Versión SUBPROCESSORS-2026-10-v4 · Vigente desde 28 de octubre de 2026
Subencargados del tratamiento
Esta lista es un anexo del contrato de encargo del tratamiento (https://tavelo.ch/dpa). Indica los proveedores que tratan datos personales por cuenta de Tavelo. Informamos a los restaurantes con al menos 30 días de antelación de cualquier subencargado nuevo o sustituido.
Esta versión en español es una traducción de cortesía. La versión alemana es la jurídicamente vinculante; en caso de discrepancia, prevalece la versión alemana.
1. Subencargados
| Proveedor | Finalidad | Datos | Ubicación / transferencia | Contrato |
|---|---|---|---|---|
| Supabase (entidad contratante: Supabase Pte. Ltd, Singapur) | Base de datos, inicio de sesión, almacenamiento de archivos | Todos los datos guardados en Tavelo (cuentas, pedidos, reservas, datos de fidelidad y marketing, identificadores de Wallet, facturación, imágenes) | Almacenamiento en la UE: región de Supabase Central EU (Fráncfort, AWS eu-central-1), Alemania. La entidad contratante tiene su sede en Singapur; cualquier transferencia (p. ej. acceso por parte del proveedor) se basa en las cláusulas contractuales tipo de la UE con adaptaciones suizas (según el DPA de Supabase) | https://supabase.com/legal/dpa |
| Vercel Inc., EE. UU. | Alojamiento del sitio web y de las funciones de servidor | Todos los datos transmitidos a través de la aplicación; direcciones IP y registros de solicitudes | Funciones de servidor en EE. UU. (región iad1); entrega a través de la red global de Vercel. Transferencias basadas en las cláusulas contractuales tipo de la UE (según el DPA de Vercel) | https://vercel.com/legal/dpa |
| Resend (Plus Five Five, Inc.), EE. UU. | Envío de correos de reserva y códigos de un solo uso | Correo electrónico, nombre, datos de la reserva, nombre del restaurante, código | Tratamiento principal en EE. UU. Transferencias basadas en las cláusulas contractuales tipo de la UE con adaptaciones suizas; Resend está certificado en el Data Privacy Framework (según el DPA de Resend) | https://resend.com/legal/dpa |
| Amazon Web Services EMEA SARL, Luxemburgo (Amazon SES) | Envío de correos electrónicos (reservas, códigos de un solo uso, contratos) | Correo electrónico, nombre, contenido del correo (p. ej. datos de la reserva, nombre del restaurante, código) | Envío desde la región de AWS eu-central-1 (Fráncfort), Alemania. Cualquier transferencia (p. ej. acceso por parte del proveedor o de sus empresas vinculadas en EE. UU.) se basa en las cláusulas contractuales tipo de la UE con adaptaciones suizas (según el DPA de AWS) | https://d1.awsstatic.com/legal/aws-dpa/aws-dpa.pdf |
| OpenAI (para datos del EEE / Suiza: OpenAI Ireland Limited) — solo si las funciones de IA están activadas | Asistente de reservas con IA, traducción de textos de la carta y notas de pedido, reconocimiento del texto al importar una carta a partir de fotos o de un PDF | Texto escrito en el chat (sin datos de contacto), textos de la carta, notas de pedido, fotos de cartas impresas o imágenes de las páginas de un PDF de la carta (Tavelo no las guarda; no previstas para contener datos personales) | Tratamiento también fuera de Suiza, entre otros en EE. UU. Transferencias basadas en cláusulas contractuales tipo (según el DPA de OpenAI). Tavelo envía las solicitudes con la opción de no guardar las respuestas en el proveedor; OpenAI puede conservar datos de la API durante un tiempo limitado según sus condiciones, p. ej. para detectar abusos | https://openai.com/policies/data-processing-addendum/ |
2. Proveedores independientes (no subencargados)
Apple (Apple Wallet) y Google (Google Wallet) proporcionan las aplicaciones Wallet que el propio cliente utiliza. Tavelo les envía el contenido de la tarjeta de fidelidad cuando un cliente añade una tarjeta, y envía actualizaciones. Apple y Google actúan según sus propias condiciones y políticas de privacidad (https://www.apple.com/legal/privacy/, https://policies.google.com/privacy). Está pendiente de revisión jurídica si Google actúa como encargado respecto de los objetos de tarjeta guardados en la cuenta de emisor de Tavelo.
GitHub activa tareas programadas en segundo plano y no recibe datos personales.