Proveedores y subencargados del tratamiento

Traducción de cortesía. En caso de discrepancia, prevalece el texto italiano.

Este documento enumera los Proveedores a los que Business Gates S.r.l. (en adelante, BGates) recurre para prestar el Servicio BGates: qué hace cada uno, qué datos personales recibe, dónde se encuentra, con qué papel los trata y —cuando los datos salen del Espacio Económico Europeo (EEE)— en qué garantía se basa esa salida.

Se refiere al modelo GT PRO 4G y al Servicio vinculado. No se refiere a los modelos anteriores que funcionan solo con mensajes SMS ni al canal Bluetooth.

Es un documento informativo: se lee, no se acepta. Pero no es solo informativo en las relaciones con el Cliente: forma parte integrante del Acuerdo de tratamiento de datos personales (/dpa) por remisión, con arreglo al art. 28, apdo. 2, del Reglamento (UE) 2016/679 («RGPD»). La autorización general a los subencargados del tratamiento que el Cliente da con ese Acuerdo se refiere a la lista que encuentras aquí, en su versión vigente.

Si quieres saber con qué finalidades tratamos los datos y qué puedes solicitar, lee la Información sobre la protección de datos personales (/privacy). Si quieres saber durante cuánto tiempo los conservamos, lee la Política de conservación de los datos (/conservazione).

1. Cómo se lee esta lista

Papel. Un Proveedor puede estar en tres posiciones distintas, y la diferencia no es formal:

• encargado del tratamiento (art. 28 RGPD): trata datos por cuenta nuestra, solo siguiendo nuestras instrucciones, y no puede usarlos para sí. Cuando los datos son aquellos de los que el Cliente es Responsable —los Números habilitados, la Agenda interna del Aparato, el Registro de aperturas de su Acceso—, ese Proveedor es subencargado del tratamiento en el sentido del Acuerdo de tratamiento de datos;
• encargado de tratamientos de los que BGates es Responsable: trata por cuenta nuestra datos sobre los que decidimos nosotros (seguridad, diagnóstico del Aparato, facturación). No es un subencargado del Cliente, y en el Acuerdo de tratamiento de datos no figura como tal;
• responsable del tratamiento independiente: decide él los fines y los medios de su propio tratamiento, por obligaciones o finalidades propias. Nosotros no podemos darle instrucciones sobre esa parte.

Garantía para la transferencia. Solo se aplica a quien trata datos fuera del Espacio Económico Europeo. Puede ser: decisión de adecuación —para Estados Unidos, la inscripción en la lista del Data Privacy Framework (art. 45 RGPD)—; cláusulas contractuales tipo adoptadas por la Comisión Europea (art. 46, apdo. 2, letra c, RGPD), acompañadas de una evaluación de la transferencia; o bien ninguna, y en ese caso lo escribimos. La sección 7 explica cómo estamos completando esta columna.

Actualizada el. Es la fecha en la que comprobamos la línea. Una línea no comprobada no se deja sin fecha: se escribe lo que falta.

Cuando falta un dato, lo escribimos. Donde una línea todavía no se ha verificado, la tabla lo dice con sus propias palabras —«no verificada», «ninguna vigente»— en lugar de dejar un vacío que parezca una confirmación. La sección 11 recoge todos los puntos todavía abiertos.

2. Proveedores que tratan datos por cuenta del Cliente (subencargados del tratamiento)

Son los que afectan a los datos de los que el Cliente es Responsable: los Números habilitados, los nombres y los números que pasan por las Invitaciones, el contenido de las conversaciones de asistencia, el Registro de aperturas en la medida en que reside en sus sistemas.

Dos hechos que afectan a estas líneas y que no caben en una celda.

El texto de algunas notificaciones push contiene hoy el número de teléfono de quien ha solicitado ser habilitado desde un QR permanente. Ese número pasa por el servicio de notificaciones. La decisión adoptada es quitarlo del texto: una notificación que dice «Nueva solicitud de acceso — abre la app» te da la misma información sin hacer salir el número de un tercero.

El envío de los SMS de respaldo usa hoy una conexión no cifrada con la pasarela del proveedor. Es un hecho, y lo escribimos: el paso a una conexión cifrada está entre los puntos abiertos de la sección 11.

3. Proveedores para tratamientos de los que BGates es Responsable

No son subencargados del Cliente: tratan datos con finalidades que decidimos nosotros (facturación, conectividad del Aparato, diagnóstico de la red, estadísticas del sitio web). Los enumeramos aquí porque quien lee tiene derecho a saber adónde van a parar sus datos, no porque la cadena del art. 28 los incluya.

Sobre beaconDB. Recibe solo los identificadores de la celda, nunca el identificador del Aparato, el número de serie ni datos identificativos personales.

Puedes pedirnos que desactivemos la posición por celda para tu Aparato: escribe a info@bgates.it. El diagnóstico de la red pierde precisión, el Servicio sigue funcionando.

4. Terceros con los que se comunica directamente tu navegador

Esta línea es distinta de las demás: ningún dato pasa por nosotros. Es tu navegador el que se conecta con el tercero, y lo que le llega al tercero es tu dirección IP con los datos técnicos de la solicitud.

El mapa debe estar detrás de un toque. Así está diseñado: el mapa no se carga solo, aparece un recuadro con el botón «Mostrar mapa» y solo si lo tocas tu navegador se comunica con OpenStreetMap.

6. Proveedores que no figuran en esta lista, y por qué

Además, cuando procede, comunicamos datos a las autoridades que los soliciten en los casos previstos por la ley. Las autoridades no son Proveedores: cada solicitud se comprueba y se registra antes de atenderla.

No vendemos datos, no los cedemos a nadie para finalidades propias de terceros, y no hay ninguna herramienta de medición del comportamiento de los usuarios en nuestras páginas: ninguna estadística de terceros, ningún contador publicitario, ningún servicio de recogida de errores.

7. Transferencias fuera del Espacio Económico Europeo

Nuestros servidores están en Alemania. Algunos Proveedores, sin embargo, tratan datos en Estados Unidos: el canal de WhatsApp en la fase posterior a la entrega, el proveedor de pagos, los servicios de notificaciones push y, solo para quien acepta las estadísticas del sitio web, Google Analytics.

Sobre qué base. Hacia una organización estadounidense inscrita en la lista del Data Privacy Framework del Departamento de Comercio, la transferencia se basa en la Decisión de Ejecución (UE) 2023/1795 de la Comisión Europea, de 10 de julio de 2023 (art. 45 RGPD), y no requiere los instrumentos del art. 46. La decisión está vigente: fue confirmada en primera instancia por el Tribunal General de la Unión Europea el 3 de septiembre de 2025 (asunto T-553/23), y el recurso de casación está pendiente. Hacia una organización no inscrita, la transferencia se basa en las cláusulas contractuales tipo adoptadas por la Comisión (art. 46, apdo. 2, letra c, RGPD), acompañadas de una evaluación de la transferencia.

Las cláusulas contractuales tipo siguen en vigor también con los Proveedores inscritos: no se dan de baja porque «total, ya está la decisión de adecuación». Si la decisión se anulara, la transferencia seguiría cubierta sin interrupción.

Cómo comprobamos las garantías. La inscripción en la lista del Data Privacy Framework se comprueba entidad por entidad en la lista oficial; la última comprobación es del 22 de septiembre de 2026. Las cláusulas contractuales tipo siguen en vigor en todo caso, de modo que la transferencia queda cubierta aunque la inscripción dejara de existir.

Puedes pedirnos una copia de las garantías que se aplican a una determinada transferencia escribiendo a info@bgates.it: te respondemos en el plazo de un mes.

8. Los acuerdos con los Proveedores

Con cada Proveedor que trata datos por cuenta nuestra debe existir un acuerdo de tratamiento con arreglo al art. 28 RGPD, y a cada subencargado le imponemos por contrato las mismas obligaciones que el Acuerdo de tratamiento de datos nos impone a nosotros frente al Cliente (art. 28, apdo. 4). Respondemos frente al Cliente del incumplimiento de nuestros subencargados como del nuestro propio.

netcup GmbH. El acuerdo de tratamiento de netcup (Auftragsverarbeitungsvertrag, AVV) está disponible en el panel de cliente del proveedor y debe firmarse allí. Los servidores que alojan el Servicio se encuentran en Núremberg, Alemania: para el alojamiento no hay ninguna transferencia fuera del Espacio Económico Europeo, y no hace falta ninguna garantía del art. 46 para esta línea.

9. Durante cuánto tiempo se conservan los datos

Los plazos de conservación están todos en la Política de conservación de los datos (/conservazione), que prevalece sobre cualquier cifra indicada en otro lugar. Aquí figuran solo los que se refieren a lo que pasa por un Proveedor, porque es la pregunta que surge al leer esta lista.

Durante cuánto tiempo se conservan los datos en el Proveedor lo establece el contrato con ese Proveedor.

10. Cómo cambia esta lista, y cómo se te avisa

Incorporar o sustituir un Proveedor que trata datos por cuenta del Cliente es una modificación sustancial. El procedimiento es este, y se aplica también cuando cambia solo el país en el que un Proveedor ya presente trata los datos:

1. Preaviso de 15 días. Escribimos al Cliente a la dirección de email de la Cuenta, indicando quién entra o quién cambia, qué tratará, dónde y con qué garantía para la transferencia. En el mismo momento publicamos la nueva versión de este documento, con la nueva fecha.
2. Oposición. Dentro de esos 15 días el Cliente puede oponerse por escrito, por motivos relacionados con la protección de datos. Buscamos de buena fe una solución alternativa en un plazo de 30 días; si no la encontramos, el Cliente puede desistir de la parte del Servicio afectada o de la Suscripción sin penalización, con reembolso de la cuota pagada y no disfrutada.
3. Hasta el vencimiento del preaviso no confiamos a ese Proveedor los datos del Cliente, salvo que ello haga imposible prestar el Servicio: en ese caso lo declaramos en la comunicación, para que la elección sea informada.
4. Sustitución urgente. Si un Proveedor deja de prestar el servicio o deja de ser fiable, podemos sustituirlo con un preaviso más breve: informamos al Cliente en un plazo de 5 días desde la sustitución, explicando el motivo. El derecho de oposición se mantiene, con los mismos efectos.
5. Quien no es Cliente —el Usuario, el visitante— no recibe una comunicación individual, porque no tenemos con él una relación contractual y a menudo no tenemos un dato de contacto suyo distinto del número que otra persona nos ha dado. Para ellos vale la publicación aquí, con la fecha, y la comunicación a quien tiene una Cuenta.

Las correcciones de forma —una errata, un nombre mejor escrito, una línea más clara— actualizan la fecha de comprobación de la línea pero no activan el preaviso ni cambian la versión.

Retirar un Proveedor no requiere preaviso: lo escribimos aquí y en la comunicación siguiente.

Estos plazos coinciden con los de la sección 14 del Acuerdo de tratamiento de datos personales (/dpa). Si los dos textos llegaran a divergir, prevalece este documento, que es la lista actualizada a la que remite ese Acuerdo.

11. Qué no está todavía verificado, a 22 de septiembre de 2026

Lo escribimos aquí en lugar de dejar que se intuya por las tablas. Son los puntos abiertos en la fecha de esta versión, y cada uno de ellos se cierra con una nueva versión de este documento:

• los acuerdos de tratamiento con cada Proveedor: existencia, fecha, contenido (sección 8);
• la comprobación nombre por nombre en la lista del Data Privacy Framework, con las categorías cubiertas y la fecha (sección 7);
• la entidad contratante y el país de beaconDB, el servicio que transforma el identificador de celda en posición;
• el paso del envío de SMS a una conexión cifrada;
• los plazos de conservación aplicados por cada Proveedor a los datos que recibe;
• la calificación contractual del operador de la SIM: Responsable, encargado, o ambos para partes distintas.

Una precisión sobre el nombre del proveedor de los SMS. El proveedor que entrega los SMS de respaldo es Commify Italia S.r.l.; Skebby es solo la marca comercial con la que opera. En una lista de subencargados a la que remite el art. 28, apdo. 2, y en una información sobre protección de datos de los arts. 13-14, el nombre completo de la entidad que contrata es el contenido mismo de la obligación, no una formalidad: por eso en la tabla figura la denominación social y no la marca.

Modificaciones de este documento

Este documento cambia cuando cambia un Proveedor, cuando cambia la garantía que cubre una transferencia o cuando se cierra una de las comprobaciones de la sección 11. Las modificaciones que afectan a los subencargados siguen el procedimiento de la sección 10, con el preaviso de 15 días y el derecho de oposición previsto en ella.

Versión 2026.10.27-1 — en vigor desde el 27 de octubre de 2026. Cuando cambiemos algo sustancial —una finalidad nueva, un proveedor nuevo, un plazo de conservación más largo— publicaremos aquí la nueva versión, con su fecha, y si tienes una Cuenta te lo comunicaremos por email. Este documento no se acepta: se lee, y no te pedimos que marques ninguna casilla. Las correcciones de forma no cambian la versión. Las versiones anteriores siguen disponibles a petición en info@bgates.it.