R Shiny
R Shiny es un framework open source de Posit (antes RStudio) para construir aplicaciones web interactivas directamente desde código R. Se utiliza ampliamente en ciencia de datos, investigación y análisis para crear cuadros de mando, visualizaciones y exploración de datos. El cumplimiento del RGPD depende de la aplicación y de su alojamiento. Las apps Shiny autoalojadas en infraestructura europea no presentan problemas; shinyapps.io se ejecuta en EE. UU. y requiere Cláusulas Contractuales Tipo.
¿Qué hace R Shiny?
Qué es R Shiny
R Shiny es un framework web open source de Posit (antes RStudio) para construir aplicaciones interactivas directamente desde código R. Investigadores, estadísticos y equipos de análisis utilizan Shiny para cuadros de mando, exploración de datos, demos de modelos e investigación reproducible. Una aplicación Shiny consta de una sesión de R en el servidor y una interfaz cliente ligera que envía las entradas del usuario al proceso R.
Datos y cookies
Shiny suele instalar una cookie de sesión y emplea una conexión WebSocket con la sesión R. Los datos personales tratados dependen del código de la app: subidas de archivos, formularios de entrada, consultas a bases de datos. Shiny Server Pro y Posit Connect ofrecen además autenticación y pueden mantener registros con IP, ID de usuario e historial de acciones.
Responsabilidad bajo el RGPD
El responsable del tratamiento es la organización que opera la aplicación Shiny: universidad, centro de investigación, empresa. Posit actúa como encargado del tratamiento cuando se utiliza shinyapps.io o Posit Connect Cloud. Las cookies de sesión son técnicamente necesarias y están exentas conforme al artículo 22.2 LSSI. Si la app incorpora píxeles o librerías de analítica, será obligatorio un consentimiento previo.
Opciones de alojamiento y transferencias
Autoalojar la app en su propia infraestructura europea (Shiny Server open source, Docker, Kubernetes) evita por completo las transferencias internacionales. shinyapps.io se ejecuta sobre AWS en EE. UU. y necesita Cláusulas Contractuales Tipo y un Transfer Impact Assessment. Posit Connect puede instalarse en local o usarse como Posit Connect Cloud, donde puede elegirse el centro de datos. Para datos sensibles (salud, investigación, administración) se recomienda con claridad el autoalojamiento en la UE.
Pasos de cumplimiento
Active HTTPS, limite las subidas de archivos, valide las entradas (frente a inyección de código en llamadas eval). Use shinyauth o Posit Connect para el control de acceso, defina logs y plazos de conservación, documente los flujos de datos en el registro de actividades y realice una EIPD cuando se traten datos sensibles o resultados de investigación. Firme contratos de encargo con Posit si utiliza shinyapps.io o Posit Cloud.
R Shiny y el RGPD
- Base jurídica
- R Shiny is a framework, not a data processor. GDPR obligations arise from the Shiny application and its hosting infrastructure. For shinyapps.io hosted applications, contract performance or legitimate interest applies for the hosting relationship.
- Nivel de riesgo
- low
- Normativa aplicable
- GDPR compliance depends on the application and hosting: EU self-hosted deployments have no transfer concerns
Evaluación de impacto (EIPD)
A DPIA may be required for Shiny applications processing special category data (health, genetic data) or large-scale personal data, particularly in research or clinical contexts. The DPIA should focus on the application design and data flows, not Shiny itself.
Texto de ejemplo para su banner
Esta aplicación está construida con R Shiny y se ejecuta en nuestra propia infraestructura europea. Shiny solo instala cookies de sesión necesarias para mantener su conexión con la sesión de Shiny. No se crean perfiles ni se transfieren datos a terceros países.
Lo que R Shiny instala y contacta
- Método de seguimiento
- R Shiny web application framework, server-side R processing, session cookies, optional first-party analytics
- Ubicación de los servidores
- Self-hosted or Posit (RStudio) cloud infrastructure (US)
Cookies instaladas (1)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| shinysession | session | Session | Strictly necessary session cookie maintaining the R Shiny WebSocket session, does not require consent |
Dominios de terceros contactados (2)
shiny.posit.coshinyapps.io
Preguntas frecuentes sobre R Shiny
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿R Shiny recoge datos personales?
El framework en sí no, pero sí cualquier aplicación Shiny que trate entradas, ejecute consultas a base de datos o permita subidas de archivos. Las cookies de sesión, las IP y el user agent quedan registrados en los logs del servidor.
¿shinyapps.io requiere CCT para datos europeos?
Sí. shinyapps.io se ejecuta sobre AWS en EE. UU. Si trata datos personales de usuarios europeos, son obligatorias Cláusulas Contractuales Tipo entre su organización y Posit, junto con un Transfer Impact Assessment y, en su caso, seudonimización.
¿Cuál es la opción de alojamiento más conforme con el RGPD?
Autoalojamiento en la UE con Shiny Server open source o Posit Connect on premise: sin transferencias internacionales y control total de logs y copias de seguridad. Es la opción recomendada para datos sensibles o de investigación.
¿R Shiny instala cookies?
Sí, una cookie de sesión necesaria para mantener la sesión R. Está exenta de consentimiento conforme al artículo 22.2 LSSI. Solo se instalarán cookies de seguimiento o analítica si su app las incorpora explícitamente.
¿Necesito una EIPD para mi app Shiny?
Sí, si tratas categorías especiales (salud, genética, origen étnico) o realizas creación de perfiles a gran escala (art. 35 RGPD). Para cuadros de mando simples sin datos personales habitualmente no se requiere.
¿Cómo implementar autenticación en Shiny conforme al RGPD?
Usa Posit Connect o Shiny Server Pro con LDAP, SAML o OAuth. Para configuraciones open source son útiles paquetes como shinymanager o polished. Almacena las contraseñas siempre con hash (bcrypt, argon2).
¿Cómo gestionar las subidas de archivos en Shiny bajo el RGPD?
Limita tamaño y tipos de archivo, valida el contenido y almacena las subidas en un directorio cifrado y dentro de la UE. Define plazos de conservación y borrado automático, y documenta la finalidad en el registro de actividades del tratamiento (art. 30 RGPD).
¿Hay que mencionar R Shiny en la política de privacidad?
Sí: menciona la aplicación como tratamiento, el alojamiento (UE o shinyapps.io en EE. UU.), las categorías de datos tratados, los plazos de conservación y, en su caso, a Posit como encargado del tratamiento.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.