LISTA DE ENCARGADOS Y SUBENCARGADOS DEL TRATAMIENTO
Sitio web y documentos legales: https://ceresat.net · Plataforma: https://ceresat.app Versión: 1.0 · Última actualización: 03/08/2026
1. RESPONSABLE#
David Gabella Merino, empresario individual · NIF 70425461J · Calle Luis Ponce de León 9, 14011 Córdoba, Córdoba, España · david@ceresat.net · https://ceresat.net
2. QUÉ ES ESTA PÁGINA#
Esta es la relación actualizada de proveedores que tratan datos personales por cuenta de CERESAT. Cumple tres funciones:
- Da cumplimiento al deber de información sobre destinatarios (art. 13.1.e RGPD), y desarrolla el apartado 7 de la Política de Privacidad (https://ceresat.net/privacidad).
- Es la lista pública a la que remite la cláusula 11 del Contrato de Encargo del Tratamiento (https://ceresat.net/dpa) cuando CERESAT actúa como encargado de una cooperativa u otra entidad responsable, en régimen de autorización general de subencargados (arts. 28.2 y 28.4 RGPD).
- Sirve de referencia para el derecho de oposición a un alta o sustitución de proveedor descrito en el apartado 5.
Según el servicio, un mismo proveedor puede ser encargado (cuando el responsable es CERESAT) o subencargado (cuando el responsable es la entidad cliente). Las garantías exigidas son las mismas en ambos casos.
3. PROVEEDORES ACTUALES#
| Proveedor | Entidad y sede | Servicio | Datos tratados | Ubicación de los datos | Transferencia internacional | Garantía |
|---|---|---|---|---|---|---|
| Supabase | Supabase Inc. (EE. UU.) | Base de datos, autenticación y almacenamiento de ficheros | Cuenta, parcelas, cuaderno de campo, informes, ficheros subidos | Fráncfort (UE) — AWS eu-central-1 |
Posible acceso remoto desde EE. UU. | DPA del proveedor + CCT [verificar certificación DPF] |
| Render | Render Inc. (EE. UU.) | Alojamiento y cómputo de la aplicación | Datos en tránsito y logs de acceso | Fráncfort (UE) | Posible acceso remoto desde EE. UU. | DPA del proveedor + CCT [verificar certificación DPF] |
| Upstash | Upstash Inc. (EE. UU.) | Caché efímera (Redis) | Datos de sesión y caché | Fráncfort (UE) | Posible acceso remoto desde EE. UU. | DPA del proveedor + CCT [verificar certificación DPF] |
| Resend | Resend (EE. UU.) | Correo transaccional, incluidos informes PDF y mapas como adjuntos | Correo, nombre y datos de parcelas contenidos en el adjunto | Estados Unidos | Sí, directa | DPA del proveedor + CCT [verificar; migración a proveedor UE prevista] |
| Asesoría fiscal [pendiente de designar] | España | Obligaciones contables y fiscales | Datos de facturación | España | No | Contrato de encargo [pendiente de firma] |
Procesador de pagos: no aplicable. El cobro se realiza por transferencia o Bizum; CERESAT no trata datos de tarjeta.
Otros destinatarios que no son encargados y por tanto no figuran en esta tabla: la entidad bancaria, las Administraciones competentes y, ante requerimiento legítimo, juzgados y tribunales.
4. RECURSOS DE TERCEROS EN EL SITIO WEB PÚBLICO#
El sitio https://ceresat.net carga recursos servidos por terceros que, por la propia mecánica de HTTP, reciben la dirección IP del visitante y la cadena de agente de usuario. No instalan cookies ni identificadores en el navegador, y CERESAT no les transmite ningún otro dato:
| Recurso | Proveedor | Finalidad | Dato comunicado |
|---|---|---|---|
| Biblioteca cartográfica Leaflet y sus complementos | jsDelivr (Volentio JSDelivr S.L., España / red CDN) | Servir el código del mapa del formulario | IP y agente de usuario |
| Teselas del mapa base callejero y topográfico | OpenStreetMap Foundation (Reino Unido) | Mostrar el mapa donde el usuario dibuja su parcela | IP y agente de usuario |
| Teselas del mapa base satelital | Esri (EE. UU.) | Vista de ortofoto en el mismo mapa | IP y agente de usuario |
| Búsqueda de municipio o dirección | Nominatim — OpenStreetMap Foundation (Reino Unido) | Localizar la parcela por nombre de lugar | IP, agente de usuario y el texto buscado |
Estas conexiones solo se producen al cargar la página del formulario. La base jurídica es el interés legítimo en prestar la funcionalidad solicitada (art. 6.1.f RGPD). El sitio no incorpora analítica, publicidad, tipografías externas, vídeos incrustados ni botones de redes sociales.
Pendiente técnico: está prevista la autoalojación de la biblioteca cartográfica para eliminar la conexión a la red de distribución de contenidos, y la evaluación de un proveedor de teselas europeo. Hasta entonces, este apartado documenta la situación real.
5. ALTAS, SUSTITUCIONES Y OPOSICIÓN#
Cuando CERESAT actúa como encargado, el alta o sustitución de un subencargado se comunica al responsable con 30 días naturales de antelación. Dentro de ese plazo el responsable puede oponerse motivadamente por razones de protección de datos; si no se alcanza acuerdo, podrá resolver el contrato sin penalización, con reembolso proporcional y exportación de sus datos.
Para recibir estos avisos, o para solicitar copia de las garantías de transferencia internacional de cualquier proveedor, escriba a david@ceresat.net.
6. TRANSFERENCIAS INTERNACIONALES#
Los datos se almacenan en la Unión Europea (Fráncfort). Existen no obstante dos vías de transferencia a Estados Unidos: el proveedor de correo, porque los informes viajan como adjunto, y el acceso remoto del personal de los proveedores estadounidenses que alojan en la UE.
Ambas se amparan en el Capítulo V del RGPD: la Decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión (UE) 2023/1795) cuando el proveedor esté certificado y activo, y/o las Cláusulas Contractuales Tipo (Decisión (UE) 2021/914) con medidas suplementarias.
A solicitud del interesado o del responsable, CERESAT desactivará el envío de informes por correo para su cuenta; los documentos seguirán disponibles para descarga desde la plataforma.
7. ACTUALIZACIONES#
Esta lista se mantiene actualizada de forma continua y prevalece sobre cualquier relación de proveedores incluida en un anexo contractual de fecha anterior. La versión vigente es la publicada en https://ceresat.net/subencargados. Consultas: david@ceresat.net.
Antes de publicar#
Verificar la certificación DPF vigente de Supabase, Render, Upstash y Resend y firmar el DPA de cada uno · designar asesoría fiscal y firmar su contrato de encargo · confirmar que la red de distribución de contenidos y el proveedor de teselas siguen siendo los del apartado 4 tras cualquier cambio en el frontend · fijar el canal de aviso de altas y sustituciones (lista de correo o comunicación individual).
Documento redactado como borrador. No constituye asesoramiento jurídico.