Fecha de verificación de todos los datos: 26 de septiembre de 2026, salvo ImprovMX, verificado el 4 de octubre de 2026 (lista del DPF consultada ese día; los estados "en revisión" se vuelven a comprobar en calendario interno de seguimiento).
1. Tabla de encargados
| Proveedor (entidad) | Rol y servicio | DPA: versión / fecha / forma de aplicación | Región de tratamiento | Lista de subencargados | Instrumento de transferencia | Banderas ZDR / región | Estado y acciones |
|---|---|---|---|---|---|---|---|
| Vercel Inc. (Delaware) | Encargado: API, funciones, Workflow, Blob privado, AI Gateway, registros | vercel.com/legal/dpa — "Last Updated March 17, 2026", efectivo 31 de marzo de 2026; se aplica automáticamente a clientes Pro y Enterprise (no Hobby) | Funciones y Blob en fra1 (Fráncfort, eu-central-1; región de Blob inmutable); Workflow fijado a una región por ejecución (region: 'fra1'); las peticiones a AI Gateway pueden terminar en cualquier región de Vercel antes de reenviarse al proveedor |
vercel.com/legal/sub-processors (centro de confianza; actualizada 21/08/2026): AWS, Google, Microsoft, OpenAI, Anthropic, Neon, Upstash, Datadog, etc. | DPF: Vercel Inc. ACTIVO (UE, RU, Suiza). DPA incorpora cláusulas tipo 2021 módulos 2 y 3 | AI Gateway: política ZDR propia ("does not retain prompts, outputs, or sensitive data"); zeroDataRetention: true falla si no hay proveedor ZDR; inferenceRegion eu falla en lugar de degradar; anthropic/claude-fable-5 y 5.1 sin ZDR en ningún proveedor (retención 30 días) |
Requisito: equipo Pro. Prohibido configurar claude-fable-5/5.1 para fotogramas (prueba de CI) |
| Supabase Pte. Ltd. (Singapur) | Encargado: base de datos PostgreSQL (no usamos Supabase Auth ni Storage: la identidad es Better Auth en la propia base de datos y los fotogramas están en Vercel Blob) | supabase.com/legal/customer-resources/data-processing-addendum — "Version 1 — August 1, 2026"; incorporado en las condiciones del servicio: automático (la aceptación equivale a firmar las cláusulas tipo) | Proyecto fpngrqvawuukuidagazk en aws-eu-central-1 (Fráncfort): base de datos principal fijada a esa región; la guía RGPD de Supabase advierte que copias de seguridad, registros y soporte pueden afectar a la residencia |
supabase.com/legal/customer-resources/subprocessor-list (01/06/2026): Supabase, Inc. (EE. UU., soporte); AWS, Google, Fly.io, Cloudflare, Vercel, Upstash (alojamiento); Sentry, Braintrust (monitorización); Latacora (seguridad gestionada); Sublime Security (correo); GitHub (autenticación de cuentas); Postmark, FrontApp, HubSpot, Notion, PandaDoc, Slack (comunicación y soporte); Atlassian (página de estado); Clay, Clazar, ConfigCat, Hex, OpenAI. Aviso de 30 días antes de añadir subencargados | DPF: Supabase no figura en la lista, ni activa ni inactiva (comprobado en dataprivacyframework.gov el 28/09/2026). DPA: cláusulas tipo módulos 1 a 4 (Decisión 2021/914), adenda del Reino Unido (B.1.0) y adenda suiza; ley y tribunales de Irlanda | No aplica IA | Singapur no tiene decisión de adecuación: la TIA se apoya en las cláusulas tipo y en el cifrado de IBAN, NIF y tokens de Apple antes de llegar a la base de datos. Comprobar el plan: el plan Free no tiene copias de seguridad automáticas (Pro: 7 días) |
| Upstash, Inc. (Delaware) | Encargado: límites de tasa y caché (Redis) | upstash.com/static/trust/dpa.pdf — "Last Update Date: April, 2025"; se incorpora automáticamente al contrato | eu-central-1 (Fráncfort) |
upstash.com/static/trust/subprocessors.pdf (sin fecha): AWS, Google, Cloudflare, Anthropic, OpenAI, Vercel, PostHog, etc. | DPF: Upstash, Inc. ACTIVO. DPA: DPF como instrumento principal y cláusulas tipo módulos 2 y 3 | No aplica IA (no se usan sus funciones de IA) | Solo identificadores seudónimos y contadores |
| Plus Five Five, Inc. (Resend) | Encargado: envío de correos transaccionales | resend.com/legal/dpa — 31/12/2025; vinculante al contratar | Envío desde eu-west-1 (Irlanda); todos los datos de cuenta, metadatos de correo, registros y API se almacenan en EE. UU. |
resend.com/legal/subprocessors (27/08/2026): AWS (EE. UU.), Anthropic, Cloudflare, Datadog, PlanetScale, Supabase, Vercel | DPF: "Resend" — Activo, recertificación en revisión. DPA: cláusulas tipo módulos 1, 2 y 3 | — | Regla: nunca fotogramas, NIF ni IBAN por correo; contenido mínimo. Revisar el estado DPF trimestralmente; si caduca, apoyarse en las cláusulas tipo |
| ImprovMX Incorporation (Delaware) | Encargado: reenvío del correo entrante de mercamap.com (hola@, privacidad@, legal@, comercios@, seguridad@ y el resto de direcciones) al buzón del responsable | improvmx.com/transparency/gdpr-compliance: el DPA es solo para clientes de pago y se descarga y contrafirma; consultado el 4 de octubre de 2026 | "Inbound email is received and stored transiently in France, in AWS's Paris region, and is deleted once delivered"; un registro de cada envío (fechas, servidor de origen, remitente, destinatario y asunto, nunca el contenido) que borra a los 7 días (improvmx.com/transparency/what-do-we-log, consultado el 4 de octubre de 2026); datos de la cuenta del servicio en EE. UU. y en la UE | Su política de privacidad (sin fecha) nombra AWS (UE), Mailgun, PhoenixNAP y Servers.com (EE. UU.), Scaleway (UE), Stripe, PayPal, Intercom, Sentry, Plausible, Grafana, Linear, Slack, VatStack | Cláusulas tipo incorporadas en su DPA; no certificada en el DPF ("not certified under the DPF", su política de privacidad) | — | Pendiente (A9): confirmar el plan de pago y contrafirmar el DPA; el buzón de destino del reenvío también es un encargado (A10) |
| Buzón de correo del equipo (proveedor por anotar, A10) | Encargado: recepción, archivo y envío del correo de mercamap.com (el que reenvía ImprovMX y el que enviamos, también a contactos comerciales con permiso) | Debe ser un buzón de empresa con contrato de encargo (art. 28.3); una cuenta personal de consumo no lo ofrece | Por anotar | Por anotar | Por anotar | — | Pendiente (A10): elegir y anotar el proveedor cuanto antes; la política de privacidad 0.7.0 (5 de octubre de 2026) da su contrato por en formalización |
| Functional Software, Inc. d/b/a Sentry | Encargado: informes de errores (app y servidor) | sentry.io/legal/dpa — v5.1.0, 29/05/2024; hay que aceptarlo electrónicamente en la cuenta | Organización UE: de.sentry.io (Fráncfort); permanecen en la UE eventos, trazas, perfiles, registros, réplicas; en EE. UU.: cuentas de usuario, ajustes de organización, tokens, auditoría, metadatos de proyecto, uso, tickets de soporte. Ubicación inmutable tras la creación |
sentry.io/legal/subprocessors (01/06/2026): Google (UE, EE. UU.), AWS (UE, EE. UU.), Cloudflare, Anthropic, OpenAI, Intercom, Sinch, Twilio | DPF: Sentry.io / Functional Software ACTIVO. DPA: cláusulas tipo módulos 2 y 3 | — | Acción: aceptar el DPA antes del primer evento; sendDefaultPii: false; sin IP |
| PostHog, Inc. | Encargado: analítica de producto (solo con consentimiento) | posthog.com/dpa (plantilla); generar el DPA firmado en app.posthog.com/legal (disponible en cualquier plan) | Nube UE en Fráncfort (eu.i.posthog.com, eu.posthog.com); captura de IP desactivada por defecto en la UE |
posthog.com/subprocessors (12/06/2026): AWS (Alemania para la nube UE), Wiz, PlanetScale, Modal Labs, Cloudflare | DPF: PostHog Inc ACTIVO. DPA: cláusulas tipo módulo 2 | — | Acción: generar el DPA; defaultOptIn: false; retención 12 meses |
| Better Stack, Inc. (Delaware) | Encargado: drenaje de registros, monitorización, guardias y página de estado | betterstack.com/dpa — 25/02/2025; anexos 14/02/2025; se aplica mediante el documento de pedido | "By default, all data is stored in the EU regions" (centros de datos UE); ubicación exacta del servicio de registros no publicada [VERIFY] |
Anexo A del DPA: AWS (EE. UU.), Google Ireland (Europa), Hetzner (Europa), Cloudflare, FrontApp, Linear, Slack, OpenAI (EE. UU.), ChartMogul | DPF: NO ENCONTRADO en la lista, aunque el DPA dice apoyarse en su certificación. Instrumento efectivo: cláusulas tipo (anexo D, módulos 2/3; módulo 1 para datos de cuenta) | — | Acción: pedir por escrito a Better Stack confirmación de su estado DPF o del uso de cláusulas tipo; registrar la respuesta; si no la hay antes del lanzamiento, tratar la transferencia solo bajo cláusulas tipo con TIA (los registros contienen únicamente identificadores seudónimos) |
| 650 Industries, Inc. (Expo) | Encargado: EAS Build/Update (actualizaciones de la app) y servicio de notificaciones push | expo.dev/dpa no existe (404). Condiciones expo.dev/terms (29/05/2025, efectivas 30/06/2025) §3.2: Expo actúa como encargado y cumple el módulo 2 de las cláusulas tipo (C/2021/3972); DPA/MSA a medida solo para Enterprise | EE. UU. (principalmente Google Cloud); el servicio push está alojado en la región de EE. UU. de Google Cloud | expo.dev/privacy/subprocessors (15/09/2026): AWS, Google, Cloudflare, Anthropic, Sentry, Datadog, SendGrid, Twilio, HubSpot, Stripe, Unblocked | DPF: Expo / 650 Industries ACTIVO. Cláusulas tipo módulo 2 por las condiciones | Datos: EAS Update recibe sistema operativo, ID de proyecto y token aleatorio (sin identificadores de dispositivo); push: se almacenan tokens push; el contenido de la notificación solo se conserva hasta la entrega (en memoria) | Telemetría de CLI desactivada (EXPO_NO_TELEMETRY=1); EAS Insights no activado; contenido de notificaciones sin datos personales más allá del estado de la sesión |
| Apple Inc. / Apple Distribution International Ltd. | Entrega de notificaciones push (APNs) y distribución de la app | Apple Developer Program License Agreement (última actualización 18/08/2026), Attachment 1 (APNs): Apple no asume rol de encargado; "any Push Notifications are sent by You, not Apple"; prohíbe transmitir información personal sensible en notificaciones; APNs puede almacenar una notificación hasta 30 días según apns-expiration |
Servicio global | No publicada | DPF: Apple no figura en la lista (comprobado el 28/09/2026). Según su política de privacidad (30/07/2025), Apple Distribution International Ltd. (Irlanda) responde de los datos del EEE y ampara sus transferencias en cláusulas tipo; no hay cláusulas tipo firmadas con nosotros para APNs | — | Regla: las notificaciones no contienen datos personales (solo "sesión procesada", "recompensa aprobada", etc.); apns-expiration corto |
| Google LLC / Google Ireland Limited (Firebase, FCM) | Entrega de notificaciones push (FCM) | Firebase Data Processing and Security Terms (21/08/2024), automáticos; cubren Cloud Messaging | Servicio global; conserva los identificadores de instalación de Firebase hasta que se solicita su supresión (eliminación en 180 días) | firebase.google.com/terms/subprocessors [VERIFY: contenido no comprobado] |
DPF: Google LLC ACTIVO; DPST: DPF para entidades certificadas + cláusulas tipo C2P/P2P | — | Misma regla de contenido mínimo |
| Google LLC / Google Ireland Limited (Servicios de Google Play para RA, ARCore) | Responsable independiente, no encargado: la app integra el SDK de ARCore (com.google.ar:core 1.56.0) y, en Android, usa el servicio «Servicios de Google Play para RA» del teléfono para el seguimiento de realidad aumentada |
Sin DPA: Google no trata datos por nuestra cuenta. Rigen las Condiciones adicionales de ARCore (última modificación 11/05/2022), que exigen avisar a los usuarios y remitir a las Condiciones de Servicio y a la Política de Privacidad de Google vigentes, y los requisitos de privacidad de ARCore (31/10/2024) | El seguimiento se calcula en el teléfono; según la guía Data safety de Google (31/10/2024), el SDK base recoge identificadores de la cuenta de Google o del dispositivo, datos de rendimiento y diagnóstico y datos de las llamadas a la API | No aplica (no es encargado) | DPF: Google LLC ACTIVO; en el EEE responde Google Ireland Limited según la Política de Privacidad de Google | Solo funciones en el dispositivo: nunca anclajes en la nube, API geoespacial ni Streetscape Geometry, que enviarían vídeo o ubicación (tools/cloud-ar-policy.mjs en CI) |
Aviso de Google en la app (la pantalla de inicio del mapeo lo muestra, con enlace a la Política de Privacidad de Google, cuando ARCore está listo o se ofrece instalarlo), en las condiciones de mapeador §7.4 y en la política de privacidad §8; declaración en Data safety; revisar en cada actualización del SDK (decisión D-44). Comprobado el 28/09/2026 |
| Amazon Web Services, Inc. (subencargado de Vercel; Bedrock) | Subencargado: inferencia de visión y de representaciones (a través de AI Gateway) | AWS GDPR DPA (sin fecha impresa [VERIFY]), suplementa el AWS Customer Agreement; cláusulas tipo incorporadas por referencia |
Regiones UE: Bedrock enruta las peticiones de Claude Haiku 4.5 dentro de la geografía UE ("Geo": Fráncfort, Irlanda, París, Estocolmo, etc.; no "In-Region"); Claude Fable 5/5.1 excluidos | aws.amazon.com/compliance/sub-processors | DPF: Amazon.com, Inc. ACTIVO, cubre Amazon Web Services, Inc. Cláusulas tipo C2P/P2P (Decisión 2021/914) | ZDR por defecto: "by default, Amazon Bedrock does not store model inputs or outputs"; no se usan para entrenar; excepción: Claude Fable 5/5.1 (retención 30 días y revisión de AWS) | Modelo permitido: Claude Haiku 4.5 vía Bedrock UE; evaluación contra Gemini 3.5 Flash-Lite (Vertex) y Claude Sonnet 5 solo si superan la misma prueba |
| Google Cloud EMEA Limited (subencargado de Vercel; Vertex AI) | Subencargado: inferencia de visión / representaciones | Google Cloud DPA (08/06/2026), incorporado al contrato | Regiones UE (europe-west1/3/4, europe-southwest1 Madrid, etc.); los puntos finales multirregión mantienen el tratamiento en la UE | cloud.google.com/terms/subprocessors (20/08/2026): Google LLC (EE. UU.), Google Ireland | DPF: Google LLC ACTIVO; DPA de Cloud: cláusulas tipo C2P/P2P | No entrena con datos del cliente sin permiso; registro de abusos: los avisos marcados se conservan hasta 90 días en la región del cliente salvo excepción aprobada; para modelos "Advanced AI", 30 días sin posibilidad de exclusión; caché en memoria 24 h desactivable por proyecto | Acción antes de usar Vertex para fotogramas: solicitar la excepción de registro de abusos y desactivar la caché; documentar la aprobación |
| Microsoft Ireland Operations Limited (subencargado de Vercel; Azure OpenAI) | Subencargado: inferencia (alternativa) | Microsoft Products and Services DPA (22/05/2026), incorporado a los Product Terms | Límite de datos de la UE (EU Data Boundary); Azure OpenAI procesa en la geografía elegida (zona de datos UE) | URL de subencargados no localizada en el DPA [VERIFY] |
DPF: Microsoft Corporation — activo, recertificación en revisión; cláusulas tipo 2021 P2P | No entrena con avisos ni respuestas; monitorización de abusos almacenada en la geografía del cliente con revisores en el EEE; monitorización de abusos modificada (aprobación) elimina el almacenamiento | Solo si se aprueba la monitorización modificada; documentar |
| Anthropic Ireland, Limited (ruta directa, no usada) | Solo referencia: proveedor directo de modelos | Commercial Terms (17/06/2025); DPA (24/02/2025), incorporado; sin región UE; retención por defecto 30 días; ZDR solo con aprobación; Fable 5/5.1 sin ZDR | Subencargados "Worldwide" (Google Cloud, AWS, Azure, etc.) | trust.anthropic.com/subprocessors | DPF: no encontrado; DPA con cláusulas tipo módulos 2/3 | No entrena con contenido de clientes | Regla del plan: ruta directa solo con clave propia, DPA y prueba ZDR + UE superada; hoy no cumple la condición de región UE |
| (Planificado) Stripe Payments Europe, Ltd. | Encargado/responsable independiente para pagos Connect a mapeadores y para la facturación de las empresas clientes del portal para marcas (datos de contacto y facturación de la empresa; nunca fotogramas ni datos de compradores) | Pendiente (D-59) | UE; subencargados en EE. UU. | — | — | — | Añadir antes de activar, con la verificación de las garantías del Capítulo V |
| MotherDuck | Previsto en el plan de 2026-09 como almacén de agregados; descartado: el portal para marcas lee un modelo de datos dentro de Supabase (ADR 0021) | No se contrata | — | — | — | — | Sin acción |
Inicio de sesión con Google o Apple. Google (Google Ireland Limited para usuarios del EEE) y Apple no son encargados cuando una persona entra con su cuenta: comprueban la identidad en su propia relación con ella, como responsables independientes, y solo nos devuelven un token firmado del que guardamos el correo y el identificador de cuenta (decisión D-42). No hay DPA que firmar por este uso. Al suprimir una cuenta que entró con Apple enviamos a Apple el token de revocación (RGPD art. 49.1.b).
ARCore. Google tampoco es encargado cuando la app usa ARCore en Android: los datos de uso y diagnóstico que recoge el SDK de ARCore los trata Google para sus propios fines (analítica y funcionamiento de ARCore), como responsable independiente y según su Política de Privacidad; nosotros no recibimos esos datos. No hay DPA que firmar; las obligaciones son de transparencia: el aviso de Google en la app, en las condiciones de mapeador y en la política de privacidad (decisión D-44).
2. Reglas de configuración derivadas (comprobadas en CI: residency.check)
regions: ["fra1"]envercel.json; Blob creado enfra1; Supabase enaws-eu-central-1; Upstash eneu-central-1; Workflowstart()conregion: 'fra1'.- Toda llamada de inferencia lleva
zeroDataRetention: trueeinferenceRegioneu; la lista de modelos permitidos excluyeanthropic/claude-fable-5yanthropic/claude-fable-5.1y cualquier modelo cuyo/v1/modelsno muestreeuenregionsy ZDR disponible. - Los proveedores de inferencia deben figurar en la lista de subencargados de Vercel (AWS, Google y Microsoft figuran; Anthropic y OpenAI también figuran desde 2026, pero la ruta directa sigue excluida por falta de región UE y de ZDR por defecto).
- Sentry con
sendDefaultPii: false; PostHog condefaultOptIn: falsey proyecto en la nube UE; Better Stack con identificadores seudónimos únicamente. - Correos sin fotogramas, NIF ni IBAN; notificaciones push sin datos personales.
3. Nota de transferencias internacionales y evaluación de impacto (TIA)
Instrumentos. Instrumento principal: Decisión de Ejecución (UE) 2023/1795 (adecuación del Marco de Privacidad de Datos UE-EE. UU.) para las entidades certificadas y activas en la lista (Vercel, Upstash, Sentry, PostHog, Expo, Amazon, Google; Resend y Microsoft con recertificación en revisión). Supabase y Apple no están adheridas: con Supabase rigen las cláusulas tipo de su DPA. Instrumento subsidiario: cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 (módulos 2 y 3), incorporadas en todos los DPA anteriores, con esta evaluación de impacto de la transferencia.
Estado judicial. La sentencia del Tribunal General de 3 de septiembre de 2025 (T-553/23, Latombe/Comisión) desestimó el recurso contra la Decisión 2023/1795. El recurso de casación C-703/25 P se interpuso el 31 de octubre de 2025 y está pendiente, sin fecha de vista. Se sigue en calendario interno de seguimiento.
Datos transferidos y por qué el riesgo es bajo. Los datos que salen de la UE son auxiliares: datos de cuenta y facturación de los proveedores, metadatos de correos (Resend), metadatos de organización (Sentry), tokens de actualización y push (Expo, Apple, Google), y registros de plataforma con identificadores seudónimos (Vercel). Nunca salen de la UE los fotogramas, la telemetría, el IBAN, el NIF, las listas de la compra ni los eventos de compra. Medidas complementarias: regiones UE para todo el almacenamiento primario; cifrado en tránsito y en reposo; identificadores seudónimos en registros; cifrado de sobre de IBAN/NIF con claves que no salen de Vercel Sensitive; contenido mínimo en correos y notificaciones. La legislación estadounidense relevante (en particular FISA 702 y EO 12333) se ha considerado; la naturaleza de los datos transferidos (metadatos técnicos y de cuenta) hace improbable que sean objeto de solicitudes de acceso, y el DPF ofrece el mecanismo de recurso (Tribunal de Revisión de la Protección de Datos) reconocido en la Decisión 2023/1795.
Plan de contingencia (si se anula la Decisión 2023/1795). (1) Pasar de inmediato a las cláusulas tipo ya incorporadas, con esta TIA actualizada; (2) reducir aún más los datos transferidos (Resend: solo OTP y avisos sin nombre; Sentry: revisar la posibilidad de una organización con datos de cuenta mínimos; Expo: valorar expo-updates autoalojado); (3) para la inferencia, mantener exclusivamente Bedrock/Vertex/Azure en regiones UE, que ya cumplen; (4) documentar la decisión en registro interno de decisiones en un plazo de 10 días desde la sentencia.
4. Acciones pendientes antes del lanzamiento
| # | Acción | Responsable | Fecha límite |
|---|---|---|---|
| A1 | Crear el equipo Vercel Pro y guardar copia del DPA vigente en legal/sources/ |
Iñigo Escribano Calvo | Fase 0 |
| A2 | Aceptar el DPA de Sentry en la organización UE; guardar el justificante | Iñigo Escribano Calvo | Antes del primer evento |
| A3 | Generar y archivar el DPA firmado de PostHog | Iñigo Escribano Calvo | Antes de activar la analítica |
| A4 | Obtener de Better Stack confirmación escrita del estado DPF o del uso de cláusulas tipo | Iñigo Escribano Calvo | Antes del lanzamiento |
| A5 | Comprobar manualmente el estado DPF de Apple y documentar el resultado | Iñigo Escribano Calvo | Antes del lanzamiento |
| A6 | Solicitar la excepción de registro de abusos en Vertex AI y la monitorización modificada en Azure OpenAI antes de usar esos proveedores para fotogramas | Iñigo Escribano Calvo | Antes de la evaluación del día 1 |
| A7 | Archivar en legal/sources/ copia PDF de cada DPA, lista de subencargados y página de residencia con la fecha |
Iñigo Escribano Calvo | Fase 0 y en cada revisión anual |
| A8 | Comprobar trimestralmente los estados "recertificación en revisión" (Resend, Microsoft) | Iñigo Escribano Calvo | Trimestral |
| A9 | ImprovMX: tener un plan de pago, descargar y contrafirmar su DPA (cláusulas tipo) y archivarlo en legal/sources/; si no, sustituirlo por un reenvío con DPA y tratamiento en la UE, o dejar de usarlo (A10) |
Iñigo Escribano Calvo | Cuanto antes: ya reenvía el correo de privacidad y de comercios, y la política de privacidad 0.7.0 (5 de octubre de 2026) da su contrato por en formalización |
| A10 | Elegir el buzón de empresa que recibe y envía el correo de mercamap.com, con contrato de encargo (art. 28.3; una cuenta personal de consumo no lo ofrece), y anotarlo en su fila con el DPA, la región y las garantías. Recomendado: Google Workspace, que recibe y envía el correo del dominio con su adenda de tratamiento de datos y hace innecesario el reenvío (entonces ImprovMX sale del registro, de la política y del RAT, y A9 se cierra) | Iñigo Escribano Calvo | Cuanto antes: la política de privacidad 0.7.0 (5 de octubre de 2026) da su contrato por en formalización |