AIRON TEAM SL actúa como encargada del tratamiento por cuenta de cada empresa cliente. El art. 28.2 RGPD prohíbe recurrir a otro encargado sin autorización del responsable. AIRON opera con autorización general, lo que obliga a informar de toda incorporación o sustitución y a permitir la oposición del cliente. Esta página es el anexo vivo del contrato de encargado del tratamiento.
1. Lista de subencargados
| Proveedor | Entidad y país | Ubicación del tratamiento | Función y datos que recibe | Mecanismo de transferencia | Estado |
|---|---|---|---|---|---|
| OpenAI | OpenAI, L.L.C. — Estados Unidos | Estados Unidos | Inferencia de modelos de lenguaje: indicaciones, contextos (fragmentos de correo, facturas o CRM) y salidas generadas. | Cláusulas Contractuales Tipo (Módulo 3) del anexo de tratamiento de datos de OpenAI, en formalización. | En uso |
| Alibaba Cloud | Alibaba Cloud — Singapur | Singapur | Punto final de modelo Qwen presente en el catálogo, desactivado y sin asignar a producción. | No procede: el punto final está desactivado y no recibe datos. | Sin uso (desactivado) |
| Groq | Groq, Inc. — Estados Unidos | Estados Unidos | Inferencia de respaldo. Recibiría indicaciones y contextos únicamente si se activara. | Se completará (DPF o Cláusulas Contractuales Tipo) antes de habilitar tráfico. | Sin tráfico |
| NVIDIA | NVIDIA Corporation — Estados Unidos | Estados Unidos | Inferencia de modelos alojados (NIM). Recibiría indicaciones y contextos únicamente si se activara. | Se completará (DPF o Cláusulas Contractuales Tipo) antes de habilitar tráfico. | Sin tráfico |
| ElevenLabs | ElevenLabs — Estados Unidos | Estados Unidos | Síntesis de voz: el texto que se locuta y, en su caso, audio de referencia. | Cláusulas Contractuales Tipo (Módulo 3), en tramitación. | Según activación del cliente |
| RunPod | RunPod — Estados Unidos | Centros de datos de RunPod; el entrenamiento de modelos, solo en la Unión Europea (Suecia) | Cómputo con GPU bajo demanda: el modo opcional «AIRON (Qwen3.5-27B)» del Asistente, activado solo en cuentas piloto, y el entrenamiento puntual de modelos propios de búsqueda con consultas de clientes piloto. | Cláusulas Contractuales Tipo (Módulo 3), en tramitación. | En uso limitado (piloto) |
| Meta (WhatsApp e Instagram) | Meta Platforms Ireland Ltd. — Irlanda (con tratamiento también en Estados Unidos) | Irlanda (UE) y Estados Unidos | Mensajería de WhatsApp Business e Instagram: mensajes, números de teléfono e identificadores de contacto. | Condiciones de Meta con sus propias Cláusulas Contractuales Tipo. | Según activación del cliente |
| Google Ireland Ltd. — Irlanda (parte del tratamiento por Google LLC, Estados Unidos) | Irlanda (UE) y Estados Unidos; embeddings en Alemania (UE) | Identificación OAuth, Gmail, Drive, Calendar, Google Ads, GA4, Search Console, YouTube y Perfil de Empresa: contenido de correo, ficheros, eventos, métricas y audiencias. Desde el 19-sep-2026, Google Cloud Vertex AI (europe-west3, Fráncfort) calcula los embeddings de la búsqueda: recibe el texto de los fragmentos indexados y de las consultas. | Anexo de tratamiento de datos de Google con Cláusulas Contractuales Tipo; Google LLC certificada en el DPF. | En uso, según activación del cliente | |
| Microsoft | Microsoft Ireland Operations Ltd. — Irlanda | Unión Europea (EU Data Boundary) | Microsoft 365, OneDrive y Outlook: contenido de correo, ficheros y calendario. | Tratamiento en la UE; Cláusulas Contractuales Tipo del DPA de Microsoft para el tratamiento residual fuera del EEE. | Según activación del cliente |
| Twilio | Twilio Ireland Ltd. — Irlanda / Twilio Inc. — Estados Unidos | Irlanda (UE) y Estados Unidos | Telefonía y voz: numeración, audio de la llamada y metadatos de la llamada. | Cláusulas Contractuales Tipo del DPA de Twilio; se fuerza la región de datos irlandesa. | Según activación del cliente |
| IONOS | IONOS SE — Alemania | Fráncfort del Meno, Alemania (UE) | Alojamiento del servidor: toda la infraestructura, las bases de datos y los ficheros de la plataforma. | No procede: el tratamiento se realiza íntegramente en la Unión Europea. | En uso |
| GitHub | GitHub, Inc. (Microsoft) — Estados Unidos | Estados Unidos | Exportación de sitios web creados con Web Studio al repositorio del propio cliente. | Cláusulas Contractuales Tipo del DPA de Microsoft/GitHub; el destino es el repositorio del cliente. | Según activación del cliente |
| Telegram | Telegram (Bot API) — entidad contratante en determinación | Por determinar | Canal de mensajería interna del operador: mensajes del operador e identificadores de conversación. No se usa para comunicarse con terceros. | Pendiente de determinar. Mientras tanto, el canal se limita a mensajería operativa interna. | En uso (interno) |
| Stripe | Stripe Payments Europe Ltd. — Irlanda / Stripe, Inc. — Estados Unidos | Irlanda (UE) y Estados Unidos | Facturación de AIRON a sus propios clientes: datos de contacto y de pago. En este tratamiento AIRON es responsable, no encargado. | Cláusulas Contractuales Tipo del DPA de Stripe; Stripe, Inc. certificada en el DPF. | En uso limitado (facturación propia) |
No todos los proveedores reciben datos de todos los clientes: los marcados «según activación del cliente» solo intervienen si esa empresa conecta ese servicio. Estamos completando el expediente contractual (acuerdo de tratamiento, cláusulas tipo y evaluación de la transferencia) con cada proveedor; puedes solicitar el estado actualizado en privacidad@airon.team.
2. Componentes locales: no son subencargados
Estos componentes se ejecutan íntegramente sobre la infraestructura propia de AIRON en Fráncfort. No hay comunicación de datos a un tercero y, por tanto, no procede contrato de encargo ni transferencia internacional.
| Componente | Función y datos que recibe |
|---|---|
| SearXNG | Búsqueda web para los agentes, autoalojada en el propio servidor. |
| AIRON CRM | CRM autoalojado en crm.airon.team, sobre la misma infraestructura. |
3. Transferencias internacionales
El alojamiento (servidores, bases de datos, ficheros y copias de seguridad) y la indexación de la búsqueda se realizan en la Unión Europea; la inferencia de los modelos de lenguaje la presta OpenAI en Estados Unidos. Para los proveedores situados en terceros países se aplica el Capítulo V del RGPD: decisión de adecuación, Marco de Privacidad de Datos UE-EE. UU. cuando el importador está certificado y activo, o Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914, Módulo 3 (de encargado a subencargado), con las medidas suplementarias necesarias y una evaluación de impacto de la transferencia revisada al menos anualmente.
Regla de encaminamiento. Para incorporar un proveedor nuevo situado fuera del EEE o de un país con decisión de adecuación se exige antes el expediente de transferencia completo. Con el proveedor de inferencia actual (OpenAI, Estados Unidos) está en curso la formalización del anexo de tratamiento de datos y de la evaluación de la transferencia. A igualdad razonable de calidad y coste se prefiere, por este orden: modelo local en nuestro propio servidor, proveedor que trate en la UE, proveedor con adecuación o certificación DPF vigente, y proveedor con cláusulas tipo y evaluación favorable.
4. Cómo se notifican los cambios
- Comunicación escrita a todos los clientes responsables con 30 días naturales de antelación a que el nuevo subencargado empiece a tratar datos.
- Contenido de la comunicación: nombre y entidad del proveedor, función, categorías de datos, ubicación del tratamiento, mecanismo de transferencia y fecha prevista de incorporación.
- Canal: correo al contacto de privacidad de cada cliente y publicación en esta página.
- Derecho de oposición motivada dentro de ese plazo. Si la oposición es fundada y no existe alternativa razonable, el cliente puede resolver sin penalización el servicio afectado, con el periodo de transición de 30 días descrito en portabilidad y cambio de proveedor.
- En caso de sustitución o baja: misma notificación de 30 días, confirmación de la supresión de los datos en poder del proveedor saliente y actualización de esta página.
5. Registro de cambios
| Fecha | Cambio |
|---|---|
| 26 de septiembre de 2026 | RunPod pasa a «en uso limitado (piloto)»: da servicio al modo opcional «AIRON (Qwen3.5-27B)» del Asistente en cuentas piloto y al entrenamiento puntual de modelos propios de búsqueda, que se hace solo en la UE (Suecia). OpenAI: se corrige el mecanismo de transferencia, que son las Cláusulas Contractuales Tipo de su anexo de tratamiento de datos, en formalización (se retira la referencia al Marco de Privacidad UE-EE. UU.). Se precisa que el alojamiento y la indexación se hacen en la UE y la inferencia en Estados Unidos. Corrección de la entrada del 2 de septiembre: NVIDIA sí recibió tráfico hasta el 19 de septiembre, porque calculaba los embeddings de la búsqueda; desde ese día no recibe ninguno. |
| 19 de septiembre de 2026 | Google: se añade el cálculo de los embeddings de la búsqueda en Google Cloud Vertex AI, región europe-west3 (Fráncfort, UE); el contenido indexado no sale de la UE para vectorizarse. Se completa la descripción de Google con Calendar, YouTube y Perfil de Empresa, que ya se usaban. No se incorpora ningún proveedor nuevo. |
| 2 de septiembre de 2026 | Publicación inicial de la lista, con 14 proveedores. Alibaba Cloud queda desactivado y sin uso. No se ha incorporado ningún subencargado nuevo respecto de la situación anterior. |
El contexto de esta lista está en la política de privacidad de la plataforma. Dudas: privacidad@airon.team o info@airon.team.