facebook.com Política de privacidad — 45/100 (Riesgo de privacidad alto)
Último análisis
Meta Platforms, Inc. (formerly Facebook, Inc.) · facebook.com
Detalles del informe
Riesgo de privacidad altoLa política de datos de Facebook recopila grandes cantidades de datos personales, los comparte ampliamente con terceros y otras empresas de Meta, y los transfiere a nivel global con un control limitado por parte del usuario, lo que plantea riesgos significativos de privacidad según la ley de la UE.
La Política de Datos de Facebook revela una recolección extensa de datos de los usuarios, sus dispositivos, aplicaciones de terceros y socios, incluyendo información sensible como ubicación, detalles de pago y conexiones sociales. Los datos se comparten ampliamente con aplicaciones de terceros, anunciantes (en forma no identificable personalmente), proveedores y otras empresas de Meta, con transferencias fuera del EEE justificadas mediante cláusulas contractuales tipo y el consentimiento del usuario. Aunque se mencionan derechos del usuario como acceso, eliminación y controles de publicidad, la política carece de claridad sobre las opciones de exclusión para el entrenamiento de IA/modelos, los destinatarios específicos de terceros y la base legal para todas las actividades de procesamiento. La política es transparente en su alcance, pero plantea serias preocupaciones sobre la minimización de datos, el intercambio con terceros y las transferencias internacionales.
Evaluación por categoría
Desglose de la política en las principales áreas de cumplimiento. Bueno = sólido, regular = mixto, deficiente = preocupante.
Recopila datos excesivos, incluyendo identificadores de dispositivos, ubicación, pagos y datos de aplicaciones de terceros, sin una demostración clara de necesidad o proporcionalidad según el RGPD.
La política es detallada pero demasiado amplia, con descripciones vagas del intercambio con terceros y los fines de procesamiento, lo que dificulta que los usuarios comprendan los flujos específicos de datos.
Los datos se comparten ampliamente con aplicaciones de terceros, anunciantes, proveedores y otras empresas de Meta, a menudo sin consentimiento explícito del usuario o mecanismos claros de exclusión.
Transfiere datos del EEE a EE. UU. y otros países utilizando cláusulas contractuales tipo y consentimiento, pero no aborda los riesgos de vigilancia ni proporciona medidas complementarias como exige el RGPD.
No menciona explícitamente si los datos del usuario se utilizan para el entrenamiento de IA/modelos, ni proporciona un mecanismo de exclusión para dicho uso, lo que representa una laguna significativa según el RGPD.
Describe derechos como acceso, eliminación y controles de publicidad, pero carece de claridad sobre cómo ejercer estos derechos de manera efectiva, especialmente para no usuarios o datos compartidos con terceros.
Hallazgos clave
Cláusulas destacadas, problemas o buenas prácticas detectadas (críticos primero)
Recolección excesiva y amplia de datos sin necesidad clara
La política enumera categorías extensas de datos recopilados, incluyendo 'lo que haces y proporcionas', 'lo que otros hacen y proporcionan', información del dispositivo (p. ej., GPS, Bluetooth, dirección IP), detalles de pago y datos de aplicaciones y socios de terceros. No hay justificación de por qué todos estos datos son estrictamente necesarios para los servicios proporcionados, violando el principio de minimización de datos del RGPD (Art. 5(1)(c)).
Intercambio con terceros vago y amplio con controles insuficientes
Los datos se comparten con 'aplicaciones, sitios web e integraciones de terceros', 'proveedores, prestadores de servicios y otros socios' y 'empresas de Facebook' sin nombrar destinatarios específicos ni proporcionar opciones granulares de exclusión. La política indica que las aplicaciones de terceros pueden acceder al Perfil Público y las listas de amigos de los usuarios, pero no aclara cómo los usuarios pueden evitar este intercambio. Esto carece de la especificidad requerida según el Art. 13-14 del RGPD.
Las transferencias internacionales a EE. UU. dependen de cláusulas contractuales tipo sin abordar los riesgos de vigilancia
La política establece que los datos del EEE pueden transferirse a EE. UU. y otros países utilizando 'cláusulas contractuales tipo aprobadas por la Comisión Europea' y el consentimiento del usuario. Sin embargo, no aborda la falta de protecciones equivalentes en EE. UU. (p. ej., vigilancia gubernamental bajo FISA 702) ni proporciona medidas complementarias para mitigar estos riesgos, como exige la orientación del CEPD tras Schrems II.
No hay exclusión explícita para el uso de datos del usuario en el entrenamiento de IA/modelos
La política no menciona si los datos del usuario se utilizan para entrenar modelos de IA o aprendizaje automático, ni proporciona un mecanismo de exclusión para dicho uso. Esto es una laguna significativa, ya que el RGPD requiere consentimiento explícito para este tipo de procesamiento si implica toma de decisiones automatizada o elaboración de perfiles (Art. 22).
La retención de datos por motivos legales o de seguridad carece de claridad
La política establece que los datos pueden retenerse 'durante un período de tiempo prolongado' para solicitudes legales, investigaciones o para prevenir daños, pero no especifica los criterios para los períodos de retención ni cómo los usuarios pueden solicitar la eliminación de dichos datos. Esto viola el principio de limitación del almacenamiento del RGPD (Art. 5(1)(e)).
Los mecanismos de consentimiento no son claros ni granulares
La política depende del consentimiento del usuario para las transferencias de datos y algunas actividades de procesamiento, pero no proporciona opciones de consentimiento claras y granulares. Por ejemplo, los usuarios no pueden excluirse del intercambio de datos con aplicaciones o proveedores de terceros sin eliminar su cuenta por completo. El RGPD exige que el consentimiento sea libre, específico, informado y inequívoco (Art. 4(11)).
Resumen para el usuario
Si usas Facebook, espera que tus datos, incluyendo lo que publicas, tu ubicación, pagos e incluso datos de otras aplicaciones, sean recopilados, analizados y compartidos en el ecosistema de Meta y con terceros a nivel global. Tienes cierto control sobre la publicidad y la eliminación de la cuenta, pero excluirte del intercambio de datos o las transferencias no es sencillo, y tus datos pueden seguir retenidos por motivos legales o de seguridad.
Postura de cumplimiento
No cumple con el RGPD (Reglamento General de Protección de Datos) en varias áreas críticas: recolección excesiva de datos sin una necesidad clara, descripciones vagas del intercambio con terceros, dependencia del consentimiento para transferencias internacionales sin opciones granulares de exclusión, y falta de detalles sobre el entrenamiento de IA/modelos. Además, la política no especifica las bases legales para todas las actividades de procesamiento según el Art. 6 del RGPD, y el uso de cláusulas contractuales tipo para transferencias al EEE puede no ser suficiente tras la sentencia Schrems II.
Transferencias en la UE
Alto riesgo. Los datos recopilados en el EEE se transfieren a EE. UU. y otros países utilizando cláusulas contractuales tipo y el consentimiento del usuario. Sin embargo, la política no aborda la falta de protecciones equivalentes en EE. UU. (p. ej., FISA 702) ni proporciona salvaguardias para mitigar los riesgos de vigilancia, como exige el RGPD tras Schrems II. Las transferencias a terceros países no están justificadas ni limitadas adecuadamente.
Señales detectadas
Datos y prácticas específicas identificadas en el texto
Fragmentos de evidencia
Citas directas de la política que respaldan estos hallazgos
We collect the content and other information you provide when you use our Services, including when you sign up for an account, create or share, and message or communicate with others. This can include information in or about the content you provide, such as the location of a photo or the date a file was created.
We share information we have about you within the family of companies that are part of Facebook.
Information collected within the European Economic Area (“EEA”) may, for example, be transferred to countries outside of the EEA for the purposes as described in this policy. We utilize standard contract clauses approved by the European Commission, adopt other means under European Union law, and obtain your consent to legitimize data transfers from the EEA to the United States and other countries.
We transfer information to vendors, service providers, and other partners who globally support our business, such as providing technical infrastructure services, analyzing how our Services are used, measuring the effectiveness of ads and services, providing customer service, facilitating payments, or conducting academic research and surveys.
We may access, preserve and share your information in response to a legal request (like a search warrant, court order or subpoena) if we have a good faith belief that the law requires us to do so.
We use all of the information we have about you to show you relevant ads.
Ausente o poco claro
- No hay base legal clara (p. ej., Art. 6 RGPD) para cada actividad de procesamiento
- No hay opción granular de exclusión para el intercambio de datos con terceros (p. ej., con aplicaciones, proveedores o anunciantes)
- No hay confirmación ni negación explícita del uso de datos del usuario para el entrenamiento de IA/modelos
- No hay detalles sobre medidas complementarias para las transferencias internacionales que aborden los riesgos de vigilancia
- No hay períodos de retención específicos para los datos almacenados por motivos legales o de seguridad
- No hay mecanismo claro para que los no usuarios accedan, rectifiquen o eliminen sus datos
- No se menciona explícitamente la evaluación de impacto de protección de datos (EIPD) para el procesamiento de alto riesgo
Preguntas que hacer
- ¿Qué bases legales específicas (p. ej., consentimiento, contrato, interés legítimo) justifican la recolección y el procesamiento de cada categoría de datos según el RGPD?
- ¿Qué aplicaciones de terceros, proveedores o socios reciben datos de los usuarios y qué datos reciben? ¿Puede proporcionar una lista completa?
- ¿Cómo garantiza que las transferencias internacionales de datos a EE. UU. cumplan con el RGPD, dada la falta de protecciones equivalentes según la ley de EE. UU. (p. ej., FISA 702)? ¿Qué medidas complementarias están en vigor?
- ¿Se utilizan los datos de los usuarios para entrenar modelos de IA o aprendizaje automático? Si es así, ¿cuál es la base legal y cómo pueden los usuarios excluirse?
- ¿Cuáles son los períodos de retención específicos para los datos almacenados por solicitudes legales, investigaciones o motivos de seguridad? ¿Cómo pueden los usuarios solicitar la eliminación de dichos datos?
- ¿Cómo pueden los usuarios evitar que sus datos se compartan con aplicaciones, sitios web o proveedores de terceros sin eliminar su cuenta?
- ¿Cómo obtiene y documenta el consentimiento explícito y granular para las actividades de procesamiento de datos, especialmente para datos sensibles como ubicación o información de pago?
- ¿Qué salvaguardias están en vigor para proteger los datos de los no usuarios (p. ej., datos subidos por otros o recopilados de aplicaciones de terceros)?
Compartir este análisis
Cualquiera con este enlace puede ver el resultado anterior.
Creado por DentroChat
Chat de IA 100 % europeo para todos
Chatea con la IA, trabaja con archivos, genera imágenes y busca en la web. Los datos permanecen en Europa.
Otras políticas de privacidad analizadas
Ver todassimplic.com.br
45/100
Riesgo de privacidad altoLa política de privacidad de Simplic es muy invasiva para los usuarios de la UE, ya que recopila datos personales y financieros excesivos, los comparte ampliamente con terceros (incluyendo fuera de Brasil) y carece de salvaguardas específicas del RGPD o opciones de exclusión para el entrenamiento de IA/modelos.
Ver informe →hotels.com
48/100
Riesgo de privacidad altoHotels.com (Expedia Group) recopila una gama inusualmente amplia de datos personales — incluidos datos sensibles, grabaciones de voz e información de compañeros de viaje —, los comparte ampliamente con anunciantes y marcas de Expedia Group, y los utiliza para extensos fines de IA sin opción de exclusión, lo que convierte esta política en una política sedienta de datos a pesar de las decentes salvaguardas de transferencia.
Ver informe →policies.tinder.com
48/100
Riesgo de privacidad altoTinder recopila una cantidad masiva de datos personales altamente sensibles, incluida la orientación sexual, datos biométricos faciales y ubicación precisa, y los comparte ampliamente entre las empresas de Match Group y socios publicitarios, lo que la convierte en una opción de privacidad preocupante a pesar de ofrecer los derechos estándar de la UE.
Ver informe →trust.grindr.com
40/100
Riesgo de privacidad altoGrindr recopila datos profundamente sensibles, incluido el estado del VIH, la geolocalización precisa y la información biométrica, de una comunidad vulnerable, envía todo a EE. UU. sin ningún establecimiento en la UE, y se reserva el derecho de seguir entrenando IA con ellos incluso después de que el usuario opte por no participar.
Ver informe →