Velqia
Subencargados del tratamiento
Versión: 31 de octubre de 2026
Velqia GbR actúa como encargado del tratamiento de los datos que los usuarios finales dejan en el asistente de los negocios clientes, y como responsable de los datos de sus propios clientes. Para prestar el servicio recurre a los proveedores de esta lista.
| Proveedor | Finalidad | Datos | Ubicación | Mecanismo de transferencia | Estado del DPA |
|---|---|---|---|---|---|
| Supabase | Base de datos y autenticación de la plataforma. | Cuentas de usuario, configuración del asistente, conversaciones, reservas y datos de los usuarios finales del asistente. | UE — Estocolmo (eu-north-1). Supabase permite elegir la región del proyecto, con opciones en la UE en Irlanda, Londres, París, Fráncfort, Zúrich y Estocolmo. | Según el DPA que Supabase publica, el encargado es Supabase Pte. Ltd. (Singapur) y el mecanismo declarado son las cláusulas contractuales tipo (Decisión (UE) 2021/914, módulos 2 y 3) y el addendum del Reino Unido; el DPA no menciona el Marco de Privacidad de Datos y indica que Supabase puede tratar datos donde ella o sus subencargados tengan instalaciones. El contrato de Velqia es con Supabase Pte. Ltd., la entidad designada en el DPA, y Velqia no ha concedido acceso a los datos del proyecto al personal de soporte de Supabase. | Supabase incorpora su DPA a sus términos de servicio (versión publicada con fecha 1 de agosto de 2026). El DPA forma parte de esos términos y se aplica a todas las organizaciones; no requiere una firma aparte. |
| Vercel Inc. | Alojamiento y ejecución de la aplicación web; medición del rendimiento de la web (Vercel Speed Insights, solo con su consentimiento). | Datos técnicos de conexión (IP, navegador, fecha y hora, páginas visitadas) y el tráfico que procesan las funciones de la aplicación. Con Speed Insights (solo con su consentimiento), Vercel indica que registra puntos de datos anónimos (ruta, URL, velocidad de red, navegador, tipo de dispositivo, sistema operativo y país) que no permiten identificar a un usuario ni reconstruir una sesión. Los registros de ejecución se conservan 30 días en el plan de Velqia. | Por defecto, Vercel ejecuta las funciones en Washington D. C. (iad1) y permite elegir otras regiones, entre ellas Fráncfort, Estocolmo, París, Dublín y Londres. Las funciones del proyecto de Velqia se ejecutan en Fráncfort (fra1). | Vercel Inc. (Delaware, EE. UU.) declara en su política de privacidad que cumple el Marco de Privacidad de Datos UE-EE. UU. (y el suizo-EE. UU.); su DPA incorpora además cláusulas contractuales tipo (Decisión (UE) 2021/914) y el addendum del Reino Unido. | Vercel incorpora su DPA al contrato (actualizado el 17 de marzo de 2026) y lo aplica a los planes Pro y Enterprise. Velqia está en el plan Pro, al que se aplica el DPA. |
| Anthropic, PBC | Modelo de inteligencia artificial que genera las respuestas del asistente. | Mensajes de los usuarios finales y contexto del negocio enviados a la API; con el complemento Velqia Reviews, nombre del autor, valoración y texto de cada reseña. Anthropic indica que elimina las entradas y salidas de la API en 30 días desde su recepción o generación (con excepciones, por ejemplo por infracciones de su política de uso o requisitos legales) y que, por defecto, no las usa para entrenar sus modelos. | EE. UU. La documentación pública consultada no indica una región de procesamiento que el cliente pueda elegir. | Según los términos comerciales de Anthropic, la entidad contratante es Anthropic Ireland, Limited si el cliente reside en el EEE, Suiza o el Reino Unido (y Anthropic, PBC en el resto). Su DPA declara cláusulas contractuales tipo (módulos 2 y 3, Derecho irlandés) y el addendum del Reino Unido; no menciona el Marco de Privacidad de Datos. La única factura de la cuenta de Velqia (mayo de 2026) la emitió Anthropic, PBC, por lo que no afirmamos que el contrato sea con la entidad irlandesa; los datos pueden tratarse en EE. UU. según las cláusulas tipo del DPA de Anthropic. | Anthropic incorpora su DPA por referencia a sus términos comerciales (vigente desde el 24 de febrero de 2025). La cuenta de Velqia es una organización de empresa a nombre de Velqia GbR; no consta una aceptación separada del DPA. |
| OpenAI | Transcripción de notas de voz recibidas por los canales de mensajería, y generación de imágenes para Velqia Social, solo cuando esas funciones están activas. | Audio de las notas de voz y el texto transcrito. Según la documentación de OpenAI, los registros de supervisión de abuso de la API se conservan hasta 30 días por defecto, pero para el endpoint de transcripción de audio su tabla indica que no hay retención (ni en esos registros ni en el estado de la aplicación); OpenAI indica que no usa los datos de la API para entrenar sus modelos salvo que el cliente lo autorice. Para las imágenes de Velqia Social solo se envía el texto de la descripción y el sector del negocio; para la generación de imágenes, OpenAI indica que no usa los datos para entrenar sus modelos, que conserva registros de supervisión de abusos hasta 30 días y que no guarda estado de la aplicación. | OpenAI ofrece residencia de datos en Europa (EEE y Suiza) a clientes elegibles, con aprobación previa de OpenAI. Velqia no usa residencia de datos regional; el procesamiento puede realizarse fuera del EEE. | Según su DPA publicado, para clientes del EEE y Suiza el DPA se celebra con OpenAI Ireland Ltd. OpenAI declara que las transferencias fuera del EEE o Suiza se basan en acuerdos con cláusulas contractuales tipo o en una decisión de adecuación de la Comisión Europea (art. 45 RGPD). La única factura consultada de la cuenta de Velqia (septiembre de 2026) la emitió OpenAI OpCo, LLC (EE. UU.); por eso no afirmamos que el contrato sea con la entidad irlandesa. | OpenAI incorpora su DPA a su contrato de servicios (versión 010126): se acepta al pulsar «I agree», aceptar el pedido o usar el servicio. No consta que Velqia haya firmado el DPA de OpenAI. |
| Google (Gemini API, imágenes de Velqia Social) | Generación de imágenes para las publicaciones de Velqia Social, solo cuando el negocio la pide. | El texto con la descripción de la imagen (la escribe el negocio o la sugiere la IA), el sector del negocio y unas reglas fijas de estilo. No se envían fotos, logotipos ni datos de usuarios finales. Con la API de pago, Google no utiliza estos datos para mejorar sus productos y los registra durante un periodo limitado, solo para detectar infracciones de su política de uso y cumplir obligaciones legales. | Google puede tratar los datos de forma transitoria en cualquier país donde tenga instalaciones; no es posible elegir la región. | Google LLC declara su adhesión al Marco de Privacidad de Datos UE-EE. UU. | Los términos adicionales de la Gemini API para servicios de pago incorporan el Data Processing Addendum for Products Where Google is a Data Processor. La cuenta de Velqia tiene la facturación activa (servicio de pago); no consta una firma separada. |
| Resend (Plus Five Five, Inc.) | Envío de correos transaccionales y avisos de la plataforma (por ejemplo, confirmaciones de reserva y reseñas pendientes de aprobar). | Dirección de correo del destinatario y contenido del aviso. Resend indica que conserva los datos de los correos y los registros 30 días en los planes Free, Pro y Scale, que elimina el resto de datos en 90 días tras cerrar la cuenta y que las copias de seguridad se mantienen 7 días. Velqia usa el plan Free. | Resend declara que almacena los datos de sus clientes en Estados Unidos; la región de envío que se elige al añadir un dominio solo determina desde dónde se envía el correo, no dónde se almacena. Los correos de Velqia se envían desde la región de Irlanda (eu-west-1). | Plus Five Five, Inc. (EE. UU.) declara en su DPA que cumple el Marco de Privacidad de Datos UE-EE. UU. y su extensión británica, y que las transferencias desde el EEE se hacen con cláusulas contractuales tipo, que según Resend se aplican por sí solas, sin depender de la certificación. El DPA no nombra ninguna entidad en la UE. | Resend incorpora su DPA a sus términos (actualizado el 31 de diciembre de 2025) y dice que lo firma previamente y queda ejecutado del todo al registrarse; la copia firmada se descarga en Ajustes → Documentos. La cuenta de Velqia lo tiene disponible en Ajustes → Documentos. |
| Stripe, Inc. | Cobro de suscripciones y facturación. | Datos de los clientes de Velqia: identificación, facturación y pago. Según su DPA, Stripe actúa como encargado de Velqia en parte del tratamiento y como responsable propio para otros fines (por ejemplo, prevención del fraude y cumplimiento normativo). No recibe el contenido del asistente. | Según el DPA de Stripe, el usuario transfiere datos a Stripe, LLC en Estados Unidos. La documentación pública consultada no indica la ubicación del almacenamiento. | En el contrato de servicios de Stripe, la entidad contratante para usuarios del EEE es Stripe Payments Europe, Limited, y para clientes fuera de América el DPA es con esa entidad. Stripe, LLC (EE. UU.) declara cumplir el Marco de Privacidad de Datos UE-EE. UU. (y el suizo-EE. UU. y la extensión británica), y su DPA define las cláusulas contractuales tipo (módulos 1, 2 y, en su caso, 3) para cuando se requiera un mecanismo de transferencia. | Stripe incorpora su DPA por referencia a su contrato de servicios (actualizado el 28 de septiembre de 2026). La cuenta de Velqia es una cuenta de Alemania a nombre de Velqia GbR; no consta una firma separada del DPA, que se incorpora por referencia. |
| Upstash | Protección frente a abusos (límite de peticiones) y panel interno de monitorización de Velqia. | IP de los visitantes y correo de quien cancela un contrato, dentro de claves de corta duración (de 1 a 60 minutos); datos de las webs monitorizadas (nombre, URL y resultados de las comprobaciones). No guarda mensajes ni conversaciones. | Upstash ofrece bases de datos en regiones de AWS que incluyen Irlanda (eu-west-1) y Fráncfort (eu-central-1), además de Londres y otras, y en Google Cloud (Bélgica). El almacén de Velqia está en Fráncfort (fra1). | Upstash, Inc. (Delaware, EE. UU.) declara en su DPA que usará el Marco de Privacidad de Datos para recibir datos europeos en EE. UU. y que, si el Marco no cubre la transferencia o se invalida, se incorporan por referencia las cláusulas contractuales tipo. El DPA no nombra ninguna entidad en la UE. | Upstash incorpora su DPA a sus Términos de servicio (el PDF publicado no muestra fecha). La base de datos de Velqia se creó a través de la integración de Vercel; no consta una aceptación separada. |
| Sentry | Detección y diagnóstico de errores de la aplicación. | Datos técnicos del error (URL, navegador, sistema operativo y traza). No activamos el envío de datos personales por defecto, pero un informe de error puede contener identificadores técnicos. Los informes del navegador solo se envían si ha aceptado el banner y pasan por nuestro propio dominio (/monitoring); los errores del servidor se registran siempre. Sentry indica que conserva los errores 30 días (plan Developer) o 90 días (planes Team y Business). Velqia usa el plan Developer (30 días). La organización de Velqia tiene activada la opción de no almacenar direcciones IP, por lo que Sentry no registra la IP de los eventos nuevos (desde el 25 de octubre de 2026); los anteriores pueden conservarla hasta 30 días. | Sentry ofrece almacenamiento en EE. UU. (Iowa) o en la UE (Fráncfort), que se elige al crear la organización y no se puede cambiar después; algunos datos (cuentas de usuario, ajustes de la organización, registros de auditoría, claves DSN y metadatos de proyectos) se almacenan siempre en EE. UU. La organización de Velqia almacena los eventos de error en la UE (Fráncfort). | Functional Software, Inc. d/b/a Sentry (EE. UU.) declara en su DPA que cumple el Marco de Privacidad de Datos para las transferencias de Europa a EE. UU. (incluidos el suizo-EE. UU. y la extensión británica) y que, si el Marco no se aplica o se invalida, se aplican cláusulas contractuales tipo (módulos 2 y 3). El DPA no nombra ninguna entidad en la UE. | Sentry ofrece su DPA, que entra en vigor en la fecha en que se acepta electrónicamente (no se incorpora automáticamente según la página consultada). Velqia lo aceptó el 25 de octubre de 2026 (versión 5.1.0). |
| Backblaze, Inc. (B2) | Copias de seguridad cifradas. | Copias cifradas con age antes de subirse, por lo que Backblaze no puede leer su contenido: copias de la base de datos de Supabase (incluye datos de usuarios finales del asistente), de Stripe (clientes y facturas) y de la configuración de Vercel. Conservación: 30 copias diarias y 12 mensuales (365 días). | UE — Ámsterdam (región «EU Central» de Backblaze). Backblaze ofrece también regiones en EE. UU. (oeste y este) y Canadá (este); la región se elige al crear la cuenta y no se puede cambiar después. | Backblaze, Inc. (EE. UU.) declara en su política de privacidad (30 de abril de 2026) que ha certificado ante el Departamento de Comercio su adhesión a los principios del Marco de Privacidad de Datos UE-EE. UU. y suizo-EE. UU.; su DPA incorpora además cláusulas contractuales tipo. El contenido, además, se cifra con age antes de subirse, por lo que Backblaze no puede leerlo. El DPA no nombra ninguna entidad en la UE. | Backblaze publica un DPA que complementa sus Términos de servicio y vincula a sus clientes (última actualización: 20 de septiembre de 2022); las cláusulas tipo se consideran aceptadas por los clientes. Forma parte de los términos de Backblaze, sin firma separada. |
| Meta (WhatsApp, Instagram, Facebook Messenger) | Canales de mensajería: recepción y envío de mensajes y conexión de cuentas, y publicación de contenido en Páginas e Instagram, solo cuando el negocio cliente conecta el canal. | Mensajes, identificadores de la cuenta y del usuario en el canal, nombre de perfil, notas de voz y archivos adjuntos. | WhatsApp Ireland Limited es la entidad contratante de las empresas del EEE en los términos de WhatsApp Business Platform (efectivos el 23 de septiembre de 2026); en los términos de tratamiento de datos de Meta figura Meta Platforms Ireland Limited para la UE. La documentación pública consultada no indica la ubicación del almacenamiento de los datos. | Meta Platforms, Inc. y sus filiales estadounidenses declaran haber certificado su participación en el Marco de Privacidad de Datos UE-EE. UU. y suizo-EE. UU. (aviso efectivo el 30 de julio de 2024). Los términos de WhatsApp Business prevén un addendum de transferencias cuando WhatsApp Ireland Limited es la entidad contratante. Para Instagram y Messenger, los términos de tratamiento de datos de Meta (23 de agosto de 2025) solo se aplican cuando los términos del producto dicen que Meta trata los datos como encargado; esos términos no mencionan por su nombre ni las cláusulas contractuales tipo ni el Marco de Privacidad de Datos. | WhatsApp publica unos Business Data Processing Terms (22 de agosto de 2025) que se aplican cuando sus términos de empresa dicen que WhatsApp trata los datos como encargado (el negocio es el responsable); Meta publica unos Data Processing Terms (23 de agosto de 2025) para los productos cuyos términos así lo indiquen. Cuáles se aplican a cada canal depende de los términos del producto que acepte el negocio; la documentación pública consultada no permite afirmar cuáles rigen para Velqia. |
| Google Ireland Limited / Google LLC (Google Analytics 4) | Medición del uso de la web de Velqia, solo con su consentimiento. No interviene en los datos del asistente. | Páginas visitadas, tipo de dispositivo y navegador, ubicación aproximada e identificadores de cookie. Velqia conserva los datos de eventos 2 meses y los de usuario 14 meses. | La documentación pública consultada no indica la ubicación del almacenamiento de los datos de Google Analytics. Consta la entidad (Google LLC en la versión de EE. UU. de los Términos del servicio) y el mecanismo de transferencia (Marco de Privacidad de Datos y cláusulas tipo; véase «Transferencia»). | Google LLC y sus filiales estadounidenses declaran haber certificado su adhesión a los principios del Marco de Privacidad de Datos (UE-EE. UU., suizo-EE. UU. y extensión británica); Google indica además que puede apoyarse en cláusulas contractuales tipo para ciertas transferencias de sus productos de analítica y publicidad. | Los términos de tratamiento de datos de Google (Google Ads Data Processing Terms, versión 8.0 de 30 de mayo de 2024) se aplican a Google Analytics; Google indica que, para los clientes establecidos en el EEE, ya están incorporados en sus términos. Los Términos del servicio de Google Analytics (versión de EE. UU. de 15 de mayo de 2023) se celebran con Google LLC. Los términos de tratamiento de datos de la cuenta de Velqia se aceptaron el 13 de mayo de 2026. |
| Google LLC (Business Profile API) | Complemento Velqia Reviews: lectura de reseñas y publicación de respuestas desde la cuenta de Google que conecta el cliente. | Véase la sección sobre datos de Google Business Profile de la Política de Privacidad. | La documentación pública consultada no indica la ubicación del almacenamiento de los datos de la Business Profile API. Consta la entidad (Google LLC en las Condiciones de los servicios de las API) y el mecanismo de transferencia (Marco de Privacidad de Datos; véase «Transferencia»). | Google LLC declara su adhesión al Marco de Privacidad de Datos (UE-EE. UU., suizo-EE. UU. y extensión británica). Las Condiciones de los servicios de las API de Google se celebran con Google LLC salvo que los términos adicionales de una API digan otra cosa (última modificación: 9 de noviembre de 2021). | La aplicación de Velqia está publicada en Google Cloud con la información de marca verificada por Google; no consta un DPA firmado aparte. |
| Gmail (Google LLC) y Outlook (Microsoft), solo si el negocio conecta su correo | Función opcional «Conectar correo»: leer los mensajes nuevos del buzón que conecta el negocio cliente y enviar respuestas desde su dirección. | Mensajes recibidos (remitente, asunto, texto y adjuntos), la dirección de correo autorizada y los tokens de acceso, que se guardan cifrados. Velqia no borra ni etiqueta mensajes. La conexión de Gmail está pendiente de verificación por Google; hasta entonces los usuarios pueden ver un aviso de aplicación no verificada. | Los mensajes importados se guardan en Supabase (UE, Estocolmo) como el resto de las conversaciones. La ubicación de los buzones de origen la determina el proveedor de correo del cliente (Google, Microsoft o el de su conexión IMAP/SMTP), no Velqia. | Google LLC declara su adhesión al Marco de Privacidad de Datos (UE-EE. UU., suizo-EE. UU. y extensión británica). Microsoft Corporation declara en su declaración de privacidad (septiembre de 2026) que cumple el Marco de Privacidad de Datos UE-EE. UU. y que aplica, entre otras garantías, cláusulas contractuales tipo aprobadas por la Comisión Europea. En una conexión IMAP/SMTP, los mensajes viajan entre Velqia y el servidor de correo que elige el propio negocio. | El uso de los datos de Gmail se limita a lo descrito en la política de privacidad, conforme a la Política de datos de usuario de los servicios de las API de Google, incluidos sus requisitos de uso limitado. En la conexión IMAP/SMTP, Velqia no tiene contrato con el proveedor de correo del negocio. Velqia accede al buzón de Outlook con la autorización OAuth del negocio, a través de la API de Microsoft Graph, y limita el uso de esos datos a lo descrito en esta política. No consta un contrato de tratamiento firmado aparte con Microsoft para esta conexión. |
| Spaceship (registro de dominio y DNS de getvelqia.com) | Registro del dominio getvelqia.com y gestión de su DNS. | Datos de contacto del titular del dominio. | Spaceship indica en su DPA que puede tratar los datos en Estados Unidos; la documentación pública consultada no indica la ubicación concreta del almacenamiento. | Spaceship, Inc. (EE. UU.) declara en su DPA que aplica las cláusulas contractuales tipo de la Comisión Europea (módulo 2, Decisión (UE) 2021/914, Derecho belga) a las transferencias fuera del EEE a países sin decisión de adecuación, salvo cuando la transferencia se ampare en otro estándar reconocido, como la necesidad de prestar el servicio o el consentimiento. El texto del DPA no nombra expresamente el Marco de Privacidad de Datos UE-EE. UU. | Spaceship incorpora su DPA (última actualización: 24 de abril de 2024) a sus condiciones generales y lo aplica a los servicios cubiertos, entre ellos el registro de dominios y Spacemail. Se considera firmado al aceptar sus condiciones al contratar el servicio; no consta una firma separada. |
| Spacemail (correo de Velqia: support@ y admin@) | Correo electrónico de Velqia (support@ y admin@). | Mensajes y contenido de las comunicaciones con clientes y contactos. | Spaceship indica en su DPA que puede tratar los datos en Estados Unidos; la documentación pública consultada no indica la ubicación concreta del almacenamiento. | Spaceship, Inc. (EE. UU.) declara en su DPA que aplica las cláusulas contractuales tipo de la Comisión Europea (módulo 2, Decisión (UE) 2021/914, Derecho belga) a las transferencias fuera del EEE a países sin decisión de adecuación, salvo cuando la transferencia se ampare en otro estándar reconocido, como la necesidad de prestar el servicio o el consentimiento. El texto del DPA no nombra expresamente el Marco de Privacidad de Datos UE-EE. UU. | Spaceship incorpora su DPA (última actualización: 24 de abril de 2024) a sus condiciones generales y lo aplica a los servicios cubiertos, entre ellos el registro de dominios y Spacemail. Se considera firmado al aceptar sus condiciones al contratar el servicio; no consta una firma separada. |
Avisaremos a los clientes por correo electrónico de cualquier incorporación o sustitución de un subencargado con al menos 30 días de antelación, según lo previsto en el contrato de encargo de tratamiento.
Preguntas o solicitud del contrato de encargo de tratamiento: admin@getvelqia.com