Subencargados del tratamiento
Última actualización: 16 de julio de 2026
Esta página cumple el compromiso de transparencia del Anexo de Encargo de Tratamiento (DPA) y la autorización general del art. 28.2 del RGPD. Recoge los terceros que tratan datos personales por cuenta de DutyBeat para prestar el servicio.
1. Subencargados actuales
| Proveedor | Finalidad | Datos | Ubicación |
|---|---|---|---|
| Cloudflare, Inc. | Infraestructura: ejecución de la aplicación (Workers), bases de datos (D1), almacenamiento de ficheros (R2), inferencia de IA (Workers AI), protección anti-bot (Turnstile) y cortafuegos (WAF). | Todos los datos tratados en la plataforma. | Almacenamiento en la Unión Europea (restricción jurisdiccional). Entidad matriz en EE. UU. |
| Resend (Plus Five Five, Inc.) | Envío de correo transaccional: avisos, recuperación de contraseña y confirmaciones. | Dirección de correo del destinatario, asunto y contenido del mensaje. | EE. UU. |
| Google Ireland Ltd. (Firebase Cloud Messaging) | Entrega de notificaciones push a la aplicación móvil. | Identificador del dispositivo y contenido de la notificación. | Unión Europea / EE. UU. |
| GitHub, Inc. | Automatización del aprovisionamiento de la base de datos dedicada de cada cliente. | Identificador interno de la empresa. Ningún dato de personas. | EE. UU. |
2. Modelos de inteligencia artificial
Las funciones de inteligencia artificial de la plataforma (asistente, lectura de recibos y apoyo a la valoración de candidaturas) se ejecutan dentro de la red de Cloudflare mediante Workers AI. No se envían datos a proveedores de modelos externos: el modelo empleado se ejecuta en la infraestructura de Cloudflare, que ya figura como subencargado en el apartado anterior.
DutyBeat no utiliza los datos de sus clientes para entrenar, reentrenar ni afinar modelos de inteligencia artificial, ni permite que sus subencargados lo hagan. Este compromiso es contractual y figura en el DPA.
3. Terceros sin acceso a datos personales
Los siguientes servicios se consultan desde la plataforma pero no reciben ningún dato personal, por lo que no son subencargados del tratamiento:
- Frankfurter (tipos de cambio del BCE) — Conversión de divisa de los gastos. Se envían la divisa y la fecha; ningún dato personal.
- calendariosnacionales.com — Importación del calendario laboral. Se envía la región; ningún dato personal.
4. Transferencias internacionales
El almacenamiento y la persistencia de los datos de la plataforma están garantizados en la Unión Europea mediante restricciones jurisdiccionales aplicadas a las bases de datos y a los almacenes de ficheros. No obstante, y para ser precisos: el procesamiento en el borde puede ejecutarse en nodos situados fuera de la UE, y los proveedores de correo y notificaciones operan desde EE. UU.
Estas transferencias se amparan en las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 y, cuando resulte aplicable, en decisiones de adecuación de la Comisión Europea, junto con las medidas suplementarias que procedan. Si el mecanismo de transferencia invocado dejara de ser válido, se aplicarán automáticamente las Cláusulas Contractuales Tipo vigentes, según lo previsto en el DPA.
5. Cambios en la lista
DutyBeat comunicará a sus clientes la incorporación o sustitución de cualquier subencargado con una antelación mínima de 30 días. Durante ese plazo, el cliente podrá oponerse de forma motivada al cambio. Si la objeción fuera razonable y no existiera una alternativa técnica viable, el cliente podrá resolver el contrato sin penalización, con reembolso de la parte proporcional no consumida.
Para recibir estos avisos, escribe a [email protected].
6. Responsabilidad
Conforme al art. 28.4 del RGPD, DutyBeat impone a sus subencargados las mismas obligaciones de protección de datos que asume frente a sus clientes, y responde plenamente ante el cliente del cumplimiento por parte de aquéllos.