Conforme al artículo 28 del RGPD, debemos informarle por adelantado de los subencargados que contratamos y darle una oportunidad razonable para oponerse antes de que un nuevo proveedor empiece a tratar sus datos. La tabla siguiente es la lista canónica. La actualizamos cuando añadimos, sustituimos o eliminamos un proveedor y notificamos a todos los suscriptores de la lista de cambios al menos 14 días antes de su entrada en servicio.
Subencargados
Las empresas a las que confiamos los datos del cliente.
Lista pública y completa de todos los servicios externos que tratan datos personales en nombre de Veracly — qué hacen, dónde se ejecutan y qué datos manejan.
Última actualización: 2026-04-29
Anthropic, PBC
FinalidadGeneración de texto por IA para explicaciones en lenguaje claro, resúmenes y recomendaciones traducidas de sus informes.
Categorías de datosDatos técnicos de la incidencia y un breve fragmento HTML del elemento afectado. No se envían nombres, contactos ni datos de organización.
Región de infraestructuraUnited States (us-west-2)
Mecanismo de transferenciaCláusulas Contractuales Tipo UE (Módulo 2/3, 2021) y el Marco UE-EE.UU. de Privacidad de Datos cuando el proveedor está auto-certificado. Medidas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), registro de accesos y compromisos contractuales de residencia.
Amazon Web Services EMEA SARL (S3)
FinalidadAlmacenamiento de objetos para informes PDF, artefactos de escaneo y evidencias subidas por el cliente.
Categorías de datosInformes PDF, JSON de salida, archivos de evidencia y artefactos de verificación.
Región de infraestructuraeu-central-1 (Frankfurt) · us-east-1 (Virginia)
Mecanismo de transferenciaCláusulas Contractuales Tipo UE (Módulo 2/3, 2021) y el Marco UE-EE.UU. de Privacidad de Datos cuando el proveedor está auto-certificado. Medidas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), registro de accesos y compromisos contractuales de residencia.
Clerk, Inc.
FinalidadAutenticación, gestión de sesiones, MFA e interfaz del perfil de usuario.
Categorías de datosNombre, correo, hash de contraseña, factores MFA, IP de inicio de sesión, huella del dispositivo.
Región de infraestructuraUnited States (multi-region) · EU residency on request
Mecanismo de transferenciaCláusulas Contractuales Tipo UE (Módulo 2/3, 2021) y el Marco UE-EE.UU. de Privacidad de Datos cuando el proveedor está auto-certificado. Medidas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), registro de accesos y compromisos contractuales de residencia.
Resend, Inc.
FinalidadEnvío de correos transaccionales — verificación, finalización de escaneo, facturación y privacidad.
Categorías de datosNombre del destinatario, correo, cuerpo y encabezados, telemetría de entrega.
Región de infraestructuraUnited States · Frankfurt edge processing
Mecanismo de transferenciaCláusulas Contractuales Tipo UE (Módulo 2/3, 2021) y el Marco UE-EE.UU. de Privacidad de Datos cuando el proveedor está auto-certificado. Medidas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), registro de accesos y compromisos contractuales de residencia.
Stripe Payments Europe, Ltd.
FinalidadProcesamiento de pagos, suscripciones, facturación y documentos fiscales.
Categorías de datosDirección de facturación, nombre, correo, IVA/ABN, últimos dígitos de la tarjeta, tokens, historial.
Región de infraestructuraIreland (EU) · United States (cross-border for fraud detection)
Mecanismo de transferenciaCláusulas Contractuales Tipo UE (Módulo 2/3, 2021) y el Marco UE-EE.UU. de Privacidad de Datos cuando el proveedor está auto-certificado. Medidas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), registro de accesos y compromisos contractuales de residencia.
Supabase, Inc.
FinalidadBase de datos principal — cuentas, organizaciones, sitios, escaneos, hallazgos y registro de auditoría.
Categorías de datosTodos los registros de clientes, organizaciones, sitios, escaneos y hallazgos — cifrados en reposo con KMS.
Región de infraestructuraeu-central-1 (Frankfurt) — primary · read replicas in us-east-1
Mecanismo de transferenciaCláusulas Contractuales Tipo UE (Módulo 2/3, 2021) y el Marco UE-EE.UU. de Privacidad de Datos cuando el proveedor está auto-certificado. Medidas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), registro de accesos y compromisos contractuales de residencia.
Upstash, Inc.
FinalidadCola de tareas basada en Redis (BullMQ) y caché para workers y rate limits.
Categorías de datosCargas útiles de tareas, contadores de límite, claves de idempotencia.
Región de infraestructuraeu-west-1 (Frankfurt) — primary · multi-region replicas
Mecanismo de transferenciaCláusulas Contractuales Tipo UE (Módulo 2/3, 2021) y el Marco UE-EE.UU. de Privacidad de Datos cuando el proveedor está auto-certificado. Medidas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), registro de accesos y compromisos contractuales de residencia.
Vercel, Inc.
FinalidadHosting del sitio y panel, runtime edge Next.js, logs de build y artefactos de despliegue.
Categorías de datosLogs de peticiones HTTP, artefactos de build, metadatos de despliegue.
Región de infraestructuraGlobal edge network · build & log storage in US (iad1)
Mecanismo de transferenciaCláusulas Contractuales Tipo UE (Módulo 2/3, 2021) y el Marco UE-EE.UU. de Privacidad de Datos cuando el proveedor está auto-certificado. Medidas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256), registro de accesos y compromisos contractuales de residencia.
Cómo le notificamos los cambios
Cuando planeamos añadir un subencargado: (1) actualizamos esta página, (2) enviamos correo a la lista de cambios y (3) esperamos al menos 14 días antes del inicio. Si se opone, buscaremos alternativa; si no es posible, podrá resolver el servicio con reembolso prorrateado.
Manténgase informado
Reciba aviso cuando esto cambie.
Escriba a privacy@veracly.app para incorporarse a la lista de cambios. Le avisaremos al menos 14 días antes del inicio.