Saltar al contenido principal

Quién procesa los datos de vuestra empresa

Todos los subencargados con los que trabajamos, su finalidad y la jurisdicción a la que responden. Esta lista se genera directamente desde nuestro código fuente, por lo que no puede desviarse de lo que realmente utilizamos.

Última actualización: 2026-08-02

Generado automáticamente desde nuestro registro de subencargados, no se mantiene manualmente: no se puede añadir un nuevo proveedor sin que se refleje aquí, y nuestro sistema de compilación falla si el código accede a un procesador de datos no declarado.

Nuestros subencargados actuales

Estas empresas procesan datos personales en nuestro nombre. El almacenamiento, la generación y los embeddings se ejecutan en centros de datos de la UE. Algunos de los proveedores que aparecen a continuación están constituidos fuera del Espacio Económico Europeo, o tienen una matriz que lo está, y cada una de esas filas está marcada: la jurisdicción indica dónde puede ser obligada legalmente una empresa, lo que es una cuestión distinta a la ubicación física de los datos. En cada fila se indica la base de transferencia que aplica y a quién contrata ese proveedor a su vez.

Mistral AI SAS

Generación de LLM: respuestas de chat, planificación, bucle de agente, visión y moderación de entradas. Es el único proveedor de generación; no hay alternativa fuera de la UE.

Los prompts incluyen consultas de usuarios y fragmentos de documentos recuperados. La retención cero y la exclusión de entrenamiento son ajustes a nivel de cuenta con este proveedor, no por solicitud, por lo que se registran aquí en lugar de afirmarse en cada llamada.

Con quién trabajan a su vez

  • Mistral Compute (FR): Infraestructura en la nube para todos los productos. Su propia división de computación, no un tercero externo.
  • Microsoft Inc. (país no especificado por ellos): Infraestructura en la nube. Procesamiento indicado en Suecia y Noruega.
  • Google LLC (país no especificado por ellos): Infraestructura en la nube. Procesamiento indicado en Países Bajos, Bélgica y Estados Unidos.
  • CoreWeave Inc. (país no especificado por ellos): Proveedor de inferencia. Procesamiento indicado en el EEE.
  • Cloudflare Inc. (país no especificado por ellos): Seguridad y enrutamiento de tráfico. Procesamiento indicado a nivel mundial.

Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.

Según su propia declaración, verificado el 2026-07-31

Jurisdicción

FR

eu-west (Francia)

Base de transferencia

Solo UE, sin transferencia a terceros países

Estado

Activo

Jina AI GmbH

Matriz: Elastic N.V. (US)

Embeddings de texto y reranking para la recuperación.

Rechazado para datos de clientes desde el 31 de julio de 2026: la plataforma no se lanzará en producción con este proveedor configurado para embeddings, por lo que no puede procesar contenido de clientes. Se mantiene en la lista porque las credenciales aún se leen en desarrollo, y sigue siendo el valor predeterminado en desarrollo hasta que se implemente el reemplazo en la UE: modelos de embedding y reranking que alojamos nosotros mismos en hardware de la UE, o una API gestionada bajo jurisdicción de la UE.

Aún no está confirmado. No hemos verificado qué subencargados utiliza este proveedor.

Jurisdicción

DE

eu-central (Berlín)

Base de transferencia

En revisión

Sujeto a jurisdicción no comunitaria

Estado

Activo

Supabase, Inc.

Almacén de datos principal: Postgres (documentos, fragmentos, embeddings, tenants), autenticación y almacenamiento de objetos por defecto.

En proceso de sustitución por nuestro propio Postgres y almacenamiento de objetos en hardware de la UE. Esta migración aún no ha comenzado; hasta que se complete, este proveedor alberga el corpus de documentos.

Con quién trabajan a su vez

  • Amazon Web Services, Inc (país no especificado por ellos): Alojamiento.
  • Cloudflare, Inc (país no especificado por ellos): Alojamiento.
  • Google, LLC (país no especificado por ellos): Alojamiento.
  • Fly.io, Inc (país no especificado por ellos): Alojamiento.
  • Upstash, Inc (país no especificado por ellos): Alojamiento de datos serverless. También es subencargado nuestro por derecho propio.
  • Vercel, Inc (país no especificado por ellos): Alojamiento. También es subencargado nuestro por derecho propio.

Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.

Según su propia declaración, verificado el 2026-07-31

Jurisdicción

US

aws eu-west-1 (Irlanda)

Base de transferencia

En revisión

Sujeto a jurisdicción no comunitaria

Estado

Activo

Upstash, Inc.

Redis: limitación de peticiones a la API, revocación de sesiones, caché de embeddings y detección de movimientos imposibles.

Se está reemplazando por una caché que alojamos nosotros mismos en hardware de la UE. Esta migración aún no ha comenzado; hasta que se complete, este proveedor gestiona la capa de limitación de peticiones y caché.

Con quién trabajan a su vez

  • Amazon Web Services (US): Proveedor de cloud.
  • Google (US): Proveedor de cloud.
  • Cloudflare, Inc. (US): Servicios en la nube.
  • Humio (CrowdStrike Falcon LogScale) (DK): Registro de logs.

Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.

Según su propia declaración, verificado el 2026-07-31

Jurisdicción

US

La región no está fijada en el código y no se ha verificado la región de despliegue de este proveedor para esta base de datos. Contiene direcciones IP e identificadores de sesión, por lo que no se puede responder a los requisitos del Art. 30(1)(d)-(e).

Base de transferencia

En revisión

Sujeto a jurisdicción no comunitaria

Estado

Activo

Cloudflare, Inc.

DNS. Actualmente, el dominio principal también está bajo proxy inverso, por lo que Cloudflare finaliza el TLS para él.

Nuestra postura decidida es solo DNS, lo que dejaría a este proveedor gestionando la resolución de nombres pero no el contenido de las peticiones. El dominio principal aún está bajo proxy hoy, por lo que actualmente finaliza el TLS y ve los cuerpos de las peticiones. Esta fila describe la situación actual, no el estado final previsto.

Con quién trabajan a su vez

  • Amazon Web Services (AWS) (país no especificado por ellos): Producto de seguridad de correo electrónico. El procesamiento se realiza en Estados Unidos y el EEE.
  • Google LLC (país no especificado por ellos): Plataforma para desarrolladores, Zero Trust y pasarela de IA. Procesamiento indicado en el EEE, Estados Unidos, Australia e India.
  • Oracle America, Inc. (país no especificado por ellos): Plataforma de desarrollo y Cache Reserve. El procesamiento se realiza en Estados Unidos, EEE, Reino Unido, Japón, Australia, Canadá y Singapur.
  • CoreWeave, Inc. (país no especificado por ellos): Workers IA. Procesamiento indicado en Estados Unidos.
  • Nebius BV (país no especificado por ellos): Workers IA. Procesamiento indicado en Inglaterra.

Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.

Según su propia declaración, verificado el 2026-07-31

Jurisdicción

US

edge global (anycast)

Base de transferencia

En revisión

Sujeto a jurisdicción no comunitaria

Estado

Activo

Functional Software, Inc.

Monitorización de errores y rendimiento de la aplicación.

La ingesta en la UE está forzada en el código: el cliente falla de forma segura en lugar de enviar datos a un endpoint fuera de la UE, por lo que los eventos de error, trazas y logs se almacenan en Fráncfort. Sin embargo, Sentry almacena metadatos operativos y de cuenta en EE. UU. independientemente de la región seleccionada (check‑ins de cron, configuración de la organización y registros de auditoría, metadatos del proyecto, claves DSN, tokens de acceso, datos de uso) y almacena comprobaciones de tiempo de actividad en ambas regiones. Nada de esto contiene datos personales de clientes, por lo que no se genera una transferencia según el Capítulo V; no obstante, es un residuo de almacenamiento en EE. UU. de este proveedor, y al igual que el residuo de retención mencionado anteriormente, desaparecerá con la migración a 0F Bugsink, cuando el seguimiento de errores, el heartbeat de cron y las comprobaciones de tiempo de actividad pasen a infraestructura que alojamos nosotros.

Con quién trabajan a su vez

  • Amazon Web Services, Inc. (país no especificado por ellos): Infraestructura en la nube. El procesamiento se realiza en la UE y Estados Unidos.
  • Cloudflare, Inc. (país no especificado por ellos): Infraestructura en la nube. Procesamiento indicado en la UE y Estados Unidos.
  • Google LLC (país no especificado por ellos): Infraestructura en la nube. Procesamiento indicado en la UE y Estados Unidos.

Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.

Según su propia declaración, verificado el 2026-07-31

Jurisdicción

US

ingest.de.sentry.io (Alemania), Región de EE. UU. (Iowa) para metadatos operativos y de cuenta almacenados fuera de la región seleccionada, independientemente de la configuración (check‑ins de cron, configuración de la organización y registros de auditoría, metadatos del proyecto, claves DSN, tokens, datos de uso); las comprobaciones de tiempo de actividad se almacenan en ambas regiones. Sin datos personales de clientes.

Base de transferencia

En revisión

Sujeto a jurisdicción no comunitaria

Estado

Activo

Sendinblue SAS (Brevo)

Correo transaccional (notificaciones, emails de cuenta).

Inactivo hasta que se provisione BREVO_API_KEY.

Con quién trabajan a su vez

  • Google Cloud Platform (FR): Alojamiento. Servidores ubicados en Bélgica.
  • Scaleway (Iliad) (FR): Alojamiento. Servidores ubicados en Francia.
  • OVH (FR): Alojamiento. Servidores ubicados en Francia.
  • Hetzner Online GmbH (DE): Alojamiento. Servidores ubicados en Alemania. También es un subencargado nuestro por derecho propio.
  • Cloudflare (US): CDN y WAF. Servidores ubicados en Estados Unidos y la UE.

Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.

Según su propia declaración, verificado el 2026-07-31

Jurisdicción

FR

eu-west (Francia)

Base de transferencia

Solo UE, sin transferencia a terceros países

Estado

Activo

Hetzner Online GmbH

Almacenamiento de objetos compatible con S3 para bytes de documentos sin procesar.

Solo se activa cuando STORAGE_PROVIDER=s3; el proveedor de almacenamiento predeterminado es Supabase.

Con quién trabajan a su vez

  • Hetzner Finland Oy (FI): Alquiler de instalaciones y soporte técnico.
  • Hetzner US LLC (US): Alquiler de servidores para su sitio en EE. UU. (da servicio en regiones que no utilizamos, según su declaración)
  • NTT Global Data Centers Americas, Inc. (US): Colocación para su sitio en EE. UU. (da servicio en regiones que no utilizamos, según su declaración)
  • QTS Investment Properties Hillsboro, LLC (US): Colocación para su sitio en EE. UU. (da servicio en regiones que no utilizamos, según su declaración)
  • Hetzner Singapore Pte. Ltd. (SG): Alquiler de servidores para su sitio en Singapur. (da servicio en regiones que no utilizamos, según su declaración)
  • NTT Global Data Centers SG1 Pte Ltd (SG): Colocación para su sitio en Singapur. (da servicio en regiones que no utilizamos, según su declaración)

Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.

Según su propia declaración, verificado el 2026-07-31

Jurisdicción

DE

nbg1 (Núremberg)

Base de transferencia

Solo UE, sin transferencia a terceros países

Estado

Activo

Vercel Inc.

Alojamiento de la aplicación y tareas programadas (destino de despliegue actual).

Lo estamos reemplazando por alojamiento de aplicaciones que gestionamos nosotros mismos en hardware de la UE. Esta migración aún no ha comenzado; hasta que se complete, este proveedor sigue sirviendo la aplicación.

Con quién trabajan a su vez

  • Amazon Web Services, Inc. (US): Alojamiento, almacenamiento e IA generativa.
  • Google LLC (US): Computación en la nube, almacenamiento e IA generativa.
  • Microsoft Corporation (US): Alojamiento, almacenamiento e IA generativa.
  • Upstash, Inc. (US): Almacenamiento serverless. También es un subencargado nuestro por derecho propio.
  • Neon (US): Almacenamiento serverless.
  • Redis Labs, Inc. (US): Registro en tiempo real y seguridad.

Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.

Según su propia declaración, verificado el 2026-07-31

Jurisdicción

US

edge global

Base de transferencia

En revisión

Sujeto a jurisdicción no comunitaria

Estado

Activo

Sujeto a jurisdicción no comunitaria

Esta empresa, o su matriz, está constituida fuera del EEE, por lo que puede estar sujeta a procesos legales extranjeros incluso cuando los datos residan en la UE.

Cambios y vuestro derecho a oponeros

Avisamos con al menos 30 días de antelación antes de que un nuevo subencargado del tratamiento empiece a tratar vuestros datos, y podéis oponeros. Cada entrada registra la fecha en la que empieza, no la fecha en la que editamos esta página.

Legible por máquina

Esta lista se genera a partir de un registro en nuestro repositorio de código, por lo que se actualiza cuando cambia el código, no cuando alguien recuerda editar una página. El mismo registro se publica en formato JSON en la dirección que aparece a continuación. Incluye todas las entradas con su estado, como adiciones planificadas durante su período de notificación y proveedores eliminados, de modo que cualquier cambio puede compararse con una versión anterior en lugar de tomarse como cierto.

/api/trust/subprocessors