Anexo: Encargados del Tratamiento y Transferencias Internacionales

En Factonic conviven dos roles de tratamiento diferentes según de qué datos se trate. Es importante distinguirlos porque de ello depende quién es responsable y quiénes son encargados o sub-encargados.

1.1. Datos de cuenta del usuario autónomo (Factonic como responsable). Respecto a los datos con los que el autónomo se da de alta y gestiona su cuenta (nombre o razón social, NIF/CIF, dirección fiscal, teléfono, email, IBAN, logo, datos técnicos de uso, etc.), Factonic actúa como responsable del tratamiento. Los proveedores que se enumeran en la tabla de la sección 2 son, respecto a estos datos, encargados del tratamiento de Factonic, que actúan bajo sus instrucciones y en virtud del correspondiente contrato de encargo (art. 28 RGPD).

1.2. Datos de los clientes, proveedores y firmantes de albaranes del autónomo (Factonic como encargado). Respecto a los datos que el autónomo introduce sobre sus propios clientes (terceros que pueden ser personas físicas: nombre, NIF, dirección, email, teléfono, marca de empresa/B2B), así como los datos personales de esos clientes que puedan aparecer en facturas, presupuestos, proformas, obras y en el audio/transcripción dictados, y — cuando la función de gastos esté disponible — los datos de sus proveedores que figuren en los justificantes de gasto fotografiados (NIF, nombre, domicilio si consta), y — desde la versión 1.2.0 — los datos de quien firma sus albaranes (el cliente o la persona que firma en su nombre: nombre y apellidos, cargo y DNI opcionales, y el trazo estático de la firma), el autónomo es el responsable del tratamiento y Factonic actúa como su encargado del tratamiento (art. 28 RGPD). En esta relación, los proveedores enumerados en la sección 2 son sub-encargados del tratamiento: Factonic recurre a ellos para prestar el servicio, informando al autónomo de su identidad a través de este Anexo y permitiéndole oponerse a cambios en los términos previstos en la Política de Privacidad y en el contrato de encargo.

Todos los proveedores tratan datos personales únicamente para las finalidades descritas en este Anexo y bajo obligaciones de confidencialidad y seguridad. Las garantías legales de cada transferencia internacional y los enlaces a cada contrato de encargo (DPA) se recogen en la tabla y están pendientes de verificación en el DPA de cada proveedor antes de la publicación.

El clausulado completo que rige el encargo del tratamiento entre el autónomo (responsable) y Factonic (encargado) —instrucciones, confidencialidad, medidas de seguridad, recurso a sub-encargados, asistencia al responsable, supresión o devolución de datos al finalizar y auditoría— se recoge en el documento Condiciones de Encargo del Tratamiento (art. 28 RGPD). Este Anexo se limita a ser la lista de encargados y sub-encargados y de sus transferencias internacionales, y forma parte integrante de aquellas Condiciones y de la Política de Privacidad.

La siguiente tabla enumera los proveedores que intervienen hoy en el tratamiento. Para cada uno se indica su finalidad, los datos que trata, su ubicación, si implica transferencia fuera del EEE, la garantía legal aplicable a dicha transferencia y el enlace a su contrato de encargo (DPA).

Notas a la tabla:

• Revisión del asesor legal (2026-07-15, vía consulta; a formalizar por escrito) y verificación factual (2026-09-03, fuente primaria). Los contratos de tratamiento (DPA) de los proveedores fueron revisados por el asesor legal el 2026-07-15, que los consideró conformes. El 2026-09-03 se verificó con fuente primaria el DPA (o las condiciones aplicables) de cada proveedor: mecanismo de transferencia, ubicación y enlace, recogidos en la tabla anterior y en la subsección “Fuentes verificadas (2026-09-03)” al final de esta sección 2. Lo que queda pendiente es operativo (firmar y archivar el DPA de cada cuenta antes de la publicación), salvo en el caso de Google y Apple, donde además queda una calificación jurídica por confirmar (ver nota específica más abajo). Para Azure OpenAI el mecanismo ya estaba identificado (Microsoft DPA con SCC + EU Data Boundary).
• Transferencias fuera del EEE. Cuando un proveedor implica transferencia internacional, esta se ampara en el mecanismo de transferencia que corresponda conforme al Capítulo V del RGPD. El mecanismo concreto de cada proveedor se verificó con fuente primaria el 2026-09-03 (cláusulas contractuales tipo y, en varios proveedores, certificación en el marco EU-U.S. Data Privacy Framework — comprobada en el propio DPA público del proveedor y contrastada, cuando fue accesible, en el listado oficial dataprivacyframework.gov/list) y se detalla en la tabla anterior y en la subsección “Fuentes verificadas (2026-09-03)”.
• Proveedores con tratamiento en la UE y matriz en EEUU (Sentry y Vercel). Aunque la ingesta de reportes de error (Sentry) y el cómputo del hosting (Vercel) se realizan en la UE, la empresa matriz de ambos proveedores radica en EEUU, por lo que no puede descartarse un acceso desde fuera del EEE. Por prudencia y con el mismo criterio, ambos se marcan como transferencia “Posible”; el mecanismo de transferencia y las garantías concretas de cada uno se verificaron con fuente primaria el 2026-09-03 (ver tabla y “Fuentes verificadas”).
• Proveedores de identidad (Google y Apple). El inicio de sesión mediante Google (OAuth) y “Sign in with Apple” implica que dichos proveedores tratan datos de autenticación. Verificado con fuente primaria el 2026-09-03: Google se define expresamente como responsable independiente en sus “Google Controller-Controller Data Protection Terms” (a las que remiten las Google APIs Terms of Service), con cláusulas contractuales tipo (“Controller SCCs”) por defecto y certificación EU-U.S. Data Privacy Framework para transferencias a entidades Google certificadas en EEUU. Apple no publica un DPA para “Sign in with Apple”; su Política de Privacidad general la define como responsable de los datos de Apple ID de usuarios de la UE/UK/Suiza (transferencias mediante cláusulas contractuales tipo; Apple no participa en el EU-U.S. Data Privacy Framework), si bien no existe una cláusula específica que mencione “Sign in with Apple”: la calificación para este servicio concreto se infiere de su política general, no de una cláusula expresa. [ABOGADO: validar que este encuadre de Google y Apple como responsables independientes es correcto y suficiente, en particular para Apple por tratarse de una inferencia.]
• Las tiendas (Apple y Google) en el cobro de la suscripción (añadido 2026-08-18, Fase 4). Cuando los pagos estén activos, la suscripción se contrata mediante la compra integrada (IAP) de la App Store o de Google Play. En esa transacción, Apple y Google no actúan como encargados de Factonic sino como responsables independientes: son quienes efectúan la venta y el cobro conforme a sus propias condiciones, y los datos del medio de pago los tratan exclusivamente ellas (Factonic nunca los recibe). Las filas de Google y Apple de la tabla anterior se refieren únicamente a su papel como proveedores de identidad (OAuth). [ABOGADO: validar esta calificación de las tiendas como responsables independientes de la transacción IAP.]
• RevenueCat (añadido 2026-08-18, Fase 4 — pagos). Plataforma de gestión técnica de suscripciones IAP, incorporada como encargado con la activación de los pagos. Minimización aplicada por diseño: recibe el id interno de usuario como identificador seudónimo (“app user ID”) y los datos técnicos de la transacción de la tienda; no recibe nombre, email, NIF ni datos de tarjeta. Sus sub-encargados (AWS y otros, en EEUU) figuran en el Anexo 3 de su DPA público. El mecanismo de transferencia está identificado con fuente primaria (el DPA público de RevenueCat incorpora las SCC, módulo 2 responsable→encargado; no invoca el EU-U.S. Data Privacy Framework), en paralelo al tratamiento dado a Azure: queda como residual operativo suscribir y archivar el DPA aplicable a la cuenta antes de activar los pagos.
• Capa de voz (Azure OpenAI, Microsoft). Tras la migración completada el 2026-07-10 (ver sección 4), la capa de voz se presta con un recurso alojado en la UE (Suecia) y los datos se almacenan en reposo en la UE, sin usarse para entrenamiento, lo que reduce sustancialmente la exposición a transferencias internacionales frente al proveedor anterior (OpenAI, EEUU). No obstante, por la modalidad de despliegue “Estándar global”, no puede descartarse que el procesamiento de una solicitud se realice puntualmente en centros de datos de Microsoft fuera de la UE; por prudencia se marca como transferencia “Posible”. El audio y la transcripción pueden contener datos personales de los clientes del autónomo. Véase la Política de Privacidad, apartado sobre voz e inteligencia artificial, y el Aviso de Responsabilidad Fiscal.
• Minimización. Los datos indicados en la columna “Datos tratados” reflejan lo mínimo necesario para cada finalidad. En particular, la monitorización de errores (Sentry) se realiza con PII minimizada y la lista de espera trata la IP de forma seudonimizada mediante hash, nunca en claro.

Fuentes verificadas (2026-09-03)

Verificación factual con fuente primaria de cada DPA/condiciones aplicables. No sustituye a la revisión jurídica del asesor (2026-07-15) ni al paso operativo de suscribir y archivar el DPA de cada cuenta.

• Supabase · DPA: supabase.com/legal/dpa · Sub-encargados: supabase.com/legal/customer-resources/subprocessor-list · Mecanismo: SCC (2021/914, módulo 2 y módulo 3) + UK Addendum + Swiss Addendum · Acceso: 2026-09-03.
• Azure OpenAI (Microsoft) · DPA: aka.ms/DPA (“Microsoft Products and Services Data Protection Addendum”) · EU Data Boundary: learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-learn · Mecanismo: SCC (2021) + compromiso EU Data Boundary (el recurso Azure en región UE queda dentro del boundary); Microsoft mantiene certificación EU-U.S. DPF pero no la invoca como mecanismo primario para este servicio · Acceso: 2026-09-03.
• Sentry · DPA: sentry.io/legal/dpa · Sub-encargados: sentry.io/legal/subprocessors · Mecanismo: certificación EU-U.S. DPF (principal, según su propio DPA) + SCC módulo 2/3 (respaldo) · Acceso: 2026-09-03.
• Resend · DPA: resend.com/legal/dpa · Sub-encargados: resend.com/legal/subprocessors · Mecanismo: SCC módulo 2 + certificación EU-U.S. DPF (incl. extensión UK) · Acceso: 2026-09-03.
• Vercel · DPA: vercel.com/legal/dpa · Sub-encargados: security.vercel.com/subprocessors · Mecanismo: SCC (2021/914, módulos 1/2/3) + UK IDTA + certificación EU-U.S. DPF (incl. extensión UK y Swiss-U.S. DPF) · Acceso: 2026-09-03.
• Google (identidad OAuth) · Condiciones: developers.google.com/terms + business.safety.google/gdprcontrollerterms (Google Controller-Controller Data Protection Terms, v11) · Mecanismo: responsable independiente; Controller SCCs por defecto + certificación EU-U.S. DPF · Acceso: 2026-09-03.
• Apple (Sign in with Apple) · Política: apple.com/legal/privacy/en-ww + apple.com/legal/privacy/data/en/sign-in-with-apple · Mecanismo: responsable independiente (inferido de su política general; sin cláusula específica para este servicio); SCC propias de Apple; sin certificación DPF · Acceso: 2026-09-03.
• Cloudflare · DPA: cloudflare.com/cloudflare-customer-dpa · Sub-encargados: cloudflare.com/gdpr/subprocessors · Mecanismo: SCC módulo 2/3 + certificación EU-U.S. DPF · Acceso: 2026-09-03.
• Hostinger · DPA: hostinger.com/legal/dpa · Sub-encargados: incluidos en el Apéndice 3 del propio DPA (sin URL separada) · Mecanismo: responsable/encargado en la UE (Lituania/Chipre); SCC módulo 2/3 para los sub-encargados que operen fuera del EEE · Acceso: 2026-09-03.
• RevenueCat (verificado el 2026-08-18, sin cambios en esta pasada) · DPA: revenuecat.com/dpa · Mecanismo: SCC módulo 2 (responsable→encargado); no invoca el EU-U.S. DPF · Acceso: 2026-08-18.

Nota metodológica sobre el DPF. El listado oficial dataprivacyframework.gov/list es una aplicación en JavaScript que no pudo inspeccionarse de forma automatizada línea por línea en esta pasada. La certificación de cada proveedor se verificó primero en su propio DPA o página legal (fuente primaria y contractualmente vinculante) y, como contraste adicional, en los registros indexados de dataprivacyframework.gov/participant/6474 (Microsoft Corporation) y dataprivacyframework.gov/participant/5780 (Google LLC). Para Apple se verificó la ausencia de certificación DPF a partir de su propia Política de Privacidad, que declara las cláusulas contractuales tipo como mecanismo sin mencionar el DPF.

El audio de voz dictado por el usuario se almacena en un bucket privado de Supabase, accesible únicamente por su propietario mediante control de acceso a nivel de fila (RLS). La función de servidor que lo transcribe accede al audio bajo la identidad del propio usuario.

Minimización aplicada: el audio se utiliza únicamente para generar su transcripción y se elimina de forma automática e inmediata de nuestro almacenamiento en cuanto la transcripción se completa con éxito; no se conserva una vez transcrito. En los casos residuales en que la transcripción no llega a completarse (audio inaudible, silencio o error técnico), la grabación puede permanecer de forma temporal a la espera de un proceso periódico de limpieza que estamos implementando. La retención de los datos en el lado del proveedor de la capa de voz (Azure OpenAI / Microsoft) está pendiente de verificar en su DPA. Este punto se coordina con lo previsto en la Política de Privacidad.

La capa de voz ha migrado de OpenAI (EEUU) a Azure OpenAI (Microsoft), con el recurso alojado en la Unión Europea (Suecia). La migración se completó y verificó de extremo a extremo el 2026-07-10: la aplicación procesa el audio y su transcripción íntegramente a través de Azure OpenAI y ya no utiliza OpenAI (EEUU) para la capa de voz (la clave del proveedor anterior fue retirada). La tabla de la sección 2 refleja este proveedor.

Esta migración mejora la posición de transferencias internacionales: los datos se almacenan en reposo en la UE, bajo el contrato de tratamiento de Microsoft, y no se emplean para entrenar modelos. Matiz de transparencia: el despliegue utilizado es de tipo “Estándar global”, por lo que Microsoft puede procesar una solicitud puntual en centros de datos situados fuera de la UE (balanceo de carga); por ello la transferencia se declara como “Posible” (no como inexistente). [PENDIENTE: confirmar en el DPA de Microsoft la residencia del procesamiento y el mecanismo de transferencia aplicable (Cap. V RGPD); valorar, si se requiere procesamiento exclusivamente europeo, un despliegue restringido a la UE (“Data Zone”).]

Factonic podrá incorporar, sustituir o suprimir encargados y sub-encargados cuando resulte necesario para la prestación del servicio, informando a los usuarios a través de la actualización de este Anexo y, cuando proceda, permitiendo la oposición a los cambios en los términos previstos en la Política de Privacidad y en el contrato de encargo (art. 28 RGPD). La fecha de la última revisión figura en el encabezado de este documento.

Para cualquier consulta sobre los encargados del tratamiento o las transferencias internacionales, puede escribir a soporte@factonic.es. Véase también la Política de Privacidad, el Aviso Legal y la Política de Cookies.