Proveedores que tratan datos

Versión 1.0 · 8 de octubre de 2026

Borrador pendiente de revisión por un asesor

Estas son las empresas que prestan servicios técnicos a Trainer Hub y que, para hacerlo, pueden tratar datos personales. Son subencargados del tratamiento (artículo 28 del RGPD): solo pueden usar los datos para prestar su servicio, con contrato y con las mismas obligaciones de protección que Trainer Hub. Esta lista forma parte del contrato de encargado del tratamiento.

Lista de proveedores

Supabase

En uso

Supabase, Inc. (Estados Unidos)

Para qué: Base de datos, archivos (fotos de progreso y notas de voz) y cuentas de acceso.
Qué datos: Todos los datos de la app: cuentas, datos de salud, fotos, mensajes y notas de voz.
Dónde: Unión Europea: Fráncfort (Alemania), centro de datos de AWS eu-central-1.
Garantías: Los datos se guardan en la UE. Al ser una empresa estadounidense, su acuerdo de tratamiento incluye las cláusulas contractuales tipo de la Comisión Europea [verificar].

Vercel

En uso

Vercel Inc. (Estados Unidos)

Para qué: Alojamiento y ejecución de la web y de la app.
Qué datos: Los datos que se ven o se envían al usar la app (de paso, no los guarda) y medidas de velocidad y visitas sin cookies.
Dónde: Ejecución en Fráncfort (Alemania) [confirmar configuración] y red mundial de entrega de contenido estático.
Garantías: Cláusulas contractuales tipo en su acuerdo de tratamiento y adhesión al Marco de Privacidad de Datos UE-EE. UU. [verificar].

Resend

En uso

Resend (Plus Five Five, Inc., Estados Unidos)

Para qué: Envío de correos: invitaciones, recuperar contraseña y avisos de la app.
Qué datos: Nombre, correo electrónico y el contenido del aviso.
Dónde: Envío desde la Unión Europea (Irlanda, AWS SES); empresa en EE. UU.
Garantías: Cláusulas contractuales tipo en su acuerdo de tratamiento [verificar].

Servicios de notificaciones del navegador

Solo si se usa

Google (Android y Chrome), Apple (iPhone y Safari) y Mozilla (Firefox)

Para qué: Hacer llegar las notificaciones al móvil u ordenador, si las activas.
Qué datos: Un identificador técnico del dispositivo. El contenido viaja cifrado: ellos no pueden leerlo. Con la pantalla bloqueada solo se muestra un aviso genérico, p. ej. «Nuevo mensaje de tu entrenador».
Dónde: Según el servicio de cada fabricante (UE y EE. UU.).
Garantías: Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo de cada fabricante [verificar].

Google (inicio de sesión)

Solo si se usa

Google Ireland Limited / Google LLC

Para qué: Entrar con tu cuenta de Google, solo si eliges esa opción.
Qué datos: Nombre, correo electrónico y foto de tu cuenta de Google.
Dónde: Unión Europea y Estados Unidos.
Garantías: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.

Anthropic (asistente de IA)

Aún no en uso

Anthropic, PBC (Estados Unidos)

Para qué: Asistente de inteligencia artificial que ayuda al entrenador (redactar revisiones, proponer cambios del plan). Hoy todavía no está activo.
Qué datos: Solo los datos mínimos necesarios para cada petición. Nunca DNI, dirección ni teléfono. Las fotos, solo si el entrenador lo pide expresamente.
Dónde: Estados Unidos.
Garantías: Cláusulas contractuales tipo en su acuerdo de tratamiento; según sus condiciones comerciales, los datos enviados por la API no se usan para entrenar sus modelos [verificar].

Copias de seguridad propias

Aún no en uso

Proveedor por confirmar (Cloudflare R2 o Backblaze B2)

Para qué: Guardar copias cifradas de la base de datos para poder recuperarla.
Qué datos: Copia cifrada de la base de datos.
Dónde: Unión Europea.
Garantías: Región de la UE y copias cifradas [confirmar al contratarlo].

A tener en cuenta

Los datos de la app se guardan en la Unión Europea (Fráncfort, Alemania).
Cuando un proveedor es de fuera del Espacio Económico Europeo, se usan las garantías del RGPD: cláusulas contractuales tipo aprobadas por la Comisión Europea (artículo 46) o el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de 2023).
Al asistente de inteligencia artificial nunca se le envían DNI, dirección ni teléfono; solo los datos mínimos de cada petición.
La búsqueda de alimentos en Open Food Facts la hace nuestro servidor y no envía datos personales, así que no es un proveedor que trate datos.
Si añadimos o cambiamos un proveedor, avisaremos a los entrenadores con antelación para que puedan oponerse, y publicaremos aquí una versión nueva.