Registro de subencargados y proveedores
Quién trata qué, con qué papel y bajo qué garantía
Qué recoge este registro
Que un tercero trate algún dato relacionado con Alethexis no lo convierte en subencargado del Cliente. El papel depende de qué datos trata y con qué finalidad. Este registro distingue tres bloques.
«Datos del producto»: datos, documentos y ficheros que el Cliente y sus Usuarios introducen, importan o generan en el Servicio, incluidos inventarios, clasificaciones, evaluaciones, políticas, evidencias y documentos generados, contengan o no datos personales. El Acuerdo de Encargo del Tratamiento regula exclusivamente el tratamiento de los datos personales comprendidos en esos Datos del producto que Alethexis realiza por cuenta del Cliente. Los datos tratados por Alethexis como responsable independiente se rigen por la Política de privacidad.
Este registro es la lista viva a la que remiten el Acuerdo de Encargo del Tratamiento (Anexo II) y la Política de privacidad. Se actualiza cuando cambia el proveedor, la entidad contratante, la región, la finalidad o el mecanismo de transferencia.
Bloque 1 — Subencargados del Acuerdo de Encargo del Tratamiento
Tratan los datos personales comprendidos en los Datos del producto por cuenta del Cliente, con arreglo al Art. 28 del Reglamento (UE) 2016/679. Son los únicos a los que alcanza el aviso previo de 30 días y el derecho de objeción del Cliente.
| Proveedor | Finalidad | Datos tratados | Ubicación | Mecanismo de garantía |
|---|---|---|---|---|
| Supabase | Base de datos, autenticación, almacenamiento y funciones de servidor | Todos los datos del producto | UE — Frankfurt (eu-central-1); entidad en Singapur | DPA Supabase + cláusulas contractuales tipo (Art. 46.2.c) para el acceso desde la entidad en Singapur |
| Vercel | Alojamiento de la aplicación y funciones serverless en región UE (fra1); red edge global | Logs HTTP y metadatos de solicitud; datos del producto en tránsito | Cómputo en UE (fra1); red edge global; entidad en EE. UU. | DPA Vercel + cláusulas contractuales tipo (Art. 46.2.c) + Marco de Privacidad de Datos UE-EE. UU. |
| Cloudflare | Proxy DNS, CDN, WAF y Turnstile (protección antiabuso) | Datos en tránsito, IP y señales de navegador | EE. UU. (proxy sobre todo el tráfico) | DPA Cloudflare + cláusulas contractuales tipo (Art. 46.2.c) + Marco de Privacidad de Datos UE-EE. UU. |
Bloque 2 — Proveedores de Alethexis como responsable
Tratan Datos de Cuenta, datos fiscales, direcciones y contenido de correo, y lo hacen para finalidades propias de Alethexis: pagos, facturación y comunicaciones. No reciben los datos personales comprendidos en los Datos del producto, por lo que no son subencargados del Cliente aunque sí sean encargados de Alethexis.
| Proveedor | Finalidad | Datos tratados | Ubicación | Mecanismo de garantía |
|---|---|---|---|---|
| Stripe Payments Europe, Ltd. | Pagos y suscripciones | Datos de pago y de facturación. No recibe los datos personales comprendidos en los Datos del producto | Irlanda; transferencia a Stripe, LLC (EE. UU.); subencargados en EE. UU., India y Canadá | DPA Stripe (encargado o responsable independiente según la operación) + cláusulas contractuales tipo (Art. 46.2.c) + Marco de Privacidad de Datos UE-EE. UU. |
| Holded Technologies, S.L. | Facturación Veri*factu y contabilidad | Datos fiscales del Cliente (NIF, razón social, importes) | España; alojamiento en la UE; Salesforce en EE. UU. | DPA Holded · sin transferencia propia; subencargados fuera del EEE: cláusulas contractuales tipo (Art. 46.2.c) |
| Resend (Plus Five Five, Inc.) | Correo transaccional a los usuarios | Dirección del destinatario y contenido del mensaje de cuenta. No recibe los datos personales comprendidos en los Datos del producto | EE. UU. (almacenamiento, sea cual sea la región de envío); envío vía eu-west-1 | DPA Resend + cláusulas contractuales tipo (Art. 46.2.c) + Marco de Privacidad de Datos UE-EE. UU. |
| Google Workspace | Correo electrónico y calendario de Alethexis | Contenido del correo y sus adjuntos, datos de remitentes y destinatarios, y citas de calendario con sus asistentes | Entidad en Irlanda; tratamiento en centros de datos de Google y de sus subencargados, dentro y fuera de la UE, incluido EE. UU. | Adenda de Tratamiento de Datos de Google Cloud + cláusulas contractuales tipo (Art. 46.2.c) |
Bloque 3 — Herramientas sin acceso a datos de producción de clientes
Determinados terceros utilizados por Alethexis no acceden a los datos personales comprendidos en los Datos del producto del Cliente. La separación es estructural y está respaldada por una regla operativa interna que impide extraer datos personales de producción de clientes a través de herramientas de desarrollo o verificación. Por ello no se incluyen como subencargados.
| Proveedor | Finalidad | Datos tratados | Ubicación |
|---|---|---|---|
| GitHub | Repositorio de código fuente | Código fuente. No datos de cliente | EE. UU. (cláusulas contractuales tipo) |
| Anthropic | Modelos Claude usados en desarrollo | Herramienta de asistencia al desarrollo. No integrada en la aplicación ni utilizada para tratar contenido sustantivo de clientes. El acceso de desarrollo a producción está sujeto a controles de minimización y restricción; su alcance se mantiene documentado y revisado. | EE. UU. / UE según el endpoint |
Transferencias internacionales
Cuando un proveedor trate datos fuera del Espacio Económico Europeo, Alethexis se apoya en las Cláusulas Contractuales Tipo del Art. 46.2.c del Reglamento (UE) 2016/679, con la evaluación y las medidas suplementarias que resulten necesarias. El mecanismo de cada proveedor consta en las tablas anteriores.
La adhesión de cada proveedor al Marco de Privacidad de Datos UE-EE. UU. se comprobó en la lista oficial el 10/09/2026 y se vuelve a comprobar en cada revisión de este registro.
Notificación de cambios
El alta o la sustitución de un subencargado del bloque 1 se notifica a los clientes con 30 días de antelación por correo electrónico y aviso en el producto. Los clientes pueden objetar con arreglo al Acuerdo de Encargo del Tratamiento.
Idiomas y prelación
Este documento está disponible en español e inglés. Ambas versiones expresan el mismo contenido. En caso de discrepancia de interpretación prevalecerá la versión española, sin perjuicio de las normas imperativas aplicables.