Subencargados del tratamiento
Última revisión: 29 de septiembre de 2026
Esta es la lista de proveedores que tratan datos personales por cuenta de CitaFlow (Lince Media LLC) para prestar el Servicio a nuestros clientes, conforme al artículo 28.2 del RGPD. Forma parte por referencia del Acuerdo de Tratamiento de Datos (DPA) y complementa la sección 6 de la Política de Privacidad.
1. Lista vigente
| Entidad | Servicio que presta | Ubicación del tratamiento | Mecanismo de transferencia |
|---|---|---|---|
| Supabase, Inc. (EE. UU.) | Base de datos, autenticación y almacenamiento de archivos | Unión Europea (París, Francia) | Datos alojados en la UE. DPA del proveedor; Cláusulas Contractuales Tipo (2021/914) para los accesos de soporte desde fuera del EEE |
| Hetzner Online GmbH (Alemania) | Servidores del panel, la API, la web, el acortador de enlaces y las herramientas internas autohospedadas (n8n, Chatwoot, Umami) | Alemania (Falkenstein) | Sin transferencia internacional. DPA del proveedor |
| Railway Corp. (EE. UU.) | Servidor del asistente de voz | Estados Unidos | Cláusulas Contractuales Tipo (2021/914), cifrado en tránsito y en reposo |
| Cloudflare, Inc. (EE. UU.) | CDN, protección perimetral, verificación anti-bot (Turnstile) y dominios personalizados | Red global; configuración en Estados Unidos | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo |
| Twilio Inc. (EE. UU.) | Numeración y llamadas de voz; correo transaccional (SendGrid) | Estados Unidos y operadores locales del número | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo |
| OpenAI OpCo, LLC (EE. UU.) | Voz en tiempo real, transcripción de audio e indexación semántica, solo cuando el Cliente activa funciones de IA. API empresarial: sin uso de los datos para entrenar modelos | Estados Unidos | Cláusulas Contractuales Tipo (2021/914) incorporadas al DPA del proveedor; no está certificado en el Data Privacy Framework |
| Google LLC (EE. UU.) | Modelos Gemini para el asistente de chat y la moderación de contenidos; Firebase Cloud Messaging (notificaciones push); Google Places (verificación del negocio en el alta) | Estados Unidos y Unión Europea según el servicio | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo |
| TypeSafe AI, Inc. (EE. UU.) | Clasificador Jev: necesidad de atención y resultado de conversaciones de chat, tema y urgencia del buzón de voz, correspondencia de cabeceras CSV. Emails y patrones numéricos largos sustituidos antes del envío | Estados Unidos | Cláusulas Contractuales Tipo (2021/914) con medidas adicionales |
| Stripe, LLC (EE. UU.) y Stripe Payments Europe, Ltd. (Irlanda) | Cobros y gestión de suscripciones (PCI DSS nivel 1) | Estados Unidos e Irlanda | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo |
| Sendinblue SAS (Brevo) (Francia) | Email marketing y CRM comercial de CitaFlow (leads y cuentas) | Unión Europea (Francia) | Sin transferencia internacional |
| TOPefekt s.r.o. (BulkGate) (Chequia) | Envío de SMS | Unión Europea (Chequia) y operadores del país de destino | Sin transferencia internacional por parte del proveedor; el operador de destino depende del número |
| Functional Software, Inc. (Sentry) (EE. UU.) | Monitorización de errores de la aplicación, con enmascaramiento de contenido | Estados Unidos | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo |
| Axiom, Inc. (EE. UU.) | Registros técnicos del servicio | Estados Unidos | Cláusulas Contractuales Tipo (2021/914) con medidas adicionales |
El mecanismo indicado es el vigente en la fecha de revisión. Cuando se indica el EU-U.S. Data Privacy Framework, el proveedor declara su certificación en su propia política de privacidad (comprobado el 29 de septiembre de 2026) y mantenemos las Cláusulas Contractuales Tipo como salvaguarda de respaldo. Las transferencias desde el Reino Unido se amparan en la UK Extension del DPF o en el International Data Transfer Addendum del ICO, según el proveedor.
2. Qué no son subencargados
- Meta Platforms (WhatsApp, Instagram, Facebook Messenger) y Telegram: cuando un negocio activa esos canales, el proveedor del canal trata los mensajes como responsable independiente conforme a sus propios términos.
- Operadores de telecomunicaciones subyacentes a la numeración (por ejemplo Enreach Communications S.L.U. para números españoles): tratan metadatos y obligaciones regulatorias como responsables independientes.
- Herramientas autohospedadas en nuestros servidores de Hetzner (n8n, Chatwoot, Umami): no son destinatarios externos de datos.
3. Cambios en la lista y derecho de oposición
Avisamos de cada alta de subencargado con al menos 14 días de antelación por email a los administradores de la cuenta, y actualizamos esta página con la nueva fecha de revisión. Si la sustitución es urgente por motivos de seguridad o de continuidad del Servicio, avisamos sin demora, aunque sea con menos antelación. Cambiar de modelo o de producto dentro de un proveedor ya listado no es un alta. El Cliente puede oponerse por motivos razonables en ese plazo; si no hay alternativa viable, puede resolver la parte del Servicio afectada sin penalización, como recoge la cláusula 6 del DPA.
Para recibir los avisos en otra dirección, escriba a privacy [arroba] citaflow [punto] com con el asunto «Subencargados».
4. Historial de cambios
- 29 de septiembre de 2026: publicación de la lista con ubicación y mecanismo de transferencia por proveedor, comprobado contra la política de cada proveedor. Todos los proveedores ya figuraban en la sección 6 de la Política de Privacidad.