Subencargados del tratamiento
Última actualización:
Estas son las empresas a las que casflows recurre para tratar los datos que trata por tu cuenta (subencargados, art. 28 RGPD), según el contrato de encargo. Lista actualizada el 6 de octubre de 2026.
Lista#
| Entidad | Función | Ubicación y acceso | Datos | Transferencias internacionales |
|---|---|---|---|---|
| Supabase (Supabase Pte. Ltd.) | Base de datos, autenticación y almacenamiento privado de archivos (las fotos de las incidencias y, si las pides, las de la limpieza terminada). | Datos alojados en la Unión Europea (Frankfurt, Alemania). La empresa (en Singapur, del grupo de Supabase, Inc., de EE. UU.) y algunos de sus subencargados pueden acceder desde fuera del EEE, por ejemplo para dar soporte. | Todos los datos que trata casflows por tu cuenta: huéspedes (fechas, código de la reserva y, si los activas, nombre y viajeros), personas de tu equipo, personas usuarias de tu cuenta, incidencias con sus fotos, fotos de la limpieza terminada (si las pides) y pagos al equipo. | Contrato de encargo (DPA) con las Cláusulas Contractuales Tipo de la Comisión Europea, incorporado a sus condiciones. |
| Vercel (Vercel Inc.) | Alojamiento de la aplicación y ejecución del servidor. | Funciones de servidor en la Unión Europea (Frankfurt). Empresa de EE. UU.: su red de distribución es global y su personal puede acceder desde fuera del EEE. | Los datos que pasan por la aplicación mientras se usa (en tránsito) y registros técnicos del servidor (sin el contenido de los formularios). | Contrato de encargo (DPA) con las Cláusulas Contractuales Tipo de la Comisión Europea; Vercel Inc. está adherida al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea). |
| Cloudflare (Cloudflare, Inc.) | DNS del dominio (no pasa el tráfico de la aplicación) y recepción del correo que reenvías desde Airbnb (Email Routing y Workers), que procesa en tránsito para entregárselo a casflows. | Red global (el correo puede procesarse fuera del EEE). Empresa de EE. UU. | Los emails de Airbnb que reenvías, en tránsito. Además, un registro de actividad de cada email (remitente, destinatario, asunto —que puede incluir el nombre del huésped— y resultado de la entrega), que su panel conserva 30 días; solo pueden consultarlo los administradores de la cuenta de Cloudflare de casflows. | Contrato de encargo (DPA) con las Cláusulas Contractuales Tipo de la Comisión Europea, incorporado a sus condiciones; Cloudflare, Inc. está adherida al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea). |
| Google (Google LLC / Google Ireland Ltd.) | Google Calendar, solo si tú o una persona de tu equipo lo conectáis: casflows crea y actualiza los eventos en un calendario que crea para ello. | Según la infraestructura de Google, también fuera del EEE. | Los eventos: propiedad, fechas y horas de las limpiezas y reservas y, solo en los calendarios de quien autorices, el nombre y los viajeros del huésped. | Google no ofrece contrato de encargo para este uso: trata la cuenta de Google de quien conecta su calendario según sus propias condiciones y su política de privacidad; casflows cumple la Política de Datos de Usuario de sus APIs. Google LLC está adherida al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea). |
| Telegram (Telegram Messenger Inc.) | Canal de los avisos a tu equipo y de los avisos de incidencias y reposición que te envía, a través de la Bot API de Telegram (ver «Telegram» más abajo). | Según la infraestructura de Telegram, fuera de la Unión Europea (Telegram Messenger Inc. y sus filiales, en las Islas Vírgenes Británicas y Dubái). | Los mensajes que casflows envía (recordatorios y avisos; el nombre del huésped solo a quien autorices) y los que recibe del equipo (texto, fotos y notas de voz de incidencias, faltas y, si las pides, fotos y confirmación de la limpieza terminada). | Sin contrato de encargo, cláusulas tipo ni otra garantía del art. 46 RGPD: Telegram no los ofrece a quienes usan su API de bots. Por eso casflows envía por Telegram solo lo necesario para cada aviso y vincular el bot es siempre una decisión de la propia persona. Telegram ha designado a European Data Protection Office (EDPO) como su representante a efectos del art. 27 RGPD. |
| Resend (Plus Five Five, Inc.) | Emails transaccionales a las personas propietarias de la cuenta (hoy, el resumen del cierre de un periodo de pagos al equipo). | Envío desde la Unión Europea (Irlanda); los datos de la cuenta de Resend y el registro de los envíos, en EE. UU. Empresa de EE. UU. | Email de las personas propietarias y el contenido del resumen: nombres de las personas del equipo, limpiezas, importes y códigos de reserva (nunca el nombre del huésped). | Contrato de encargo (DPA) con las Cláusulas Contractuales Tipo de la Comisión Europea; Plus Five Five, Inc. (Resend) está adherida al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea). |
| Mistral AI (Mistral AI SAS) | Transcripción de las notas de voz que tu equipo envía al bot para avisar de una incidencia (API de Mistral, modelo Voxtral): recibe el audio y devuelve el texto. casflows guarda solo el texto, en la incidencia; nunca el audio. | Empresa de la Unión Europea (París, Francia). Según Mistral, los datos se alojan por defecto en la Unión Europea (casflows usa su API europea, no la de EE. UU.); algunos de sus propios subencargados pueden tratarlos temporalmente fuera de la UE. | Las notas de voz de las personas de tu equipo (su voz y lo que cuentan) y el texto que resulta. Mistral puede conservarlos durante un tiempo limitado para vigilar el abuso de su servicio, salvo con la retención cero; casflows ha desactivado que use sus llamadas para entrenar sus modelos. | Contrato de encargo (DPA) incorporado a sus condiciones. Empresa de la UE con los datos alojados por defecto en la UE: no hay transferencia internacional; si alguno de sus subencargados los trata fuera de la UE, Mistral declara cubrirlo con las garantías del art. 46 RGPD. |
Telegram#
- Lo que hace Telegram: cada persona que usa Telegram tiene su propia cuenta y acepta las condiciones de Telegram, que transmite y guarda los mensajes (también los del bot) como proveedor del servicio de mensajería, según sus propias condiciones y su política de privacidad. Eso no lo controla casflows. Telegram no ofrece un contrato de encargo a quienes usan su API de bots, así que casflows no tiene uno firmado con Telegram.
- Lo que hace casflows por instrucción tuya: casflows envía los recordatorios y avisos y recibe los avisos de incidencias (texto y fotos) y de reposición a través de la Bot API de Telegram. Ese envío y esa recepción son un tratamiento que casflows hace por tu cuenta, cubierto por el contrato de encargo, aunque pasen por la infraestructura de Telegram sin contrato de encargo ni garantías del art. 46 RGPD (ver la tabla). Que una persona abra el bot no sustituye tus obligaciones como responsable (por ejemplo, informarle): solo permite que el bot le escriba.
- Cómo limitarlo: el nombre del huésped solo va a quien tenga la casilla «Ver nombre del huésped», y con «No usa Telegram» esa persona no recibe nada por este canal.
Quién no es subencargado#
- Airbnb: lee el enlace «Bloquear en Airbnb» porque tú se lo das; y tú le das a casflows el enlace iCal de tu anuncio. Airbnb trata esos datos por su cuenta.
- Ningún proveedor de pagos: hoy casflows no cobra y ningún proveedor de pagos trata datos. Si activamos el cobro, ese proveedor tratará tus datos de pago con casflows como responsable (nunca los de tus huéspedes ni los de tu equipo) y lo indicaremos antes en la política de privacidad.
Cambios en esta lista#
Antes de añadir o sustituir un subencargado (o de cambiar dónde trata los datos), avisaremos con al menos 30 días de antelación por email a las personas propietarias de cada cuenta y con un aviso en la aplicación, y actualizaremos esta página. Puedes oponerte según el contrato de encargo. Preguntas: privacidad@casflows.com.