Subencargados del tratamiento

Vercel Inc.

• Servicio: Alojamiento de aplicaciones y cómputo sin servidor para la aplicación web y las API de Flitch.
• Categorías de datos: Todos los Datos Personales del Cliente que transitan por la aplicación web.
• Ubicación del procesamiento: Estados Unidos (principal), con edge global.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo del Reino Unido, enmienda suiza. Marco de Privacidad de Datos UE-EE. UU. cuando exista certificación.

Railway Corp.

• Servicio: Alojamiento del visor de dashboards, informes y apps publicados (view.flitch.io), del servicio de compilación y de los procesos de generación, actualización, conectores y flujos de trabajo.
• Categorías de datos: Código y contenido de dashboards, reportes y apps publicados, datos obtenidos de las fuentes conectadas durante la generación, la actualización, la publicación y la ejecución de workflows, y solicitudes de los usuarios que los visualizan.
• Ubicación del procesamiento: Singapur.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo del Reino Unido, enmienda suiza.

Cloudflare, Inc.

• Servicio: Proxy perimetral frente al visor para dashboards, informes y aplicaciones publicados, incluidos los dominios personalizados, con una página de respaldo cuando el servidor de origen no está disponible.
• Categorías de datos: Solicitudes a dashboards, informes y apps publicados, incluyendo la dirección IP y los metadatos de la solicitud.
• Ubicación del procesamiento: Estados Unidos, con red perimetral global.
• Mecanismo de transferencia: Marco de Privacidad de Datos UE-EE. UU., extensión para el Reino Unido y Marco de Privacidad de Datos Suiza-EE. UU. Las cláusulas contractuales tipo (CCT) de la UE (módulo 3) y el anexo para el Reino Unido están incorporados en el DPA para clientes de Cloudflare.

Neon Inc.

• Servicio: Base de datos PostgreSQL administrada para los datos de la aplicación.
• Categorías de datos: Datos de la cuenta, metadatos de dashboards, informes y apps, credenciales cifradas de las fuentes, registros de auditoría.
• Ubicación del procesamiento: Australia (Sídney).
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo del Reino Unido y enmienda suiza.

DigitalOcean LLC

• Servicio: Caché de Valkey administrada para los resultados de consultas de dashboards, informes y aplicaciones publicados.
• Categorías de datos: Resultados de consultas en caché (TTL de 5 minutos). Estado de la cola de trabajos de BullMQ.
• Ubicación del procesamiento: Estados Unidos.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo del Reino Unido, enmienda suiza.

Amazon Web Services, Inc.

• Servicio: Almacenamiento de objetos S3 para los recursos de dashboards, informes y apps, las exportaciones y los archivos subidos por los usuarios. Amazon Bedrock para la inferencia de IA, que se usa cuando el proveedor principal no está disponible. Simple Email Service para el correo transaccional y para los correos enviados por los flujos de trabajo de los clientes.
• Categorías de datos: Archivos de dashboards, informes y aplicaciones, imágenes y PDF exportados, y adjuntos subidos por los usuarios. Prompts de los usuarios, sus esquemas y muestras de datos donde la inferencia se ejecuta en Bedrock. Dirección del destinatario y contenido del mensaje en los correos transaccionales y en los correos que envía un flujo de trabajo de un cliente, que pueden incluir filas de los datos del cliente.
• Ubicación del procesamiento: Australia (Sídney) para el almacenamiento de objetos en S3. Estados Unidos para Bedrock y Simple Email Service.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo del Reino Unido, enmienda suiza. Marco de Privacidad de Datos UE-EE. UU. Según sus condiciones de servicio, AWS no utiliza los datos de entrada de Bedrock para entrenar modelos.

Anthropic, PBC

• Servicio: Inferencia de IA (API de Claude) para crear y actualizar dashboards, aplicaciones, reportes y flujos de trabajo, sugerencias de contenido, y el modelo predeterminado para los pasos de IA en los flujos de trabajo de los clientes.
• Categorías de datos: Instrucciones (prompts) de los usuarios, esquemas de dashboards, reportes y apps, muestras de datos (tal como se incluyen en las instrucciones de los usuarios), y las filas y los documentos que llegan a un paso de IA en un flujo de trabajo de un cliente.
• Ubicación del procesamiento: Estados Unidos.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo del Reino Unido y enmienda suiza. Según los términos de la API comercial, Anthropic no utiliza los datos enviados a la API para entrenar modelos. La retención cero de datos (Zero Data Retention) está disponible bajo petición para contratos empresariales.

OpenAI, L.L.C.

• Servicio: Inferencia de IA (API de GPT) para generación, edición, el asistente de datos, Ask AI publicado y los pasos de IA en flujos de trabajo, donde un equipo la selecciona.
• Categorías de datos: Instrucciones de los usuarios, esquemas de dashboards, reportes y apps, muestras de datos (tal como se incluyen en las instrucciones de los usuarios), y las filas y documentos que llegan a un paso de IA en un flujo de trabajo de un cliente cuando ese paso los utiliza.
• Ubicación del procesamiento: Estados Unidos.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Adenda para el Reino Unido, enmienda suiza. Según sus políticas de uso de datos de la API, OpenAI no utiliza las entradas de la API para entrenar modelos y conserva los datos de la API durante un período limitado para la supervisión de abusos.

X.AI LLC

• Servicio: Inferencia de IA (API de Grok) para generación, edición, el asistente de datos, Ask AI publicado y los pasos de IA en flujos de trabajo, cuando un equipo la selecciona.
• Categorías de datos: Prompts de usuario, esquemas de dashboards, informes y aplicaciones, muestras de datos (tal como se incluyen en los prompts de usuario) y las filas y documentos que llegan a un paso de IA en un flujo de trabajo de un cliente donde ese paso lo utiliza.
• Ubicación del procesamiento: Estados Unidos.
• Mecanismo de transferencia: Cláusulas contractuales tipo (CCT) de la UE (Módulo 3), Anexo del Reino Unido, enmienda suiza. Según los términos de su API empresarial, xAI no utiliza los datos enviados a la API para entrenar modelos.

Mistral AI SAS

• Servicio: Lectura de documentos (OCR) para un paso de flujo de trabajo configurado para leer las páginas antes de extraer datos de ellas. No se usa para inferencia y solo se activa cuando un paso lo solicita.
• Categorías de datos: Documentos cargados, las páginas generadas a partir de ellos y el texto extraído de ellos.
• Ubicación del procesamiento: Unión Europea (Francia).
• Mecanismo de transferencia: No se necesita ningún mecanismo de transferencia para el tratamiento dentro de la UE. Cuando Mistral recurre a un subencargado fuera de la UE, su Anexo de Tratamiento de Datos incorpora las CCT de la UE. Mistral no utiliza los datos de entrada de pago de la API para entrenar modelos y los conserva durante un período limitado para la supervisión de abusos.

Google LLC

• Servicio: Inferencia de IA (API de Gemini) para generación, tareas de contenido y pasos de IA en flujos de trabajo donde un equipo la selecciona.
• Categorías de datos: Instrucciones de los usuarios, esquemas de dashboards, informes y apps, muestras de datos (cuando se incluyen en las instrucciones de los usuarios) y las filas y documentos que llegan a un paso de IA en un flujo de trabajo de un cliente, cuando ese paso los utiliza.
• Ubicación del procesamiento: Estados Unidos.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo para el Reino Unido, enmienda suiza. Marco de Privacidad de Datos UE-EE. UU. Google no utiliza las entradas de la API para entrenar modelos, según los términos de su API comercial.

Replicate, Inc.

• Servicio: Generación de imágenes para los iconos de dashboards, informes y apps.
• Categorías de datos: Una descripción visual breve del icono, redactada por nosotros a partir de su tema. No incluye ninguno de sus datos, ni datos de origen, ni datos de la cuenta. Replicate elimina las entradas, las salidas y los registros de una predicción de la API una hora después.
• Ubicación del procesamiento: No publicado por el proveedor.
• Mecanismo de transferencia: En proceso de establecimiento con el proveedor. No se prevé que ningún dato personal llegue a este servicio.

PostHog Inc.

• Servicio: Analítica de producto y reproducción de sesiones para la aplicación Flitch.
• Categorías de datos: Eventos de uso, vistas de página y, en el caso de los visitantes que dan su consentimiento, grabaciones de sesión de la interfaz de Flitch. La grabación está desactivada en los dashboards, informes y apps publicados, así como en la vista previa del editor, por lo que nunca se graba a la audiencia de un autor.
• Ubicación del procesamiento: Estados Unidos.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo del Reino Unido.

Functional Software, Inc. (Sentry)

• Servicio: Monitoreo de errores y trazabilidad del rendimiento de la aplicación Flitch.
• Categorías de datos: Mensajes de error, trazas de pila, metadatos de la solicitud y el identificador de cuenta de la persona que encontró el error. La repetición de sesión sigue las mismas reglas de consentimiento y de superficie que la analítica.
• Ubicación del procesamiento: Estados Unidos.
• Mecanismo de transferencia: Marco de Privacidad de Datos UE-EE. UU., Extensión para el Reino Unido y Marco de Privacidad de Datos Suiza-EE. UU. Cláusulas contractuales tipo de la UE y el Acuerdo Internacional de Transferencia de Datos del Reino Unido incorporados en el DPA de Sentry.

Stripe Inc.

• Servicio: Procesamiento de pagos para suscripciones y facturación.
• Categorías de datos: Datos de contacto de facturación, tokens del método de pago (Flitch no almacena los datos completos de la tarjeta).
• Ubicación del procesamiento: Estados Unidos.
• Mecanismo de transferencia: CCT de la UE (Módulo 3), Anexo del Reino Unido, modificación suiza. Marco de Privacidad de Datos UE-EE. UU.