Subprocesadores
Encargados del tratamiento de datos (Art.28 RGPD)
Este documento tiene carácter informativo. No constituye asesoramiento jurídico. Para su interpretación aplicada a tu situación concreta, consulta con un profesional.
Subprocesadores
Alethexis recurre a los siguientes subprocesadores para la prestación del servicio. Todos tratan datos por cuenta del cliente (responsable del tratamiento) bajo acuerdo de tratamiento de datos (Art. 28 RGPD).
| Proveedor | Finalidad | Datos tratados | Ubicación | Mecanismo de garantía |
|---|---|---|---|---|
| Supabase | Base de datos, almacenamiento, autenticación y funciones | Todos los datos del producto | UE — Frankfurt (eu-central-1) | DPA Supabase + SCC (entidad US) |
| Vercel | Hosting de la aplicación y red Edge | Logs HTTP, metadatos de solicitud | EE. UU. (procesamiento primario) + edge global | EU-US DPF + SCC |
| Cloudflare | DNS proxy, CDN, WAF y Turnstile (captcha) | IP y señales de navegador de visitantes | EE. UU. (proxy sobre todo el tráfico) | EU-US DPF + SCC |
| Stripe Payments Europe | Procesamiento de pagos | Datos de pago | EE. UU. (+ India) | SCC + EU-US DPF |
| Resend | Envío de email transaccional | Email del destinatario y contenido del mensaje | EE. UU. (envío vía SES eu-west-1) | SCC + EU-US DPF |
| Google Workspace | Correo entrante y comunicación con clientes | Contenido del correo y datos del remitente | EE. UU. / UE (Google Ireland) | SCC + EU-US DPF |
| Holded | Facturación legal | Datos fiscales del cliente (NIF, razón social, importes) | España (entidad); subencargados US (GCP, MongoDB Atlas, Salesforce) | DPA Holded + SCC (subencargados) |
| Sentry | Monitorización de errores | Trazas de error (con scrubbing de PII), metadatos | UE — Frankfurt | DPA Sentry (configuración EU) |
Proveedores internos (sin acceso a datos de cliente)
Los siguientes proveedores forman parte de nuestro entorno de desarrollo y operación interna. No tratan datos productivos de cliente. Se listan por transparencia.
| Proveedor | Finalidad | Datos tratados | Ubicación |
|---|---|---|---|
| GitHub | Repositorio de código fuente | Código fuente. No datos de cliente | EE. UU. (cláusulas contractuales tipo) |
| Anthropic | Modelos Claude usados en desarrollo | Únicamente prompts y código de desarrollo. No datos productivos de cliente | EE. UU. / UE según endpoint |
Transferencias internacionales
Los datos de producto se alojan en la Unión Europea (Frankfurt). Algunos encargados que dan soporte al servicio tratan datos personales fuera del EEE (Estados Unidos), amparados por garantías de transferencia conformes al capítulo V del RGPD: cláusulas contractuales tipo (Art. 46.2) y, cuando aplica, el marco EU-US Data Privacy Framework. La ubicación y el mecanismo de cada encargado se detallan en la tabla anterior.
Notificación de cambios. Cualquier alta de un nuevo subprocesador se notifica a los clientes con 30 días de antelación mediante email y aviso en el producto. Los clientes pueden objetar conforme al acuerdo de tratamiento de datos.