Proveedores que tratan datos por nuestra cuenta

Lista de sub-encargados del tratamiento. Versión 1.4, del 11 de octubre de 2026.

Para dar el servicio usamos a otras empresas. Las que pueden tratar datos personales de las webs de nuestros clientes se llaman sub-encargados. Esta es la lista completa, y es la misma que acompaña al contrato de encargo de tratamiento de cada cliente.

Cómo avisamos de los cambios

Antes de incorporar un proveedor nuevo que trate datos personales, avisamos por correo a cada cliente con 30 días de antelación, salvo que seas tú quien lo autorice antes por escrito en tu encargo de tratamiento. En ese plazo puedes oponerte escribiendo a dpo@consiguetupropiaweb.com. Si retiramos un proveedor, también te lo decimos.

En uso

Cloudflare, Inc.

Estados Unidos, con red en todo el mundo.

• Para qué: aloja y sirve las webs y sus servicios, protege frente a ataques y gestiona los dominios. También ejecuta la inteligencia artificial del asistente de las webs, que interpreta los mensajes, transcribe audio y traduce textos, y reenvía a nuestro buzón el correo de nuestras direcciones públicas, sin guardarlo.
• Qué datos: todo lo que circula entre el visitante y la web: las peticiones, la dirección IP, el navegador y los registros técnicos. En el asistente: el texto de los mensajes, el audio grabado y los textos a traducir.
• Garantías: cláusulas contractuales tipo de la Comisión Europea (2021) y Marco de Privacidad de Datos entre la UE y Estados Unidos. Acuerdo de tratamiento de Cloudflare.

Supabase Inc.

Empresa de Estados Unidos. La base de datos está alojada en la Unión Europea, en Irlanda.

• Para qué: base de datos, cuentas de usuario y archivos.
• Qué datos: todos los que guarda cada web: negocios, reservas, registros de jornada, mensajes del asistente, configuración y usuarios. De las contraseñas solo se guarda una huella, no la contraseña.
• Garantías: los datos se guardan dentro del Espacio Económico Europeo. El acceso administrativo de la empresa matriz queda cubierto por cláusulas contractuales tipo y por el Marco de Privacidad de Datos. Acuerdo de tratamiento de Supabase y sus proveedores.

Resend, Inc.

Estados Unidos.

• Para qué: envía los correos de la plataforma: altas, recuperación de contraseña, confirmaciones de reserva y avisos.
• Qué datos: la dirección de correo de quien lo recibe y el contenido del correo.
• Garantías: cláusulas contractuales tipo y Marco de Privacidad de Datos. Acuerdo de tratamiento de Resend.

Sentry (Functional Software, Inc.)

Empresa de Estados Unidos. Los datos se guardan en Alemania.

• Para qué: registra los errores técnicos para poder corregirlos.
• Qué datos: el mensaje del error, su traza técnica, la dirección de la petición y algunas cabeceras. Por defecto no recoge el cuerpo de las peticiones con datos personales.
• Garantías: almacenamiento en la Unión Europea. El acceso administrativo de la empresa matriz queda cubierto por cláusulas contractuales tipo y por el Marco de Privacidad de Datos. Acuerdo de tratamiento de Sentry.

Backblaze, Inc.

Empresa de Estados Unidos. Las copias se guardan en la Unión Europea.

• Para qué: guarda las copias de seguridad.
• Qué datos: una copia completa de la base de datos, que ciframos nosotros antes de subirla. Backblaze solo guarda datos cifrados que no puede leer.
• Cuánto tiempo: las copias diarias, unos 8 días. Las mensuales y las anuales no tienen borrado automático.
• Garantías: almacenamiento en la Unión Europea. El acceso administrativo de la empresa matriz queda cubierto por cláusulas contractuales tipo y por el Marco de Privacidad de Datos. Acuerdo de tratamiento de Backblaze.

Google LLC, por Gemini

Estados Unidos.

• Para qué: es el respaldo del asistente de las webs cuando el proveedor principal no está disponible. También traduce textos y genera imágenes.
• Qué datos: el texto de los mensajes del asistente, los textos a traducir y las instrucciones para generar imágenes. No recibe la dirección IP del visitante.
• Garantías: cláusulas contractuales tipo y Marco de Privacidad de Datos. Acuerdo de tratamiento de Google Cloud.

Google LLC, por Google Maps

Estados Unidos.

• Para qué: el mapa y las reseñas de Google en las webs que los muestran. Lo activa cada negocio en su web.
• Qué datos: la dirección IP y los datos del navegador del visitante, que van directamente de su navegador a Google. El mapa solo se carga si el visitante lo acepta en el aviso de cookies.
• Garantías: cláusulas contractuales tipo y Marco de Privacidad de Datos. Acuerdo de tratamiento de Google Cloud.

wsrv.nl

Países Bajos.

• Para qué: reduce el peso de las imágenes, solo en las webs cuyo administrador lo activa.
• Qué datos: la dirección pública de la imagen y la dirección IP del visitante.
• Garantías: trata los datos dentro del Espacio Económico Europeo. Es un servicio comunitario y no tiene un acuerdo de tratamiento formal.

Anunciados, todavía no en uso

Los anunciamos antes de usarlos. Estos dos proveedores solo reciben datos de las webs que activan los avisos de citas por WhatsApp. Si tu web no los activa, no cambia nada para ti ni para tus clientes.

Meta Platforms Ireland, por WhatsApp Business Platform

Irlanda. Sus centros de datos están en Estados Unidos, Dinamarca, Suecia e Irlanda.

• Para qué: enviar los avisos de citas por WhatsApp desde el número del propio negocio.
• Qué datos: el teléfono del cliente que reserva, el servicio, la fecha y la hora de la cita, el nombre del negocio y un enlace a su cita. Al titular del negocio, además, el nombre de pila del cliente.
• Cuánto tiempo: Meta guarda los mensajes 30 días como máximo, según su documentación.
• Condiciones: condiciones de tratamiento de datos de WhatsApp Business y condiciones de alojamiento de la Cloud API.

Kapso, Inc.

Estados Unidos, con una filial en Chile. Los datos están en esos dos países y, según sus condiciones, en otros donde opera.

• Para qué: es un puente. Conecta el WhatsApp del negocio y entrega los avisos, solo en las webs que se conecten por esta vía mientras Meta no nos autorice a conectarlas directamente. Si no llegamos a usarlo, lo retiraremos de esta lista y te lo diremos.
• Qué datos: todas las conversaciones del WhatsApp del negocio, no solo los avisos de citas: los mensajes, los archivos, los contactos y las transcripciones de audio. Kapso las guarda.
• Condición: el titular del negocio lo acepta por escrito antes de conectarse.
• Garantías: cláusulas contractuales tipo de la Comisión Europea (2021). Acuerdo de tratamiento de Kapso y sus condiciones.

No reciben datos personales

Los nombramos para que la lista esté completa.

• FreeTSA (Alemania). Pone el sello de tiempo que prueba cuándo existía un documento. Solo recibe una huella matemática del documento, que no permite conocer su contenido.
• rfc3161.ai.moda. Es el sello de tiempo de respaldo. Recibe esa misma huella y nada más.
• GitHub, Inc. (Microsoft, Estados Unidos). Guarda el código de la plataforma y lo despliega. No accede a los datos de las webs.
• Anthropic, PBC (Estados Unidos). Herramientas de desarrollo. Trabaja sobre el código, no sobre los datos de las webs.

Retirados

• OpenAI, L.L.C. Retirado el 10 de julio de 2026. Era el respaldo de la transcripción de audio. Ya no recibe ningún dato.

Si tienes alguna pregunta o alguna objeción, escribe a dpo@consiguetupropiaweb.com.