Subencargados del tratamiento

1. Qué es esta página

Faktelio trata datos personales por cuenta de sus clientes para prestar el servicio de facturación. Para hacerlo recurre a otros proveedores, que el Reglamento General de Protección de Datos llama subencargados del tratamiento. Esta página es la relación efectiva de esos proveedores, con su actividad, su localización y el mecanismo que ampara cada transferencia.

El contrato de encargo del tratamiento recoge una autorización general para recurrir a subencargados. Esta página es el medio por el que se informa de quiénes son y de cualquier cambio, y el apartado 9 explica cómo oponerse.

Cada versión de esta página lleva número y fecha. No se modifica en silencio: un cambio de proveedor, de actividad o de localización cambia la versión. Las fechas en que se leyó la documentación de cada proveedor constan en nuestro registro interno y se facilitan a quien las solicite por el correo de contacto.

2. Subencargados activos

Son los dos únicos proveedores que hoy pueden tratar datos personales por cuenta de nuestros clientes:

3. La cadena de Cloudflare, dicha entera

Cloudflare recurre a su vez a sus propios subencargados, y uno de esos hechos es el más relevante de toda esta página: los servicios sobre los que corre Faktelio —la ejecución del código, las bases de datos y el almacenamiento de archivos— forman parte de la plataforma para desarrolladores de Cloudflare, y esa plataforma tiene subencargados con localizaciones fuera de la Unión Europea.

La lista oficial de Cloudflare, en su actualización del 1 de octubre de 2025, incluye para lo que Faktelio utiliza:

El grupo Cloudflare, y los tickets de soporte

Además de los anteriores, el grupo Cloudflare cuenta con dieciocho sociedades que pueden actuar como subencargadas porque su personal presta soporte de cuenta e ingeniería, con sedes en Reino Unido, Singapur, Australia, Alemania, Portugal, Francia, Japón, Canadá, Países Bajos, Emiratos Árabes Unidos, India, Estados Unidos, Corea, México, Malasia, Suecia y Suiza.

Los tres proveedores de soporte de la tabla anterior están en Estados Unidos, de modo que abrir un ticket con datos dentro los sacaría de la Unión Europea. Por eso Faktelio opera con una instrucción documentada: en los tickets de soporte no se incluyen datos personales de los clientes de nuestros clientes, sólo identificadores internos que no permiten identificar a nadie por sí mismos.

4. Dónde se almacenan los datos, y qué no garantiza eso

Las bases de datos, el almacenamiento de archivos y los componentes que ordenan la numeración y la cadena de los registros de facturación se crearon con jurisdicción de la Unión Europea. Esa jurisdicción se fija al crear cada recurso y no se puede cambiar después.

Lo que esa jurisdicción garantiza es dónde se ejecuta el código y dónde quedan almacenados los datos. Hay dos cosas que no garantiza, y las dos están documentadas por Cloudflare:

• El identificador interno de los componentes de numeración se registra fuera de la jurisdicción, para facturación y diagnóstico del propio Cloudflare. Por eso ese identificador no contiene nunca un NIF, un correo electrónico ni ningún otro dato personal: es un identificador interno sin significado fuera del sistema.
• La jurisdicción no determina desde qué país responde Cloudflare a una petición, sólo dónde se ejecuta y se guarda. Para lo primero existe un producto distinto, que Faktelio no tiene contratado.

Lo que esta página no afirma

Dicho sin rodeos: afirmar que todos los datos y todos los tratamientos ocurren exclusivamente dentro de la Unión Europea sería falso, y esta página no lo afirma. Lo que sí se afirma es dónde se almacenan, con qué garantías se transfieren y quién puede acceder.

5. Cómo se amparan las transferencias internacionales

El tratamiento por parte de Cloudflare se rige por su contrato de tratamiento de datos, en su versión 6.4, en vigor desde el 3 de abril de 2026, suscrito entre Cloudflare, Inc. y el titular de la cuenta.

El instrumento de transferencia son las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021. El módulo aplicable es el tercero, el de encargado a subencargado, porque Faktelio actúa como encargado respecto de los datos de los clientes de sus clientes.

En esas cláusulas, Cloudflare ha elegido la autorización general de subencargados con aviso previo, el Derecho alemán cuando el Estado del exportador no admita derechos de terceros beneficiarios, y los tribunales de Múnich como foro subsidiario.

Con fecha de 8 de octubre de 2026, Cloudflare, Inc., Google LLC y Oracle America, Inc. figuran en la lista oficial del Marco de Privacidad de Datos entre la Unión Europea y los Estados Unidos publicada por el Departamento de Comercio estadounidense. Esa certificación se comprueba periódicamente y no sustituye a las cláusulas contractuales tipo: se suma a ellas.

6. El correo transaccional

El correo que Faktelio envía —verificar una cuenta nueva, recuperar el acceso, avisar de algo relevante— lo entrega Scaleway, S.A.S., con domicilio en 8 rue de la Ville l’Évêque, 75008 París, Francia, inscrita en el Registro de Comercio y Sociedades de París con el número 433 115 904.

El servicio está disponible únicamente en su región de París. Scaleway declara en su documentación que ningún dato personal de este servicio se transfiere fuera de la Unión Europea, que todo se aloja y se trata dentro de ella, y que la pila técnica completa está gestionada por Scaleway sin subencargados fuera de la Unión.

Los plazos de conservación de ese servicio son los siguientes:

• El contenido del mensaje y sus adjuntos no se almacenan de forma persistente: se destruyen al confirmarse la entrega o el rechazo definitivo. Si hay que reintentar el envío por un error temporal del destino, se retienen cifrados sólo mientras dura ese ciclo.
• Los metadatos de entrega —remitente, destinatario, asunto, identificador del mensaje, marcas de tiempo y estados— se conservan treinta y un días en el plan vigente, y hasta trescientos sesenta y cinco en los planes con retención extendida. Los registros técnicos sin estructurar, siete días.
• Los registros de rebote y las listas de supresión se mantienen mientras viva el dominio remitente o la cuenta, y sólo para proteger la reputación de envío. Se borran al eliminar el dominio o cerrar la cuenta.
• No se conserva ninguna copia de seguridad persistente del contenido: la arquitectura del servicio es de envío en tránsito.
• Al terminar el servicio, Scaleway suprime definitivamente todos los datos y sus copias en un máximo de diez días naturales, salvo que una norma obligue a conservarlos, en cuyo caso quedan bloqueados.

7. Lo que no está activo

Se enumera a propósito, para que nadie tenga que deducirlo de un silencio. Ninguno de estos servicios trata hoy datos personales por cuenta de nuestros clientes, y activar cualquiera de ellos sería un cambio de esta página:

• Inferencia de inteligencia artificial. No está activa. Sus subencargados no se pueden limitar a la Unión Europea, y por eso su activación está condicionada a resolver antes esa cuestión.
• Copia de seguridad fuera de Cloudflare. No está activa.
• Verificación de identidad con documento y datos biométricos. No está contratada ni activa.
• Firma electrónica avanzada de la autorización para remitir registros. No está contratada ni activa.

8. Por qué el proveedor de pago no está en esta lista

La suscripción a Faktelio se cobra a través de Stripe Payments Europe, Limited (Irlanda), con transferencias a Stripe, LLC (Estados Unidos) amparadas por el anexo de transferencias de su propio contrato.

Stripe no figura en esta lista porque no trata datos por cuenta de nuestros clientes: trata los datos de quien contrata y paga Faktelio, es decir, los de nuestra propia relación contractual. Ese tratamiento se describe en la política de privacidad, no en esta página. Ningún dato de tarjeta pasa por Faktelio: el pago se realiza en una página alojada por Stripe.

9. Cómo se avisa de un cambio y cómo oponerse

Faktelio vigila a diario las listas oficiales de subencargados de sus proveedores y compara su contenido con la última versión conocida. Cuando una entrada cambia, el aviso no se da por visto hasta que una persona lo revisa y queda registrado quién y cuándo.

Los plazos de aviso no son iguales en los dos proveedores, y conviene saberlo: Scaleway avisa con treinta días de antelación y reconoce un derecho de oposición; Cloudflare opera con autorización general, de modo que su cambio es efectivo al publicarlo y la vigilancia diaria es la forma de conocerlo.

Para oponerse a un subencargado nuevo, o para pedir cualquier aclaración sobre esta página, escriba a faktelio@faktelio.com. Si no se alcanza una solución, el contrato de encargo reconoce el derecho a resolverlo.

10. Versión de esta página