Subencargados del tratamiento

1. Alcance de esta lista

Distinguimos dos grupos. El primero está formado por los proveedores que pueden tratar datos que las empresas clientes procesan a través de bienvenidIA (por ejemplo, conversaciones o citas). El segundo agrupa proveedores que sólo intervienen en datos de cuenta, facturación o en la web pública.

Dentro de cada grupo indicamos el papel real de cada proveedor, porque no todos son subencargados en el sentido del artículo 28 del RGPD:

Subencargado del tratamiento: trata datos personales por cuenta de la empresa cliente siguiendo nuestras instrucciones.
Subencargado indirecto: interviene como proveedor de otro de nuestros proveedores y figura dentro de su cadena, no en una relación contractual propia con nosotros.
Responsable independiente en su propio ámbito: decide sus propios tratamientos y publica sus propias condiciones, que no controlamos.
Proveedor de datos de cuenta o facturación: no recibe conversaciones ni datos de usuarios finales.

Los proveedores marcados como pendientes de activación aparecen porque su integración ya existe en el producto, pero todavía no tratan datos reales.

2. Subencargados de datos de las empresas clientes

Meta Platforms

Activo

WhatsApp Business Platform

Rol: Responsable independiente en su propio ámbito
Finalidad: Recepción y envío de mensajes de WhatsApp, alta del número mediante el registro integrado y sincronización del histórico en modo coexistencia.
Categorías de datos: Número de teléfono, nombre de perfil, identificadores de WhatsApp, contenido de los mensajes, marcas de tiempo y metadatos de entrega.
Ubicación: Estados Unidos e infraestructura global de Meta
Transferencia fuera del EEE: Sí
Mecanismo de transferencia: Condiciones de la WhatsApp Business Platform del propio proveedor

Meta define sus propias políticas y las de la plataforma de WhatsApp: no controlamos ni podemos garantizar su tratamiento. El mecanismo concreto de transferencia aplicable a nuestra relación está pendiente de confirmación documental.

Supabase

Activo

Base de datos PostgreSQL gestionada, autenticación y almacenamiento de archivos

Rol: Subencargado del tratamiento
Finalidad: Base de datos, autenticación de los usuarios del panel y almacenamiento de los documentos de conocimiento que sube el cliente.
Categorías de datos: Datos de cuenta, datos de la empresa, contactos, conversaciones, citas, servicios, profesionales y documentos subidos.
Ubicación: Unión Europea (Irlanda), sobre infraestructura de Amazon Web Services
Transferencia fuera del EEE: No: tratamiento dentro del EEE
Mecanismo de transferencia: Tratamiento dentro del EEE

Región verificada en la configuración del proyecto: eu-west-1 (Irlanda). Esto no significa que todo el tratamiento de bienvenidIA ocurra en el EEE.

Amazon Web Services

Activo

Infraestructura de cómputo y almacenamiento

Rol: Subencargado indirecto (infraestructura)
Finalidad: Infraestructura subyacente sobre la que opera la base de datos gestionada.
Categorías de datos: Los mismos datos alojados en la base de datos, a nivel de infraestructura.
Ubicación: Unión Europea (Irlanda)
Transferencia fuera del EEE: No: tratamiento dentro del EEE
Mecanismo de transferencia: Tratamiento dentro del EEE

Aparece únicamente como subencargado ulterior del proveedor de base de datos. No mantenemos una relación contractual directa con AWS.

Lovable

ActivoPendiente de confirmación

Hosting, ejecución de funciones de servidor y pasarela de acceso a modelos de IA

Rol: Subencargado del tratamiento
Finalidad: Publicación de la aplicación, ejecución del código de servidor y acceso a los modelos de inteligencia artificial que generan las respuestas del agente.
Categorías de datos: Datos en tránsito de la aplicación y contenido enviado al modelo (mensaje del usuario final, contexto reciente de la conversación e información de negocio configurada).
Ubicación: Infraestructura de ejecución en la nube (red global)
Transferencia fuera del EEE: Posible; pendiente de confirmación
Mecanismo de transferencia: Pendiente de confirmar el mecanismo aplicable

Es nuestro proveedor directo también para la inferencia de IA: el contenido se envía a su pasarela y ésta lo encamina al proveedor del modelo. Su propia cadena de infraestructura (incluida la red de ejecución en el borde) se rige por su lista de subencargados, que debemos verificar.

Google

ActivoPendiente de confirmación

Modelo de lenguaje Gemini, accedido a través de la pasarela de Lovable

Rol: Subencargado indirecto (infraestructura)
Finalidad: Generación de las respuestas del agente y extracción de contenido de páginas web.
Categorías de datos: Mensaje del usuario final, contexto reciente de la conversación, servicios, preguntas frecuentes, conocimiento configurado por la empresa y datos necesarios para proponer citas.
Ubicación: Estados Unidos e infraestructura global del proveedor
Transferencia fuera del EEE: Posible; pendiente de confirmación
Mecanismo de transferencia: Pendiente de confirmar el mecanismo aplicable

No afirmamos que el proveedor no utilice los datos para entrenar modelos: sería un compromiso contractual que debemos verificar en la ruta real (bienvenidIA → pasarela de IA → proveedor del modelo) antes del lanzamiento. No se envían credenciales, tokens ni secretos.

3. Proveedores de cuenta, pagos y web pública

Stripe

ActivoPendiente de confirmación

Procesamiento de pagos y gestión de suscripciones

Rol: Proveedor de datos de cuenta o facturación
Finalidad: Cobro de las suscripciones y gestión del ciclo de facturación. Servicio operativo: procesa cobros reales.
Categorías de datos: Nombre de la empresa cliente, email de la persona que contrata, datos de facturación e identificadores de suscripción. No recibe conversaciones ni datos de usuarios finales.
Ubicación: Estados Unidos y Unión Europea
Transferencia fuera del EEE: Posible; pendiente de confirmación
Mecanismo de transferencia: Pendiente de confirmar el mecanismo aplicable

Cuenta de producción operativa: los cobros de las suscripciones se procesan a través de este proveedor. Verificado en el código que no se le envía contenido de conversaciones.

4. Transferencias internacionales

La base de datos, la autenticación y el almacenamiento de documentos están alojados en la Unión Europea (Irlanda); es la región configurada y verificada del proyecto. Eso no significa que todo el tratamiento de bienvenidIA ocurra en el Espacio Económico Europeo: la mensajería de WhatsApp y la generación de respuestas mediante modelos de inteligencia artificial implican proveedores con infraestructura fuera del EEE.

Pendiente de confirmación: Los mecanismos concretos de transferencia (decisión de adecuación, cláusulas contractuales tipo, marcos de transferencia u otros mecanismos válidos) deben confirmarse documentalmente con cada proveedor antes del lanzamiento comercial. No afirmamos aquí cuál se aplica sin esa evidencia, ni damos por hecha la adhesión de ningún proveedor a un marco concreto.

5. Cambios de subencargados

Mantenemos esta página como versión vigente de la lista de subencargados.
Cuando incorporemos o sustituyamos un proveedor que trate datos de clientes, actualizaremos esta lista y su fecha.
El cliente puede oponerse por motivos razonables y justificados relacionados con la protección de datos, en los términos previstos en el acuerdo de encargo.

6. Contacto

Para consultas sobre proveedores o transferencias, escribe a privacy@bienvenidia.com.