Lista de Subprocesadores

1. Qué es un subprocesador

Un subprocesador es cualquier proveedor de servicios al que Vexakon recurre para cumplir su obligación de tratamiento de datos personales en nombre de un Cliente, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al Data Processing Agreement (DPA) firmado con cada Cliente.

Esta lista refleja los subprocesadores activos a la fecha de última revisión indicada arriba. Cualquier alta o sustitución se notifica al Cliente con preaviso de 30 días naturales conforme al DPA §4.4, con derecho de oposición razonada.

2. Lista actual de subprocesadores

2.1 Infraestructura de hosting y red

2.2 Modelos de inteligencia artificial

⁽¹⁾ Anthropic: el asistente de este sitio y el flujo productivo de agentes de voz/chat operan sobre OpenAI (GPT-4o-mini), no sobre Anthropic. Anthropic no procesa datos de clientes: Vexakon usa Claude exclusivamente como herramienta interna de I+D (plan de consumo en el que Anthropic actúa como responsable, no como encargado de Vexakon). Si en el futuro se incorporase Claude al flujo productivo, se haría vía API comercial con DPA de encargado firmado y notificación previa de cambio de subprocesador (§4).

2.3 Voz, audio y agentes conversacionales

⁽³⁾ Telnyx: Vexakon no contrata a Telnyx directamente: interviene como subencargado de Retell AI para el transporte telefónico (backbone SIP), y así figura en el Anexo del DPA firmado con Retell (ejecutado el 2026-06-26). Las obligaciones de protección de datos le alcanzan por la cláusula de subencargo de ese DPA, no por un contrato bilateral con Vexakon. Se declara aquí por transparencia sobre la cadena real de tratamiento.

⁽²⁾ Deepgram: DPA incorporado por referencia a los Términos de Servicio del proveedor (ToS-incorporated) + confirmación de compliance archivada + mip_opt_out=true global (los audios no se usan para mejorar modelos). Snapshot del texto contractual vigente en archivo interno de evidencias.

2.4 Mensajería y email

2.5 Pagos y agendamiento

2.6 Facturación, firma electrónica y gestión interna

⏳ Qué significa «no activo» · añadido 2026-08-16

Estas dos filas declaraban ✓ —igual que las de proveedores con contrato firmado y en vigor— cuando no hay ni cuenta ni encargo. Revisado contra nuestro archivo de DPA firmados (57 documentos a fecha de esta revisión):

Proveedor	Artefactos de DPA
Cuatroochenta (Quipu)	0
Signaturit	0

No es un riesgo para los datos de nadie: no hay tratamiento porque no hay servicio. Lo que destruye es la fiabilidad del instrumento — quien lea esta tabla para comprobar si declaramos todos nuestros encargados no puede distinguir un ✓ respaldado de uno aspiracional. Y esta página existe precisamente para que esa comprobación sea posible.

⏳ = declarado por anticipado, sin contratar. Cuando el servicio se active se firma el DPA antes del primer tratamiento y esta fila pasa a ✓ con su fecha, como las demás.

Stripe se deja en ✓ y no es incoherencia: sus 6 documentos sí están en el repositorio (2026-04-30-stripe-dpa, DTA y anexos). Su matiz es otro y está en ACCIONES-HUMANAS.md: el DPA se incorpora al dar de alta la cuenta, y la cuenta no está creada. El papel existe; el vínculo contractual empieza con el alta.

3. Riesgo Schrems III y plan de continuidad

Vexakon monitorea activamente el riesgo de invalidación del Data Privacy Framework (DPF) por el Tribunal de Justicia de la Unión Europea (TJUE).

En caso de sentencia estimatoria que invalide el DPF, las Cláusulas Contractuales Tipo (Decisión UE 2021/914) suscritas con cada subprocesador permanecen activadas automáticamente como base jurídica única y suficiente para las transferencias internacionales correspondientes, sin necesidad de renegociación contractual ni preaviso al Cliente.

Vexakon evaluará adicionalmente la migración a proveedores UE-only y, si procede, notificará al Cliente con plan de transición con preaviso mínimo de 60 días naturales.

Esta cláusula aplica a todos los subprocesadores con tratamiento (o retransferencia) en Estados Unidos: OpenAI (vía retransferencia desde OpenAI Ireland), ElevenLabs, Deepgram, Retell AI, Telnyx, Resend.

4. Notificación de cambios

Vexakon notifica al Cliente:

• Alta de nuevo subprocesador con preaviso de 30 días naturales vía email contractual a legal@<dominio-cliente>. El Cliente dispone de derecho de oposición razonada durante ese plazo. Si la oposición no se resuelve por acuerdo entre las partes, el Cliente podrá resolver el MSA sin penalización (DPA §4.4).
• Sustitución de subprocesador existente con preaviso de 30 días naturales si la sustitución implica cambio de jurisdicción o cambio sustancial de medidas técnicas y organizativas.
• Baja de subprocesador sin sustitución sin preaviso (informativo).

5. Suscripción a actualizaciones

Para recibir notificaciones automáticas de cambios en esta lista, el Cliente puede:

• Suscribirse al feed RSS público (próximamente).
• Comunicarlo por email a legal@vexakon.com.

6. Información adicional

• Política de Privacidad: /legal/privacidad.
• Política de IA y disclosure (EU AI Act art. 50): /legal/transparencia-ia.
• Política de Uso Aceptable: /legal/uso-aceptable.
• Solicitudes de acceso a documentación contractual (DPA, SCC, prueba de DPF, evidencias auditoría): legal@vexakon.com.

7. Contacto

• Canal jurídico: legal@vexakon.com
• Contacto general: contacto@vexakon.com

8. Versión y revisión

Próxima revisión planificada: trimestral o ad-hoc ante alta o baja de un subprocesador.