Sub-encargados del tratamiento

Última actualización: 2 de septiembre de 2026

Esta página enumera las empresas que tratan datos personales por cuenta de Lulla (“sub-encargados”), qué datos reciben y dónde los tratan. Es la parte de la Política de Privacidad que cambia con más frecuencia, por eso vive por separado. Cualquier incorporación o sustitución de un sub-encargado significativo se anuncia aquí y en la aplicación con al menos 30 días de antelación a su entrada en vigor.

Sub-encargados activos

Sub-encargado	Rol	Datos tratados	Ubicación y transferencia
Supabase, Inc. (infraestructura de Amazon Web Services)	El backend de la aplicación: autenticación, base de datos, almacenamiento de fotos, sincronización, funciones de servidor. También envía los correos de cuenta (confirmación, restablecimiento de contraseña).	La cuenta (correo electrónico, sesión de autenticación), el perfil del progenitor, el perfil del bebé (nombre, fecha de nacimiento, sexo, foto), todos los datos registrados en la aplicación (sueño, tomas, pañales, temperaturas, crecimiento, vacunas y las fotos de la cartilla, medicamentos, momentos con fotos), el uso compartido en familia, los códigos de invitación, los mensajes del buzón de ideas con las posibles capturas de pantalla, eventos de uso (qué pantallas y funciones se utilizan, sin contenido).	Unión Europea: el proyecto está alojado en la región de AWS de Irlanda (eu-west-1). No hay transferencia fuera del EEE para estos datos.
Google LLC	Google Play: la suscripción Premium (pago, verificación de la compra), la autenticación opcional “Continuar con Google”, las reseñas dentro de la aplicación y la fuente de la instalación.	Para el pago: el identificador de la compra, el producto, el precio (Google procesa el pago como tienda, no nosotros). Para la autenticación con Google, solo si la eliges: la dirección de correo electrónico y un token de identidad. La fuente de la instalación (referrer de Play). Sin datos sobre el bebé.	EE. UU. Transferencia sobre la base de las cláusulas contractuales tipo y del Marco UE-EE. UU. de Privacidad de Datos, conforme a los términos de Google.
AppsFlyer Ltd.	Medición de las campañas de promoción: de qué anuncio provino una instalación y si condujo a una suscripción. Activo solo si has aceptado la opción de marketing en el primer inicio (se puede retirar desde Ajustes).	El identificador de publicidad del dispositivo, un identificador AppsFlyer del dispositivo, la fuente de la instalación, datos técnicos sobre el dispositivo y la aplicación, y eventos: la finalización de la configuración, la visualización del paywall, el inicio del período de prueba, la compra (con el importe). Sin nombre, sin datos sobre el bebé, sin contenido.	Israel y EE. UU., con cláusulas contractuales tipo conforme al contrato de encargado del tratamiento de AppsFlyer.
RevenueCat, Inc.	Análisis de las suscripciones (ingresos, renovaciones, cancelaciones). No vende nada ni decide el acceso a las funciones; solo recibe una copia de los datos de compra.	Un identificador seudónimo de usuario, los datos de la suscripción de Google Play (producto, precio, estado) y, si has aceptado el marketing, el identificador AppsFlyer y la fuente de la campaña. Sin correo electrónico, sin nombre, sin datos sobre el bebé.	EE. UU., con cláusulas contractuales tipo conforme al contrato de encargado del tratamiento de RevenueCat.
Vercel Inc.	El alojamiento del sitio web getlulla.app: la entrega de las páginas, su renderizado y las rutas API del sitio (el formulario del boletín, los eventos de uso del sitio web).	Dirección IP, user-agent, URL accedida, referrer, timestamp, país derivado de la IP. Sin datos sobre el bebé.	El contenido se entrega desde la red europea (Fráncfort), pero las funciones de servidor se ejecutan en EE. UU. (Washington D.C.), con cláusulas contractuales tipo conforme al contrato de encargado del tratamiento de Vercel.
Resend, Inc.	El envío de los correos desde el sitio web: el mensaje de bienvenida al boletín, el horario de sueño en formato PDF y la notificación interna de una nueva suscripción.	La dirección de correo electrónico, el idioma, el contenido del correo enviado y el estado de la entrega. Sin nombre, sin datos sobre el bebé, sin datos de pago.	EE. UU., con cláusulas contractuales tipo conforme al contrato de encargado del tratamiento de Resend.

Supabase, Inc. (infraestructura de Amazon Web Services)

Rol: El backend de la aplicación: autenticación, base de datos, almacenamiento de fotos, sincronización, funciones de servidor. También envía los correos de cuenta (confirmación, restablecimiento de contraseña).
Datos tratados: La cuenta (correo electrónico, sesión de autenticación), el perfil del progenitor, el perfil del bebé (nombre, fecha de nacimiento, sexo, foto), todos los datos registrados en la aplicación (sueño, tomas, pañales, temperaturas, crecimiento, vacunas y las fotos de la cartilla, medicamentos, momentos con fotos), el uso compartido en familia, los códigos de invitación, los mensajes del buzón de ideas con las posibles capturas de pantalla, eventos de uso (qué pantallas y funciones se utilizan, sin contenido).
Ubicación y transferencia: Unión Europea: el proyecto está alojado en la región de AWS de Irlanda (eu-west-1). No hay transferencia fuera del EEE para estos datos.

Google LLC

Rol: Google Play: la suscripción Premium (pago, verificación de la compra), la autenticación opcional “Continuar con Google”, las reseñas dentro de la aplicación y la fuente de la instalación.
Datos tratados: Para el pago: el identificador de la compra, el producto, el precio (Google procesa el pago como tienda, no nosotros). Para la autenticación con Google, solo si la eliges: la dirección de correo electrónico y un token de identidad. La fuente de la instalación (referrer de Play). Sin datos sobre el bebé.
Ubicación y transferencia: EE. UU. Transferencia sobre la base de las cláusulas contractuales tipo y del Marco UE-EE. UU. de Privacidad de Datos, conforme a los términos de Google.

AppsFlyer Ltd.

Rol: Medición de las campañas de promoción: de qué anuncio provino una instalación y si condujo a una suscripción. Activo solo si has aceptado la opción de marketing en el primer inicio (se puede retirar desde Ajustes).
Datos tratados: El identificador de publicidad del dispositivo, un identificador AppsFlyer del dispositivo, la fuente de la instalación, datos técnicos sobre el dispositivo y la aplicación, y eventos: la finalización de la configuración, la visualización del paywall, el inicio del período de prueba, la compra (con el importe). Sin nombre, sin datos sobre el bebé, sin contenido.
Ubicación y transferencia: Israel y EE. UU., con cláusulas contractuales tipo conforme al contrato de encargado del tratamiento de AppsFlyer.

RevenueCat, Inc.

Rol: Análisis de las suscripciones (ingresos, renovaciones, cancelaciones). No vende nada ni decide el acceso a las funciones; solo recibe una copia de los datos de compra.
Datos tratados: Un identificador seudónimo de usuario, los datos de la suscripción de Google Play (producto, precio, estado) y, si has aceptado el marketing, el identificador AppsFlyer y la fuente de la campaña. Sin correo electrónico, sin nombre, sin datos sobre el bebé.
Ubicación y transferencia: EE. UU., con cláusulas contractuales tipo conforme al contrato de encargado del tratamiento de RevenueCat.

Vercel Inc.

Rol: El alojamiento del sitio web getlulla.app: la entrega de las páginas, su renderizado y las rutas API del sitio (el formulario del boletín, los eventos de uso del sitio web).
Datos tratados: Dirección IP, user-agent, URL accedida, referrer, timestamp, país derivado de la IP. Sin datos sobre el bebé.
Ubicación y transferencia: El contenido se entrega desde la red europea (Fráncfort), pero las funciones de servidor se ejecutan en EE. UU. (Washington D.C.), con cláusulas contractuales tipo conforme al contrato de encargado del tratamiento de Vercel.

Resend, Inc.

Rol: El envío de los correos desde el sitio web: el mensaje de bienvenida al boletín, el horario de sueño en formato PDF y la notificación interna de una nueva suscripción.
Datos tratados: La dirección de correo electrónico, el idioma, el contenido del correo enviado y el estado de la entrega. Sin nombre, sin datos sobre el bebé, sin datos de pago.
Ubicación y transferencia: EE. UU., con cláusulas contractuales tipo conforme al contrato de encargado del tratamiento de Resend.

Sub-encargados anunciados, todavía no activos

Sub-encargado	Rol	Datos tratados	Ubicación y transferencia	Fecha de entrada en vigor
Anthropic, PBC	El asistente conversacional “Lulla AI” (suscripción Premium, función opcional, activada solo tras la aceptación de sus términos).	Los mensajes escritos o dictados en la conversación, las imágenes adjuntas, resúmenes de los datos del bebé necesarios para la pregunta (sueño, tomas, pañales, temperaturas, crecimiento, vacunas, medicamentos), el nombre, la edad y el sexo del bebé, el idioma de la aplicación. No se utilizan para el entrenamiento de los modelos. Las conversaciones permanecen únicamente en el teléfono. El dictado por voz utiliza el servicio de reconocimiento de voz del teléfono, no nuestros servidores.	EE. UU., con cláusulas contractuales tipo incluidas en el contrato de encargado del tratamiento celebrado con Anthropic.	Como muy pronto, el 2 de octubre de 2026
PostHog, Inc.	Estadísticas sobre el uso de la aplicación (qué funciones se utilizan, retención), sin contenido y sin identificar a la persona. Actualmente no está activo.	Eventos de uso vinculados a un identificador seudónimo de la instalación, el país y la versión de la aplicación. Sin nombre, correo electrónico, contenido ni datos sobre el bebé. Solo con la aceptación de la opción de marketing.	Unión Europea (alojamiento PostHog EU, Alemania).	Sin fecha prevista; te lo anunciaremos con 30 días de antelación

Anthropic, PBC

Rol: El asistente conversacional “Lulla AI” (suscripción Premium, función opcional, activada solo tras la aceptación de sus términos).
Datos tratados: Los mensajes escritos o dictados en la conversación, las imágenes adjuntas, resúmenes de los datos del bebé necesarios para la pregunta (sueño, tomas, pañales, temperaturas, crecimiento, vacunas, medicamentos), el nombre, la edad y el sexo del bebé, el idioma de la aplicación. No se utilizan para el entrenamiento de los modelos. Las conversaciones permanecen únicamente en el teléfono. El dictado por voz utiliza el servicio de reconocimiento de voz del teléfono, no nuestros servidores.
Ubicación y transferencia: EE. UU., con cláusulas contractuales tipo incluidas en el contrato de encargado del tratamiento celebrado con Anthropic.
Fecha de entrada en vigor: Como muy pronto, el 2 de octubre de 2026

PostHog, Inc.

Rol: Estadísticas sobre el uso de la aplicación (qué funciones se utilizan, retención), sin contenido y sin identificar a la persona. Actualmente no está activo.
Datos tratados: Eventos de uso vinculados a un identificador seudónimo de la instalación, el país y la versión de la aplicación. Sin nombre, correo electrónico, contenido ni datos sobre el bebé. Solo con la aceptación de la opción de marketing.
Ubicación y transferencia: Unión Europea (alojamiento PostHog EU, Alemania).
Fecha de entrada en vigor: Sin fecha prevista; te lo anunciaremos con 30 días de antelación

Qué no utilizamos

No utilizamos redes publicitarias en la aplicación, servicios de notificaciones push (todos los recordatorios se generan en el teléfono) ni servicios de notificación de errores, y no vendemos datos a nadie.

Historial

2 de septiembre de 2026: primera publicación de la página; anuncio de Anthropic (Lulla AI) y PostHog. Incorporación de Vercel (alojamiento del sitio web) y Resend (correos enviados desde el sitio web); corrección de la región de Supabase a Irlanda (eu-west-1).