Subencargados
Publicada el 06/10/2026
Para prestar el servicio, Roostwood (Popiai Software Services, S.L.) se apoya en los proveedores siguientes, que tratan datos por cuenta nuestra como subencargados. Esta lista forma parte de nuestros compromisos de transparencia (Política de Privacidad y Acuerdo de Encargo de Tratamiento) y refleja el estado real del sistema: cualquier cambio se registra en el historial del final de la página.
| Proveedor | Finalidad | Datos tratados | Región | Mecanismo de transferencia | Alta |
|---|---|---|---|---|---|
| Google Cloud — Compute Engine y Cloud Storage (Google LLC) | Servidores de la aplicación (sitio web y backend); almacenamiento de ficheros (imágenes y PDF) | Datos del servicio en tránsito por el backend; imágenes y documentos en reposo | UE — europe-west1 (Bélgica) | EU-U.S. Data Privacy Framework (Google LLC certificada); SCCs del Cloud Data Processing Addendum de Google como respaldo | 06/10/2026 |
| Google — Firebase Authentication (Google LLC) | Autenticación de usuarios | Credenciales de cuenta (email, contraseña cifrada, identificadores de inicio de sesión) | Infraestructura global de Google (servicio sin región fija) | EU-U.S. Data Privacy Framework (Google LLC certificada); SCCs como respaldo | 06/10/2026 |
| Google — API de Gemini (Google LLC) | Generación de renders e infografías con IA | Imágenes sin personas y sin metadatos (saneadas en servidor); parámetros del mueble — nunca datos de clientes | Infraestructura global de Google (sin fijación regional del endpoint) | EU-U.S. Data Privacy Framework (Google LLC certificada); SCCs como respaldo | 06/10/2026 |
| MongoDB, Inc. (Atlas) | Base de datos del servicio | Datos de cuenta y de clientes del carpintero | UE (París / Bélgica) | EU-U.S. Data Privacy Framework (MongoDB, Inc. certificada); SCCs del DPA de Atlas como respaldo | 06/10/2026 |
| Vercel Inc. | Alojamiento de reserva de la aplicación web: sin tráfico de usuarios salvo vuelta atrás | Peticiones en tránsito y logs técnicos, solo si se activa la reserva | Funciones en fra1 (Fráncfort); estáticos en el edge global | EU-U.S. Data Privacy Framework (certificada) | 06/10/2026 |
| Stripe, Inc. | Procesamiento de pagos | Información de facturación (sin datos personales de clientes finales) | EEUU y UE | EU-U.S. Data Privacy Framework | 06/10/2026 |
| Resend | Envío de email transaccional | Direcciones de email de clientes; contenido de los emails de presupuesto | Envío desde eu-west-1 (Irlanda); metadatos de cuenta y logs en EEUU | EU-U.S. Data Privacy Framework (certificada, marzo 2025) | 06/10/2026 |
| PostHog, Inc. | Analítica de producto (solo con consentimiento) e informes de error sin cookies; nunca en las páginas públicas del presupuesto | Datos de uso de la aplicación e informes de error | EU Cloud (Fráncfort) — sin transferencia | No aplica (alojamiento UE); DPA de PostHog | 06/10/2026 |
Los avisos de cambios en esta lista a los clientes con acuerdo de encargo se envían por email conforme a lo previsto en dicho acuerdo.
Historial de cambios
- 18/10/2026 — Gemini vuelve a servirse a través de la API de Gemini, en la infraestructura global de Google (Data Privacy Framework, con SCCs como respaldo), como antes del cambio anterior: dejamos de usar Vertex AI.
- 18/10/2026 — El sitio web deja de servirse desde Vercel y pasa a los mismos servidores de Google Cloud (Compute Engine, europe-west1) que ya alojaban el backend. Vercel queda dos semanas como alojamiento de reserva, sin tráfico de usuarios salvo vuelta atrás, y después se retira.
- 18/10/2026 — Gemini pasa a servirse vía Vertex AI con el endpoint multirregional europeo (eu, residencia de datos en la UE) y tier de pago sin uso de datos para entrenamiento; se retira OpenAI como proveedor (era un fallback del asistente, sin uso).
- 15/10/2026 — Precisión de la lista sin cambio de proveedores: la entrada de Google Cloud nombra también Compute Engine (los servidores del backend, que ya alojaba); Firebase Authentication pasa a su propia entrada, porque es un servicio global sin región fija; y la entrada de PostHog aclara que, sin consentimiento, solo recibe informes de error sin cookies.
- 13/10/2026 — Verificación de certificaciones completada contra el registro oficial del Data Privacy Framework: la entrada de MongoDB Atlas pasa de «en verificación» a DPF certificada con SCCs de respaldo.
- 06/10/2026 — Publicación inicial de la lista.