Anexo de Subencargados
Este anexo complementa el Acuerdo de Encargo del Tratamiento (DPA) de HOSTELELLA e identifica a los subencargados que intervienen cuando HOSTELELLA trata datos personales por cuenta del Cliente. La lista aplica a los proveedores utilizados cuando la funcionalidad correspondiente está habilitada en el entorno del Cliente. HOSTELELLA no vende datos personales. Los proveedores marcados como condicionales solo intervienen cuando la integración, canal o entorno correspondiente está configurado o activado por el Cliente.
Los contratos con subencargados incluyen obligaciones de confidencialidad, seguridad, asistencia, devolución/eliminación, subcontratación e internacionalización compatibles con el artículo 28 RGPD. Cuando exista transferencia fuera del Espacio Económico Europeo (EEE), se aplicarán decisiones de adecuación, Cláusulas Contractuales Tipo (SCC), el EU-US Data Privacy Framework cuando proceda y medidas complementarias.
1. Subencargados de infraestructura, datos y comunicaciones
| Proveedor | Estado | Finalidad | Datos tratados | Ubicación / transferencias |
|---|---|---|---|---|
| Microsoft Ireland Operations Limited / Microsoft Corporation (Microsoft Azure: Azure Functions, API Management, Azure Storage, Key Vault, Application Insights, Azure AI Search y Azure OpenAI Service) | Principal | Infraestructura cloud, ejecución de backend, API gateway, almacenamiento, gestión de secretos, monitorización, búsqueda, seguridad y funciones de IA cuando se usa Azure OpenAI. | Datos de cuenta, documentos, metadatos, logs técnicos y datos necesarios para operar el Servicio. | Preferentemente UE/EEE en recursos configurados; posibles accesos o soporte internacional bajo DPA de Microsoft, SCC, decisiones de adecuación y medidas complementarias. |
| Microsoft Ireland Operations Limited / Microsoft Corporation (Azure Maps) | Condicional cuando el negocio verifica su dirección | Geocodificación de la dirección del negocio (conversión de la dirección postal en coordenadas) para la verificación de dirección y, si el negocio la activa, la verificación de presencia en el fichaje. | Dirección postal del negocio introducida por el Cliente. No se envían datos de ubicación de las personas trabajadoras. | Unión Europea; bajo DPA de Microsoft, SCC y garantías aplicables. |
| Supabase, Inc. | Principal | Autenticación, base de datos, gestión de usuarios, sesiones y almacenamiento asociado cuando esté habilitado. | Identificadores de usuario, email, sesión, roles, datos de aplicación y metadatos técnicos. | Según región del proyecto y servicios asociados; transferencias protegidas por DPA, SCC y garantías aplicables. |
| Resend, Inc. | Principal para correo necesario y, cuando se activen, para comunicaciones opcionales | Confirmaciones de cuenta, invitaciones de equipo, pedidos y reclamaciones a proveedores enviados por el Cliente, soporte, avisos de seguridad y comunicaciones del Servicio; además, cuando se activen y solo con consentimiento previo, novedades, consejos y ofertas. | Email, nombre cuando proceda, idioma, contenido del mensaje y metadatos de entrega (entregado, rebotado, fallido, queja). La medición de apertura y clic solo puede aplicarse al correo de invitación de equipo cuando se cumplan los requisitos de consentimiento/acceso al terminal descritos en la Política de Cookies; en otro caso se limita a entrega. HOSTELELLA no entrega al proveedor la lista de supresión en claro: se guarda como huella HMAC en la plataforma. | Estados Unidos / infraestructura del proveedor y subprocesadores; bajo DPA, SCC y garantías aplicables. |
| Stripe Payments Europe, Limited y entidades del grupo Stripe | Condicional cuando se activan pruebas convertibles, suscripciones o pagos | Procesamiento de pagos, custodia de métodos de pago, facturación, impuestos, prevención de fraude, reembolsos y gestión del ciclo de suscripción. | Nombre, email, dirección de facturación, identificadores fiscales cuando proceda, referencias de cliente/pago/suscripción, método de pago, pedido, importe, moneda, IP, dispositivo y señales antifraude. HOSTELELLA no almacena PAN ni CVC. | EEE, Estados Unidos y red global de entidades financieras y proveedores de método de pago; bajo el DPA y el Data Transfers Addendum de Stripe, SCC, decisiones de adecuación, EU-US Data Privacy Framework cuando proceda y medidas complementarias. |
| Apple Distribution International Ltd. / Apple Inc. (APNs) | Condicional para iOS | Entrega de notificaciones push y funcionamiento de la app móvil iOS. | Tokens de dispositivo, plataforma, preferencias de notificación y metadatos técnicos. | Infraestructura global de Apple con garantías aplicables. |
| Google Ireland Limited / Google LLC (Firebase Cloud Messaging) | Condicional para Android / web push | Entrega de notificaciones push y funcionamiento de la app móvil. | Tokens de dispositivo, plataforma, preferencias de notificación y metadatos técnicos. | Infraestructura global de Google con DPA, SCC, EU-US Data Privacy Framework cuando proceda y garantías aplicables. |
| Cloudflare, Inc. (Turnstile) | Condicional para antiabuso / captcha | Protección contra bots, abuso y solicitudes automatizadas. | Datos técnicos mínimos, IP, señales de navegador/dispositivo y resultado de verificación. | Infraestructura global de Cloudflare con DPA, SCC, EU-US Data Privacy Framework cuando proceda y garantías aplicables. |
| Google Ireland Limited / Google LLC (Google Analytics) | Condicional tras consentimiento de analítica | Medición agregada de uso de la web pública cuando el usuario acepta cookies de analítica. | Identificadores de analítica, páginas visitadas, eventos de interacción, datos técnicos e información aproximada de dispositivo/navegador. | Infraestructura global de Google con DPA, SCC, EU-US Data Privacy Framework cuando proceda y configuración de consentimiento previa. |
1.1 Otros destinatarios de pagos móviles
Cuando se utiliza un programa autorizado de compra externa, Apple Distribution International Ltd./Apple Inc. o Google Ireland Limited/Google LLC pueden recibir tokens o identificadores de reporte, país, importe, moneda, fecha y estado de la transacción para administrar el programa, seguridad y comisiones. Para estas finalidades actúan conforme a sus propios términos y responsabilidades, no como subencargados generales de HOSTELELLA. Solo se reporta lo exigido por el canal y nunca el PAN o CVC.
2. Subencargados de inteligencia artificial
HOSTELELLA recurre a proveedores de IA únicamente cuando la funcionalidad correspondiente está habilitada (p. ej., extracción y clasificación de documentos, asistente, o generación asistida de turnos y resolución del marco laboral). Antes de enviar información a estos proveedores se aplican medidas de minimización: cuando es posible, los datos se pseudonimizan (p. ej., el generador de turnos opera con iniciales y datos operativos, no con nombres completos) y se excluyen datos no necesarios para la finalidad (p. ej., no se transmite el motivo de las ausencias).
| Proveedor | Estado | Finalidad | Datos tratados | Ubicación / transferencias |
|---|---|---|---|---|
| Anthropic, PBC (modelos Claude vía la API de Anthropic) | Condicional cuando se usan funciones de IA de turnos/convenio o asistencia basadas en Claude | Generación asistida de propuestas de turnos (apoyo a la decisión, con revisión humana) y resolución del marco/convenio laboral aplicable mediante búsqueda web. No se utiliza para decisiones exclusivamente automatizadas. | Para la generación de turnos: datos de planificación pseudonimizados (iniciales, rol, departamento, horas y tipo de contrato, disponibilidad, preferencias de franja, rangos de fechas de no disponibilidad e indicador de minoría de edad) y parámetros operativos del negocio. Para la resolución del convenio: ubicación del negocio (país/región/ciudad) y sector. No se transmiten nombres completos, identificadores fiscales ni el motivo o tipo de las ausencias. | Estados Unidos; bajo DPA / condiciones comerciales de Anthropic, SCC y medidas complementarias. Conforme a sus condiciones comerciales, Anthropic no utiliza los datos enviados a través de la API comercial para entrenar sus modelos. |
| OpenAI, L.L.C. / OpenAI OpCo, LLC | Condicional (IA no-Azure) solo si se configura expresamente | Extracción, clasificación, asistencia o análisis de documentos/mensajes cuando se usa OpenAI como proveedor no-Azure. | Contenido enviado a la función de IA, metadatos mínimos y resultados generados. | Estados Unidos u otras ubicaciones según el servicio; requiere DPA, SCC/garantía aplicable, minimización y controles de no entrenamiento salvo opt-in / contrato específico. |
La búsqueda web utilizada para resolver el convenio o marco laboral aplicable se realiza con datos de ubicación y sector del negocio, sin incluir datos personales de los empleados. El uso de IA está sujeto, además, a lo previsto en la Política de Privacidad (apartado de IA y tratamientos automatizados) y en los Términos.
3. Cambios en la lista de subencargados
HOSTELELLA podrá actualizar esta lista para mantener, proteger o mejorar el Servicio. Los cambios materiales (incluida la incorporación de un nuevo subencargado) se comunicarán con al menos treinta (30) días de antelación cuando sea razonablemente posible, salvo cambios urgentes por seguridad, continuidad o sustitución de proveedor, que se comunicarán tan pronto como sea viable. El Cliente podrá oponerse por motivos fundados de protección de datos conforme al DPA, escribiendo a legal@hostelella.com.