English
Italiano
Español
Français
Deutsch
Português
ไทย
日本語
Última actualización: 25 de octubre de 2026 (versión 1.1).
1. Objeto
El presente documento identifica a los subencargados del tratamiento terceros contratados por GlobeID Limited
(«GlobeID») para tratar Datos Personales por cuenta de los Clientes en relación con los
servicios de PassportScan Cloud, de conformidad con el artículo 28, apartados 2 y 4, del RGPD.
Esta Lista de Subencargados del Tratamiento forma parte integrante del Acuerdo de Tratamiento de Datos (DPA).
2. Principios Generales
- Los subencargados del tratamiento se contratan únicamente cuando resulta estrictamente necesario para la prestación de los Servicios
- Todos los subencargados del tratamiento están vinculados por acuerdos escritos de protección de datos que imponen obligaciones no menos protectoras que las establecidas en el DPA
- GlobeID sigue siendo plenamente responsable de los actos y omisiones de sus subencargados del tratamiento, de conformidad con el artículo 28, apartado 4, del RGPD
- Las bases de datos centrales de la plataforma se alojan exclusivamente dentro de la Unión Europea (AWS eu-west-1 – Irlanda)
- Cuando se habilita el almacenamiento regional en S3, las imágenes de documentos se almacenan en la región de AWS correspondiente a la jurisdicción operativa del hotel
- No se ha configurado ninguna replicación entre regiones de las bases de datos centrales
- PassportScan Cloud no mantiene un Entorno de Datos de Titulares de Tarjetas (CDE)
3. Subencargados del Tratamiento Autorizados (Tabla Unificada)
| Subencargado del Tratamiento | Categoría de Servicio | Finalidad / Función | Categorías de Datos Tratados | Ubicación del Tratamiento |
|---|---|---|---|---|
| Amazon Web Services, Inc. (AWS) | Infraestructura en la Nube y Alojamiento | Alojamiento de servicios de aplicaciones, bases de datos, almacenamiento cifrado de objetos (S3), copias de seguridad, seguridad de la infraestructura | Datos de identidad, datos de reservas, registros, imágenes de documentos (cuando esté habilitado) | Núcleo: UE (Irlanda – eu-west-1). S3: región alineada con la jurisdicción del hotel — actualmente UE (Irlanda), Estados Unidos (us-east-1), Brasil (sa-east-1), Singapur (ap-southeast-1) y Australia (ap-southeast-2) |
| Clerk, Inc. | Identidad y Autenticación | Autenticación de usuarios, verificación de identidad, gestión del ciclo de vida de las sesiones | Dirección de correo electrónico, dirección IP, metadatos del dispositivo, tokens de sesión | Según lo divulgado en la documentación de Clerk |
| Datadog, Inc. | Registro y Supervisión | Supervisión de la infraestructura, supervisión del rendimiento de las aplicaciones, registro de seguridad, detección de anomalías | Registros de aplicaciones e infraestructura: metadatos de solicitudes y, cuando se capturan, contenido de solicitudes y respuestas; direcciones IP; eventos de autenticación; diagnósticos técnicos. Los datos personales y los secretos se enmascaran en los servicios antes de enviar los registros a Datadog | UE (sitio de Datadog en la UE – datadoghq.eu) |
| Google LLC (reCAPTCHA Enterprise) | Protección contra Bots y Prevención de Abusos | Protección contra bots y abusos para la aplicación de auto check-in orientada a los huéspedes | Direcciones IP de los huéspedes, señales del dispositivo y del navegador | Según lo divulgado por Google |
| Google LLC (Google Workspace) | Comunicaciones Empresariales | Correo electrónico y documentos utilizados para la correspondencia de atención al cliente; cualquier Dato Personal del Cliente es incidental a dicha correspondencia | Datos de contacto y contenido de la correspondencia de soporte (incidental) | Según lo divulgado por Google |
| Stripe, Inc. | Procesamiento de Pagos | Transacciones de compra de créditos y activación de cuentas | Tratados por Stripe: datos de tarjetas de pago, datos de facturación, identificadores de transacciones. Recibidos por PassportScan Cloud: ID de transacción, estado del pago, importe, divisa, correo electrónico de facturación (si se proporciona) | Según lo divulgado en la documentación de Stripe |
4. Exclusiones Expresas
- El OCR de documentos de identidad se realiza mediante un motor operado íntegramente dentro del propio entorno de AWS de GlobeID: las imágenes de documentos nunca se envían a un proveedor externo de OCR
- Las herramientas internas operadas por GlobeID (plataforma de operaciones, CI/CD, VPN) no constituyen subencargados del tratamiento terceros; el alojamiento subyacente está cubierto por la entrada de AWS indicada anteriormente
- Las herramientas de ingeniería de software utilizadas internamente, incluidas las herramientas de desarrollo asistido por IA, no tienen acceso a los Datos Personales del Cliente y, por tanto, no son subencargados del tratamiento
- Los entornos de desarrollo y pruebas no contienen Datos Personales del Cliente
- Ningún subencargado del tratamiento distinto de AWS, que como proveedor de alojamiento gestiona el cifrado en reposo del lado del servidor, tiene acceso a los datos de los documentos de identidad
- PassportScan Cloud no almacena ni trata números de tarjetas de pago sin cifrar, códigos CVV ni fechas de caducidad
- Stripe trata los datos de los titulares de tarjetas dentro de su infraestructura conforme a PCI-DSS
- No se ha habilitado ninguna replicación entre regiones de las bases de datos principales de producción
5. Transferencias Internacionales de Datos
Cuando los subencargados del tratamiento traten datos fuera del Espacio Económico Europeo (EEE),
GlobeID garantiza la aplicación de las garantías adecuadas, incluidas las Cláusulas
Contractuales Tipo (CCT) u otros mecanismos lícitos de transferencia, de conformidad con el Capítulo V del RGPD.
Para el almacenamiento regional en S3 fuera del EEE, las transferencias se basan en el Anexo de Tratamiento de Datos de AWS y en las CCT aplicables.
6. Actualizaciones y notificaciones
GlobeID podrá actualizar esta Lista de Subencargados periódicamente.
De conformidad con el artículo 28, apartado 2, del RGPD y con el mecanismo de notificación y el plazo de preaviso establecidos en el DPA, GlobeID informará a los Clientes con antelación de cualquier incorporación o sustitución prevista de subencargados, dando a los Clientes la oportunidad de oponerse, y publicará una Lista de
Subencargados actualizada.
Cuando así lo exija la legislación aplicable o el DPA, los Clientes podrán oponerse de conformidad con
el procedimiento contractual establecido en el DPA.
La versión más reciente de este documento se publicará siempre con la fecha de actualización.
