Aviso importante. Esta lista es un borrador pendiente de revisión jurídica. Identifica a los terceros proveedores de servicios (subencargados) a los que ARPCLEAN (Nitro Cloud LTD) recurre actualmente para prestar el servicio. Notificaremos a los clientes cualquier cambio previsto con al menos 30 días de antelación y les daremos la oportunidad de oponerse por motivos razonables en un plazo de 14 días, según lo establecido en nuestras Condiciones del servicio y en nuestro Acuerdo de encargo del tratamiento.
1. Cómo leer esta lista
A efectos del Reglamento General de Protección de Datos de la UE (RGPD), un «subencargado» es un tercero al que ARPCLEAN recurre para tratar datos personales por cuenta de nuestros clientes. La lista siguiente solo incluye proveedores que efectivamente tratan datos personales. Los componentes de infraestructura que ARPCLEAN opera por sí misma (por ejemplo, PostgreSQL, Redis, MinIO, Stalwart Mail Server, Gotenberg y Qdrant, todos ellos autoalojados en infraestructura de la UE) no son subencargados en el sentido del art. 28 del RGPD y, por tanto, no figuran aquí.
2. Subencargados que tratan datos
Infraestructura y alojamiento
- Nitro Cloud LTD: infraestructura de centros de datos en la UE
Finalidad: alojamiento principal de la plataforma ARPCLEAN, las bases de datos, el almacenamiento de objetos, la caché, el servidor de correo, el almacén de memoria de IA y los contenedores de aplicaciones.
Ubicación: Unión Europea.
Datos personales tratados: todos los datos de los clientes (huéspedes de hoteles, empleados, tareas, documentos, imágenes).
Mecanismo de transferencia: dentro de la UE, sin transferencia a terceros países.
Correo electrónico transaccional
- Resend (Resend Inc., Estados Unidos)
Finalidad: envío de correos electrónicos transaccionales, como restablecimientos de contraseña, invitaciones a equipos y notificaciones del sistema.
Ubicación: Estados Unidos.
Datos personales tratados: dirección de correo electrónico del destinatario, nombre del remitente, asunto y cuerpo del correo.
Mecanismo de transferencia: cláusulas contractuales tipo de la UE (módulo 2, de responsable a encargado) y, en su caso, el Marco de Privacidad de Datos UE-EE. UU.
Servicios de IA
- OpenAI (OpenAI, L.L.C., Estados Unidos)
Finalidad: modelo de lenguaje de gran tamaño utilizado para la traducción automática de descripciones de tareas, la generación de descripciones de fotografías y una importación de datos asistida por IA de alcance limitado. OpenAI está configurado con la conservación de datos desactivada (sin entrenamiento con nuestros datos).
Ubicación: Estados Unidos.
Datos personales tratados: descripciones de tareas, URL de fotografías (las imágenes en sí se alojan en la infraestructura de ARPCLEAN), texto limitado para traducción.
Mecanismo de transferencia: cláusulas contractuales tipo de la UE y Marco de Privacidad de Datos UE-EE. UU. - Anthropic (Anthropic, PBC, Estados Unidos)
Finalidad: modelo de lenguaje de gran tamaño de reserva para las mismas finalidades que OpenAI, utilizado cuando OpenAI no está disponible o para tareas específicas. Configurado con conservación de datos cero (sin entrenamiento con nuestros datos).
Ubicación: Estados Unidos.
Datos personales tratados: los mismos que OpenAI.
Mecanismo de transferencia: cláusulas contractuales tipo de la UE y Marco de Privacidad de Datos UE-EE. UU.
Autenticación (proveedores de inicio de sesión)
Cuando un usuario opta por iniciar sesión con un proveedor de identidad externo, ARPCLEAN recibe de dicho proveedor la dirección de correo electrónico y el perfil básico del usuario (nombre, imagen de perfil). El proveedor de identidad actúa como responsable del tratamiento independiente antes del evento de autenticación; lo incluimos aquí en aras de una transparencia plena.
- Google LLC (Estados Unidos): inicio de sesión con Google. Mecanismo de transferencia: cláusulas contractuales tipo de la UE y Marco de Privacidad de Datos UE-EE. UU.
- Microsoft Corporation (Estados Unidos): inicio de sesión con Microsoft / Azure AD. Mecanismo de transferencia: cláusulas contractuales tipo de la UE y Marco de Privacidad de Datos UE-EE. UU.
- Apple Inc. (Estados Unidos): inicio de sesión con Apple. Mecanismo de transferencia: cláusulas contractuales tipo de la UE y Marco de Privacidad de Datos UE-EE. UU.
3. Servicios que no tratan datos personales
En aras de la exhaustividad, la plataforma utiliza las siguientes API externas, que únicamente reciben datos no personales, como códigos de país y años. No son subencargados en el sentido del art. 28 del RGPD:
- Nager.Date: datos de días festivos (solo código de país y año).
- Calendarific: proveedor de reserva de datos de días festivos (solo código de país y año).
4. Notificación de cambios
Notificaremos a los clientes por correo electrónico al menos 30 días antes de añadir un nuevo subencargado o de sustituir a uno existente. En un plazo de 14 días desde dicha notificación, los clientes podrán oponerse al cambio propuesto por motivos razonables. Si no es posible alcanzar una solución de buena fe, el cliente tendrá derecho a resolver por justa causa la parte afectada del servicio.
5. Contacto
Las preguntas sobre esta lista o sobre nuestras prácticas de tratamiento de datos pueden dirigirse a:
Nitro Cloud LTD
Akad. Mihail Arnaudov 3, Et. 3
7005 Ruse, Bulgaria
Correo electrónico: [email protected]