SDKs publicitarios filtran datos de ubicación de 60M usuarios: guía para founders

La filtración silenciosa de datos de ubicación que afecta a 60 millones de usuarios

Según un informe de la Electronic Frontier Foundation publicado el 4 de agosto de 2026, desarrolladores de aplicaciones Android están compartiendo sin saberlo los datos de ubicación de sus usuarios con anunciantes. La investigación revela que dos aplicaciones específicas con más de 60 millones de descargas combinadas estaban transmitiendo información de ubicación precisa a terceros a través de SDKs publicitarios.

Bill Budington, tecnólogo senior de la EFF, explica que estos SDKs representan un pequeño porcentaje del ecosistema publicitario más amplio, pero aún así afirman llegar a miles de millones de usuarios en decenas de miles de aplicaciones. El problema radica en que una vez que un usuario otorga permisos de ubicación a una aplicación, los SDKs publicitarios integrados heredan automáticamente esos mismos permisos sin notificación adicional.

Cómo funcionan estas filtraciones por defecto

La investigación de la EFF identificó cuatro SDKs publicitarios que reconocen públicamente recopilar y compartir la ubicación de los usuarios por defecto cuando están integrados en aplicaciones Android con permisos de ubicación:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

InMobi: Alcanza más de 2 mil millones de usuarios en 150+ países y es el décimo SDK publicitario más popular en Android. Su documentación para desarrolladores establece que «el SDK de InMobi reenvía automáticamente las señales de ubicación cuando están disponibles» y recomienda explícitamente compartir datos de ubicación porque «las impresiones enriquecidas con ubicación generalmente generan mayores ingresos».
BidMachine: Alcanza más de 600 millones de usuarios directos de SDK. Su documentación originalmente indicaba que «el SDK puede rastrear automáticamente la ubicación del dispositivo del usuario para ofrecer mejores anuncios» siempre que los desarrolladores soliciten permisos de ubicación para su aplicación.
Verve (HyBid SDK): Alcanza más de 1.5 mil millones de usuarios en más de 10,000 aplicaciones. Su guía de configuración deja claro que el seguimiento de ubicación está «habilitado por defecto», afirmando que «si el usuario ha otorgado permisos de ubicación, el SDK HyBid usará la ubicación del usuario disponible para proporcionar anuncios mejor dirigidos».
Huawei (Petal Ads SDK): Integrado en más de 85,000 aplicaciones en todo el mundo. Su guía de integración comienza recomendando que los desarrolladores obtengan permisos de ubicación para aumentar los ingresos de la aplicación y reconoce que el intercambio de ubicación ocurrirá por defecto en aplicaciones con permisos de ubicación.

El problema fundamental: permisos heredados sin consentimiento específico

El informe de la EFF establece que «no hay permisos de ubicación específicos para SDKs», lo que significa que una vez que el usuario permite que sus datos de ubicación se compartan con la aplicación, sus datos de ubicación también se comparten con los anunciantes. Las entidades que ofrecen esos SDKs generalmente tienen incentivos comerciales para que sus clientes recopilen más datos.

«Los permisos de ubicación a nivel de aplicación por sí solos no pueden indicar un consentimiento significativo para la recopilación y el intercambio de ubicación por parte de los SDKs publicitarios de terceros», escribió la EFF. «Los SDKs publicitarios no deberían hacer que compartir datos personales sea el valor predeterminado, especialmente para datos tan sensibles como la ubicación de una persona».

¿Qué significa esto para tu startup de apps?

Si desarrollas aplicaciones móviles o tienes un equipo de desarrollo, esta investigación tiene implicaciones directas para tu negocio:

1. Riesgo de multas y daño reputacional

Los reguladores están intensificando su escrutinio sobre las prácticas de privacidad de datos. Según la EFF, los reguladores «deberían continuar responsabilizando a los desarrolladores de aplicaciones cuando compartan ilegalmente datos personales e incluyan bibliotecas que sometan a los usuarios a daños de privacidad». Una violación de privacidad que afecte a millones de usuarios podría resultar en multas significativas y daños irreparables a la reputación de tu marca.

2. Pérdida de confianza del usuario

Los usuarios que descubren que sus datos de ubicación se comparten sin su conocimiento explícito pueden abandonar tu aplicación y dejar reseñas negativas. En un mercado donde la confianza del usuario es cada vez más valiosa, este tipo de revelaciones pueden ser devastadoras para las tasas de retención y adquisición.

3. Complejidad en el cumplimiento regulatorio

Con regulaciones como el GDPR en Europa, la LGPD en Brasil y diversas leyes estatales de privacidad en Estados Unidos, las empresas deben garantizar el cumplimiento en múltiples jurisdicciones. El intercambio no intencional de datos de ubicación podría poner a tu startup en violación de estas regulaciones.

Acciones concretas que puedes implementar hoy

1. Auditoría completa de tus SDKs publicitarios

Revisa cada SDK publicitario integrado en tu aplicación y verifica sus configuraciones predeterminadas de recopilación de datos. Según la EFF, los desarrolladores «deben evaluar cuidadosamente todos los SDKs de terceros que incluyen en sus aplicaciones y deshabilitar la recopilación de datos innecesaria siempre que sea posible».

Pasos específicos:

Crea un inventario de todos los SDKs en tu aplicación
Revisa la documentación de cada SDK para configuraciones de privacidad
Deshabilita explícitamente la recopilación de ubicación si no es esencial
Documenta todas las configuraciones de privacidad implementadas

2. Implementa consentimiento granular y transparente

Ve más allá de los permisos del sistema operativo. Implementa pantallas de consentimiento dentro de tu aplicación que expliquen claramente:

Qué datos se recopilan
Con quién se comparten
Para qué propósitos
Cómo los usuarios pueden optar por no participar

Mejora práctica: Crea un «centro de privacidad» dentro de tu aplicación donde los usuarios puedan ver y controlar todos los aspectos del intercambio de datos.

3. Revisa y actualiza tus declaraciones de Google Play Store

Asegúrate de que la sección «Seguridad de datos» de tu aplicación en Google Play refleje con precisión qué datos se comparten y con quién. La EFF encontró que ni QR Scanner (50+ millones de descargas) ni GPS Speedometer (10+ millones de descargas), dos aplicaciones identificadas en su investigación, incluían datos de ubicación bajo «Esta aplicación puede compartir estos tipos de datos con terceros» en Google Play.

4. Considera modelos de monetización alternativos

Si tu aplicación depende en gran medida de la publicidad, explora alternativas:

Modelos freemium con funciones premium
Suscripciones
Compras dentro de la aplicación
Patrocinios de marca más transparentes

5. Establece procesos de revisión de privacidad para nuevas integraciones

Crea un checklist de privacidad que todo nuevo SDK o integración de terceros debe pasar antes de ser implementado:

¿Recopila datos de ubicación?
¿Está habilitado por defecto?
¿Cómo se pueden deshabilitar estas funciones?
¿Cumple con las regulaciones relevantes?
¿Qué controles ofrece a los desarrolladores?

El panorama regulatorio en evolución

La EFF señala que Estados Unidos «necesita desesperadamente una ley federal para proteger la privacidad de ubicación de todos los estadounidenses». Mientras tanto, países de todo el mundo están promulgando legislación que protege la privacidad de ubicación de sus usuarios. Como fundador, debes anticipar que las regulaciones se volverán más estrictas, no más flexibles.

Recomendación estratégica: Adopta un enfoque «privacy by design» donde la privacidad del usuario sea una consideración fundamental desde las primeras etapas de desarrollo, no una adición posterior.

Conclusión

La investigación de la EFF revela un problema sistémico en el ecosistema de desarrollo de aplicaciones Android: los SDKs publicitarios están diseñados para maximizar la recopilación de datos, a menudo a expensas de la privacidad del usuario y sin el conocimiento completo del desarrollador. Para los fundadores de startups tecnológicas, esto representa tanto un riesgo como una oportunidad.

El riesgo es significativo: multas regulatorias, pérdida de confianza del usuario y posibles acciones legales. La oportunidad es igualmente importante: las aplicaciones que priorizan la transparencia y el control del usuario se diferenciarán en un mercado cada vez más consciente de la privacidad.

La solución no es evitar la monetización por publicidad por completo, sino implementarla de manera responsable, transparente y controlada. Como fundador, tu decisión hoy sobre cómo manejar los datos de ubicación de los usuarios podría definir la trayectoria a largo plazo de tu startup.