Lista de subencargados del tratamiento activos
| Subencargado | Finalidad | Jurisdicción | Residencia de datos | Documento |
|---|---|---|---|---|
| Supabase, Inc. Base de datos gestionada y almacenamiento. Empresa de EE. UU. · datos en la UE (Irlanda) | Almacenamiento de la base de datos (Postgres), autenticación, archivos subidos (facturas, documentos) y ejecución de funciones backend. | EE. UU. (empresa) · operaciones en la UE | Dublín, Irlanda (eu-west-1) | DPA ↗ |
| Vercel Inc. CDN y alojamiento de la aplicación. Empresa de EE. UU. · entrega global | Servir páginas HTML, scripts y activos estáticos de la plataforma app.advanta.capital, funders.advanta.capital y advanta.capital. No almacena datos personales persistentes. | EE. UU. (empresa) · CDN multirregión | CDN global · UE prioritaria | DPA ↗ |
| Anthropic, PBC IA generativa para la extracción de datos. Subencargado EE. UU. | Extracción y verificación de datos estructurados mediante el modelo Claude. Datos enviados: contenido de facturas y contratos, y documentos de la empresa presentados para el KYC (escrituras y extractos registrales, alta censal, justificantes bancarios y de domicilio). Los documentos de identidad y los selfies nunca se envían. | EE. UU. | EE. UU. · transferencia bajo CCT | DPA ↗ |
| Resend, Inc. Entrega de correos electrónicos transaccionales. Subencargado EE. UU. | Envío de correos electrónicos transaccionales (bienvenida, notificaciones de ofertas, recibos). Datos enviados: dirección de correo electrónico, nombre, contenido del correo. | EE. UU. | EE. UU. · transferencia al amparo de SCC + DPF | DPA ↗ |
| Attio Limited Gestión de contactos (CRM). Subencargado Reino Unido | Mensajes de los formularios del sitio, solicitudes de acceso, altas de cuenta y notas de estado de la plataforma (alta, solicitudes, ofertas). Datos enviados: nombre, correo, empresa, NIF, estado. | Reino Unido | Reino Unido · decisión de adecuación de la UE | DPA ↗ |
| OpenSanctions Datenbanken GmbH Cribado de sanciones y PEP. Subencargado UE | Cribado de PEP, y una segunda fuente de sanciones, para empresas, sus representantes y titulares reales, cuando la licencia esté en vigor: aún no está activo y no se envía nada hasta entonces. El cribado de sanciones se hace con las listas oficiales de la UE, la ONU, el Reino Unido y EE. UU., dentro de la propia base de datos de Advanta. Datos enviados cuando esté activo: nombres, fechas de nacimiento cuando se conozcan, identificadores fiscales. | Alemania | UE (Alemania) | Términos ↗ |
| Didit Identity Spain, S.L. Verificación de identidad. Aún no activo. Subencargado UE · previsto | Verificación de identidad (documento, selfie y prueba de vida) y consultas a registros mercantiles, solo cuando un financiador lo exige. Datos enviados: imágenes del documento de identidad y del selfie, nombre; NIF de la empresa. Aún no está activo: solo empieza después del preaviso de 30 días indicado abajo. | España | UE (alojado en AWS) | Privacidad ↗ |
| Enable Banking Oy Información de cuentas bancarias (open banking). Aún no activo para clientes. Subencargado UE · previsto | Acceso de solo lectura a las cuentas bancarias de una empresa, solo con su consentimiento y solo para el financiador cuyo programa lo pide: saldos y movimientos (importe, fecha, nombre e IBAN de la contraparte, referencia) y el nombre del titular. No se puede hacer ningún pago. Aún no está activo para cuentas de clientes: solo empieza después del preaviso de 30 días indicado abajo. | Finlandia | UE | Términos ↗ |
| Google LLC Inicio de sesión con Google (opcional). Subencargado EE. UU. | Autenticación de las cuentas que eligen el inicio de sesión con Google. Datos enviados: email de la cuenta para el inicio de sesión. | EE. UU. | EE. UU. · transferencia bajo CCT | Privacidad ↗ |
| Expo (650 Industries, Inc.) Notificaciones push de la app móvil. Subencargado EE. UU. | Entrega de notificaciones push a la app móvil. Datos enviados: token push del dispositivo, texto de la notificación. | EE. UU. | EE. UU. · transferencia bajo CCT | Privacidad ↗ |
SCC = Cláusulas Contractuales Tipo de la Comisión Europea · DPF = EU-US Data Privacy Framework · DPA = Data Processing Agreement (Acuerdo de Tratamiento de Datos).
Notificaciones de cambios
Antes de añadir un nuevo subencargado del tratamiento o sustituir uno existente, Advanta notifica a los clientes con un preaviso de 30 días, salvo en casos de emergencia operativa. La notificación incluye el nombre del subencargado, la finalidad, la jurisdicción y el documento de DPA aplicable. Los clientes pueden oponerse a la inclusión de un nuevo subencargado dentro del plazo de notificación enviando un correo electrónico a diogo@advanta.pt.
Transferencias internacionales de datos
Cuando un subencargado trata datos fuera del EEE, la garantía es la indicada en su fila.
Contacto de protección de datos
Para cualquier cuestión relacionada con los subencargados del tratamiento, el ejercicio de los derechos del interesado o solicitudes relativas al RGPD, contacte con:
Contacto de protección de datos
Correo electrónico: diogo@advanta.pt
Respuesta en un plazo de 72 horas en días hábiles.