Loom y el RGPD: qué deben comprobar las agencias de la UE

Loom se puede usar cumpliendo el RGPD, pero tienes que revisar tú algunos documentos y ajustes. Atlassian, propietaria de Loom, aplica automáticamente su Data Processing Addendum (DPA) y ofrece residencia de datos en la UE para los workspaces nuevos desde mayo de 2026, pero parte del tratamiento (transcripción, funciones de IA, datos de la cuenta) pasa por proveedores y ubicaciones fuera de la región que elijas. Cada dato de este artículo sale de las propias páginas de Atlassian, consultadas en noviembre de 2026.

Hacemos un grabador de pantalla que compite con Loom, así que nos hemos ceñido estrictamente a lo que publica Atlassian, con enlaces. Cuando Loom es la mejor opción, lo decimos.

La respuesta corta

Pregunta	Qué dice Atlassian	Dónde
¿Hay DPA?	✓ Se aplica automáticamente con el Atlassian Customer Agreement	DPA de Atlassian
Papel de Atlassian	Encargado (o subencargado) del tratamiento de tus datos	DPA, sección 1.1
¿Residencia de datos en la UE?	~ Alemania (Fráncfort) desde mayo de 2026, solo workspaces nuevos	Residencia de datos de Loom
¿Se puede cambiar de región después?	✗ Necesitas un workspace nuevo; los vídeos no se pueden trasladar	Residencia de datos de Loom
Transferencias fuera de la UE	Cláusulas contractuales tipo de la UE y Marco de Privacidad de Datos UE-EE. UU.	DPA
Subencargados	✓ Lista pública, con 30 días de preaviso a los suscriptores para los nuevos	Página de subencargados, DPA sección 4
Reglas de conservación	~ Solo Enterprise y Business + AI, en workspaces gestionados por Atlassian	Conservación de datos de Loom

Según las páginas de Atlassian, consultadas en noviembre de 2026. Loom es una marca registrada de Atlassian.

Quién responde de qué

El DPA de Atlassian fija los papeles: el cliente es el responsable del tratamiento de sus datos (o un encargado que actúa para otro responsable), y Atlassian es encargado o subencargado. La política de privacidad de Atlassian dice lo mismo desde el otro lado: cubre lo que Atlassian hace como responsable, como la información de la cuenta, y no se aplica cuando Atlassian trata datos por cuenta de sus clientes.

Para una agencia, eso supone dos niveles. Tu agencia responde de los vídeos que graba, y si contienen datos de tu cliente, puede que estés actuando por cuenta de tu cliente. Loom, a través de Atlassian, trata los vídeos por cuenta tuya. Explicamos con palabras sencillas los papeles de responsable y encargado en RGPD y vídeos de clientes.

Dónde guarda Loom tus datos

Por defecto, Atlassian no garantiza una ubicación de alojamiento concreta: su página sobre el RGPD dice que la ubicación se elige para reducir la latencia y mejorar el rendimiento. Su lista de subencargados muestra al principal proveedor de alojamiento, Amazon Web Services, con ubicaciones en el EEE (Suecia, Irlanda y Alemania), el Reino Unido, Suiza, EE. UU. y otros países.

Para fijar los datos en una región necesitas residencia de datos. Para Loom, la página de soporte de Atlassian dice:

• Regiones: Alemania (Fráncfort) y Estados Unidos (Oregón), disponibles desde mayo de 2026.
• Qué incluye: vídeos, comentarios, transcripciones, contenido generado por IA como resúmenes y documentos, ajustes del workspace, artefactos de edición y funciones de colaboración se guardan y se tratan en la región elegida.
• Qué se trata a nivel global: autenticación de usuarios, datos de sesión, ajustes y preferencias de usuario, pertenencia a la organización, registros de auditoría (que solo guardan identificadores) y funciones que cruzan workspaces, como notificaciones, historial y ver más tarde. Atlassian dice que no exporta ni trata contenido de los clientes en bruto fuera de la región para el funcionamiento normal.
• Quién puede tenerla: los workspaces de Loom independientes nuevos, los clientes nuevos de Teamwork Collection y los clientes de Jira o Confluence que añaden un workspace de Loom nuevo. Las implantaciones de Loom existentes aparecen como «future release» (versión futura) y los clientes de Loom Legacy como «post-migration» (tras la migración).
• Límites: la región se fija al crear el workspace y no se puede cambiar. El contenido no se puede transferir entre los workspaces europeos y los de EE. UU.

Sobre los planes: la página general de residencia de datos de Atlassian incluye Loom entre los productos con planes Standard, Premium y Enterprise, mientras que la página de precios de Loom usa otros nombres de plan (Starter, Business, Business + AI, Enterprise) y no menciona la residencia de datos. Si la residencia en la UE es un requisito, pregunta al equipo comercial de Atlassian qué plan de Loom necesitas antes de comprar.

El DPA

El DPA de Atlassian (en vigor desde el 17 de agosto de 2026) es el contrato que cubre el tratamiento de tus datos en Loom. Los puntos que conviene conocer:

• Sin firma aparte. Las preguntas frecuentes de Atlassian dicen que el DPA se aplica automáticamente cuando tu organización acepta el Atlassian Customer Agreement. Atlassian también dice que no puede trabajar con el modelo de DPA de tu propia organización.
• Transferencias. Para los datos que salen de Europa hacia un país sin decisión de adecuación, las cláusulas contractuales tipo de la UE se incorporan por referencia, y se considera que ambas partes las han firmado. Atlassian también participa en el Marco de Privacidad de Datos UE-EE. UU. Si quieres tenerlas archivadas, hay disponible una copia prefirmada de las cláusulas.
• Subencargados. Atlassian avisa con al menos 30 días de antelación a los clientes suscritos antes de que un subencargado nuevo empiece a tratar tus datos, y puedes oponerte durante ese plazo.
• Supresión. Cuando termina el contrato, Atlassian debe suprimir tus datos personales, aunque puede conservarlos cuando la ley lo exige o según sus políticas estándar de copias de seguridad y conservación de registros, protegiéndolos igualmente según el DPA.

Atlassian también publica material para ayudar a sus clientes con las evaluaciones de impacto de las transferencias de datos, enlazado desde la página del DPA.

Los subencargados que tocan Loom

La lista de subencargados de Atlassian (en vigor desde el 15 de mayo de 2026) indica los proveedores de cada producto. Para Loom incluye, entre otros:

Proveedor	Qué hace para Loom	Ubicación indicada
Amazon Web Services	Alojamiento en la nube	EEE, Reino Unido, Suiza, EE. UU. y otros
Speechmatics (Cantab Research Ltd)	Transcripción	EE. UU.
OpenAI	IA generativa para las funciones de Loom AI	EE. UU.
Twilio Segment	Analítica de datos	EE. UU.
Zendesk, PartnerHero	Atención al cliente	EE. UU.; Filipinas, Rumanía, Sudáfrica

Página de subencargados de Atlassian, en vigor desde el 15 de mayo de 2026, consultada en noviembre de 2026. Loom es una marca registrada de Atlassian.

La lista cambia con el tiempo, así que consulta la página actual en lugar de esta tabla, y suscríbete a las notificaciones si dependes de Loom.

Funciones de IA y transcripción

Aquí es donde se concentran la mayoría de las preguntas, porque las transcripciones contienen cada palabra que dijiste en el vídeo.

La página de Loom AI de Atlassian dice:

• La transcripción usa los modelos GPT de OpenAI y Gemini de Google, Whisper (de código abierto) alojado por Atlassian y el proveedor de transcripción Speechmatics. La página no dice cuál se encarga de cada vídeo.
• OpenAI recibe el texto de la transcripción para generar títulos, resúmenes, capítulos y documentos. No recibe vídeo ni audio, y no recibe datos de la transcripción cuando no se usa Loom AI.
• Google Gemini recibe vídeo y audio para generar los Action Plans for AI Agents.
• Conservación y entrenamiento: según Atlassian, ni OpenAI ni ningún otro proveedor de LLM conserva tus entradas y salidas, y no las usan para mejorar sus servicios.
• Controles: los administradores de los workspaces Business + AI y Enterprise pueden activar o desactivar los ajustes de IA para el equipo entero; los usuarios también pueden fijar sus valores por defecto o desactivar funciones en un solo vídeo.

Las transcripciones están disponibles en todos los planes de Loom, incluido el gratuito Starter. Al evaluarlo, hay dos cosas que encajar: la página de residencia de datos dice que las transcripciones y el contenido de IA se guardan y se tratan en tu región, mientras que la lista de subencargados muestra a Speechmatics y OpenAI con ubicación en EE. UU. Pregunta a Atlassian cómo funciona esto en un workspace con residencia en la UE, y pide la respuesta por escrito. Si lo que más te preocupa es adónde va tu voz, comparamos los dos enfoques en transcripción en local o en la nube.

Conservación y supresión

El RGPD te pide no conservar los datos personales más tiempo del necesario. En Loom, el borrado automático es una regla de conservación de datos, y la página de Atlassian dice:

• Las reglas de conservación están disponibles en los planes Enterprise y Business + AI, y solo en workspaces gestionados por Atlassian (no en los que siguen en la consola de administración antigua de Loom).
• Los administradores pueden conservar los vídeos indefinidamente o fijar un periodo en días o años, para el workspace entero o por espacio.
• El periodo se cuenta desde la fecha de creación del vídeo.
• El borrado incluye grabaciones, transcripciones, resúmenes de IA y comentarios, y es definitivo. Se borran hasta 2.000 vídeos por workspace al día.

Así que en los planes Starter y Business los vídeos se quedan hasta que alguien los borra. Es el modelo de biblioteca permanente del que hablamos en por qué los enlaces de vídeo que caducan son más seguros.

Qué preguntar a cualquier herramienta de vídeo

Las mismas comprobaciones valen para Loom, para JustRec y para cualquier otra herramienta que use tu agencia para enviar vídeos a clientes. Cada respuesta está en un documento que el proveedor debería publicar.

Pregunta	Por qué importa	Dónde mirar
¿Hay un DPA para este producto? ¿Tengo que firmarlo?	El artículo 28 del RGPD exige un contrato con cada encargado del tratamiento	DPA o página legal
¿El proveedor es encargado del tratamiento de mis vídeos? ¿Qué hace como responsable?	Decide quién responde de qué	DPA (papeles), política de privacidad
¿Dónde se guardan vídeos, transcripciones y comentarios? ¿Puedo elegir la UE?	Alojar en la UE evita una transferencia en ese paso	Documentación de residencia de datos o de seguridad
¿Qué se trata fuera de esa región, y quién lo trata?	La transcripción y la IA suelen ser por donde salen los datos	Lista de subencargados
¿Me avisan antes de que empiece un subencargado nuevo?	Puede que quieras oponerte, o avisar a tus clientes	Lista de subencargados, DPA
¿Qué mecanismo cubre los datos que salen de la UE?	Va en tu registro de las actividades de tratamiento	DPA (transferencias)
¿Mi voz se envía a un proveedor de transcripción o de IA? ¿Puedo desactivarlo?	Una transcripción contiene cada palabra que dijiste	Documentación de IA o de transcripción
¿Se usa mi contenido para entrenar modelos, del proveedor o de terceros?	Los datos de tu cliente podrían acabar en los datos de entrenamiento de otro	Documentación de IA, condiciones del servicio
¿Cuánto se conservan los vídeos compartidos? ¿Se pueden borrar automáticamente?	Los datos personales no deben conservarse más de lo necesario	Documentación de conservación, comparativa de planes
¿Qué pasa con mis datos si me doy de baja?	La supresión o devolución al final forma parte del contrato con el encargado	DPA (supresión)
¿La página del vídeo pone cookies o rastrea a quien lo ve?	Tu cliente es la persona rastreada	Política de cookies, la propia página del vídeo

Apunta las respuestas: van en tu registro de las actividades de tratamiento, y tus clientes pueden pedírtelas.

Cuándo Loom es la mejor opción y cuándo no

Loom hace muchas cosas que un grabador pequeño no hace: una biblioteca de vídeo para el equipo, comentarios, integraciones con Jira, Confluence y Slack, resúmenes y documentos con IA, controles de administración y un contrato enterprise con DPA y lista de subencargados publicados. Si tu agencia vive en las herramientas de Atlassian, son ventajas reales.

Encaja peor si quieres que los vídeos estén online solo mientras el cliente los necesita, si prefieres que un tercero no transcriba tu voz o si tienes un workspace existente que no puede pasar a la residencia en la UE. Nuestra comparativa JustRec vs Loom pone los dos uno al lado del otro, y la página de la alternativa a Loom para Mac explica qué hemos hecho de otra manera.