Legal
Lista de Subprocesadores
Última actualización: 28 de septiembre de 2026
Responsable del tratamiento
Iñaki Zazpe Pérez de Ciriza
NIF: 47758938J · Olesa de Bonesvalls (xx), 08795 Barcelona, España
Email de contacto legal: [email protected]
1. Propósito de esta página
Esta página enumera los subencargados del tratamiento (subprocesadores) a los que SommelierLab recurre para prestar sus servicios, conforme al Art. 28 del Reglamento (UE) 2016/679 (RGPD).
Está dirigida a las bodegas-cliente que han firmado un Acuerdo de Encargo del Tratamiento (DPA) con SommelierLab y han autorizado con carácter general el uso de subprocesadores, así como a auditores, autoridades de control e interesados que ejerzan derechos de acceso.
2. Lista actual de subprocesadores
| Subprocesador | Finalidad | Datos tratados | Ubicación | Estado |
|---|---|---|---|---|
| OpenAI Ireland Ltd | Modelos de IA (GPT-4o sommelier, Whisper transcripción, Vision análisis de etiquetas) | Texto de conversaciones, transcripciones de voz, imágenes de etiquetas | Irlanda (UE) | ✓ DPA vigente |
| Backblaze, Inc. | Almacenamiento de imágenes y media (CDN) | Fotos de etiquetas subidas por consumidores, imágenes de bodega | EE.UU. (con SCCs UE→US) | ✓ DPA vigente |
| Railway Corporation | Base de datos PostgreSQL y orquestación de workflows | PII de consumidores (email opt-in, user_hash, eventos, conversaciones) | EE.UU. (con SCCs UE→US) | ✓ DPA vigente |
| Vercel Inc. | Hosting del dashboard editorial y de las páginas QR (frontend) | Logs HTTP (IP, user-agent), métricas anónimas de uso | Edge global | ✓ DPA vigente |
| Cloudflare, Inc. | DNS de sommelierlab.com, Email Routing (legal@), seguridad de red | Metadatos DNS, headers HTTP, routing de email | Edge global | ✓ DPA vigente |
| ElevenLabs Inc. | Conversational AI (voz del sommelier en tiempo real) | Audio de voz del consumidor durante sesiones de chat por voz | EE.UU. + Irlanda; afiliadas y subencargados propios en Reino Unido, EAU e India (con SCCs cuando aplica) | ✓ DPA vigente |
| Zadarma (IP Telecom Bulgaria LTD / VOICE CLOUD S.L.) | Telefonía (números virtuales y transporte SIP de llamadas al asistente telefónico) | Número llamante, número llamado, metadatos de la llamada; el audio se enruta al procesador de voz | UE — datacenters en Frankfurt, Riga y Madrid; backups intra e inter-datacenter en la UE (confirmado por escrito por su Privacy Department, ago-2026) | ✓ DPA vigente |
| Meta Platforms Ireland Ltd | APIs de Instagram y Facebook: leer las publicaciones públicas de la cuenta que la propia bodega conecta, para mostrarlas en sus fichas | Identificador, nombre de usuario y foto de perfil de la cuenta conectada por la bodega; metadatos de sus publicaciones públicas (enlace, pie de foto, tipo, fecha, miniatura). Al mostrarse una publicación incrustada, Meta recibe además la IP y el user-agent del visitante de la ficha | Irlanda (UE); transferencias a EE.UU. al amparo del EU-US Data Privacy Framework y SCCs | ⏳ En gestión |
| Resend Inc. | Envío de email transaccional y de marketing opt-in | Email del consumidor (opt-in), contenido del mensaje | Global (con SCCs UE→US) | ✓ DPA vigente |
Para cada subprocesador, SommelierLab mantiene un DPA bilateral firmado o, en su defecto, ha aceptado el DPA estándar del proveedor incorporado por referencia a sus Términos de Servicio. Las transferencias internacionales a destinos fuera del Espacio Económico Europeo se realizan al amparo de las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea (Decisión 2021/914).
Los subprocesadores marcados «En gestión» son altas anunciadas cuyo encaje contractual está en curso: figuran aquí por transparencia y todavía no tratan datos en producción.
3. Notificación de cambios
SommelierLab notificará cualquier alta, baja o sustitución de subprocesador a las bodegas-cliente con una antelación mínima de 30 días naturales, mediante:
- Actualización pública de esta página (cabecera con fecha de última revisión).
- Notificación por email a la dirección de contacto designada por la bodega en el Contrato Marco.
La bodega-cliente podrá oponerse motivadamente al cambio en dicho plazo de 30 días. En caso de oposición fundada que no pueda resolverse de común acuerdo, la bodega podrá resolver el Contrato sin penalización respecto a los servicios afectados, conforme a la Cláusula 6.2 del Anexo III (DPA).
4. Cómo se cubre legalmente cada subprocesador
Existen dos modelos válidos bajo Art. 28 RGPD:
- DPA bilateral firmado: contrato específico firmado entre SommelierLab y el subprocesador (OpenAI, Backblaze, Railway).
- DPA incorporado por referencia: el subprocesador publica un DPA estándar que se considera parte de sus Términos de Servicio al activar la suscripción. Es el modelo de Vercel y Cloudflare, ampliamente aceptado por la AEPD y autoridades equivalentes europeas (EDPB Guidelines 07/2020).
Las pruebas documentales (PDFs firmados, capturas del panel, versiones públicas con fecha) se conservan en archivo interno y están disponibles bajo NDA mutuo en caso de auditoría formal por parte de la bodega-cliente (Cláusula 8 del Anexo III).
5. Datos de consumidor vs datos de bodega
Importante: SommelierLab actúa con doble rol según el tipo de dato:
- Datos de consumidor final (escaneos QR, conversaciones, cava personal): SommelierLab es responsable del tratamiento independiente. Los subprocesadores listados intervienen en esta capa.
- Datos aportados por la bodega (personal, contactos comerciales, etc.): SommelierLab es encargado del tratamiento de la bodega. El DPA (Anexo III del Contrato Marco) regula esta relación y autoriza el uso de los mismos subprocesadores listados.
6. Contacto
Para cualquier consulta relativa a esta lista de subprocesadores o al ejercicio de derechos derivados:
- Email RGPD: [email protected]
- Plazo máximo de respuesta: 1 mes (Art. 12 RGPD)