Subencargados del tratamiento
Proveedores a los que Nombran recurre para prestar el servicio y que pueden tratar datos personales del cliente por su cuenta. Esta lista es el anexo II del contrato de encargo de tratamiento.
1Lista vigente
| Entidad | Qué hace | Datos que recibe | Ubicación | Garantías |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (AWS) | Alojamiento de la aplicación y de las funciones que la ejecutan, colas de trabajo y almacenamiento de archivos (respuestas originales de los motores y copias de seguridad). | Todos los datos del servicio. | Irlanda (región eu-west-1). | Tratamiento dentro de la UE. DPA de AWS y cláusulas contractuales tipo para accesos desde fuera del EEE. |
| MongoDB, Inc. (MongoDB Atlas) | Base de datos del servicio. | Usuarios, cuentas, marcas, sectores, preguntas, resultados. | Región de la UE de MongoDB Atlas. | Datos alojados en la UE. DPA de MongoDB y cláusulas contractuales tipo de la Comisión Europea. |
| DataForSEO OÜ | Consulta las preguntas de cada marca en ChatGPT, Gemini, Perplexity y Google y devuelve las respuestas. | Texto de las preguntas, nombre de la marca y ubicación de la consulta. No recibe datos de los usuarios. | Estonia (UE). Las consultas a los motores pueden ejecutarse desde fuera del EEE. | Contrato de encargo de tratamiento incorporado a sus condiciones y cláusulas contractuales tipo para accesos desde fuera del EEE. |
| Google Ireland Limited (inicio de sesión con Google) | Solo si eliges entrar con tu cuenta de Google: identifica tu cuenta y nos confirma tu correo. | Correo, nombre y foto de perfil de la cuenta de Google con la que entras. Nada más del servicio. | Irlanda; posible tratamiento en Estados Unidos. | Marco de Privacidad de Datos UE-EE. UU. (Google LLC está certificada) y cláusulas contractuales tipo. |
| Google Ireland Limited (Google Analytics 4) | Solo si aceptas las cookies de analítica: mide de forma agregada qué páginas se visitan y cómo se usa Nombran. | Páginas vistas, eventos de uso, tipo de dispositivo y navegador, y la dirección IP truncada. Nunca tu correo, tu nombre ni los datos de tus marcas. | Irlanda; tratamiento en Estados Unidos. | Marco de Privacidad de Datos UE-EE. UU. (Google LLC está certificada) y cláusulas contractuales tipo. Sin señales publicitarias ni personalización de anuncios. |
| Microsoft Ireland Operations Limited (Microsoft Clarity) | Solo si aceptas las cookies de analítica: graba clics, desplazamiento y mapas de calor para mejorar las pantallas. | Interacciones con la página, tipo de dispositivo y navegador. El texto del panel y del alta va enmascarado: no se graba lo que escribes ni los datos de tus marcas. | Irlanda; tratamiento en Estados Unidos. | Marco de Privacidad de Datos UE-EE. UU. (Microsoft Corporation está certificada) y cláusulas contractuales tipo. |
| Telegram FZ-LLC (canal interno de soporte) | Avisa al equipo de Nombran de cada consulta de Ayuda y transporta sus respuestas. Las conversaciones viven en la plataforma; Telegram es solo el canal del equipo. | Número y asunto de la consulta, el texto de los mensajes y los adjuntos que envías, y el nombre y correo de quien escribe. | Emiratos Árabes Unidos, con servidores en varios países fuera del EEE. | Sin contrato de encargo propio: se envía el mínimo imprescindible y el historial queda en la plataforma. Si no quieres que tu consulta pase por este canal, escríbenos al correo de privacidad. |
| Anthropic, PBC | Análisis de las respuestas de los motores con modelos de lenguaje (menciones, tono, fuentes y recomendaciones). | Texto de las respuestas de los motores, nombres de marcas y competidores. No recibe datos de contacto de los usuarios. | Estados Unidos. | Marco de Privacidad de Datos UE-EE. UU. (Anthropic, PBC figura en la lista de entidades certificadas) y, como respaldo contractual, cláusulas contractuales tipo de la Comisión Europea. |
| Brevo (Sendinblue SAS) | Envío de los correos del servicio: invitaciones, enlaces de acceso y avisos. | Nombre y correo del destinatario y contenido del mensaje. | Francia. | Tratamiento dentro de la UE. DPA de Brevo. |
| Stripe Payments Europe, Ltd. | Cobro de la suscripción y de cada proyecto activado, facturación y tarjeta de pago (gestionados desde la app). | Datos de facturación y de contacto del cliente. Los datos de la tarjeta los recoge Stripe directamente: Nombran no los almacena. | Irlanda; posible tratamiento puntual en Estados Unidos. | DPA de Stripe, Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. |
2Cambios en la lista
Antes de incorporar un subencargado nuevo o sustituir uno existente avisaremos por correo al propietario de cada cuenta con al menos 30 días de antelación. El cliente puede oponerse por motivos razonables de protección de datos escribiendo a hola@nombran.com dentro de ese plazo. Si no encontramos una alternativa que ambas partes acepten, el cliente puede darse de baja sin penalización por la parte del servicio afectada.
Con cada subencargado firmamos un contrato que le impone las mismas obligaciones de protección de datos que el DPA nos impone a nosotros, y respondemos ante el cliente de su cumplimiento.