Proveedores que tratan datos
Estas son las empresas que nos ayudan a prestar el servicio de Turnalio y tratan datos personales por nuestra cuenta: su función, la entidad con la que contratamos, el país donde se alojan los datos, los países desde los que se puede acceder o tratar datos además de ese, y qué garantías lo cubren.
Última actualización: 16 de octubre de 2026.
Versión de la lista: PROV-2026-10-16
| Función | Entidad contratada | País de alojamiento | Países de acceso o tratamiento adicional | Garantías |
|---|---|---|---|---|
| SupabaseEncargado del tratamiento.Base de datos, cuentas de acceso y almacenamiento de ficheros (contratos en PDF e imágenes).Todos los datos del servicio: negocio, tiendas, equipo, turnos, clientes del negocio y contratos. | Supabase Pte. Ltd. (Singapur) | Irlanda (eu-west-1) | Los de su lista de subencargados (soporte y operación) | DPA en sus condiciones y cláusulas tipo (2021/914)Contrato de encargo (DPA) de SupabasePolítica de privacidad de SupabaseLista de subencargados de Supabase |
| Plenix NetworkEncargado del tratamiento (alojamiento y correo).Servidor donde funciona la aplicación (alojamiento) y envío de los correos de Turnalio (SMTP).Lo que pasa por la aplicación al usarla y los correos enviados (destinatario y contenido). | Plenix Network (sin razón social identificada) | Pendiente de confirmar por el proveedor (país del centro de datos y de las copias). Su contrato se rige por la ley española, con jurisdicción en Barcelona. | Pendiente de confirmar por el proveedor. | Contrato de encargo en proceso de formalización |
| StripeEncargado del tratamiento para procesar los pagos y emitir las facturas. Para ciertos tratamientos propios (cumplimiento normativo y prevención del fraude) actúa como responsable independiente, según su política de privacidad.Cobros, suscripciones y facturas.Datos fiscales y de contacto del negocio, importes y la tarjeta (la guarda Stripe; Turnalio nunca la ve ni la almacena). | Stripe Payments Europe, Limited (Irlanda) | UE | Estados Unidos y otros de su lista | DPA, cláusulas tipo y Marco UE-EE. UU.Contrato de encargo (DPA) de StripePolítica de privacidad de StripeLista de subencargados de Stripe |
| CloudflareEncargado del tratamiento al ejecutar el antirrobots (Turnstile). Cuando reutiliza las señales para mejorar Turnstile actúa como responsable independiente, según su política de privacidad.Antirrobots (Turnstile) en el alta y al pedir turno.Dirección IP y señales del navegador durante la comprobación. | Cloudflare, Inc. (EE. UU.) | Red mundial: el dato se trata en el nodo más cercano al visitante | Estados Unidos | DPA, cláusulas tipo y Marco UE-EE. UU.Contrato de encargo (DPA) de CloudflarePolítica de privacidad de CloudflareLista de subencargados de Cloudflare |
Solicitudes de autoridades de fuera de la UE
Procedimiento de Turnalio ante una solicitud de acceso a datos de una autoridad de fuera de la Unión Europea (art. 32 del Reglamento de Datos):
- Turnalio no entrega datos ante una solicitud de una autoridad de fuera de la UE sin una base legal válida en la UE (acuerdo internacional o resolución reconocida).
- Si no la hay, se evalúa su compatibilidad con el Derecho de la Unión y se impugna o se limita cuando proceda.
- Si hay que atenderla, se entrega el mínimo imprescindible.
- Se informa al cliente antes de la entrega, salvo prohibición legal.
- Cada solicitud queda registrada.
Se exige lo mismo a los proveedores a través de sus contratos.
Datos no personales: pueden aparecer mezclados con datos personales (configuración, horarios, estadísticas). Reciben las mismas medidas (acceso por negocio, cifrado en tránsito y registro de accesos de plataforma) y el mismo procedimiento.
Cambios en la lista
Si vamos a añadir o sustituir un proveedor que trate datos de tu negocio, actualizaremos esta página y te avisaremos por correo con 30 días de antelación a que empiece a tratarlos (salvo que una obligación legal o una urgencia de seguridad exija menos plazo: en ese caso te explicaremos la causa y el alcance).
Si te opones por motivos razonables y no hay una alternativa que te sirva, puedes terminar el contrato sin penalización antes de que el cambio se aplique, escribiéndonos a clientes@turnalio.com.
- 16 de octubre de 2026: La tabla separa en columnas la entidad contratada, el país de alojamiento, los países de acceso o tratamiento adicional y las garantías de cada proveedor, y enlaza la lista de subencargados de cada uno; se añade el apartado de solicitudes de autoridades de fuera de la UE. Se corrige la ficha de Plenix Network: ya no se publica «España (Barcelona)» como ubicación del tratamiento, porque solo está acreditada la jurisdicción del contrato (Barcelona, ley española); el país del centro de datos y de las copias y las transferencias figuran como pendientes de confirmar por el proveedor.
- 15 de octubre de 2026: Se confirma la región de Supabase (Irlanda) y que su contrato de encargo forma parte de sus condiciones de servicio; se identifica el proveedor de alojamiento y correo (Plenix Network, Barcelona, España).
- 14 de octubre de 2026: La lista pasa a tabla con la función, la entidad, la ubicación de los datos, las transferencias internacionales y las garantías de cada proveedor; se indica dónde Stripe y Cloudflare actúan también como responsables independientes y se fija el aviso de 30 días para cambios.
- 13 de octubre de 2026: Primera publicación de la lista: Supabase, Plenix, Stripe y Cloudflare.
Más información en la política de privacidad y en el Anexo de tratamiento de datos. Cómo exportar tus datos si cambias de proveedor: registro de exportación. Dudas: clientes@turnalio.com.