Subencargados

Versión del 9 de noviembre de 2026

Para dar el servicio, Balboa Davia, S.L. cuenta con estos proveedores, que tratan datos por cuenta de los estudios con un contrato de encargado. Si añadimos o cambiamos alguno, avisamos a los estudios con al menos 15 días de antelación.

Supabase

Supabase Pte. Ltd., con oficinas en Singapur · Siempre

Para qué: Base de datos, cuentas de acceso y archivos pequeños, como el logo del estudio.
Qué datos: Todos los datos de la app: equipo, clientes, citas, documentos, pagos y mensajes.
Dónde: Unión Europea: la base de datos de Fotocalma está en Irlanda. Su contrato le obliga a guardarlos y tratarlos principalmente en la región elegida.
Garantías: Cláusulas contractuales tipo de la Comisión Europea (módulos 2 y 3) en su contrato de encargado.

Cloudflare

Cloudflare, Inc. (Estados Unidos) · Siempre

Para qué: Almacenamiento de las fotos de las galerías (R2) y protección contra robots en los formularios (Turnstile). Al publicar la app, también el dominio y el reenvío del correo de contacto.
Qué datos: Fotos y archivos de las galerías, y señales técnicas del navegador para distinguir a una persona de un robot. Turnstile no lee lo que se escribe en los formularios.
Dónde: Las fotos, en la Unión Europea: R2 con la jurisdicción de la UE garantiza que se guardan allí. Los demás servicios pueden tratarse fuera del Espacio Económico Europeo.
Garantías: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo (módulos 2 y 3).

Vercel

Vercel Inc. (Estados Unidos) · Con la app publicada

Para qué: Alojamiento de la app en internet.
Qué datos: Lo que pasa por la app al usarla y los registros técnicos (dirección IP y navegador).
Dónde: La app se ejecuta en Dublín (Unión Europea); sus instalaciones principales están en Estados Unidos.
Garantías: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.

Trigger.dev

API Hero Ltd, que opera Trigger.dev (Reino Unido) · Con la app publicada

Para qué: Tareas en segundo plano: procesar las fotos, preparar los ZIP, las automatizaciones y los avisos.
Qué datos: Cada tarea recibe solo identificadores y trata lo imprescindible para hacerse, como una foto o un mensaje.
Dónde: Amazon Web Services en Estados Unidos (us-east-1), según su contrato de encargado.
Garantías: Cláusulas contractuales tipo de la Comisión Europea, previstas en su contrato de encargado.

Resend

Plus Five Five, Inc., que opera Resend (Estados Unidos) · Con la app publicada

Para qué: Envío de correos: avisos, enlaces, códigos de acceso y mensajes del estudio.
Qué datos: La dirección de correo y el contenido de cada mensaje.
Dónde: Los correos salen desde Irlanda (Unión Europea). Los datos de la cuenta y los registros de envío se guardan en Estados Unidos.
Garantías: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo (módulos 2 y 3).

Twilio

Twilio Inc. (Estados Unidos) · Solo si el estudio lo usa

Para qué: SMS y WhatsApp, si el estudio los activa. Los WhatsApp pasan también por la plataforma WhatsApp Business de Meta.
Qué datos: El teléfono y el contenido de cada mensaje.
Dónde: Estados Unidos.
Garantías: Normas corporativas vinculantes, Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.

Verifacti

Bilbabit, S.L., que opera Verifacti (Getxo, España) · Solo si el estudio lo usa

Para qué: Registros de facturación VERI*FACTU para la Agencia Tributaria, si el estudio lo activa.
Qué datos: Los datos de cada factura: emisor, destinatario, conceptos e importes.
Dónde: España. Según su política, solo cede datos a subencargados de Estados Unidos adheridos al Marco de Privacidad de Datos UE-EE. UU.
Garantías: Su propio contrato de encargado y las garantías del capítulo V del RGPD.

Anthropic

Anthropic Ireland, Limited (Irlanda) · Solo si el estudio lo usa

Para qué: Inteligencia artificial, cuando el estudio la pide: redactar mensajes, reescribir los textos de su web y traer los de la web que ya tenía.
Qué datos: El texto que se pide redactar o reescribir y el contexto necesario, como el nombre de pila del cliente, la fecha de la sesión o los datos del estudio. Para traer sus textos, lee las páginas públicas de la web que indique el estudio.
Dónde: Sus servidores en Estados Unidos.
Garantías: Cláusulas contractuales tipo (módulos 2 y 3). Sus condiciones le prohíben entrenar sus modelos con estos datos. Los borra a los 30 días, salvo que la ley le obligue a guardarlos más o tenga que investigar un abuso de sus normas de uso.

Sentry

Functional Software, Inc., que opera Sentry (Estados Unidos) · Con la app publicada

Para qué: Registro de los errores de la app, para corregirlos.
Qué datos: Datos técnicos de cada error. La app no le envía nombres, correos ni teléfonos.
Dónde: Los errores se guardan en Fráncfort (Unión Europea); los datos de la cuenta, en Estados Unidos.
Garantías: Marco de Privacidad de Datos UE-EE. UU. y, si dejara de valer, cláusulas contractuales tipo.

Otros servicios por los que pasan datos

No son proveedores de Fotocalma, pero conviene que sepas qué hacen:

Google Calendar: Si el estudio conecta su calendario de Google, la app consulta cuándo está ocupado y crea las citas, con su fecha, hora y título, en un calendario propio. Google trata esos datos como proveedor del estudio. La app solo pide permiso para los calendarios que ella crea.
Pasarela de pago del banco (Redsys): El pago con tarjeta o Bizum se hace en la pasarela del banco del estudio. Fotocalma no ve ni guarda los datos de la tarjeta: solo recibe si el pago se hizo.
Avisos del navegador: Si alguien del equipo activa los avisos, el servicio de avisos de su navegador (Google, Apple o Mozilla) los entrega cifrados. Llevan como mucho el nombre de pila del cliente, nunca su correo ni su teléfono.