Subencargados y Descripción del Tratamiento de Datos

Fecha de vigencia: 11 de marzo de 2026 · Versión: 1.0

Rakenne (“nosotros”, “nos”, “nuestro”) depende de un conjunto reducido de proveedores especializados para operar la plataforma rakenne.app. En esta página describimos qué proveedores utilizamos, qué función desempeñan y qué tipos de datos personales pueden ver cuando actúan como nuestros subencargados.

Este resumen complementa (y no sustituye) nuestra Política de Privacidad , que explica con más detalle las bases legales, las reglas de conservación y sus derechos.

Cómo utilizamos subencargados

Solo incorporamos subencargados cuando aportan un valor claro al producto (por ejemplo, alojamiento seguro o procesamiento de pagos) y:

• Limitamos a cada proveedor al mínimo de datos que necesita para su tarea.
• Establecemos por contrato condiciones de protección de datos (incluyendo DPAs y, cuando corresponda, Cláusulas Contractuales Tipo).
• Revisamos periódicamente a los proveedores como parte de nuestro proceso de gestión de riesgos de terceros.

A gran escala, los subencargados respaldan siete áreas del producto:

1. Infraestructura y almacenamiento para la aplicación principal y los datos de los espacios de trabajo.
2. Inferencia de IA para skills y flujos de trabajo basados en chat.
3. Correo electrónico transaccional y de bandeja de entrada para comunicaciones relacionadas con la cuenta.
4. Facturación y suscripciones para los planes de pago.
5. Analítica del sitio web y del producto para entender cómo las personas descubren y usan Rakenne.
6. Chat dentro de la aplicación y soporte cuando el chat en vivo está habilitado.
7. Gestión de dominios y DNS para mantener nuestros dominios y la entregabilidad del correo.

Las secciones siguientes agrupan a los proveedores por estas categorías, en lugar de por artículos legales, para mantener el registro legible.

Infraestructura y alojamiento

Google Cloud Platform (GCP)

• Finalidad: Alojamiento de la aplicación, almacenamiento persistente, redes, copias de seguridad, gestión de secretos, DNS.
• Servicios utilizados: Compute Engine, discos persistentes, Cloud Load Balancing, Cloud DNS, Secret Manager y componentes de red.
• Categorías de datos: Datos de cuenta (por ejemplo, correo electrónico, nombre), metadatos de uso, configuración de proyectos, contenido de documentos, registros de acceso, secretos cifrados.
• Ubicación: Estados Unidos (regiones de GCP).
• Conservación: Los datos de la aplicación se conservan según nuestras prácticas de retención de datos del producto; los registros de infraestructura se conservan según los parámetros predeterminados de GCP y nuestra configuración de logging.
• Notas: Los datos se cifran en tránsito (TLS) y en reposo. El acceso a los recursos de GCP se restringe mediante IAM y principios de mínimo privilegio.

Tratamiento de IA

Cuando Rakenne aporta la clave API, utilizamos modelos de lenguaje de terceros (LLMs) para procesar prompts, instrucciones de skills y contexto de documentos. Estos proveedores actúan como subencargados para su contenido con el fin de generar respuestas.

• Base legal: Ejecución del contrato (prestación de la funcionalidad principal de redacción asistida por IA).
• Categorías de datos: Prompts de usuario, metadatos de skills, fragmentos de documentos, instrucciones del sistema y metadatos relacionados necesarios para generar respuestas.
• Importante: Cuando activa Bring Your Own Key, el proveedor de LLM actúa bajo su propio contrato; en ese caso, es su encargado o subencargado, no el nuestro.

Anthropic (Claude)

• Finalidad: Inferencia de IA — procesar mensajes de chat y pasos de flujos de trabajo para generar borradores y respuestas.
• Ubicación: Estados Unidos.
• Conservación: A principios de 2026, Anthropic conserva los datos de solicitudes de API durante un periodo limitado (por ejemplo, hasta 30 días) para monitorización de abusos y seguridad, pero no utiliza los datos de los clientes para entrenar modelos según sus términos estándar de API.
• Notas: Se utiliza cuando está configurado como modelo activo para claves gestionadas por Rakenne.

OpenAI

• Finalidad: Inferencia de IA para ciertas skills y flujos de trabajo donde se seleccionan modelos de OpenAI.
• Ubicación: Infraestructura de OpenAI en Estados Unidos, con opciones regionales cuando estén disponibles.
• Conservación: Según los términos de la API de OpenAI, los datos de las solicitudes pueden conservarse durante un periodo limitado (por ejemplo, hasta 30 días) para monitorización de abusos y seguridad, y no se utilizan para entrenar modelos cuando se utilizan servicios de API de pago.
• Notas: Se utiliza únicamente cuando OpenAI está configurado como modelo activo.

Google Cloud AI (Gemini)

• Finalidad: Inferencia de IA para skills y flujos de trabajo que utilizan modelos Gemini de Google.
• Ubicación: Regiones de Google Cloud configuradas por Google; normalmente regiones en Estados Unidos o la UE para el alojamiento de modelos.
• Conservación: Según los términos empresariales de IA de Google, los datos se conservan durante periodos limitados para la operación del servicio y la prevención de abusos y no se utilizan para entrenar modelos base.
• Notas: Nosotros aportamos una clave API dedicada gestionada a través de Google Secret Manager.

Bring Your Own Key (BYOK)

Si configura su propia clave API (por ejemplo, para Anthropic, OpenAI o Google), el proveedor de LLM actúa bajo su contrato y no es nuestro subencargado para esa vía de tratamiento. En ese caso:

• Usted es responsable de configurar la retención de datos, las regiones y las opciones de cumplimiento con dicho proveedor.
• Rakenne simplemente reenvía solicitudes y respuestas entre su espacio de trabajo y el proveedor que haya elegido.

Correo electrónico y comunicaciones

Mailgun

• Finalidad: Envío de correos electrónicos transaccionales (confirmaciones de registro, verificación de correo electrónico y mensajes similares).
• Categorías de datos: Dirección de correo del destinatario, contenido del mensaje, cabeceras y metadatos de entrega (marcas de tiempo, códigos de estado, información de rebote).
• Ubicación: Infraestructura de Mailgun en Estados Unidos y la UE (el enrutamiento depende de la configuración y la red de Mailgun).
• Conservación: Los registros de correo electrónico se conservan por Mailgun durante un periodo limitado según sus términos estándar (por ejemplo, de días a semanas) para la entrega, resolución de incidencias y prevención de abusos.
• Notas: Las claves de la API de Mailgun se almacenan en Google Secret Manager y se inyectan en tiempo de ejecución; los correos se envían desde mail.rakenne.app.

Private Email / Namecheap (Alojamiento de correo)

• Finalidad: Alojamiento de direcciones de correo basadas en buzón (por ejemplo, buzones de soporte o contacto) que utilizamos para comunicarnos con clientes y para la alineación DMARC/SPF de ciertos dominios de marketing.
• Categorías de datos: Contenido de los correos, cabeceras y metadatos de los mensajes intercambiados con nuestras direcciones de soporte y contacto.
• Ubicación: Infraestructura de Private Email de Namecheap (centros de datos operados por Namecheap y sus subencargados).
• Conservación: Los correos se conservan en los buzones según nuestras prácticas internas de retención y las obligaciones legales aplicables.
• Notas: Esta infraestructura es independiente de Mailgun, que se utiliza para correos transaccionales automatizados enviados desde la aplicación.

Facturación y gestión de suscripciones

Stripe

• Finalidad: Procesamiento de pagos, facturación de suscripciones, emisión de facturas y notificaciones relacionadas con la facturación.
• Categorías de datos: Identificadores de cliente, correo electrónico, plan y estado de la suscripción, datos parciales del método de pago (por ejemplo, últimos 4 dígitos, marca de la tarjeta), facturas y eventos de pago. Los datos completos de las tarjetas se gestionan exclusivamente en Stripe.
• Ubicación: Infraestructura global con centros de datos en la UE; Stripe actúa como encargado conforme al RGPD con mecanismos adecuados de transferencia.
• Conservación: Los datos de facturación se conservan durante la vigencia de su suscripción y, al menos, 7 años después para cumplir obligaciones fiscales y contables.
• Notas: Rakenne no almacena números completos de tarjeta ni códigos CVV.

Analítica, etiquetas y chat en la aplicación

Utilizamos analíticas y telemetría respetuosas con la privacidad para entender cómo se utiliza el sitio web de marketing y, cuando esté habilitado, la aplicación. Algunas herramientas de analítica pueden estar activas solo en ciertas regiones o entornos y pueden depender del consentimiento de cookies.

Google Analytics y Google Tag Manager

• Finalidad: Medir el tráfico agregado del sitio, el rendimiento de campañas y los recorridos de usuario. Tag Manager se utiliza para orquestar etiquetas de analítica.
• Categorías de datos: Identificadores seudónimos, URLs de páginas, sitios de referencia, información de dispositivo y navegador, localización aproximada (basada en IP) y datos de eventos (vistas de página, clics). No se envían contenidos de documentos ni mensajes de chat.
• Ubicación: Infraestructura global de Google Analytics, incluidos servidores en Estados Unidos y la UE.
• Conservación: Los datos agregados de analítica se conservan según los ajustes de nuestra propiedad de Google Analytics (normalmente 14–26 meses); los datos de configuración de Tag Manager se conservan mientras el contenedor esté activo.
• Notas: Cuando la normativa así lo exija, la analítica estará sujeta al consentimiento de cookies. Las direcciones IP se tratan conforme a la configuración de Google Analytics (por ejemplo, anonimización de IP).

Prácticas de protección de datos para subencargados

• Alcance minimizado: Cada proveedor recibe solo los datos que necesita para prestar su servicio (por ejemplo, Stripe recibe identificadores de facturación, pero no documentos de espacios de trabajo).
• Garantías contractuales: Nuestros acuerdos incluyen cláusulas adecuadas de protección de datos, incluyendo Acuerdos de Encargado del Tratamiento (DPAs) y, cuando sea necesario, Cláusulas Contractuales Tipo (SCCs) para transferencias internacionales.
• Revisión de seguridad: Seleccionamos proveedores con posturas de seguridad sólidas y los reevaluamos periódicamente como parte de nuestro trabajo de seguridad y cumplimiento.
• Sin entrenamiento de LLMs con su contenido: Cuando utilizamos APIs de LLM de terceros con nuestras claves, elegimos configuraciones y términos que establecen que sus prompts y documentos no se utilizan para entrenar modelos base.

Mantener esta lista actualizada

Nuestra infraestructura evoluciona con el tiempo. Cuando añadamos, sustituyamos o eliminemos un subencargado de forma que cambie materialmente cómo se tratan sus datos, nosotros:

• Actualizaremos esta página para reflejar el nuevo proveedor y su función; y
• Proporcionaremos un aviso razonable con antelación mediante mensajes en la aplicación o correo electrónico cuando así lo exija la ley o el contrato.

Puede escribirnos a privacy@rakenne.app si tiene preguntas sobre un proveedor concreto o necesita un DPA firmado que haga referencia a esta lista de subencargados.

title: “Subencargados del tratamiento y proveedores” translationKey: “subprocessors”

Fecha de vigencia: 11 de marzo de 2026 · Versión: 1.0

Rakenne («nosotros», «nuestro») se apoya en un conjunto reducido de proveedores especializados para operar la plataforma rakenne.app. En esta página explicamos qué proveedores utilizamos, qué función desempeñan y qué tipos de datos personales pueden tratar como subencargados.

Este resumen complementa nuestra Política de Privacidad y no la sustituye. En ella encontrará información detallada sobre bases jurídicas, plazos de conservación y derechos de los interesados.

Cómo utilizamos a los subencargados

Solo incorporamos subencargados cuando aportan un valor claro a nivel de seguridad, resiliencia o experiencia de producto. En particular:

• limitamos el acceso de cada proveedor a los datos estrictamente necesarios para su servicio;
• firmamos acuerdos de tratamiento de datos (incluidos, cuando proceda, Cláusulas Contractuales Tipo); y
• revisamos de forma periódica a nuestros proveedores como parte del programa de gestión de riesgos.

En la práctica, los subencargados dan soporte a siete áreas principales:

1. Infraestructura y almacenamiento de la aplicación y los espacios de trabajo,
2. Inferencia de IA para skills y flujos de trabajo basados en chat,
3. Correo electrónico transaccional y buzones para comunicaciones de cuenta,
4. Facturación y suscripciones para planes de pago,
5. Analítica web y de producto para entender cómo se utiliza Rakenne,
6. Chat dentro de la aplicación y soporte, cuando el chat está activado, y
7. Gestión de dominios y DNS para garantizar disponibilidad y entregabilidad del correo.

Los proveedores que se describen a continuación se agrupan por estas categorías.

Infraestructura y alojamiento

Google Cloud Platform (GCP)

• Finalidad: Alojamiento de la aplicación, almacenamiento persistente, red, copias de seguridad, gestión de secretos y DNS.
• Servicios utilizados: Compute Engine, discos persistentes, Cloud Load Balancing, Cloud DNS, Secret Manager y componentes de red.
• Categorías de datos: Datos de cuenta (por ejemplo, correo electrónico y nombre), metadatos de uso, configuración de proyectos, contenidos de documentos, registros de acceso y secretos cifrados.
• Ubicación: Estados Unidos (regiones de GCP).
• Conservación: Datos de aplicación según nuestras políticas internas de conservación; registros de infraestructura conforme a la configuración estándar de GCP y a nuestra configuración de logs.
• Notas: Los datos se cifran en tránsito (TLS) y en reposo. El acceso a los recursos de GCP se limita mediante IAM y el principio de mínimo privilegio.

Procesamiento de IA

Cuando Rakenne proporciona la clave de API, utilizamos modelos de lenguaje (LLM) de terceros para procesar las entradas, las instrucciones de los skills y el contexto de los documentos. Estos proveedores actúan como subencargados del tratamiento de su contenido.

• Base jurídica: Ejecución del contrato (prestación de la funcionalidad de redacción asistida por IA).
• Categorías de datos: Entradas del usuario, metadatos de skills, fragmentos de documentos, instrucciones del sistema y metadatos necesarios para generar respuestas.
• Importante: Si activa Bring Your Own Key (BYOK), el proveedor LLM que elija opera bajo su propio contrato con él; en ese flujo ese proveedor es su (sub)encargado, no el nuestro.

Anthropic (Claude)

• Finalidad: Inferencia de IA para mensajes de chat y pasos del flujo de trabajo.
• Ubicación: Estados Unidos.
• Conservación: Según el estado a comienzos de 2026, Anthropic conserva los datos de la API durante un periodo limitado (por ejemplo, hasta 30 días) para seguridad y prevención de abusos, pero no utiliza los datos de los clientes para entrenar modelos base.
• Notas: Se utiliza cuando Claude está configurado como modelo activo con claves gestionadas por Rakenne.

OpenAI

• Finalidad: Inferencia de IA para determinados skills y flujos de trabajo que utilizan modelos de OpenAI.
• Ubicación: Estados Unidos (con opciones regionales cuando están disponibles).
• Conservación: Según las condiciones de la API de OpenAI, los datos de las solicitudes pueden conservarse durante un periodo limitado (por ejemplo, hasta 30 días) para seguridad y control de abusos; al utilizar la API de pago, los datos no se emplean para entrenar modelos.
• Notas: Solo se utiliza cuando OpenAI está seleccionado como modelo activo.

Google Cloud AI (Gemini)

• Finalidad: Inferencia de IA para skills y flujos de trabajo que usan modelos Gemini.
• Ubicación: Regiones de Google Cloud configuradas por Google (normalmente Estados Unidos o regiones de la UE para el alojamiento del modelo).
• Conservación: Según las condiciones empresariales de Google, los datos se conservan durante periodos limitados para la prestación del servicio y la prevención de abusos, y no se utilizan para entrenar modelos base.
• Notas: Utilizamos una clave de API dedicada gestionada a través de Google Secret Manager.

Bring Your Own Key (BYOK)

Si configura su propia clave de API (por ejemplo, para Anthropic, OpenAI o Google), el proveedor LLM actúa íntegramente bajo su acuerdo con él. En ese caso:

• usted es responsable de la configuración de regiones, retención y opciones de cumplimiento normativo; y
• Rakenne solo enruta solicitudes y respuestas entre su espacio de trabajo y el proveedor elegido.

Correo electrónico y comunicaciones

Mailgun

• Finalidad: Envío de correos electrónicos transaccionales (por ejemplo, correos de bienvenida y confirmación).
• Categorías de datos: Dirección de correo electrónico del destinatario, contenido del mensaje, cabeceras y metadatos de entrega (marcas de tiempo, códigos de estado, información de rebotes).
• Ubicación: Infraestructura de Mailgun en Estados Unidos y la UE (el enrutamiento depende de la configuración y de la red).
• Conservación: Mailgun conserva los registros de correo durante un periodo limitado, conforme a sus condiciones estándar (p. ej., varios días o semanas) para la entrega, el diagnóstico de errores y la prevención de abusos.
• Notas: Las claves de API de Mailgun se almacenan en Google Secret Manager y se inyectan en tiempo de ejecución; los correos se envían desde mail.rakenne.app.

Private Email / Namecheap (hosting de correo)

• Finalidad: Alojamiento de buzones (por ejemplo, direcciones de soporte o contacto) para la comunicación con clientes y la alineación DMARC/SPF de ciertos dominios de marketing.
• Categorías de datos: Contenido de los correos, cabeceras y metadatos de los mensajes intercambiados con nuestras direcciones de soporte y contacto.
• Ubicación: Infraestructura de Namecheap Private Email (centros de datos de Namecheap y sus subencargados).
• Conservación: Los correos se conservan en los buzones de acuerdo con nuestras prácticas internas de conservación y con las obligaciones legales aplicables.
• Notas: Este hosting es independiente de Mailgun, que se utiliza para los correos transaccionales automáticos de la aplicación.

Facturación y suscripciones

Stripe

• Finalidad: Procesamiento de pagos, gestión de suscripciones, facturación y notificaciones relacionadas con la facturación.
• Categorías de datos: Identificadores de cliente, dirección de correo electrónico, plan y estado de la suscripción, datos limitados del método de pago (por ejemplo, últimos 4 dígitos, marca de tarjeta), facturas y eventos de pago. Los datos completos de la tarjeta se gestionan exclusivamente en Stripe.
• Ubicación: Infraestructura global de Stripe, incluidos centros de datos en la UE; Stripe actúa como encargado del tratamiento conforme al RGPD con mecanismos adecuados de transferencia internacional.
• Conservación: Los datos de facturación se conservan durante la vigencia de la suscripción y, al menos, 7 años adicionales para obligaciones fiscales y contables.
• Notas: Rakenne no almacena números de tarjeta completos ni códigos CVV.

Analítica, etiquetas y chat integrado

Empleamos herramientas de analítica y telemetría respetuosas con la privacidad para entender cómo se utilizan el sitio web y, cuando está habilitada, la aplicación. Algunas herramientas solo se activan en determinadas regiones o entornos y pueden depender del consentimiento de cookies.

Google Analytics y Google Tag Manager

• Finalidad: Medir el tráfico web agregado, el rendimiento de campañas y los recorridos de usuario; Tag Manager se utiliza para orquestar etiquetas.
• Categorías de datos: Identificadores seudónimos, URLs de páginas, referencias, información de dispositivo y navegador, ubicación aproximada (basada en la IP) y datos de eventos (páginas vistas, clics). No se envía contenido de documentos ni de chats.
• Ubicación: Infraestructura global de Google Analytics, incluidos servidores en Estados Unidos y la UE.
• Conservación: Los datos agregados de analítica se conservan según la configuración de la propiedad (normalmente entre 14 y 26 meses); la configuración de Tag Manager se conserva mientras el contenedor esté activo.
• Notas: Cuando así se requiere, estas herramientas se utilizan solo tras obtener el consentimiento correspondiente; las direcciones IP se tratan según la configuración (por ejemplo, anonimización de IP).

Otros servicios de analítica (Matomo, Plausible, Baidu, Counter)

• Finalidad: Analítica web adicional o específica por región, por ejemplo analítica alojada en la UE o para determinados mercados.
• Categorías de datos: Similares a Google Analytics: identificadores seudónimos, URLs de páginas, referencias, información de dispositivo y navegador y métricas de uso de alto nivel.
• Ubicación: Depende de cada herramienta y del modelo de alojamiento (autogestionado o SaaS); priorizamos configuraciones ubicadas en la UE o con foco en privacidad cuando es posible.
• Conservación: Determinada por la configuración de cada herramienta y por nuestras políticas internas de conservación de datos de analítica.
• Notas: No todas las herramientas están activas en todo momento; podemos activar o desactivar proveedores a medida que evoluciona nuestra pila tecnológica.

Chat dentro de la aplicación (por ejemplo, Crisp)

• Finalidad: Proporcionar chat en vivo u opciones de mensajería integrada en el sitio web y/o en el producto.
• Categorías de datos: Historiales de chat, nombres o correos que usted facilite, información aproximada de dispositivo y navegador, y metadatos de uso limitados a las páginas en las que está activo el chat.
• Ubicación: Infraestructura del proveedor de chat (normalmente centros de datos en la UE o en Estados Unidos, según la configuración).
• Conservación: Los historiales de chat se conservan durante un periodo limitado para fines de soporte y control de calidad, de acuerdo con nuestras políticas de soporte.
• Notas: Los historiales de chat pueden vincularse a su cuenta para disponer de un historial de soporte completo.

Prácticas de protección de datos para subencargados

• Alcance minimizado: Cada proveedor recibe únicamente los datos necesarios para prestar su servicio (por ejemplo, Stripe recibe identificadores de facturación pero no documentos de su espacio de trabajo).
• Salvaguardias contractuales: Nuestros contratos incluyen cláusulas de protección de datos adecuadas, incluidos acuerdos de tratamiento y, cuando corresponde, Cláusulas Contractuales Tipo para transferencias internacionales.
• Revisión de seguridad: Seleccionamos proveedores con un nivel de seguridad elevado y los reevaluamos periódicamente como parte de nuestro trabajo de seguridad y cumplimiento.
• Sin entrenamiento de LLMs con su contenido: Cuando utilizamos APIs de LLM de terceros con nuestras claves, elegimos configuraciones y términos que establecen que sus entradas y documentos no se usan para entrenar modelos base.

Actualización de esta lista

Nuestra infraestructura evoluciona con el tiempo. Cuando añadamos, sustituyamos o eliminemos un subencargado de forma que cambie de manera sustancial el tratamiento de sus datos, nos comprometemos a:

• actualizar esta página con el nuevo proveedor y su función, y
• proporcionar un aviso razonable mediante mensajes en la aplicación o por correo electrónico cuando la ley o los contratos así lo exijan.

Si tiene preguntas sobre un proveedor concreto o necesita un acuerdo de tratamiento de datos firmado que haga referencia a esta lista, puede escribirnos a privacy@rakenne.app .