Anexo de Subencargados
Este anexo complementa el Acuerdo de Encargo del Tratamiento (DPA) de HOSTELELLA e identifica a los subencargados que intervienen cuando HOSTELELLA trata datos personales por cuenta del Cliente. La lista aplica a los proveedores utilizados cuando la funcionalidad correspondiente está habilitada en el entorno del Cliente. HOSTELELLA no vende datos personales. Los proveedores marcados como condicionales solo intervienen cuando la integración, canal o entorno correspondiente está configurado o activado por el Cliente.
Los contratos con subencargados incluyen obligaciones de confidencialidad, seguridad, asistencia, devolución/eliminación, subcontratación e internacionalización compatibles con el artículo 28 RGPD. Cuando exista transferencia fuera del Espacio Económico Europeo (EEE), se aplicarán decisiones de adecuación, Cláusulas Contractuales Tipo (SCC), el EU-US Data Privacy Framework cuando proceda y medidas complementarias.
1. Subencargados de infraestructura, datos y comunicaciones
| Proveedor | Estado | Finalidad | Datos tratados | Ubicación / transferencias |
|---|---|---|---|---|
| Microsoft Ireland Operations Limited / Microsoft Corporation (Microsoft Azure: Azure Functions, API Management, Azure Database for PostgreSQL, Azure Storage, Key Vault, Application Insights, Log Analytics, Azure Static Web Apps, Azure DNS, Azure AI Search, Azure AI Content Understanding y Azure OpenAI Service) | Principal | Infraestructura cloud, ejecución de backend, API gateway, base de datos principal del Servicio, almacenamiento, gestión de secretos, monitorización, búsqueda, seguridad, alojamiento de la app web y de la web pública, lectura de documentos, generación asistida de turnos y funciones de IA (incluida Ella). | Datos de cuenta, datos de aplicación, documentos, metadatos, logs técnicos y datos necesarios para operar el Servicio. Para la generación de turnos, datos de planificación pseudonimizados (iniciales, rol, departamento, horas y tipo de contrato, disponibilidad, preferencias de franja, rangos de fechas de no disponibilidad e indicador de minoría de edad), sin nombres completos ni el motivo o tipo de las ausencias. Para la asistencia proactiva de Ella, el expediente mínimo descrito en el apartado 11.2 de la Política de Privacidad. | Recursos creados en la Unión Europea (Europa Occidental); los datos en reposo permanecen en esa geografía. La extracción de datos de los documentos y la asistencia proactiva de Ella utilizan modelos desplegados en la zona de datos de la UE. El chat con Ella, la generación asistida de turnos, la comparación del albarán con el pedido, la deduplicación y categorización de proveedores y productos, otras funciones de asistencia y clasificación y, cuando se active, el cálculo de representaciones vectoriales para la búsqueda utilizan hoy despliegues globales de Azure OpenAI, en los que la petición puede procesarse en cualquier región donde Microsoft ofrece el modelo, también fuera del EEE. Posibles accesos de soporte internacional. Todo ello bajo el DPA de Microsoft, SCC, EU-US Data Privacy Framework y medidas complementarias. Microsoft no utiliza los datos para entrenar modelos. |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Azure Maps) | Condicional cuando el negocio introduce o edita su dirección | Geocodificación de la dirección del negocio (conversión de la dirección postal en coordenadas) y obtención de su zona horaria al darla de alta o editarla, para verificar la dirección y, si el negocio la activa, la verificación de presencia en el fichaje. | Dirección postal del negocio introducida por el Cliente. No se envían datos de ubicación de las personas trabajadoras. | Infraestructura global de Microsoft (servicio global de Azure Maps); bajo el DPA de Microsoft, SCC, EU-US Data Privacy Framework y garantías aplicables. |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Microsoft 365, Exchange Online) | Principal | Buzones de correo de HOSTELELLA que reciben solicitudes de soporte, peticiones de «Hablar con alguien», comunicaciones legales y avisos internos del Servicio. | Datos de contacto, negocio, rol, motivo y contenido de la solicitud, e identificadores internos cuando el aviso los incluye. | Infraestructura de Microsoft; bajo el DPA de Microsoft, SCC, EU-US Data Privacy Framework y garantías aplicables. |
| Supabase, Inc. | Principal | Autenticación (alta, inicio de sesión, recuperación de acceso y sesiones), funciones auxiliares de invitación al equipo y de correos de acceso, y una copia reducida de negocios y pertenencias que se usa para el control de acceso. La base de datos principal del Servicio no está en Supabase, sino en Microsoft Azure. | Identificadores de usuario, email, credenciales cifradas, sesión, negocio activo, pertenencia y rol en cada negocio, datos básicos del negocio (nombre, razón social, identificador fiscal, dirección y tipo), email y rol de la persona invitada y metadatos técnicos de autenticación. | Proyecto alojado en la Unión Europea (Fráncfort). El proveedor es estadounidense: posibles accesos de soporte y subprocesadores bajo DPA, SCC y garantías aplicables. |
| Resend, Inc. | Principal para correo necesario y, cuando se activen, para correos opcionales | Confirmaciones de cuenta, invitaciones de equipo, pedidos y reclamaciones a proveedores enviados por el Cliente, soporte, avisos de seguridad y comunicaciones del Servicio; recepción de los correos y adjuntos (p. ej., facturas y albaranes) que los proveedores envían a la dirección de recepción de documentos del negocio; además, cuando se activen y solo con consentimiento previo, las guías y resúmenes de Ella y las novedades, consejos y ofertas. | Email, nombre cuando proceda, idioma, contenido del mensaje, correos recibidos con sus adjuntos y metadatos de entrega (entregado, rebotado, fallido, queja). La medición de apertura y clic solo puede aplicarse al correo de invitación de equipo cuando se cumplan los requisitos de consentimiento/acceso al terminal descritos en la Política de Cookies; en otro caso se limita a entrega. HOSTELELLA no entrega al proveedor la lista de supresión en claro: se guarda como huella HMAC en la plataforma. | Estados Unidos / infraestructura del proveedor y subprocesadores; bajo DPA, SCC y garantías aplicables. |
| Stripe Payments Europe, Limited y entidades del grupo Stripe | Condicional cuando se activan pruebas convertibles, suscripciones o pagos | Procesamiento de pagos, custodia de métodos de pago, facturación, impuestos, prevención de fraude, reembolsos y gestión del ciclo de suscripción. | Nombre, email, dirección de facturación, identificadores fiscales cuando proceda, referencias de cliente/pago/suscripción, método de pago, pedido, importe, moneda, IP, dispositivo y señales antifraude. HOSTELELLA no almacena PAN ni CVC. | EEE, Estados Unidos y red global de entidades financieras y proveedores de método de pago; bajo el DPA y el Data Transfers Addendum de Stripe, SCC, decisiones de adecuación, EU-US Data Privacy Framework cuando proceda y medidas complementarias. |
| Apple Distribution International Ltd. / Apple Inc. (APNs) | Condicional para iOS | Entrega de notificaciones push y funcionamiento de la app móvil iOS. | Tokens de dispositivo, plataforma, preferencias de notificación, metadatos técnicos y el contenido del aviso (título y texto breve). Los avisos de Ella no contienen cifras, importes, porcentajes ni nombres de personas. | Infraestructura global de Apple con garantías aplicables. |
| Google Ireland Limited / Google LLC (Firebase Cloud Messaging) | Condicional para Android (en iOS solo se registra el SDK; los avisos se entregan por APNs) | Entrega de notificaciones push y funcionamiento de la app móvil. | Tokens de dispositivo, plataforma, preferencias de notificación, metadatos técnicos y el contenido del aviso (título y texto breve). Los avisos de Ella no contienen cifras, importes, porcentajes ni nombres de personas. | Infraestructura global de Google con DPA, SCC, EU-US Data Privacy Framework cuando proceda y garantías aplicables. |
| Cloudflare, Inc. (Turnstile) | Condicional para antiabuso / captcha | Protección contra bots, abuso y solicitudes automatizadas. | Datos técnicos mínimos, IP, señales de navegador/dispositivo y resultado de verificación. | Infraestructura global de Cloudflare con DPA, SCC, EU-US Data Privacy Framework cuando proceda y garantías aplicables. |
| Google Ireland Limited / Google LLC (Google Analytics) | Condicional tras consentimiento de analítica | Medición agregada de uso de la web pública cuando el usuario acepta cookies de analítica. | Identificadores de analítica, páginas visitadas, eventos de interacción, datos técnicos e información aproximada de dispositivo/navegador. | Infraestructura global de Google con DPA, SCC, EU-US Data Privacy Framework cuando proceda y configuración de consentimiento previa. |
1.1 Otros destinatarios de pagos móviles
Cuando se utiliza un programa autorizado de compra externa, Apple Distribution International Ltd./Apple Inc. o Google Ireland Limited/Google LLC pueden recibir tokens o identificadores de reporte, país, importe, moneda, fecha y estado de la transacción para administrar el programa, seguridad y comisiones. Para estas finalidades actúan conforme a sus propios términos y responsabilidades, no como subencargados generales de HOSTELELLA. Solo se reporta lo exigido por el canal y nunca el PAN o CVC.
1.2 Recursos técnicos de la app web
Al abrir la app web, el navegador descarga el motor de dibujo y algunas fuentes desde servidores de Google LLC (gstatic.com). Google recibe la dirección IP y datos técnicos del navegador, pero ningún dato del Cliente ni de la cuenta. No actúa como subencargado de HOSTELELLA, sino con arreglo a sus propios términos.
2. Subencargados de inteligencia artificial
HOSTELELLA recurre a proveedores de IA únicamente cuando la funcionalidad correspondiente está habilitada (p. ej., extracción y clasificación de documentos, asistente, o generación asistida de turnos y resolución del marco laboral). Antes de enviar información a estos proveedores se aplican medidas de minimización: cuando es posible, los datos se pseudonimizan (p. ej., el generador de turnos opera con iniciales y datos operativos, no con nombres completos) y se excluyen datos no necesarios para la finalidad (p. ej., no se transmite el motivo de las ausencias).
| Proveedor | Estado | Finalidad | Datos tratados | Ubicación / transferencias |
|---|---|---|---|---|
| Anthropic, PBC (modelos Claude vía la API de Anthropic) | Condicional cuando el negocio resuelve el convenio o marco laboral aplicable | Resolución del marco o convenio laboral aplicable mediante búsqueda web, como apoyo a la configuración de los turnos. No se utiliza para decisiones exclusivamente automatizadas. | País, dirección y sector del negocio. No se transmiten datos del equipo, nombres, identificadores fiscales ni ausencias. | Estados Unidos; bajo DPA / condiciones comerciales de Anthropic, SCC y medidas complementarias. Conforme a sus condiciones comerciales, Anthropic no utiliza los datos enviados a través de la API comercial para entrenar sus modelos. |
La búsqueda web utilizada para resolver el convenio o marco laboral aplicable se realiza con el país, la dirección y el sector del negocio, sin incluir datos personales de los empleados. El uso de IA está sujeto, además, a lo previsto en la Política de Privacidad (apartado de IA y tratamientos automatizados) y en los Términos.
Ella, asistencia proactiva. Los mensajes que Ella inicia se redactan con Azure OpenAI (fila de Microsoft del apartado 1), en un despliegue de la zona de datos de la UE. En este tratamiento no interviene ningún otro proveedor de IA. El expediente enviado se limita a lo descrito en el apartado 11.2 de la Política de Privacidad y se proyecta según el rol de la persona destinataria.
2.1 Servicios que no reciben datos personales
Para ilustrar el catálogo con imágenes de producto, el Servicio consulta fuentes externas de imágenes (Serper.dev, Open Food Facts y Wikimedia Commons) enviando únicamente el término de búsqueda del producto. No se envían datos de personas, del negocio ni de sus documentos, por lo que estos servicios no actúan como subencargados.
3. Cambios en la lista de subencargados
HOSTELELLA podrá actualizar esta lista para mantener, proteger o mejorar el Servicio. Los cambios materiales (incluida la incorporación de un nuevo subencargado) se comunicarán con al menos treinta (30) días de antelación cuando sea razonablemente posible, salvo cambios urgentes por seguridad, continuidad o sustitución de proveedor, que se comunicarán tan pronto como sea viable. El Cliente podrá oponerse por motivos fundados de protección de datos conforme al DPA, escribiendo a legal@hostelella.com.