Quién trata datos por nosotros, qué reciben y dónde.
Última actualización: 2026-09-27
Un subencargado del tratamiento es una empresa que utilizamos para hacer funcionar Proposal Expert y que trata datos personales de nuestros clientes y de los clientes de estos. Esta página es la lista completa y la mantenemos actualizada. Tanto nuestra página de seguridad como nuestra política de privacidad remiten a ella.
Cómo usan su contenido las funciones de IA
Las funciones de IA como AI Write, los borradores con IA, la puntuación y el análisis envían el texto con el que trabajan a la Gemini API de Google. Ese texto puede contener datos personales de su propuesta, como nombres y datos de contacto de clientes. No se envía nada hasta que alguien utiliza una función de IA. Google trata el texto como nuestro subencargado del tratamiento. No utilizamos su contenido para entrenar modelos de IA. Si su espacio de trabajo utiliza su propia clave de IA, la redacción con IA se envía al proveedor que usted eligió. La puntuación y la traducción del chat siguen usando Gemini.
Subencargados del tratamiento que utilizamos
Estas empresas tratan datos personales por cuenta nuestra para prestar el servicio.
Railway
Alojamiento de la aplicación, las tareas en segundo plano y la base de datos.
Datos: Todo lo almacenado en el servicio: cuentas, propuestas con nombres y datos de contacto de clientes, y registros
Ubicación: UE (Ámsterdam, Países Bajos)
Garantía de transferencia: Cláusulas contractuales tipo
Cuándo: Siempre
Cloudflare
Entrega de contenido, protección DDoS y firewall web delante del sitio, y almacenamiento de nuestras copias de seguridad externas de la base de datos. Ciframos las copias antes de subirlas, por lo que Cloudflare no puede leerlas.
Datos: Direcciones IP y datos de solicitud de cada visita, en tránsito. Copias de seguridad cifradas de la base de datos
Ubicación: Red global
Garantía de transferencia: EU-US Data Privacy Framework y cláusulas contractuales tipo
Cuándo: Siempre
Resend
Envío de correos electrónicos: códigos de inicio de sesión, propuestas compartidas, solicitudes de firma y notificaciones.
Datos: Nombre y dirección de correo electrónico del destinatario, y contenido del correo
Ubicación: Estados Unidos
Garantía de transferencia: Cláusulas contractuales tipo
Cuándo: Siempre
Google (Gemini API)
Funciones de IA: redacción, borradores, puntuación, análisis y traducción de mensajes del chat de soporte.
Datos: El texto enviado a una función de IA, que puede incluir nombres y datos de contacto de clientes
Ubicación: UE o Estados Unidos, según lo permitan las condiciones de Google
Garantía de transferencia: EU-US Data Privacy Framework y cláusulas contractuales tipo
Cuándo: Solo cuando alguien usa una función de IA
Stripe
Facturación de suscripciones y facturas. Los datos de la tarjeta van directamente a Stripe y nunca llegan a nuestros servidores.
Datos: Nombre, dirección de correo electrónico, espacio de trabajo y plan
Ubicación: UE y Estados Unidos
Garantía de transferencia: EU-US Data Privacy Framework y cláusulas contractuales tipo
Cuándo: Solo en suscripciones de pago
Slack
Alertas de seguridad y de operaciones para nuestro propio equipo.
Datos: Direcciones de correo electrónico y direcciones IP en alertas de seguridad
Ubicación: Estados Unidos
Garantía de transferencia: EU-US Data Privacy Framework y cláusulas contractuales tipo
Cuándo: Siempre
Otros servicios con datos limitados
Estos servicios solo reciben una dirección IP o una dirección de empresa, normalmente porque un navegador carga directamente desde ellos una fuente, un mapa o un vídeo.
Google Ads
Medición de los registros que provienen de nuestros anuncios.
Datos: Dirección IP y visita a la página. Sin su consentimiento, la etiqueta funciona sin cookies.
Ubicación: Red global
Garantía de transferencia: EU-US Data Privacy Framework y cláusulas contractuales tipo
Cuándo: Solo en el sitio web público, nunca en propuestas compartidas
OpenStreetMap (Nominatim)
Conversión de direcciones de empresa en coordenadas de mapa.
Datos: Direcciones de empresa
Ubicación: Consulte las condiciones del proveedor
Garantía de transferencia: Consulte las condiciones del proveedor
Cuándo: Solo al usar un mapa o una búsqueda de direcciones
CARTO
Teselas de mapa en las vistas de mapa.
Datos: Dirección IP del navegador
Ubicación: Consulte las condiciones del proveedor
Garantía de transferencia: Consulte las condiciones del proveedor
Cuándo: Solo al usar un mapa o una búsqueda de direcciones
YouTube, Vimeo, Loom
Vídeos insertados en una propuesta. YouTube se carga en modo de privacidad mejorada y Vimeo con do-not-track.
Datos: Dirección IP del navegador
Ubicación: Consulte las condiciones del proveedor
Garantía de transferencia: Consulte las condiciones del proveedor
Cuándo: Solo cuando una propuesta contiene un vídeo así
Giphy
Una imagen animada en algunos correos de bienvenida, cargada por el programa de correo.
Datos: Dirección IP del navegador
Ubicación: Estados Unidos
Garantía de transferencia: Consulte las condiciones del proveedor
Cuándo: Siempre
Integraciones que usted activa
Estos servicios solo reciben datos después de que un administrador del espacio de trabajo los conecte. Su espacio de trabajo los elige y decide qué se comparte. Se aplica su propio acuerdo con el proveedor.
Proveedores de pago: Stripe Connect, Mollie, Adyen, PayPal
Notificaciones: Slack, Microsoft Teams
Automatización y webhooks: Zapier, Make
Su propia clave de IA: OpenAI, Anthropic, Google
Inicio de sesión único (SSO): SAML 2.0
Servicios que no reciben datos personales
Para que la lista sea completa, estos son los demás servicios con los que se comunica la plataforma. Ninguno de ellos recibe datos personales.
Google Fonts: Fuentes en el editor, en los kits de marca y en las propuestas compartidas. Nuestro servidor las obtiene de Google y las sirve desde nuestro propio dominio. Ni tu navegador ni el de tus destinatarios se conectan nunca con Google.
FreeTSA (freetsa.org): Sellos de tiempo de confianza (RFC 3161) para las firmas y el registro de auditoría. Solo se envía un hash SHA-256, nunca el documento.
timeapi.io: Un reloj de reserva para las firmas cuando el servicio de sellado de tiempo no responde.
Have I Been Pwned: Comprobación de si una nueva contraseña aparece en filtraciones de datos conocidas. Solo se envían los cinco primeros caracteres de un hash de la contraseña.
FingerprintJS (open source): Una biblioteca que se ejecuta en el navegador para impedir el abuso de cuentas gratuitas. No se envía nada a FingerprintJS. Solo guardamos un hash del resultado.
Unsplash, Pexels: Búsqueda de fotos de stock. Nuestro servidor solo envía el término de búsqueda.
Web Push: Entrega de las notificaciones push a las que se ha suscrito. El contenido está cifrado de extremo a extremo.
Frankfurter: Tipos de cambio del Banco Central Europeo.
FireHOL, Tor Project, IPsum: Listas de direcciones IP maliciosas que descargamos. No se envía nada.
Cambios en esta lista
Actualizamos esta página antes de que un nuevo subencargado del tratamiento empiece a tratar datos personales. Los clientes con un acuerdo de encargo del tratamiento (DPA) firmado reciben un aviso previo por correo electrónico y pueden oponerse.
Acuerdo de encargo del tratamiento
¿Utiliza Proposal Expert para datos personales de sus clientes? Hay disponible bajo petición un acuerdo de encargo del tratamiento (DPA) conforme al artículo 28 del RGPD. Se lo enviamos para que lo revise y lo firme. Remite a esta lista de subencargados del tratamiento.