API de conversiones y datos de salud: qué puede enviar una clínica a Meta (y qué la bloquea)

Una clínica puede enviar a Meta por la API de conversiones que alguien dejó sus datos, pidió cita o se presentó, con nombres de evento genéricos y el correo y el teléfono cifrados. Lo que no puede enviar son datos de salud: ni el tratamiento, ni la especialidad, ni URLs o parámetros que los dejen ver.

Y aunque tú no los envíes, Meta clasifica muchas webs de clínicas como «salud y bienestar» y les recorta datos por su cuenta. Aquí separamos lo que Meta dice por escrito de lo que hace en la práctica, con una tabla de eventos que pasan y eventos que te bloquean, y una plantilla de nombres para que tu cuenta deje de dar avisos.

Si todavía no la tienes montada, empieza por la API de conversiones de Meta para clínicas. Aquí nos centramos en qué se puede mandar.

Lo que Meta dice por escrito

La base está en las Condiciones de las herramientas para empresas de Meta, que aceptas al instalar el píxel o conectar la API. En su apartado 1.h, el anunciante se compromete a no enviar datos que incluyan o se basen en información de salud, información financiera u otras categorías de información sensible según la ley aplicable. La versión vigente que hemos consultado tiene fecha de efecto del 3 de noviembre de 2025.

Hay un detalle de ese mismo apartado que casi nadie lee y que afecta de lleno a las clínicas: los nombres y criterios que eliges para tus eventos, tus conversiones personalizadas y tus públicos personalizados tampoco pueden reflejar ni dar a entender esas categorías. Es decir, no basta con no enviar «diagnóstico: periodontitis». Un evento llamado cita_implantes o un público llamado «Interesados en rinoplastia» ya incumple las condiciones, aunque no viaje ningún dato clínico dentro.

Las mismas condiciones exigen que el correo y el teléfono lleguen cifrados con hash. La documentación técnica de Meta sobre los parámetros de información del cliente concreta cómo: correo en minúsculas y sin espacios, teléfono solo con dígitos y con prefijo de país, ambos cifrados con SHA-256. Los identificadores de clic y de navegador (fbc y fbp), la IP y el navegador se envían sin cifrar.

Lo que Meta hace en la práctica, y lo que no está tan claro

Además de lo que tú te comprometes a no enviar, Meta revisa lo que le llega. Desde principios de 2025, el administrador de eventos clasifica cada origen de datos (tu web o tu app) en una categoría, y algunas categorías, entre ellas salud y bienestar, llevan restricciones automáticas. Lo puedes ver tú mismo en la configuración de tu conjunto de datos, en el apartado de categorías del origen de datos y de restricciones de datos.

Meta no publica en abierto un documento detallado con los niveles de restricción, así que lo que sigue procede de lo que muestra el administrador de eventos y de lo que describen, de forma coherente, las empresas que implantan la API para anunciantes de salud:

• Configuración básica (Core Setup). El nivel más suave. Meta deja de recibir los parámetros personalizados y la parte de la URL que va después del dominio: la ruta, las UTM y cualquier parámetro. Los eventos siguen llegando, pero más pobres.
• Restricción de eventos estándar. Meta deja de aceptar para optimización eventos de mitad y final del embudo como Lead, Purchase o Schedule.
• Restricción completa. Se bloquea el envío de eventos de ese origen de datos, en algunas o todas las regiones. Se reporta sobre todo en sitios muy ligados a condiciones de salud.

Dos cosas sí están claras. La API de conversiones no es un atajo: las condiciones se aplican a todos los datos que llegan a Meta, vengan del navegador o del servidor, y las restricciones de categoría afectan igual al píxel que a la API. Y renombrar un evento para esquivar un bloqueo («lo llamo evento_b y ya está») es justo lo que las condiciones prohíben cuando el evento sigue representando lo mismo. No lo hagas, y desconfía de quien te lo proponga.

Qué puede enviar una clínica por la API de conversiones

Lo que proponemos en las clínicas con las que trabajamos es enviar etapas del embudo, no condiciones del paciente. Meta necesita saber que alguien pasó de interesado a paciente; no necesita saber de qué.

• Eventos con nombre genérico: Lead para el formulario, y etapas como «Lead cualificado», «Cita confirmada» o «Asistencia» para lo que pasa después.
• Correo y teléfono cifrados, normalizados antes de cifrar. Si tienes dudas sobre el formato, en calidad de la coincidencia de eventos está el detalle.
• Identificadores técnicos sin cifrar: fbc, fbp, IP y navegador en los eventos que salen de la web; el identificador del lead de Meta en los formularios instantáneos.
• Un identificador externo: el ID del lead en tu CRM, el mismo en todos sus eventos.
• Un event_id en cada evento que mandes a la vez por píxel y por API, para que Meta lo cuente una sola vez.
• La URL de origen recortada al dominio, o una URL neutra.
• Un valor económico si pujas por valor, mejor por etapa o por tramo que por tratamiento exacto, como explicamos más abajo.

Sobre la deduplicación, la página de Meta sobre eventos duplicados del píxel y la API lo explica bien: el eventID del píxel debe coincidir con el event_id del servidor y el nombre del evento debe ser el mismo en los dos. Meta deduplica si ambos llegan dentro de las 48 horas siguientes al primero. Si el formulario dispara Lead en el navegador con un identificador y el servidor manda Lead con otro, tendrás leads dobles en los informes y una campaña que cree que va mejor de lo que va.

Lo que no debe salir nunca de tu clínica

• El tratamiento o la especialidad, como texto, como nombre de evento o como parámetro (content_name: "Implantes", content_category: "Medicina estética").
• Diagnósticos, notas de la primera visita, motivo de consulta, respuestas del formulario sobre síntomas.
• URLs que lo revelen: /implantes-dentales, /gracias-aumento-de-pecho, ?tratamiento=alopecia.
• UTM descriptivas que viajan con la URL: utm_campaign=rinoplastia-madrid.
• Nombres de públicos personalizados y conversiones personalizadas que aludan a una condición: «Visitas bótox 30 días», «Leads calvicie».

Evento correcto frente a evento que te bloquean

La tabla resume los casos que más nos encontramos al auditar cuentas de clínicas. La columna de la izquierda es lo que hemos visto montado; la de la derecha, cómo lo dejaríamos.

El problema que nadie mira: las URLs

Puedes tener los eventos con nombres impecables y seguir enviando información de salud sin darte cuenta, porque el píxel manda por defecto la URL de la página donde ocurre el evento. Si tu landing es clinica.es/implantes-dentales-precio y la página de gracias es clinica.es/gracias-implantes, cada Lead lleva el tratamiento pegado.

Pongamos, como ejemplo, una clínica capilar en Pozuelo con la landing en /injerto-capilar-fue y utm_campaign=injerto-fue-hombres. El evento se llama Lead, perfecto, pero la URL que llega a Meta dice qué tratamiento y para quién. Si Meta ha aplicado la configuración básica, recortará la URL por su cuenta. Si no, eres tú quien está enviando algo que no debería salir.

Lo que hacemos en estos casos:

• Página de gracias única y neutra para todos los formularios: /gracias.
• En los eventos del servidor, event_source_url recortada al dominio.
• Campañas con códigos en vez de descripciones: utm_campaign=c014, con la tabla de equivalencias en tu hoja interna. Lo contamos en la nomenclatura de UTM para clínicas.
• Revisar que el gestor de etiquetas no añade el título de la página ni el texto del botón como parámetros.

Si la URL de tu landing nombra el tratamiento por SEO, no pasa nada: importa lo que viaja a Meta. Para eso sirve enviar los eventos desde el servidor, donde tú decides qué campos salen. Lo explicamos en medición server-side para clínicas.

Plantilla de nomenclatura

Sobre el valor: enviarlo no es enviar un dato de salud, y pujar por valor es útil, como contamos en reglas de valor en Meta Ads. Pero si tu clínica tiene un único tratamiento que cuesta exactamente 4.900 euros, ese número acaba identificándolo. Por eso preferimos valores por etapa o por tramos de ticket, que le dan a Meta la señal de qué pacientes valen más sin decir quién se hizo qué.

Cómo auditar tu cuenta en una tarde

1. Mira la categoría de tu origen de datos. En el administrador de eventos, abre tu conjunto de datos, ve a la configuración y busca las categorías del origen de datos y las restricciones. Apunta si aparece salud y bienestar y qué nivel de restricción tienes.
2. Lee los avisos de diagnóstico. Si Meta ha detectado datos potencialmente sensibles, suele avisar ahí. No los ignores: son la pista más directa.
3. Haz inventario de eventos. Lista todos los eventos que recibe tu conjunto de datos, estándar y personalizados, con sus parámetros. Marca en rojo cualquier nombre o parámetro que nombre un tratamiento.
4. Revisa conversiones y públicos personalizados y renombra o elimina los que aludan a una condición.
5. Prueba un envío real. Rellena un formulario de tu web con la herramienta de eventos de prueba abierta y mira qué URL, qué parámetros y qué datos de cliente llegan. Ahí ves lo que sale de verdad.
6. Corrige en origen. Página de gracias neutra, URL recortada en el servidor, UTM con códigos, eventos del CRM con nombre de etapa.
7. Comprueba la deduplicación. En el detalle del evento Lead, mira si llegan por navegador y servidor y si Meta indica que los está deduplicando.
8. Documenta qué se envía, desde dónde y con qué nombre. Tu delegado de protección de datos te lo pedirá. La parte legal está en protección de datos de los leads.

Si Meta ha clasificado tu web en una categoría que no es la tuya, puedes pedir una revisión desde esa misma pantalla. Pero una clínica dental, estética o capilar es un negocio de salud: la revisión sirve para corregir errores, no para salir de tu categoría.

Si Meta ya te ha restringido los eventos

Puede pasar que hagas todo bien y que Meta igualmente limite los eventos estándar de tu web. No es el fin de tus campañas, pero cambia cómo hay que trabajarlas:

• Optimiza por lo que siga llegando y mide el resto fuera de Meta. Si el evento de formulario no sirve para optimizar, el CRM sigue sabiendo cuántos leads de Meta acaban en paciente. Ese número manda, y es el que en el Método C.I.T.A. devolvemos a las plataformas en la fase de Asistencia, siempre con nombres de etapa.
• Apóyate más en el anuncio y en la zona. Con menos señal, la creatividad y la segmentación geográfica tienen que filtrar más. Un formulario con una pregunta que descarte curiosos, como las de formularios que filtran, compensa parte de lo que el algoritmo deja de ver.
• Refuerza Google. Las conversiones offline de Google Ads tienen sus propias reglas de datos, pero hoy permiten a muchas clínicas enviar citas y asistencias con nombres genéricos.
• No intentes esquivarlo disfrazando eventos o cambiando de dominio: incumple las condiciones y pone en riesgo la cuenta.

En las auditorías, muchos de los problemas que encontramos no vienen de la categoría sino de cómo se montó la medición: nombres de evento copiados de un tutorial de tienda online, URLs con el tratamiento y públicos con nombre de patología. Eso se arregla en una semana. Para encajarlo con Google y TikTok, tienes el mapa de eventos de una clínica.

Preguntas frecuentes

¿Puede una clínica usar la API de conversiones de Meta?

Sí. Puede enviar eventos como el formulario, la cita confirmada o la asistencia, con correo y teléfono cifrados y nombres de evento genéricos. Lo que no puede enviar es información de salud: tratamiento, especialidad, diagnóstico ni URLs o parámetros que los revelen. Además, Meta puede aplicar restricciones automáticas si clasifica tu web como salud y bienestar.

¿Qué es la configuración básica (Core Setup) de Meta?

Es el nivel más suave de restricción que Meta aplica a orígenes de datos de categorías sensibles. Según lo que muestra el administrador de eventos y describen los implantadores, Meta deja de recibir parámetros personalizados y la parte de la URL posterior al dominio. Los eventos siguen llegando, pero con menos información.

¿La API de conversiones evita las restricciones de salud?

No. Las condiciones de Meta se aplican a todos los datos que recibe por sus herramientas, vengan del píxel o del servidor. La ventaja del servidor es que tú controlas qué campos salen, así que es más fácil no enviar nada sensible. Pero no sirve para saltarse una restricción de categoría.

¿Afectan estas restricciones a clínicas de España?

Meta no publica un listado de países. Las fuentes del sector coinciden en que las restricciones por categoría se aplican también en la UE y el Reino Unido, y las condiciones que prohíben enviar datos de salud son globales. Compruébalo en la configuración de tu conjunto de datos, donde Meta indica la categoría y la restricción.

Si quieres que revisemos qué está recibiendo Meta de tu clínica y lo dejemos limpio sin perder señal, pide una consulta. Si tu clínica es dental, lo hacemos dentro de nuestro trabajo de marketing para clínicas dentales.