1. Introducción
Conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD), Evora publica de forma transparente la lista de todos los subencargados técnicos a los que recurre para tratar los datos personales de sus usuarios.
Cada subencargado se ha seleccionado tras evaluar rigurosamente su nivel de cumplimiento del RGPD, sus certificaciones de seguridad y la localización de sus tratamientos. Todos están vinculados a Evora por un contrato de encargo (DPA) que exige el cumplimiento de la normativa europea aplicable.
Esta página constituye además el mecanismo de notificación previsto en el DPA firmado por cada organizador: toda modificación de esta lista se notifica 30 días antes de su entrada en vigor (véase la sección Modificaciones).
2. Lista de subencargados
A fecha de 12 de octubre de 2026, Evora recurre a 15 subencargados técnicos:
| Subencargado | Función | Localización de los datos | Garantías RGPD |
|---|---|---|---|
| Supabase Inc. | Alojamiento de la base de datos PostgreSQL, autenticación, almacenamiento de archivos y funciones serverless (Edge Functions). | EU-Central-1 (Fráncfort, Alemania): región principal de los datos europeos. | DPA de Supabase + Cláusulas Contractuales Tipo de la Comisión Europea 2021/914. |
| Vercel Inc. | Alojamiento del sitio web evora.live y distribución mediante CDN global. | Estados Unidos (sede) + CDN global (cercanía al usuario). | DPA de Vercel + Cláusulas Contractuales Tipo de la Comisión Europea. |
| Apple Inc. | Distribución de la aplicación a través de la App Store. Entrega de notificaciones push mediante APNs (Apple Push Notification service). | Estados Unidos + CDN global. | Apple Developer Program License Agreement + Política de privacidad + Cláusulas Contractuales Tipo. |
| Google LLC | Distribución de la aplicación a través de Play Store. Entrega de notificaciones push mediante FCM (Firebase Cloud Messaging). OAuth de Google Sign-In. | Estados Unidos + infraestructura global. | DPA de Google Cloud + Cláusulas Contractuales Tipo de la Comisión Europea. |
| Stripe Inc. | Procesamiento de los pagos con tarjeta para las suscripciones de las organizaciones, las compras sueltas (eventos, Evora+) y la venta de entradas. Conservación de recibos y facturas. | Estados Unidos (sede) + UE (Irlanda). | DPA de Stripe + Cláusulas Contractuales Tipo + certificación PCI-DSS Level 1. |
| Brevo SA (anciennement Sendinblue) | Envío de correos transaccionales (código de verificación de registro, confirmaciones de inscripción, notificaciones) y de correos de marketing (con consentimiento). | Francia (centro de datos principal) + UE. | DPA de Brevo + datos almacenados exclusivamente en la UE. |
| PostHog Inc. | Analítica de producto y monitorización de errores de la aplicación (trazas anonimizadas, sin datos personales) para mejorar la aplicación (solo con consentimiento de analítica). | UE (Fráncfort, Alemania): instancia PostHog Cloud EU (eu.posthog.com). | DPA de PostHog + Cláusulas Contractuales Tipo de la Comisión Europea. |
| Mapbox Inc. | Mapa base, geocodificación (de dirección a coordenadas) y búsqueda de lugares para las páginas de evento. | Estados Unidos. | DPA de Mapbox + Cláusulas Contractuales Tipo de la Comisión Europea. |
| Expo (650 Industries, Inc.) | Envío de notificaciones push (Expo Push Service): transmisión del token del dispositivo y del contenido de la notificación a APNs (Apple) y FCM (Google). | Estados Unidos. | Condiciones de uso de Expo (650 Industries, Inc.); DPA ofrecido por Expo + Cláusulas Contractuales Tipo de la Comisión Europea. |
| Meta Platforms Ireland Ltd | Inicio de sesión con Facebook (OAuth): transmisión del identificador y de la dirección de correo electrónico al registrarse o iniciar sesión. | UE (Irlanda) + Estados Unidos. | Condiciones de la plataforma de Meta + Cláusulas Contractuales Tipo de la Comisión Europea. |
| Cloudflare, Inc. | DNS del dominio evora.live y control de acceso Zero Trust a la interfaz de administración (autenticación de los administradores). | Estados Unidos + red mundial. | DPA de Cloudflare + Cláusulas Contractuales Tipo de la Comisión Europea. |
| GitHub, Inc. | Alojamiento del código fuente e integración continua (GitHub Actions): pruebas, despliegues y tareas programadas de importación de datos. | Estados Unidos. | DPA de GitHub + Cláusulas Contractuales Tipo de la Comisión Europea. |
| Anthropic PBC | Moderación automatizada de los contenidos publicados (análisis de imágenes y textos para detectar contenidos ilícitos o inapropiados) y apoyo al análisis estadístico agregado (previsiones internas del panel). Un contenido ocultado automáticamente se comunica a su autor con el motivo; su impugnación la revisa una persona. | Estados Unidos. | Anthropic Commercial Terms + DPA con la opción «zero data retention» (los contenidos no se conservan ni se usan para entrenamiento) + Cláusulas Contractuales Tipo de la Comisión Europea. |
| N8N | Flujos de automatización autoalojados (envío de correos programados, recordatorios del día anterior, supresión diferida a 30 días, exportación RGPD, notificación de subencargados). | OVHcloud Francia (VPS dedicado de Evora, infraestructura soberana). | Autoalojado: ninguna transferencia de datos fuera de la infraestructura de Evora. Los datos permanecen en Francia. |
| OVHcloud | Alojamiento del VPS en el que se ejecutan N8N y los servicios internos de Evora. | Francia (centros de datos de Roubaix, Estrasburgo y Gravelines, según la redundancia). | DPA de OVHcloud + datos almacenados exclusivamente en Francia. |
3. Modificaciones y notificación
Evora se reserva el derecho de añadir, sustituir o eliminar un subencargado en cualquier momento, siempre que se cumplan las siguientes condiciones:
- Notificación 30 días antes de la entrada en vigor, por correo electrónico a todos los organizadores y mediante la publicación de una nueva versión de esta página;
- Conservación de las versiones anteriores de esta página, disponibles a petición ante el DPO;
- Derecho de oposición del organizador en un plazo de 30 días, por correo a [email protected], por motivos razonables. A falta de acuerdo amistoso, el organizador puede cancelar su suscripción sin gastos.
Los usuarios que no son organizadores reciben información de los cambios a través de la Política de privacidad y, en caso de cambios sustanciales, mediante una notificación en la aplicación.
4. Garantías comunes
Todos los subencargados mencionados están sujetos a las siguientes obligaciones contractuales frente a Evora:
- tratar los datos únicamente siguiendo instrucciones documentadas de Evora;
- confidencialidad de las personas autorizadas para tratar los datos;
- medidas técnicas y organizativas de seguridad conformes al artículo 32 del RGPD;
- regulación de las transferencias fuera de la UE mediante Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914);
- notificar a Evora sin dilación indebida en caso de violación de datos;
- asistir a Evora en el ejercicio de los derechos de los interesados;
- suprimir o devolver los datos al finalizar el contrato de encargo;
- poner a disposición toda la información necesaria para demostrar el cumplimiento del RGPD (auditorías, certificaciones, informes SOC 2 / ISO 27001 cuando estén disponibles).
Para cualquier duda sobre los subencargados o para obtener una copia de un DPA concreto, escribe al DPO a [email protected].