Subencargados del tratamiento

Última actualización: 2026-10-21. Leímos los acuerdos de abajo el 2026-10-04, los leímos de nuevo el 2026-10-07 por las cláusulas de la ANPD, leímos el de Stripe el 2026-10-07 y leímos el de AWS el 2026-10-21.

Si esta traducción difiere de la versión en inglés, prevalece la versión en inglés.

Un subencargado del tratamiento es una empresa que trata por nosotros los datos de tus contactos. El acuerdo de tratamiento de datos nos permite usar los que están en esta página. Antes de agregar o reemplazar uno que trate tus datos, avisamos por correo electrónico a los dueños de tu workspace con 30 días de anticipación.

Cada uno aparece con lo que hace, lo que recibe, dónde trabaja y lo que dice su propio acuerdo sobre la transferencia de datos entre países. Cuando un acuerdo no nombra ningún mecanismo, lo decimos y no nombramos ninguno. La Política de privacidad tiene los mismos datos en la sección 8.

Nuestro acuerdo de tratamiento de datos nos permite enviar los datos de tus contactos a las empresas del primer encabezado, y solo a ellas (sección 9). Ninguna de ellas ha firmado con nosotros las cláusulas de la ANPD.

Empresas que pueden tratar los datos de tus contactos

netcup GmbH, Karlsruhe, Alemania

Qué hace por nosotros: nos alquila los servidores. Uno ejecuta el servicio y guarda su base de datos. El otro es nuestro servidor de verificación de direcciones.
Qué recibe: todo lo que guardan esos servidores. Es decir, la base de datos, con tus contactos, tus mensajes y los datos de acceso de los buzones, ya cifrados. En el servidor de verificación, la dirección que se verifica y los nombres de los servidores de correo de su dominio, sin guardar copia.
Dónde trabaja: Estados Unidos.
Su acuerdo: el acuerdo de tratamiento de datos de netcup, que se celebra en su panel de clientes. No nombra ningún mecanismo de transferencia. Dice que el cliente decide dónde se tratan los datos.

Cloudflare, Inc., Estados Unidos

Qué hace por nosotros: responde el DNS de nuestros dominios, aloja la consola y este sitio como páginas estáticas, y guarda las copias de seguridad de cada noche.
Qué recibe: las copias de seguridad, que ciframos con una clave guardada sin conexión antes de que salgan de nuestro servidor, así que no puede leerlas. Para la consola y este sitio, la dirección IP y los detalles de la solicitud de quien carga una página. El tráfico hacia nuestra API va directo a nuestro servidor, así que ningún dato de contactos pasa por Cloudflare. Cuando activemos la comprobación de seguridad del inicio de sesión (Turnstile), Cloudflare también recibirá la dirección IP de quien la cargue.
Dónde trabaja: en la red propia de Cloudflare. No hemos fijado a una región el bucket de las copias de seguridad.
Su acuerdo: el adenda de tratamiento de datos para clientes de Cloudflare, versión 6.4 del 3 de abril de 2026. Para las transferencias desde el EEE que lo necesiten, aplica las cláusulas contractuales tipo de la UE (Módulo Dos, o Módulo Tres cuando el cliente es un encargado del tratamiento), con la adenda del Reino Unido y una versión suiza. También dice que Cloudflare cumple el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) y tiene las certificaciones Global CBPR y Global PRP. No menciona las cláusulas de la ANPD ni la Ley General de Protección de Datos de Brasil (LGPD). Sus propios subencargados los lista Cloudflare.

MillionVerifier, Hungría

Empresa: GBD Software as a Service Private Limited Company, Lakitelek, Hungría.
Qué hace por nosotros: nos dice si una dirección de correo puede recibir correo, para las direcciones que nuestro propio servidor de verificación no puede responder.
Qué recibe: la dirección, nada más. La guarda en su caché hasta 7 días, y en sus copias de seguridad hasta que se reemplazan.
Dónde trabaja: la empresa está en Hungría. Hace sus verificaciones en servidores y proxies de varios países, entre ellos Estados Unidos. Su propia lista está aquí.
Su acuerdo: el acuerdo de tratamiento de datos de MillionVerifier, publicado el 26 de agosto de 2026. No nombra ningún mecanismo de transferencia. Dice solo que, cuando una transferencia está sujeta al capítulo V del RGPD, MillionVerifier usará el mecanismo de transferencia lícito que se exija para ella, y que no firma ningún acuerdo de transferencia propio de un país salvo que la ley también lo exija para su propio tratamiento. No menciona las cláusulas de la ANPD ni la LGPD.

Empresas que no reciben los datos de tus contactos

Amazon Web Services, Inc. (Amazon SES), Estados Unidos

Qué hace por nosotros: su servicio de correo, Amazon SES, entrega el correo sobre tu cuenta: enlaces de inicio de sesión, restablecimientos de contraseña, alertas, avisos y los códigos que confirman la dirección de un buzón. El correo de las campañas nunca pasa por ahí, y un correo de alerta nunca lleva la dirección ni las palabras de un prospecto.
Qué recibe: tu dirección, tu nombre y el propio mensaje. Los términos de servicio de AWS permiten que AWS, o empresas que contrata, guarden y analicen cada mensaje para bloquear spam, phishing y virus. Si un correo nuestro para ti rebota de forma permanente, o si lo marcas como spam, Amazon SES guarda tu dirección en una lista de nuestra cuenta, de direcciones a las que ya no envía nada, hasta que la quitemos de ahí.
Dónde trabaja: en la región EE. UU. Este (Norte de Virginia) de AWS, us-east-1, en Estados Unidos. Su acuerdo dice que, una vez que el cliente elige una región, AWS no saca los datos de esa región, salvo para prestar el servicio o para cumplir la ley o una orden vinculante de una autoridad.
Su acuerdo: la adenda de tratamiento de datos de AWS, que forma parte de los términos de servicio de AWS, actualizados por última vez el 13 de octubre de 2026. La adenda aplica las cláusulas contractuales tipo de la UE solo a los datos que cubre el RGPD y que van a un país fuera del EEE sin decisión de adecuación de la Comisión Europea: las cláusulas entre responsable y encargado del tratamiento, o entre dos encargados cuando el cliente es un encargado. No se aplican si AWS ha adoptado normas corporativas vinculantes u otro estándar reconocido para esas transferencias. Los términos de servicio agregan una adenda del Reino Unido y una adenda suiza. Ninguno de estos textos menciona las cláusulas de la ANPD ni la LGPD. La página de AWS sobre la ley de Brasil dice que ofrece "a Data Processing Agreement that meets the requirements of LGPD" (un acuerdo de tratamiento de datos que cumple los requisitos de la LGPD), pero no nombra ningún mecanismo para los datos que salen de Brasil. Por eso no nombramos ninguno.

Stripe

Qué hace por nosotros: cobra los planes de pago.
Qué recibe: de nosotros, solo el id del workspace. En su propia página de pago le das tu correo, tu tarjeta y tus datos de facturación, que nunca nos llegan. Nunca recibe los datos de tus contactos.
Dónde trabaja: su acuerdo envía los datos a Stripe, LLC en Estados Unidos, y a las filiales y los subencargados de Stripe en otros países.
Su acuerdo: el acuerdo de tratamiento de datos de Stripe, actualizado por última vez el 28 de septiembre de 2026, que forma parte del acuerdo de servicios de Stripe, y su adenda de transferencias de datos, actualizado por última vez el 18 de noviembre de 2025. La adenda nombra el Marco de Privacidad de Datos (Data Privacy Framework), las cláusulas contractuales tipo de la UE, la adenda de transferencia internacional de datos del Reino Unido y una versión suiza de ellas. Su sección 11 aplica las cláusulas contractuales tipo de la ANPD a los datos que van de Brasil a un país sin decisión de adecuación de la ANPD: el exportador es la parte del acuerdo con Stripe y el importador es Stripe, LLC. Para una parte de su trabajo, Stripe decide las finalidades por su cuenta, y ahí es responsable del tratamiento, no nuestro encargado.

No son subencargados

Tus proveedores de correo (Google, Microsoft, Zoho Mail o el servidor SMTP que elegiste). Cada mensaje se envía y se recibe por medio de ellos, bajo sus términos. Son tus proveedores, no los nuestros.
El servicio de inicio de sesión y la base de datos de Supabase, que administramos nosotros mismos en nuestro propio servidor. Nada sale de nuestro servidor hacia ellos.