Spotify Web API

Qué es la API web de Spotify

La API web de Spotify es la interfaz para desarrolladores que permite a los sitios y aplicaciones leer datos del catálogo, gestionar listas de reproducción y controlar la reproducción, mientras que el embed de Spotify es un reproductor iframe listo para usar que reproduce pistas y álbumes en una página. Muchos sitios utilizan el reproductor integrado para compartir canciones o listas, y otros llaman a la API web para mostrar contenido musical enriquecido. En ambos casos, el navegador del visitante se conecta a dominios de Spotify, que instalan cookies y tratan datos técnicos al cargar el reproductor.

Qué datos y cookies recopila

Cuando se carga el embed, Spotify instala cookies de terceros como sp_t para estadísticas de uso anónimas, sp_landing para almacenar la página de llegada, sp_dc para la continuidad de dispositivo y cuenta de los usuarios que han iniciado sesión, y sp_adid para publicidad cuando procede. Además de estas cookies, Spotify recibe la dirección IP del visitante, información del navegador y del dispositivo, la página de referencia y las interacciones de reproducción. Para los usuarios con sesión iniciada en Spotify, esta actividad puede asociarse a su cuenta, lo que convierte el tratamiento en datos personales conforme al RGPD.

Implicaciones del RGPD y ePrivacy

Como estas cookies se escriben y se leen en el dispositivo del visitante con fines de medición y publicidad en lugar de funciones estrictamente necesarias, el artículo 5(3) de la Directiva ePrivacy exige consentimiento previo. La dirección IP y la vinculación con la cuenta también convierten los datos en personales conforme al RGPD, por lo que necesita una base jurídica, información clara y una entrada en el registro de actividades de tratamiento. Por tanto, el embed nunca debe cargarse antes de que el visitante haya aceptado la categoría de cookies correspondiente.

Requisitos de consentimiento

El consentimiento debe obtenerse antes de contactar con cualquier dominio de Spotify, lo que significa que el iframe del reproductor y las llamadas a la API web deben bloquearse hasta que el visitante acepte de forma activa. Un patrón recomendado es un marcador de posición de tipo clic para cargar, que muestra una carátula estática y un botón de reproducción y solo carga el embed real tras obtener el consentimiento. Las casillas premarcadas, el consentimiento implícito por desplazamiento y los muros de cookies no cumplen el estándar, y el consentimiento debe ser tan fácil de retirar como de otorgar.

Transferencias de datos y pasos prácticos de cumplimiento

Spotify tiene su sede en Suecia pero utiliza infraestructura y subencargados en Estados Unidos, así que documente la transferencia mediante las Cláusulas Contractuales Tipo y haga referencia a las medidas complementarias de Spotify. En la práctica, condicione el embed y la API a su plataforma de gestión del consentimiento, utilice un mecanismo de clic para cargar y enumere las cookies de Spotify y sus duraciones en su política de cookies. Nombre a Spotify como destinatario, informe del tratamiento en Estados Unidos y revise periódicamente, ya que los nombres y duraciones de las cookies pueden cambiar.