Subencargados del tratamiento
Versión: 2026-09-11
Proveedores que tratan datos por cuenta de Mansaria. Cualquier alta o sustitución se comunica con 30 días de antelación (cláusula 5 del DPA).
Siempre activos
Intervienen en todo uso del servicio.
| Proveedor | Función | Ubicación | Base de la transferencia |
|---|---|---|---|
| Supabase | Base de datos, autenticación, almacenamiento de documentos | UE (Irlanda, eu-west-1) | No aplica |
| Vercel | Alojamiento y ejecución de la aplicación | UE (Irlanda, dub1) — misma región que la base de datos; la red de distribución es global, pero no ejecuta código nuestro ni lee la sesión | No aplica para la ejecución |
| Brevo | Envío de correo: avisos a clientes de la agencia e invitaciones a su personal | Francia (UE) | No aplica |
| Cloudflare | Almacenamiento de las copias de seguridad cifradas | UE | Cláusulas Contractuales Tipo |
| Scaleway | Segunda copia de seguridad cifrada | Francia (París) | No aplica |
| Sentry | Registro de errores de la aplicación | UE (Fráncfort) | No aplica |
| OpenFreeMap | Mapas del catálogo | UE | Sin datos personales: solo coordenadas de inmuebles |
Las copias de seguridad se cifran antes de salir de nuestros sistemas, con una clave cuya parte privada no está en poder de ninguno de los dos proveedores de almacenamiento: ni Cloudflare ni Scaleway pueden leer su contenido.
Activados por la propia agencia
No intervienen salvo que la agencia conecte esa integración. Mientras no lo haga, ningún dato llega a estos proveedores.
| Proveedor | Función | Ubicación | Base de la transferencia |
|---|---|---|---|
| Stripe | Cobro de las facturas de la agencia a sus clientes (Stripe Connect) | UE (Irlanda) | No aplica |
| Calendario del empleado: agenda de visitas con nombre y teléfono del cliente y dirección del inmueble. Buzón del empleado: envío de correo al cliente desde su ficha | EE. UU. | Cláusulas Contractuales Tipo / Marco de adecuación UE-EE. UU. | |
| Microsoft | Buzón del empleado (Microsoft 365): envío de correo al cliente desde su ficha y consulta de la correspondencia con esa dirección | EE. UU. | Cláusulas Contractuales Tipo / Marco de adecuación UE-EE. UU. |
| Meta | Formularios de captación (Lead Ads) y apertura de WhatsApp con el teléfono del cliente | EE. UU. | Cláusulas Contractuales Tipo / Marco de adecuación UE-EE. UU. |
| Smoobu, Lodgify | Sincronización de reservas: nombre y datos de contacto del huésped | UE | No aplica |
| Portales inmobiliarios | Difusión del anuncio mediante feed: datos del inmueble, sin datos de clientes | Según el portal | Sin datos personales de clientes |
La suscripción de la propia agencia a Mansaria también se cobra a través de Stripe. Ese tratamiento no es por cuenta de la agencia: ahí Mansaria es responsable, y figura como tal en el registro del art. 30.
Comunicaciones por obligación legal
No son subencargados: son cesiones a autoridades exigidas por la normativa española. Se enumeran aquí porque el art. 30 obliga a identificar a los destinatarios, y porque la agencia debe saber qué sale de la plataforma.
| Destinatario | Qué se comunica | Norma |
|---|---|---|
| Ministerio del Interior (SES.HOSPEDAJES) | Parte de viajeros: nombre, tipo y número de documento, fecha de nacimiento, sexo, nacionalidad, domicilio y, en el caso de menores, parentesco | RD 933/2021 |
| Agencia Tributaria (AEAT) | Datos de facturación de la agencia | Normativa de facturación y Verifactu |
Analítica y perfiles
No se utilizan herramientas de analítica ni de publicidad, y no se elaboran perfiles de comportamiento de los usuarios de la plataforma.
Distinto es el uso que la agencia hace del producto con sus clientes: el CRM registra si el cliente abrió la selección de inmuebles que se le envió y qué respondió. Ese tratamiento es de la agencia, que decide sus fines, y Mansaria lo realiza por cuenta de ella.
Qué recibe Sentry
Datos técnicos del fallo: mensaje de error, traza, navegador, ruta de la página y un identificador interno de usuario —nunca su correo ni su nombre—.
Antes de enviar el evento se eliminan los parámetros de las consultas, las cookies y las cabeceras de autorización, tanto en el propio evento como en el texto del error. Tampoco se graba la pantalla (Session Replay está desactivado).
Aun así, el texto de un error es texto libre: no puede descartarse por completo que un mensaje inesperado arrastre algún dato. Se depura lo que es previsible; prometer lo contrario sería prometer más de lo que el código garantiza.
Fuera del encargo: publicidad en el sitio público
Google y Meta no son subencargados de Mansaria y no intervienen en el tratamiento de los datos de los clientes de la agencia. Actúan únicamente sobre los visitantes del sitio público (portada, alta y documentos legales), y sólo si ese visitante da su consentimiento en el aviso de cookies.
| Proveedor | Función | Cuándo interviene |
|---|---|---|
| Google Ads | Medir qué anuncio ha traído un alta | Sólo con consentimiento del visitante |
| Meta | Lo mismo, para los anuncios de Facebook e Instagram | Sólo con consentimiento del visitante |
Se recogen aquí por transparencia: aunque queden fuera del DPA, son terceros que pueden recibir datos a través de este sitio.
Buzón del empleado: qué sale y qué no
Cuando un empleado conecta su buzón, Mansaria no copia su correspondencia: ni a la base de datos ni a las copias de seguridad. Al abrir la ficha de un cliente se consulta al proveedor del buzón por las cartas con esa dirección y se muestran en pantalla. Lo único que se guarda es el vínculo con el buzón y, por cada carta enviada desde la ficha, una línea con destinatario, asunto y fecha, sin el texto.
Hacia el proveedor sale, por tanto, la dirección de correo del cliente en el momento de la consulta: es lo que permite encontrar esas cartas. En Google solo se solicita permiso de envío, de modo que la correspondencia de Gmail no se consulta en absoluto.