> Canonical source: [https://citaflow.com/legal/subencargados/](https://citaflow.com/legal/subencargados/)

[Volver a la Política de Privacidad](https://citaflow.com/legal/privacidad/)

# Subencargados del tratamiento

Última revisión: 29 de septiembre de 2026

Esta es la lista de proveedores que tratan datos personales por cuenta de CitaFlow (Lince Media LLC) para prestar el Servicio a nuestros clientes, conforme al artículo 28.2 del RGPD. Forma parte por referencia del [Acuerdo de Tratamiento de Datos (DPA)](https://citaflow.com/legal/privacidad/#dpa) y complementa la sección 6 de la [Política de Privacidad](https://citaflow.com/legal/privacidad/).

## 1. Lista vigente

| Entidad | Servicio que presta | Ubicación del tratamiento | Mecanismo de transferencia
| **Supabase, Inc.** (EE. UU.) | Base de datos, autenticación y almacenamiento de archivos | Unión Europea (París, Francia) | Datos alojados en la UE. DPA del proveedor; Cláusulas Contractuales Tipo (2021/914) para los accesos de soporte desde fuera del EEE
| **Hetzner Online GmbH** (Alemania) | Servidores del panel, la API, la web, el acortador de enlaces y las herramientas internas autohospedadas (n8n, Chatwoot, Umami) | Alemania (Falkenstein) | Sin transferencia internacional. DPA del proveedor
| **Railway Corp.** (EE. UU.) | Servidor del asistente de voz | Estados Unidos | Cláusulas Contractuales Tipo (2021/914), cifrado en tránsito y en reposo
| **Cloudflare, Inc.** (EE. UU.) | CDN, protección perimetral, verificación anti-bot (Turnstile) y dominios personalizados | Red global; configuración en Estados Unidos | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo
| **Twilio Inc.** (EE. UU.) | Numeración y llamadas de voz; correo transaccional (SendGrid) | Estados Unidos y operadores locales del número | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo
| **OpenAI OpCo, LLC** (EE. UU.) | Voz en tiempo real, transcripción de audio e indexación semántica, solo cuando el Cliente activa funciones de IA. API empresarial: sin uso de los datos para entrenar modelos | Estados Unidos | Cláusulas Contractuales Tipo (2021/914) incorporadas al DPA del proveedor; no está certificado en el Data Privacy Framework
| **Google LLC** (EE. UU.) | Modelos Gemini para el asistente de chat y la moderación de contenidos; Firebase Cloud Messaging (notificaciones push); Google Places (verificación del negocio en el alta) | Estados Unidos y Unión Europea según el servicio | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo
| **TypeSafe AI, Inc.** (EE. UU.) | Clasificador Jev: necesidad de atención y resultado de conversaciones de chat, tema y urgencia del buzón de voz, correspondencia de cabeceras CSV. Emails y patrones numéricos largos sustituidos antes del envío | Estados Unidos | Cláusulas Contractuales Tipo (2021/914) con medidas adicionales
| **Stripe, LLC** (EE. UU.) y **Stripe Payments Europe, Ltd.** (Irlanda) | Cobros y gestión de suscripciones (PCI DSS nivel 1) | Estados Unidos e Irlanda | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo
| **Sendinblue SAS (Brevo)** (Francia) | Email marketing y CRM comercial de CitaFlow (leads y cuentas) | Unión Europea (Francia) | Sin transferencia internacional
| **TOPefekt s.r.o. (BulkGate)** (Chequia) | Envío de SMS | Unión Europea (Chequia) y operadores del país de destino | Sin transferencia internacional por parte del proveedor; el operador de destino depende del número
| **Functional Software, Inc. (Sentry)** (EE. UU.) | Monitorización de errores de la aplicación, con enmascaramiento de contenido | Estados Unidos | EU-U.S. Data Privacy Framework; Cláusulas Contractuales Tipo de respaldo
| **Axiom, Inc.** (EE. UU.) | Registros técnicos del servicio | Estados Unidos | Cláusulas Contractuales Tipo (2021/914) con medidas adicionales

El mecanismo indicado es el vigente en la fecha de revisión. Cuando se indica el EU-U.S. Data Privacy Framework, el proveedor declara su certificación en su propia política de privacidad (comprobado el 29 de septiembre de 2026) y mantenemos las Cláusulas Contractuales Tipo como salvaguarda de respaldo. Las transferencias desde el Reino Unido se amparan en la UK Extension del DPF o en el International Data Transfer Addendum del ICO, según el proveedor.

## 2. Qué no son subencargados

- **Meta Platforms** (WhatsApp, Instagram, Facebook Messenger) y **Telegram**: cuando un negocio activa esos canales, el proveedor del canal trata los mensajes como responsable independiente conforme a sus propios términos.

- **Operadores de telecomunicaciones** subyacentes a la numeración (por ejemplo Enreach Communications S.L.U. para números españoles): tratan metadatos y obligaciones regulatorias como responsables independientes.

- **Herramientas autohospedadas** en nuestros servidores de Hetzner (n8n, Chatwoot, Umami): no son destinatarios externos de datos.

## 3. Cambios en la lista y derecho de oposición

Avisamos de cada alta de subencargado con **al menos 14 días de antelación** por email a los administradores de la cuenta, y actualizamos esta página con la nueva fecha de revisión. Si la sustitución es urgente por motivos de seguridad o de continuidad del Servicio, avisamos sin demora, aunque sea con menos antelación. Cambiar de modelo o de producto dentro de un proveedor ya listado no es un alta. El Cliente puede oponerse por motivos razonables en ese plazo; si no hay alternativa viable, puede resolver la parte del Servicio afectada sin penalización, como recoge la cláusula 6 del DPA.

Para recibir los avisos en otra dirección, escriba a [privacy [arroba] citaflow [punto] com](https://citaflow.com/legal/subencargados/#contacto) con el asunto «Subencargados».

## 4. Historial de cambios

- **29 de septiembre de 2026**: publicación de la lista con ubicación y mecanismo de transferencia por proveedor, comprobado contra la política de cada proveedor. Todos los proveedores ya figuraban en la sección 6 de la Política de Privacidad.