Rastreo server-side y Consent Mode v2: cómo medir con datos propios y consentimiento

El rastreo server-side, o server-side tagging, es la arquitectura en la que los eventos de un sitio o una aplicación pasan por un servidor controlado por la empresa antes de seguir hacia herramientas de análisis y plataformas de medios. En el modelo tradicional, el client-side, cada etiqueta se ejecuta en el navegador del visitante y envía datos directamente a su proveedor. En el server-side, la empresa recibe los datos primero y decide qué reenviar, a quién y en qué formato.

Consent Mode v2 es el mecanismo de Google que transmite a las etiquetas la elección de consentimiento de cada persona. Junto con un servidor propio y las API de conversiones, forma la base de una medición que usa datos propios y respeta lo que el usuario autorizó. Esta guía explica cada pieza y lo que los líderes de marketing y datos deben decidir antes de implementar.

Qué es el server-side tagging y en qué se diferencia del client-side

En el client-side, el navegador carga el código de cada herramienta, como las de análisis y los píxeles de medios, y cada script envía a su propio destino lo que lee de la página. La empresa ve poco de lo que realmente sale.

En el server-side, el contenedor de servidor, según la documentación de Google Tag Manager, no se ejecuta en el navegador ni en el teléfono del usuario, sino en un servidor bajo control del anunciante, y los datos que llegan a él quedan accesibles para la empresa hasta que decida enviarlos a otro lugar. La documentación también recomienda instalar ese servidor en un dominio propio antes de recibir tráfico de producción.

En la práctica, los campos pueden eliminarse o transformarse antes de cada envío, y el servidor pasa a ser infraestructura con costo y responsable. El server-side no reemplaza el consentimiento: lo que se gana es control y gobernanza, no un atajo.

El contenedor server-side de Google Tag Manager

El GTM server-side usa el mismo modelo de etiquetas, activadores y variables del contenedor web. La pieza nueva son los clientes: adaptadores que reciben las solicitudes que llegan al servidor y las convierten en eventos, que las etiquetas de servidor envían a Google Analytics, a las plataformas de medios o al data warehouse.

El servidor puede ejecutarse en Google Cloud o en otro entorno elegido por la empresa. La guía de configuración en Cloud Run recomienda un mínimo de dos instancias para reducir el riesgo de pérdida de datos ante caídas, además de una estimación de costos y alertas de facturación. Es un costo recurrente, que crece con el tráfico y necesita presupuesto y un responsable.

API de conversiones: el servidor hablando con las plataformas

Las API de conversiones de las plataformas envían eventos desde el servidor de la empresa directamente a la plataforma de medios, sin depender exclusivamente del navegador.

La API de conversiones de Meta envía datos de marketing desde el servidor del anunciante y acepta eventos del sitio, de la aplicación, de mensajería y conversiones offline. Según la documentación, los eventos de servidor vinculados a un conjunto de datos se procesan igual que los enviados por el píxel de Meta.

Las conversiones avanzadas de Google Ads, en inglés enhanced conversions, complementan las etiquetas de conversión con datos propios del cliente, como correo electrónico o teléfono, transformados con hash SHA256 antes del envío. Hay una variante para conversiones en el sitio y otra para leads que se cierran fuera de él.

El dato más útil para optimizar medios, como la venta en el ERP o la oportunidad calificada en el CRM, nace fuera del navegador. El artículo sobre CRM e ingresos detalla cómo definir esas etapas.

Deduplicación entre navegador y servidor

Cuando el mismo evento se envía desde el navegador y desde el servidor, lo que Meta llama configuración redundante, la plataforma necesita reconocer las dos copias como un único evento. La documentación de deduplicación de Meta recomienda enviar el mismo nombre y el mismo identificador de evento desde ambos orígenes, e informa que la deduplicación por identificador se aplica a eventos recibidos dentro de las 48 horas posteriores al primero. Sin esa clave, una compra puede contarse dos veces.

Consent Mode v2: qué es y por qué importa

El Consent Mode, o modo de consentimiento, transmite a Google las elecciones del usuario sobre cookies e identificadores, y las etiquetas ajustan su comportamiento a ellas. No muestra un banner y funciona con la herramienta de consentimiento que la empresa ya usa, como explica el centro de ayuda de Google Ads.

La documentación para desarrolladores registra que el recurso se actualizó en noviembre de 2023 con dos parámetros adicionales. Los tipos de consentimiento principales pasaron a ser ad_storage (cookies para publicidad), analytics_storage (almacenamiento para análisis), ad_user_data (envío a Google de datos del usuario relacionados con la publicidad) y ad_personalization (publicidad personalizada).

La página de Google sobre gestión del consentimiento agrega que ad_user_data es obligatorio para mediciones como las conversiones avanzadas y las conversiones por etiqueta, y que la publicidad personalizada depende de que ad_user_data y ad_personalization estén concedidos.

Modo básico y modo avanzado

• Básico: las etiquetas de Google no se cargan hasta que la persona interactúa con el banner. Sin consentimiento, no se transfiere ningún dato a Google, ni siquiera el estado del consentimiento.
• Avanzado: las etiquetas se cargan cuando se abre la página, con el consentimiento denegado por defecto. Mientras esté denegado, envían mediciones sin cookies; después del consentimiento, envían la medición completa.

Según la explicación conceptual de Google, el modo avanzado permite un modelo de conversiones específico del anunciante, y el básico usa un modelo general. La elección involucra privacidad y riesgo y debe tomarse con el área jurídica.

Por qué Europa impulsó el tema y por qué las empresas brasileñas también lo adoptan

La política de consentimiento de usuarios de la UE de Google exige que los anunciantes obtengan un consentimiento legalmente válido de los usuarios del Espacio Económico Europeo, el Reino Unido y Suiza para las cookies, cuando la ley lo exija, y para la personalización de anuncios, y que conserven registros de ese consentimiento. La documentación del Consent Mode asocia la actualización de 2023 al refuerzo de esta política.

En Brasil, la Lei Geral de Proteção de Dados (Ley General de Protección de Datos de Brasil, LGPD, Ley 13.709/2018) define el consentimiento como una manifestación libre, informada e inequívoca para una finalidad determinada (art. 5). Entre los principios del art. 6 está la necesidad, que limita el tratamiento al mínimo necesario. El art. 7 enumera las bases que autorizan el tratamiento, entre ellas el consentimiento y el interés legítimo, y el art. 8 considera nulas las autorizaciones genéricas.

Por eso las empresas brasileñas también adoptan una medición sensible al consentimiento: el banner, las señales enviadas a las etiquetas y lo que el servidor reenvía tienen que contar la misma historia. La base legal de cada tratamiento es una decisión del área jurídica y del encargado de protección de datos (DPO), y este texto no constituye asesoría jurídica.

Datos propios: qué son y dónde entran

Los datos propios, o first-party data, son los datos que la empresa recopila directamente en su relación con clientes y visitantes: eventos en el sitio y en la aplicación, registros, compras, atención al cliente y CRM. Los datos de terceros, en cambio, los recopila otra organización.

El servidor propio es donde esos datos adquieren reglas: recibe los eventos en un dominio de la empresa, aplica consentimiento y minimización, y alimenta las plataformas y el data warehouse. El artículo sobre gobernanza de datos de marketing trata de los responsables de este trabajo.

Gobernanza: quién es dueño del servidor y del dato

• Dueño del servidor: área responsable, contrato de nube, presupuesto recurrente y monitoreo.
• Control de cambios: quién publica versiones del contenedor, con revisión e historial.
• Minimización: campos permitidos por destino y eliminación de datos personales que aparecen por accidente, como correos electrónicos en URL.
• Consentimiento de punta a punta: la señal del banner llega a las etiquetas web, al servidor y a las API.
• Roles y contratos: quién es responsable y quién es encargado del tratamiento en cada flujo, con contratos revisados por el área jurídica.

Paso a paso de una implementación

• Haz un inventario de las etiquetas actuales: qué recopila cada una y adónde lo envía.
• Define con el área jurídica y el DPO las finalidades, las bases legales y el comportamiento por categoría de consentimiento.
• Diseña el plan de eventos y el diccionario de datos.
• Pon en marcha el servidor en un dominio propio, con un entorno de pruebas.
• Migra los destinos por etapas y compara los números en paralelo con la recolección anterior.
• Conecta las API de conversiones con deduplicación y eventos del CRM.
• Implementa Consent Mode v2 y valida las señales en cada estado de consentimiento.
• Monitorea el volumen de eventos por origen, las divergencias y el costo del servidor.

Errores comunes

• Tratar el server-side como una forma de eludir bloqueadores o rechazos de consentimiento.
• Enviar el mismo evento desde el navegador y desde el servidor sin un identificador común.
• Reenviar al servidor todo lo que recopilaba el navegador, sin revisar los campos.
• Poner en marcha el servidor sin dueño, sin presupuesto y sin alertas de costo.
• Configurar el Consent Mode con categorías distintas de las que muestra el banner.
• Comparar el antes y el después sin un período en paralelo, atribuyendo a la arquitectura variaciones del mercado.

Ejemplo hipotético: una implementación en tres etapas

El siguiente caso es hipotético e ilustrativo, sin datos de clientes ni de mercado. Imagina un fabricante de equipos con e-commerce para revendedores, leads de grandes cuentas y tráfico en Brasil y Portugal.

En la primera etapa, el equipo pone en marcha el servidor en un subdominio propio y envía por él los eventos de análisis, con la recolección anterior funcionando en paralelo durante algunas semanas. En el camino, encuentra formularios que enviaban correos electrónicos en parámetros de URL, que ahora se eliminan en el servidor.

En la segunda, conecta la API de conversiones de Meta y las conversiones avanzadas de Google Ads, con un identificador por evento enviado por ambos caminos. El CRM pasa a devolver a las plataformas la oportunidad calificada, además del formulario completado.

En la tercera, el área jurídica y el DPO definen el comportamiento por región: para Portugal, consentimiento denegado por defecto; para Brasil, la configuración que sigue la base legal elegida. Al final, la empresa tiene un mapa de quién envía qué, adónde y bajo qué autorización, y un número de conversiones que las plataformas y el CRM pueden conciliar.

Preguntas frecuentes sobre rastreo server-side y Consent Mode v2

¿Qué es el GTM server-side?

Es el uso de Google Tag Manager con un contenedor que se ejecuta en un servidor controlado por la empresa, y no en el navegador del visitante. El navegador envía los eventos a ese servidor, que los recibe por medio de clientes, aplica reglas y envía cada evento a herramientas de análisis y plataformas de medios, según lo que decida la empresa.

¿El server-side tagging elimina la necesidad de consentimiento?

No. Cambiar el lugar donde se ejecuta la etiqueta no altera las obligaciones sobre el dato personal: si la recolección depende del consentimiento en el navegador, sigue dependiendo de él en el servidor. El server-side ayuda a cumplir las reglas, porque permite eliminar campos y controlar destinos, pero no sirve para eludir el rechazo del usuario. Las bases legales las definen el área jurídica y el DPO.

¿Cuál es la diferencia entre el Consent Mode básico y el avanzado?

En el básico, las etiquetas de Google no se cargan hasta que la persona responde al banner; sin consentimiento, no se envía nada a Google. En el avanzado, las etiquetas se cargan con el consentimiento denegado por defecto y envían mediciones sin cookies hasta que haya consentimiento. Según Google, el avanzado permite un modelo de conversiones específico del anunciante. La elección debe tomarse con el área jurídica.

¿Las empresas que operan en Brasil necesitan Consent Mode v2?

La política de consentimiento de Google se refiere a usuarios del Espacio Económico Europeo, el Reino Unido y Suiza, por lo que las empresas brasileñas con tráfico de esas regiones deben tenerla en cuenta. Para el público brasileño, la LGPD exige finalidad, necesidad y base legal para cada tratamiento. Usar el Consent Mode para reflejar el banner en las etiquetas es una decisión del área jurídica y del DPO.

¿Qué son los datos propios (first-party data)?

Son los datos que la empresa recopila directamente en su relación con clientes y visitantes: eventos en el sitio y en la aplicación, registros, compras, atención al cliente y CRM. Se diferencian de los datos de terceros, que recopilan otras organizaciones. Para servir a los medios y al análisis, necesitan una finalidad clara, consentimiento cuando se exija y un responsable de su calidad.

Para estructurar esta capa de medición, conoce el frente de Datos.