Lista de Subprocesadores

1. Qué es un subprocesador

Un subprocesador es cualquier proveedor de servicios al que Vexakon recurre para cumplir su obligación de tratamiento de datos personales en nombre de un Cliente, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al Data Processing Agreement (DPA) firmado con cada Cliente.

Esta lista refleja los subprocesadores activos a la fecha de última revisión indicada arriba. Cualquier alta o sustitución se notifica al Cliente con preaviso de 30 días naturales conforme al DPA §4.4, con derecho de oposición razonada.

2. Lista actual de subprocesadores

2.1 Infraestructura de hosting y red

Proveedor	Función	Ubicación de tratamiento	Transferencia internacional	DPA
Hetzner Online GmbH	Hosting de servidores y bases de datos	Falkenstein (Alemania, UE)	No aplica (UE)	✓
Cloudflare, Inc.	CDN, DNS, SSL/TLS, Workers, R2	Edge global con anclaje UE	SCC 2021 + Adequacy decision UE-EE.UU. (DPF)	✓

2.2 Modelos de inteligencia artificial

Proveedor	Función	Ubicación de tratamiento	Transferencia internacional	DPA
OpenAI Ireland Ltd.	Modelos LLM (GPT-4o, GPT-4o-mini), embeddings, transcripción Whisper	Irlanda (UE) · procesamiento puede incluir EE.UU. bajo SCC	SCC 2021 + DPF	✓
Anthropic PBC	Modelos LLM (Claude) · no activo para datos de cliente	Estados Unidos	— (sin tratamiento de datos de cliente)	No aplica hoy ⁽¹⁾
Cohere Inc.	Re-ranking (rerank-v3.5)	Canadá	Adequacy decision UE-Canadá	✓

⁽¹⁾ Anthropic: el asistente de este sitio y el flujo productivo de agentes de voz/chat operan sobre OpenAI (GPT-4o-mini), no sobre Anthropic. Anthropic no procesa datos de clientes: Vexakon usa Claude exclusivamente como herramienta interna de I+D (plan de consumo en el que Anthropic actúa como responsable, no como encargado de Vexakon). Si en el futuro se incorporase Claude al flujo productivo, se haría vía API comercial con DPA de encargado firmado y notificación previa de cambio de subprocesador (§4).

2.3 Voz, audio y agentes conversacionales

Proveedor	Función	Ubicación de tratamiento	Transferencia internacional	DPA
ElevenLabs, Inc.	Síntesis de voz multilingüe (TTS)	Estados Unidos	SCC 2021 + DPF	✓
Deepgram, Inc.	Transcripción de voz Nova-3 (STT)	Estados Unidos	SCC 2021 + DPF	✓ ⁽²⁾
Retell AI, Inc.	Plataforma de agentes de voz IA	Estados Unidos	SCC 2021 módulo 2 (controller-to-processor)	✓
Telnyx LLC	Portadora telefónica (numeración y tránsito de voz) del agente de voz IA	Estados Unidos	SCC 2021	✓

⁽²⁾ Deepgram: DPA incorporado por referencia a los Términos de Servicio del proveedor (ToS-incorporated) + confirmación de compliance archivada + mip_opt_out=true global (los audios no se usan para mejorar modelos). Snapshot del texto contractual vigente en archivo interno de evidencias.

2.4 Mensajería y email

Proveedor	Función	Ubicación de tratamiento	Transferencia internacional	DPA
Meta Platforms Ireland Ltd.	WhatsApp Business Cloud API	Irlanda (UE) y Estados Unidos	SCC 2021 + DPF para flujos a EE.UU.	✓
Google Ireland Ltd. (Workspace)	Email, Drive, Calendar, Documentos	UE (Frankfurt, Bélgica)	Anclaje UE; SCC 2021 para soporte global	✓
Resend, Inc.	Email transaccional	Estados Unidos	SCC 2021 + DPF	✓
Sendinblue SAS (Brevo)	Email transaccional (respaldo de Resend)	Francia (UE)	No aplica (UE)	✓

2.5 Pagos y agendamiento

Proveedor	Función	Ubicación de tratamiento	Transferencia internacional	DPA
Stripe Payments Europe Ltd.	Procesamiento de pagos B2B	Irlanda (UE), procesamiento global	SCC 2021 para flujos extra-UE	✓
Cal.com, Inc. (self-hosted)	Booking y agendamiento (instancia self-hosted Vexakon)	Falkenstein (Alemania, UE · Hetzner)	No aplica (UE)	✓

2.6 Facturación, firma electrónica y gestión interna

Proveedor	Función	Ubicación de tratamiento	Transferencia internacional	DPA
Cuatroochenta SLU (Quipu)	Facturación electrónica Verifactu y gestión contable	España (UE)	No aplica (UE)	✓
Signaturit Solutions, S.L.	Firma electrónica avanzada para contratos MSA/SOW/DPA	España (UE)	No aplica (UE)	✓
Notion Labs, Inc.	Documentación interna y wiki (sin PII de clientes salvo email contacto)	Estados Unidos	SCC 2021 + DPF	✓

3. Riesgo Schrems III y plan de continuidad

Vexakon monitorea activamente el riesgo de invalidación del Data Privacy Framework (DPF) por el Tribunal de Justicia de la Unión Europea (TJUE).

En caso de sentencia estimatoria que invalide el DPF, las Cláusulas Contractuales Tipo (Decisión UE 2021/914) suscritas con cada subprocesador permanecen activadas automáticamente como base jurídica única y suficiente para las transferencias internacionales correspondientes, sin necesidad de renegociación contractual ni preaviso al Cliente.

Vexakon evaluará adicionalmente la migración a proveedores UE-only y, si procede, notificará al Cliente con plan de transición con preaviso mínimo de 60 días naturales.

Esta cláusula aplica a todos los subprocesadores con tratamiento (o retransferencia) en Estados Unidos: OpenAI (vía retransferencia desde OpenAI Ireland), ElevenLabs, Deepgram, Retell AI, Telnyx, Meta Platforms (flujos US), Resend.

4. Notificación de cambios

Vexakon notifica al Cliente:

• Alta de nuevo subprocesador con preaviso de 30 días naturales vía email contractual a legal@<dominio-cliente>. El Cliente dispone de derecho de oposición razonada durante ese plazo. Si la oposición no se resuelve por acuerdo entre las partes, el Cliente podrá resolver el MSA sin penalización (DPA §4.4).
• Sustitución de subprocesador existente con preaviso de 30 días naturales si la sustitución implica cambio de jurisdicción o cambio sustancial de medidas técnicas y organizativas.
• Baja de subprocesador sin sustitución sin preaviso (informativo).

5. Suscripción a actualizaciones

Para recibir notificaciones automáticas de cambios en esta lista, el Cliente puede:

• Suscribirse al feed RSS público (próximamente).
• Comunicarlo por email a legal@vexakon.com.

6. Información adicional

• Política de Privacidad: /legal/privacidad.
• Política de IA y disclosure (EU AI Act art. 50): /legal/transparencia-ia.
• Política de Uso Aceptable: /legal/uso-aceptable.
• Solicitudes de acceso a documentación contractual (DPA, SCC, prueba de DPF, evidencias auditoría): legal@vexakon.com.

7. Contacto

• Canal jurídico: legal@vexakon.com
• Contacto general: contacto@vexakon.com

8. Versión y revisión

Versión	Fecha	Cambios
1.0	2026-04-29	Versión inicial (14 subprocesadores)
2.0	2026-05-10	Revisión Passas (REPGPV2026001): cláusula Schrems III activación automática SCC; eliminación de Twilio (no usado en stack productivo); alineación Anexo I del DPA v2.0

Próxima revisión planificada: trimestral vía SOP-AUDIT-01 o ad-hoc ante alta/baja de subprocesador.