiene su sede en Suecia, utiliza infraestructura y subencargados en Estados Unidos, por lo que las direcciones IP y los datos del dispositivo pueden transferirse allí. Documente la transferencia mediante las Cláusulas Contractuales Tipo y haga referencia a las medidas complementarias de Spotify en su aviso de privacidad.
Una EIPD completa no siempre es obligatoria, pero es aconsejable cuando integra Spotify en muchas páginas o lo combina con otros rastreadores. Documente las finalidades, las cookies y sus duraciones, la transferencia internacional y la conservación, y aplique medidas como el clic para cargar y el control del consentimiento.
Bloquee el iframe del reproductor y cualquier llamada a la API web hasta que el visitante acepte la categoría de marketing en su plataforma de gestión del consentimiento. Utilice un mecanismo de clic para cargar que muestre una carátula estática y cargue el embed real solo tras el consentimiento, enumere las cookies de Spotify en su política de cookies e informe del tratamiento en Estados Unidos.
Puede enlazar a Spotify en lugar de integrarlo, utilizar un reproductor de audio autoalojado para sus propias pistas, o elegir un widget musical respetuoso con la privacidad que no instale cookies de seguimiento. Estas opciones reducen o eliminan las cookies de terceros y las transferencias a Estados Unidos, a costa de la experiencia de reproducción nativa de Spotify.
Enumere cada cookie de Spotify como sp_t, sp_dc y sp_adid con su finalidad y duración, nombre a Spotify como destinatario e informe de la transferencia a Estados Unidos. Mantenga las entradas actualizadas mediante un análisis periódico de cookies, ya que los nombres y duraciones de las cookies de Spotify pueden cambiar con el tiempo.