Subencargados del tratamiento
Cualquier alta o sustitución de un subencargado se avisa con 30 días naturales de antelación por email y en esta página, salvo urgencia por seguridad o por cese del proveedor. El cliente puede oponerse de forma motivada en ese plazo escribiendo a info@vesta-intelligence.com (Anexo IV, punto 7).
Novedades del 26/10/2026 (contrato v2.4): Supabase figura como Supabase Pte. Ltd.; se identifica a Cogniten como empresario individual; los datos bancarios llegan solo por el ERP del cliente o por los extractos que envía; Dropbox se aclara como no subencargado.
Apéndice 1 · Subencargados
| Entidad | Servicio | Datos | Ubicación | Garantía de transferencia |
|---|---|---|---|---|
| Supabase Pte. Ltd. (Singapur), con alojamiento en AWS | Base de datos y almacenamiento | Todos los Datos del Cliente y Resultados | UE: Irlanda (región AWS eu-west-1). Acceso excepcional de soporte desde fuera del EEE | Alojamiento en la UE, sin transferencia. Acceso de soporte: CCT (Decisión (UE) 2021/914) o, en su caso, Marco de Privacidad de Datos |
| Cogniten, empresario individual con domicilio en España, con servidor en Hetzner Online GmbH | Administración y alojamiento de la orquestación de flujos (n8n) | Datos del Cliente en tránsito entre componentes y en los registros de ejecución (máximo 30 días) | España (operador) y Alemania (servidor), UE | Sin transferencia internacional |
| Meta Platforms Ireland Ltd. | WhatsApp Business Platform (Cloud API), incluida la recepción de extractos bancarios, informes CIRBE y notas de voz | Mensajes, archivos, notas de voz y número de WhatsApp de los Usuarios autorizados | UE / EE. UU. | Marco de Privacidad de Datos (Meta Platforms, Inc.) o CCT (Decisión (UE) 2021/914) |
| Anthropic (Anthropic Ireland, Limited) | Modelos de IA Claude (API) | Textos de consultas y Datos del Cliente minimizados y, cuando es posible, seudonimizados | EE. UU. | CCT (Decisión (UE) 2021/914) con evaluación de la transferencia; Marco de Privacidad de Datos solo si se acredita la certificación |
| Google (Google Ireland Limited o Google Cloud EMEA Limited, según la modalidad contratada) | Modelos de IA Gemini, incluidas la transcripción y la síntesis de voz | Notas de voz, textos de consultas y Datos del Cliente minimizados | UE / EE. UU. | Región UE: sin transferencia. Fuera de la UE: Marco de Privacidad de Datos (Google LLC) o CCT (Decisión (UE) 2021/914) |
| Perplexity AI, Inc. | Consultas de información pública (radar macro y normativo y vigilancia de contrapartes) | Solo consultas sobre información pública y nombres de personas jurídicas; no recibe datos de personas físicas ni importes | EE. UU. | No se transfieren datos personales del responsable. Si llegara a recibirlos, CCT (Decisión (UE) 2021/914) |
| Hostinger International Ltd. | Envío y recepción de email (informes, avisos, comunicaciones por mandato y extractos enviados por email) | Emails y archivos adjuntos | UE | Sin transferencia internacional |
La identificación completa de cada subencargado está disponible para los clientes en info@vesta-intelligence.com.
Plazos de retención de cada subencargado: - Supabase: durante el Contrato y hasta el fin del proceso de la cláusula 19.4; las copias de seguridad, en su ciclo ordinario (máximo 35 días más). - Cogniten (n8n): registros de ejecución, máximo 30 días. - Meta: el plazo que fijen las condiciones de WhatsApp Business. El Prestador suprime de sus sistemas los archivos originales recibidos por WhatsApp una vez procesados. - Anthropic y Google: el plazo que fijen sus condiciones empresariales de API, sin uso de los datos para entrenamiento. - Hostinger: los emails se conservan durante el Contrato y se suprimen con los Datos del Cliente al terminar el proceso de la cláusula 19.4.
Hetzner Online GmbH actúa como subencargado de Cogniten, y Amazon Web Services como subencargado de Supabase, con las mismas obligaciones (punto 7.a). Las transferencias se rigen por la cláusula 21.3 y por la garantía indicada en cada fila. Perplexity AI, Inc. figura en esta lista por transparencia: el encargado se obliga a no enviarle datos de personas físicas; si eso cambiara, lo comunicará conforme al punto 7.c.
No son subencargados de este encargo: - el ERP del responsable (Odoo, Holded u otro) y el proveedor que ese ERP utilice para la sincronización bancaria, que prestan su servicio al responsable en virtud de su propio contrato; - Stripe Payments Europe, Limited, que trata los datos de pago de la relación entre el Cliente y el Prestador y gestiona el Portal de facturación (cláusula 21.2); - Dropbox International Unlimited Company (Irlanda), que solo almacena los contratos aceptados y sus registros de prueba, datos que el Prestador trata como responsable (cláusula 21.2). Si llegara a almacenar Datos del Cliente, pasará a este Apéndice conforme al punto 7.c.