Para prestar el servicio, Code Contract contrata los proveedores (subprocesadores) listados más abajo. Cada uno trata los datos bajo un acuerdo de encargo conforme al art. 28 del RGPD: firmado con nosotros o, si no, el acuerdo de tratamiento público que el proveedor incorpora a sus términos. Actualizado el 2026-09-30.
Notificamos cualquier incorporación nueva con 30 días de antelación a los clientes con DPA activo. Para preguntas escribe a privacy@codecontract.io.
| Proveedor | Finalidad | Ubicación | Datos procesados | Alta |
|---|---|---|---|---|
| Vercel Inc. | Alojamiento, edge computing y analítica web agregada (cookieless) | EU (Frankfurt) / USA | Tráfico HTTP, metadatos de sesión, páginas vistas agregadas | 2026-04-19 |
| Neon Inc. | Base de datos PostgreSQL gestionada | EU (Frankfurt) | Todos los datos de plataforma en reposo | 2026-04-19 |
| Anthropic PBC | Modelos de IA (Claude) para extracción, resumen, análisis, el agente Marta, la lectura de valores de campo no reconocidos al entregar datos por la API y la preparación y revisión de las peticiones internas del equipo a desarrollo | USA (con SCCs UE) | Fragmentos de documentos y mensajes cuando el usuario usa una función de IA; al entregar datos por la API, el valor suelto de un campo con formato declarado que ningún lector automático reconoce (nunca el documento); y, en las peticiones internas del equipo a desarrollo, su texto —puede nombrar a un cliente—, el título y un fragmento de las tarjetas internas de Linear que se le parecen y el texto de los briefs de producto (nunca los adjuntos) | 2026-04-19 |
| OpenAI Ireland Ltd. | Modelos de IA para la extracción multi-modelo (voto de consenso entre proveedores), la búsqueda semántica de documentos y la transcripción de las llamadas de voz | EU / USA (con SCCs UE) | El documento a leer y el esquema de campos solicitado; el título y el tipo de cada documento que se sube y el texto de las búsquedas semánticas (hasta 8.000 caracteres); y el audio de las llamadas de voz, para transcribirlo | 2026-08-02 |
| Google Ireland Ltd. | Modelo de IA para extracción multi-modelo (voto de consenso entre proveedores) | EU / USA (con SCCs UE) | Documento a leer y el esquema de campos solicitado | 2026-07-27 |
| Resend | Envío de emails transaccionales | EU (envío, Irlanda) / USA (almacenamiento, con SCCs UE) | Direcciones de email, asuntos, cuerpos | 2026-04-19 |
| Twilio Ireland Limited | Llamadas de voz automáticas | EU / USA (con SCCs UE) | Número de teléfono del destinatario, el guion hablado de la llamada (con los nombres de los campos que se piden) y la grabación de audio | 2026-04-19 |
| Meta Platforms Ireland Ltd. (WhatsApp Business API) | Mensajería WhatsApp | EU / USA (con SCCs UE) | Números de teléfono, contenido de mensajes | 2026-04-19 |
| Cloudflare Inc. | Protección anti-abuso en el acceso y el alta (Turnstile) | EU / USA (con SCCs UE) | Dirección IP, huella TLS y User-Agent del navegador que resuelve el reto | 2026-04-19 |
| PostHog Inc. | Analítica de producto (opcional, solo tras consentimiento) | EU (Frankfurt) | Páginas vistas y eventos de uso, vinculados al identificador, el email y la organización del usuario, solo cuando acepta las cookies de analítica | 2026-04-19 |
| Sentry (Functional Software Inc.) | Detección de errores de aplicación | EU / USA (con SCCs UE) | Trazas de error con su mensaje, que puede contener datos personales, y los identificadores internos del usuario y de la organización | 2026-04-19 |
| Microsoft Corporation (Azure Document Intelligence) | OCR de documentos cuando no basta la IA general, y avisos internos de errores al equipo por Microsoft Teams | EU (Países Bajos) | Contenido del documento a leer, que Azure borra a las 24 horas; en los avisos de Teams, el título y hasta 500 caracteres del error, que pueden incluir identificadores internos | 2026-04-19 |
| Upstash Inc. | Redis para limitar la frecuencia de peticiones y no procesar dos veces el mismo webhook, y QStash para programar tareas internas | EU (Frankfurt) | Contadores que caducan en minutos, cuya clave es un seudónimo (HMAC) de la IP, el email, el usuario o el token de acceso que se limita: sigue siendo un dato personal seudonimizado, pero Upstash no puede asociarlo a nadie sin nuestra clave; identificadores de los eventos de webhook de los proveedores; y, en QStash, las direcciones de nuestras tareas internas y su programación | 2026-04-19 |
| Amazon Web Services EMEA SARL | Almacenamiento de los documentos (S3), envío de SMS, envío de correo desde direcciones verificadas por el cliente (SES) y la función que ancla los sellos en cadena | EU (Madrid, para los documentos; Frankfurt, para SMS, correo y anclaje) | Los documentos que se suben a la plataforma, cifrados en reposo; el teléfono del destinatario y el texto de los SMS, incluido el código de un solo uso de la firma; los correos que una organización envía desde su dirección verificada (destinatario, asunto y cuerpo); y, para el anclaje, solo resúmenes criptográficos sin datos personales | 2026-06-13 |
| Linear Orbit, Inc. | Gestión interna de las peticiones de trabajo del equipo a desarrollo | USA o UE según la región del espacio de trabajo; si es USA, con cláusulas contractuales tipo (SCC) incorporadas a su DPA | El texto de las peticiones internas del equipo —puede nombrar a un cliente—, el nombre de quien la pide y enlaces a la plataforma; nunca los adjuntos | 2026-09-29 |
Altas, bajas y cambios en la lista, con la fecha en que se comunicaron a los clientes con DPA activo.
Incorporado para guardar los documentos de la plataforma (S3, en Madrid) y, después, para enviar los SMS de la firma y de los avisos, y el correo de las organizaciones que envían desde una dirección verificada (Frankfurt). El acuerdo de tratamiento se firmó el 2026-06-15. No figuró en esta lista hasta el 2026-09-30: se publica ahora con su fecha real y sin comunicación, porque no se hizo cuando tocaba.
Comunicación a clientes con DPA activo pendiente de envío.
Incorporado como proveedor de modelos de IA para la lectura y extracción de datos de documentos, en nivel comercial de pago. El servicio quedó suspendido el 2026-08-02 y no está operativo mientras se completa la comunicación a clientes.
Comunicación a clientes con DPA activo pendiente de envío.
Suspendido el tratamiento: se retiraron las credenciales de todos los entornos. La lectura de documentos continúa con el resto de proveedores.
Comunicación a clientes con DPA activo pendiente de envío.
Incorporado como proveedor de modelos de IA para la lectura y extracción de datos de documentos (voto de consenso entre proveedores). No se registró aquí cuando ocurrió: se publica el 2026-09-30 con su fecha real y sin comunicación.
Comunicación a clientes con DPA activo pendiente de envío.
Reactivado el tratamiento: el 2026-08-04 se volvió a dar de alta la credencial en producción y desde entonces Google lee documentos como uno más de los proveedores del voto de consenso (1.158 lecturas hasta el 2026-09-29, medido el 2026-09-30). La reactivación no se registró aquí cuando ocurrió, y la entrada del 2026-08-02 siguió diciendo que no estaba operativo: esta entrada lo corrige.
Comunicación a clientes con DPA activo pendiente de envío.
Retirado de la lista. Figuraba desde el 2026-04-19 como proveedor de sellado en blockchain, pero NUNCA trató ningún dato: no existe integración con su API en la plataforma — ni cliente, ni llamada, ni credencial en ningún entorno (medido el 2026-09-03). Su alta fue un error de documentación, no un tratamiento. Al no haber existido tratamiento no hay preaviso del art. 28.2 que deber: el plazo de 30 días protege la incorporación de un encargado que va a ver datos, y aquí no vio ninguno. Se publica la baja en lugar de borrarla en silencio porque la lista afirmaba un subencargado inexistente y eso es lo que hay que dejar corregido por escrito.
Comunicación a clientes con DPA activo pendiente de envío.
Nueva finalidad: leer, al entregar datos por la API, un valor de campo con formato declarado que ningún lector automático reconoce (una fecha o una cantidad escritas de una forma no contemplada), para devolverlo en el formato declarado. Solo recibe ese valor (máx. 500 caracteres), nunca el documento. El resultado se guarda en una tabla propia que se borra con el documento. Se activa por organización.
Comunicación a clientes con DPA activo pendiente de envío.
Incorporado para gestionar las peticiones internas que nuestro equipo hace a desarrollo. Recibe el texto de la petición (que puede nombrar a un cliente), el nombre del empleado que la pide y enlaces a la plataforma; nunca los adjuntos, que se quedan cifrados con nosotros. Es una herramienta interna: solo la usa nuestra organización, y la función nace apagada.
Comunicación a clientes con DPA activo pendiente de envío.
Nueva finalidad interna: preparar y revisar las peticiones que nuestro equipo hace a desarrollo. Recibe el texto de la petición (puede nombrar a un cliente), el título y un fragmento de las tarjetas internas de Linear que se le parecen, para avisar de duplicados, y el texto de los briefs de producto, para avisar si la petición contradice uno. Nunca los adjuntos. Solo lo usa nuestra organización.
Comunicación a clientes con DPA activo pendiente de envío.
La ficha solo decía que recibe el documento a leer. Además recibe el título y el tipo de cada documento que se sube y el texto de las búsquedas semánticas (hasta 8.000 caracteres), y el audio de las llamadas de voz, para transcribirlo.
Comunicación a clientes con DPA activo pendiente de envío.
La ficha decía que los eventos de uso eran anónimos. No lo son: van vinculados al identificador, el email y la organización del usuario. Sigue siendo solo con el consentimiento de las cookies de analítica.
Comunicación a clientes con DPA activo pendiente de envío.
La ficha decía que guardaba contadores por IP o clave de API. Guardaba también, en claro, emails, identificadores de usuario y tokens de acceso al portal externo. Desde el 2026-09-30 la clave es un seudónimo (HMAC): sigue siendo un dato personal seudonimizado, pero Upstash no puede asociarlo a nadie sin nuestra clave. También se declara QStash, del mismo proveedor, que programa las tareas internas.
Comunicación a clientes con DPA activo pendiente de envío.
La ficha decía «trazas de error y metadatos de sesión». Recibe el mensaje del error, que puede contener datos personales, y los identificadores internos del usuario y de la organización.
Comunicación a clientes con DPA activo pendiente de envío.
Nueva finalidad declarada: los avisos internos de errores al equipo van por Microsoft Teams, con el título y hasta 500 caracteres del error. Y la región: la ficha decía Frankfurt; el servicio de lectura de documentos está en los Países Bajos (sigue en la UE).
Comunicación a clientes con DPA activo pendiente de envío.
La ficha decía «EU». El envío sale de Irlanda, pero Resend guarda los datos en EE. UU., con cláusulas contractuales tipo.
Comunicación a clientes con DPA activo pendiente de envío.
La ficha decía «EU (Irlanda)». La entidad es irlandesa, pero la API de WhatsApp puede guardar los mensajes fuera de la UE: se declara EU / USA, con cláusulas contractuales tipo.
Comunicación a clientes con DPA activo pendiente de envío.
La ficha decía «CDN, WAF y protección anti-abuso» en «EU / global». Solo se usa la protección anti-abuso (Turnstile), que recibe la IP, la huella TLS y el User-Agent del navegador, y puede tratarlos en EE. UU., con cláusulas contractuales tipo.
Comunicación a clientes con DPA activo pendiente de envío.
La ficha decía «Twilio Inc.» y «SMS, WhatsApp y llamadas de voz». La entidad con la que se contrata en el EEE es Twilio Ireland Limited, y solo hace las llamadas de voz: los SMS van por AWS y WhatsApp por Meta.
Comunicación a clientes con DPA activo pendiente de envío.