Una aplicación para chatear, ver vídeos, pagar a tus amigos, conocer gente cerca y hasta consultar un asistente de inteligencia artificial. Todo en el mismo sitio. Suena cómodo, sobre todo si eres universitario y tu móvil parece una colección de aplicaciones que se odian entre ellas. La pregunta menos divertida es quién recibe tus datos cuando juntas tantos servicios en una sola pantalla.
El 13 de octubre de 2026, una investigación de The Guardian ha puesto el foco en ZyMix, una nueva superapp promocionada entre estudiantes británicos. El periódico comprobó que su política de privacidad mencionaba a Tencent como proveedor de almacenamiento de contenidos y mensajes. Después de que sus periodistas preguntaran por esa relación, el documento fue modificado y desapareció la referencia expresa a Tencent. La empresa sostiene que utiliza a una filial europea de ese grupo únicamente para servicios auxiliares y pruebas de rendimiento.
En Sal de la Matrix hemos hablado muchas veces de los algoritmos visibles. Hoy toca mirar una parte bastante menos fotogénica: la lista de empresas que trabaja detrás de una aplicación y que normalmente nadie lee.
Qué es ZyMix y por qué quiere meterse en tu vida universitaria
ZyMix se presenta como una superapp para la generación Z: mensajería, vídeos cortos, comunidades, eventos, pagos, juegos, recomendaciones y herramientas de IA. Su ficha en la App Store anuncia incluso un monedero digital y funciones para dividir cuentas entre amigos. La compañía responsable es Flicknmix Ltd, registrada en Reino Unido.
Una superapp concentra funciones que antes requerían cinco aplicaciones. También puede conocer más aspectos de tu actividad: conversaciones, contenidos, eventos o servicios utilizados. Eso no significa que venda tus datos, pero vuelve especialmente importante conocer las finalidades y los destinatarios.
Según la investigación, ZyMix ofrece entre 200 y 400 libras al mes a estudiantes que la promocionen en sus campus. Marketing de toda la vida para una aplicación que presume de futuro.
El nombre que desapareció de la política de privacidad
La primera versión examinada por The Guardian identificaba a Tencent en Fráncfort como empresa que almacenaba contenidos y mensajes generados por los usuarios. Después de recibir preguntas del periódico, la política fue reescrita. La versión que hemos consultado hoy en la web oficial de ZyMix habla de una infraestructura principal alojada en Reino Unido y de proveedores auxiliares en la Unión Europea, sin nombrar a Tencent en ese apartado.
La compañía ha respondido que su contrato es con Tencent Cloud Europe BV y que esta presta servicios auxiliares, en lugar de almacenar los datos principales de ZyMix. También afirma que los proveedores implicados, entre ellos Tencent y Twilio, se emplean para pruebas de rendimiento. La política actual señala que la infraestructura auxiliar recibe mensajes cifrados y determinados datos técnicos.
Hay una diferencia que importa: el reportaje documenta un cambio en la información pública, pero eso no prueba por sí mismo una transferencia ilícita de datos a China. Tampoco demuestra que Tencent pueda leer los mensajes de los estudiantes. Para establecerlo harían falta detalles técnicos y contractuales que no están publicados.
Una fecha que tampoco aclara demasiado
La política muestra como última actualización «septiembre de 2026», aunque The Guardian sitúa la modificación sobre Tencent después de sus preguntas de octubre. La discrepancia no permite reconstruir todo el historial. Pero si cambias información sobre proveedores, conviene indicar cuándo y qué has modificado.
Por qué aparece Tencent en una historia sobre estudiantes británicos
Tencent es uno de los grandes grupos tecnológicos chinos. El Departamento de Defensa estadounidense lo incluye en su lista de compañías que, según su evaluación, mantienen vínculos con el aparato militar chino. La lista oficial actualizada en junio de 2026 menciona expresamente a Tencent Holdings y recoge la consideración estadounidense de una afiliación indirecta con el Ejército Popular de Liberación.
La compañía rechaza esa calificación y asegura que es un error. Además, estar en esa lista no equivale a una sanción general que prohíba a cualquier empresa europea contratar sus servicios. Tiene consecuencias específicas para la contratación del Departamento de Defensa de Estados Unidos. Tampoco constituye una prueba de espionaje en ZyMix.
El verdadero mapa de datos está en la letra pequeña
La política actual de ZyMix permite ver algo interesante que va más allá de Tencent. La plataforma declara que recopila información de cuenta, mensajes, contenido publicado, identificadores del dispositivo, actividad, búsquedas, patrones de interacción y, si el usuario lo permite, ubicación y contactos. También explica que utiliza esos comportamientos para personalizar recomendaciones.
Es la misma lógica que describíamos al hablar de cómo los algoritmos construyen tu burbuja de filtros. La aplicación observa qué miras, qué ignoras y con quién interactúas para ordenar lo que verás después. ZyMix indica que, por ahora, su sistema de recomendaciones se basa en la actividad dentro de la propia plataforma y que puedes oponerte al perfilado.
La lista de proveedores es más larga de lo que parece
En su documentación, ZyMix identifica a Checkstep para moderación de contenidos, Yoti para estimación de edad mediante selfie y Mangopay para operaciones de pago. También explica que, con el consentimiento correspondiente, utiliza herramientas de medición publicitaria y puede compartir determinados identificadores con Meta para atribución de campañas o audiencias publicitarias.
Hay otro detalle llamativo: si conectas voluntariamente los resúmenes de Apple Health a su asistente de salud, la política señala que estos pueden procesarse a través de OpenRouter y de un proveedor de modelos que identifica actualmente como OpenAI. La empresa afirma que esos datos no se utilizan para entrenar modelos generales y que existen garantías contractuales. La ubicación del servidor principal no describe necesariamente todo el recorrido de la información.
Guardar los datos en Europa no resuelve todas las preguntas
Que una empresa tenga servidores en Fráncfort, Londres o París importa. Determina parte del marco jurídico y puede facilitar ciertas garantías. Pero también importa quién opera el servicio, qué datos recibe, si puede descifrarlos, quién accede a las claves y si existen transferencias posteriores. Un mapa con chinchetas sobre centros de datos no sustituye a una auditoría.
El asunto conecta con nuestro artículo sobre la dependencia tecnológica del Reino Unido. Allí la preocupación era qué ocurre si un proveedor extranjero deja de prestar un servicio crítico. Aquí el interrogante es quién participa en el funcionamiento de una aplicación cotidiana y cuánto sabe realmente el usuario sobre ello. Dependencia y privacidad son problemas distintos, aunque a veces compartan proveedores.
¿Tiene derecho una empresa a no revelar sus proveedores?
Las empresas pueden proteger determinados detalles comerciales o de seguridad. Sin embargo, la normativa de protección de datos exige informar de las finalidades del tratamiento, las categorías de destinatarios y las transferencias internacionales, entre otros extremos. La autoridad británica de protección de datos, ICO, explica ese derecho a recibir información comprensible.
La política actual de ZyMix dice que proporciona una lista de proveedores identificados si se solicita a su dirección de privacidad. Según The Guardian, un asesor de seguridad de la empresa se negó a facilitar cierta información invocando confidencialidad comercial y contractual. El debate jurídico exacto depende de qué información se haya solicitado y de qué obligaciones sean aplicables. Lo que está claro es que pedir claridad sobre los destinatarios de tus datos no constituye una extravagancia.
Qué puedes comprobar antes de instalar una superapp
Hay una comprobación que lleva menos tiempo que aceptar treinta ventanas de permisos. Mira primero la ficha de privacidad de la tienda y después la política del desarrollador. Busca las secciones sobre proveedores, transferencias internacionales, recomendaciones, publicidad, ubicación y eliminación de cuenta. Si una aplicación ofrece pagos, mensajes y funciones de salud, no des por hecho que todos esos datos siguen el mismo camino.
En el caso de ZyMix, su política indica que puedes solicitar acceso a tus datos escribiendo a privacy@zymix.ai, oponerte a determinados perfiles de recomendación y gestionar permisos desde la aplicación o el móvil. También recoge la ruta «Me > Account > Delete Account» para pedir la eliminación de la cuenta, con un plazo de cancelación de 30 días y un proceso posterior que puede prolongarse hasta 90 días. Algunos registros pueden conservarse por obligaciones legales.
Y si te preocupa la información que ya aparece públicamente sobre ti, nuestra guía para revisar tu huella digital mediante egosurfing ofrece un punto de partida. No permite inspeccionar los servidores de una empresa, pero ayuda a distinguir lo que publicas de lo que otras personas pueden encontrar.
El precio de meterlo todo en una sola aplicación
ZyMix asegura que cumple la legislación británica y que su infraestructura principal está alojada en Reino Unido. Tencent niega las vinculaciones militares que le atribuye Estados Unidos. Y la investigación no acredita una filtración de datos ni un acceso del Gobierno chino a las conversaciones de los estudiantes. Es importante decirlo, porque las sospechas no se convierten en hechos por repetirlas con más volumen.
La pregunta que deja la noticia del 13 de octubre es bastante menos espectacular y quizá más útil: cuando una aplicación te promete concentrar tus conversaciones, pagos, ocio y herramientas de IA, ¿puedes saber con la misma facilidad qué empresas participan en cada función? De momento, parece que resulta más sencillo enviar dinero desde un chat que conseguir una lista clara de todos los que trabajan detrás de él.
