CARTO Data Observatory

Qué hace el Data Observatory

El CARTO Data Observatory es un catálogo y capa de entrega de datos geoespaciales integrado en la plataforma CARTO. Los usuarios exploran cientos de datasets curados (demografía, POI, movilidad, inmobiliaria, clima, límites administrativos), se suscriben y ejecutan joins espaciales dentro de su data warehouse cloud (BigQuery, Snowflake, Redshift, Databricks). Los datos se mueven server side mediante las APIs de CARTO sin salir del perímetro del cliente, lo que lo convierte en una herramienta back office de analítica. Solo el sitio de marketing y la UI de producto cargan cookies clásicas.

Cookies y datos recopilados

En el sitio CARTO y en la UI de la plataforma se instalan cookies para autenticación (sesión, CSRF), analítica de producto (Mixpanel o Amplitude), chat de soporte (Intercom) y marketing del sitio público (Google Analytics 4, HubSpot, LinkedIn Insight Tag). Dentro del Observatory, los datos intercambiados son mayoritariamente agregados (estadísticos, geográficos) y no personales. Solo aparecen datos personales en los perfiles de usuario, facturación, tickets de soporte y registros de auditoría de las suscripciones.

Obligaciones RGPD y ePrivacy

Para clientes de pago la base legal es la ejecución del contrato (artículo 6(1)(b) RGPD). Las cookies de sesión estrictamente necesarias están exentas según el artículo 22 LSSI. Las cookies de marketing, analítica y soporte en carto.com o en los dashboards requieren consentimiento previo, libre, específico, informado e inequívoco. CARTO actúa como encargado para los datos de cliente y como responsable para su sitio de marketing. El cliente firma el DPA y revisa la lista de subencargados.

Datasets, licencias y datos personales

La mayoría de datasets están agregados por unidad administrativa (NUTS, códigos postales, hexágonos, secciones censales) y no contienen datos directamente identificativos. Algunos datasets de movilidad, telco o geomarketing pueden derivar de datos personales y están sujetos a licencias específicas. El cliente lee cada licencia, identifica las fuentes personales y documenta la base legal de los joins, especialmente con identificadores individuales.

Transferencias internacionales

CARTO opera desde España y EE. UU. y utiliza AWS y Google Cloud. Los clientes europeos pueden solicitar un despliegue EU para el tenant de la plataforma, pero el soporte y funciones corporativas implican equipos y herramientas estadounidenses. Las transferencias se apoyan en CCT, en el EU US Data Privacy Framework cuando el socio está certificado y en medidas suplementarias (cifrado, control de acceso). La TIA es necesaria para los metadatos operativos.

Pasos prácticos de cumplimiento

Firme el DPA, conserve la documentación de CCT y DPF y elija la región EU para despliegues sensibles. Configure SSO, roles con mínimo privilegio y registros de auditoría. Condicione las cookies analíticas y de chat en carto.com al consentimiento, lea cada licencia del Observatory y documente la base legal de los joins con datos personales. Alinee la retención con sus políticas internas.