Esta página enumera los proveedores que tratan datos personales por cuenta de Iñigo Escribano Calvo para prestar MercaMap: el servicio que presta cada uno, dónde trata los datos y la garantía en que se apoya cuando los datos salen del Espacio Económico Europeo (EEE). Es la lista completa y vigente a la que remiten la política de privacidad (política de privacidad, §8) y las condiciones del portal para marcas (condiciones del portal para marcas, anexo D.6). Qué datos recibe cada proveedor y para qué lo explican los apartados 8 y 9 de la política de privacidad.
Cada proveedor trata los datos con un contrato de encargo conforme al artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), salvo donde la tabla indica otra cosa. Dos garantías amparan las transferencias fuera del EEE:
- Marco de Privacidad de Datos UE-EE. UU.: la decisión de adecuación de la Comisión Europea (Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023), para las empresas estadounidenses certificadas en ese marco.
- Cláusulas contractuales tipo: las de la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, incorporadas en los contratos de encargo, con nuestra evaluación del impacto de cada transferencia.
Puede pedir copia de los contratos y de las garantías en privacidad@mercamap.com.
1. Proveedores que tratan datos hoy
| Proveedor | Servicio | Dónde se tratan los datos | Garantía si salen del EEE |
|---|---|---|---|
| Vercel Inc. (Estados Unidos) | Alojamiento del sitio y de la API, procesos en segundo plano, almacenamiento privado de fotogramas, registros técnicos y la pasarela de modelos de inteligencia artificial (AI Gateway) | Fráncfort (Alemania) para las funciones y el almacenamiento; los registros de la plataforma no están fijados a una región; la cola de los procesos en segundo plano (Vercel Workflow), en Washington (iad1), y su registro de ejecuciones, en una región que Vercel no indica, con identificadores, estados y recuentos, nunca imágenes, mientras Vercel no ofrezca una región de la UE (excepción revisada como tarde el 31 de diciembre de 2026) |
Marco de Privacidad de Datos y cláusulas contractuales tipo |
| Supabase Pte. Ltd. (Singapur) | Base de datos | Fráncfort (Alemania); el soporte, los registros de la plataforma y las copias de seguridad del proveedor pueden tratarse fuera de la Unión Europea, con un subencargado de soporte en Estados Unidos (Supabase, Inc.) | Cláusulas contractuales tipo (Supabase no está certificada en el Marco de Privacidad de Datos) |
| Amazon Web Services, Inc. (Bedrock), a través de AI Gateway | Lectura de los fotogramas pixelados y de las fotos de las comprobaciones puntuales, y respuestas del asistente del portal; cuando las activemos, representaciones de texto de productos y del centro de ayuda | Regiones de la Unión Europea, con retención cero de datos: no conserva las peticiones ni las usa para entrenar modelos | Marco de Privacidad de Datos y cláusulas contractuales tipo |
| Plus Five Five, Inc. (Resend, Estados Unidos) | Envío de correos: códigos de acceso y avisos, nunca fotogramas, NIF ni IBAN | Envío desde Irlanda; los datos de la cuenta del servicio, los metadatos de los correos y sus registros, en Estados Unidos | Marco de Privacidad de Datos y cláusulas contractuales tipo |
| ImprovMX Incorporation (Estados Unidos) | Reenvió el correo que recibíamos en las direcciones de mercamap.com hasta el 19 de octubre de 2026, cuando lo sustituyó Google Workspace; su cuenta se cancela hacia el 26 de octubre de 2026 | Francia (París), solo hasta entregarlo; un registro de cada envío, sin el contenido, que se borra a los 7 días | Su contrato de encargo, con cláusulas contractuales tipo, no llegó a firmarse: dejamos de usarlo antes |
| Google Cloud EMEA Limited (Irlanda): Google Workspace | El buzón de correo del equipo y un grupo por cada dirección publicada de mercamap.com, que guarda sus conversaciones: recepción, archivo y envío de nuestro correo, también las respuestas a quien nos escribe | Cualquier centro de datos de Google, dentro o fuera de la Unión Europea: el plan que usamos no permite elegir la región | Adenda de tratamiento de datos de Google Cloud; Marco de Privacidad de Datos (Google LLC) y cláusulas contractuales tipo |
| Functional Software, Inc. (Sentry, Estados Unidos) | Informes de errores de la app y del servidor | Fráncfort (Alemania); los datos de la cuenta del servicio, en Estados Unidos | Marco de Privacidad de Datos y cláusulas contractuales tipo |
| 650 Industries, Inc. (Expo, Estados Unidos) | Actualizaciones de la app y envío de las notificaciones push | Estados Unidos | Marco de Privacidad de Datos y cláusulas contractuales tipo |
| Apple Inc. y Google LLC (servicios de notificaciones push de iPhone y de Android) | Entrega de las notificaciones push al teléfono; las notificaciones no llevan datos personales más allá del estado de una sesión o de un pago | Servicios globales | Google: sus condiciones de tratamiento de datos de Firebase y el Marco de Privacidad de Datos. Apple: sus condiciones para desarrolladores, en las que no actúa como encargado (por eso las notificaciones no llevan datos personales); Apple Distribution International Ltd. (Irlanda) responde de los datos del EEE con cláusulas contractuales tipo |
2. En la lista, sin datos personales hoy
Estos proveedores están en la lista para poder usarlos sin cambiar los contratos con las empresas clientes, pero hoy no reciben datos personales:
| Proveedor | Para qué está en la lista | Si se usara |
|---|---|---|
| Upstash, Inc. (Estados Unidos) | Límites de frecuencia de uso; hoy los calculamos en nuestra propia base de datos | Identificadores seudónimos y contadores en Fráncfort (Alemania); Marco de Privacidad de Datos y cláusulas contractuales tipo |
| Better Stack, Inc. (Estados Unidos) | Comprueba desde fuera que el sitio responde; no le enviamos registros | Registros técnicos con identificadores seudónimos, en Estados Unidos; cláusulas contractuales tipo |
| Google Cloud EMEA Limited (Vertex AI), a través de AI Gateway | Alternativa a Bedrock para la lectura de imágenes; hoy no la usa ningún modelo | Regiones de la Unión Europea, con la retención cero de datos de la pasarela; Marco de Privacidad de Datos (Google LLC) y cláusulas contractuales tipo |
| Microsoft Ireland Operations Limited (Azure OpenAI), a través de AI Gateway | Alternativa para la lectura de imágenes; ningún modelo que usamos hoy pasa por Azure | Regiones de la Unión Europea, con retención cero de datos; Marco de Privacidad de Datos (Microsoft Corporation) y cláusulas contractuales tipo |
| Amazon Web Services EMEA SARL (Luxemburgo): Amazon SES, S3 y SNS | Recibir, por cuenta de una empresa cliente, los correos dirigidos a la dirección de importación por correo de su cuenta; la importación por correo aún no está activada | Los correos, en Fráncfort (Alemania), hasta que los leemos o los rechazamos, y tres días como máximo; no salen del Espacio Económico Europeo; adenda de tratamiento de datos de AWS, con cláusulas contractuales tipo, y Marco de Privacidad de Datos (Amazon.com, Inc.) |
Antes de que uno de ellos reciba datos personales actualizaremos esta página y la política de privacidad; si fueran datos que tratamos por cuenta de una empresa cliente, se lo avisaremos antes con la antelación que fijan sus condiciones (anexo D.6).
3. Responsables independientes y otros destinatarios
No tratan datos por nuestra cuenta, sino por la suya, y por eso no son encargados. La política de privacidad (§8) explica qué datos reciben:
- Google y Apple, cuando entra en la app con su cuenta.
- Google, a través de ARCore, cuando la app usa la realidad aumentada en Android.
- El sistema operativo de su teléfono (Google en Android, Apple en iPhone), que convierte en dirección la posición de una tienda que falta.
- OpenFreeMap, que sirve las imágenes del mapa de tiendas.
- Google Maps, cuando el módulo de campo abre las indicaciones para llegar a una tienda.
- Nuestro banco, que ejecuta las transferencias SEPA de las recompensas.
- La Agencia Estatal de Administración Tributaria y otras autoridades, cuando una ley lo exige.
4. Previsto
Stripe Payments Europe, Ltd. podrá encargarse de los pagos a los mapeadores y de la facturación de las empresas clientes del portal para marcas (datos de contacto y de facturación de la empresa; nunca fotogramas ni datos de compradores). No está activado: antes actualizaremos esta página y la política de privacidad.
5. Cómo se mantiene esta lista
El registro interno de encargados conserva, para cada proveedor, su contrato de encargo y su versión, su lista de subencargados, la comprobación de su certificación en el Marco de Privacidad de Datos y la evaluación de impacto de sus transferencias. Lo revisamos una vez al año, cada vez que un proveedor cambia sus condiciones y antes de añadir un proveedor. Esta página cambia con él.
Versión 0.7.0, de 23 de octubre de 2026.