Proveedores y subencargados
Contenido del documento
1. Alcance de la relación
Esta relación identifica los cuatro proveedores declarados en la documentación facilitada por PudoManager. Distingue entre tratamientos para la propia relación comercial de PudoManager y tratamientos de datos operativos por cuenta de establecimientos u otros responsables.
El proveedor puede tener funciones distintas según la operación. La contratación para pagos o correo de la tienda no lo convierte automáticamente en subencargado de los datos personales de los destinatarios de paquetes.
Estado de esta revisión: incorporados el DPA y las evidencias de cuenta aportadas por el titular. Hostinger conserva su estado de r4; se retiran los avisos de Brevo y Stripe. Backblaze incorpora la medida complementaria documentada y mantiene únicamente el aviso indicado en su fila, sin dar por acreditada la cobertura contractual integral de la cadena.
2. Proveedores declarados y función
Las ubicaciones de las cuentas y los servicios indicados proceden de los hechos comunicados por el titular. El contraste de contratos públicos se realizó el 25 de septiembre de 2026. DPA significa acuerdo de tratamiento de datos; CCT, cláusulas contractuales tipo; DPF, Marco de Privacidad de Datos. Se mantienen separados los tratamientos propios de PudoManager y los realizados por cuenta de tiendas.
| Proveedor y almacenamiento | Finalidad y función | Contrato y transferencias | Estado de revisión |
|---|---|---|---|
| Hostinger International Limited VPS: París, Francia (UE). | Alojamiento del Central. Encargado para tratamientos propios; subencargado para datos de las tiendas. | DPA público, revisión 15-09-2026, 08:32:17. §§2.1–2.2: cliente encargado, con autorización del responsable. §9.1: CCT, módulo 3 encargado–encargado; módulo 2 responsable–encargado, para destinos sin adecuación y con las excepciones del apartado. | Retirado el aviso sobre entidad, región y encaje contractual solicitado. No se afirma ausencia de transferencias. |
| Backblaze, Inc. Bucket privado y cifrado eu-central-003: Ámsterdam, Países Bajos (UE). | Copias externas cifradas. Función prevista: subencargado para datos de las tiendas. | DPA público EEE/UE, 20-09-2022: instrucciones, confidencialidad, seguridad, subencargados, asistencia, supresión y auditoría; CCT módulo 2. Medida complementaria declarada por el titular: cifrado en origen antes de la subida, con clave bajo control exclusivo de PudoManager, no facilitada al proveedor. | Aviso: módulo 3 no ofrecido por el proveedor. |
| Sendinblue SAS / Brevo 7 rue de Madrid, 75008 París, Francia. Alojamiento UE: Google Cloud en Bélgica, Scaleway y OVH en Francia, Hetzner en Alemania. | Correo transaccional y comercial. Encargado para comunicaciones propias; su DPA también contempla al cliente encargado y a Brevo subencargado, sin presumir envío de datos operativos de paquetes. | DPA, anexo 2 a las condiciones generales, edición europea 15-05-2024 aportada por el titular. §7.3: CCT módulo 2 para responsable–encargado y módulo 3 para encargado–subencargado. Anexo 1: soporte, monitorización y grupo con intervención desde EE. UU., India y Canadá, bajo DPF, CCT o adecuación según la entidad y el flujo. | Retirado el aviso de revisión de esta fila. Configuración de seguimiento y retención del correo transaccional indicada debajo. DPO: dpo@brevo.com. |
| Stripe Payments Europe, Limited (Irlanda), entidad contratante para clientes europeos. Los datos pueden almacenarse y tratarse en EE. UU., por Stripe, LLC, conforme a su DPA y DTA. | Pagos y facturación. Encargado o responsable independiente según función; sin acceso supuesto a la base operativa. | DPA y DTA, 18-11-2025. DPA §§6.1–6.2: transferencias a EE. UU. y otras jurisdicciones de sus afiliadas y subencargados. DTA §§2–4: DPF prioritario cuando aplica; CCT como alternativa, según el supuesto. | Retirados los avisos de discrepancia de entidad y almacenamiento; identificada Stripe, LLC. |
Brevo — configuración de correo transaccional, 25-09-2026: seguimiento de aperturas y clics en modo anónimo, sin asociación a contactos específicos; registros de envío conservados durante un mes y eliminados automáticamente; no se guardan vistas previas del contenido de los nuevos correos transaccionales. Estas opciones no equivalen a desactivar el seguimiento ni a eliminar todos los datos personales tratados para enviar un correo.
Brevo — reglas del proveedor: el §8.1 del DPA establece el plazo de cien días tras el fin del contrato con Brevo para destruir o anonimizar los datos, con las salvedades de sus §§8.2–8.3. El §5.3 establece la notificación de brechas al cliente en un máximo de setenta y dos horas desde que Brevo tenga conocimiento. Son reglas del contrato con Brevo; no modifican los plazos, obligaciones ni retirada local de PudoManager.
Backblaze — medida documentada: las capturas muestran el bucket privado con cifrado habilitado y archivos .tar.gz.enc con sus archivos .sha256. El cifrado en origen y el control exclusivo de la clave son hechos declarados por el titular. Se toma como referencia el caso de uso 1 del anexo 2, §84, de las Recomendaciones 01/2020 del CEPD, versión 2.0 de 18-06-2021. El cifrado complementa la protección; no sustituye por sí solo el encaje contractual de la cadena de subencargo.
Backblaze — configuración comunicada: rotación de siete copias diarias, tres semanales y dos mensuales; regla de ciclo de vida aplicada el 19-09-2026 para eliminar las versiones dadas de baja a los siete días. Se mantiene el plazo máximo de ocho días publicado en soporte y actualizaciones, sin modificar las reglas de retirada local.
No se autoriza por esta tabla el envío de categorías adicionales ni el uso de datos para fines incompatibles. Las filas pendientes no equivalen a una cobertura contractual acreditada.
3. Ubicación y transferencias
Deben distinguirse la entidad contratante, el lugar de almacenamiento y los países desde los que puede accederse a los datos. Una región de almacenamiento europea no descarta por sí sola todos los accesos internacionales.
Antes de recurrir a un proveedor se verificará que el contrato y las garantías cubren el papel de PudoManager y, cuando corresponda, su condición de encargado o subencargado. No basta declarar genéricamente «RGPD», «cifrado», «Data Privacy Framework» o «cláusulas tipo».
Las transferencias y sus garantías se documentarán conforme al encargo y la política de privacidad. La información pública de los proveedores no acredita por sí sola la configuración de una cuenta.
4. Autorización y cambios de subencargados
La autorización se limita a actividades y entidades suficientemente identificadas en la versión aplicable del encargo. Antes de añadir o sustituir un subencargado se comunicará por escrito el cambio con información suficiente y antelación que permita formular una oposición fundada por motivos de protección de datos.
Se buscará una solución antes de efectuar el tratamiento afectado. Si no es posible, se organizará una salida o terminación de la parte del servicio afectada conforme al contrato y a la ley, respetando devolución, supresión y derechos económicos que correspondan. La oposición no se tratará como autorización automática.
PudoManager impondrá las obligaciones contractuales exigibles y mantendrá la responsabilidad que le corresponda por la actividad de sus subencargados.
5. Información y documentación
Puede solicitarse información sobre entidades, países, funciones, garantías y medidas aplicables escribiendo a hola@pudomanager.com. Se facilitará lo necesario para conocer el tratamiento y acreditar garantías, respetando la seguridad y los derechos de terceros.
Los datos aún no acreditados en esta versión deben cerrarse con los contratos o paneles de las cuentas correspondientes antes de utilizarla como relación definitiva para nuevas aceptaciones.