Subencargados del tratamiento

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, prevalecerá la versión polaca.

Versión 1.1 · Última actualización: 22 de octubre de 2026

Qué terceros reciben datos en formexposed, con qué finalidad, dónde y sobre qué base. Esta lista forma parte del Contrato de encargo del tratamiento como Anexo 3. Solo son subencargados del tratamiento autorizados en el sentido de dicho contrato los enumerados en la sección 2; las secciones 3 a 6 informan sobre otros destinatarios y no constituyen una autorización.

1. La respuesta breve

Gestionamos nosotros mismos en Polonia los servidores, la base de datos y la capacidad de cálculo, también para el modelo de lenguaje. No interviene ningún proveedor de alojamiento, nube ni IA. Los subencargados del tratamiento en el sentido del art. 28(2) y (4) RGPD, es decir, terceros que tratan datos de nuestros Clientes por cuenta nuestra, solo existen para una tarea: el correo electrónico.

Además, hay destinatarios que no son subencargados del tratamiento. No obstante, los enumeramos aquí, separados por el motivo, para que el panorama sea completo:

• destinatarios que tratan datos como responsables independientes (sección 3),
• destinatarios que elige el Cliente al hacer que se le envíen allí alertas (sección 4),
• consultas a terceros que no contienen datos personales (sección 5).

2. Subencargados del tratamiento

Destinatario y domicilio social	Finalidad	Datos	Lugar de tratamiento	Base de la transferencia
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Envío de los correos electrónicos del servicio (confirmaciones, alertas, informes, informes mensuales a los suscriptores de un portal de cliente); buzón de la comprobación de entrega	Direcciones de correo electrónico de los destinatarios, asunto y contenido de los correos. En el buzón de la comprobación de entrega: copias de los correos electrónicos de formulario de los sitios web de los Clientes con todo lo que los visitantes introducen en ellos, hasta que los procesamos	Pendiente de verificar	El contrato de encargo del tratamiento del proveedor; si los datos van a un tercer país y sobre qué base está pendiente de verificar, véase la sección 7
Namecheap, Inc., Phoenix, Arizona, EE. UU.	Registro de los dominios, DNS; hasta que se configure el buzón en Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, reenvío de correos electrónicos generales a direcciones de nuestro dominio. Las copias de control de la comprobación de entrega no pasan por Namecheap; van directamente al buzón	Datos del dominio; para el reenvío, contenido y cabeceras de correos electrónicos generales dirigidos a nosotros, ninguna copia de correos electrónicos de formulario	EE. UU., pendiente de verificar	Data Processing Addendum de Namecheap; cláusulas contractuales tipo o Marco de Privacidad de Datos – pendiente de verificar, véase la sección 7

Que los datos tratados como encargado de un Cliente lleguen o no a estos destinatarios depende de sus ajustes: sin la comprobación de entrega, no se envían allí correos electrónicos de formulario; sin un portal de cliente, no se envían correos a sus suscriptores. Facilitaremos previa solicitud el punto de contacto de protección de datos de cada subencargado.

No intervienen: en las comprobaciones, capturas de pantalla, credenciales para el escaneo tras el inicio de sesión, recorridos con navegador o “Fix it for me” no interviene ningún tercero. El modelo de lenguaje se ejecuta en nuestro propio servidor. Determinamos el país de una dirección IP a partir de un archivo de base de datos local; ninguna dirección se envía a un servicio de geolocalización. Nuestro proveedor de acceso a internet solo transmite el tráfico, en su mayor parte cifrado, y no es un subencargado del tratamiento.

3. Destinatarios que actúan como responsables independientes

Destinatario y domicilio social	Finalidad	Datos	Ubicación	Base
Stripe Payments Europe, Ltd., Dublín, Irlanda; para las transferencias a EE. UU., Stripe, Inc.	Procesamiento de pagos y facturas de las cuentas de cliente	Dirección de correo electrónico, nombre, dirección de facturación, NIF-IVA, datos de pago (que solo se introducen en Stripe y nunca nos llegan); por nuestra parte, solo el ID de cliente y de suscripción y el estado	UE / EE. UU.	Para los datos de pago, Stripe actúa en gran medida como responsable independiente; el reparto exacto de funciones está pendiente de verificar. Transferencia a EE. UU.: Marco de Privacidad de Datos o cláusulas contractuales tipo – pendiente de verificar
Google Ireland Limited, Dublín, Irlanda; Google LLC, EE. UU.	Protección contra bots (reCAPTCHA) en nuestros propios formularios: registro, inicio de sesión, contraseña, comprobación gratuita, herramienta de cabeceras, opt-out, soporte y contacto	Dirección IP, datos del navegador y del dispositivo, comportamiento en la página, cookies de Google. El script solo se carga al enviar. No se ejecuta en los sitios web de los Clientes	UE / EE. UU.	Condiciones de Google; Marco de Privacidad de Datos o cláusulas contractuales tipo – pendiente de verificar

Estos destinatarios se refieren a nuestros propios tratamientos, no a datos tratados como encargado. Los detalles figuran en la Política de privacidad.

4. Destinatarios elegidos por el Cliente

Las alertas y los resúmenes van adonde el Cliente desee: por correo electrónico (a través del proveedor de servicios de correo de la sección 2), a una dirección de webhook o a un servicio de chat. Las opciones actuales son:

• Slack, Discord, Microsoft Teams y Google Chat mediante una dirección que el Cliente crea en su cuenta de dicho servicio;
• Telegram: un destino elegido por el Cliente; enviamos el mensaje a través de nuestro bot después de que el propio destinatario haya vinculado el chat al bot;
• webhooks a cualquier dirección HTTPS pública en el puerto estándar, firmados si se solicita.

Datos: dominio, evento, hora y un enlace al servicio y, en las alertas sobre una comprobación, a su informe, que puede leerse a través de este enlace sin iniciar sesión; en los webhooks, los mismos datos en formato legible por máquina. Ningún contenido de los correos electrónicos de formulario; una alerta de la comprobación de entrega puede mencionar el dominio de correo electrónico del remitente si no pertenece al sitio web.

Función: Slack, Discord, Microsoft Teams, Google Chat y los destinatarios de webhooks no son subencargados nuestros. La transferencia solo se produce porque el Cliente configura el destino; esa es la instrucción del Cliente. En el caso de Slack, Discord, Microsoft Teams, Google Chat y los webhooks, la relación contractual con el proveedor respectivo y cualquier base necesaria para una transferencia a un tercer país corresponden al Cliente. En el caso de Telegram, enviamos el mensaje a través de nuestro propio bot; también aquí, la elección del destino es la instrucción expresa del Cliente de transferir allí las alertas. Si Telegram es nuestro subencargado del tratamiento a este respecto y sobre qué base se realiza esta transferencia aún no se ha determinado de forma definitiva y está siendo examinado por nuestro abogado. Si Telegram fuera un subencargado, la elección de este destino por el Cliente se considera la autorización específica del Cliente conforme al art. 28(2) RGPD a tal efecto. Varios de estos proveedores tratan datos en EE. UU.; Telegram tiene su sede fuera de la UE en un país sin decisión de adecuación, y la base del capítulo V RGPD en la que se apoya la transferencia a Telegram aún no se ha determinado de forma definitiva. Quien no lo desee elige el correo electrónico u otro destino.

5. Consultas sin datos personales

Algunas funciones consultan a terceros. Solo se envían nombres de dominio, direcciones de servidores, valores de comprobación o números de versión, ningún dato sobre Clientes o visitantes. Por tanto, estos terceros no son subencargados del tratamiento.

Destinatario	Finalidad	Qué se envía
Servicios RDAP de los registros de dominios, localizados a través del directorio de IANA; para comprobar la antigüedad del dominio en la comprobación gratuita, a través del servicio de retransmisión rdap.org	Antigüedad y vencimiento de un dominio	solo el nombre de dominio
WPVulnerability (wpvulnerability.net)	Vulnerabilidades de seguridad conocidas en WordPress, extensiones y temas de WordPress	solo el identificador de una extensión o un tema, o el número de versión de WordPress
Páginas de estado de proveedores que utilizan los Clientes (como servicios de CAPTCHA y de correo)	Aviso de caídas en estos proveedores	nada salvo la propia solicitud
Autoridades de sellado de tiempo Certum (Asseco Data Systems S.A., Polonia) y, alternativamente, DigiCert, Inc. (EE. UU.)	Sellos de tiempo para registros probatorios	solo un valor de comprobación (SHA-512) del registro, no su contenido
Listas de bloqueo DNS contra el spam: SpamCop, PSBL, Mailspike y SURBL (Spamhaus solo con acceso propio)	Comprobar si el servidor de correo o el dominio de un Cliente figura en una lista	dominios y direcciones IP de servidores (servidores de correo, servidores web), ningún dato personal de visitantes
Google Web Risk, solo si está configurado	Comprobar si la página de inicio de un Cliente figura en listas por malware o phishing	solo la dirección de la página de inicio
Telegram, notificaciones operativas	Señales al operador en caso de caídas y nuevas solicitudes de soporte	textos fijos sin remitente, contenido ni direcciones
Autoridad de certificación para TLS	Emisión de los certificados de nuestros dominios	solo nuestros propios nombres de dominio

6. Preparado, actualmente no en uso

El servicio puede hacer confirmar adicionalmente las comprobaciones con navegador y las solicitudes a formularios desde una segunda ubicación independiente. Este punto de control no está configurado actualmente. Si posteriormente lo gestiona un tercero, este será un subencargado del tratamiento y se anunciará previamente conforme a la sección 8. Recibiría el dominio, la configuración depurada del recorrido con navegador y un ID de trabajo, pero ninguna credencial ni ningún dato de los visitantes.

7. Lo que aún está pendiente

Esta lista es un borrador previo al lanzamiento. Decimos abiertamente lo que aún no se ha resuelto:

• Proveedor de servicios de correo: está previsto Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Dónde trata el proveedor los datos y sobre qué base pueden ir a un tercer país está aún pendiente de verificar. Aún debe documentarse si se ha aceptado el contrato de encargo del tratamiento del proveedor para este uso, dónde se encuentran realmente los buzones, a qué otros subencargados recurre el proveedor y qué módulo de las cláusulas contractuales tipo se aplica. El Data Processing Addendum disponible públicamente no demuestra por sí solo que se haya celebrado un contrato. Hasta que esto se haya documentado, no se envían datos tratados como encargado a través de este proveedor; por tanto, debe resolverse antes del lanzamiento.
• Marco de Privacidad de Datos: para esta versión no hemos comprobado si Namecheap, Stripe y Google están certificados conforme al Marco de Privacidad de Datos UE-EE. UU. para los servicios en cuestión. Por tanto, no lo afirmamos; cuando falte la certificación, se aplican las cláusulas contractuales tipo.
• Función de Stripe respecto de los distintos datos.
• Alertas de Telegram: la base de la transferencia cuando un Cliente elige Telegram como destino y enviamos el mensaje a través de nuestro bot.

8. Cambios en esta lista

Recurrimos a subencargados del tratamiento sobre la base de la autorización general del Contrato de encargo del tratamiento. Antes de que un nuevo subencargado comience a tratar datos o se sustituya uno existente, informamos a los Clientes con al menos 30 días de antelación mediante correo electrónico a la dirección del titular de la cuenta y anunciamos el cambio en esta página y en el resumen Modificaciones de los documentos contractuales. La notificación indica el destinatario, el domicilio social, la finalidad, los datos, la ubicación y la base de la transferencia.

Dentro de este plazo, el Cliente puede oponerse en forma de texto por un motivo razonable de protección de datos. Hasta que se encuentre una solución, no utilizaremos el nuevo subencargado para los datos tratados como encargado del Cliente o suspenderemos la función afectada para el Cliente. Si no se encuentra solución, el Cliente puede resolver el contrato del servicio o del componente del servicio afectado; reembolsaremos de forma proporcional las tarifas abonadas por adelantado correspondientes al periodo posterior a la resolución. Los detalles se establecen en el Contrato de encargo del tratamiento. Respondemos ante el Cliente de los subencargados como de nuestros propios actos.

Los cambios en las secciones 3 a 5 que no afectan a subencargados del tratamiento los publicamos aquí con un nuevo número de versión, sin aviso previo.

9. Estado y versión

• Versión 1.1 · Última actualización: 22 de octubre de 2026 · en caso de discrepancias entre las versiones lingüísticas, prevalece la versión polaca en lugar de la alemana; sin otros cambios.
• Versión 1.0 · Última actualización: 11 de octubre de 2026 · primera versión como página independiente; anteriormente Anexo 3 del Contrato de encargo del tratamiento. Novedad: separación en subencargados del tratamiento, destinatarios que actúan como responsables independientes, destinos elegidos por el Cliente y consultas sin datos personales; puntos pendientes mencionados expresamente.
• En caso de discrepancias entre las versiones lingüísticas, prevalece la versión polaca.