Subencargados del tratamiento
Versión 3 · En vigor desde: 2026-10-23
Esta es una traducción. Para los clientes empresariales, prevalece la versión en inglés. Para los consumidores con residencia habitual en un país en el que el español es lengua oficial, la presente versión es igualmente auténtica que la versión en inglés; si ambas versiones difieren, se aplica el sentido más favorable para el consumidor. Para los demás consumidores, prevalece la versión en inglés, salvo que la normativa imperativa de protección de los consumidores de su país disponga otra cosa.
Proveedor: STL EMBEDED CREATIONS SRL, Cluj-Napoca, Rumanía.
Esta lista constituye el Anexo III del Acuerdo de encargo del tratamiento. Abarca los datos personales que Consentl trata por cuenta de sus clientes en ambos servicios:
- Consentl para Shopify: la aplicación de Shopify en
shopify.consentl.com; - Consentl para sitios web: el panel de control en
app.consentl.comy la API pública enapi.consentl.com, a la que llaman el fragmento de código para sitios web y los plugins para plataformas.
Se trata de los registros de consentimiento, las solicitudes sobre datos personales y los desistimientos de los visitantes de tiendas y sitios web, así como de los correos electrónicos que se les envían. Los mismos proveedores tratan también los datos respecto de los cuales somos responsables del tratamiento (cuentas de clientes, facturación, soporte, registros); esto se describe en nuestras políticas de privacidad.
Subencargados del tratamiento actuales
| # | Subencargado del tratamiento (entidad, sede) | Utilizado para | Servicio y tratamiento | Datos afectados | Lugar del tratamiento | Garantía para las transferencias |
|---|---|---|---|---|---|---|
| 1 | DigitalOcean, LLC, Nueva York, EE. UU. | Shopify y sitios web | Alojamiento: App Platform (aplicaciones web, proceso de escaneo, tareas previas al despliegue), bases de datos Managed PostgreSQL, copias de seguridad automáticas de las bases de datos, registros de ejecución | Todos los datos de las bases de datos de Consentl (Anexo I del DPA) y los metadatos de las peticiones en los registros | Fráncfort, Alemania (región de App Platform fra, clúster de bases de datos en fra1) |
Datos en reposo en la UE. Acceso remoto desde terceros países (soporte, operaciones) conforme al acuerdo de encargo del tratamiento de DigitalOcean, que incorpora las cláusulas contractuales tipo de la UE (2021/914) y la Adenda del Reino Unido (UK Addendum). |
| 2 | Cloudflare, Inc., San Francisco, EE. UU., contratada por DigitalOcean (subencargado de DigitalOcean) | Shopify y sitios web | La red perimetral (edge) de App Platform: terminación TLS, distribución de contenidos y protección frente a DDoS y bots para todas las peticiones a shopify.consentl.com, app.consentl.com, api.consentl.com, consentl.com y sus hosts de preproducción. Puede instalar la cookie de seguridad __cf_bm (30 minutos) en estos hosts. La consulta del país para el banner de Consentl se ejecuta en los propios servidores de Consentl (base de datos local DB-IP Lite), no en Cloudflare. |
Direcciones IP de visitantes y clientes, metadatos de las peticiones, cuerpos de las peticiones en tránsito (balizas de consentimiento, envíos de formularios) | Red perimetral (edge) mundial (el centro de datos más cercano al solicitante); los cuerpos de las peticiones no se almacenan | Las cláusulas contractuales tipo que DigitalOcean celebra con Cloudflare en el marco del acuerdo de encargo del tratamiento de DigitalOcean. |
| 3 | Brevo SAS (antes Sendinblue SAS), 106 boulevard Haussmann, 75008 París, Francia | Shopify y sitios web | Correo electrónico transaccional a través de la API de Brevo: verificación y confirmación de solicitudes sobre datos personales, acuses de recibo de desistimientos (a compradores y visitantes); notificaciones, informes de escaneo y correos electrónicos de cuenta y facturación (a clientes) | Dirección de correo electrónico y nombre del destinatario, contenido del correo electrónico (puede incluir números de pedido, el tipo de solicitud y el mensaje del solicitante), eventos de entrega, rebote y queja (seguimiento de aperturas y clics anonimizado) | Unión Europea | Proveedor de la UE; Consentl no realiza ninguna transferencia. Subencargados propios de Brevo: véase la lista publicada por Brevo. El seguimiento de aperturas y clics está anonimizado: no se vinculan datos de interacción al destinatario. |
| 4 | Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Ginebra, Suiza | Shopify y sitios web | Alojamiento del correo electrónico de los buzones de consentl.com [email protected] (soporte) y [email protected] (protección de datos; también remitente de nuestros correos electrónicos transaccionales): correspondencia de soporte y de privacidad, solicitudes que los clientes nos reenvían, respuestas, rebotes y respuestas automáticas a nuestros correos electrónicos | Direcciones de correo electrónico, nombres y mensajes de clientes, de compradores y visitantes que responden a nuestros correos electrónicos, y de compradores y visitantes cuyas solicitudes nos reenvían los clientes | Suiza | Decisión de adecuación de la Comisión Europea para Suiza (2000/518/CE). En uso desde el 2026-10-22 (ambos buzones operativos). |
No son subencargados del tratamiento (por transparencia)
| Parte | Utilizado para | Por qué no es subencargado del tratamiento |
|---|---|---|
| Shopify (Shopify International Limited, Dublín, Irlanda; Shopify Inc., Ottawa, Canadá) | Shopify | La plataforma en la que el comerciante gestiona la tienda e instala la aplicación. Shopify trata los datos de la tienda conforme a su propio contrato con el comerciante, reenvía las peticiones del proxy de la aplicación y los webhooks, aloja los scripts de la tienda en su CDN y factura la aplicación. Siguiendo las instrucciones del comerciante, transmitimos datos a Shopify como plataforma propia del comerciante (exclusiones de la venta o del intercambio, solicitudes de supresión reenviadas, la configuración publicada del banner); no contratamos a Shopify para que trate datos por cuenta nuestra. |
| Plataformas de sitios web (WordPress, Shopware, PrestaShop, Magento, creadores de sitios web, Google Tag Manager) | Sitios web | La plataforma propia del cliente. Nuestros plugins y plantillas se ejecutan en ella y no almacenan datos de visitantes; no contratamos a la plataforma. |
| Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irlanda) | Sitios web (facturación) | Trata los datos de facturación y de pago de nuestros clientes (correo electrónico de la cuenta, nombre, datos de pago, dirección de facturación, identificación fiscal) por cuenta nuestra y, para la prevención del fraude y sus obligaciones reglamentarias, como responsable del tratamiento independiente. No recibe datos de visitantes. Se describe en la política de privacidad para sitios web. |
| DB-IP (db-ip.com) | Sitios web | Editor de la base de datos de países DB-IP Lite (CC BY 4.0). Una copia está integrada en nuestros servidores y la consulta del país se ejecuta allí, en memoria; DB-IP no recibe ningún dato nuestro. |
| Google (Google Ireland Limited, Dublín, Irlanda; Google LLC, EE. UU.) | Solo nuestro propio sitio web consentl.com | Google Analytics 4 solo funciona en consentl.com y solo después de que el visitante acepte las analíticas. Trata los datos de los visitantes de nuestro sitio web como nuestro encargado del tratamiento; nunca recibe datos de las tiendas, los sitios web o los visitantes de nuestros clientes. Se describe en el aviso de privacidad del sitio web. |
| GitHub, Inc., San Francisco, EE. UU. | Desarrollo | Aloja el código fuente y la integración continua. No se incluyen datos personales de producción en el repositorio, las incidencias, las solicitudes de incorporación de cambios (pull requests), los registros de integración continua, los datos de prueba ni las capturas de pantalla. |
| Asistentes de programación con IA (por ejemplo, Claude, de Anthropic PBC, EE. UU.) | Desarrollo | Nuestro personal los utiliza únicamente sobre código fuente y datos de prueba; no se les dan bases de datos de producción, registros de producción ni datos personales de clientes. Si alguna vez se diera a una herramienta de IA acceso a datos o registros de producción, su proveedor se añadirá a la tabla anterior previo aviso con 30 días de antelación. |
Mecanismo de notificación de cambios
- Aviso previo. Al menos 30 días antes de que un nuevo subencargado del tratamiento comience a tratar datos personales de clientes (o de que uno existente se utilice para una nueva finalidad o en una nueva ubicación):
- añadimos una entrada al registro de cambios que figura a continuación con la fecha de efecto prevista;
- enviamos un correo electrónico a la Dirección para notificaciones de cada cliente: para Shopify, el contacto de privacidad que el comerciante haya indicado en la aplicación o, en su defecto, la dirección de correo electrónico del propietario de la tienda; para los sitios web, la dirección para notificaciones indicada en la página «Cuenta» o, si no hay ninguna confirmada, los propietarios y administradores de la cuenta. Asunto: «Consentl: planned sub-processor change» (cambio previsto de subencargado del tratamiento).
- Oposición. El cliente puede oponerse por escrito en [email protected] dentro del plazo de preaviso, por motivos razonables relacionados con la protección de datos. Respondemos en un plazo de 14 días e intentamos resolver la oposición (por ejemplo, no utilizando el subencargado del tratamiento para ese cliente). Si la oposición no se resuelve en un plazo de 30 días, el cliente puede poner fin al contrato antes de que el cambio se le aplique; se reembolsan las cuotas pagadas por adelantado correspondientes al período no utilizado (cláusulas 6.3 y 6.4 del DPA: a través de Shopify, como reembolso o saldo de la aplicación, o a través de Stripe).
- Sustitución urgente. Si un subencargado del tratamiento debe sustituirse con urgencia (incidente de seguridad, insolvencia, terminación por parte del subencargado), podemos realizar el cambio con un preaviso más breve e informar a los clientes lo antes posible. El derecho de oposición sigue aplicándose, y el reembolso se calcula a partir de la fecha del cambio.
- Otras direcciones. Los clientes que deseen recibir los avisos en otra dirección pueden comunicárnoslo en [email protected].
Registro de cambios
| Fecha | Cambio | Aviso enviado | Fecha de efecto |
|---|---|---|---|
| 2026-10-20 | Lista inicial (DigitalOcean, Cloudflare a través de DigitalOcean, Brevo). | — (antes del lanzamiento) | en el lanzamiento |
| 2026-10-21 | Versión 2: la lista abarca también Consentl para sitios web; entrada de Cloudflare corregida (función, hosts, sin consulta del país); nombre de la entidad de Brevo actualizado; Proton AG añadida para los buzones de consentl.com; Stripe, Google, las plataformas de sitios web y los asistentes de programación con IA enumerados como no subencargados del tratamiento. | — (antes del lanzamiento) | en el lanzamiento; Proton, desde la fecha en que sus buzones estén operativos |
| 2026-10-22 | Entrada de Proton AG ampliada: aloja las dos direcciones públicas, [email protected] y [email protected], incluida la correspondencia de soporte y las solicitudes que los clientes reenvían. No se utiliza ningún otro proveedor de buzones. | — (antes del lanzamiento) | 2026-10-22 (buzones operativos) |
| 2026-10-22 | Revisión previa a la publicación: entrada de Cloudflare actualizada (protección frente a bots y cookie __cf_bm, host consentl.com; la consulta del país se ejecuta en nuestros propios servidores con la base de datos DB-IP Lite); DB-IP enumerada como no subencargado del tratamiento; Stripe en modo real, entidad contratante Stripe Payments Europe, Limited; los destinatarios de los avisos siguen la configuración de la dirección para notificaciones de ambos servicios. |
— (antes del lanzamiento) | en el lanzamiento |
| 2026-10-23 | Versión 3, primera versión publicada: la lista tal como figura más arriba, con las confirmaciones del propietario (los asistentes de programación con IA nunca reciben datos ni registros de producción; Brevo con seguimiento de aperturas y clics anonimizado). Ningún nuevo subencargado del tratamiento. | — (primera publicación) | 2026-10-23 |
Fuente: docs/legal/es/SUBPROCESSORS.md en el repositorio de Consentl.