Volver al blog Marketing

Medición first-party: atribuye con datos propios

Las cookies de terceros ya no sostienen la medición y en Chile la Ley 21.719 cambia las reglas del consentimiento. Cómo atribuir tus campañas con datos propios, paso a paso.

David López · CEO - Fundador 4 de noviembre de 2026 10 min de lectura

Durante años, medir campañas fue casi automático: un píxel por plataforma, cookies de terceros y un informe que repartía el crédito. Ese esquema perdió confiabilidad. Safari bloquea todas las cookies de terceros, Firefox las aísla por sitio y Chrome, aunque las mantiene, deja que cada usuario las bloquee.

A eso se suma la regulación. En Chile, la Ley 21.719 reescribe las reglas del tratamiento de datos personales y crea una agencia para fiscalizarlas. Medir ya no es solo un tema técnico: también tienes que poder explicar qué datos recoges, para qué y con qué base legal.

La salida práctica es la medición first-party: atribuir resultados con datos que tu empresa recoge en su sitio, sus formularios y su CRM, con consentimiento y reglas claras.

First-party y third-party

Según MDN, una cookie es de primera parte cuando su dominio y esquema coinciden con la página que el usuario ve en la barra de direcciones; si no coinciden, es de terceros.

Con los datos pasa lo mismo. Un dato first-party lo recoges tú en tus canales: tu sitio, formularios, compras, CRM. Un dato third-party lo recoge otra empresa en sitios ajenos. El primero lo controlas y puedes explicar su origen; el segundo, no.

Cookies de terceros: estado a noviembre de 2026

Navegador	Situación vigente
Chrome	No las bloquea por defecto. El usuario puede bloquearlas en la configuración y el modo incógnito las bloquea por defecto.
Safari	ITP bloquea todas las cookies de terceros, sin excepciones, y borra las cookies creadas con JavaScript tras 7 días sin interacción del usuario con el sitio.
Firefox	Total Cookie Protection, activa por defecto, separa las cookies de cada sitio e impide seguir al usuario entre sitios.

En Chrome rigen dos anuncios de Google. En abril de 2025 informó que mantendrá su enfoque de dejar la elección al usuario y que no lanzará un aviso independiente sobre cookies de terceros. En octubre de 2025 anunció que retira varias tecnologías de Privacy Sandbox, entre ellas Attribution Reporting API, Topics y Protected Audience.

Safari sigue endureciendo sus protecciones. Bloquea las cookies de terceros por defecto desde marzo de 2020. Con Safari 26, los scripts de fingerprinting conocidos ya no pueden leer los parámetros de la URL ni el referrer. Y en octubre de 2026 WebKit anunció que sus versiones 27 bloquean el acceso de red a la infraestructura de "resolución de identidad": terceros que capturan el correo en formularios de registro o inicio de sesión para convertirlo en un identificador persistente. WebKit aclara que la personalización first-party no es rastreo.

Conclusión: tu medición no debería depender de cookies de terceros ni de scripts ajenos que capturan identificadores en tus formularios.

Los límites del último clic

Google Analytics 4 ofrece tres modelos de atribución: basado en datos, último clic pagado y orgánico (ignora el tráfico directo y da el 100 % del valor al último canal) y último clic en canales pagados de Google. Los modelos de primer clic, lineal, deterioro temporal y basado en la posición dejaron de estar disponibles en noviembre de 2023.

El último clic tiene límites claros:

Premia lo que aparece al final del recorrido, como una búsqueda de tu marca, y deja sin crédito lo que generó la demanda.
Describe un recorrido, no una causa: no dice si la venta habría ocurrido igual sin el anuncio.
Cada plataforma atribuye con sus propios datos, así que las cifras de Google, Meta y tu CRM pueden no coincidir.

El modelo basado en datos usa aprendizaje automático, pero sigue siendo un modelo. Para decidir presupuesto necesitas datos propios y, cada cierto tiempo, un experimento.

Prácticas concretas

1. Una convención de UTM

En GA4, los valores UTM distinguen mayúsculas: google y Google son fuentes distintas. Google recomienda usar minúsculas y completar al menos utm_source, utm_medium, utm_campaign y utm_id; lo que falta aparece como (not set). Las agrupaciones de canales predeterminadas dependen del medio: email cae en Email; cpc o un medio que empieza con paid, junto a una fuente reconocida, cae en canales pagados.

Escribe la convención y úsala siempre:

utm_source   = google | facebook | instagram | linkedin | newsletter
utm_medium   = cpc | paid_social | social | email | referral
utm_campaign = aaaa-mm_objetivo_producto   (ej.: 2026-11_leads_plan-pyme)
utm_content  = variante del anuncio o enlace (ej.: video-15s)
utm_id       = identificador de la campaña en tu planilla

En Google Ads, el etiquetado automático agrega a la URL el identificador de clic GCLID. Google lo describe como necesario para medir conversiones, incluidas las offline, y en GA4 tiene prioridad sobre el etiquetado manual.

2. Eventos de conversión propios

Define pocos eventos, con significado de negocio. GA4 tiene eventos recomendados para el ciclo de un prospecto: generate_lead, qualify_lead, close_convert_lead y purchase, que exige transaction_id e items. Los importantes se marcan como eventos clave y se pueden importar a Google Ads como conversiones. Para cada uno, deja escrito qué lo dispara, qué valor tiene y quién responde por él.

3. Formularios y CRM como fuente de verdad

En el formulario, el visitante se vuelve contacto. Guarda en campos ocultos los UTM, el GCLID y los valores _fbc y _fbp que Meta guarda en cookies de tu propio dominio. Registra también el consentimiento: qué texto aceptó la persona, cuándo y para qué fines.

Después, devuelve las etapas del CRM a tus herramientas. El Measurement Protocol de GA4 envía eventos de servidor a servidor, incluidas conversiones offline, como complemento del etiquetado y no como reemplazo. Para conversiones offline en Google Ads, Google indica usar la Data Manager API en integraciones nuevas.

4. Etiquetado del lado del servidor

Con el etiquetado server-side de Google Tag Manager, el contenedor corre en un servidor que tú controlas, por ejemplo en tu proyecto de Google Cloud. Según Google, solo tú accedes a los datos hasta que decides enviarlos. Google recomienda instalarlo en tu dominio first-party.

No sirve para saltarse protecciones: WebKit limita a 7 días las cookies fijadas en la respuesta HTTP cuando detecta encubrimiento de terceros por CNAME o dirección IP. Úsalo para controlar qué datos salen a cada plataforma, y considera su costo de operación.

5. APIs de conversiones

Google Ads. Las conversiones mejoradas agregan a tus conversiones datos first-party (correo, teléfono, nombre, dirección) procesados con hash SHA256. La variante para leads los cruza con ventas que cierras fuera del sitio.
Meta. La API de conversiones conecta datos de tu servidor, sitio, app o CRM con Meta. Meta recomienda usarla junto al píxel y deduplicar: el eventID del píxel debe coincidir con el event_id del servidor, con el mismo nombre de evento, y solo se deduplica dentro de 48 horas. Correo y teléfono van normalizados y con hash; el teléfono, con código de país.

Un correo con hash sirve justamente para reconocer a una persona en la plataforma. Trátalo con el mismo cuidado que el dato original.

6. Modo de consentimiento

El modo de consentimiento de Google ajusta las etiquetas según la elección del usuario, con cuatro señales: ad_storage, analytics_storage, ad_user_data y ad_personalization. En la versión básica, las etiquetas no cargan hasta que el usuario interactúa con el banner. En la avanzada, cargan con valores denegados por defecto y, sin consentimiento, envían señales sin cookies que Google usa para modelar métricas. Es un mecanismo técnico: no reemplaza tu política ni define qué exige la ley.

7. Incrementalidad sin laboratorio

La atribución reparte crédito; un experimento mide efecto. Google Ads ofrece Conversion Lift, que compara un grupo que ve los anuncios con uno que no, por usuarios o por zonas geográficas, aunque no está disponible para todas las cuentas.

Una versión simple: define antes la hipótesis y la métrica (leads calificados en el CRM, no clics), apaga la campaña solo en algunas zonas comparables durante un período que cubra tu ciclo de venta y compara cómo cambió cada grupo. Cambia una variable a la vez y registra cada prueba.

Chile: lo que dice la Ley 21.719

Esto no es asesoría legal; es un resumen del texto publicado en LeyChile.

Qué es. Se publicó en el Diario Oficial el 13 de diciembre de 2024, modifica la Ley 19.628 y crea la Agencia de Protección de Datos Personales.
Vigencia. Según su artículo primero transitorio, sus modificaciones rigen desde el primer día del mes vigésimo cuarto posterior a la publicación: el 1 de diciembre de 2026. Un proyecto del Gobierno (boletín 18.623-07) busca postergarla: el Senado lo aprobó el 28 de octubre de 2026 con una nueva fecha de entrada en vigencia, el 15 de octubre de 2027, y al 4 de noviembre está en segundo trámite en la Cámara de Diputados. Mientras no se publique como ley, la fecha vigente sigue siendo el 1 de diciembre de 2026; revisa su estado.
Consentimiento. Debe ser libre, informado, específico en cuanto a su finalidad, previo e inequívoco. El titular puede revocarlo en cualquier momento y le corresponde al responsable probar que lo obtuvo (artículo 12).
Otras bases de licitud. Sin consentimiento, el tratamiento es lícito, entre otros casos, si es necesario para un contrato o para medidas precontractuales pedidas por el titular, para cumplir una obligación legal o para un interés legítimo que no afecte los derechos del titular (artículo 13).
Finalidad y proporcionalidad. Fines específicos y explícitos, solo los datos necesarios y por el tiempo necesario (artículo 3).
Oposición. El titular puede oponerse al tratamiento hecho exclusivamente con fines de marketing directo, incluida la elaboración de perfiles (artículo 8).
Transparencia. Hay que publicar una política de tratamiento con finalidades, base de legitimidad y plazo de conservación, entre otros datos (artículo 14 ter).
La Agencia. Es una corporación autónoma de derecho público que fiscaliza el cumplimiento de la ley (artículo 30). Durante los primeros doce meses de vigencia, puede sancionar a empresas de menor tamaño con una amonestación por escrito (artículo sexto transitorio).

El texto no menciona las cookies por nombre. Cómo se aplica a cada etiqueta de tu sitio es una pregunta para tu asesoría legal.

Plan de implementación por etapas

Inventario. Lista etiquetas, cookies, formularios y plataformas que reciben datos. Elimina lo que nadie usa.
Orden. Publica la convención de UTM y el catálogo de eventos.
Captura propia. Agrega campos ocultos, conecta el CRM y registra el consentimiento.
Conexión. Configura el modo de consentimiento, las conversiones mejoradas y la API de conversiones con deduplicación.
Servidor. Evalúa el etiquetado server-side si tu volumen y tu equipo justifican el costo.
Experimentos. Corre pruebas de incrementalidad periódicas sobre tu canal más caro.

Lista de verificación

La convención de UTM está escrita y las campañas activas la cumplen.
Cada evento clave tiene definición, valor y responsable.
Los formularios guardan UTM, identificadores de clic y registro de consentimiento.
El CRM devuelve leads calificados y ventas a GA4 y a las plataformas.
El píxel y la API de conversiones de Meta comparten el identificador de evento.
La política de tratamiento indica finalidades, base de legitimidad y plazo de conservación.
Ningún script de terceros recibe correos o teléfonos sin una finalidad informada.
Hay un experimento de incrementalidad planificado y el modo de consentimiento refleja la elección real del usuario.

Fuentes

Si quieres revisar cómo mides tus campañas, conversemos.