Versión 1.3 · Última actualización: 2 de septiembre de 2026
Subprocesadores y proveedores técnicos
La tabla distingue los datos verificados en la documentación pública del proveedor de las configuraciones que dependen de la cuenta de MenuXS. Los DPA y los términos referenciados se incorporan al contrato en línea correspondiente, salvo condiciones negociadas diferentes.
Infraestructura, comunicaciones y pagos
| Proveedor y finalidad | Ubicación y transferencias declaradas | Almacenamiento/configuración MenuXS |
|---|---|---|
| DigitalOcean Infraestructura, Spaces y CDN | Almacenamiento principal configurado en FRA1, Fráncfort. DPA con DPF y SCC como mecanismo de reserva; subprocesadores publicados por el proveedor. | Prefijo de importación de IA privado con caducidad máxima de 24 horas. Otros objetos permanecen durante la duración del servicio o hasta su eliminación. |
| Vercel Frontend y sitio web | Procesamiento principal declarado en Estados Unidos; DPA y SCC para transferencias aplicables. | Los registros de tiempo de ejecución dependen del plan (de 1 hora a 30 días). Ningún Log Drain debe recibir contenido personal sin actualizar esta página. |
| Stripe Suscripciones, facturación y pagos | Procesamiento global; DPA incorporado en el Acuerdo de Servicios de Stripe, DPF y SCC. Stripe puede actuar como procesador o controlador según la finalidad. | MenuXS conserva identificadores y estado de la transacción, no los datos completos de la tarjeta. Almacenamiento de Stripe según obligaciones financieras, antifraude y legales. |
| OpenAI (opcional, previo consentimiento) Medición y atribución de ChatGPT Ads | Procesamiento y posibles transferencias internacionales según los términos y garantías aplicables a los servicios publicitarios de OpenAI. | Activo solo con consentimiento de Marketing en el embudo de comercios. MenuXS envía eventos de conversión, referencias publicitarias seudónimas y datos técnicos; no se envían datos de clientes de restaurantes mediante este píxel. |
| MailerLite Lista de espera y boletín | Para clientes del EEE atendidos por la entidad europea, datos de suscriptores declarados en la UE (Países Bajos; Alemania para legacy). DPA y SCC; DPF cuando sea aplicable. | Hasta la revocación o la caducidad de la política de MenuXS; eliminación/supresión a través de la cuenta del proveedor. |
| MailerSend Correos electrónicos transaccionales | DPA con SCC y lista de subprocesadores; infraestructura declarada en Google Cloud EMEA. | Mensajes y registros según el plan y la configuración de la cuenta; eliminación a petición y dentro de los límites de las obligaciones del proveedor. |
| Twilio (opcional) SMS | Procesamiento global; DPA, SCC y Normas Corporativas Vinculantes del grupo. | No activo si las credenciales no están configuradas. Retención específica por producto y eliminación a través de funciones/API de Twilio. |
| Google / Apple (opcionales) Inicio de sesión social | Procesamiento según las condiciones del proveedor elegido y las transferencias internacionales declaradas. | MenuXS conserva el identificador del proveedor y el correo electrónico verificado; el enlace local se elimina en el flujo de eliminación de la cuenta. |
Importación de IA
| Proveedor | Uso y tratamiento declarado | Control de MenuXS |
|---|---|---|
| OpenRouter | Intermediario con procesamiento global y posible transferencia a EE. UU. DPA incorporado en los términos comerciales. Por defecto, no conserva prompts/completions salvo opción de registro. | Cada solicitud establece provider.zdr=true. El registro de entrada/salida y el almacenamiento en caché de respuestas no deben estar habilitados en la cuenta. El proveedor, el modelo y la región se registran por trabajo. |
| Google Gemini | Proveedor downstream predeterminado. Para servicios de pago, Google declara no entrenar con prompts/respuestas; pueden existir registros limitados anti-abuso y caché en memoria hasta 24 horas. | OpenRouter solo puede usar endpoints declarados ZDR. El modelo real se registra. |
| Cloudflare Workers AI | Analizador de PDF predeterminado configurable. Cloudflare declara no usar Contenido del Cliente para entrenamiento o mejora sin consentimiento; el almacenamiento solo se realiza si se utilizan servicios de almacenamiento separados. | El analizador real se registra; MenuXS no configura almacenamiento de Cloudflare para esta función. |
| Mistral AI | Analizador OCR alternativo. La exclusión del entrenamiento y ZDR son controles de organización; los modelos Labs pueden tener condiciones diferentes. | No se utiliza salvo configuración explícita mistral-ocr; antes de la activación se requieren ZDR, entrenamiento deshabilitado y verificación del DPA de la cuenta. |
Si el enrutamiento ZDR no encuentra un endpoint compatible, la importación debe fallar sin enviar los datos a un endpoint menos seguro. Los archivos cargados deben minimizarse y no contener datos personales innecesarios.
Modificaciones y objeciones
La introducción de un nuevo subprocesador se comunicará a los comerciantes con al menos 30 días de antelación, salvo sustituciones urgentes necesarias por seguridad o continuidad. El comerciante puede formular una objeción motivada escribiendo a privacy@menuxs.io o vía PEC a 3sigma@pec.it.
Controlador y contactos
3Sigma s.r.l.s. a socio único, Via Antonio Viri 16, 00124 Roma (RM), Italia; P.IVA 12847171001; REA RM-1404631. Oficina de Privacidad: privacy@menuxs.io; PEC 3sigma@pec.it.