Compartimos datos únicamente con encargados del tratamiento que actúan bajo nuestras instrucciones (Art. 28 RGPD):

Vercel Inc., alojamiento web, región Frankfurt (EU). Sirve la plataforma y mantiene logs de acceso técnicos.
Keycloak, sistema de identidad (alojamiento propio en la UE). Almacena credenciales de cuenta, tokens y sesiones.
Neon / PostgreSQL, base de datos del backend (UE). Guarda perfil, favoritos, recordatorios y reportes de feedback.
Resend, entrega de emails transaccionales (OTP de recuperación de contraseña, confirmaciones). Infraestructura europea.
DeepL SE, traducción automática del contenido editorial al alemán e inglés (UE). No procesa datos personales del usuario, sólo textos públicos del sitio.
Anthropic, PBC, generación del contenido editorial de las páginas de ciudad (titulares H1, FAQ y descripciones SEO) mediante el modelo Claude (EE.UU.). No enviamos datos personales a Anthropic, sólo el nombre de la ciudad y plantillas de prompt definidas por nosotros. La transferencia se realiza bajo las Cláusulas Contractuales Tipo de la Comisión Europea (Art. 46 RGPD).
Upstash, Inc., almacén Redis usado para el control de intentos abusivos contra los formularios de inicio de sesión, registro y recuperación de contraseña (rate limiting). Procesa, durante ventanas cortas (5–60 minutos), un identificador derivado de tu IP y, en su caso, el hash de tu correo, exclusivamente para contar los intentos. Servidores en la UE (Frankfurt). Base legal: Art. 6.1.f RGPD (interés legítimo en proteger las cuentas de los usuarios).
OpenStreetMap / CartoDB, tiles del mapa en las vistas de listado y detalle (UE).
Microsoft Clarity y Google Analytics 4, analítica web (EE.UU.). Sólo se activan si aceptas las cookies analíticas en el banner. La transferencia se realiza bajo el EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).
Umami Software, Inc. (EE.UU., servicio cloud.umami.is), analítica agregada sin cookies ni huella digital. No requiere consentimiento (§ 25.2 TTDSG). Transferencia bajo EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).
Sentry (Functional Software, Inc., EE.UU.), monitoreo de errores no controlados y trazas lentas. Recibe únicamente la traza del error y la URL (sin cuerpos, cabeceras ni cookies); las sesiones de reproducción (replay) sólo se activan con tu consentimiento analítico y enmascaran todo el texto y los formularios por defecto. Transferencia bajo EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).
Better Stack, Inc. (EE.UU.), centralización de logs del servidor y monitoreo de disponibilidad (uptime). Sólo recibe eventos del servidor sin PII en claro (los identificadores de usuario se pasan por un hash FNV-1a antes de salir de nuestra infraestructura). Transferencia bajo EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).
Google Ireland Limited / Google LLC, servicio Firebase Cloud Messaging, usado exclusivamente para entregar las notificaciones push de la app móvil. Recibe el token de notificación del dispositivo y el contenido del aviso; no le enviamos tu nombre, tu email ni tu ubicación. La transferencia a EE.UU. se realiza bajo el EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).
Cloudflare, Inc., almacenamiento de objetos (R2) para las imágenes de negocios, eventos y fotos de perfil. Transferencia bajo el EU-US Data Privacy Framework + Cláusulas Contractuales Tipo (Art. 46 RGPD).

No vendemos datos personales ni los compartimos con anunciantes externos al servicio. Hoy no trabajamos con ningún proveedor de marketing o publicidad (p. ej. píxeles de retargeting); si lo hiciéramos en el futuro, lo añadiríamos aquí y sólo se activaría con tu consentimiento expreso.