Lista de subencargados del tratamiento

Animiyo es una plataforma SaaS multiinquilino para la gestión de mascotas: una aplicación web Next.js alojada en Google Cloud Run y una aplicación iOS nativa comparten el mismo backend de Firebase, en el proyecto de Google Cloud petdiary-10327. Ninguno de estos componentes se ejecuta en máquinas propiedad de quien desarrolla el servicio, de modo que cada dato tratado por la plataforma pasa por un proveedor tercero. Hacer pública la lista de esos proveedores es la forma más directa de permitir que cualquiera compruebe dónde acaban sus datos.

Animiyo tiene dos papeles distintos. Es responsable del tratamiento para las cuentas de los propietarios de mascotas, es decir, para quienes se registran y usan la aplicación para sí mismos. En cambio, es encargado del tratamiento para los datos que los inquilinos, clínicas veterinarias y tiendas, tratan sobre sus propios clientes. Esta lista se aplica en ambos casos, con una diferencia de calificación jurídica: en el primer caso los proveedores son encargados del tratamiento designados por Animiyo, en el segundo son subencargados autorizados con arreglo al artículo 28, apartados 2 y 4, del Reglamento (UE) 2016/679.

Dos tipos de lectores usan esta página. El interesado, es decir, la persona cuyos datos se tratan, la usa para comprobar que el aviso en /privacy dice la verdad y para ejercer los derechos descritos en /diritti-privacy. El inquilino responsable la usa para cumplir con la obligación de información establecida en el acuerdo en /dpa, para actualizar su propio registro de las actividades de tratamiento y para decidir si acepta a un proveedor o se opone a él. La publicación satisface por tanto tanto la obligación de transparencia hacia los interesados como la obligación de información hacia los responsables inquilinos.

Las tablas que siguen son la parte sustancial de este documento: los párrafos solo existen para explicarlas. Si una fila cambia, cambia también la fecha de actualización en la parte superior de la página y aparece una entrada en el historial de cambios al final.

Un proveedor se activa solo tras superar una serie fija de controles, aplicados siempre en el mismo orden. No es una valoración discrecional: son requisitos mínimos, y un proveedor que no los cumple no entra en la plataforma, por muy cómodo o barato que sea el servicio.

• Garantías suficientes con arreglo al artículo 28, apartado 1: un acuerdo de tratamiento de datos firmado, medidas de seguridad documentadas, transparencia sobre dónde se conservan los datos.
• Una prohibición absoluta de cláusulas que permitan al proveedor tratar los datos para fines propios, incluido el entrenamiento de modelos de inteligencia artificial, sin un consentimiento separado y revocable.
• Notificación de violación de datos en un plazo de veinticuatro horas, aceptable hasta cuarenta y ocho.
• Una obligación de suprimir los datos en un plazo de treinta días desde el fin de la relación, con confirmación por escrito de que la supresión tuvo lugar.
• Publicación por parte del proveedor de su propia lista de subencargados ulteriores.
• Minimización: para una misma función se elige al proveedor que recibe la menor cantidad de datos necesaria.

Un solo término no es negociable. Ningún proveedor puede tratar los datos de los usuarios para fines propios, y en particular para entrenar modelos de inteligencia artificial, sin un consentimiento separado, informado y revocable. En todos los demás puntos una cláusula menos favorable puede compensarse con medidas técnicas u organizativas; en este no, porque un dato que ha entrado en un modelo ya no es recuperable ni suprimible de forma verificable. Si un proveedor introduce una cláusula de este tipo en sus condiciones, el servicio se sustituye mediante el procedimiento descrito más adelante.

Esta es la tabla principal del documento. Para cada proveedor se indican el servicio, las categorías de datos que recibe, el lugar en que se realiza el tratamiento y el papel jurídico. El papel dice encargado porque el proveedor trata los datos por cuenta de Animiyo y según sus instrucciones; frente a los responsables inquilinos, ese mismo proveedor es un subencargado autorizado.

El grupo Google aparece ocho veces en lugar de una sola. No es una repetición inútil: cada fila es un servicio distinto, con su propia configuración, su propia ubicación y su propia categoría de datos. Firebase Authentication conoce la dirección de correo electrónico pero no el contenido de la cartilla sanitaria; Cloud Storage for Firebase conserva las fotografías pero no sabe nada de las citas; Google Analytics 4 solo ve el sitio público y nunca el área privada. Enumerar los servicios por separado permite entender qué datos se verían afectados por un incidente que atañe solo a uno de ellos, y sustituir uno sin tocar los demás.

La expresión infraestructura global marca los servicios que no permiten elegir una región de tratamiento: el proveedor los ofrece desde una red distribuida y los datos pueden tratarse en más de una ubicación. Se aplica a las notificaciones push, a los controles antifraude y a la medición del sitio público, es decir, a servicios que tratan identificadores técnicos y no contenidos de la cuenta. Para estos casos la base de la transferencia es la misma descrita en la sección sobre la ubicación de los datos.

Stripe Payments Europe Limited aparece en la lista aunque no recibe ningún dato. La integración existe en el código pero la pasarela está apagada mediante un interruptor de configuración, de modo que ninguna información de pago sale de la plataforma. La fila permanece en la tabla por transparencia: el día en que el interruptor se encienda no será una novedad oculta, y su activación seguirá en cualquier caso el preaviso previsto para los cambios de subencargado.

Algunas funciones de la plataforma leen información de bases de datos públicas: la ficha de un medicamento, el valor nutricional de un alimento, la descripción de una raza, un tipo de cambio, una tesela cartográfica. Son llamadas que solo leen datos, parten del navegador del usuario y no transportan ni el identificador de la cuenta ni ningún contenido del diario. Transmiten, sin embargo, la dirección IP del navegador y los datos técnicos de la solicitud, y por eso deben declararse.

Estos servicios no son encargados del tratamiento, porque no tratan datos por cuenta de Animiyo y no reciben instrucciones de Animiyo sobre el modo de usar la información que obtienen. Respecto a los datos de conexión que recogen son responsables autónomos: deciden por sí mismos los fines y los medios, aplican sus propios avisos y responden directamente de sus propias decisiones. La diferencia no es una formalidad. Un encargado trata los datos solo como se le ha indicado y los suprime cuando se le pide; un responsable autónomo, en cambio, responde por sí mismo, y las solicitudes relativas a esos datos de conexión deben dirigirse a él.

Los recursos principales de la plataforma se encuentran en la región us-central1, en Estados Unidos. Esto significa que los datos de las cuentas, los contenidos cargados y los registros del sistema se tratan fuera del Espacio Económico Europeo, y que la transferencia debe apoyarse en una base jurídica válida además de en medidas técnicas adecuadas.

Las garantías que acompañan a la transferencia hacia Estados Unidos son las siguientes.

• Google Ireland Limited como contraparte contractual, con los Google Cloud Data Processing Terms.
• Cláusulas contractuales tipo adoptadas por la Comisión Europea mediante la decisión de ejecución 2021/914.
• Certificación de Google LLC en el EU-US Data Privacy Framework.
• Cifrado de los datos en tránsito con TLS y en reposo con AES de 256 bits.
• Una evaluación del impacto de la transferencia documentada por el titular.
• La política de Google sobre la gestión de las solicitudes procedentes de las autoridades públicas.

La migración de los recursos a una región europea, en el área europe-west, está en estudio. No es una decisión tomada, porque implica reconstruir parte de la infraestructura y aceptar una ventana de indisponibilidad del servicio. Si se produce, se anunciará en esta página con el mismo preaviso previsto para añadir o sustituir un subencargado, de modo que los responsables inquilinos puedan actualizar su propia documentación antes de que el cambio surta efecto.

Frente a los responsables inquilinos, el recurso a los proveedores enumerados se apoya en una autorización general con arreglo al artículo 28, apartado 4, del Reglamento (UE) 2016/679. Una autorización general no es un cheque en blanco: quien la concede conserva el derecho de saber por anticipado qué cambia y de oponerse. El procedimiento que sigue describe cómo se ejerce ese derecho en la práctica.

1. 1

   Publicación del preaviso

   Al menos treinta días antes de añadir o sustituir un subencargado, el cambio se publica en esta página, con la indicación del proveedor, del servicio, de los datos afectados y de la fecha prevista de activación.

2. 2

   Comunicación al inquilino

   Al mismo tiempo que la publicación, el preaviso se envía a la dirección de correo electrónico que el inquilino ha indicado en su perfil. Mantener esa dirección actualizada y vigilada es responsabilidad del inquilino.

3. 3

   Oposición motivada

   El inquilino puede oponerse en un plazo de quince días desde el preaviso, indicando los motivos de la oposición. Las objeciones se envían desde la página /contatti y deben estar motivadas, es decir, deben explicar qué riesgo o qué limitación hace inaceptable al proveedor propuesto.

4. 4

   Búsqueda de una medida alternativa

   Antes de la fecha de activación se valora si la oposición puede resolverse con medidas alternativas: una configuración distinta, una región distinta, una reducción de los datos transmitidos o un proveedor diferente para esa función.

5. 5

   Resolución sin penalización

   Si la oposición no puede resolverse, el responsable inquilino puede resolver sin penalización la parte del servicio afectada por el cambio, del modo previsto en el acuerdo publicado en /dpa.

Existe una sola excepción al preaviso de treinta días. Si un proveedor debe sustituirse por motivos de seguridad, por ejemplo tras una vulnerabilidad grave o el cese repentino de un servicio, la sustitución puede llevarse a cabo con preaviso reducido. En ese caso la comunicación a los inquilinos es inmediata y el derecho de oposición permanece intacto, pero se ejerce después del cambio en lugar de antes. Esperar treinta días ante un riesgo en curso perjudicaría justamente a las personas que el procedimiento pretende proteger.

Esta lista cubre los proveedores elegidos por Animiyo para hacer funcionar la plataforma. No cubre los proveedores elegidos por el inquilino. Cuando una clínica veterinaria o una tienda conecta sus propias herramientas, exporta datos de la plataforma o los transmite a proveedores suyos, esos proveedores no aparecen aquí y siguen siendo responsabilidad del inquilino: el inquilino debe designarlos como encargados del tratamiento e informar de ellos a sus propios interesados.

La distinción importa sobre todo para quienes han dejado sus datos a una clínica o a una tienda. Si una solicitud atañe a un proveedor que el inquilino ha elegido por su cuenta, debe dirigirse al inquilino, porque es él el responsable de ese tratamiento y solo él sabe qué herramientas ha conectado. Esta página sigue siendo, en cualquier caso, el punto de partida para entender qué proveedores son comunes a todos y cuáles no.

Una lista de subencargados dice mucho también por lo que no contiene. Las categorías de proveedores que siguen están ausentes de la plataforma, y su ausencia es una decisión de diseño, no una situación temporal a la espera de presupuesto.

• Ninguna red publicitaria, ningún intermediario de datos, ningún proveedor de perfilado comercial.
• Ningún proveedor de modelos de inteligencia artificial que reciba datos de los usuarios.
• Ningún servicio de atención al cliente de terceros con acceso a los datos.
• Ningún sistema de correo electrónico de marketing alimentado con la base de usuarios.
• Ninguna venta ni cesión de datos a terceros.

Cada una de estas entradas corresponde a un proveedor que no aparece en la tabla principal y que no aparecerá sin el preaviso descrito más arriba. Si en el futuro una de estas categorías llegara a ser necesaria, su incorporación seguiría el mismo procedimiento de preaviso y oposición previsto para los demás proveedores, y para los fines que requieren consentimiento ese consentimiento se recogería de forma separada y revocable.

Cada cambio en esta lista se publica en esta misma página, que es la fuente autorizada. A los responsables inquilinos el cambio se les comunica además a la dirección de correo electrónico indicada en su perfil, porque para ellos el preaviso tiene efectos contractuales y no solo informativos.

La forma más sencilla de saber si algo ha cambiado es comprobar la fecha de actualización en la parte superior de la página y compararla con el historial de cambios al final. Para preguntas sobre la lista, para solicitar la documentación contractual relativa a un proveedor o para presentar una objeción se usa la página /contatti, que es el canal único para todas las comunicaciones relativas a este documento.

Las revisiones posteriores se añaden a esta tabla y se registran en el control de versiones del código, que conserva el texto exacto de cada versión junto con la fecha del cambio. Quien necesite reconstruir qué lista estaba en vigor en un momento dado puede solicitarlo a través de la página /contatti.