WatchSignal: Lista de Subencargados del Tratamiento
Última actualización: 28 de septiembre de 2026 (rev. 2)
Esta página enumera los subencargados del tratamiento (proveedores externos que tratan datos personales por cuenta de WatchSignal) de conformidad con nuestra Política de Privacidad y los requisitos del art. 28(3)(d) del RGPD.
WatchSignal está diseñada para minimizar la compartición de datos. La mayor parte de la funcionalidad de la App (inferencia de IA, seguimiento de cartera, lista de seguimiento, alertas) se ejecuta íntegramente en el dispositivo. Únicamente las categorías limitadas descritas a continuación implican a encargados externos.
Subencargados activos
| Subencargado | Finalidad | Categorías de datos tratadas | Ubicación del servidor | Mecanismo de transferencia | Base jurídica RGPD | Estado del DPA |
|---|---|---|---|---|---|---|
| PostHog, Inc. (PostHog EU Cloud) | Analítica de uso, comprender la adopción de funciones y el rendimiento de la App | ID de la cuenta de WatchSignal (aleatorio, no su Apple ID, nombre ni correo electrónico), vistas de pantalla, interacciones con funciones (p. ej., "gráfico abierto", "alerta creada", "señal generada"), versión de la App, tipo de dispositivo, versión del SO. No vinculado a la cartera, la lista de seguimiento, el nombre ni el correo electrónico. | Alemania (EEE), sin transferencia fuera del EEE para fines analíticos | No aplica, los datos permanecen dentro del EEE | Consentimiento (Art. 6(1)(a)); elegido durante el onboarding, retirable en Ajustes → Privacidad y datos | Vigente |
| Functional Software, Inc. d/b/a Sentry | Informes de fallos y monitorización del rendimiento | Modelo de dispositivo, versión del SO, versión de la App, trazas de pila de fallos, mensajes de error, spans de rendimiento, eventos de breadcrumb (URL eliminadas), UUID anónimo persistente. Sin datos de cartera, símbolos bursátiles, entradas de lista de seguimiento ni dirección IP. | UE (región de Fráncfort) para usuarios del EEE | CCT de la UE (Decisión de Ejecución (UE) 2021/914) | Intereses legítimos (Art. 6(1)(f)) | Vigente |
| RevenueCat, Inc. | Gestión de suscripciones, verificación y gestión de los derechos de suscripción in-app | App User ID (user_id de WatchSignal), estado de la suscripción, historial de compras, datos del recibo de la App Store |
Estados Unidos (AWS) | CCT de la UE (Decisión de Ejecución (UE) 2021/914) | Ejecución de contrato (Art. 6(1)(b)) | Vigente |
| Cloudflare, Inc. (Cloudflare Workers y D1) | Infraestructura backend: sincronización de la cuenta (lista de seguimiento, alertas, preferencias), tokens de dispositivo push, configuraciones de alertas, atribución de referidos | sub de Apple, user_id, correo electrónico de reenvío, ID de dispositivo, datos de lista de seguimiento/alertas/preferencias, tokens de dispositivo push, configuraciones de alertas, identificadores y registros de clic de recomendaciones |
Datos de sincronización: WEUR (Europa Occidental) mediante Cloudflare D1. Workers y entrega push: edge global (punto de presencia más cercano al usuario) | CCT de la UE (Decisión de Ejecución (UE) 2021/914) | Consentimiento (Art. 6(1)(a)) para la sincronización de la cuenta; ejecución de contrato (Art. 6(1)(b)) para alertas y entrega push | Vigente (DPA de Cloudflare para clientes, incorporado en el Self-Serve Subscription Agreement) |
Otros destinatarios (no subencargados)
Los siguientes servicios reciben solicitudes desde su dispositivo (y, en el caso de Apple, desde nuestro servidor cuando verifica su inicio de sesión o entrega una notificación push). Como cualquier servidor web, ven la dirección IP del dispositivo que hace la solicitud. No son subencargados porque no tratan datos siguiendo instrucciones de WatchSignal; cada uno actúa conforme a su propia política de privacidad. WatchSignal no envía ningún identificador de cuenta a ninguno de ellos.
| Servicio | Datos enviados por la App | Por qué no es un subencargado |
|---|---|---|
Yahoo Finance (query1.finance.yahoo.com, query2.finance.yahoo.com) |
Símbolo bursátil (p. ej., "AAPL") | Los símbolos bursátiles no son datos personales (Considerando 26 del RGPD). No se transmiten identificadores de usuario. |
Reddit (www.reddit.com) |
Símbolo bursátil + nombre del subreddit | Los símbolos bursátiles no son datos personales. No se transmiten identificadores de usuario. |
| Apple Inc. (Iniciar sesión con Apple, facturación de la App Store, Apple Push Notification service) | Intercambio del token de ID de Apple, compra in-app, registro del token push | Responsable independiente conforme a la política de privacidad y los términos para desarrolladores de Apple; WatchSignal nunca recibe los datos de pago |
| Hugging Face, Inc. (huggingface.co) y su red de distribución de contenidos | Solicitud HTTP para los archivos del modelo en el dispositivo en el primer arranque y en las actualizaciones del modelo (dirección IP, user agent de la app) | Alojamiento público de archivos; no se envía ningún identificador de cuenta y no se procesa nada por cuenta de WatchSignal |
Garantías de transferencia
Para las transferencias desde el EEE a subencargados con sede en EE. UU. (Sentry, RevenueCat, Cloudflare), WatchSignal se basa en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), complementadas por:
- Cifrado en tránsito (TLS 1.2+) y en reposo
- Minimización de datos: solo se comparten con cada encargado los datos mínimos necesarios
- Restricciones contractuales sobre el uso para fines propios por parte del encargado
PostHog está alojado en PostHog EU Cloud, en Alemania, dentro del EEE. No se necesita ninguna garantía de transferencia para los datos analíticos porque no salen del EEE.
Usuarios en Brasil (LGPD, Ley n.º 13.709/2018): se aplican las mismas bases jurídicas conforme a la LGPD, Art. 7: el consentimiento es el Art. 7, I; la obligación legal es el Art. 7, II; la ejecución de contrato es el Art. 7, V; los intereses legítimos son el Art. 7, IX. Las transferencias internacionales desde Brasil se realizan conforme al Art. 33 de la LGPD.
Resumen del estado de DPA
| Subencargado | DPA requerido | Estado |
|---|---|---|
| PostHog | Sí (datos personales bajo Art. 28) | Vigente |
| Sentry | Sí (datos personales bajo Art. 28) | Vigente |
| RevenueCat | Sí (datos personales bajo Art. 28) | Vigente |
| Cloudflare | Sí (datos personales bajo Art. 28) | Vigente (DPA de Cloudflare para clientes, incorporado en el Self-Serve Subscription Agreement) |
Notificación de cambios en subencargados
Actualizaremos esta lista cuando añadamos, eliminemos o sustituyamos a un subencargado. Para cambios sustanciales, proporcionaremos al menos 30 días de aviso previo a través del sistema de notificación in-app o por correo electrónico (cuando se disponga de una dirección de correo). Puede oponerse a un nuevo subencargado contactándonos en privacy@watchsignal.ai.
Registro de cambios
| Revisión | Fecha | Resumen |
|---|---|---|
| rev. 2 | 28 de septiembre de 2026 | Se corrigió PostHog: EU Cloud en Alemania, eventos vinculados al ID de la cuenta, base de consentimiento. Se actualizaron Sentry (región UE de Fráncfort) y Cloudflare (Workers y D1, sincronización de la cuenta, almacenamiento WEUR). Se trasladaron Apple y Hugging Face a la tabla de otros destinatarios. Se eliminó Polygon.io (las solicitudes pasan por el proxy propio de WatchSignal). Se eliminó el texto sobre la transferencia desde el Reino Unido. Se actualizó el estado de los DPA. Se añadió la nota LGPD. |
| rev. 1 | 10 de mayo de 2026 | Publicación inicial. |
¿Preguntas? Contáctenos en privacy@watchsignal.ai