Subencargados del Tratamiento

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, la versión polaca es vinculante.

Versión 1.1 · Última actualización: 22 de octubre de 2026

Qué terceros reciben datos en formexposed, para qué finalidad, dónde y sobre qué base. Esta lista forma parte del Acuerdo de Tratamiento de Datos como anexo 3. Los subencargados del tratamiento autorizados en el sentido de dicho acuerdo son únicamente los enumerados en la sección 2; las secciones 3 a 6 proporcionan información sobre otros destinatarios y no constituyen una autorización.

1. La respuesta breve

Operamos por nuestra cuenta en Polonia los servidores, la base de datos y la capacidad de cómputo, también para el modelo de lenguaje. No interviene ningún proveedor de alojamiento, nube o IA. Solo existen subencargados del tratamiento en el sentido del art. 28, apartados 2 y 4, del RGPD, es decir, terceros que tratan datos de nuestros Clientes por nuestra cuenta, para una tarea: el correo electrónico.

Además, hay destinatarios que no son subencargados del tratamiento. Aun así los enumeramos aquí, separados según el motivo, para completar la descripción:

• destinatarios que tratan datos como responsables independientes del tratamiento (sección 3),
• destinatarios que elige el Cliente al solicitar que se envíen alertas allí (sección 4),
• consultas a terceros que no contienen datos personales (sección 5).

2. Subencargados del tratamiento

Destinatario y domicilio social	Finalidad	Datos	Lugar de tratamiento	Base para la transferencia
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Envío de los correos del servicio (confirmaciones, alertas, informes, informes mensuales a suscriptores de un portal de clientes); buzón de la verificación de entrega	Direcciones de correo electrónico de los destinatarios, asunto y contenido de los correos. En el buzón de la verificación de entrega: copias de los correos de formularios de los sitios web de los Clientes con todo lo que ingresan allí los visitantes, hasta que las procesamos	Aún por verificar	El acuerdo de tratamiento de datos del proveedor; si los datos se transfieren a un tercer país y sobre qué base está aún por verificar, véase la sección 7
Namecheap, Inc., Phoenix, Arizona, USA	Registro de los dominios, DNS; hasta que se configure el buzón en Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, reenvío de correos generales a direcciones de nuestro dominio. Las copias de control de la verificación de entrega no pasan por Namecheap; van directamente al buzón	Datos de dominio; para el reenvío, contenido y encabezados de los correos generales a nosotros, sin copias de correos de formularios	EE. UU., por verificar	El anexo de tratamiento de datos de Namecheap; cláusulas contractuales tipo o Marco de Privacidad de Datos, por verificar, véase la sección 7

Si los datos que tratamos como encargados para un Cliente llegan siquiera a estos destinatarios depende de su configuración: sin la verificación de entrega, no se les envían correos de formularios; sin un portal de clientes, no se envían correos a sus suscriptores. Proporcionaremos el punto de contacto de protección de datos de cada subencargado previa solicitud.

Sin intervención: Ningún tercero interviene en las verificaciones, capturas de pantalla, credenciales para el escaneo detrás del inicio de sesión, recorridos con navegador ni «Fix it for me». El modelo de lenguaje funciona en nuestro propio servidor. Determinamos el país de una dirección IP a partir de un archivo local de base de datos; no se envía ninguna dirección a un servicio de geolocalización. Nuestro proveedor de acceso a internet solo transmite el tráfico, en su mayoría cifrado, y no es un subencargado del tratamiento.

3. Destinatarios que actúan como responsables independientes del tratamiento

Destinatario y domicilio social	Finalidad	Datos	Ubicación	Base
Stripe Payments Europe, Ltd., Dublin, Ireland; para las transferencias a EE. UU., Stripe, Inc.	Procesamiento de pagos y facturas de cuentas de cliente	Dirección de correo electrónico, nombre, dirección de facturación, número de IVA, datos de pago (ingresados únicamente en Stripe, nunca nos llegan); de nuestro lado, solo el ID de cliente y suscripción y el estado	UE / EE. UU.	Para los datos de pago, Stripe actúa en gran medida como responsable independiente del tratamiento; la distribución exacta de roles está por verificar. Transferencia a EE. UU.: Marco de Privacidad de Datos o cláusulas contractuales tipo, por verificar
Google Ireland Limited, Dublin, Ireland; Google LLC, USA	Protección contra bots (reCAPTCHA) en nuestros propios formularios: registro, inicio de sesión, contraseña, verificación gratuita, herramienta de encabezados, exclusión, soporte y contacto	Dirección IP, datos del navegador y dispositivo, comportamiento en la página, cookies de Google. El script se carga solo al enviar. No se ejecuta en los sitios web de los Clientes	UE / EE. UU.	Condiciones de Google; Marco de Privacidad de Datos o cláusulas contractuales tipo, por verificar

Estos destinatarios se refieren a nuestro propio tratamiento, no a datos tratados como encargados. Los detalles están en la Política de Privacidad.

4. Destinatarios elegidos por el Cliente

Las alertas y los resúmenes se envían adonde quiera el Cliente: por correo electrónico (mediante el proveedor de servicios de correo de la sección 2), a una dirección de webhook o a un servicio de chat. Las opciones actuales son:

• Slack, Discord, Microsoft Teams y Google Chat mediante una dirección que el Cliente crea en su cuenta de ese servicio;
• Telegram: un destino elegido por el Cliente; enviamos el mensaje mediante nuestro bot después de que el propio destinatario haya vinculado el chat con el bot;
• webhooks a cualquier dirección HTTPS pública en el puerto estándar, firmados a solicitud.

Datos: dominio, evento, hora y un enlace al servicio; para las alertas sobre una verificación, a su informe, que puede leerse mediante este enlace sin iniciar sesión; para los webhooks, los mismos datos en formato legible por máquina. Ningún contenido de correos de formularios; una alerta de la verificación de entrega puede mencionar el dominio de correo del remitente si no pertenece al sitio web.

Rol: Slack, Discord, Microsoft Teams, Google Chat y los destinatarios de webhooks no son nuestros subencargados del tratamiento. La transferencia solo ocurre porque el Cliente configura el destino; esa es la instrucción del Cliente. Para Slack, Discord, Microsoft Teams, Google Chat y los webhooks, la relación contractual con el proveedor correspondiente y cualquier base necesaria para una transferencia a un tercer país corresponden al Cliente. Para Telegram, enviamos el mensaje mediante nuestro propio bot; también aquí, elegir el destino constituye la instrucción expresa del Cliente de transferir las alertas allí. Si Telegram es nuestro subencargado en este ámbito y sobre qué base se realiza esta transferencia aún no se ha determinado definitivamente y está en revisión con nuestro abogado. Si Telegram fuera un subencargado, la elección de este destino por el Cliente se considera su autorización específica conforme al art. 28, apartado 2, del RGPD para este fin. Varios de estos proveedores tratan datos en EE. UU.; Telegram tiene su sede fuera de la UE, en un país sin decisión de adecuación, y aún no se ha determinado definitivamente la base del capítulo V del RGPD sobre la que se realiza la transferencia a Telegram. Quien no desee esto elige correo electrónico u otro destino.

5. Consultas sin datos personales

Algunas funciones consultan a terceros. Solo se envían nombres de dominio, direcciones de servidores, valores de comprobación o números de versión, ningún dato sobre Clientes o visitantes. Por tanto, estos terceros no son subencargados del tratamiento.

Destinatario	Finalidad	Qué se envía
Servicios RDAP de los registros de dominios, localizados mediante el directorio de IANA; para verificar la antigüedad del dominio en la verificación gratuita, mediante el servicio de retransmisión rdap.org	Antigüedad y vencimiento de un dominio	solo el nombre de dominio
WPVulnerability (wpvulnerability.net)	Vulnerabilidades de seguridad conocidas en WordPress, extensiones y temas de WordPress	solo el identificador de una extensión o de un tema, o el número de versión de WordPress
Páginas de estado de los proveedores que utilizan los Clientes (como servicios de CAPTCHA y correo)	Aviso de caídas de estos proveedores	nada excepto la propia solicitud
Autoridades de sellado de tiempo Certum (Asseco Data Systems S.A., Poland) o, alternativamente, DigiCert, Inc. (USA)	Sellos de tiempo para registros de evidencias	solo un valor de comprobación (SHA-512) del registro, no su contenido
Listas de bloqueo DNS de spam: SpamCop, PSBL, Mailspike y SURBL (Spamhaus solo con acceso propio)	Comprobar si el servidor de correo o el dominio de un Cliente figura en una lista	dominios y direcciones IP de servidores (servidores de correo, servidores web), sin datos personales de visitantes
Google Web Risk, solo si está configurado	Verificar si la página de inicio de un Cliente figura en listas por malware o phishing	solo la dirección de la página de inicio
Telegram, notificaciones operativas	Señales al operador en caso de caídas y nuevas solicitudes de soporte	textos fijos sin remitente, contenido ni direcciones
Autoridad de certificación para TLS	Emisión de los certificados para nuestros dominios	solo nuestros propios nombres de dominio

6. Preparado, actualmente sin uso

El servicio puede hacer que las verificaciones con navegador y las solicitudes de formularios se confirmen además desde una segunda ubicación independiente. Actualmente este punto de verificación no está configurado. Si un tercero lo opera más adelante, esa parte es un subencargado del tratamiento y se anunciará previamente conforme a la sección 8. Recibiría el dominio, la configuración depurada del recorrido con navegador y un ID de trabajo, pero ninguna credencial ni datos de visitantes.

7. Qué sigue pendiente

Esta lista es un borrador previo al lanzamiento. Indicamos abiertamente lo que aún no se ha resuelto:

• Proveedor de servicios de correo: Se prevé Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Aún debe verificarse dónde trata los datos el proveedor y sobre qué base pueden transferirse a un tercer país. Aún debe documentarse si se ha aceptado el acuerdo de tratamiento de datos del proveedor para este uso, dónde se encuentran efectivamente los buzones, qué otros subencargados utiliza el proveedor y qué módulo de las cláusulas contractuales tipo se aplica. El anexo de tratamiento de datos disponible públicamente no demuestra por sí solo que se haya celebrado un contrato. Hasta que esto se haya documentado, no se envían datos tratados como encargados mediante este proveedor; por tanto, debe resolverse antes del lanzamiento.
• Marco de Privacidad de Datos: No hemos comprobado para esta versión si Namecheap, Stripe y Google están certificados en el Marco de Privacidad de Datos UE-EE. UU. para los servicios correspondientes. Por ello no lo afirmamos; cuando falta la certificación, se aplican las cláusulas contractuales tipo.
• Rol de Stripe para los datos individuales.
• Alertas de Telegram: la base de la transferencia cuando un Cliente elige Telegram como destino y enviamos el mensaje mediante nuestro bot.

8. Cambios en esta lista

Contratamos subencargados del tratamiento sobre la base de la autorización general del Acuerdo de Tratamiento de Datos. Antes de que un nuevo subencargado comience el tratamiento o se sustituya uno existente, informamos a los Clientes con al menos 30 días de anticipación por correo electrónico a la dirección del titular de la cuenta y anunciamos el cambio en esta página y en el resumen Cambios en los Documentos Contractuales. El aviso indica el destinatario, el domicilio social, la finalidad, los datos, la ubicación y la base de la transferencia.

Dentro de este plazo, el Cliente puede oponerse en forma textual por un motivo razonable de protección de datos. Hasta que se encuentre una solución, no utilizaremos al nuevo subencargado para los datos que tratamos como encargados para el Cliente o suspenderemos para él la función afectada. Si no se encuentra una solución, el Cliente puede terminar el contrato del servicio o del componente de servicio afectado; reembolsaremos proporcionalmente las tarifas pagadas por anticipado para el periodo posterior a la terminación. Los detalles se establecen en el Acuerdo de Tratamiento de Datos. Respondemos ante el Cliente por los subencargados como por nuestros propios actos.

Publicamos aquí los cambios de las secciones 3 a 5 que no se refieren a subencargados con un nuevo número de versión, sin previo aviso.

9. Estado y versión

• Versión 1.1 · Última actualización: 22 de octubre de 2026 · en caso de discrepancias entre las versiones lingüísticas, prevalece la versión en polaco en lugar de la alemana; sin otros cambios.
• Versión 1.0 · Última actualización: 11 de octubre de 2026 · primera versión como página independiente; anteriormente, anexo 3 del Acuerdo de Tratamiento de Datos. Novedades: separación entre subencargados del tratamiento, destinatarios que actúan como responsables independientes, destinos elegidos por el Cliente y consultas sin datos personales; puntos pendientes expresamente identificados.
• En caso de discrepancias entre las versiones lingüísticas, prevalece la versión en polaco.