FactuTPV utiliza determinados proveedores técnicos para prestar, alojar, asegurar, mantener y mejorar el servicio SaaS. Cuando dichos proveedores tratan datos personales por cuenta del Cliente, actúan como subencargados conforme al DPA. El Cliente autoriza con carácter general el uso de subencargados necesarios para la prestación del servicio, sin perjuicio de su derecho a ser informado de cambios relevantes y a oponerse de forma motivada en los términos del DPA.
1. ¿Qué son los subencargados?
Un subencargado del tratamiento es un tercero al que el encargado del tratamiento (FactuTPV) recurre para realizar, total o parcialmente, actividades de tratamiento de datos personales por cuenta del responsable (el Cliente). Es la figura prevista en el artículo 28.2 y 28.4 del RGPD, que exige que el subencargado quede sujeto a las mismas obligaciones de protección de datos que el encargado.
2. ¿Por qué FactuTPV los necesita?
FactuTPV es un servicio SaaS y, como cualquier servicio en la nube, se apoya en proveedores especializados para tareas que no es viable ni razonable realizar internamente: alojamiento e infraestructura, copias de seguridad, distribución de contenido y seguridad de red, monitorización del servicio y, cuando el Cliente lo activa, funciones de IA/OCR. Estos proveedores son necesarios para que el servicio funcione de forma fiable, segura y continua. El envío de correo se realiza con infraestructura propia de FactuTPV (véase la nota al final de la tabla).
3. Autorización general
El Cliente, al aceptar el DPA, otorga una autorización general para el uso de los subencargados necesarios para la prestación del servicio. Esta autorización no exime a FactuTPV de su deber de informar de los cambios relevantes en la relación de subencargados ni del derecho del Cliente a oponerse de forma motivada, en los términos descritos más abajo y en el DPA.
4. Tabla de subencargados
La siguiente tabla recoge los subencargados utilizados actualmente para la prestación del servicio. Las copias de seguridad y los logs se almacenan en infraestructuras privadas ubicadas en la Unión Europea / EEE; por seguridad, no se publica la ubicación exacta.
| Proveedor | Servicio / función | Rol | Categorías de datos | Ubicación | Transferencia internacional | Garantías | Estado |
|---|---|---|---|---|---|---|---|
| Cloudflare, Inc. | CDN, DNS, WAF y proxy inverso | Subencargado (infraestructura de red) | Direcciones IP y metadatos de conexión | EEUU / global con nodos en la UE | Sí | Cláusulas Contractuales Tipo (SCC) | Activo |
| Raiola Networks | Alojamiento, base de datos, copias de seguridad y logs del servicio | Subencargado (alojamiento e infraestructura) | Todos los datos introducidos por el Cliente en la plataforma | España (Unión Europea / EEE) | No | Contrato de encargo del tratamiento y medidas de seguridad del proveedor | Activo |
| Anthropic, PBC (Claude) | IA para importación de catálogo y asistencia OCR de documentos subidos por el Cliente | Subencargado (solo cuando el Cliente usa OCR/IA) | Imágenes/PDF y textos enviados a OCR/IA | EEUU | Sí | SCC; sin uso de los datos para entrenamiento conforme a los términos del proveedor | Activo (opt-in) |
Stripe no figura como subencargado del DPA: procesa los pagos del Cliente a FactuTPV (plano en el que FactuTPV actúa como responsable) y no accede a los datos que el Cliente introduce en el TPV.
Correo electrónico: el envío de correos se realiza mediante infraestructura de correo propia de FactuTPV, sin recurrir a un proveedor externo de correo, ubicada en España (Unión Europea / EEE) y sin transferencia internacional de datos. Por motivos de seguridad y de protección de los datos no se publican su ubicación física exacta ni su topología. Si en el futuro FactuTPV incorporase un proveedor externo de correo, figuraría como subencargado y se comunicaría conforme a la cláusula de subencargados. Cuando el Cliente configure su propio servidor SMTP, dicho proveedor será designado por el Cliente y FactuTPV se limitará a transmitir la comunicación conforme a la configuración indicada por el Cliente.
Cuando un proveedor no esté activo: "No activo actualmente. En caso de incorporación se notificará conforme a la cláusula de subencargados."
5. Derecho de oposición motivada
El Cliente tiene derecho a oponerse de forma motivada a la incorporación o sustitución de un subencargado cuando existan razones objetivas y justificadas relacionadas con la protección de datos. La oposición debe comunicarse por escrito, indicando los motivos, en los términos y plazos previstos en el DPA. Si la oposición es fundada y no resulta posible una solución alternativa razonable, se estará a lo dispuesto en el DPA respecto a las consecuencias de dicha oposición.
6. Cómo se notifican los cambios
FactuTPV informará al Cliente de la incorporación o sustitución de subencargados con un preaviso de entre 15 y 30 días, salvo en supuestos de urgencia de seguridad, continuidad del servicio o sustitución necesaria del proveedor, en los que el plazo podrá reducirse o la notificación podrá realizarse de forma inmediata para no comprometer la prestación o la seguridad del servicio.
7. Contacto
Para cualquier consulta sobre los subencargados del tratamiento: privacidad@factutpv.es.