SUBENCARGADOS DEL TRATAMIENTO
Vezpa - Property Management System
Lista conforme al art. 28.4 RGPD
Última actualización: 2 de noviembre de 2026
📌 Prelación jurídica: este documento es una traducción de cortesía del original italiano. En caso de discrepancia entre esta traducción y la versión italiana, prevalecerá la versión italiana como referencia jurídicamente vinculante. Original italiano disponible aquí: https://vezpa.it/subprocessors/.
Para qué sirve esta página: lista los proveedores (subencargados del tratamiento) que Vezpa utiliza para prestar el servicio, cada uno con sede, finalidad y base jurídica para la transferencia de los datos. La lista es parte integrante del Contrato de encargo del tratamiento (DPA). Para usuarios en México, esta lista es adicional al Aviso de Privacidad específico LFPDPPP.
Preaviso de modificación: las eventuales incorporaciones o sustituciones se comunican a los Responsables (establecimientos clientes) con al menos 30 días de preaviso por email y en el panel de control, permitiendo el ejercicio del derecho de oposición (art. 28.2 RGPD).
1. Subencargados activos
1.1 Infraestructura y almacenamiento
| Proveedor | Sede | Finalidad | Datos tratados | Base de transferencia |
|---|---|---|---|---|
| DigitalOcean LLC 101 Ave of the Americas, New York, NY 10013, USA |
Servidores UE (Fráncfort - FRA1) + sede central EE. UU. | Alojamiento de servidores, base de datos PostgreSQL, Redis, almacenamiento de objetos Spaces, CDN | Todos los datos de la plataforma | UE DPF CCT de manera subsidiaria |
1.2 Pagos
| Proveedor | Sede | Finalidad | Datos tratados | Base de transferencia |
|---|---|---|---|---|
| Stripe Payments Europe Ltd 1 Grand Canal Street Lower, Dublin, Irlanda (con Stripe Inc., San Francisco, CA, USA) |
UE (IE) + EE. UU. | Procesamiento de pagos con tarjeta, antifraude, enlaces de pago para huéspedes | Datos de tarjeta (gestionados por Stripe, no almacenados por Vezpa), email, importe, reservación de referencia | UE DPF |
1.3 Comunicaciones
| Proveedor | Sede | Finalidad | Datos tratados | Base de transferencia |
|---|---|---|---|---|
| IONOS SE Elgendorfer Str. 57, 56410 Montabaur, Alemania |
UE (DE) | Emails transaccionales, servidor de email vezpa.it, PEC | Dirección de email del destinatario, contenido del email, metadatos | UE |
| Sendinblue SAS (Brevo) 106 boulevard Haussmann, 75008 Paris, Francia |
UE (FR) | Envío de emails transaccionales (SMTP); recepción de los emails que los huéspedes escriben a la dirección @ospiti.vezpa.it del alojamiento, solo si el alojamiento activa «Correos de los huéspedes» | Dirección de email y nombre del remitente y del destinatario, asunto, contenido y nombres de los adjuntos de los emails, metadatos | UE |
| Google LLC - Firebase Cloud Messaging 1600 Amphitheatre Pkwy, Mountain View, CA 94043, USA (vía Google Ireland Ltd) |
UE (IE) + EE. UU. | Envío de notificaciones push a dispositivos móviles y de escritorio | Token FCM del dispositivo, identificadores técnicos, contenido de la notificación (solo metadatos de reservación, sin datos personales sensibles) | UE DPF |
| Google LLC - Google Cloud Translation API 1600 Amphitheatre Pkwy, Mountain View, CA 94043, USA (vía Google Ireland Ltd) |
UE (IE) + EE. UU. (lugar de tratamiento no limitado a la UE) |
Traducción automática, para el anfitrión, de los mensajes escritos por los huéspedes a través de los canales OTA; traducción sugerida de nombres y descripciones de los extras de pago, solo cuando el anfitrión presiona «Traducir a los otros idiomas» | Texto del mensaje del huésped (puede contener datos personales escritos por el propio huésped), nombres y descripciones de los extras, códigos de idioma de origen y de destino. Ningún otro dato: el mensaje se envía sin nombre, datos de contacto ni datos de la reservación | UE DPF |
1.4 Channel Manager OTA
| Proveedor | Sede | Finalidad | Datos tratados | Base de transferencia |
|---|---|---|---|---|
| STAAH Limited Auckland, Nueva Zelanda |
Nueva Zelanda | Sincronización de reservaciones, disponibilidad y tarifas con ~60 canales OTA | Datos de reservación (nombre del huésped, fechas, habitación, tarifa, contactos) | Adecuación UE (Decisión 2013/65/UE) |
1.5 Compras dentro de la app y distribución de la app
| Proveedor | Sede | Finalidad | Datos tratados | Base de transferencia |
|---|---|---|---|---|
| Apple Distribution International Ltd Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda (con Apple Inc., Cupertino, CA, USA) |
UE (IE) + EE. UU. | Distribución App Store iOS/macOS, gestión de suscripciones (StoreKit) | ID de cuenta de la tienda, token de compra, estado de la suscripción | UE CCT - Apple no se adhiere al DPF; las transferencias hacia EE. UU. se rigen por CCT 2021/914 |
| Google Ireland Ltd / Google LLC Gordon House, Barrow Street, Dublin 4, Irlanda (con Google LLC, USA) |
UE (IE) + EE. UU. | Distribución Play Store Android, gestión de suscripciones (Play Billing) | ID de cuenta de la tienda, token de compra, estado de la suscripción | UE DPF |
| Microsoft Ireland Operations Ltd / Microsoft Corp. One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlanda |
UE (IE) + EE. UU. | Distribución Microsoft Store Windows, gestión de suscripciones | ID de cuenta de la tienda, estado de la suscripción | UE DPF |
1.6 Integraciones opcionales (solo si las activa el establecimiento)
| Proveedor | Sede | Finalidad | Datos tratados | Base de transferencia |
|---|---|---|---|---|
| Tuya Smart (Hangzhou Tuya Information Technology Co., Ltd.) Hangzhou, China |
China | Gestión de cerraduras inteligentes y domótica | Identificadores de dispositivo, eventos de acceso | CCT Opcional |
| Anthropic, PBC 548 Market Street, PMB 90375, San Francisco, CA 94104, USA |
EE. UU. | Respuestas a los mensajes de los huéspedes con un modelo de inteligencia artificial (Claude), solo si el alojamiento activa «Respuestas del asistente»: la respuesta se envía sola cuando el asistente tiene toda la información; en los casos delicados queda como borrador para el anfitrión | Texto de la conversación con el huésped, nombre e idioma del huésped, datos del alojamiento y notas del anfitrión, fechas e importes de la reserva vinculada | CCT Opcional |
| Meta Platforms Ireland Limited (WhatsApp Business Platform) Merrion Road, Dublin 4, D04 X2K5, Irlanda |
UE (IE) + EE. UU. | Recepción y envío de los mensajes de WhatsApp entre el alojamiento y sus huéspedes, solo si el alojamiento conecta su propio número de WhatsApp Business; el alojamiento acepta directamente con Meta las condiciones de WhatsApp Business; las posibles transferencias a Meta Platforms, Inc. (EE. UU.) se realizan con CCT | Número de teléfono y nombre del perfil de WhatsApp del huésped, texto de los mensajes y archivos adjuntos | CCT Opcional |
No son subencargados de Vezpa los servicios que el alojamiento elige y conecta por su cuenta, como la plataforma de voz que atiende el teléfono (p. ej., Retell, Vapi, ElevenLabs): son proveedores del alojamiento, que es responsable de ellos.
2. Destinatarios Responsables autónomos
Los siguientes sujetos no son subencargados sino Responsables autónomos que reciben datos por obligaciones legales o por su propia relación con el titular. Se listan aquí por transparencia:
2.1 Autoridades públicas (obligación legal del Responsable)
- Italia: AlloggiatiWeb (Polizia di Stato / Questura), ISTAT, Municipios italianos (vía PayTourist), Agenzia delle Entrate (Sistema di Interscambio - SDI)
- Austria: Feratel / Meldeamt (registro municipal de huéspedes)
- España: SES.HOSPEDAJES (Ministerio del Interior)
- Hungría: NTAK (Nemzeti Turisztikai Adatszolgaltato Kozpont)
- Croacia: eVisitor
- Portugal: SEF (Servico de Estrangeiros e Fronteiras)
- República Checa: UbyPort
- Eslovenia: eTurizem / AJPES
Los conectores gubernamentales se activan solo si el establecimiento reside en el Estado correspondiente. Las credenciales para la conexión son configuradas por el establecimiento mismo; Vezpa no conserva credenciales en claro.
2.2 OTA y metabuscadores (relación contractual con el viajero)
Los canales OTA activados por el establecimiento reciben datos de reservación e inventario. Entran en la categoría:
- Principales (históricos): Booking.com, Airbnb, Expedia, VRBO, Agoda
- Otros ~60 canales dinámicos vía STAAH: p. ej., Hotels.com, Trip.com, Hostelworld, Despegar, etc.
Cada OTA aplica su propio aviso de privacidad. Las transferencias hacia OTA fuera de la UE se rigen por sus contratos directos con el establecimiento y/o con el viajero.
3. Leyenda
- UE - Sede o filial en la Unión Europea
- DPF - Certificación activa EU-U.S. Data Privacy Framework
- Adecuación UE - País con decisión de adecuación de la Comisión Europea
- CCT - Cláusulas Contractuales Tipo UE 2021/914
- Opcional - Activado solo por elección explícita del establecimiento
4. Historial de modificaciones
| Fecha | Modificación |
|---|---|
| 19 de abril de 2026 | Primera publicación de la lista pública |
| 9 de octubre de 2026 | Agregado Google LLC - Google Cloud Translation API (traducción de mensajes de huéspedes y extras) |
| 30 de octubre de 2026 | Incorporado Sendinblue SAS (Brevo): envío de emails transaccionales y recepción de emails de los huéspedes |
| 1 de noviembre de 2026 | Añadido Anthropic, PBC: respuestas a los mensajes de los huéspedes (asistente de IA, opcional) |
| 2 de noviembre de 2026 | Añadido Meta Platforms Ireland Limited (WhatsApp Business Platform): mensajes de WhatsApp de los huéspedes (opcional) |
Contactos
Para preguntas sobre los subencargados o para oponerse a una modificación:
info@vezpa.it
PEC: lavezpa@pec.it