Cuando activa la opción «Conversiones mejoradas» en Google Ads, el correo electrónico, el teléfono y la dirección de la persona que rellena el formulario o realiza una compra se envían a Google tras aplicarles un hash. La mayoría de las explicaciones terminan aquí y concluyen con la frase «como se aplica un hash, no hay problema». En este artículo analizamos qué parte de esa frase es correcta y cuál es incompleta. Como fuentes utilizamos las páginas de ayuda de Google, el reglamento de la Autoridad de la KVKK y las directrices del EDPB.
Respuesta corta
El hash es una forma de transportar los datos de manera segura, pero no hay una base sólida para considerarlo anonimización. Como el hash de una dirección de correo puede ser reproducido y cotejado por cualquiera que conozca la dirección, lo más probable es que siga siendo un dato personal. Por eso, al activar las conversiones mejoradas, debe asegurarse de que su infraestructura de consentimiento (banner, Consent Mode) y su aviso de privacidad cubran este flujo.
¿Qué hacen exactamente las conversiones mejoradas?
Según la página de ayuda de Google, la función complementa su medición de conversiones actual enviando a Google datos de conversión propios (first-party) a los que se ha aplicado un hash. Entre los datos que se pueden utilizar figuran el correo electrónico, el nombre, la dirección postal y el número de teléfono del cliente. La coincidencia se realiza comparando los datos con hash con las cuentas de Google con sesión iniciada.
El objetivo es sencillo: cuando una cookie o un identificador de clic no bastan por sí solos, poder vincular la conversión con el clic en el anuncio mediante los datos reales del cliente en la página del pedido. Hay dos tipos. Las conversiones mejoradas para la web complementan la etiqueta de conversión del sitio, mientras que la versión para clientes potenciales mejora la importación de conversiones sin conexión.
¿Cómo funciona el hash?
Antes de enviar los datos, Google exige eliminar los espacios iniciales y finales, convertir el texto a minúsculas, dar al teléfono el formato E.164 y quitar los puntos anteriores al dominio en las direcciones de gmail.com y googlemail.com. A continuación se aplica SHA256 en formato hexadecimal. Google lo describe como un algoritmo unidireccional.
El detalle es este: no tiene por qué aplicar usted mismo el hash. Si los datos se recopilan con la etiqueta de Google o con el método de recopilación automática de GTM, el hash se aplica en el lado de Google. Si prepara en GTM un objeto user_data con código personalizado, puede aplicar el hash a los datos de antemano o dejar que lo haga Google. Elija el camino que elija, las reglas son las mismas.
«Unidireccional» no significa «anónimo»
Que sea unidireccional significa que no se puede recuperar el correo electrónico a partir del hash mediante cálculo. Pero el problema no es revertir, sino cotejar. La misma dirección de correo produce siempre el mismo hash. Quien ya conoce el correo puede aplicar el hash del mismo modo a las direcciones de su propia lista y encontrar a la persona por comparación. La lógica de las conversiones mejoradas es precisamente esta: Google coteja el hash con las personas de sus propias cuentas.
El criterio de la KVKK es determinante en este punto. Según el artículo 10 del Reglamento sobre la Supresión, Destrucción o Anonimización de Datos Personales, anonimizar significa hacer que los datos no puedan vincularse a una persona física identificada o identificable, incluso si se cotejan con otros datos. El mismo artículo exige que este resultado se logre aunque el responsable del tratamiento o el destinatario utilicen todas las técnicas de reversión y de cotejo. Es difícil sostener que un flujo basado en el cotejo cumpla este criterio.
En Europa existe una línea similar. En las directrices sobre seudonimización que el EDPB adoptó en su pleno de enero de 2025, se indica que los datos seudonimizados que pueden vincularse a una persona mediante información adicional siguen siendo datos personales. El texto se publicó para consulta pública y el plazo de consulta terminó el 28 de febrero de 2025. Le recomendamos comprobar la versión final. Una nota más: estas directrices son para el RGPD y no vinculan a la KVKK. Lo que hacemos aquí es mostrar que ambas normativas apuntan en la misma dirección. No hemos encontrado ninguna decisión del Consejo de la KVKK específica sobre las conversiones mejoradas, por lo que no decimos «la Autoridad ha dicho esto». Este artículo no es asesoramiento jurídico, sino nuestra propia lectura.
¿Cómo se vincula el consentimiento en el lado de Google?
Según la declaración de privacidad de Google, no se recopilan datos de usuario si no se han aceptado las condiciones del servicio y los parámetros de consentimiento necesarios no están configurados como «concedido». Si se aplica el modo de consentimiento, la misma página indica que la cookie publicitaria depende del estado de consentimiento ad_storage. Todos los datos que no pueden vincularse a una conversión se eliminan. Para activar la función se exige aceptar las Condiciones de Tratamiento de Datos de Google Ads y cumplir las políticas de datos de clientes.
Esto significa que Consent Mode ya debe estar configurado correctamente. Activar las conversiones mejoradas en un sitio con valores predeterminados incorrectos o con un banner que no está conectado a las etiquetas aumenta el riesgo. Tratamos el tema en detalle en nuestro artículo sobre Consent Mode v2. La página de Google no ofrece detalles sobre la interfaz de consentimiento de cookies que se muestra al usuario; esa parte corresponde a usted y a su asesor jurídico.
Qué revisar en materia de KVKK
- Aviso de privacidad: Indique que datos como el correo electrónico y el teléfono se transfieren a Google con hash para la medición publicitaria. La frase «Usamos cookies» no describe este flujo.
- Base jurídica y consentimiento: Decida con qué fundamento se tratan los datos. Para los flujos con fines publicitarios, aclare este punto con su abogado. Si solicita el consentimiento, los datos de quien lo rechace no deben enviarse.
- Transferencia al extranjero: Google trata los datos fuera de Turquía. Las disposiciones de la KVKK sobre transferencias internacionales también se aplican a este flujo. El mecanismo que utilice en este punto depende de su estructura contractual y de consentimiento.
- Categorías sensibles: Según la documentación de Google, las conversiones relacionadas con categorías sensibles no pueden usarse en las conversiones mejoradas. Si trabaja en sectores como el de la salud, no active esta función o consulte antes a un especialista.
- No envíe campos innecesarios: Si basta con el correo electrónico, sin nombre ni dirección, recoja únicamente ese dato.
Configuración y verificación
En Google Ads, desde Objetivos, Conversiones, Configuración, puede abrir la sección «Conversiones mejoradas para la web», activar la función y aceptar la declaración de cumplimiento. En cuanto a las etiquetas, las opciones son la etiqueta de Google, GTM o la API de Google Ads. Los nombres de los menús pueden variar según la interfaz; compruebe la ruta actual en la página de ayuda de Google.
Para verificarlo, compruebe en las solicitudes de red del navegador si los parámetros em o pn contienen un valor con hash. Si ve un correo electrónico en texto plano, la configuración es incorrecta. El informe de diagnóstico de Google aparece unas 48 horas después. Es normal ver el estado «en procesamiento» durante los primeros días.
Si desea hacer seguimiento en Meta de las ventas cerradas por WhatsApp después de la venta, consulte nuestro artículo sobre ctwa_clid y la Conversions API, que sigue una lógica similar.
¿Vale la pena activarlas?
Es una decisión sobre la calidad de la medición. Google afirma que la función mejora la precisión, pero no podemos saber de antemano cuánta diferencia supondrá en su cuenta, por eso no damos cifras. Vale la pena probarla en sitios que captan clientes mediante formularios o venden en línea y tienen un presupuesto publicitario mensual significativo. Si su estructura de consentimiento aún no está consolidada, corríjala primero y active la función después. Siguiendo este orden, los datos llegan más limpios y además dispone de una configuración que puede defender.
Preguntas frecuentes
¿Se considera dato personal un correo electrónico con hash según la KVKK?
Muy probablemente sí. El hash se parece más a una seudonimización que a una anonimización. Como el mismo correo siempre genera el mismo hash, quien conozca la dirección puede hacer la coincidencia. Para una valoración jurídica definitiva, consulte a su abogado.
¿Se necesita el consentimiento de cookies para activar las conversiones mejoradas?
Según la página de ayuda de Google, si se aplica el modo de consentimiento, la cookie publicitaria depende del estado de consentimiento ad_storage, y si los parámetros de consentimiento necesarios no están en «granted», no se recopilan datos del usuario. Es decir, su configuración de Consent Mode debe ser correcta.
¿Debo aplicar yo el hash o lo hace Google?
Ambas opciones son posibles. Con la etiqueta de Google, Google aplica el hash a los datos antes de enviarlos. En GTM, puede aplicar el hash previamente con código personalizado y enviarlo, o dejar que lo haga Google. Elija la que elija, las reglas de normalización son las mismas.
Si desea que revisemos su infraestructura de consentimiento antes de activar las conversiones mejoradas
Revisemos juntos su banner, Consent Mode y la configuración de conversiones de Google Ads, y aclaremos qué datos se envían con qué consentimiento.