Subencargados del tratamiento
Última actualización: 1 de octubre de 2026
Estos son los proveedores que tratan los datos que introduces en ClientLabs, por cuenta tuya, para prestarte el servicio. Es la misma lista de la sección 5 del Contrato de Encargado de Tratamiento (DPA), publicada aparte para que puedas consultarla y enlazarla.
Lista vigente: versión de 1 de octubre de 2026. La fecha es la del último cambio de la lista: un proveedor nuevo, una corrección o una finalidad añadida.
| Subencargado | Finalidad | Ubicación | Garantía | Anunciado | Desde |
|---|---|---|---|---|---|
| Stripe | Procesamiento de pagos | UE / EEUU | Cláusulas Contractuales Tipo de la Comisión Europea (art. 46 RGPD) | 6 de julio de 2026 | 6 de julio de 2026 |
| Verifacti | Remisión de registros de facturación a la AEAT (Veri*Factu) | UE (España) | Sin transferencia fuera del EEE | 6 de julio de 2026 | 6 de julio de 2026 |
| Neon | Base de datos Corrección: Hasta el 20 de septiembre de 2026 esta fila decía «EEUU», y la política de privacidad lo repetía. Era FALSO y declaraba peor de lo que es: la base está en `eu-west-2` de AWS (Londres) desde siempre. Se corrigió al medir el host real del servidor, no al cambiar nada de sitio: los datos no se han movido. | Reino Unido (Londres) | Reino Unido — decisión de adecuación de la Comisión Europea (art. 45 RGPD); CCT para el acceso del proveedor desde EEUU | 6 de julio de 2026 | 6 de julio de 2026 |
| Vercel | Alojamiento de la aplicación Corrección: Hasta el 20 de septiembre de 2026 esta fila decía «UE / EEUU». Las funciones se ejecutan en `lhr1` (Londres), medido en la cabecera `x-vercel-id` de producción. Mismo caso que Neon: se corrigió la descripción, no la infraestructura. | Reino Unido (Londres) | Reino Unido — decisión de adecuación de la Comisión Europea (art. 45 RGPD); CCT para el acceso del proveedor desde EEUU | 6 de julio de 2026 | 6 de julio de 2026 |
| Upstash | Caché y almacenamiento temporal Corrección: Hasta el 20 de septiembre de 2026 esta fila decía «EEUU». La base de caché está en `eu-west-2` de AWS (Londres), comprobado en el panel del proveedor: el host no publica la región, así que esto no se puede verificar desde el código. Tercera fila del mismo error, corregida sin mover nada. | Reino Unido (Londres) | Reino Unido — decisión de adecuación de la Comisión Europea (art. 45 RGPD); CCT para el acceso del proveedor desde EEUU | 6 de julio de 2026 | 6 de julio de 2026 |
| Cloudinary | Almacenamiento de imágenes y archivos | UE / EEUU | Cláusulas Contractuales Tipo de la Comisión Europea (art. 46 RGPD) | 6 de julio de 2026 | 6 de julio de 2026 |
| Resend | Envío de correos transaccionales | UE / EEUU | Cláusulas Contractuales Tipo de la Comisión Europea (art. 46 RGPD) | 6 de julio de 2026 | 6 de julio de 2026 |
| SendPulse | Envío de correos (facturación y avisos) | UE / EEUU | Cláusulas Contractuales Tipo de la Comisión Europea (art. 46 RGPD) | 6 de julio de 2026 | 6 de julio de 2026 |
| Anthropic | Inteligencia artificial: lectura de justificantes de gasto, redacción de correos y el asistente de IA (consultas sobre tus facturas, clientes, ventas y proveedores), solo cuando usas esas funciones Trataba datos desde el 26 de marzo de 2026 sin figurar en esta lista. Se detectó y se declaró el 19 de septiembre de 2026. Esa declaración omitió una tercera función: el asistente de IA, que le envía datos desde el 12 de septiembre de 2026 —las consultas que le haces y los datos de tus facturas, clientes, ventas y proveedores que necesita para contestarlas— y que se añadió a esta fila el 1 de octubre de 2026. Solo recibe datos cuando importas o escaneas un justificante para que se lea, cuando pides a la IA que redacte un correo o cuando usas el asistente: si te opones, no uses esas tres funciones (adjuntar un justificante sin leerlo no le envía nada) y escríbenos. | EEUU | Cláusulas Contractuales Tipo de la Comisión Europea (art. 46 RGPD) | 19 de septiembre de 2026 | 26 de marzo de 2026 |
| Google (Calendar) | Sincronización de tareas con tu Google Calendar, solo si lo conectas Disponible desde el 10 de febrero de 2026 sin figurar en esta lista. Se detectó y se declaró el 19 de septiembre de 2026. Solo recibe datos si conectas tu calendario: si te opones, no lo conectes, o desconéctalo desde el botón de Google Calendar en Tareas. | UE / EEUU | Marco de Privacidad de Datos UE-EEUU (Google LLC está adherida) | 19 de septiembre de 2026 | 10 de febrero de 2026 |
Cambios y oposición
Cuando vayamos a añadir o sustituir un subencargado, lo publicaremos aquí antes de que empiece a tratar datos, con la fecha del anuncio, y podrás oponerte escribiendo a soporte@clientlabs.io. Si quieres recibir esos avisos por correo, pídenoslo en la misma dirección.
Las transferencias fuera del Espacio Económico Europeo se amparan en las garantías que indica cada fila, conforme al capítulo V del RGPD (sección 6 del DPA).