Lista de subencargados
Entrada en vigor: pendiente de activación (sin fijar reservado para la publicación).
Última actualización: pendiente de activación (sin fijar reservado para la publicación).
Borrador preparado el 6 de octubre de 2026. Los datos del despliegue deben completarse antes de que esta lista pase a ser el anexo C del Acuerdo de tratamiento de datos.
Borrador revisado: 7 de octubre de 2026. Sigue pendiente de activación.
Resumen no vinculante. Estos servicios están activos. Sus funciones son distintas: algunos tratan datos de proyectos, mientras que otros se ocupan de los pagos, el inicio de sesión, el correo electrónico o la medición. Antes de autorizar a cada subencargado del Cliente deben completarse sus datos contractuales y de tratamiento. Este resumen no forma parte de las disposiciones operativas de esta lista.
1. Funciones de los proveedores
1.1. Por «Subencargado» se entiende el destinatario designado para tratar, por cuenta de OwlMeans, datos personales controlados por el Cliente conforme al Acuerdo de tratamiento de datos. Los servicios de cuentas y pagos pueden, en cambio, tratar datos controlados por OwlMeans o actuar de forma independiente; su inclusión en esta lista no los convierte en subencargados universales del Cliente. Contacto: Igor Tkachenko OwlMeans Software (que opera como «OwlMeans Software, JDG»), NIP 6772507251, identificador de IVA de la UE PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Polonia; support@owlmeans.com; teléfono +48 780 256 571.
| Servicio y operador identificado | Situación actual, uso y datos | Función y situación de las ubicaciones |
|---|---|---|
| Hetzner; operador publicado: Hetzner Online GmbH; contrato de servicio real por verificar | Único proveedor de infraestructura, confirmado por el operador: cargas de trabajo, bases de datos, repositorios y registros operativos; datos del servicio de copias de seguridad por verificar | Subencargado del Cliente cuando aloja datos controlados por el Cliente. Siguen pendientes los países reales de los centros de datos, las ubicaciones de las copias de seguridad, el contrato y la conservación. |
| Mailgun; entidad contratante real de Sinch Email indicada en el pedido del servicio, por verificar | Entrega de correo electrónico confirmada por el operador: destinatarios, OTP, notificaciones legales y del servicio y contenido de los mensajes | La función de encargado depende del mensaje y de los datos. Consta un punto de conexión SMTP en la UE para el entorno Stage; siguen pendientes la región real de la cuenta, el tratamiento posterior y la conservación. |
| Google Gmail; entidad contratante real de Google y condiciones de la cuenta o del servicio por verificar | Buzón receptor de la empresa, confirmado por el operador el 7 de octubre de 2026: consultas, pruebas de contacto, enrutamiento y recepción, correspondencia y adjuntos seleccionados | Tratamiento en el buzón destinado a OwlMeans como responsable. Los datos de soporte controlados por el Cliente que se traten por sus instrucciones requieren que se complete la información del acuerdo de tratamiento y de los subencargados. Siguen pendientes la cuenta o el servicio reales, la función contractual, el acceso autorizado, los países, la conservación, el acuerdo de tratamiento y las garantías de transferencia. |
| Google Tag Manager/Google Analytics; entidad contratante por verificar | Medición confirmada por el operador: identificadores de navegador y de red sujetos a consentimiento y eventos configurados; sin Google Ads | Medición opcional destinada a OwlMeans como responsable; no es un tratamiento universal del contenido de los proyectos. Siguen pendientes la configuración real de la cuenta, las etiquetas de medición, los destinos y la conservación. |
| Sentry; operador publicado: Functional Software, Inc. d/b/a Sentry; contrato real de la cuenta por verificar | Diagnóstico confirmado por el operador: errores, datos de solicitud y contexto, e identificadores, según la configuración real | Subencargado del Cliente cuando el contenido de diagnóstico contiene datos controlados por el Cliente; en otro caso, tratamiento de OwlMeans como responsable. Siguen pendientes el alcance del SDK, la ocultación de datos, la reproducción de sesiones, las ubicaciones y la conservación. |
| OpenAI; entidad contratante real por confirmar | Inferencia de IA y rutas de respaldo activas, confirmadas por el operador: prompts, contexto seleccionado y datos de solicitudes y resultados de las llamadas que usan este servicio | Subencargado del Cliente cuando trata datos personales del Cliente por sus instrucciones; las funciones destinadas al responsable se evalúan por separado. Siguen pendientes la cuenta real, las regiones, la conservación y la base de la transferencia. |
| Anthropic; contraparte comercial publicada para el EEE: Anthropic Ireland, Limited; cuenta real por verificar | Inferencia de IA activa, confirmada por el operador: prompts, contexto seleccionado y datos de solicitudes y resultados | Subencargado del Cliente cuando trata datos personales del Cliente por sus instrucciones. Que la entidad contratante sea irlandesa no demuestra que el tratamiento se realice solo en la UE; siguen pendientes la cuenta real, la conservación y los datos de la transferencia. |
| OpenRouter; entidad contratante real por confirmar | Enrutamiento de IA y acceso a modelos activos, confirmados por el operador: solicitudes de inferencia seleccionadas y metadatos relacionados | El enrutamiento puede añadir un destinatario más, el del modelo subyacente. Antes de autorizar el tratamiento de datos del Cliente deben identificarse la ruta real y el destinatario posterior; siguen pendientes las ubicaciones, la conservación y las garantías. |
| Together AI; entidad contratante real por confirmar | Servicio activo de modelos e inferencia, confirmado por el operador: solicitudes seleccionadas y datos relacionados | Subencargado del Cliente cuando trata datos personales del Cliente por sus instrucciones; siguen pendientes el servicio real, la entidad de la cuenta, las ubicaciones, la conservación y las garantías. |
| Hugging Face; entidad contratante real por confirmar | Acceso a modelos e integración activos, confirmados por el operador; las descargas exponen metadatos de la conexión y de las solicitudes de modelos, mientras que la inferencia alojada puede recibir prompts y contexto seleccionados | Deben distinguirse el acceso solo por descarga, los modelos locales o seleccionados por el Cliente y la inferencia alojada. No debe deducirse que descargar un modelo envíe datos del proyecto. Siguen pendientes el producto o el punto de conexión reales, la función, las ubicaciones y los datos contractuales. |
| Cloudflare; filial contratante real por confirmar | Funciones activas de red, dominio y seguridad, confirmadas por el operador: datos de conexión y de solicitudes, y contenido en la medida en que lo transporte el servicio configurado | La función depende del servicio real. Hetzner sigue siendo el proveedor de infraestructura confirmado por el operador; el uso activo de Cloudflare no acredita un sistema de almacenamiento independiente. Siguen pendientes el tratamiento en el perímetro, los registros, la entidad de la cuenta y los datos del acuerdo de tratamiento. |
| GitHub; entidad contratante real por confirmar | Operaciones activas de repositorios y OAuth, confirmadas por el operador: identidades autorizadas, permisos, tokens y datos de los repositorios | Debe determinarse si se trata de una conexión controlada por el Cliente o de una función de OwlMeans como encargado; no se designa automáticamente para todos los proyectos. Siguen pendientes la cuenta real, las ubicaciones y las garantías. |
| Stripe; entidad contratante real por confirmar | Pagos activos, confirmados por el operador: credenciales de pago e información sobre transacciones, facturación y prevención del fraude | Las funciones en materia de pagos y las pruebas conservadas dependen de los servicios y contratos reales; no consta como destinatario habitual del contenido de los proyectos. Siguen pendientes la entidad de la cuenta, las ubicaciones y la conservación. |
| Google reCAPTCHA; entidad contratante real de Google Cloud por verificar | Activo según confirmó el operador el 7 de octubre de 2026: prevención de bots, fraude y abuso; señales de conexión, navegador, dispositivo y desafío, tokens de verificación y resultados de evaluación, según los exponga la integración seleccionada | Google trata los datos de cliente de reCAPTCHA (reCAPTCHA Customer Data) como encargado conforme a las condiciones aplicables de Google Cloud. Para la seguridad de la cuenta o del sitio web de OwlMeans, es un tratamiento destinado a OwlMeans como responsable; solo es subencargado del Cliente respecto de los datos controlados por el Cliente que se traten por sus instrucciones. Deben completarse la entidad real, la configuración, las ubicaciones, la conservación y las garantías de transferencia. |
| Inicio de sesión con Google; entidad de la cuenta o del servicio por confirmar | Servicio activo de identidad, confirmado por el operador: identidad y perfil de inicio de sesión autorizados e información de autenticación | Es distinto de la medición de Google. Deben completarse los campos y alcances reales del inicio de sesión, la entidad de la cuenta o del servicio, las ubicaciones y la función. |
2. Rutas seleccionadas y condiciones de autorización
2.1. El operador confirmó el uso actual de los servicios ya enumerados durante la revisión de proveedores del 6 de octubre de 2026 y añadió Google reCAPTCHA el 7 de octubre de 2026. Una ruta puede implicar a más de un destinatario, y un servicio activo no se selecciona para todas las solicitudes. La inferencia local o elegida por el Cliente y las integraciones de las aplicaciones generadas deben evaluarse individualmente; los adaptadores compatibles no conceden por sí mismos permiso de tratamiento. La configuración del despliegue y los datos contractuales son independientes de la confirmación del uso del servicio. Google Ads, la elaboración de perfiles para marketing personalizado, el marketing de socios y la mejora o el entrenamiento independientes son finalidades inactivas de la Plataforma.
2.2. Para cada subencargado activo, la lista que se publique indicará la entidad jurídica real, el servicio, las categorías de datos, los países o regiones, la conservación, el mecanismo del capítulo V y las garantías complementarias que procedan. Las condiciones públicas de un proveedor no prueban la firma de un acuerdo de tratamiento ni de cláusulas contractuales tipo. Ninguna fila pendiente autoriza una transferencia restringida. Reutilizar los resultados de los modelos para el entrenamiento propio exige comprobar por separado que los derechos frente a los proveedores lo permiten; el consentimiento del Cliente no basta por sí solo.
2.3. El flujo de consultas configurado en el sitio web y en la Plataforma usa la infraestructura de Hetzner para la base de datos de consultas, que es independiente, y para la cola de entrega. Mailgun transporta el mensaje, las pruebas de contacto y enrutamiento y los adjuntos seleccionados al buzón de Google Gmail de OwlMeans. Gmail recibe y conserva esa correspondencia y sus adjuntos para que la empresa atienda las solicitudes. Google reCAPTCHA trata señales de seguridad en ese flujo protegido; la medición de Google sujeta a consentimiento puede recibir el evento de apertura del cuadro de diálogo y sus campos de widget, tema y activador, pero no el correo electrónico, el texto ni los archivos del formulario. Antes de la activación deben verificarse, por separado de la entrega de Mailgun, la cuenta o el servicio de Gmail que recibe los mensajes, la entidad contratante real de Google, la función contractual, el acceso autorizado, los países, la conservación, el acuerdo de tratamiento, las garantías de transferencia y el tratamiento posterior. Los ejemplos de mensajería o video que aparecen en un formulario no acreditan integraciones activas ni destinatarios autorizados. Las consultas son un tratamiento de OwlMeans como responsable para gestionar sus propios contactos; los datos del Cliente que se traten por instrucciones de soporte requieren la información correspondiente del acuerdo de tratamiento y de los subencargados. Este servicio no dirige automáticamente el contenido de las consultas a los proveedores de IA enumerados ni a conjuntos de datos opcionales de mejora o entrenamiento.
3. Cambios y derechos regionales
3.1. El Acuerdo de tratamiento de datos regula el aviso previo de los cambios de proveedor, la oposición, las obligaciones equivalentes y la responsabilidad de OwlMeans. Puede solicitarse a soporte información actualizada sobre los destinatarios y las garantías. Los servicios destinados a OwlMeans como responsable y el seguimiento opcional se rigen por la Política de privacidad y la Política de cookies. Se mantienen las normas de transferencia de la UE/EEE y las aplicables del Reino Unido, las funciones previstas en las leyes estatales de EE. UU. y los derechos imperativos de los interesados; no se promete una adecuación universal ni la residencia de los datos en la UE.