En pocas palabras. Unos pocos proveedores tratan datos personales por cuenta nuestra. Cada uno trabaja con un acuerdo de tratamiento de datos por escrito. Avisamos a nuestros clientes con 30 días de antelación antes de añadir o sustituir uno que trate los datos de sus clientes. Cualquiera puede pedir avisos por email.
Estos proveedores tratan datos personales por cuenta nuestra en dos situaciones:
- Para nuestro propio negocio, por ejemplo para responder consultas y facturar a nuestros clientes. Nuestro aviso de privacidad lo explica.
- Para nuestros clientes, cuando alojamos la web de un cliente y tratamos los datos de sus visitantes. Para esos datos somos el encargado del tratamiento del cliente, y estos proveedores son nuestros "subencargados" según nuestro Anexo de tratamiento de datos.
En cada proveedor de la lista indicamos cuál de las dos situaciones se aplica.
La lista
Cloudflare, Inc.
- Qué hace: aloja nuestra web y las webs de nuestros clientes (Cloudflare Pages), sirve las páginas rápido, gestiona el DNS, protege las webs de ataques y bots, cuenta visitas sin cookies (Web Analytics), entrega los mensajes de los formularios (Pages Functions) y reenvía el email que llega a nuestras direcciones y a los dominios de nuestros clientes (Email Routing).
- Se usa para las webs de clientes: sí.
- Dónde: la red mundial de Cloudflare, normalmente en el centro de datos más cercano a cada visitante. Cloudflare tiene su sede en EE. UU.
- Garantía para las transferencias: el acuerdo de tratamiento de datos de Cloudflare incluye las cláusulas contractuales tipo de la UE y la Adenda del Reino Unido. Cloudflare también está adherida al Data Privacy Framework (Marco de Privacidad de Datos).
- Su acuerdo: DPA para clientes de Cloudflare
Stripe
- Qué hace: cobra pagos con tarjeta y por domiciliación bancaria, y envía facturas y recibos.
- Se usa para las webs de clientes: no. Stripe trata los datos de facturación de nuestros clientes, no los datos de los clientes de estos.
- Dónde: el Reino Unido, la UE y EE. UU.
- Garantía para las transferencias: el acuerdo de tratamiento de datos de Stripe incluye las cláusulas contractuales tipo de la UE y la Adenda del Reino Unido. Stripe también está adherida al Data Privacy Framework (Marco de Privacidad de Datos).
- Su acuerdo: DPA de Stripe
- Conviene saber: Stripe también usa algunos datos de pago para sus propios controles antifraude y sus obligaciones legales. Para eso, es Stripe quien decide cómo se usan los datos, según la Política de Privacidad de Stripe.
Proveedor de email: Proton AG (Proton Mail)
- Qué hace: gestiona nuestros buzones, incluidos [email protected] y [email protected].
- Se usa para las webs de clientes: solo cuando un email de soporte contiene datos de los clientes de un cliente.
- Dónde: Switzerland
- Garantía para las transferencias: Switzerland is covered by UK adequacy regulations, so no extra safeguard is needed
- Su acuerdo: Proton AG (Proton Mail) data processing agreement
Freelances en un proyecto
Si un freelance colabora en el proyecto de un cliente, por ejemplo un traductor, trabaja con un contrato por escrito que incluye cláusulas de confidencialidad y de protección de datos. Solo trata datos de la web del cliente si el cliente lo ha aprobado por su nombre en la hoja de pedido o más adelante por escrito.
Sin uso por ahora
- Web3Forms y Formspree son servicios de formularios a los que podríamos cambiar. Ahora no los usamos. Si algún día lo hacemos, revisaremos su acuerdo de tratamiento de datos y los añadiremos aquí antes de que les llegue ningún dato de los formularios.
- Herramientas de IA. Usamos herramientas de IA para ayudarnos a redactar borradores de textos, traducciones y código, pero no introducimos datos personales en ellas, así que no aparece ninguna en esta lista. Si eso cambia algún día, primero añadiremos la herramienta aquí y avisaremos a nuestros clientes con 30 días de antelación.
- Herramientas que aún no hemos elegido. Cualquier otro proveedor que empecemos a usar, por ejemplo para la firma electrónica, la contabilidad, los buzones de correo o un gestor de contraseñas, se añade a esta lista antes de que trate ningún dato de clientes, con al menos 30 días de antelación para los clientes con un Plan de Mantenimiento.
Otras organizaciones que reciben datos
Algunas organizaciones reciben datos personales, pero deciden por sí mismas cómo usarlos. No son subencargados nuestros, porque no actúan siguiendo nuestras instrucciones:
- Google, cuando usas nuestra revisión de tu web. Tu navegador envía la dirección que escribes directamente al servicio PageSpeed Insights de Google.
- WhatsApp y Telegram, si eliges hablar con nosotros por ahí.
- Nuestro registrador de dominios y los registros de dominios, cuando registramos o renovamos un dominio a nombre de un cliente. Usan los datos del titular del dominio según sus propias normas.
- Nuestro banco, contable, abogado y aseguradora, cuando los necesitamos.
- Autoridades públicas, como HMRC (la agencia tributaria británica), cuando lo exige la ley.
Cambios y actualizaciones
Antes de que un nuevo subencargado empiece a tratar los datos de los clientes de nuestros clientes, actualizamos esta página y enviamos un email, con al menos 30 días de antelación, a cada cliente que tenga un acuerdo de tratamiento de datos con nosotros. Los clientes pueden oponerse durante ese plazo. Nuestro Anexo de tratamiento de datos explica cómo.
Recibe los avisos por email. Cualquiera puede pedir que le avisemos de los cambios en esta lista. Escribe a [email protected] con el asunto "Sub-processor updates". Solo usaremos tu dirección de email para enviarte estos avisos, y puedes pedirnos que dejemos de enviarlos en cualquier momento.