1. Finalidad de esta página
Para ser totalmente transparentes con nuestros clientes, especialmente clientes empresariales que han firmado un DPA con nosotros, publicamos y mantenemos actualizada la lista completa de subencargados que pueden Tratar Datos Personales por nuestra cuenta. Esta página es la versión canónica y autorizada de esa lista. Cuando nuestro DPA hace referencia a "la lista de subencargados", se refiere a esta página.
Aplicamos criterios estrictos al seleccionar subencargados:
- Postura de seguridad demostrada (SOC 2 Tipo II, ISO/IEC 27001 o equivalente cuando esté disponible).
- Compromisos contractuales acordes al RGPD (DPA firmado y — cuando proceda — las Cláusulas Contractuales Tipo 2021/914).
- Huella mínima de datos: compartimos solo lo estrictamente necesario.
- Base legal clara para cualquier transferencia internacional.
- Reputación del sector e historial de incidentes.
2. Subencargados actuales
Los siguientes subencargados están actualmente contratados por Gixodia. "Categorías de datos" muestra las categorías máximas que pueden ser procesadas; en la mayoría de los casos el tratamiento real es más limitado.
| # | Subencargado | Finalidad | Categorías de datos | Ubicación / Región | Certificaciones | DPA / Base legal | |---|---|---|---|---|---|---| | 1 | Cloudflare, Inc. | Alojamiento (Pages, Workers), CDN, mitigación DDoS, WAF, gestión de bots, DNS, analítica web | Dirección IP, metadatos de solicitud, cabeceras HTTP, telemetría básica de uso | EE.UU. / Red edge global | SOC 2 Tipo II, ISO 27001, ISO 27701, ISO 27018, PCI DSS, HIPAA, FedRAMP Moderate | https://www.cloudflare.com/cloudflare-customer-dpa/ — SCC 2021/914 incorporadas | | 2 | Groq, Inc. | Inferencia LLM de baja latencia para el asistente de chat del sitio (cuando se usa) | Contenido del mensaje de chat, ID de sesión, idioma | EE.UU. | SOC 2 Tipo II (en curso / según publicación) | https://groq.com/privacy-policy — DPA disponible a petición | | 3 | FormSubmit (formsubmit.co) | Retransmisión de envíos del formulario de contacto a nuestro buzón de soporte | Nombre, email, contenido del mensaje, IP, User-Agent | EE.UU. | El operador se apoya en infraestructura AWS (SOC 2, ISO 27001) | https://formsubmit.co/terms — se usa modo zero-retention | | 4 | Cal.com, Inc. | Programación y reserva de llamadas de estrategia | Nombre, email, hora de reserva, notas opcionales, zona horaria | EE.UU. + UE (opción self-hosted UE cuando proceda) | SOC 2 Tipo II, ISO 27001 (según publicación), RGPD-ready | https://cal.com/dpa — SCC 2021/914 incorporadas | | 5 | API pública de datos de mercado de Binance | Datos de mercado de solo lectura (precios, velas, tick data) para investigación y visualización — no se transmiten datos personales | Ninguno (solo datos públicos de mercado) | Global | N/A — endpoint de datos públicos | N/A — no se tratan datos personales | | 6 | Google Fonts (Google Ireland Limited) | Tipografía web (cuando se usa) | Dirección IP, User-Agent (en las peticiones de fuentes) | UE / Global | ISO 27001, ISO 27017, ISO 27018, SOC 2, SOC 3 | https://policies.google.com/privacy — alternativa auto-alojada disponible a petición | | 7 | Vercel, Inc. (cuando se usa para despliegues de preview) | Alojamiento edge y entornos de preview para ramas de staging | Dirección IP, metadatos de solicitud | EE.UU. / Edge global | SOC 2 Tipo II, ISO 27001, RGPD-ready | https://vercel.com/legal/dpa — SCC 2021/914 incorporadas | | 8 | Stripe, Inc. (cuando se usa procesamiento de pagos) | Procesamiento de pagos, facturación, cálculo de impuestos | Nombre de facturación, email, país, NIF-IVA; datos de tarjeta gestionados directamente por Stripe (nunca por Gixodia) | EE.UU. / UE / Reino Unido | PCI DSS Nivel 1, SOC 1 / SOC 2, ISO 27001 | https://stripe.com/legal/dpa — SCC 2021/914 incorporadas |
Nota sobre Binance: solo se usan endpoints públicos de datos de mercado y no se envían credenciales, datos personales ni información de cuenta. Los clientes conectan de forma independiente sus propias cuentas de bróker bajo sus propios términos; estas relaciones no constituyen subencargado por cuenta de Gixodia.
Nota sobre el procesamiento de pagos: los números de tarjeta y CVV nunca llegan a los sistemas de Gixodia. Stripe actúa como responsable independiente para cierto tratamiento (prevención del fraude, KYC regulatorio) y como encargado nuestro para el resto.
3. Sub-subencargados
Algunos de los subencargados anteriores utilizan a su vez sub-subencargados (por ejemplo, proveedores de infraestructura cloud). Cada subencargado está obligado contractualmente a mantener un nivel equivalente de protección, imponer obligaciones de traslado a sus propios sub-subencargados y publicar su propia lista de subencargados.
4. Infraestructura y herramientas internas
Los siguientes proveedores se usan para operaciones internas que pueden incidentalmente implicar Datos Personales de contactos de clientes (por ejemplo, una dirección de email que aparezca en un hilo de soporte). Se listan por transparencia total:
- Email (support@gixodia.com) — alojado en un proveedor de correo orientado a la privacidad con DPA conforme al RGPD. Usado para soporte y notificaciones legales.
- Alojamiento de código — plataforma de control de versiones usada solo para código fuente, no para Datos Personales de clientes.
- Monitorización de errores — proveedor de monitorización de errores y rendimiento, configurado para depurar PII de stack traces y logs.
5. Transferencias internacionales
Cuando los Datos Personales se transfieren fuera del Espacio Económico Europeo (EEE), el Reino Unido o Suiza a un subencargado en un tercer país, la transferencia está amparada por uno o varios de los siguientes mecanismos:
- Decisiones de adecuación de la Comisión Europea.
- Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914, Módulo Dos o Tres según corresponda.
- El UK International Data Transfer Addendum (IDTA) para transferencias desde Reino Unido.
- La versión de las SCC conforme al FDPIC suizo para transferencias desde Suiza.
- Medidas técnicas y organizativas complementarias (cifrado en tránsito y en reposo, control de acceso, seudonimización cuando sea factible) conforme a las Recomendaciones 01/2020 del EDPB.
6. Notificación de cambios
Actualizaremos esta página siempre que:
- Añadamos un nuevo subencargado.
- Sustituyamos un subencargado existente.
- Cambiemos materialmente la finalidad o las categorías de datos de un subencargado existente.
Nuestro objetivo es dar al menos 30 días de preaviso antes de que el nuevo subencargado inicie el Tratamiento. Los clientes empresariales que se hayan suscrito a notificaciones de cambios recibirán también un correo electrónico. Si es cliente y desea suscribirse, envíe un correo a support@gixodia.com con asunto "Notificaciones de subencargados — suscribir".
7. Derecho de oposición
Si es un cliente empresarial y tiene motivos razonables de protección de datos para oponerse a un subencargado nuevo o sustituido, puede notificárnoslo dentro de los 15 días siguientes a la notificación descrita en la Sección 6. Trabajaremos de buena fe para resolver la oposición. Si no podemos, podrá rescindir los servicios afectados conforme a su DPA sin penalización como único recurso exclusivo, y recibir un reembolso proporcional de las tarifas prepagadas por la parte no utilizada del plazo.
8. Cómo evaluamos nuevos subencargados
Antes de contratar a cualquier nuevo subencargado que vaya a Tratar Datos Personales, realizamos una revisión de diligencia debida que incluye:
- Revisión de certificaciones de seguridad e informes de auditoría.
- Revisión de la política de privacidad y DPA del proveedor.
- Evaluación del mecanismo de transferencia internacional.
- Revisión de minimización de datos (qué es estrictamente necesario compartir).
- Evaluación del riesgo sobre los interesados.
- Aprobación ejecutiva antes del onboarding.
Los proveedores que no cumplan nuestros estándares no son contratados.
9. Contacto
Para preguntas sobre esta lista de subencargados, para suscribirse a notificaciones de cambios o para oponerse a un subencargado específico, contacte con:
Email: support@gixodia.com Asunto: Subencargados — [tema]
Historial de versiones
- v1.0 — 2026-04-15 — Publicación inicial. Lista base de 8 subencargados más divulgación de herramientas internas.