Documento técnico de soporte
Declaración de cookies y mecanismo de consentimiento
Contenido
Acompaña al Aviso de Privacidad y describe, con el detalle necesario para redactar la cláusula de cookies, qué tecnologías se utilizan en cada sitio y cómo se obtiene, conserva, administra y retira el consentimiento.
1 · Los dos sitios y por qué se tratan distinto
Booking Engine · book.paipaipark.com
Es el sistema de reservaciones. Se presenta al visitante embebido dentro del sitio web, mediante un marco que funciona como una ventana hacia él, de modo que la persona no necesita escribir esa dirección.
No coloca cookies a los visitantes
No utiliza Google Analytics, Meta Pixel ni ninguna otra tecnología de medición, publicidad o seguimiento. Una persona que entra, consulta y realiza una reservación no recibe ninguna cookie.
La única cookie que existe en este sistema es la de sesión del panel administrativo interno, y solo se coloca a quien inicia sesión con usuario y contraseña, es decir, al personal del centro. Es estrictamente necesaria para sostener la sesión y no tiene finalidad de medición.
Por eso este sitio no lleva banner de consentimiento: no existe tecnología alguna que requiera consentimiento.
Dos precisiones técnicas que sostienen lo anterior: el idioma del sitio se resuelve mediante la propia dirección web —/es o/en— y no mediante una cookie de preferencia; y el monitoreo de errores se ejecuta exclusivamente del lado del servidor, sin ningún componente que corra en el navegador de la persona.
Sitio web · paipaipark.com y paipaiecotourismpark.com
Es el sitio institucional. Incorporará Google Analytics 4 para el análisis estadístico de uso y Meta Pixel para la medición de campañas publicitarias. Ninguna de las dos es necesaria para que el sitio funcione, por lo que ambas requieren consentimiento y quedan gobernadas por el mecanismo descrito en este documento.
2 · Qué tecnologías se utilizan y cuáles no
Se utilizan
| Tecnología | Categoría | Para qué |
|---|---|---|
| Cookie de consentimiento propia | Estrictamente necesaria | Recordar qué decidió la persona sobre las demás categorías, para no volver a preguntarle en cada visita y poder respetar su elección |
| Cookie de sesión Supabase · solo Booking Engine | Estrictamente necesaria | Sostener la sesión iniciada del personal del centro en el panel administrativo |
| Google Analytics 4 | Analítica | Conocer de forma agregada cuántas personas visitan el sitio, qué secciones consultan y en qué punto abandonan el proceso de reserva, para mejorarlo |
| Meta Pixel | Marketing | Medir el resultado de las campañas publicitarias y atribuir las reservaciones que provienen de ellas |
No se utilizan
Se hace constar expresamente, porque suele preguntarse y porque acota el alcance de la cláusula:
- Google Tag Manager — no se emplea gestor de etiquetas; cada tecnología se incorpora directamente.
- Publicidad personalizada de terceros distinta de la medición de campañas propias.
- Mapas de calor, grabación de sesión o repetición de la navegación. No existe ninguna herramienta que registre movimientos del cursor, clics individuales ni reproduzca la sesión de una persona.
- Perfilado individual con fines comerciales. La información analítica se consulta de forma agregada.
- Venta o cesión de datos de navegación a terceros.
- Cookies de redes sociales incrustadas distintas de las de medición señaladas.
3 · El mecanismo, paso a paso
El sitio incorpora un administrador de consentimiento desarrollado dentro de la propia plataforma. No se contrató un servicio externo, por una razón que conviene explicitar: una herramienta de terceros sería a su vez un encargado del tratamiento que habría que declarar en el Aviso. Al desarrollarlo internamente no se incorpora ningún proveedor adicional.
Ciclo de vida completo
- La persona abre el sitio por primera vez. La página carga únicamente su contenido y las tecnologías estrictamente necesarias. Google Analytics 4 y Meta Pixel no se invocan. En este momento no existe ninguna cookie de analítica ni de marketing en su navegador.
- Se presenta el banner, en la parte inferior de la pantalla, con tres opciones claramente diferenciadas y sin ninguna preseleccionada. El sitio permanece utilizable mientras la persona decide; el banner no bloquea la navegación ni obliga a elegir para poder consultar el contenido.
- La persona decide. Puede aceptar todas, rechazar las no necesarias, o abrir el panel para elegir por categoría. Las tres opciones tienen el mismo peso visual y el mismo número de clics: rechazar no es más difícil que aceptar.
- Se registra la decisión en una cookie propia y se ejecuta lo que corresponda: se incorporan al sitio únicamente las tecnologías de las categorías autorizadas.
- En visitas posteriores el banner ya no aparece y se aplica la decisión guardada. Las tecnologías autorizadas se cargan; las no autorizadas siguen sin cargarse.
- La persona puede cambiar de opinión en cualquier momento desde el enlace «Preferencias de cookies» del pie de página, presente en todas las pantallas.
- La decisión caduca a los 180 días, o antes si se incorpora una tecnología nueva. Al caducar, el banner vuelve a presentarse y el consentimiento se solicita de nuevo.
Qué ocurre exactamente al retirar el consentimiento
Tres acciones simultáneas
Primera: se actualiza el registro de la decisión, de modo que en adelante esa categoría no vuelva a cargarse.
Segunda: se eliminan del navegador las cookies que esa categoría había colocado. No basta con dejar de cargar la herramienta: las cookies ya creadas se borran activamente.
Tercera: se recarga la página. Un script que ya se ejecutó no puede detenerse de otro modo — permanece en memoria del navegador hasta que la página se reinicia. Recargar es la única forma técnicamente efectiva de que el retiro surta efecto de inmediato y no hasta la siguiente visita.
4 · Cómo se ve
Banner de primera visita
Contiene el título «Tu privacidad importa», un texto breve que explica el uso de cookies necesarias y opcionales, y tres opciones equivalentes: Aceptar todas, Rechazar las no necesarias y Configurar cookies. El enlace al Aviso de Privacidad Integral está disponible desde el propio banner, de modo que la persona pueda informarse antes de decidir y no después.
Panel de preferencias por categoría
Elige qué categorías se permiten. La decisión se puede cambiar cuando se quiera desde «Preferencias de cookies», en el pie de página. Las categorías presentadas son:
- Necesarias — sesión, idioma, seguridad y el registro de la propia decisión sobre cookies. Marcadas como «Siempre activas», sin interruptor porque no requieren consentimiento.
- Analítica — conocer de forma agregada cómo se usa el sitio y dónde se abandona el proceso, para mejorarlo. Google Analytics 4. Casilla desactivada por defecto.
- Marketing — medir el resultado de las campañas publicitarias. Meta Pixel. Casilla desactivada por defecto.
Las casillas de analítica y marketing inician desactivadas. Ninguna viene premarcada, de modo que la inacción no se interpreta como consentimiento.
Ambas pantallas se presentan en español e inglés, conforme al idioma en que la persona esté navegando.
5 · Comportamiento según la decisión
| Decisión | Google Analytics 4 | Meta Pixel | Cookies creadas |
|---|---|---|---|
| No ha decidido todavía | No se carga | No se carga | Ninguna no esencial |
| Rechaza las no necesarias | No se carga | No se carga | Solo la del registro de su negativa |
| Acepta solo analítica | Se carga | No se carga | Las de Google únicamente |
| Acepta solo marketing | No se carga | Se carga | Las de Meta únicamente |
| Acepta todas | Se carga | Se carga | Las de Google y las de Meta |
| Retira una categoría | Deja de cargarse la retirada | Se eliminan las de esa categoría | |
6 · Cómo se bloquea técnicamente
No es bloquear: es no invocar
Conviene distinguirlo porque no todas las soluciones del mercado funcionan igual. Muchas herramientas cargan el script de la tecnología y luego intentan impedir que actúe, o lo interceptan y lo reescriben. En esos esquemas el archivo del tercero sí llega a descargarse y se establece una conexión con su servidor, aunque después no coloque cookies.
Aquí ocurre algo distinto: el sitio no incorpora el script en absolutomientras no exista consentimiento de su categoría. No hay descarga, no hay conexión con Google ni con Meta, no hay solicitud de red. La instrucción que crea ese elemento simplemente no se ejecuta.
La consecuencia práctica es verificable: en la primera visita, sin decisión, no existe ni una sola petición a dominios de Google o de Meta, lo cual puede comprobarse con las herramientas del navegador conforme al apartado 14.
Orden de carga
El administrador de consentimiento se ejecuta antes que cualquier otra tecnología no esencial del sitio. Lee el registro de la decisión previa, si existe, y solo entonces determina qué incorporar. No hay ventana de tiempo, por breve que sea, en la que una tecnología no consentida alcance a ejecutarse.
7 · El registro de la decisión
Qué se guarda
La decisión se conserva en una cookie propia llamada paipai_consent, de categoría estrictamente necesaria. Contiene exclusivamente:
| Dato | Para qué |
|---|---|
| Decisión por categoría | Saber qué autorizó y qué no, para aplicarlo en cada visita |
| Fecha y hora de la decisión | Calcular su vigencia y dejar constancia del momento |
| Versión del mecanismo | Detectar si las categorías o las tecnologías cambiaron desde que decidió, para volver a preguntar |
No contiene nombre, correo, dirección IP, identificador de la persona ni ningún dato que permita identificarla. Es un registro de una preferencia, no de una persona.
Vigencia y renovación
La decisión vale 180 días. Al concluir ese plazo el banner vuelve a presentarse. Se solicita nuevamente antes de ese plazo en dos supuestos: cuando se incorpore una tecnología nueva a alguna categoría, y cuando cambien las finalidades de las existentes. En ambos casos se eleva la versión del mecanismo, lo que invalida los consentimientos anteriores.
8 · Acreditación del consentimiento
Además del registro en el navegador descrito en el apartado anterior, PAIPAI conserva del lado del servidor una copia seudónima de cada decisión. Este registro paralelo permite acreditar el consentimiento ante una autoridad o revisión externa, sin depender de que la persona conserve su propia cookie.
Qué se guarda del lado del servidor
- Identificador de la decisión — el mismo UUID que vive en la cookie del navegador. No se vincula con datos de la persona.
- Fecha y hora de la decisión.
- Categorías aceptadas o rechazadas.
- Versión del mecanismo de consentimiento vigente en el momento.
- Versión y URL del Aviso de Privacidad Integral vigente.
- Idioma del sitio en que la persona navegaba.
Qué no se guarda
- Dirección IP.
- Identificador del navegador (User-Agent).
- Ningún dato que permita identificar a la persona por sí solo.
Esta decisión es deliberada: al no incluir dirección IP ni identificador del navegador, el registro se mantiene seudónimo y no cae en la categoría de dato personal identificable por sí mismo.
Cómo se envía y qué pasa si falla
Cada decisión se envía al servidor en el mismo momento en que la persona la aplica. Si por alguna razón el envío falla —conexión intermitente, servidor no disponible, cualquier otra causa técnica—, la decisión sigue vigente en el navegador y el envío se reintenta silenciosamente en la próxima carga del sitio. Un fallo del registro nunca impide ni retrasa la voluntad de la persona.
Plazo de conservación
Los registros se conservan por 24 meses desde su generación. El plazo se alinea con la duración de las cookies de analítica y con el ciclo típico de revisión de campañas publicitarias. Al concluir ese plazo los registros se depuran.
Acceso al registro
El registro es accesible únicamente por el personal autorizado de PAIPAI, mediante políticas de seguridad aplicadas a nivel de base de datos. No es público, no se comparte con terceros, y no forma parte de la información que se transmite a Google Analytics 4 ni a Meta Pixel cuando la persona las autoriza.
9 · Dominios, subdominios y el marco embebido
Tres direcciones, y qué implica para el consentimiento
| Dirección | Qué es y cómo se comporta |
|---|---|
paipaipark.com | Sitio web institucional. Presenta el banner y aplica el consentimiento |
paipaiecotourismpark.com | Segunda dirección del mismo sitio institucional. Presenta el banner y aplica el consentimiento |
book.paipaipark.com | Booking Engine. Se muestra embebido dentro del sitio. No presenta banner porque no coloca cookies a los visitantes |
Consecuencia técnica que conviene conocer
Las cookies pertenecen al dominio que las coloca. En consecuencia, la decisión que una persona toma en paipaipark.com no se traslada automáticamente apaipaiecotourismpark.com: si visita ambas direcciones, el banner se le presentará en cada una. No es un defecto, es cómo funcionan los navegadores, y en términos de protección de datos opera a favor del titular, no en su contra.
El marco embebido
El Booking Engine se presenta dentro del sitio mediante un marco. Para la persona es una sola página; técnicamente son dos direcciones distintas. Esto tiene dos consecuencias:
- El aviso simplificado del Booking Engine se muestra dentro del marco, junto a los campos de captura y antes del botón de confirmación, de modo que también lo vea quien llegue directamente a
book.paipaipark.com. - El enlace al Aviso Integral se abre en una pestaña nueva, para que el documento no quede confinado dentro del marco y se lea completo.
Como el Booking Engine no coloca cookies a los visitantes, su presencia embebida no introduce cookies de terceros en el sitio que lo contiene.
10 · Declaración de cookies
Sitio web · paipaipark.com y paipaiecotourismpark.com
| Cookie | Proveedor | Finalidad | Categoría | Duración |
|---|---|---|---|---|
| paipai_consent | PAIPAI propia | Conservar la decisión de la persona sobre las categorías de cookies, para respetarla en visitas posteriores sin volver a preguntar | Estrictamente necesaria | 180 días |
| _ga | Google tercero | Distinguir visitantes de forma agregada para el análisis estadístico del sitio | Analítica | 2 años |
| _ga_<id> | Google tercero | Mantener el estado de la sesión de analítica | Analítica | 2 años |
| _gid | Google tercero | Distinguir visitantes durante el día en curso | Analítica | 24 horas |
| _fbp | Meta tercero | Identificar el navegador para la medición de campañas publicitarias | Marketing | 90 días |
| _fbc | Meta tercero | Conservar el identificador del clic en un anuncio para atribuir la visita a la campaña correspondiente | Marketing | 90 días |
Las cookies de analítica y de marketing únicamente se crean si la persona autorizó expresamente su categoría. Si rechaza o no decide, no llegan a existir.
Booking Engine · book.paipaipark.com
| Cookie | Proveedor | Finalidad | Categoría | Duración |
|---|---|---|---|---|
| sb-<ref>-auth-token | Supabase encargado | Mantener iniciada la sesión del personal del centro en el panel administrativo interno. No se coloca a los visitantes | Estrictamente necesaria | Sesión, renovable |
Ninguna otra.
11 · Transferencias y terceros
Cuando la persona autoriza la categoría correspondiente, la información asociada a esas tecnologías es tratada por sus respectivos proveedores, que operan infraestructura fuera del territorio nacional, principalmente en Estados Unidos:
| Proveedor | Categoría | Qué recibe |
|---|---|---|
| Analítica | Dirección IP, identificador del navegador, páginas consultadas, fecha y hora, y datos de interacción con el sitio | |
| Meta | Marketing | Identificador del navegador, páginas consultadas y eventos asociados a campañas publicitarias |
Ambos tratan dicha información conforme a sus propias políticas de privacidad y condiciones de tratamiento de datos, disponibles en sus sitios oficiales. Si la persona no autoriza la categoría, ninguna información se transmite a estos proveedores.
12 · Lo que no se recaba mediante cookies
- Nombre, correo electrónico, teléfono o cualquier dato de contacto. Esa información se obtiene únicamente cuando la persona la escribe en el formulario de reservación, y no mediante cookies.
- Datos de tarjetas bancarias. Nunca se recaban por ningún medio dentro del sitio.
- Ubicación geográfica precisa del dispositivo.
- Contenido de comunicaciones, mensajes o archivos.
- Información de otras páginas ajenas al sitio de PAIPAI.
13 · Accesibilidad del mecanismo
El banner y el panel de preferencias son operables íntegramente con el teclado, sin necesidad de ratón, y están anunciados de forma que los lectores de pantalla identifiquen su propósito y el estado de cada categoría. El panel se cierra con la tecla escape. Los textos cumplen relaciones de contraste suficientes para su lectura.
Esto importa jurídicamente por una razón concreta: un consentimiento que una persona no puede otorgar o retirar por una barrera de accesibilidad no es un consentimiento libre.
14 · Cómo comprobar que funciona
El mecanismo puede validarse desde cualquier navegador, sin conocimientos técnicos, antes de la publicación del Aviso.
Con el sitio abierto, presionar F12 para abrir las herramientas del navegador y situarse en la pestaña Red (Network), escribiendo google y después facebook en el campo de filtro. Cada petición hacia esos dominios aparecería como un renglón en la lista. Para revisar las cookies creadas, la pestaña Aplicación (Application), sección Cookies.
| # | Escenario | Resultado esperado |
|---|---|---|
| 1 | Entrar por primera vez y no tocar el banner | Ningún renglón de google ni de facebook. Ninguna cookie de analítica ni de marketing |
| 2 | Elegir «Rechazar las no necesarias» | Ningún renglón. Aparece únicamente la cookie del registro de la negativa. El banner no vuelve a mostrarse |
| 3 | Configurar y activar solo «Analítica» | Aparece google. No aparece facebook. Se crean las cookies de Google |
| 4 | Configurar y activar solo «Marketing» | Aparece facebook. No aparece google. Se crean las cookies de Meta |
| 5 | Aceptar todas y luego retirar desde el pie de página | La página se recarga y las cookies de la categoría retirada desaparecen de la pestaña Aplicación |
| 6 | Cerrar el navegador y volver a entrar | El banner no reaparece y se respeta la decisión anterior |
15 · Estado a la fecha y actualización
Condición de publicación
El sitio web se publica con Google Analytics 4 y Meta Pixel desactivados. Ninguna de las dos se carga ni ejecuta, con independencia de lo que la persona elija en el banner.
Ambas se habilitarán únicamente después de que el mecanismo haya sido implementado, probado conforme a los seis escenarios anteriores y validado. A partir de ese momento operarán condicionadas a la preferencia de cada persona.
Actualización de este documento
Se actualiza cuando se incorpore, sustituya o retire alguna tecnología. El alta de cualquier herramienta nueva implica tres acciones, en este orden: incorporarla al mecanismo bajo la categoría que corresponda, elevar la versión para que se vuelva a solicitar el consentimiento, y comunicarlo para que el Aviso de Privacidad se actualice antes de que la tecnología comience a operar.