Spotify

Spotify Technology S.A., una société anonyme luxemburguesa (RCS Luxembourg B 123052), es la matriz del grupo y la entidad cotizada en el NYSE bajo el ticker SPOT desde el 3 de abril de 2018. Las operaciones diarias se gestionan desde Spotify AB, en Estocolmo (Bolagsverket org-nr 556703-7485, número de IVA SE556703748501). Para los usuarios del EEE y del Reino Unido, el responsable del tratamiento designado es Spotify AB; para los usuarios estadounidenses lo es Spotify USA Inc. (4 World Trade Center, 150 Greenwich Street, Nueva York, NY 10007, constituida en Delaware). Las filiales regionales se ocupan de las ventas y el marketing local en Alemania, Francia, Reino Unido, España, Italia y otros mercados.

Spotify afirma en su 20-F del ejercicio 2025 que Google Cloud Platform aloja «the vast majority of our primary data storage (including personal data of users and audio data licensed from rights holders) and computing». La capa de borde la presta Fastly con puntos de presencia europeos (por ejemplo, Múnich para el tráfico DACH). Spotify no publica una región concreta de GCP para los usuarios de la UE y no ofrece un plan de residencia exclusivamente europea; las transferencias internacionales se apoyan en cláusulas contractuales tipo (CCT) acompañadas de protecciones técnicas como el cifrado y la seudonimización.

Sí, por tres vías. (1) La matriz luxemburguesa Spotify Technology S.A. presenta informes anuales 20-F ante la SEC como foreign private issuer y está sujeta a la legislación bursátil estadounidense. (2) Spotify USA Inc. (Delaware) es el responsable del tratamiento para los usuarios estadounidenses y queda directamente sujeta a la CLOUD Act, a FISA 702 y a otros procesos de seguridad nacional de EE. UU. (3) El principal proveedor de nube de Spotify (Google LLC) y varios subencargados operativos mencionados (Okta Inc., Fastly Inc., OneTrust) están constituidos en EE. UU. Para los usuarios del EEE, el responsable inmediato es Spotify AB en Suecia, pero el almacenamiento y la computación subyacentes se ejecutan sobre infraestructura operada en EE. UU.

Los fundadores Daniel Ek y Martin Lorentzon ostentaban, en conjunto, el 69,3 % del poder de voto a 31 de diciembre de 2025 (28,8 % y 40,5 %, respectivamente) a través de la estructura de doble clase con certificados de beneficiario. Tencent Holdings posee aproximadamente el 9 % del capital económico mediante varias sociedades holding en Hong Kong (Tencent Music Entertainment Hong Kong, Image Frame Investment, Tencent Mobility, Distribution Pool), pero esas acciones están sujetas a un proxy irrevocable a favor de D.G.E. Investments, de Daniel Ek, por lo que no confieren derechos de voto. El free float restante está en manos de inversores institucionales estadounidenses y globales.

Solo Spotify for Backstage, el SaaS de portal para desarrolladores, mantiene públicamente un examen SOC 2 anual realizado por un auditor externo (informe disponible bajo acuerdo de confidencialidad a través de [email protected]). Para el servicio principal de streaming al consumidor, Spotify no publica una página de certificaciones; las afirmaciones de agregadores externos sobre cobertura ISO 27001, SOC 2, PCI DSS, HIPAA o FedRAMP del producto de streaming no se ven respaldadas por ninguna URL publicada por Spotify. Los compromisos públicos de Spotify para el servicio al consumidor se articulan en términos de cumplimiento del RGPD y del Reglamento DSA de la UE, más que en certificaciones de seguridad neutras respecto al proveedor.

Sí. La página de Ajustes de privacidad de Spotify ofrece tres paquetes de exportación de datos conforme al RGPD -- datos de cuenta, historial de reproducción ampliado y registros técnicos --, que se entregan en un plazo de 30 días. La eliminación de la cuenta es autoservicio a través del mismo flujo. La política de privacidad describe los criterios de conservación de forma categórica, sin nombrar un plazo concreto de retención tras la eliminación; el contacto en materia de protección de datos es [email protected] y el responsable del tratamiento en el EEE es Spotify AB (no se designa un representante específico del artículo 27 del RGPD, ya que Spotify AB tiene su sede dentro del EEE).