Última actualización: 2026-09-14
Lista de encargados del tratamiento (Subprocessor List)
Esta es una traducción de cortesía. La versión vinculante es la inglesa; en caso de discrepancia, prevalece la versión en inglés.
Esta página enumera a cada tercero que trata datos personales en nombre de Gila (operada por Sezen Soykut, autónoma, Türkiye). Cada proveedor actúa como un encargado del tratamiento bajo un acuerdo de tratamiento de datos (DPA) por escrito y solo puede usar tus datos siguiendo nuestras instrucciones.
La app móvil de Gila y el sitio web gila.coach son operados por Gila como el responsable del tratamiento. Los proveedores siguientes son encargados del tratamiento — ellos no deciden qué hacer con tus datos; nosotros sí.
Si quieres entender exactamente qué recibe cada encargado del tratamiento y por qué, el detalle por actividad está en nuestro Registro de Actividades de Tratamiento (secciones 3 y 4) y nuestra Evaluación de Impacto de la Transferencia fechada el 2026-05-16.
Leyenda de estado
- DPA vigente — Sí = acuerdo de tratamiento firmado en archivo; Verificar = comprobación de contratación pendiente antes de la publicación de la Fase 2.
- Estado DPF — se refiere a la certificación bajo el Marco de Privacidad de Datos UE-EE. UU. (y su extensión al Reino Unido / la versión Suiza-EE. UU.). Verificar = el listado debe volver a comprobarse en dataprivacyframework.gov/list antes de cada publicación.
- Última revisión — la fecha en que nuestra DPO confirmó por última vez el estado del encargado del tratamiento y los términos del DPA.
1. Encargados del tratamiento de la plataforma principal
| Encargado del tratamiento | Rol | Región | Datos compartidos | DPA vigente | Estado DPF | Última revisión |
|---|---|---|---|---|---|---|
| Supabase Inc. | Base de datos, autenticación, almacenamiento de archivos, funciones edge, tiempo real — la plataforma principal sobre la que está construida Gila | Estados Unidos — Ohio (us-east-2, AWS) |
Todos los datos de la app y de la cuenta, incluidos los datos de categoría especial de salud (peso, medicación, efectos secundarios, ánimo, alimentación, diario, fotos) | Sí — Verificar copia firmada | Verificar | 2026-05-16 |
| Amazon Web Services, Inc. (AWS) | Alojamiento de infraestructura subyacente para Supabase (RDS gestionado, S3, EBS); encargado subcontratado de Supabase | Estados Unidos — Ohio | Igual que Supabase, cifrado en reposo con claves gestionadas por AWS | Heredado vía el DPA de Supabase | Sí (Google + AWS certificados en el DPF) — Verificar | 2026-05-16 |
| Vercel Inc. | Aloja el sitio web gila.coach + funciones edge de Next.js + middleware | Principalmente Estados Unidos, red edge global | Cabeceras de solicitud, IP transitoria, trazas de ejecución de funciones edge, envíos de formularios en tránsito | Sí | Verificar | 2026-05-16 |
| Cloudflare, Inc. | Protección antibots (Turnstile) en formularios públicos; CDN delante de los endpoints del proyecto Supabase | Red edge global | Tokens de desafío del navegador, IP transitoria y señales de la solicitud durante el desafío | Sí | Verificar | 2026-05-16 |
2. Encargados del tratamiento de mensajería y correo electrónico
| Encargado del tratamiento | Rol | Región | Datos compartidos | DPA vigente | Estado DPF | Última revisión |
|---|---|---|---|---|---|---|
| Google LLC (Firebase / FCM) | Notificaciones push a dispositivos iOS y Android | Estados Unidos | Token push del dispositivo, carga útil push genérica (intencionalmente no reveladora de contenido de salud) | Sí — DPA de Google | Sí (Google certificada en el DPF) — Verificar | 2026-05-16 |
| Apple Push Notification Service (Apple Inc.) | Entrega push posterior a dispositivos iOS; encargado subcontratado de Firebase | Estados Unidos | Carga útil push en tránsito | Heredado vía Firebase | n/a (encargado subcontratado) | 2026-05-16 |
| Resend, Inc. | Correo transaccional (bienvenida, verificación de eliminación, restablecimiento de contraseña, hitos) y correo de marketing (con consentimiento) | Estados Unidos (región UE disponible — no en uso) | Dirección de correo, nombre de pila, idioma, variables de plantilla | Sí — DPA de Resend | Verificar | 2026-05-16 |
3. Encargados del tratamiento de IA
| Encargado del tratamiento | Rol | Región | Datos compartidos | DPA vigente | Estado DPF | Última revisión |
|---|---|---|---|---|---|---|
Google LLC (API de Gemini, vía @google/genai) |
Proveedor principal de IA para 13 funciones: visión de alimentos, IA de objetivos de actividad, IA de objetivos nutricionales, sugerencias de hábitos, "momento wow" del onboarding, informe narrativo semanal, análisis de salud, resumen semanal, agente de señales de hábitos, revisión de seguridad de envíos comunitarios (hábito + pila), embeddings del diario (vía embedding-001), juez de evaluación de calidad, y como coproveedor en el espacio Habit Lab | Estados Unidos (infraestructura global de Google con base principal en EE. UU.) | Instantánea contextual por solicitud — extracto de perfil, actividad reciente, imágenes opcionales. Sin datos publicitarios. Los términos de la API de Google establecen que estas solicitudes (prompts) no se usan para entrenar los modelos fundacionales de Google | Sí — DPA de Google Cloud + Términos de servicio de la API de Gemini con indicador de "no entrenamiento" | Sí (Google certificada en el DPF) — Verificar | 2026-05-16 |
| Anthropic, PBC (API de Claude) | Proveedor de LLM para el espacio Habit Lab (Haiku / Sonnet / Opus, visible para el usuario dentro de lib/features/habit_playground/), el pipeline interno de evaluación de calidad (eval-score, juez Sonnet — no visible para el usuario), y como una vía A/B opcional dentro de la visión de alimentos (parámetro de proveedor, desactivada por defecto en producción) |
Estados Unidos | Solicitudes (prompts) por petición — fragmentos contextuales, sin identificador de usuario transmitido. Los Términos Comerciales de Anthropic se comprometen a que los datos de clientes enviados vía API no se usan para entrenar los modelos de Anthropic | Sí — Términos Comerciales de Anthropic (aceptación en línea) + DPA disponible bajo solicitud | Sí — Anthropic está certificada en el DPF (verificar en dataprivacyframework.gov/list en cada ciclo) | 2026-05-16 |
| OpenAI, L.L.C. (API de GPT) | Proveedor de LLM únicamente para la vía A/B opcional de visión de alimentos — parámetro de proveedor controlado por el servidor, desactivada por defecto en producción. Divulgamos previamente a OpenAI como proveedor condicional para que cualquier cambio futuro del valor predeterminado ya esté cubierto. | Estados Unidos | Solicitudes (prompts) por petición — imagen + contexto de la comida, sin identificador de usuario transmitido. Los Términos Empresariales de OpenAI (que rigen el uso de la API) se comprometen a que los datos de clientes no se usan para entrenar los modelos de OpenAI por defecto | Sí — los Términos Empresariales de OpenAI incluyen un DPA — Verificar copia firmada | Verificar | 2026-05-16 |
| Perplexity AI, Inc. | Investigación fundamentada en fuentes (sonar-pro) usada por el agente de señales de hábitos para citas de hábitos y como vía de respaldo de investigación dentro de la visión de alimentos para alimentos ambiguos | Estados Unidos | Solo consultas temáticas anonimizadas — ningún identificador de usuario se transmite, por diseño | Verificar | Verificar | 2026-05-16 |
4. Encargado del tratamiento de datos nutricionales
| Encargado del tratamiento | Rol | Región | Datos compartidos | DPA vigente | Estado DPF | Última revisión |
|---|---|---|---|---|---|---|
| FatSecret (Secret Industries Pty Ltd) | Consultas de la base de datos nutricional para la búsqueda de alimentos y el escaneo de códigos de barras | Estados Unidos | Solo cadenas de texto de la consulta de búsqueda de alimentos — ningún identificador de usuario se transmite (OAuth 1.0 HMAC-SHA1) | Sí — términos del nivel Premier Free | Verificar | 2026-05-16 |
5. Encargados del tratamiento de observabilidad
| Encargado del tratamiento | Rol | Región | Datos compartidos | DPA vigente | Estado DPF | Última revisión |
|---|---|---|---|---|---|---|
| PostHog Inc. | Analítica de producto — vistas de pantalla, nombres de eventos, exposición a feature flags | Estados Unidos (región UE disponible — en evaluación) | Identificador de usuario con hash; nombres de pantalla y de eventos; dispositivo + sistema operativo + idioma + versión de la app. Los datos de salud, las cadenas de medicación, los valores calóricos, el texto del diario, el correo electrónico y el nombre se excluyen por diseño | Sí — DPA de PostHog | Verificar | 2026-05-16 |
| Functional Software, Inc. (Sentry) | Seguimiento de errores y monitorización del rendimiento | Estados Unidos (región UE disponible — en evaluación) | Identificador de usuario con hash; mensaje de error y traza de pila; migas de pan (breadcrumbs) depuradas de PII; trazas de rendimiento. El correo electrónico, el nombre y los atributos del artículo 9 se depuran | Sí — DPA de Sentry — Verificar | Verificar | 2026-05-16 |
6. Encargados del tratamiento comerciales
| Encargado del tratamiento | Rol | Región | Datos compartidos | DPA vigente | Estado DPF | Última revisión |
|---|---|---|---|---|---|---|
| RevenueCat, Inc. | Gestión de suscripciones — divulgado de forma condicional porque el muro de pago aún no se ha lanzado a producción. Se convertirá en un encargado del tratamiento activo cuando se active el muro de pago dentro de la app (consulta el elemento #17 del registro de decisiones) | Estados Unidos | app_user_id con hash; nivel de suscripción, estado, fechas; identificadores de transacción del lado de la tienda (id de transacción de App Store, token de compra de Play Store). Los datos de la tarjeta de pago nunca se envían — Apple y Google gestionan el pago |
Sí — DPA de RevenueCat — Verificar | Verificar | 2026-05-16 |
7. Fuentes de datos en el dispositivo (no son encargados del tratamiento de Gila)
Estas plataformas mantienen los datos en tu dispositivo hasta que le concedes a Gila permiso para leer agregados específicos. No son encargados del tratamiento de datos de Gila y se listan aquí por transparencia.
| Proveedor | Rol | Alcance de datos |
|---|---|---|
| Apple HealthKit (Apple Inc.) | Almacén de datos de salud de iOS | Pasos, distancia, entrenamientos, energía activa, minutos de ejercicio, peso, agua, nutrición — nunca sueño ni frecuencia cardiaca; solo el agregado diario se sube a Gila, con tu consentimiento explícito |
| Health Connect (Google) | Almacén de datos de salud de Android | Igual que HealthKit, en Android |
8. Cuándo añadimos o eliminamos un encargado del tratamiento
Nos comprometemos a avisarte con al menos 30 días de antelación ante cualquier cambio material a esta lista — eso significa antes de que un nuevo encargado del tratamiento reciba datos, o antes de trasladar uno existente a una nueva región.
Canales de aviso:
- Banner dentro de la app la próxima vez que inicies sesión;
- Aviso por correo electrónico a cada titular de cuenta (usando el correo registrado, independientemente de la suscripción de marketing — esta es una divulgación crítica para el servicio);
- Una entrada en el registro de cambios al final de esta página.
Si te opones a un nuevo encargado del tratamiento durante el periodo de aviso de 30 días, puedes eliminar tu cuenta en /delete-account antes de que el cambio entre en vigor y tus datos serán eliminados (sujeto a la rotación de copias de seguridad de 30 días descrita en la Política de Privacidad).
Seguiremos el mismo procedimiento de aviso cuando eliminemos un encargado del tratamiento de la lista.
9. Mecanismo de transferencia internacional
Se llega a cada encargado del tratamiento anterior a través del mecanismo de transferencia resumido en la sección 5 de la Política de Privacidad:
- Usuarios de la UE / EEE — Cláusulas Contractuales Tipo (SCC) Módulo 2 + Marco de Privacidad de Datos UE-EE. UU. (cuando el proveedor esté certificado) + medidas suplementarias (cifrado en tránsito y en reposo, seguridad a nivel de fila, minimización de datos por solicitud, identificadores con hash en la telemetría).
- Usuarios del Reino Unido — el Acuerdo Internacional de Transferencia de Datos (IDTA) del Reino Unido o el Anexo del Reino Unido a las SCC de la UE.
- Usuarios de Suiza — el DPF Suiza-EE. UU. cuando el proveedor esté certificado, en caso contrario SCC compatibles con la revFADP.
- Usuarios de Türkiye — consentimiento explícito conforme al artículo 9 de la KVKK, recabado durante el onboarding y registrado en nuestro registro de consentimientos. No podemos ofrecer la app sin este consentimiento porque los datos deben viajar a EE. UU. para funcionar.
- Usuarios de Brasil — consentimiento específico del artículo 33 de la LGPD y SCC alineadas con la ANPD.
- Usuarios de Canadá — transferencia de responsabilidad conforme a la PIPEDA; seguimos siendo responsables.
- Usuarios de Australia — divulgación transfronteriza conforme al APP 8, con la obligación de medidas razonables satisfecha a través de los DPA de los encargados del tratamiento y la Evaluación de Impacto de la Transferencia.
El análisis completo por importador (exposición a FISA §702 / CLOUD Act, Garantías Esenciales Europeas, medidas suplementarias, veredicto de riesgo residual) está en nuestra Evaluación de Impacto de la Transferencia interna fechada el 2026-05-16.
10. Preguntas
Si un servicio aparece listado en el sitio web gila.coach o en la app móvil de Gila y no figura en esta página, por favor dínoslo — escribe a dpo@gila.coach y lo añadiremos o lo eliminaremos del producto.
Registro de cambios
| Versión | Fecha | Resumen |
|---|---|---|
| 1.0 | 2026-05-16 | Publicación inicial. Cubre 13 encargados del tratamiento activos más AWS (encargado subcontratado de Supabase), Apple Push (encargado subcontratado de Firebase), y las dos plataformas de salud en el dispositivo. Divulgación condicional para RevenueCat (activo cuando se lance el muro de pago). Se establece el compromiso de aviso de cambio de 30 días. |
| 1.1 | 2026-05-16 | Cierre de la Fase 6 (registro de decisiones #18). Se añade Anthropic Claude como encargado del tratamiento de IA visible para el usuario (Habit Lab + juez de calidad + vía A/B opcional de visión de alimentos) y OpenAI como encargado del tratamiento de IA condicional (solo vía A/B opcional de visión de alimentos, desactivada por defecto). Se amplía la fila de Gemini para enumerar las 13 funciones que impulsa. No se añadió ningún encargado del tratamiento al flujo de datos activo por defecto — Claude está activo en Habit Lab; OpenAI permanece desactivada por defecto. |
| 1.2 | 2026-09-14 | Publicada en gila.coach el 2026-10-18. Se elimina Beehiiv, Inc. (plataforma de boletín retirada el 2026-09-14). Se corrige la fila de Apple HealthKit según los datos que Gila lee (nunca el sueño ni la frecuencia cardiaca). |