Legal · Inventario revisado el 2026-09-30
Subencargados y destinatarios
Esta página enumera los proveedores que tratan datos personales para prestar la plataforma. Es la misma lista que figura en el anexo del contrato de encargo de tratamiento (DPA, art. 28 RGPD) y en la política de privacidad, y se genera a partir de un único inventario mantenido en el código.
Qué significa cada papel
- Subencargado: trata datos por cuenta nuestra y, a través de nosotros, por cuenta del despacho o empresa responsable (art. 28.4 RGPD). Está sujeto a un contrato con las mismas obligaciones de protección de datos.
- Destinatario: recibe datos al usar una función, pero trata esos datos por su cuenta y bajo su propia política (art. 4.9 RGPD).
- Integración del usuario: un servicio que el propio usuario conecta con su cuenta. La relación contractual es la del usuario con ese proveedor.
Lista vigente
| Proveedor | Papel | Finalidad | Datos | Ubicación | Garantía de transferencia | Cuándo interviene | Documentación |
|---|---|---|---|---|---|---|---|
| Vercel (alojamiento) | Subencargado | Alojamiento y ejecución de la aplicación web | Todas las peticiones a la aplicación: IP, datos de cuenta y contenido en tránsito | UE (funciones en la región fra1, Fráncfort) con red perimetral global | Cláusulas Contractuales Tipo (art. 46.2.c RGPD; Decisión (UE) 2021/914) | Siempre | DPA · Sus subencargados |
| Neon (PostgreSQL gestionado) | Subencargado | Base de datos de la aplicación | Datos de cuentas, clientes, facturas, contabilidad y registros de auditoría | Región del proyecto de base de datos(no verificado) | Pendiente de verificar | Siempre | DPA |
| Cloudflare R2 (almacenamiento de ficheros) | Subencargado | Almacenamiento cifrado de documentos y ficheros subidos | Documentos aportados (facturas, nóminas, extractos, certificados) | UE si el bucket se crea con jurisdicción UE | Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EE. UU. (arts. 45 y 46.2.c RGPD; Decisión (UE) 2023/1795) | Siempre | DPA · Sus subencargados |
| Resend (correo saliente y entrante) | Subencargado | Envío de correos (accesos, avisos, facturas) y recepción del buzón de documentos | Direcciones de correo, nombre, contenido y adjuntos de los mensajes | EE. UU. y otras regiones del proveedor(no verificado) | Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EE. UU. (arts. 45 y 46.2.c RGPD; Decisión (UE) 2023/1795) | Siempre | DPA · Sus subencargados |
| Anthropic (Claude, IA) | Subencargado | IA: lectura de documentos, extracción de datos y asistentes | Contenido de los documentos y de las consultas enviadas al asistente | EE. UU.(no verificado) | Cláusulas Contractuales Tipo (art. 46.2.c RGPD; Decisión (UE) 2021/914) | Siempre | DPA · Sus subencargados |
| Microsoft Azure AI Document Intelligence (OCR) | Subencargado | OCR: lectura de facturas y documentos | Imágenes y PDF de los documentos aportados | Región del recurso de Azure elegida al crearlo(no verificado) | Pendiente de verificar | Siempre | DPA(no verificado) |
| NVIDIA NIM (IA y OCR de respaldo) | Subencargado | IA y OCR de respaldo cuando está activado | Contenido de los documentos y consultas enviados al modelo | EE. UU.(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | Política(no verificado) |
| Voyage AI (vectores del buscador de normativa) | Subencargado | Vectores para el buscador de normativa | Textos de normativa y las consultas de búsqueda del usuario | EE. UU.(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | Política(no verificado) |
| Stripe (cobro de la suscripción) | Subencargado(no verificado) | Cobro de la suscripción a la plataforma | Nombre, email, datos fiscales y de pago del despacho o empresa suscriptora | UE / EE. UU.(no verificado) | Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EE. UU. (arts. 45 y 46.2.c RGPD; Decisión (UE) 2023/1795) | Siempre | DPA · Sus subencargados |
| Google Firebase Cloud Messaging (avisos push de la app) | Subencargado | Entregar los avisos push de la app móvil (plazos, mensajes y documentos pedidos) a los móviles que los activan, incluido iOS a través de Apple Push Notification service. | Identificador de avisos del móvil, título y texto breve del aviso y la pantalla a la que lleva. | Google (EE. UU. y otros países); pendiente de verificar el mecanismo de transferencia.(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | DPA · Sus subencargados(no verificado) |
| Stripe Connect (cobros online de la propia empresa) | Integración del usuario | Cobros online de la propia empresa a sus clientes (cuenta Stripe de la empresa) | Datos de los pagadores y de los cobros | Según el contrato de la empresa con Stripe(no verificado) | Según el contrato del usuario con su proveedor | Solo si el usuario activa la función | DPA |
| Meta (WhatsApp Business) | Subencargado | Avisos, fichaje y recepción de documentos por WhatsApp | Número de teléfono, mensajes y ficheros enviados | EE. UU. y otras regiones de Meta(no verificado) | Pendiente de verificar | Solo si el usuario activa la función | DPA |
| Twilio (SMS) | Subencargado | Envío de SMS (avisos y fichaje) | Número de teléfono y texto del mensaje | EE. UU. y otras regiones del proveedor(no verificado) | Cláusulas Contractuales Tipo y/o Marco de Privacidad de Datos UE-EE. UU. (arts. 45 y 46.2.c RGPD; Decisión (UE) 2023/1795) | Solo si la plataforma lo tiene activado | DPA · Sus subencargados |
| Telegram (avisos por bot) | Destinatario(no verificado) | Avisos por Telegram a quien vincula su cuenta | Identificador de Telegram y texto del aviso | Según la política de Telegram(no verificado) | Pendiente de verificar | Solo si el usuario activa la función | Política(no verificado) |
| OpenStreetMap Foundation (teselas del mapa de fichajes) | Destinatario | Teselas del mapa de fichajes | IP y teselas solicitadas por quien abre el mapa (no las coordenadas guardadas) | Red de caché global de la OSMF(no verificado) | Pendiente de verificar | Solo si el usuario activa la función | Política(no verificado) |
| Enable Banking (lectura de cuentas bancarias) | Subencargado(no verificado) | Lectura de movimientos bancarios autorizada por el titular (PSD2) | Movimientos, saldos e identificadores de cuenta | Según el contrato con Enable Banking(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | Política(no verificado) |
| Salt Edge (lectura de cuentas bancarias) | Subencargado(no verificado) | Lectura de movimientos bancarios autorizada por el titular (PSD2) | Movimientos, saldos e identificadores de cuenta | Según el contrato con Salt Edge(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | Política(no verificado) |
| GoCardless Bank Account Data (lectura de cuentas bancarias) | Subencargado(no verificado) | Lectura de movimientos bancarios autorizada por el titular (PSD2) | Movimientos, saldos e identificadores de cuenta | Según el contrato con GoCardless(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | Política(no verificado) |
| Mailgun / Postmark (correo entrante, alternativa a Resend) | Subencargado | Recepción del buzón de documentos si se elige este proveedor en lugar de Resend | Remitente, asunto, cuerpo y adjuntos de los correos recibidos | Según el proveedor elegido(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | — |
| Destino de alertas de errores (webhook configurable) | Subencargado | Alertas de errores de producción | Mensajes de error saneados (sin datos de clientes por diseño) | Según el destino configurado(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | — |
| Sentry (seguimiento de errores) | Subencargado | Seguimiento de errores de producción (si el dueño pone SENTRY_DSN) | Mensajes de error y trazas saneados por el logger (sin NIF, IBAN, emails ni texto del usuario) | Según la región elegida en Sentry (UE o EE. UU.)(no verificado) | Pendiente de verificar | Solo si la plataforma lo tiene activado | DPA · Sus subencargados(no verificado) |
| Microsoft 365 (calendario, OneDrive y correo que conecta el usuario) | Integración del usuario | Sincronizar el calendario, OneDrive/SharePoint o el correo que conecta el usuario | Eventos, ficheros y correos de la cuenta conectada | Según la cuenta Microsoft del usuario(no verificado) | Según el contrato del usuario con su proveedor(no verificado) | Solo si el usuario activa la función | — |
| Google (calendario que conecta el usuario) | Integración del usuario | Sincronizar el calendario que conecta el usuario | Eventos del calendario conectado | Según la cuenta Google del usuario(no verificado) | Según el contrato del usuario con su proveedor(no verificado) | Solo si el usuario activa la función | — |
| Servidor de correo del usuario (IMAP) | Integración del usuario | Leer el buzón que conecta el usuario para recoger facturas | Correos y adjuntos del buzón conectado | Servidor de correo del usuario(no verificado) | Según el contrato del usuario con su proveedor(no verificado) | Solo si el usuario activa la función | — |
| Wolters Kluwer a3innuva Nómina (importación que conecta el despacho) | Integración del usuario | Importar nóminas desde la cuenta a3innuva del despacho | Datos de nóminas de los trabajadores de los clientes | Según el contrato del despacho con Wolters Kluwer(no verificado) | Según el contrato del usuario con su proveedor(no verificado) | Solo si el usuario activa la función | — |
Las marcas «no verificado» indican aspectos (DPA, ubicación, garantía de transferencia o papel) que aún no se han comprobado en la documentación oficial del proveedor. Se revisarán antes de la publicación definitiva.
Destinatarios que no son encargados
Cuando la ley lo exige (art. 6.1.c RGPD), los datos se comunican a administraciones públicas: en España la AEAT (incluido VeriFactu), la Seguridad Social y la DEHú; en Bulgaria la НАП y el НОИ; y el sistema VIES de la Comisión Europea para comprobar números de IVA. También consultamos registros mercantiles públicos por el número de identificación de la empresa. Ninguno de ellos actúa como encargado nuestro.
Aviso de cambios
Informaremos por escrito a los despachos y empresas usuarias de cualquier incorporación o sustitución de subencargados con una antelación mínima de 30 días, para que puedan oponerse (art. 28.2 RGPD). Esta página muestra siempre la lista vigente.
Contrato de encargo (DPA)
Puedes descargar el modelo del contrato de encargo de tratamiento en PDF, con este mismo anexo de subencargados. El contrato se acepta dentro de la aplicación y queda registrado con su versión y huella.