Tu historial de frecuencia cardiaca, sueño y variabilidad de la frecuencia cardiaca (VFC) son datos personales, y en muchos lugares la ley te permite pedir a la empresa que los tiene una copia en un plazo fijo, normalmente gratis. En la UE, esa copia debe contener todos los datos personales que la empresa trata, no un resumen. Otra cosa es lo que una empresa conserva cuando dejas de pagar: lo fijan sus propias condiciones, y algunas eliminan las cuentas sin uso al cabo de dos o tres años.
Esta guía explica qué pasa con tus datos según los principales servicios, qué te da la ley en cada región, cómo pedir una copia y cómo guardar lo que recibes. Leímos las condiciones, la política de privacidad y las páginas de ayuda de cada empresa, y los textos legales, el 22 de octubre de 2026. Las citas de textos en inglés son traducción nuestra; las de textos de la UE siguen su versión oficial en español. Es información general sobre la ley, no asesoramiento jurídico.
Quién tiene los datos de tu dispositivo
Tus datos pasan por hasta tres lugares:
- El dispositivo. Un anillo o una pulsera guarda las mediciones hasta que el teléfono las recoge. RingConn dice que el Gen 3 «guarda hasta 10 días de datos sin sincronizar» (RingConn Support).
- El teléfono. Algunas apps guardan allí los datos. La app Salud de Apple los guarda en el iPhone y, si Índice de estrés de Baevsky Un número, sin unidad, calculado a partir del histograma de los intervalos entre latidos. Sube cuando el ritmo se vuelve más estable y menos variable, algo que Baevsky interpretaba como tensión en la regulación del organismo. Más sobre Índice de estrés de Baevsky usas iCloud, con cifrado de extremo a extremo, de modo que Apple no tiene las claves (Apple Support, iCloud data security).
- Los servidores de la empresa. Muchos servicios suben tus mediciones y calculan allí las puntuaciones. El centro de ayuda de WHOOP vincula los tres pasos a la suscripción: «Una vez que haya terminado tu suscripción, WHOOP dejará de recopilar, subir y analizar tus datos biométricos» (WHOOP Support).
La ley de protección de datos no resuelve de quién son estos datos. En su lugar te da derechos sobre ellos: a verlos y a obtener una copia (artículo 15 del RGPD), a que se eliminen (artículo 17) y a llevarte a otro servicio los datos que aportaste (artículo 20). Algunas empresas van más allá en sus propios textos. La política de privacidad de Ultrahuman dice: «Los datos son tuyos y tú controlas el uso que hacemos de ellos», y la de Samsung en Estados Unidos: «Tu información personal te pertenece».
Qué pasa con tus datos cuando dejas de pagar
Cuando dejas de pagar
De los documentos de cada empresa, 22 y 24 de octubre de 2026
-
WHOOP Suscripción necesaria para usar la app por completo
- Datos pasados, sin pagar
- Los documentos de la empresa no coinciden. Centro de ayuda: sí. Condiciones: tu contenido deja de estar disponible «a través de los Servicios», y puedes pedir una copia.
- Exportación, sin pagar
- No indicado. WHOOP no dice si la exportación dentro de la app sigue funcionando cuando termina la suscripción.
- Plazo de eliminación
- No indicado. No se indica ningún plazo. Las Condiciones permiten a WHOOP eliminar tu contenido «de nuestras bases de datos activas» cuando termina el acuerdo.
- Pedir una copia
- privacy.whoop.com · privacy@whoop.com
-
Oura Suscripción necesaria para usar la app por completo
- Datos pasados, sin pagar
- En parte. Solo las tres puntuaciones diarias: «Readiness», actividad y sueño.
- Exportación, sin pagar
- Sí. CSV desde el Membership Hub, «incluso sin suscripción». La API necesita una.
- Plazo de eliminación
- No indicado. Los datos se conservan mientras la cuenta esté activa; no hay plazo para las cuentas sin usar.
- Pedir una copia
- dataprotection@ouraring.com
-
Garmin Connect Suscripción opcional
- Datos pasados, sin pagar
- Sí. La app no requiere suscripción. Al lanzar Connect+, Garmin dijo que todas las funciones y los datos existentes «seguirán siendo gratuitos».
- Exportación, sin pagar
- Sí. Toda la cuenta en un ZIP, desde el Account Management Center.
- Plazo de eliminación
- Sí. Se elimina tras 2 años sin actividad en la cuenta. Llevar puesto el reloj no cuenta.
- Pedir una copia
- privacy@garmin.com · euprivacy@garmin.com
-
Google Health (Fitbit) Suscripción opcional
- Datos pasados, sin pagar
- No indicado. Google Health Premium es opcional. Los datos del coach se conservan cuando termina; Google no dice qué más cambia.
- Exportación, sin pagar
- Sí. Google Takeout, con Google Health seleccionado.
- Plazo de eliminación
- Sí. Cuentas de Fitbit no migradas a Google: Google fijó el 15 de julio de 2026 para empezar las eliminaciones. Una cuenta de Google sin usar durante 2 años puede eliminarse.
- Pedir una copia
- support.google.com/policies/troubleshooter/7575787
-
Samsung Health Sin suscripción
- Datos pasados, sin pagar
- Sí. Samsung Health no tiene suscripción.
- Exportación, sin pagar
- Sí. «Download personal data», en la app. Samsung no enumera los archivos.
- Plazo de eliminación
- Sí. Una cuenta de Samsung sin usar durante 24 meses puede eliminarse junto con sus datos, previo aviso por correo electrónico.
- Pedir una copia
- samsung.com/request-desk
-
Apple Health Sin suscripción
- Datos pasados, sin pagar
- Sí. Sin suscripción. Los datos de Salud se guardan en el iPhone.
- Exportación, sin pagar
- Sí. «Export All Health Data», en XML, en el iPhone.
- Plazo de eliminación
- Sí. Una cuenta de iCloud inactiva durante 1 año puede cerrarse, con un aviso de 30 días.
- Pedir una copia
- privacy.apple.com
-
Withings Suscripción opcional
- Datos pasados, sin pagar
- Sí. Withings+ es opcional, y los dispositivos «siguen funcionando con normalidad» sin él. Withings dice que siempre tienes acceso directo a tus datos, sea cual sea tu suscripción.
- Exportación, sin pagar
- Sí. Un archivo CSV por correo electrónico, desde la app.
- Plazo de eliminación
- Los documentos de la empresa no coinciden. Condiciones para la UE: se elimina tras 3 años sin iniciar sesión, sin usar el dispositivo y sin hacer clic en un correo de Withings. Condiciones para EE. UU.: puede desactivarse tras 5 años sin iniciar sesión. Política de privacidad: 10 años.
- Pedir una copia
- privacy@withings.com
-
Welltory Suscripción opcional
- Datos pasados, sin pagar
- En parte. Plan gratuito: los últimos 30 días. Los datos más antiguos se eliminan si no los exportas antes.
- Exportación, sin pagar
- Sí. Un archivo desde la app web, con el mismo inicio de sesión.
- Plazo de eliminación
- Sí. Se elimina tras 3 años de inactividad.
- Pedir una copia
- support@welltory.com
-
Polar Flow Suscripción opcional
- Datos pasados, sin pagar
- Sí. Polar Flow es gratuito. La suscripción Fitness Program solo añade un programa de entrenamiento.
- Exportación, sin pagar
- Sí. Download your data, en account.polar.com, sin los datos de sueño y actividad que Polar obtiene con sus algoritmos. Sesiones e intervalos RR desde la web de Flow.
- Plazo de eliminación
- No indicado. Se conservan mientras la cuenta de Flow esté activa; no hay plazo para las cuentas sin usar.
- Pedir una copia
- privacy@polar.com
-
Ultrahuman Suscripción opcional
- Datos pasados, sin pagar
- Sí. El anillo no requiere suscripción: «acceso de por vida al anillo y a tus datos». Los PowerPlugs y Ultrahuman Max son opcionales.
- Exportación, sin pagar
- En parte. Sin botón de descarga. Un token personal de API lee tus propias métricas diarias, para programadores; en un iPhone, la app Salud guarda una copia.
- Plazo de eliminación
- No indicado. No hay plazo para las cuentas sin usar. Tus datos pueden eliminarse si cierras la cuenta.
- Pedir una copia
- legal@ultrahuman.com
Diez tarjetas, una por servicio, cada una con cuatro datos: si puedes seguir viendo los datos pasados sin pagar, si la exportación sigue funcionando sin pagar, si la empresa indica cuándo se elimina una cuenta sin usar y adónde pedir una copia. Cada dato empieza con su respuesta en palabras.
WHOOP: el centro de ayuda y las condiciones dicen cosas distintas
WHOOP no tiene versión gratuita: sus condiciones dicen que necesitas una suscripción activa para usar el servicio, y cuando la suscripción termina, los datos de la pulsera ya no se suben. Sobre los datos pasados, los documentos de WHOOP no coinciden:
- El artículo del centro de ayuda, con fecha del 22 de octubre de 2026, responde a «¿Puedo seguir viendo mis datos pasados después de cancelar?» con «Sí, podrás ver tus datos pasados, pero no se registrarán datos nuevos después de la cancelación».
- Las Condiciones de uso, con fecha del 3 de agosto de 2026, dicen que cuando la suscripción termina tu contenido «ya no estará disponible para ti a través de los Servicios, pero puedes solicitar una copia de tus datos». También dicen que, cuando termina el acuerdo, WHOOP «puede eliminar tu contenido asociado de nuestras bases de datos activas» y que «no tiene obligación de almacenar ningún contenido tuyo».
WHOOP no dice si su exportación desde la app funciona cuando la suscripción ha terminado, así que exporta los datos antes de que termine. ¿Qué pasa con mis datos de WHOOP si cancelo? explica los pasos.
Oura: tres puntuaciones, pero la exportación sigue funcionando
Sin suscripción, dice Oura, «solo podrás ver tus tres puntuaciones diarias de Oura (“Readiness”, actividad y sueño)», además de la batería, el perfil y los ajustes. Tus datos no se eliminan al cancelar, y «Incluso sin suscripción, puedes exportar todos tus datos de Oura en formato CSV desde el Membership Hub». La API necesita suscripción (Oura Member Care). Según su política de privacidad, Oura conserva los datos de medición «solo mientras tu cuenta de Oura esté activa». Más detalles en ¿Qué pasa con mis datos de Oura si cancelo?
Una página por servicio
Cada una de estas páginas explica qué dice un servicio que pasa con tus datos cuando cancelas o dejas de usarlo:
- ¿Qué pasa con mis datos de WHOOP si cancelo?
- ¿Qué pasa con mis datos de Oura si cancelo?
- ¿Qué pasa con mis datos de Garmin si dejo de usarlo?
- ¿Qué pasa con mis datos de Fitbit si cancelo?
- Samsung Health: ¿qué pasa con mis datos si lo dejo?
- ¿Qué pasa con mis datos de Withings si cancelo?
- ¿Qué pasa con mis datos de Welltory si cancelo?
- ¿Qué pasa con mis datos de Polar si dejo Flow?
- ¿Qué pasa con mis datos de Ultrahuman si cancelo?
Plazos de eliminación de las cuentas sin uso
Varias empresas eliminan las cuentas que no se usan, o se reservan el derecho de hacerlo, y «sin uso» puede no significar lo que esperas:
- Garmin: según su página de ayuda, una cuenta se elimina si no tiene actividad en ninguno de los sitios y servicios de Garmin durante al menos 2 años. Cuentan como actividad los inicios de sesión, las subidas desde un dispositivo, las compras, la interacción con los correos de marketing de Garmin y la participación en la comunidad; Garmin incluye el «Uso de un dispositivo» entre lo que no se considera actividad. Un reloj que llevas puesto a diario pero nunca sincronizas no mantiene activa la cuenta. Garmin envía antes varios avisos por correo, y «Los datos no pueden restaurarse después de ser eliminados» (Garmin Support).
- Samsung: «Las cuentas que no se hayan usado en 24 meses se clasificarán como inactivas». Tras un correo, la cuenta «y todos o algunos de sus datos asociados pueden eliminarse» (Samsung Support).
- Welltory: «Tras tres años de inactividad, tus datos personales se eliminarán». En el plan gratuito, el historial se limita a los últimos 30 días, y los datos más antiguos se eliminan si no los exportas antes (Welltory).
- Withings: sus documentos dan tres plazos. Sus condiciones de servicio para la UE dicen «WITHINGS elimina toda cuenta inactiva»: la que lleva más de tres años sin un inicio de sesión, sin un inicio de sesión desde sus dispositivos y sin un clic en un correo de Withings, tras un aviso de 90 días. Sus condiciones para EE. UU. dicen «WITHINGS puede desactivar una cuenta si el usuario no ha iniciado sesión durante un periodo de cinco (5) años». Su política de privacidad cuenta 10 años del mismo tipo de silencio antes de que una cuenta se considere inactiva y se elimine. Los tres textos estaban vigentes el 24 de octubre de 2026; cuenta con el plazo más corto que pueda aplicarse a ti.
- Apple: las condiciones de iCloud permiten a Apple cerrar una cuenta inactiva durante un año, tras avisar por correo con 30 días de antelación, y eliminar sus datos «después de un periodo de tiempo» que no precisan.
- Google: Google «se reserva el derecho a eliminar una cuenta de Google inactiva, así como su actividad y sus datos» tras al menos dos años sin actividad en Google (Google Account Help).
Cuando el propio servicio cierra
Ha habido cierres de servicios, con fechas fijas y plazos cortos:
- Las cuentas de Fitbit pasaron a cuentas de Google. «Después del 19 de mayo de 2026, ya no podrás acceder a Fitbit con tu cuenta de Fitbit». Para las cuentas que no se trasladaron, Google fijó el 15 de julio de 2026 como el día en que empezaría a procesar las eliminaciones de datos (Google Health Help).
- Microsoft Health Dashboard, el servicio que había detrás de la Microsoft Band: «Todos los datos de Microsoft Health Dashboard se eliminarán el 31/5/2019». Quienes tenían una Band podían seguir usándola sin sus funciones web (Microsoft Support).
- Suunto Movescount cerró después del 10 de enero de 2022. Desde entonces, «no podrás usar Movescount ni importar tu historial de entrenamiento desde allí» (Suunto).
- Endomondo se retiró el 31 de diciembre de 2020. Las transferencias a MapMyRun se permitieron hasta el 15 de febrero de 2021, y los datos que su titular no hubiera eliminado se borrarían después del 31 de marzo de 2021 (Endomondo Support, archivado).
- polarpersonaltrainer.com, de Polar, cerró el 31 de diciembre de 2019: «Si no transferiste tus datos a tiempo, por desgracia ahora están eliminados y no se pueden restaurar» (Polar, Privacy FAQ).
Cada cierre tuvo una fecha y un plazo para descargar los datos, pasado el cual los datos se eliminaron o ya no se podían trasladar.
Tus derechos, por región
UE y EEE: el RGPD
El RGPD se aplica a toda empresa que ofrezca bienes o servicios a personas de la UE, esté donde esté y tanto si pagas como si no (artículo 3(2)). Los datos de salud son una categoría especial (artículo 9).
- Una copia de tus datos (artículo 15). Puedes obtener la confirmación de que la empresa trata tus datos, una copia de ellos y esta información: los fines, los destinatarios, cuánto tiempo se conservarán y de dónde proceden si no vienen de ti. Si lo pides por medios electrónicos, la copia llega «en un formato electrónico de uso común», salvo que pidas otra cosa. Puedes pedir los nombres de los destinatarios, y no solo sus categorías, salvo que no sea posible identificarlos (Tribunal de Justicia, C-154/21).
- Gratis y sin dar motivos. La primera copia es gratuita, y la empresa no puede preguntarte para qué la quieres (Tribunal de Justicia, C-307/22). Solo puede negarse o cobrar cuando las solicitudes sean «manifiestamente infundadas o excesivas», algo que tiene que demostrar (artículo 12(5)). Según el Tribunal, incluso una primera solicitud puede ser excesiva, pero solo de modo excepcional: la empresa tiene que demostrar que se presentó con una intención abusiva, como la de fabricar una reclamación de indemnización (C-526/24). Si tiene dudas razonables, puede pedirte que confirmes quién eres (artículo 12(6)).
- Un mes. La empresa debe responder «sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud». Puede ampliarlo otros dos meses «en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes», pero debe avisarte dentro del primer mes e indicar el motivo (artículo 12(3)).
- La portabilidad (artículo 20). Para los datos que aportaste, puedes obtenerlos «en un formato estructurado, de uso común y lectura mecánica» y pedir que se envíen a otro servicio. Se aplica cuando el tratamiento se basa en tu consentimiento o en un contrato y es automatizado.
- Una reclamación (artículo 77) ante la autoridad de control del lugar donde vives o trabajas, o donde ocurrió el problema. El Comité Europeo de Protección de Datos (CEPD) publica la lista de autoridades de cada país (CEPD).
Reino Unido
El RGPD del Reino Unido mantiene los mismos derechos, y una organización «debe responder sin dilación indebida y en el plazo de un mes» (ICO). La Data (Use and Access) Act 2025 cambió tres cosas:
- Tienes derecho a lo que la empresa encuentre con «una búsqueda razonable y proporcionada», una regla que se trata como vigente desde el 1 de enero de 2024 (sección 78).
- Desde el 5 de febrero de 2026, si la empresa necesita razonablemente más información para identificar lo que abarca tu solicitud y te la pide, el plazo de un mes se detiene hasta que respondas (sección 76, vigente desde esa fecha según el reglamento de entrada en vigor de 2026). La guía de la ICO añade: «No se puede obligar a nadie a reducir el alcance de su solicitud».
- Desde el 19 de junio de 2026, tienes derecho a reclamar a la propia empresa, que debe acusar recibo de la reclamación en un plazo de 30 días (sección 103). Sigues pudiendo reclamar ante la ICO, que en la mayoría de los casos recomienda plantear primero la queja a la empresa.
California
La California Consumer Privacy Act se aplica a las empresas con ánimo de lucro que hacen negocios en California y cumplen uno de tres umbrales: unos ingresos anuales superiores a 25 millones de dólares (ajustados por inflación), comprar, vender o compartir la información personal de 100.000 o más consumidores u hogares, u obtener la mitad o más de sus ingresos de venderla o compartirla (Civil Code, sección 1798.140).
- Puedes pedir «los elementos concretos de información personal» que la empresa recopiló sobre ti (sección 1798.110), y las inferencias que se hayan extraído sobre ti también son información personal (sección 1798.140(v)).
- La empresa tiene 45 días, ampliables una vez otros 45 cuando sea razonablemente necesario, si te avisa dentro de los primeros 45. La respuesta es gratuita y de lectura mecánica «en la medida en que sea técnicamente posible» (sección 1798.130).
- Por defecto abarca los últimos 12 meses. Puedes pedir datos desde el 1 de enero de 2022; la empresa que diga que es imposible o desproporcionado debe explicar por qué con detalle (reglamento de la CCPA, § 7024(h)).
- Una empresa no tiene que responder más de dos veces en 12 meses (sección 1798.130(b)).
Las reclamaciones van a la California Privacy Protection Agency o al fiscal general. Otros estados de Estados Unidos tienen sus propias leyes: Garmin, por ejemplo, dice que los residentes de «cualquier estado de EE. UU. con una ley integral de privacidad» pueden pedir acceso, corrección, eliminación o una copia portable (Garmin).
Brasil, Japón, Corea del Sur y Rusia
| Lugar y ley | Qué puedes pedir | Plazo | Si no responden |
|---|---|---|---|
| Brasil, LGPD | Acceso, gratuito (art. 18). Una copia electrónica completa cuando el tratamiento se basa en el consentimiento o en un contrato, en los términos que fije la ANPD (art. 19 § 3) | Una respuesta simplificada en el acto; una declaración clara y completa en un plazo de 15 días desde la solicitud (art. 19) | Una petición a la ANPD, la autoridad de protección de datos |
| Japón, APPI | Que te comuniquen tus datos, también en formato electrónico (art. 33). Se permite una tarifa razonable (art. 38) | «Sin demora», sin fijar un número de días | La línea de consultas de la Personal Information Protection Commission |
| Corea del Sur, PIPA | Ver tus datos (art. 35). El derecho a que se transmitan los datos (art. 35-2) se aplica por ahora solo a responsables designados, como algunos organismos de salud, operadores móviles y suministradores de energía, y no a los datos que la empresa haya derivado | 10 días (reglamento de desarrollo, art. 41); la empresa puede aplazar la respuesta por una razón justificada, con aviso (art. 35) | Una denuncia ante la Personal Information Protection Commission (art. 62) |
| Rusia, 152-FZ | Información sobre el tratamiento, incluidos los propios datos (art. 14). No encontramos un derecho a una copia electrónica ni a la portabilidad | 10 días hábiles, más hasta 5 con una notificación motivada (art. 20) | El organismo autorizado de protección de datos, o un tribunal (art. 17) |
El texto ruso es una copia consolidada que publica ConsultantPlus, porque no se pudo acceder al portal oficial. En Corea, desde el 20 de febrero de 2027 el derecho a que te envíen los datos abarcará también a las grandes empresas, según sus ingresos y su número de usuarios (reglamento de desarrollo, art. 42-2).
En el gráfico siguiente, un mes se dibuja como 30 días y los días hábiles de Rusia como cinco por semana, sin contar los festivos, de modo que 10 días hábiles se muestran como 14 días naturales y 15 como 21.
Un gráfico de barras con los plazos de respuesta en días naturales, una barra por lugar, de 0 a 90 días. UE y EEE (RGPD): 1 mes, hasta 3 cuando sea necesario por solicitudes complejas o numerosas. Reino Unido (UK GDPR): 1 mes, hasta 3 cuando sea necesario por solicitudes complejas o numerosas. California (CCPA): 45 días, hasta 90 cuando sea razonablemente necesario, con aviso. Brasil (LGPD): 15 días para la declaración completa. Corea del Sur (PIPA): 10 días; puede aplazarse indicando el motivo. Rusia (152-FZ): 10 días hábiles, hasta 15 con una notificación motivada. Japón (APPI): «Sin demora»: no se da un número de días.
Una copia significa todos tus datos, no el resumen de la app
Si una app te muestra la frecuencia cardiaca minuto a minuto y con un historial de varios años, y la obtiene de los servidores de la empresa, la empresa tiene esos datos y los trata. Nuestra interpretación es que, según el RGPD, la copia que pidas debería contenerlos con ese nivel de detalle, y no medias diarias. Tres fuentes respaldan esta interpretación:
- El Tribunal de Justicia. Una copia es «la reproducción o transcripción auténtica de un original», así que no vale «una descripción puramente general de los datos». «Por lo tanto, la copia debe contener todos los datos personales objeto de tratamiento» (C-487/21, apartados 21 y 32), y debe «reproducir de forma íntegra y auténtica esos datos» (apartado 39). Los datos personales incluyen «toda la información resultante de un tratamiento de datos personales» (apartado 26); por la misma lógica, eso abarca las puntuaciones que se calculan a partir de tus mediciones.
- Datos de salud en forma de resumen. En un caso sobre historiales médicos, el Tribunal dijo que la entrega de «un mero resumen o de una compilación de estos datos», para presentarlos «en forma sintética», podría crear el riesgo de que «se omitan o se reproduzcan incorrectamente determinados datos pertinentes» (C-307/22, apartado 78).
- El Comité Europeo de Protección de Datos. El acceso «no puede entenderse como una mera concesión de un resumen de los datos» (Directrices 01/2022, apartado 23). Incluye los datos en bruto de dispositivos conectados y «los resultados de una evaluación de la salud» (apartado 97). Y «el uso de herramientas de autoservicio nunca debe limitar el alcance de los datos personales recibidos» (apartado 138): un botón de exportación no sustituye a una copia completa.
La propia documentación para desarrolladores de Oura muestra por qué importa. Dice que la frecuencia cardiaca media RR medio El tiempo medio entre latidos en un registro, en milisegundos. La frecuencia cardiaca es el mismo valor al revés: 60.000 dividido entre el RR medio. Más sobre RR medio de la noche se «basa en muestras de 30 segundos», mientras que «la app muestra la media de muestras de frecuencia cardiaca agregadas de 5 minutos» (Oura API). La empresa trabaja con datos más detallados que los que muestra la app y, según esta interpretación, una copia completa debería incluir lo que Oura conserve de ellos. Oura no dice cuánto tiempo conserva los datos de 30 segundos.
Tres sitios, de arriba abajo: en el dispositivo ponible, en tu teléfono y en los servidores de la empresa. Los servidores contienen tres capas, cada una dibujada con menos marcas que la anterior. Para cada capa se señalan tres vías: el botón de exportación, una copia conforme al artículo 15 y la portabilidad conforme al artículo 20. En el dispositivo ponible, Lecturas a la espera de sincronizarse: Un anillo o una banda guarda los datos hasta que el teléfono los recoge: hasta 10 días en un RingConn Gen 3. Ninguna empresa los tiene todavía. Botón de exportación: No llega. Copia: No llega. Portabilidad: No llega. En tu teléfono, Datos que solo están en el teléfono: La app Salud de Apple guarda sus datos en el iPhone, y con cifrado de extremo a extremo en iCloud. Expórtalos desde el teléfono: una empresa solo puede copiar lo que tiene. Botón de exportación: Llega. Copia: Depende. Portabilidad: Depende. En los servidores de la empresa, Muestras detalladas: Con lo que trabaja la empresa. La API de Oura describe la frecuencia cardiaca durante el sueño «basada en muestras de 30 segundos». Botón de exportación: Depende. Copia: Llega. Portabilidad: Llega. En los servidores de la empresa, Lo que muestra la app: Valores calculados a partir de las muestras. Oura dice que su app muestra la frecuencia cardiaca «agregada en 5 minutos». Botón de exportación: Depende. Copia: Llega. Portabilidad: Depende. En los servidores de la empresa, Puntuaciones: Un número al día calculado por la empresa: «Readiness», «Recovery», una puntuación de sueño. Botón de exportación: Depende. Copia: Llega. Portabilidad: No llega.
Hasta dónde llega el argumento
- Todavía no hay sentencias sobre relojes ni anillos. C-487/21 trataba de una agencia de información crediticia y C-307/22 de un dentista. Aplicarlos a un anillo o a un reloj es un argumento por analogía, no una sentencia, y una empresa o una autoridad pueden verlo de otro modo.
- Solo los datos que la empresa aún conserva. Una empresa no tiene que dar los datos que ya no tiene, por ejemplo tras su periodo de conservación. No debe eliminar datos para eludir una solicitud (CEPD, apartados 37 y 39).
- Solo los datos que la empresa trata. Si el detalle está únicamente en tu teléfono, como en la app Salud de Apple, la empresa no tiene nada que copiar. En ese caso, expórtalos desde el teléfono.
- Solicitudes grandes. Cuando una empresa tiene una gran cantidad de datos sobre ti, puede pedirte que concretes la información o el tratamiento a que se refiere tu solicitud antes de entregar los datos (considerando 63 del RGPD). El CEPD menciona el caso de las empresas que pueden tratar «una gran cantidad de datos en relación con las actividades frecuentes del interesado durante un período de tiempo prolongado» (apartado 35). Si nombras los datos y las fechas en tu solicitud, te ahorras ese intercambio.
- Formato. El artículo 15 pide un formato electrónico de uso común; el CEPD acepta que incluso un PDF puede servir para el acceso (apartado 156). Un archivo de lectura mecánica es un derecho del artículo 20, y abarca los datos que aportaste, como «el ritmo cardíaco registrado por un dispositivo ponible», pero no las puntuaciones que la empresa infiere. Para esos datos, cuando no hay un formato de uso común en el sector, el Grupo de Trabajo del Artículo 29 pidió formatos abiertos como XML, JSON y CSV «con el mejor nivel posible de granularidad» (WP242).
- Secretos comerciales. Una empresa puede proteger su algoritmo, pero «estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado» (considerando 63 del RGPD).
- Fuera de la UE. El Reino Unido limita la búsqueda a lo razonable y proporcionado. California abarca por defecto «los elementos concretos de información personal» de 12 meses, y una empresa no tiene que responder más de dos veces en 12 meses.
Cómo pedir una copia
Escribe a la dirección que figura en la política de privacidad de la empresa (la figura de arriba las enumera para diez servicios) o usa su formulario de privacidad, y guarda una copia con fecha de lo que envíes. El generador de cartas de solicitud de datos de este sitio reúne estos puntos en una carta.
Después:
- Anota el plazo. Un mes en la UE y el Reino Unido; 45 días en California. Cuenta desde el día en que la empresa recibe la solicitud o, en el Reino Unido, desde el día en que tiene lo que necesita para confirmar tu identidad.
- Responde enseguida a las comprobaciones de identidad. La empresa puede pedirte que confirmes quién eres, y el plazo puede quedar en suspenso hasta que lo hagas.
- Compara lo que recibas con tu lista. Si faltan tipos de datos o fechas, vuelve a escribir e indica cuáles.
- Si no hay respuesta pasado el plazo, envía un recordatorio que cite tu primera solicitud y su fecha. Después, en la UE, presenta una reclamación ante tu autoridad de protección de datos; en el Reino Unido, ante la empresa y luego ante la ICO, como recomienda la ICO; en California, ante la California Privacy Protection Agency o el fiscal general.
Qué recibes y cómo abrirlo
La mayoría de las empresas envían un archivo ZIP, con un enlace por correo o en su portal de privacidad. Descárgalo antes de que caduque el enlace: los enlaces de exportación de WHOOP caducan a los 7 días (WHOOP Support).
- CSV: una tabla que se abre en cualquier hoja de cálculo. Comprueba las unidades: Oura da las duraciones en segundos.
- JSON: texto estructurado, que se puede leer en un editor de texto o en un navegador.
- FIT: el formato binario de Garmin para actividades y archivos diarios de bienestar. Las herramientas del SDK FIT de Garmin incluyen FitCSVTool, «una herramienta de línea de comandos para convertir archivos FIT binarios en archivos de texto legibles» (Garmin Developers). Las herramientas se rigen por la licencia del protocolo FIT de Garmin.
- XML: la exportación de la app Salud de Apple. Su archivo principal,
export.xml, puede ser muy grande.
Cómo exportar tu VFC desde cualquier dispositivo explica qué contiene la exportación de cada plataforma, y el conversor de RR convierte un archivo con intervalos latido a latido en una lista simple en tu navegador, sin subirlo.
Cómo archivar los datos para que sigan siendo útiles
- Conserva el original intacto. Guarda el archivo comprimido exactamente como llegó, con un nombre que lleve la fecha y el servicio, como
2026-10-22_whoop_export.zip, y trabaja solo con copias. - Guarda una suma de comprobación junto a él, por ejemplo con
shasum -a 256 2026-10-22_whoop_export.zip > 2026-10-22_whoop_export.zip.sha256, y verifícala de vez en cuando. Una suma de comprobación indica si un archivo ha cambiado (NDSA, guía sobre integridad). - Guarda una copia de trabajo en formatos abiertos. Descomprímela, convierte los archivos FIT a CSV y conserva el CSV, el JSON y el XML tal como llegaron.
- Usa una carpeta con fecha por cada exportación:
| Carpeta o archivo | Qué contiene |
|---|---|
health-data/whoop/2026-10-22/ | Una exportación, por servicio y fecha |
original/ | El archivo comprimido tal como llegó y su archivo .sha256 |
extracted/ | Los archivos descomprimidos y convertidos |
README.txt | Qué son los archivos |
- Escribe un README en cada carpeta: el dispositivo y la versión de la app, las unidades, qué medida de VFC son los valores (la de WHOOP es el RMSSD RMSSD Raíz cuadrada de la media de los cuadrados de las diferencias sucesivas: medida de VFC basada en cuánto difiere cada intervalo entre latidos del siguiente, en milisegundos. Refleja sobre todo la actividad vagal. Más sobre RMSSD y la de Apple, el SDNN SDNN La desviación estándar de todos los intervalos NN de un registro, en milisegundos. Mide la variabilidad global, y su valor depende mucho de la duración del registro. Más sobre SDNN ) y la zona horaria (WHOOP Support, Apple Health). Sin esa nota, los valores de servicios distintos no se pueden comparar.
- Guarda tres copias: «Guarda 3 copias de cualquier archivo importante: 1 principal y 2 de respaldo», en dos tipos de almacenamiento, con una copia fuera de casa (US-CERT, Data Backup Options).
- Cifra las copias de seguridad. Estos archivos son datos de salud.
- Exporta con regularidad, cada pocos meses, y no solo cuando dejes el servicio. Los plazos de eliminación, los cierres de servicios y los enlaces que caducan te dejan solo con las copias que ya hayas hecho.
Esta página es información general sobre la ley de protección de datos, no asesoramiento jurídico.