Registro de subencargados y proveedores
Quién trata qué, con qué papel y bajo qué garantía
Qué recoge este registro
Que un tercero trate algún dato relacionado con Alethexis no lo convierte en subencargado del Cliente. El papel depende de qué datos trata y con qué finalidad. Este registro distingue tres bloques.
Este registro es la lista viva a la que remiten el Acuerdo de Encargo del Tratamiento (Anexo II) y la Política de privacidad. Se actualiza cuando cambia el proveedor, la entidad contratante, la región, la finalidad o el mecanismo de transferencia.
Bloque 1 — Subencargados del Acuerdo de Encargo del Tratamiento
Tratan Datos Sustantivos del Cliente por cuenta de éste, con arreglo al Art. 28 del Reglamento (UE) 2016/679. Son los únicos a los que alcanza el aviso previo de 30 días y el derecho de objeción del Cliente.
| Proveedor | Finalidad | Datos tratados | Ubicación | Mecanismo de garantía |
|---|---|---|---|---|
| Supabase | Base de datos, autenticación, almacenamiento y funciones de servidor | Todos los datos del producto | UE — Frankfurt (eu-central-1); entidad en Singapur | DPA Supabase + cláusulas contractuales tipo (Art. 46.2.c) para el acceso desde la entidad en Singapur |
| Vercel | Alojamiento de la aplicación y funciones serverless en región UE (fra1); red edge global | Logs HTTP y metadatos de solicitud; datos del producto en tránsito | Cómputo en UE (fra1); red edge global; entidad en EE. UU. | DPA Vercel + cláusulas contractuales tipo (Art. 46.2.c) + Marco de Privacidad de Datos UE-EE. UU. |
| Cloudflare | Proxy DNS, CDN, WAF y Turnstile (protección antiabuso) | Datos en tránsito, IP y señales de navegador | EE. UU. (proxy sobre todo el tráfico) | DPA Cloudflare + cláusulas contractuales tipo (Art. 46.2.c) + Marco de Privacidad de Datos UE-EE. UU. |
Bloque 2 — Proveedores de Alethexis como responsable
Tratan Datos de Cuenta, datos fiscales, direcciones y contenido de correo, y lo hacen para finalidades propias de Alethexis: pagos, facturación y comunicaciones. No reciben Datos Sustantivos del Cliente, por lo que no son subencargados del Cliente aunque sí sean encargados de Alethexis.
| Proveedor | Finalidad | Datos tratados | Ubicación | Mecanismo de garantía |
|---|---|---|---|---|
| Stripe Payments Europe, Ltd. | Pagos y suscripciones | Datos de pago y de facturación. No recibe Datos Sustantivos | Irlanda; transferencia a Stripe, LLC (EE. UU.); subencargados en EE. UU., India y Canadá | DPA Stripe (encargado o responsable independiente según la operación) + cláusulas contractuales tipo (Art. 46.2.c) + Marco de Privacidad de Datos UE-EE. UU. |
| Holded Technologies, S.L. | Facturación Veri*factu y contabilidad | Datos fiscales del Cliente (NIF, razón social, importes) | España; alojamiento en la UE; Salesforce en EE. UU. | DPA Holded · sin transferencia propia; subencargados fuera del EEE: cláusulas contractuales tipo (Art. 46.2.c) |
| Resend (Plus Five Five, Inc.) | Correo transaccional a los usuarios | Dirección del destinatario y contenido del mensaje de cuenta. No recibe Datos Sustantivos | EE. UU. (almacenamiento, sea cual sea la región de envío); envío vía eu-west-1 | DPA Resend + cláusulas contractuales tipo (Art. 46.2.c) + Marco de Privacidad de Datos UE-EE. UU. |
| Google Workspace | Correo electrónico y calendario de Alethexis | Contenido del correo y sus adjuntos, datos de remitentes y destinatarios, y citas de calendario con sus asistentes | Entidad en Irlanda; tratamiento en centros de datos de Google y de sus subencargados, dentro y fuera de la UE, incluido EE. UU. | Adenda de Tratamiento de Datos de Google Cloud + cláusulas contractuales tipo (Art. 46.2.c) |
Bloque 3 — Herramientas sin acceso a datos de producción de clientes
Determinados terceros utilizados por Alethexis no acceden a los Datos Sustantivos del Cliente. La separación es estructural y está respaldada por una regla operativa interna que impide extraer datos personales de producción de clientes a través de herramientas de desarrollo o verificación. Por ello no se incluyen como subencargados.
| Proveedor | Finalidad | Datos tratados | Ubicación |
|---|---|---|---|
| GitHub | Repositorio de código fuente | Código fuente. No datos de cliente | EE. UU. (cláusulas contractuales tipo) |
| Anthropic | Modelos Claude usados en desarrollo | Únicamente prompts y código de desarrollo. No datos de producción de clientes | EE. UU. / UE según el endpoint |
Transferencias internacionales
Cuando un proveedor trate datos fuera del Espacio Económico Europeo, Alethexis se apoya en las Cláusulas Contractuales Tipo del Art. 46.2.c del Reglamento (UE) 2016/679, con la evaluación y las medidas suplementarias que resulten necesarias. El mecanismo de cada proveedor consta en las tablas anteriores.
La adhesión de cada proveedor al Marco de Privacidad de Datos UE-EE. UU. se comprobó en la lista oficial el 10/09/2026 y se vuelve a comprobar en cada revisión de este registro.
Notificación de cambios
El alta o la sustitución de un subencargado del bloque 1 se notifica a los clientes con 30 días de antelación por correo electrónico y aviso en el producto. Los clientes pueden objetar con arreglo al Acuerdo de Encargo del Tratamiento.
Idiomas y prelación
Este documento está disponible en español e inglés. Ambas versiones expresan el mismo contenido. En caso de discrepancia de interpretación prevalecerá la versión española, sin perjuicio de las normas imperativas aplicables.