Subencargados del tratamiento

Relación publicada conforme al artículo 28.2 del RGPD.

Para prestar el servicio, el operador se apoya en los proveedores que se relacionan a continuación. Todos ellos tratan datos por cuenta y siguiendo las instrucciones de la empresa cliente, que es la responsable del tratamiento, y están vinculados por un contrato de encargo con obligaciones de confidencialidad y seguridad equivalentes.

Compromiso de comunicación previa. Cualquier alta o cambio en esta lista se comunicará a las empresas clientes antes de hacerse efectivo, para que puedan oponerse conforme al art. 28.2 RGPD. Esta página es la relación vigente en cada momento.

Proveedor	Finalidad	Datos que trata	Ubicación y transferencias
Supabase (PostgreSQL gestionado)	Base de datos principal de la aplicación.	Todos los datos de gestión: clientes, personal, jornadas, facturación, proyectos.	Región configurable en el despliegue. Sociedad matriz en EE. UU.: procede firmar cláusulas contractuales tipo y documentar el análisis de transferencia.
Railway (alojamiento de la aplicación)	Ejecución del servidor de aplicaciones.	Datos en tránsito y registros técnicos (direcciones IP, trazas de error).	Región del despliegue. Proveedor con sede en EE. UU.
Cloudinary	Almacenamiento de documentos y adjuntos (nóminas, certificados, justificantes).	Documentos laborales y de obra, que pueden contener datos identificativos y económicos.	Almacenamiento con acceso restringido y descarga firmada; no público.
Stripe	Cobro de la suscripción al SaaS.	Datos de facturación y pago de la empresa cliente. No accede a los datos del ERP.	Proveedor con sede en EE. UU. Actúa como responsable independiente del pago.
Agencia Estatal de Administración Tributaria (AEAT)	Remisión de los registros de facturación Veri*Factu.	Datos fiscales de las facturas emitidas.	España. No es un subencargado sino un destinatario por obligación legal (RD 1007/2023); se lista aquí por transparencia.
Proveedor de firma electrónica (Firmafy / Signaturit)	Firma electrónica de documentos laborales, solo si la empresa activa el módulo.	Nombre, NIF, correo del firmante y el documento firmado.	España / UE.
n8n (autoalojado por el operador)	Envío de avisos y correo, si la empresa elige ese canal.	Destinatarios y contenido de los avisos y correos enviados.	Misma región que el despliegue; instancia bajo control del operador.
Proveedor SMTP de la propia empresa cliente	Envío de correo, si la empresa elige el canal SMTP con sus credenciales.	Destinatarios y contenido de los correos.	Determinado por la propia empresa cliente, que lo configura en Ajustes.

Transferencias internacionales

Algunos de estos proveedores tienen su sociedad matriz fuera del Espacio Económico Europeo, aunque los datos se alojen en regiones de la Unión Europea. Para esos casos, el operador debe tener suscritas cláusulas contractuales tipo aprobadas por la Comisión Europea y documentado el correspondiente análisis de impacto de la transferencia.

Pendiente de formalizar. La documentación de transferencias internacionales y el contrato de encargo del tratamiento con cada empresa cliente deben firmarse antes de operar con datos reales de terceros. Esta página describe la arquitectura tal y como es; no acredita por sí sola que esos contratos estén firmados.

Región de alojamiento

La región concreta en la que se alojan la base de datos y la aplicación se fija en el despliegue y puede confirmarse a solicitud de cada empresa cliente, como parte de la información previa a la contratación.