Subprocesadores
Versión 2.3Última actualización:
Esta página lista los subprocesadores de terceros (proveedores y prestadores de servicios) que Zenovay («Zenovay», «nosotros», «nos» o «nuestro») usa para ayudar a proporcionar, mantener y mejorar nuestra plataforma de análisis y los servicios relacionados.
Cada subprocesador aquí enumerado se contrata al amparo de condiciones escritas de tratamiento de datos que le obligan a tratar los datos personales únicamente conforme a nuestras instrucciones, a mantenerlos confidenciales, a aplicar medidas de seguridad apropiadas y a asistir en las solicitudes de los interesados. No hemos realizado nuestra propia auditoría de seguridad independiente de estos proveedores, y no afirmamos haberlo hecho: cuando un proveedor dispone de una certificación o de un informe de auditoría independiente, lo identificamos como propio de ese proveedor, no nuestro.
Qué es un subprocesador
Un subprocesador es un procesador de datos de terceros contratado por Zenovay para ayudar a proporcionar nuestros Servicios. Estos subprocesadores pueden procesar datos de los clientes en nuestro nombre con fines como:
- Infraestructura de alojamiento y entrega de contenido
- Gestión de bases de datos y almacenamiento de datos
- Procesamiento de pagos y gestión de suscripciones
- Entrega de correo electrónico y servicios de comunicación
- Autenticación y gestión de identidades
- Servicios de análisis y monitoreo
Subprocesadores actuales
La siguiente tabla lista todos los subprocesadores activos utilizados por Zenovay a la fecha indicada anteriormente:
| Subprocesador | Propósito | Ubicación | Mecanismo de transferencia | Sitio web |
|---|---|---|---|---|
| Cloudflare, Inc. | Computación en el borde (Workers), almacenamiento clave-valor (KV), alojamiento estático (Pages), CDN, protección DDoS, protección contra bots (Turnstile) y AI Gateway | Estados Unidos (Red de borde global) | DPF UE-EE.UU. / DPF Suiza-EE.UU. | cloudflare.com/privacypolicy/ |
| Stripe, Inc. | Procesamiento de pagos, facturación y gestión de suscripciones | Estados Unidos | DPF UE-EE.UU. / DPF Suiza-EE.UU. | stripe.com/privacy |
| Resend, Inc. | Entrega de correo electrónico transaccional y servicios de notificación | Estados Unidos | CCE | resend.com/legal/privacy-policy |
| Mapbox, Inc. | Renderizado de teselas de mapa y geocodificación para las vistas de mapa y de globo dentro del panel de Zenovay. No se utiliza para localizar a los visitantes de los sitios web | Estados Unidos | CCE | mapbox.com/legal/privacy |
| Google LLC | Autenticación social OAuth (método de inicio de sesión opcional) | Estados Unidos | DPF UE-EE.UU. / DPF Suiza-EE.UU. | policies.google.com/privacy |
| GitHub (Microsoft Corp.) | Autenticación social OAuth (método de inicio de sesión opcional) | Estados Unidos | DPF UE-EE.UU. / DPF Suiza-EE.UU. | docs.github.com/en/site-policy/privacy-policies/github-general-privacy-statement |
| OpenAI, LLC | Funciones de IA: insights analíticos, consultas en lenguaje natural, triaje de solicitudes de soporte, el asistente de instalación guiada y el modo de voz de las Entrevistas de IA, en el que el audio del micrófono del entrevistado se transmite a OpenAI en tiempo real. Las solicitudes se enrutan a través de Cloudflare AI Gateway, salvo el asistente de instalación guiada y el modo de voz de las Entrevistas de IA, que llaman directamente a OpenAI | Estados Unidos | CCE | openai.com/policies/privacy-policy |
| IPwho.is | Geolocalización IP. Recibe la dirección IP del visitante para devolver un país, una región y una ciudad aproximados. Se utiliza en la ruta de seguimiento estándar, no solo como alternativa de reserva | UE / Global | Adecuación / CCE | ipwho.is |
| Sentry, Inc. | Monitoreo de errores, seguimiento del rendimiento de la aplicación e informes de fallos | Estados Unidos (empresa); los datos de errores se envían al endpoint de la región de la Unión Europea de Sentry | CCE | sentry.io/privacy/ |
| LemonSqueezy (Lemon Squeezy, LLC) | No recibe ningún dato de Zenovay. Figura en la lista porque un cliente puede conectar su propia cuenta de LemonSqueezy para que sus ventas se atribuyan en su panel de Zenovay; en esa dirección, es LemonSqueezy quien nos envía datos. Las suscripciones propias de Zenovay se facturan únicamente a través de Stripe | Estados Unidos | CCE | lemonsqueezy.com/privacy |
| Polar Software, Inc. | No recibe ningún dato de Zenovay. Figura en la lista porque un cliente puede conectar su propia cuenta de Polar para que sus ventas se atribuyan en su panel de Zenovay; en esa dirección, es Polar quien nos envía datos. Las suscripciones propias de Zenovay se facturan únicamente a través de Stripe | Estados Unidos | CCE | polar.sh/legal/privacy |
| Anthropic, PBC | Contratado para la clasificación y redacción asistidas por IA en la función de buzón de Zenovay, enrutadas a través de Cloudflare AI Gateway. Esa función no está actualmente desplegada en producción, por lo que Anthropic no trata hoy ningún dato de clientes. Figura aquí por adelantado para que activar la función no añada un subprocesador no divulgado | Estados Unidos | DPF UE-EE.UU. / CCE | anthropic.com/privacy |
| IPinfo.io (IPinfo LLC) | Geolocalización IP y consulta inversa de empresa a partir de la IP. Recibe la dirección IP del visitante y devuelve una ubicación aproximada y, cuando procede, la organización que hay detrás de la dirección | Estados Unidos | CCE | ipinfo.io/privacy |
| Oracle Corporation (Oracle Cloud Infrastructure) | Alojamiento de la base de datos principal (datos de cuenta y de autenticación) y de sus copias de seguridad desde el 28 de octubre de 2026, operadas por Zenovay con el software de código abierto de Supabase, y de la base de datos de analítica (ClickHouse) que almacena los eventos de visitantes de los sitios web, y de sus copias de seguridad, desde el 23 de octubre de 2026. Las copias de seguridad se almacenan en Oracle Object Storage en la misma región | Suiza (eu-zurich-1, Zúrich) | Adecuación (datos residentes en Suiza); las CCE (acuerdo de tratamiento de datos de Oracle) se aplican a cualquier acceso de soporte desde fuera del EEE o de Suiza | oracle.com/legal/privacy/ |
| Backblaze, Inc. | Almacenamiento cifrado de archivos (imágenes y archivos adjuntos subidos, repeticiones de sesión, capturas de mapas de calor) desde el 29 de octubre de 2026, y de copias cifradas de las copias de seguridad nocturnas de las bases de datos desde el 31 de octubre de 2026 | Unión Europea (eu-central, Ámsterdam, Países Bajos) | Datos residentes en el EEE (Países Bajos); adenda de tratamiento de datos de Backblaze con CCE para cualquier acceso desde Estados Unidos | backblaze.com/company/policy/privacy |
Subprocesadores opcionales
Los siguientes subprocesadores solo se contratan cuando los clientes habilitan funciones opcionales específicas:
| Subprocesador | Propósito | Función | Mecanismo de transferencia | Sitio web |
|---|---|---|---|---|
| Clearbit (HubSpot, Inc.) | Consulta inversa de empresa a partir de la IP. Recibe la dirección IP del visitante y devuelve atributos de la organización | Identificación de empresas B2B | DPF UE-EE.UU. / CCE | ipinfo.io/privacy |
| Amazon Web Services (S3) | Almacenamiento de objetos gestionado por el cliente. Las métricas agregadas de analytics_daily se escriben en un bucket que el cliente posee y configura. Zenovay actúa únicamente como agente: las credenciales, el bucket, la región y la política de ciclo de vida están totalmente bajo control del cliente | Exportación a Almacén (compatible con S3) - Plan Scale | Controlado por el cliente (la transferencia se realiza al amparo del propio acuerdo del cliente con su proveedor de almacenamiento, no el de Zenovay) | hubspot.com/data-privacy/privacy |
| Google Cloud (BigQuery) | Almacén de datos gestionado por el cliente. Las métricas agregadas de analytics_daily se escriben en una tabla de BigQuery que el cliente posee y configura, utilizando una cuenta de servicio que el propio cliente facilita. El proyecto, el conjunto de datos, la tabla y la ubicación están totalmente bajo control del cliente | Exportación a Almacén (BigQuery) - Plan Scale | Controlado por el cliente (la transferencia se realiza al amparo del propio acuerdo del cliente con Google Cloud, no el de Zenovay) | aws.amazon.com/privacy/ |
Estándares de procesamiento de datos
Las condiciones de tratamiento de datos que aceptamos de estos proveedores les obligan a:
- Mantener medidas de seguridad técnicas y organizativas apropiadas para proteger los datos de los clientes
- Procesar datos solo de acuerdo con las instrucciones documentadas de Zenovay
- Cumplir con las leyes de protección de datos aplicables, incluidos las regulaciones de protección de datos, el CCPA y otras regulaciones relevantes
- Poner a disposición la información necesaria para demostrar el cumplimiento de dichas condiciones
- Notificar a Zenovay con prontitud de cualquier brecha de datos, incidente de seguridad o acceso no autorizado
- Asistir con las solicitudes de los interesados, incluidas las solicitudes de acceso, eliminación y portabilidad
- Imponer obligaciones equivalentes a cualquier subprocesador ulterior que contraten
- Devolver o eliminar los datos de los clientes al finalizar los servicios, según las instrucciones
Minimización de datos
Zenovay aplica la minimización de datos a la analítica. La información sobre la audiencia, como la distribución por idioma, configuración regional y zona horaria, se infiere únicamente de los metadatos de solicitud que el navegador del visitante ya envía con cada solicitud de página (el encabezado Accept-Language y la señal de zona horaria de la CDN). No recopilamos datos adicionales con esta finalidad, no establecemos cookies ni almacenamiento local para ello y no utilizamos ningún proveedor externo de enriquecimiento demográfico. Estas señales se procesan de forma agregada, no se utilizan para crear perfiles individuales y no se infieren en absoluto cuando un visitante envía una señal de Global Privacy Control.
Transferencias internacionales de datos
Desde el 28 de octubre de 2026, la base de datos principal de Zenovay y sus copias de seguridad están alojadas por Oracle Cloud Infrastructure en Suiza (eu-zurich-1, Zúrich), donde ya se aloja desde el 23 de octubre de 2026 la base de datos de analítica que almacena los eventos de visitantes de los sitios web. La Comisión Europea reconoce que Suiza ofrece un nivel adecuado de protección de datos. La copia de respaldo de solo lectura de la antigua base de datos principal que se conservaba en Supabase, Inc., en la Unión Europea (Fráncfort), durante la migración ha sido eliminada. Desde el 29 de octubre de 2026, los archivos se almacenan en Backblaze B2 en la Unión Europea (Ámsterdam, Países Bajos), y desde el 31 de octubre de 2026 también se almacena allí una copia cifrada de las copias de seguridad nocturnas de las bases de datos. Algunos de nuestros otros subprocesadores (p. ej. Stripe, Resend, OpenAI mediante Cloudflare AI Gateway) tienen su sede en Estados Unidos, lo que puede implicar transferencias de datos personales fuera del Espacio Económico Europeo (EEE) a países que no ofrecen el mismo nivel de protección de datos que los países del EEE.
Para las transferencias de datos personales del EEE a países sin una decisión de adecuación, garantizamos el cumplimiento a través de:
- Marco de Privacidad de Datos UE-EE.UU. (DPF) / DPF Suiza-EE.UU.: Para los subprocesadores con sede en EE.UU. que están certificados bajo el DPF UE-EE.UU. y Suiza-EE.UU., confiamos en el DPF como mecanismo de transferencia válido (Decisión de adecuación de la Comisión Europea del 10 de julio de 2023).
- Cláusulas contractuales estándar (CCE): Usamos Cláusulas contractuales estándar aprobadas por la Comisión Europea (Decisión 2021/914) con subprocesadores que no están certificados bajo el DPF o como salvaguarda adicional.
- Acuerdos de procesamiento de datos (DPA): Cada subprocesador se contrata al amparo de condiciones escritas de tratamiento de datos que contienen las protecciones descritas anteriormente.
- Decisiones de adecuación: Cuando sea aplicable, confiamos en las decisiones de adecuación emitidas por la Comisión Europea para ciertos países.
- Medidas complementarias (Schrems II): Cifrado en tránsito, cifrado en reposo por parte del proveedor que almacena los datos, controles de acceso y minimización de datos, de modo que un proveedor situado fuera del EEE recibe únicamente lo que requiere su función concreta.
Actualizaciones a esta lista
Zenovay puede agregar, eliminar o reemplazar subprocesadores de vez en cuando a medida que evolucionan nuestras necesidades comerciales, cambia la tecnología o para mejorar nuestros Servicios.
Cuando realicemos cambios a nuestros subprocesadores:
- Actualizaremos esta página con la lista actual de subprocesadores
- Actualizaremos la fecha de «Última actualización» en la parte superior de esta página
- Proporcionaremos al menos 30 días de aviso anticipado a los clientes de pago antes de agregar nuevos subprocesadores
- Notificaremos a los clientes de pago por correo electrónico sobre cambios materiales en los subprocesadores
- Proporcionaremos a los clientes de pago el derecho a objetar a nuevos subprocesadores en motivos razonables de protección de datos
Recomendamos revisar esta página periódicamente para mantenerse informado sobre nuestros subprocesadores actuales. Usted también puede suscribirse a notificaciones por correo electrónico sobre actualizaciones de subprocesadores.
Sus derechos
Como cliente de Zenovay, usted tiene el derecho de:
- Solicitar información sobre nuestros subprocesadores y sus actividades de procesamiento de datos
- Objetar un nuevo subprocesador por motivos razonables de protección de datos, por escrito y en un plazo de 10 días desde nuestro aviso, según lo establecido en la Sección 5.3 del Acuerdo de procesamiento de datos
- Preguntar qué cláusulas de protección de datos rigen a un subprocesador determinado y recibir esas cláusulas o un resumen de ellas en la medida en que se nos permita comunicarlas
- Verificar nuestro cumplimiento mediante el mecanismo de auditoría de la Sección 8 del Acuerdo de procesamiento de datos: certificaciones e informes de los proveedores, un cuestionario anual y, en circunstancias excepcionales, una auditoría con aviso razonable y a su costa
- Rescindir los Servicios afectados si no podemos ofrecer una alternativa comercialmente razonable a un subprocesador al que usted se haya opuesto razonablemente
Los clientes Enterprise con requisitos específicos de procesamiento de datos pueden contactarnos para discutir acuerdos personalizados de procesamiento de datos.
Información de contacto
Si tiene preguntas sobre nuestros subprocesadores, prácticas de procesamiento de datos o desea suscribirse a notificaciones de actualización de subprocesadores, contáctenos:
Correo electrónico: [email protected]
Soporte: [email protected]
Dirección: Zenovay, Wanderstrasse 19, 4054 Basel, Suiza