Abrir espacio

Guía · Estándar del sector

GPP explicada: una sola señal para varias leyes de privacidad

La GPP reúne en un único código las elecciones de privacidad que pide cada ley, de los estados de EE. UU. a Canadá y Europa. Aquí entenderás cómo funciona, qué lee Google y cuándo tu sitio la necesita.

Auditar la GPP de mi sitioLeer la guía
  • ✓Basado en la especificación de IAB Tech Lab
  • ✓Incluye lo que Ad Manager acepta e ignora
  • ✓Lectura sin modificar el sitio
2022año en que se publicó la versión 1.0 de la cadena GPP
20secciones estatales de EE. UU. en la lista oficial de la GPP
6secciones de EE. UU. que Ad Manager lee dentro de la GPP
7número de la sección nacional de EE. UU., usnat

Qué es

Una caja única para las señales de privacidad

La GPP es un protocolo de IAB Tech Lab, la entidad técnica de la industria de los anuncios. Nació como Global Privacy Platform y hoy aparece en el sitio oficial como Global Privacy Protocol. La sigla sigue siendo la misma.

La idea es simple. Cada ley de privacidad pide información diferente. California habla de venta y uso compartido de datos. Otros estados hablan de publicidad dirigida. Europa habla de consentimiento por finalidad. La GPP guarda todo eso en un solo código, la cadena GPP, dividido en secciones.

El banner de privacidad del sitio, la CMP, arma esa cadena según la región y la elección del visitante. Después, el código de anuncios envía la cadena a las plataformas, que leen solo la sección que vale para ese visitante.

Igual que el TCF, la GPP no es una ley. Es una herramienta técnica para llevar la elección del visitante hasta los socios de anuncios de forma estandarizada.

Lista de verificación

Lo que debes cumplir

El GPP no es una ley, así que estos puntos vienen de las leyes estatales de EE. UU. y de lo que Google pide para leer la señal.

  1. Muestra el enlace de rechazo a los visitantes de EE. UU.

    En California, la empresa que vende datos personales necesita un enlace claro y visible llamado Do Not Sell or Share My Personal Information. El mensaje de regulaciones estatales de Google crea ese enlace.

    Ejemplo

    Pie de página para visitantes de EE. UU. con el enlace Do Not Sell or Share My Personal Information.

  2. Trata el GPC como rechazo

    En California, la señal Global Privacy Control enviada por el navegador debe respetarse como una solicitud válida para detener la venta o el uso compartido de datos.

    Ejemplo

    Cuando el navegador envía el GPC, la CMP registra el rechazo en la GPP string sin pedir un clic.

  3. Haz que el rechazo cambie la GPP string

    Google activa el procesamiento restringido de datos cuando la cadena muestra un rechazo de venta, uso compartido o publicidad dirigida. Si el clic no cambia la cadena, el rechazo no llega a Google.

  4. Usa las secciones que Google lee

    En el GPP, Google acepta la sección nacional de EE. UU. y las secciones de California, Colorado, Connecticut, Florida y Virginia. No acepta la sección de Utah, el TCF canadiense ni la versión 1.0 del GPP.

  5. Mantén el TCF propio para Europa

    Para los visitantes del EEE, el Reino Unido y Suiza, Google sigue usando el TCF de IAB Europe con una CMP certificada. La TC string europea dentro del GPP no se acepta.

  6. Envía gpp y gpp_sid en cada solicitud

    Google recibe la cadena en el parámetro gpp y el número de las secciones en el parámetro gpp_sid. Comprueba que los socios de header bidding también reciban los dos.

    Ejemplo

    En la solicitud de anuncio de un visitante con la sección nacional, el parámetro gpp_sid trae el número 7.

  7. Sin GPP, marca el rechazo en la etiqueta

    Google no exige GPP ni CMP para los estados de EE. UU. Quien tiene un enlace de rechazo propio puede activar el procesamiento restringido directamente en la etiqueta de Ad Manager para quien rechazó.

    googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true
});

  8. Cambia el US Privacy String por el GPP

    IAB dejó de recomendar el US Privacy String en enero de 2024. Google todavía lee esa señal, pero recomienda migrar al GPP.

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni el GPP para los estados de EE. UU., así que usa estas páginas oficiales para generar la señal y mostrar el rechazo.

Definiciones

Los términos que verás en el panel y en los informes

Seis conceptos explican casi todo lo que pasa con la GPP en un sitio.

Cadena GPP

El código completo, con un encabezado y una o más secciones. Es lo que viaja junto con las solicitudes de anuncio.

Encabezado

La primera parte de la cadena. Dice qué secciones vienen dentro, para que cada socio encuentre la que necesita.

Sección

El bloque de una jurisdicción, como la sección nacional de EE. UU. o la de un estado. Cada una tiene un número y un nombre corto.

gpp_sid

La lista de los números de las secciones que valen para esa solicitud. Va junto con la cadena para que el socio sepa cuál leer.

API __gpp

El comando estándar de la CMP en la página. Los scripts de anuncios preguntan por él si la cadena está lista y cuál es su contenido.

MSPA

Contrato multiestatal de IAB para las transacciones de anuncios en EE. UU. La sección nacional tiene campos que indican si la transacción está cubierta por él.

Las secciones

Qué cabe dentro de una cadena GPP

La lista oficial de secciones está en el repositorio de IAB Tech Lab y crece a medida que entran en vigor nuevas leyes.

TCF de Europa (tcfeuv2)

Lleva la TC string europea dentro de la GPP. Útil para los socios que leen todo mediante la GPP, pero Google no acepta ese camino para los visitantes europeos.

TCF de Canadá (tcfcav1)

Versión canadiense del TCF, creada por IAB Canada para las reglas de consentimiento del país.

US Privacy (uspv1)

La antigua señal de California, también llamada cadena de cuatro letras. Sigue en la lista, pero IAB la descontinuó.

Nacional de EE. UU. (usnat)

Una sección que cubre las leyes estatales de forma unificada. Muchas CMP usan solo esta para todos los estados.

Secciones estatales

Bloques propios de estados como California, Virginia, Colorado, Connecticut, Texas, Oregón y otros. La lista oficial tiene 20.

Subsección GPC

La sección nacional puede llevar junto el aviso de que el navegador envió el Global Privacy Control, la señal de rechazo automático.

A quién se aplica

Cuándo tu sitio necesita la GPP, y dónde no ayuda

La GPP importa más para los sitios con visitantes de Estados Unidos que muestran anuncios programáticos. Por ella las plataformas se enteran de si el visitante pidió que no se vendan, compartan o usen sus datos en publicidad dirigida.

Si tu público es casi todo brasileño, la GPP tiene poco efecto. La LGPD no usa ese estándar y Google no pide la GPP para visitantes de Brasil. Aun así, conviene configurar la CMP por región para que el público de EE. UU. reciba la señal correcta.

Para Europa, la GPP no sustituye al TCF en Google. Ad Manager no acepta la TC string europea enviada dentro de la GPP para visitantes del EEE, el Reino Unido y Suiza. En esas regiones, la CMP certificada con TCF sigue siendo obligatoria para los anuncios personalizados.

Quienes fiscalizan las leyes detrás de la GPP son las autoridades de cada país o estado, como los fiscales generales de los estados de EE. UU. La GPP en sí no aplica multas. Es la prueba técnica de que la elección del visitante se llevó adelante.

Derechos del visitante

Lo que registra la sección nacional de EE. UU.

La sección usnat guarda dos tipos de información. El primero es si el sitio avisó al visitante: aviso de uso compartido, aviso de venta, aviso de publicidad dirigida y avisos sobre datos sensibles.

El segundo es lo que decidió el visitante. Hay campos para el rechazo de la venta de datos, el rechazo del uso compartido, el rechazo de la publicidad dirigida, el uso de datos sensibles y el consentimiento para datos de niños.

Esos campos reflejan los derechos que las leyes estatales dan a las personas. Cuando un visitante hace clic en No vender ni compartir mi información, la CMP cambia el campo correspondiente y todos los socios reciben el rechazo en la siguiente solicitud de anuncio.

La sección también indica si la transacción está cubierta por el contrato MSPA y puede traer el valor del Global Privacy Control enviado por el navegador.

Cómo implementarlo

Cinco pasos para que la GPP funcione en el sitio

  1. Elige una CMP con soporte para GPPLa mayoría de las CMP comerciales y el Mensaje de privacidad de Google ofrecen opciones para los estados de EE. UU. Comprueba qué secciones genera tu CMP.
  2. Define las regionesMuestra el mensaje y genera la sección de EE. UU. para los visitantes de allí. Para Europa, mantén el TCF propio. Para el resto del mundo, sigue la ley local.
  3. Coloca el enlace de rechazoLeyes como la de California piden un enlace visible para que el visitante rechace la venta o el uso compartido. Debe actualizar la cadena GPP al instante.
  4. Transmite la cadena a los sociosLa etiqueta de Google lee la cadena mediante la API de la CMP. En header bidding y redes adicionales, comprueba que la cadena y el gpp_sid sigan en cada solicitud.
  5. Prueba con y sin rechazoAbre el sitio como visitante de EE. UU., rechaza la venta y mira si la cadena cambia y si las solicitudes de anuncio pasan a llevar el rechazo.
Prueba rápida en la consola del navegador con la API estándar de la GPP
// Pergunta à CMP se a GPP string está pronta
__gpp('ping', function (data, ok) {
  if (!ok) return;
  console.log('status:', data.signalStatus);         // 'ready' ou 'not ready'
  console.log('seções:', data.applicableSections);   // ex.: [7]
  console.log('string:', data.gppString);
});

AdSense y Ad Manager

Cómo lee Google la GPP

Ad Manager recibe la cadena en dos parámetros de la solicitud de anuncio: gpp, con la cadena, y gpp_sid, con los números de las secciones. La etiqueta de Google se ocupa de eso cuando la CMP expone la API estándar.

Dentro de la GPP, Ad Manager acepta la sección nacional de EE. UU. y las secciones de California, Colorado, Connecticut, Florida y Virginia. No usa la GPP para el TCF europeo, el TCF canadiense ni la sección de Utah.

Cuando la cadena muestra un rechazo, Google activa el procesamiento restringido de datos. En la sección nacional, esto ocurre con el rechazo de la venta, del uso compartido o de la publicidad dirigida. El anuncio se sigue mostrando, pero sin personalización basada en los datos de ese visitante.

Google no exige que el editor firme el MSPA. Ad Manager participa en el programa de socios certificados del MSPA. Desde septiembre de 2025, Google acepta la segunda versión de la sección nacional y sigue aceptando la primera.

Cronología

Cómo llegó la GPP hasta aquí

El estándar se actualiza cada vez que entran en vigor nuevas leyes estatales.

  1. 28 de septiembre de 2022

    Versión 1.0 publicada

    IAB Tech Lab publica la especificación final de la cadena GPP y la primera versión de la API de las CMP.

  2. Diciembre de 2022

    Nace la sección nacional de EE. UU.

    La sección usnat se lanza para reunir las leyes estatales en un único bloque.

  3. Junio de 2023

    API de las CMP en la versión 1.1

    La API pasa a responder mediante funciones de retorno, y se retiran algunos comandos antiguos.

  4. Enero de 2024

    US Privacy String descontinuada

    IAB descontinúa la antigua señal de California. Google sigue leyendo esa señal, pero el camino recomendado pasa a ser la GPP.

  5. Septiembre de 2025

    Google acepta la sección nacional v2

    Ad Manager pasa a leer la segunda versión de la sección nacional, sin dejar de aceptar la primera.

  6. Finales de 2025

    Nuevos estados

    Se finalizan las secciones de Maryland, Indiana, Kentucky y Rhode Island después de la consulta pública.

  7. Agosto de 2026

    Actualización al nuevo MSPA

    La especificación se actualiza a la versión más reciente del contrato multiestatal.

Errores comunes

Lo que más rompe la GPP en los sitios

Casi todos pasan desapercibidos, porque el banner sigue apareciendo con normalidad.

Enlace de rechazo que no cambia nada

El visitante hace clic en no vender, pero la cadena GPP sigue igual. Para los socios, el rechazo nunca ocurrió.

TCF europeo solo dentro de la GPP

La CMP envía la TC string únicamente por la GPP. Google no acepta ese camino para el EEE, el Reino Unido y Suiza, y los anuncios quedan limitados.

gpp_sid equivocado o vacío

La cadena llega, pero la lista de secciones no coincide con el contenido. El socio no sabe qué bloque leer.

Anuncios antes de la cadena

El código de anuncios se activa antes de que la CMP esté lista. Las primeras solicitudes salen sin ninguna señal de privacidad.

Header bidding sin GPP

La etiqueta de Google recibe la cadena, pero los socios de header bidding no. Parte de la subasta ignora el rechazo del visitante.

GPC ignorado

El navegador envía el Global Privacy Control, pero la CMP no registra el rechazo. En varios estados, esto se trata como un rechazo válido.

En la práctica

Qué se puede y qué no se puede con la GPP

Ejemplos prácticos para quienes tienen tráfico de Estados Unidos y de otros países.

Sí se puede

  • Usar solo la sección nacional de EE. UU., si la CMP y los socios la aceptan
  • Generar la cadena solo para visitantes de EE. UU. y mantener el TCF para Europa
  • Mostrar un enlace fijo de No vender ni compartir en el pie de página
  • Registrar el GPC del navegador como rechazo en la cadena
  • Comprobar en la consola si la cadena cambia después del rechazo

No se puede

  • Usar la GPP en lugar de la CMP certificada con TCF para Europa
  • Dejar que el enlace de rechazo abra solo un formulario de correo electrónico
  • Enviar secciones de estados que no corresponden al visitante
  • Cargar los anuncios antes de que la CMP responda
  • Mantener solo la antigua US Privacy String sin planificar el cambio

En ConsentMode

Qué revisa la auditoría sobre la GPP

  • Abre el sitio como visitante de EE. UU. y de otras regiones y ve si la CMP genera la cadena GPP.
  • Identifica la CMP y las secciones presentes en la cadena, como la nacional o las estatales.
  • Comprueba si la cadena y el gpp_sid acompañan las solicitudes de anuncio de la página.
  • Verifica si existe un enlace de rechazo y si la cadena cambia después del clic.
  • Señala si Europa depende solo de la GPP, sin el TCF que exige Google.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

¿La GPP y el TCF son competidores?

No. El TCF es el estándar europeo de consentimiento. La GPP es un sobre que puede llevar el TCF y las señales de otras leyes. En Google, Europa sigue usando el TCF directamente, y la GPP sirve principalmente para EE. UU.

Mi sitio es brasileño. ¿Necesito la GPP?

Solo si tienes visitantes de Estados Unidos y quieres que su rechazo llegue a los socios de anuncios. Para el público brasileño, Google no exige la GPP.

¿La GPP sustituye a la US Privacy String?

Es el camino indicado por IAB, que descontinuó la cadena antigua en enero de 2024. Google todavía lee la cadena antigua, así que el cambio puede planificarse con calma.

¿Necesito firmar el MSPA para usar la GPP?

Google no exige que el editor firme. Si otros socios lo piden, evalúalo con tu asesor jurídico. El MSPA es un contrato, no una configuración técnica.

¿El procesamiento restringido de datos quita los anuncios?

No. Google sigue mostrando anuncios, pero sin usar los datos de ese visitante para la personalización. Los ingresos por visita suelen ser menores.

¿Cómo veo la cadena GPP de mi sitio?

Abre la consola del navegador y usa el comando ping de la API __gpp, como en el ejemplo de esta guía. O ejecuta una auditoría de ConsentMode, que muestra la cadena y las secciones.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Descubre si el rechazo de tus visitantes llega a los anuncios

La auditoría lee la cadena GPP como un visitante de EE. UU. y muestra qué corregir, sin cambiar nada.

Comenzar la auditoría