Lista de subencargados del tratamiento

• Railway (Estados Unidos) — Alojamiento de la plataforma: los servidores, la base de datos, la cola de tareas y sus copias de seguridad. Es el encargado que aloja todos los datos que la plataforma guarda. Salvaguarda: acuerdo de tratamiento de datos incorporado a sus propios términos de servicio (railway.com/legal/dpa, consultado el 4 de septiembre de 2026). Retención: la de la plataforma; ningún plazo propio del proveedor se declara.
• Resend (Estados Unidos) — Envío de correo electrónico transaccional: recibe tu dirección de correo y el contenido de los avisos. Salvaguarda: acuerdo de tratamiento de datos incorporado a sus términos (resend.com/legal/dpa, consultado el 4 de septiembre de 2026).
• Polar.sh (Estados Unidos) — Pasarela de pagos y facturación: recibe el correo de contacto y el nombre del despacho. Salvaguarda: acuerdo de tratamiento de datos incorporado a sus términos (polar.sh/legal/data-processing-addendum, consultado el 4 de septiembre de 2026).
• Nebius B.V., sociedad neerlandesa domiciliada en Schiphol Boulevard 165, 1118 BG Schiphol, Países Bajos, que opera el servicio Nebius Token Factory (Países Bajos; inferencia en la Unión Europea, en Israel o en Estados Unidos según el modelo) — Generación de texto con el modelo GLM-5.3-Flash para las funciones de Inteligencia Artificial, y generación de las representaciones vectoriales (embeddings) del texto de tus documentos con el modelo Qwen3-Embedding-8B, que se ejecuta en la Unión Europea (Finlandia) y hace posible la búsqueda semántica de la función de preguntas con citas (Q&A). Hasta el 24 de septiembre de 2026 los embeddings los calculaba Voyage AI (Estados Unidos), que desde esa fecha dejó de ser subencargado. Ley aplicable: la de los Países Bajos; foro: los tribunales de Ámsterdam. Salvaguarda: acuerdo de tratamiento de datos incorporado a sus términos de servicio, con las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 para las transferencias fuera del Espacio Económico Europeo. Retención: la sección siguiente la describe entera.
• Sentry (Estados Unidos) — Monitoreo técnico de errores: recibe la ruta donde ocurrió el error y tu identificador interno de usuario; antes de enviar cada evento eliminamos tu correo, tu nombre y tu dirección IP. Salvaguarda: acuerdo de tratamiento de datos incorporado a sus términos (sentry.io/legal/dpa, consultado el 4 de septiembre de 2026).
• Cloudflare (Estados Unidos) — Red de entrega y protección del sitio y de la aplicación: todo el tráfico entre tu navegador y nosotros pasa por su red, de modo que procesa en tránsito la dirección IP y los metadatos de cada conexión; controla además el acceso a nuestra documentación interna. Desde el 19 de septiembre de 2026 opera también la verificación anti-abuso del buscador de expedientes sin cuenta (Cloudflare Turnstile): cuando alguien usa ese buscador, su navegador se comunica directamente con Cloudflare, que trata para esa comprobación —según su propia política de privacidad de Turnstile, consultada el 19 de septiembre de 2026— la dirección IP, la huella TLS, la cabecera User-Agent y la clave pública del sitio con su origen, y declara que no puede identificar directamente a una persona a partir de esas señales. Esa verificación no escribe ninguna cookie: Cloudflare publica que Turnstile no usa cookies para recopilar ni almacenar información, y la cookie cf_clearance sólo se emite con la «pre-autorización» activada, que en nuestro widget está desactivada. Mide además con Cloudflare Web Analytics, en cifras agregadas, las páginas vistas —qué dirección, desde qué sitio se llegó, con qué tipo de navegador y de dispositivo y cuánto tardó en cargar—; esa medición no escribe cookies ni usa el almacenamiento local del navegador y no le asigna ningún identificador, y como toda petición web lleva la dirección IP. Salvaguarda: acuerdo de tratamiento de datos v6.4, en vigor desde el 3 de abril de 2026, incorporado por referencia al contrato de suscripción, que obliga a notificar un incidente sin dilación indebida.
• Google LLC (Estados Unidos) — Medición del uso del sitio público con Google Analytics 4, en las páginas del sitio público y, en la aplicación, sólo en el instante en que se crea una cuenta, cuando recibe un único evento de registro (sign_up) con el método y sin ningún identificador de la persona ni del despacho: recibe qué páginas y qué guías se visitan, cuánto se recorren, qué enlaces salen hacia otros sitios, qué videos se reproducen y qué archivos se descargan, con la dirección IP y los datos técnicos del navegador; y, sólo con «Aceptar todas» en el aviso de cookies, los identificadores de las cookies _ga y _ga_<id>. Sin ese consentimiento corre con la analítica denegada y sólo envía pings sin cookies. Están apagadas la medición de búsquedas en el sitio y la de interacciones con formularios, las opciones de compartir los datos de Analytics con Google para sus propios fines y Google signals; la propiedad está vinculada a nuestra cuenta de Google Ads para ver métricas y contar el registro como conversión, sin audiencias ni remarketing. No recibe ningún dato que un despacho sube a la plataforma, y por eso no forma parte de la cadena de subencargados que se sella en el contrato de encargado. Salvaguarda: condiciones de encargado de tratamiento de Google (Google Ads Data Processing Terms), que cubren a Google Analytics y que aceptamos en la cuenta antes de encender la medición. Retención: catorce (14) meses, el plazo que fijamos en la propiedad; pasado ese plazo Google borra los datos de eventos y de usuario.
• Oracle America, Inc., sociedad estadounidense con domicilio para notificaciones en 500 Oracle Parkway, Redwood Shores, California 94065, Estados Unidos, que opera Oracle Cloud Infrastructure (Brasil: la máquina virtual corre en su región de São Paulo; Oracle puede acceder desde otros países para soporte, gestión de incidentes o recuperación) — Salida de red hacia el Diário de Justiça Eletrônico Nacional (DJEN) de Brasil, sólo para las consultas de los despachos cuyo país es Brasil: las que la plataforma hace al DJEN por los números de inscripción en la OAB y por los nombres de las partes que vigila el escritório salen por una máquina virtual que sólo deja pasar conexiones hacia los dos servidores oficiales del DJEN. El contenido viaja cifrado con TLS de extremo a extremo entre nuestra plataforma y el DJEN, así que Oracle no lo lee; sí trata los metadatos de cada conexión: direcciones IP, el nombre del servidor de destino, horarios y tamaños. Activo desde el 14 de octubre de 2026: desde ese día las consultas al DJEN de los despachos de Brasil salen por esta máquina, y por ninguna otra. Ley aplicable: la del Estado de California; foro: los tribunales de los condados de San Francisco o Santa Clara. Salvaguarda: el Cloud Services Agreement en línea de Oracle (versión v062223_US_ENG), cuyo §5.2 b) incorpora por referencia el Data Processing Agreement for Oracle Services del 14 de agosto de 2025 y su anexo de transferencias (Data Transfer and Additional Jurisdiction Specific Terms Annex, versión v060225), que para los datos sujetos a la ley brasileña que salgan de Brasil remite a las cláusulas-padrão contratuais de la Resolução CD/ANPD nº 19/2024; versiones publicadas, consultadas el 14 de octubre de 2026. Retención: la máquina no guarda el contenido de las consultas ni de las respuestas; no establecimos el plazo en que Oracle conserva los metadatos de red que trata, y al terminar el servicio su acuerdo lo obliga a devolver y borrar los datos personales que queden en sus sistemas.
• Proveedores alternos de generación de texto, registrados y sin tráfico hoy: Anthropic (Estados Unidos) y JINGSHENG HENGXING TECHNOLOGY PTE. LTD., domiciliada en 10 Anson Road #26-03, Singapur, que opera el servicio z.ai. Ninguno de los dos recibe datos tuyos: la plataforma conserva su conexión configurada para poder volver a ellos si el proveedor de generación deja de estar disponible. Activar uno cambiaría el encargado y la jurisdicción de la transferencia, así que no lo haríamos sin subir la versión de la política de tratamiento de datos personales y pedirte una autorización nueva. Retención declarada: Anthropic elimina normalmente entradas y salidas dentro de los treinta días, con las excepciones que publica; z.ai declara no almacenar el contenido de la API.

De tres de ellos publicamos la persona jurídica completa y su domicilio, porque son los que la declaran en los instrumentos que rigen la contratación: Nebius B.V., Oracle America, Inc. y JINGSHENG HENGXING TECHNOLOGY PTE. LTD. De los demás publicamos el nombre bajo el que contratan y el país desde el que prestan el servicio, que es lo que sus propios términos declaran; no inventamos una denominación social que la fuente no publique.

No afirmamos haber negociado con ninguno de ellos cláusulas distintas de las que sus propios términos incorporan, ni que tengan certificaciones de seguridad que hayamos auditado. Lo que sí tenemos, y archivamos, es el acuerdo de tratamiento de cada uno: con Railway, además, firmado por separado por las dos partes (9 de octubre de 2026); con Sentry, aceptado electrónicamente en su versión 5.1.0 (10 de octubre de 2026); con Oracle, el que su Cloud Services Agreement incorpora por referencia, en la versión que Oracle publica; con los demás, el que sus propios términos incorporan.

Lo que sí afirmamos, y es lo contrario de esconderse detrás de una lista: respondemos por ellos como si fueran nosotros. Cuando el despacho contratante está domiciliado en Brasil, el contrato de encargado adopta las cláusulas-padrão contratuais del Anexo II de la Resolução CD/ANPD nº 19, de 23 de agosto de 2024, y su Cláusula 18.2, c) dice que el importador «será considerado o responsável por eventuais irregularidades praticadas pelo terceiro destinatário da Transferência Posterior». No es una remisión: es responsabilidad directa nuestra frente al titular brasileño por las irregularidades de cualquiera de los subencargados de esta lista. La misma cláusula, en su literal b), nos obliga a garantizar por instrumento contractual escrito que las salvaguardas de esas cláusulas los alcanzan, y es la razón por la que cada fila de arriba nombra el instrumento con el que viaja el envío en vez de decir «acuerdo vigente». Un subencargado cuya salvaguarda no se pueda nombrar no entra a esta lista. Esos instrumentos llevan, donde hay transferencia, las cláusulas contractuales tipo de la Unión Europea; sólo el de Oracle remite a las cláusulas-padrão de la ANPD, y únicamente para los datos que salgan de Brasil, así que la responsabilidad directa del literal c) es la garantía que te damos sobre todos ellos.

La retención cero (zero data retention) está activada en nuestra organización del proveedor de generación de texto desde el 4 de septiembre de 2026. Según lo que ese proveedor publica, con la retención cero activada las entradas (el texto que se le envía) y las salidas (el texto que devuelve) no se almacenan en sus sistemas después de procesar cada solicitud, no se usan para la decodificación especulativa y no se usan para entrenar, afinar ni mejorar ningún modelo, ni suyo ni de un tercero; la opción rige a nivel de organización y cubre todos sus proyectos y puntos de acceso (guía legal publicada de Nebius, «Legal Quick Guide», consultada el 4 de septiembre de 2026 en el sitio de documentación del proveedor).

Te decimos también, con la misma precisión, lo que esa garantía NO resuelve: es una declaración publicada por el proveedor y no un control que hayamos auditado; rige hacia adelante y no alcanza los envíos anteriores al 4 de septiembre de 2026, sobre los cuales siguió rigiendo el tratamiento por defecto de sus términos de servicio; sus documentos publicados NO dicen si la retención cero alcanza los registros que el proveedor pueda llevar para detectar abuso del servicio, ni si se aplica igual a las respuestas entregadas en flujo (streaming), de modo que no te afirmamos ninguna de esas dos cosas; y la activación depende de nosotros, así que si alguna vez la desactiváramos actualizaríamos la política de tratamiento de datos personales antes de hacerlo.

El proveedor declara públicamente certificaciones ISO 27001, ISO 27701 y SOC 2 Tipo II y publica la lista de sus propios subencargados, pero es una declaración suya que no hemos auditado ni verificado contra los certificados.

Esta lista se revisa al menos una vez al año y, además, cada vez que entre, salga o cambie un subencargado, cambie la jurisdicción de uno de ellos o cambie su configuración de retención. La fecha de la última revisión es la que encabeza este documento.

Cuando el cambio altere quién trata tus datos o dónde, no basta con actualizar esta lista: la política de tratamiento de datos personales sube de versión y la plataforma te pide una autorización nueva sobre el texto vigente, como promete su sección 12. Cuando el cambio sólo acote lo que un subencargado ya autorizado retiene, esta lista se actualiza y la política lo dice, sin volver a preguntarte.