Subencargados del tratamiento
Última actualización: 5 de noviembre de 2026.
Esta lista cubre solo la plataforma web (app.mail-vex.com). Es independiente de la lista de subencargados de la extensión y el backend de licencias, que ya publica la política de privacidad §4.
| Subencargado | Rol RGPD | Sede / región | Qué datos del comerciante trata | Para qué |
|---|---|---|---|---|
| Hetzner Online GmbH | Encargado (subencargado de infraestructura) | Alemania, Núremberg (Unión Europea) | Todo el contenido almacenado: correos, HTML, métricas, borradores, datos de cuenta | Alojar la base de datos y el servicio de la plataforma |
| OpenAI | Encargado (subencargado de generación de texto con IA) | Estados Unidos. Hoy el tráfico va por el endpoint global de OpenAI, con el DPA y las cláusulas contractuales tipo (SCC) de OpenAI como mecanismo de transferencia — el endpoint de residencia de datos en la UE (eu.api.openai.com) existe pero no está activado todavía para esta cuenta | El contenido del correo/perfil de voz necesario para generar un borrador, después de enmascarar correos y teléfonos | Generar borradores de correo |
| Amazon Web Services, Inc. (Amazon SES) | Encargado (subencargado de correo transaccional) | Estados Unidos, región UE para el almacenamiento de los envíos | Solo el correo de la propia cuenta del comerciante y el contenido de los 4 correos transaccionales de la plataforma (enlace de acceso, aviso de pago fallido, aviso de retención, aviso de cuenta borrada). Nunca el contenido de sus campañas de marketing ni los datos de sus propios suscriptores | Enviar los correos transaccionales de la cuenta del comerciante en la plataforma |
| Stripe, Inc. | Encargado del tratamiento de AutomatLabs para el cobro, y responsable independiente para sus propios fines legales (no subencargado de este contrato, los datos de pago no son contenido del comerciante) | Estados Unidos / Irlanda, según el flujo | Correo del comprador, datos de la tarjeta y de la suscripción Pro | Procesar el cobro de la suscripción Pro |
1. Hetzner
Fuente oficial: Data Protection at Hetzner, <https://docs.hetzner.com/general/company-and-policy/data-protection-at-hetzner>. El contrato de encargo (DPA/"AVV") se concluye desde el panel de cliente de Hetzner. El servidor de la plataforma está en Núremberg, Alemania (Unión Europea); Hetzner también ofrece ubicaciones en EE. UU. y Singapur que no se usan para este servicio.
2. OpenAI
Fuente oficial: página de privacidad empresarial de OpenAI, <https://openai.com/business-data/>, y Data Processing Addendum, <https://openai.com/policies/data-processing-addendum/>. Por defecto, OpenAI no usa los datos enviados a la API para entrenar o mejorar sus modelos, y ofrece una opción de retención cero (ZDR) aprobada caso por caso. Existe una opción de residencia de datos en la UE para la API (eu.api.openai.com), pero la cuenta que usa AutomatLabs hoy no la tiene activada: el tráfico va por el endpoint global en Estados Unidos, con el DPA y las cláusulas contractuales tipo (SCC) de OpenAI como mecanismo de transferencia. Activar la residencia UE queda como una mejora futura, no como algo ya vigente.
3. Amazon SES
Fuente oficial: AWS GDPR Data Processing Addendum (DPA), <https://docs.aws.amazon.com/whitepapers/latest/navigating-gdpr-compliance/aws-data-processing-addendum-dpa.html>. El DPA de AWS incorpora cláusulas contractuales tipo (SCC) para las transferencias fuera de la UE y se aplica automáticamente a todos los clientes que lo necesiten. El servicio de correo de la plataforma solo arranca con una región de almacenamiento en la UE.
4. Riesgo residual: CLOUD Act de EE. UU.
OpenAI y Amazon son empresas con matriz en Estados Unidos, aunque almacenen los datos en una región de la UE. Existe un riesgo teórico de que una orden de EE. UU. (CLOUD Act) alcance esos datos aunque estén alojados en Europa — un riesgo documentado y no resuelto por el DPA ni por la residencia UE. No aplica a Hetzner, que es una empresa alemana sin esa exposición para el servicio europeo.