¿Qué son los subprocesadores?
Los subprocesadores son terceros que procesan datos personales en nombre de Vytrix. Según el RGPD, estamos obligados a identificarlos, celebrar un acuerdo de procesamiento (DPA) con ellos y realizar cambios en esta lista al menos 30 días antes de la fecha de vigencia para anunciar.
¿Se opone a un nuevo subencargado por motivos de protección de datos? Contáctenos en privacy@vytrix.app antes de la fecha de entrada en vigor.
Subprocesadores actuales (agosto 2026)
| Subprocesador | Objetivo | Ubicación | Mecanismo de transferencia |
|---|---|---|---|
| Supabase Inc. | Funciones perimetrales de base de datos, autenticación, almacenamiento y backend | Región principal del proyecto para bases de datos, autenticación y almacenamiento: UE (Irlanda — AWS eu-west-1); otro procesamiento según las condiciones Supabase | DPA + SCC |
| Servicios web de Amazon (AWS) | Infraestructura en la nube (subprocesador de Supabase) | Proyecto primario de infraestructura UE (Irlanda); soporte y otros procesamientos de acuerdo con el Supabase DPA | A través de Supabase DPA |
| Google Irlanda Limitada (Firebase Crashlytics + mensajería en la nube) | Informes de fallos y notificaciones push | UE + transfronterizo | DPF+ UE-EE.UU. DPA de Google con SCC |
| RevenueCat Inc. | Gestión de suscripciones y derechos IAP | Estados Unidos | DPF+ UE-EE.UU. RevenueCat DPA con SCC |
| Stripe Pagos Europa, Ltd. | Procesamiento de pagos (pago web y pagos de afiliados) | UE (Irlanda) / EE. UU. | DPF+ UE-EE.UU. Stripe DPA con SCC |
| Google Cloud (Vertex AI) | AI Coach (chat) y análisis fotográfico de comidas/productos | Multirregión de la UE (eu) | Google Cloud DPA + procesamiento UE configurado |
| OpenAI | Lectura de etiquetas nutricionales, ingredientes y fotografías de productos opcionales en el escáner de etiquetas de productos | Procesamiento internacional | DPA + SCC cuando corresponda |
| Apple Inc. (App Store, IAP, Iniciar sesión con Apple) | Distribución y autenticación de aplicaciones | EE.UU./UE | DPF + Apple Acuerdo de desarrollador |
| Google LLC (Google Play, Facturación de Play, Iniciar sesión con Google) | Distribución y autenticación de aplicaciones | EE.UU./UE | DPF + Google Play Acuerdo de distribución para desarrolladores |
| Reenviar (Plus Five Five, Inc.) | Doble confirmación de suscripción y, solo después de la confirmación, actualizaciones de productos de escala | EE. UU. (procesamiento primario y almacenamiento) | Reenviar DPA + DPF UE-EE. UU. + SCC |
| Vercel Inc. | Alojamiento de sitios web, Vercel Analytics y Speed Insights | UE + infraestructura internacional | DPA + SCC cuando corresponda |
| PostHog Inc. | Análisis opcional de productos del sitio web, solo después de un permiso explícito | Punto final en la nube de la UE + proveedor de servicios internacionales | DPA + SCC cuando corresponda |
Para aumentar el interés a través de la aplicación o el sitio web, Supabase almacena la dirección de correo electrónico, el producto individual, la intención, la fuente, la ubicación, el país/región opcional, la versión de consentimiento y los metadatos de confirmación, cancelación de suscripción y aceptación del proveedor. Reenviar solo recibe lo necesario para el destinatario, el contenido del correo electrónico y la entrega. Los datos de entrenamiento, salud, nutrición y ciclo no van a Reenviar. Solo los registros de doble suscripción completados que no hayan sido cancelados podrán recibir actualizaciones de productos más adelante.
¿Qué datos van a qué subprocesador?
| Categoría | Supabase | base de fuego | RevenueCat | Vertex AI |
|---|---|---|---|---|
| Cuenta (nombre, correo electrónico) | si | Sólo identificación, para empujar | Solo identificación, derechos | No |
| Fechas de entrenamiento | si | No | No | No |
| Fechas de nutrición | si | No | No | Solo a través de foto AI |
| Sueño/cuerpo/frecuencia cardíaca | si | No (excluido de las claves de Crashlytics) | No | Sólo si el usuario lo solicita |
| Fotos de progreso | Sí (cubo privado) | No | No | No |
| Fotos de comidas / Fotos de productos Vertex | No (a corto plazo en la memoria) | No | No | Sí (de corta duración, no mantenido - UE) |
| ciclo menstrual | Sí (región principal del proyecto de Irlanda) | No | No | No |
| Contenido social | si | No | No | No |
| Registros de fallos (sin PII/sin estado) | No | si | No | No |
| Datos transaccionales de suscripción | Estado de derecho | No | si | No |
Fuera de esta matriz compacta, el escáner de etiquetas del producto puede enviar fotografías de la etiqueta, la lista de ingredientes y el frente del paquete, además de cualquier código de barras y nombre de producto existente, a OpenAI. Vercel procesa el tráfico del sitio web y los datos de rendimiento técnico. PostHog solo procesa eventos del sitio web eliminados después de un permiso explícito; No se incluyen consultas de URL ni fragmentos y se excluyen las páginas legales.
Garantías especiales por subencargado
Supabase — Arte. 9 datos de salud
- Vytrix ha obtenido/solicitado reconocimiento por escrito de que la tramitación del art. 9 datos de salud están dentro del alcance acordado
- La región principal del proyecto para Base de datos, autenticación y almacenamiento es Irlanda (
eu-west-1). Las copias de seguridad, el soporte y otros procesamientos están sujetos a las condiciones actuales del Supabase DPA y del subprocesador; Esta no es una garantía absoluta exclusiva de la UE.
Firebase Crashlytics: exclusión de datos de salud
- La recopilación de IP está deshabilitada
- Contiene claves y registros personalizados geen datos de entrenamiento personal, salud, nutrición o ciclo
- Solo campos técnicos (versión de la aplicación, versión del sistema operativo, modelo del dispositivo) y user_id seudonimizado
RevenueCat — exclusión del art. 9
- La DPA de RevenueCat prohíbe el art. 9 datos
- Solo enviamos ID de atributos y datos transaccionales; sin enlace a datos de salud o datos de ciclo
Google Vertex AI: residencia en la UE + franja de metadatos
- Procesamiento a través de la multirregión de la UE
eu; Vertex AI no utiliza indicaciones ni imágenes para el entrenamiento de modelos - Los metadatos EXIF se eliminan de las fotos antes de subirlas
- No hay identificadores de cuenta ni direcciones de correo electrónico en las solicitudes
- Foto-AI tiene un indicador de desconexión automática para desactivación global
OpenAI: escáner de etiquetas de productos
- Para este escaneo solo se envían las fotografías del producto y el contexto necesario elegido por el usuario (posiblemente el código de barras y el nombre del producto existente); sin identificación de cuenta ni dirección de correo electrónico.
- El procesamiento internacional está sujeto a la DPA aplicable y a las salvaguardias de transferencias posteriores.
Vercel y PostHog — sitio web
- Vercel proporciona alojamiento de sitios web y estadísticas web técnicas sin cookies; Se eliminan las consultas de URL y los fragmentos.
- PostHog solo se carga después de un permiso explícito. DNT y Control de Privacidad Global cuentan como un rechazo; Las páginas legales no utilizan PostHog.
Reenvío: fechas mínimas de correo y transferencia a EE. UU.
- El procesamiento primario y el almacenamiento se llevan a cabo en los EE. UU.; una región de envío europea no cambia la ubicación de almacenamiento.
- Las transferencias se basan en el Reenvío de DPA, DPF y SCC.
- Solo los registros cancelados y confirmados con doble suscripción pueden recibir actualizaciones. Cada actualización contiene un enlace personal para cancelar la suscripción que revoca inmediatamente el consentimiento; Registrarse nuevamente requiere un nuevo doble opt-in.
¿Cómo manejamos los cambios?
- Nuevo subprocesador: publicación con al menos 30 días de anticipación en esta página + notificación por correo electrónico a los usuarios registrados.
- Objeción: via privacy@vytrix.app. En caso de objeción fundada, buscaremos una alternativa; Si eso no funciona, puede cancelar su cuenta con un reembolso de las tarifas de suscripción prepaga.
- Cambio de ubicación o mecanismo de transferencia: publicación + correo electrónico.
- Eliminación de un subprocesador: publicación; El procesador eliminará o devolverá los datos dentro de 90 días.
Contacto
¿Preguntas sobre subprocesadores? privacy@vytrix.app