Respuesta corta: tus datos analíticos residen en la UE. La base de datos primaria está alojada por Supabase en Frankfurt (eu-central-1), y las solicitudes en el edge se sirven desde la red distribuida globalmente de Cloudflare, con los puntos de presencia (POP) europeos tomando el salto más cercano para visitantes europeos.
Almacenamiento primario: UE (Frankfurt)
La base de datos Postgres de Supabase que contiene tus eventos analíticos, registros de visitantes, sitios web, datos de equipo y registro de auditoría se ejecuta en eu-central-1 (Frankfurt, Alemania). Esto es así para todos los clientes de Zenovay independientemente del plan.
Los datos comprometidos a Postgres permanecen en la UE. Las copias de seguridad están cifradas en reposo y se almacenan en la misma región.
Edge: distribución global, persistencia residente en la UE
Las solicitudes de seguimiento se sirven con Cloudflare Workers, que se ejecutan en el punto de presencia más cercano disponible para baja latencia. Los Workers no persisten datos — validan eventos y los reenvían al almacén primario de la UE. Los POP de Frankfurt, Ámsterdam, París y Londres son los saltos típicos para el tráfico europeo.
KV (contadores de límite de tasa, recuentos de visitantes en tiempo real) está replicado geográficamente pero se trata como caché efímera — todo lo sensible se hashea antes de aterrizar en KV, y las entradas KV expiran con un TTL corto.
Transferencias internacionales
Algunos de nuestros subencargados están en EE. UU. y procesan pequeñas porciones de tus datos:
- Stripe (pagos) — correo de facturación, metadatos del método de pago. Certificado PCI DSS Nivel 1.
- Resend (correos transaccionales) — tu dirección de correo y el contenido del mensaje.
- OpenAI vía Cloudflare AI Gateway (las funciones de IA Insights y chat, cuando las usas) — la consulta en lenguaje natural que envías y un fragmento redactado de la analítica necesaria para responder.
Para estas transferencias nos basamos en:
- El Marco de Privacidad de Datos UE-EE. UU. (DPF) cuando el destinatario está certificado por DPF.
- Cláusulas Contractuales Estándar (CCT) con medidas técnicas adicionales como mecanismo de respaldo.
La lista completa de subencargados y el mecanismo de transferencia internacional para cada uno está publicada en nuestra página DPA / legal.
¿Y los eventos analíticos?
Los eventos de visitantes (páginas vistas, eventos personalizados, geolocalización, IDs hasheados) nunca salen del almacenamiento primario de la UE excepto en dos casos:
- Cuando los exportas a través del panel o la API — entonces tú controlas dónde reside la exportación.
- Cuando activas la función IA Insights — un agregado redactado se envía a OpenAI para generar la explicación, y no se conserva para entrenamiento.