Subencargados del tratamiento
Versión 1.1 · 10 de junio de 2026
Alvoru contrata a los siguientes subencargados del tratamiento para prestar nuestros servicios. Esta lista se actualiza con cada incorporación o sustitución, con al menos 14 días de aviso previo a los clientes existentes.
Subencargados del tratamiento actuales
| Subencargado del tratamiento | Finalidad | Ubicación | Garantía |
|---|---|---|---|
| Anthropic | Generación de texto con IA (Claude) — IA principal para el chatbot, el clasificador y los resúmenes | Estados Unidos | SCC + medidas complementarias |
| Voyage AI | Embeddings vectoriales para la búsqueda en la base de conocimiento (RAG) | Estados Unidos | SCC (cláusulas tipo) + DPA — Política de privacidad |
| OpenAI L.L.C. | Generación de texto con IA (GPT) — alternativa en caso de caída de Anthropic | Estados Unidos | DPF + SCC |
| Resend | Correo transaccional (correo a clientes y visitantes) | Estados Unidos | Certificado DPF |
| Hetzner Online GmbH | Alojamiento y almacenamiento de datos (servidores de producción y de copias de seguridad) | Alemania / Finlandia (UE) | Dentro del EEE · ISO 27001 |
| Cloudflare Inc. | CDN, protección DDoS, DNS & enrutamiento de correo | Mundial | DPF + SCC |
| Mollie B.V. | Procesamiento de pagos (a partir del 1 de junio de 2026) | Ámsterdam (NL) | Dentro del EEE · PCI-DSS |
| Sentry GmbH | Monitorización de errores y rendimiento de la aplicación — detección y análisis de errores en tiempo de ejecución en el panel de control. Datos tratados: registros técnicos (pueden contener ocasionalmente PII en el contexto del error). Plazo de conservación: 30 días. | Alemania (UE) | Dentro del EEE · ISO 27001 |
| Meta Platforms Ireland Ltd | WhatsApp Business API — conexión del chatbot de IA con el canal de WhatsApp del cliente (solo si el cliente activa esta función). Datos tratados: contenido de los mensajes y números de teléfono de los visitantes finales. | Irlanda (UE) — tratamiento también en EE. UU. | SCC + DPF |
| Google LLC | Google Workspace (enrutamiento de correo para info@/contact@) y Google Maps Platform (datos empresariales públicos para la captación de leads mediante n8n). | Estados Unidos | DPF + SCC |
| Moneybird B.V. | Facturación y contabilidad. Datos tratados: nombre del cliente, datos de la empresa, importes de las facturas, estado de pago. | Ámsterdam (NL) | Dentro del EEE |
| n8n | Automatización de flujos de trabajo para la captación de leads (autoalojado en Hetzner UE) | Alemania (autoalojado) | Tratamiento en servidor propio de la UE — sin transferencia externa |
| Litestream | Replicación continua de SQLite a Hetzner Storage Box (copia de seguridad externa) | Alemania (Hetzner) | Los datos permanecen dentro de la UE — almacenados en Hetzner Storage Box |
| AbuseIPDB | Comprobación de reputación de IP para la protección frente a bots (solo IP con hash, sin datos personales) | Estados Unidos | Interés legítimo (prevención del fraude) — datos mínimos (solo IP, anonimizada para el registro) |
Abreviaturas
- SCC = Standard Contractual Clauses (cláusulas contractuales tipo de la UE, artículo 46 del RGPD)
- DPF = EU-US Data Privacy Framework (decisión de adecuación)
- EEE = Espacio Económico Europeo
- PCI-DSS = Payment Card Industry Data Security Standard
Seguimiento de cambios
Todos los cambios en esta lista se comunican por correo electrónico a los clientes existentes. Los clientes pueden presentar una objeción por escrito en un plazo de 14 días tras el anuncio; en caso de objeción fundada, es posible la rescisión sin coste.
Contrato de Encargado del Tratamiento
Los términos jurídicos completos para la subcontratación del tratamiento figuran en el Contrato de Encargado del Tratamiento (DPA), de conformidad con el artículo 28 del RGPD.
Contacto
¿Preguntas sobre los subencargados del tratamiento, las transferencias fuera del EEE o garantías específicas? info@alvoru.com.