Lista de Subencargados

Versión:: 1.1.0
Actualizado:: 09 de septiembre de 2026
SHA-256:: 4efa176de1e9f36da086af5dae58f3d1aa8ef00d525056dc57f715220e47c462

Phosly — Lista de Subencargados

Campo	Valor
Título	Lista de Subencargados del Tratamiento
Versión	1.1.0
Fecha de vigencia	Al publicarse en el sitio oficial
Última actualización	09 de septiembre de 2026
Jurisdicción principal	República de Costa Rica — Ley 8968 y su Reglamento
Documentos relacionados	Política de Privacidad (secciones 4.4, 5.5, 5.6 y 14)

Resumen ejecutivo

Este documento cumple el compromiso asumido por Phosly en las secciones 4.4, 5.5, 5.6 y 14 de la Política de Privacidad: publicar y mantener actualizada la lista de terceros que tratan Datos Personales por cuenta de Phosly, con la finalidad de cada uno, el tipo de datos al que acceden y la ubicación del tratamiento.

Phosly recurre exclusivamente a los proveedores enumerados aquí. Ninguno de ellos está autorizado a usar los datos para finalidades propias, a cederlos a terceros ni a conservarlos más allá de lo necesario para prestar su servicio.

Aviso a los Usuarios en su condición de Responsables. Cuando un Usuario (el estudio fotográfico) trata datos de sus Clientes Finales a través de Phosly, el Usuario es el Responsable del Tratamiento y Phosly el Encargado. Los proveedores de esta lista son, en ese esquema, Subencargados. El Usuario otorga una autorización general a esta lista al aceptar la Política de Privacidad, y conserva el derecho de oposición motivada previsto en su sección 5.5.

Índice

Cómo leer esta tabla
Subencargados de infraestructura y tratamiento
Infraestructura auxiliar sin acceso a Contenido
Transferencias internacionales
Notificación de cambios y derecho de oposición
Historial de cambios

1. Cómo leer esta tabla

Para cada proveedor se indica:

Finalidad: para qué se utiliza dentro del Servicio.
Datos tratados: las categorías de la sección 6 de la Política de Privacidad a las que el proveedor puede acceder.
Ubicación: dónde se realiza el tratamiento principal.

La ubicación indicada es la del tratamiento principal. Varios proveedores operan redes de distribución o réplicas de respaldo que pueden situarse en otras regiones; en todos los casos rige lo previsto en la sección 4 de este documento y en la sección 11 de la Política de Privacidad.

2. Subencargados de infraestructura y tratamiento

2.1 Clerk — Autenticación e identidad

Proveedor: Clerk, Inc.
Finalidad: registro, inicio de sesión, gestión de sesiones y credenciales de los Usuarios y Empleados del Estudio.
Datos tratados: Datos del Fotógrafo y de Empleados (nombre, correo electrónico, credenciales de autenticación, identificadores de sesión, dirección IP). No accede a Fotografías ni a Datos de Clientes Finales.
Ubicación: Estados Unidos.

2.2 Supabase — Base de datos

Proveedor: Supabase, Inc.
Finalidad: base de datos PostgreSQL que almacena la totalidad de los registros operativos del Servicio.
Datos tratados: Datos del Fotógrafo, del Estudio, de Empleados, de Clientes Finales, de facturación, registros técnicos y de actividad. Almacena las referencias a las Fotografías, no los archivos.
Ubicación: región del proyecto contratada por Phosly en la infraestructura de Supabase.

2.3 Cloudflare R2 — Almacenamiento de objetos

Proveedor: Cloudflare, Inc.
Finalidad: almacenamiento de las Fotografías, de los Archivos RAW, de las copias derivadas (miniaturas, vistas previas, versiones con Marca de Agua) y entrega de las Galerías a los Clientes Finales.
Datos tratados: Fotografías y Contenido, Metadatos EXIF asociados, y las direcciones IP de quienes acceden a los archivos.
Ubicación: Estados Unidos y la red global de Cloudflare.

2.4 Vercel — Alojamiento de la aplicación y medición de uso

Proveedor: Vercel, Inc.
Finalidad: ejecución y entrega de la aplicación web (alojamiento, red de distribución de contenido), medición agregada del uso del sitio mediante Vercel Web Analytics y medición del rendimiento real de las páginas (métricas Web Vitals) mediante Vercel Speed Insights.
Datos tratados: registros técnicos (dirección IP, agente de usuario, rutas solicitadas, marcas de tiempo) y, en tránsito, cualquier dato que la aplicación procese al atender una solicitud. La medición de uso y de rendimiento es agregada, anónima y sin cookies: registra puntos de datos como la ruta, el tipo de dispositivo, el sistema operativo, el navegador, la velocidad de red, el país y las métricas de rendimiento, sin asociarlos a una dirección IP, sin crear identificadores persistentes en el navegador y sin permitir reconstruir el recorrido de un Visitante concreto.
Ubicación: Estados Unidos y la red global de Vercel.

2.5 Paddle — Cobro y facturación

Proveedor: Paddle.com Market Limited.
Finalidad: procesamiento de los pagos de la Suscripción de cada Estudio a Phosly. Paddle actúa como Merchant of Record: es el comerciante registrado de la operación y, respecto de los datos de pago, Responsable del Tratamiento por derecho propio, no un mero Subencargado de Phosly.
Datos tratados: datos de facturación del Estudio (nombre o razón social, dirección fiscal, país, correo electrónico) y los datos del medio de pago. Los datos sensibles del medio de pago (número de tarjeta, CVV, caducidad) los trata Paddle en exclusiva conforme a PCI DSS; Phosly no los recibe, no los ve y no los almacena.
Ubicación: Reino Unido y sus proveedores de procesamiento de pagos.
Nota: Paddle no accede en ningún caso a Fotografías, a Galerías ni a Datos de Clientes Finales.

2.6 Northflank — Procesamiento de Archivos RAW

Proveedor: Northflank Limited.
Finalidad: ejecución del componente aislado que extrae vistas previas de los Archivos RAW y genera las copias derivadas.
Datos tratados: Fotografías y Archivos RAW durante el procesamiento, y sus Metadatos. El procesamiento es transitorio: el componente lee de R2, escribe en R2 y no conserva copia propia.
Ubicación: Reino Unido y las regiones de despliegue contratadas.

2.7 Proton — Entrega de correo transaccional

Proveedor: Proton AG.
Finalidad: envío de los correos transaccionales del Servicio (confirmaciones de reserva, recordatorios, invitaciones de equipo, envío de cotizaciones y facturas, avisos de galería).
Datos tratados: dirección de correo electrónico y nombre del destinatario —que puede ser un Cliente Final del Estudio— y el contenido del mensaje.
Ubicación: Suiza.

2.8 Sentry — Monitoreo de errores

Proveedor: Functional Software, Inc. (Sentry).
Finalidad: detección y diagnóstico de errores de la aplicación y del componente de procesamiento RAW.
Datos tratados: registros técnicos de error, identificador del Usuario de Clerk, identificador del Estudio y de la Sucursal, dirección IP y traza del error. Phosly aplica filtros de depuración para excluir credenciales y secretos de los eventos enviados. No se envían Fotografías ni el contenido de las Galerías.
Ubicación: Estados Unidos.

3. Infraestructura auxiliar sin acceso a Contenido

3.1 GitHub Actions (GitHub, Inc.) ejecuta los trabajos programados del Servicio (recordatorios de cita, reintento de correos, limpieza, conciliación de suscripciones y purga de galerías). Estos trabajos se limitan a invocar los endpoints del Servicio con un secreto compartido; el tratamiento de datos ocurre en la infraestructura de Phosly, no en la de GitHub. GitHub conserva los registros de ejecución (fecha, duración, código de respuesta), que no contienen Datos Personales. Ubicación: Estados Unidos.

4. Transferencias internacionales

Como se desprende de la tabla anterior, el tratamiento se realiza fuera de Costa Rica. Phosly no dispone hoy de infraestructura alojada en territorio costarricense, y esta lista es la descripción exacta de dónde residen los datos.

Phosly ampara estas transferencias en los mecanismos previstos por la Ley 8968 y su Reglamento y, cuando resulta aplicable el GDPR, en decisiones de adecuación —relevante para Proton AG, al beneficiarse Suiza de una decisión de adecuación de la Comisión Europea— o en cláusulas contractuales tipo suscritas con cada proveedor.

El Titular puede solicitar información adicional sobre el país de tratamiento y los mecanismos aplicados escribiendo a legal@phosly.com.

5. Notificación de cambios y derecho de oposición

5.1 Actualización. Phosly mantiene esta lista actualizada y publica cada modificación con una nueva versión y fecha en esta misma dirección.

5.2 Notificación previa. Conforme a la sección 5.5 de la Política de Privacidad, Phosly informará a los Usuarios con antelación razonable de la incorporación o sustitución de un Subencargado que suponga un cambio material en la ubicación o en la naturaleza del tratamiento.

5.3 Oposición. El Usuario puede oponerse a un Subencargado por motivos justificados y documentados escribiendo a legal@phosly.com. Phosly podrá proponer un proveedor alternativo, permitir la suspensión de la funcionalidad afectada sin penalización o resolver la cuestión de mutuo acuerdo.

6. Historial de cambios

Versión	Fecha	Cambios
1.1.0	09-sep-2026	Se actualiza la sección 2.4 (Vercel) para reflejar la incorporación de Vercel Speed Insights: la finalidad pasa a incluir la medición del rendimiento real de las páginas (métricas Web Vitals) y la descripción de datos tratados precisa que la medición de uso y de rendimiento es agregada, anónima y sin cookies, sin asociación a direcciones IP ni posibilidad de reconstruir el recorrido de un Visitante. No se incorpora ningún Subencargado nuevo, no cambian las categorías de datos ni las ubicaciones del tratamiento, por lo que no aplica la notificación previa de la sección 5.2.
1.0.0	03-sep-2026	Creación inicial. Sustituye los marcadores `[URL]` que la Política de Privacidad arrastraba en sus secciones 4.4, 5.6 y 14, donde se prometía publicar esta lista sin llegar a hacerlo. Se enumeran los ocho Subencargados con acceso a datos y la infraestructura auxiliar sin acceso a Contenido, y se corrige la descripción de las transferencias internacionales para reflejar que ningún tratamiento se realiza en Costa Rica.

≈ 8 min de lectura · Versión 1.1.0