Un acortador de URL compatible con el RGPD hace cuatro cosas: firma un contrato de encargado del tratamiento que cubre el artículo 28(3), almacena tan pocos datos de clic como requiera la finalidad, puede borrar esos datos a petición y no dispara píxeles de terceros durante la redirección. Todo lo demás en una página de precios ("compatible con el RGPD", una insignia) es marketing hasta que puedas ver esas cuatro cosas por escrito.
Un clic crea una fila de registro: dirección IP, marca de tiempo, user-agent y normalmente un referente. Según el artículo 4(1) eso puede ser un dato personal, y el TJUE lo afirmó para las IP dinámicas en Breyer (C-582/14). Tu acortador conserva ese registro, así que es un encargado y tú eres el responsable. Este artículo es la versión corta de la revisión del contrato: diez controles, qué publican tres proveedores conocidos y en qué se queda corto el propio Elido. Para el razonamiento jurídico artículo por artículo, lee la guía de referencia sobre el RGPD para acortadores de URL. Para saber dónde almacenan datos tus otras herramientas de marketing, consulta residencia de datos en la UE para herramientas de marketing; no lo repetiré aquí.
Qué pide el RGPD a un acortador de enlaces
Cuatro obligaciones recaen en el lado del acortador, y cada una corresponde a algo que puedes pedir.
Un contrato que cumpla el artículo 28(3). El artículo 28(3) exige instrucciones documentadas, confidencialidad, seguridad, control de subencargados, ayuda con las solicitudes de los interesados, ayuda con las obligaciones de brechas y EIPD, supresión o devolución al terminar y derechos de auditoría. Sin ese contrato, no hay despliegue en la UE.
Una base jurídica para la capa de analítica. La redirección es necesaria para entregar el enlace. Registrar el clic para elaborar informes es una operación distinta. La mayoría de los equipos se apoya en el interés legítimo (artículo 6(1)(f)) para los recuentos simples. En cuanto la redirección carga un píxel publicitario, entras en territorio de consentimiento.
Minimización. El artículo 5(1)(c) te limita a lo necesario. País, clase de dispositivo, referente y marca de tiempo responden a la mayoría de las preguntas de campaña. La IP completa y una cadena de user-agent sin procesar normalmente no se ganan su sitio.
Una vía de transferencia lícita. Si los datos de clic salen del EEE, se aplican los artículos 44 y 46: SCC con evaluación de la transferencia, o una certificación del Data Privacy Framework, que sigue siendo cuestionado.
Qué publican Bitly, Rebrandly y TinyURL
Leí las páginas legales de cada proveedor el 2026-10-24 (consultado el 2026-10-24). Donde una página no cargó o no lo decía, no hago ninguna afirmación.
| Proveedor | Ubicación de los datos | Mecanismo de transferencia | DPA |
|---|---|---|---|
| Bitly | La política de privacidad dice que los datos "may be transferred outside the European Union and the European Economic Area, including, but not limited to, the United States" | SCC y una certificación declarada del DPF UE-EE. UU. | La política de privacidad no menciona un DPA; nombra un acuerdo de corresponsables entre Bitly Inc. y Bitly Europe GmbH |
| Rebrandly | Anexo 1 del DPA: servidores de AWS "located mainly in the United States"; sección 6.3.1: instalaciones principales de tratamiento en EE. UU.; no se nombra ninguna región de la UE | SCC (Módulo Dos, responsable a encargado); no se menciona el DPF | Sí, el DPA forma parte del Subscription Agreement (los Terms of Use) |
| TinyURL | Las páginas de políticas no cargaron (solo devolvieron el título de la página) | No indicado | No indicado |
Fuentes: política de privacidad de Bitly, DPA de Rebrandly, términos de TinyURL y política de privacidad.
Lee esa tabla por lo que es. Bitly y Rebrandly se apoyan ambos en herramientas de transferencia reconocidas y lo dicen abiertamente; ninguno publica un compromiso de tratamiento exclusivo en la UE en las páginas que revisé, aunque un contrato enterprise a medida podría ofrecerlo. De TinyURL no puedo decirte nada, porque las páginas que consulté no devolvieron texto de política. Si te importa, pide a TinyURL directamente el DPA y la lista de subencargados y espera la respuesta antes de comprar. Los precios son una cuestión aparte y no he verificado los precios de los planes de ningún proveedor para este artículo.
Diez controles antes de firmar
Plantea cada uno de estos al proveedor por escrito. Cada uno pone a prueba un artículo concreto.
1. ¿Dónde se almacenan los datos de clic y es un término del contrato?
Pide la región, no la marca de la nube. "AWS" no es una respuesta. Luego pregunta si la región figura en el contrato o solo en la práctica actual, que el proveedor puede cambiar.
2. ¿Cubre el DPA todo el artículo 28(3)?
Léelo frente a los ocho puntos. Fíjate bien en la contratación de subencargados y en los derechos de auditoría; si en su lugar hay un lenguaje vago de "seguridad estándar del sector", es una señal de alerta.
3. ¿Los subencargados están nombrados, con regiones y plazo de preaviso?
Cada subencargado alarga la cadena de transferencia. Una lista corta y actual con regiones se puede revisar de una sentada. Pregunta cuánto preaviso recibes ante uno nuevo y si puedes oponerte.
4. ¿Qué se almacena exactamente por clic?
Pide la lista de campos. ¿La IP se guarda completa, truncada o hasheada? ¿Se conserva la geolocalización a nivel de ciudad? La minimización por defecto es el diseño correcto; la minimización opcional deja el riesgo en tus manos.
5. ¿Carga la redirección algún script de terceros?
La inyección de píxeles en el momento de la redirección para visitas de la UE necesita consentimiento previo. Abre la pestaña Network, haz clic en un enlace de prueba en un perfil de navegador limpio y mira qué carga antes del destino.
6. ¿Cómo funciona la supresión sobre los datos de clic?
El artículo 17 dice "sin dilación indebida". Las filas de clic rara vez llevan un nombre, así que pregunta cómo encuentra y borra el proveedor las filas de una persona y cuál es el plazo de respuesta.
7. ¿Cuál es el plazo de notificación de brechas?
Tienes 72 horas para avisar a tu autoridad tras tener conocimiento. Tu encargado necesita un compromiso numérico más corto en el DPA. "Con prontitud" no es un número.
8. ¿Fija la redirección cookies o identificadores persistentes?
Una redirección que deriva país y dispositivo de las cabeceras de la petición y no fija nada en el navegador es fácil de defender. Una que fija un identificador necesita una barrera de consentimiento. Comprueba tú mismo las cabeceras de respuesta.
9. ¿Pueden los destinatarios enterarse del seguimiento?
La transparencia del artículo 13 es sobre todo tu trabajo como responsable: tu aviso de privacidad debe cubrir la cadena de seguimiento de enlaces. Una política del proveedor redactada desde su punto de vista no lo hará por ti.
10. ¿Puedes exportar y borrar sin un ticket?
Exportar eventos de clic, borrar enlaces con su historial y cerrar la cuenta con una supresión documentada. Si cualquiera de esas cosas requiere una solicitud de soporte, consigue el plazo de respuesta en el contrato.
Las contrapartidas
Minimizar los datos te cuesta algo de analítica. Sin la IP completa ni el user-agent sin procesar pierdes precisión a nivel de ciudad e identidad entre sesiones. Para la atribución de campañas, país, dispositivo y referente bastan. Para el retargeting a nivel de persona, usa el reenvío de conversiones server-side basado en un identificador que el usuario ya te dio, como un ID de inicio de sesión, en lugar de rastrear en la redirección.
También renuncias a algunas funciones. La inyección de píxeles y el seguimiento entre dominios dependen de una recogida de datos que encaja mal con la minimización. Una configuración compatible con el RGPD mantiene la redirección simple y traslada la medición al evento de conversión, donde tienes una relación directa con el usuario. La contratación sigue costando esfuerzo: cuenta con leer el DPA, la lista de subencargados y el proceso de supresión elijas el proveedor que elijas. Consulta también la atribución de clics tras Safari ITP y Schrems II y los píxeles de seguimiento.
Dónde está Elido hoy
Lo comprobé contra el código el 2026-11-12, y parte de ello no es halagüeño.
- Datos de clic. El edge trunca la IP de la visita (IPv4 a /24, IPv6 a /48) antes de guardar el clic. El país, la región, la ciudad y las coordenadas aproximadas se derivan primero y se conservan, y se guarda el user agent completo. Ningún ajuste conserva la IP completa, y un modo sin datos personales existe solo por API.
- Píxeles. Una redirección simple no carga ningún script de terceros. Un enlace puede activar una página intermedia que dispara píxeles de Meta, Google, LinkedIn o TikTok antes de redirigir; si lo usas para visitas de la UE, necesitas una base de consentimiento. El reenvío de clics a GA4, Mixpanel, Klaviyo, Brevo o Datadog envía eventos de clic a esos proveedores, así que inclúyelos en tus registros.
- Supresión. El flujo de administración de derechos de los interesados puede exportar y suprimir una cuenta (el registro de usuario se anonimiza; los registros de facturación se conservan conforme al artículo 17(3)(b)). La misma solicitud puede borrar los datos de clic de los espacios de trabajo que la persona posee en solitario y, para un visitante de un enlace, todos los clics de su red truncada, acotados a un navegador cuando facilita el user agent. Las filas de clic también caducan según una ventana por plan: 90 días en Free, un año en Pro, dos años en Business.
- Contrato y subencargados. Un DPA con SCC de la UE está disponible bajo petición en todos los planes, incluido Free; no se acepta al pagar y no hay una descarga publicada. La lista de subencargados (13 proveedores) y la política de privacidad están publicadas. Los datos se almacenan en la UE, pero los nodos de redirección fuera de la UE siguen procesando peticiones de visitantes y todavía no hay elección de región por espacio de trabajo. Léelos tú mismo frente a los controles 1 a 3, y consulta la página de confianza para las atestaciones.
Si te vas de otro proveedor, la guía de migración desde Bitly cubre la importación de enlaces y el traspaso del DNS. Tras el cambio, envía al proveedor anterior una solicitud de supresión de tu espacio de trabajo, actualiza tu aviso de privacidad con el nuevo encargado y revisa cualquier banner de consentimiento que hiciera referencia al seguimiento de la herramienta antigua. Para los planes, consulta precios.
Qué verificar antes de creer una afirmación de "cumple el RGPD"
La etiqueta no está regulada y no tiene peso jurídico. Los documentos que sí lo tienen: un DPA alineado con el artículo 28(3), una lista de subencargados con regiones, una descripción a nivel de campo de lo que almacena un clic, un proceso de supresión que puedas probar y un plazo numérico para las brechas. Si un proveedor no puede enviarte esto en un día hábil, trata la insignia como texto publicitario.
Relacionado en el blog
Preguntas frecuentes
¿Es un acortador de URL un encargado del tratamiento según el RGPD?
Sí, en la configuración habitual. Tú decides por qué y cómo se miden los clics, así que eres el responsable, y el acortador trata los datos de clic siguiendo tus instrucciones. Eso requiere un contrato escrito conforme al artículo 28(3).
¿Es una dirección IP en un registro de clics un dato personal?
Sí. El TJUE declaró en Breyer (C-582/14) que una dirección IP dinámica es un dato personal cuando quien la conserva dispone de medios legales para identificar a la persona que hay detrás. Un acortador que registra la IP completa junto a una marca de tiempo está en esa situación.
¿Necesito consentimiento para rastrear clics en enlaces cortos?
No siempre. El recuento de clics server-side con campos mínimos suele basarse en el interés legítimo del artículo 6(1)(f), pero cargar píxeles publicitarios o fijar identificadores para visitas de la UE suele requerir consentimiento, y se aplican las normas de ePrivacy sobre el acceso al dispositivo.
¿Un acortador alojado en EE. UU. incumple el RGPD?
No automáticamente. Las transferencias a EE. UU. son lícitas con un mecanismo válido, como las Cláusulas Contractuales Tipo más una evaluación de la transferencia, o una certificación del Data Privacy Framework. Añaden papeleo y riesgo jurídico que una herramienta alojada en la UE no tiene.
¿Qué debería contener el DPA de un acortador?
Todo lo que enumera el artículo 28(3): instrucciones documentadas, confidencialidad, seguridad, reglas sobre subencargados, ayuda con las solicitudes de los interesados, ayuda con las EIPD y las brechas, supresión o devolución al terminar y derechos de auditoría.
¿Cómo suprimo los datos de clic de una persona en un acortador?
Pregunta al proveedor cómo se identifican y eliminan las filas de clic. Los registros de clics rara vez contienen un nombre, así que la supresión suele implicar borrar por IP, enlace o intervalo de tiempo. Si el proveedor solo puede tramitarlo mediante un ticket de soporte, consigue el plazo de respuesta por escrito.
Prueba Elido
Pega una URL, obtén un enlace corto
Sin registro. El enlace vive 30 días. Crea una cuenta para conservarlo.
Sin registro. Crea una cuenta gratis y obtén 50 enlaces al mes.