Veritas DigitalSeguridad · Reputación · IA
Centro de confianza

Subencargados de tratamiento

Quién más toca los datos y para qué.

Registro de subencargados del tratamiento

Cuando Veritas Digital actúa como encargado del tratamiento por cuenta de un cliente, recurre a terceros que tratan datos personales bajo nuestras instrucciones. Este es el registro de esos subencargados.

Publicarlo no es un gesto de transparencia decorativo: el artículo 28 del RGPD exige autorización del responsable para incorporar subencargados, y sin una lista pública el cliente no puede ejercer su derecho de objeción de forma informada.

1. Cómo funciona este registro

ReglaContenido
AutorizaciónEl cliente autoriza en el acuerdo de encargo del tratamiento (DPA) la incorporación de subencargados de las categorías aquí listadas.
Notificación de cambiosTodo alta o sustitución de subencargado se notifica con 30 días naturales de antelación por el canal designado en el DPA.
Derecho de objeciónEl cliente puede objetar motivadamente dentro de ese plazo. Si la objeción no puede resolverse, el cliente puede resolver el servicio afectado sin penalización.
Obligaciones impuestasTodo subencargado queda vinculado por escrito a obligaciones no menos protectoras que las del DPA principal: confidencialidad, medidas de seguridad, asistencia en derechos del interesado, notificación de brechas y supresión o devolución al término.
ResponsabilidadVeritas Digital responde frente al cliente del cumplimiento del subencargado.
RevisiónRegistro revisado trimestralmente por el Responsable de Cumplimiento.

2. Categorías de subencargado

Estas son las categorías que una operación como la nuestra utiliza realmente. No hay más categorías que estas; si apareciera una nueva, se añadiría aquí antes de contratarla.

  1. Alojamiento e infraestructura de cómputo — servidores de aplicación y de base de datos donde reside la plataforma.
  2. Almacenamiento de objetos y copias de seguridad — ficheros aportados por clientes y sus copias.
  3. Red de distribución de contenido y protección perimetral — CDN, mitigación de denegación de servicio, WAF, DNS.
  4. Registro de dominios y certificación TLS — gestión de dominios y emisión de certificados.
  5. Correo transaccional y notificaciones — avisos de emisión de certificado, recuperación de acceso, alertas.
  6. Proveedores de modelos de IA — modelos empleados por los agentes de automatización. Restricción contractual dura: los datos del cliente no se emplean para entrenamiento ni mejora de modelos.
  7. Orquestación de automatizaciones y agentes — plataforma de flujos donde se ejecutan los agentes.
  8. Pasarela de pago y facturación — datos de facturación del cliente. Los datos completos de tarjeta no son tratados ni almacenados por Veritas.
  9. Analítica web y de producto — métricas de uso, con configuración de minimización.
  10. CRM y gestión de la relación con el cliente — datos de contacto profesional.
  11. Soporte y ticketing — comunicaciones de soporte y su contenido.
  12. Monitorización, telemetría y registro de errores — trazas técnicas que pueden contener identificadores.
  13. Control de versiones y despliegue continuo — código y configuración; sin datos de cliente en producción.
  14. Gestión de identidades y autenticación — credenciales y factores de autenticación.
  15. Firma electrónica y gestión documental contractual — contratos y encargos firmados.
  16. Distribución de aplicaciones móviles — publicación de la aplicación Android.
  17. Servicios profesionales y asesoría — colaboradores externos con acceso puntual bajo NDA y encargo.

Fuera de este registro por diseño: el anclaje temporal en Bitcoin mediante OpenTimestamps no es un subencargado del tratamiento. Lo que se publica en la cadena es una huella criptográfica, no datos personales ni contenido; ninguna entidad recibe datos personales por esa vía y el proceso es verificable con software libre sin intervención de terceros.

3. Plantilla de ficha de subencargado

Cada entrada del registro se cumplimenta con estos campos. Ninguno es opcional.

CampoContenido esperado
CategoríaUna de las 17 de la sección 2
Denominación social y país de constituciónNombre legal completo
Servicio prestadoDescripción funcional concreta
Finalidad del tratamientoPara qué trata los datos, sin generalidades
Categorías de interesadosClientes, usuarios finales, contactos comerciales, terceros verificadores
Categorías de datosIdentificativos, de contacto, de facturación, contenido aportado, metadatos técnicos, registros de conexión
Datos de categoría especialSí / No. Si sí: base jurídica y medidas reforzadas
Ubicación del tratamientoPaís o países donde se tratan los datos
Transferencia internacionalAdecuación, cláusulas contractuales tipo, o mecanismo aplicable. Indicar si se ha realizado evaluación de impacto de la transferencia
Subcontratación ulteriorPermitida / No permitida. Si permitida: obligación de notificación
Medidas de seguridadCifrado en tránsito y en reposo, control de acceso, certificaciones del proveedor si las tiene
Plazo de conservaciónPeriodo y criterio de supresión
Instrumento contractualDPA firmado, cláusulas del proveedor, fecha
Fecha de alta
Última revisión
EstadoActivo / En sustitución / Baja

4. Registro vigente

Pendiente de cumplimentación. Las filas se completan con los proveedores efectivamente contratados. No se publican proveedores hipotéticos ni previstos: solo los que están en producción con contrato firmado.

CategoríaProveedorServicioDatos tratadosUbicaciónTransferenciaEstadoAlta

Al cumplimentar: una fila por proveedor, no por categoría. Un proveedor que presta dos servicios distintos ocupa dos filas si las finalidades y los datos difieren.

5. Transferencias internacionales

Veritas Digital LLC es una entidad estadounidense y trata datos de clientes en Estados Unidos, la Unión Europea y México, entre otras jurisdicciones.

Para cada subencargado que trate datos personales fuera del Espacio Económico Europeo, la ficha debe indicar el mecanismo de transferencia aplicable —decisión de adecuación, cláusulas contractuales tipo u otro— y, cuando proceda, si se ha realizado una evaluación de impacto de la transferencia. Si no hay mecanismo válido documentado, no se contrata.

Para datos sujetos a la legislación mexicana, aplica la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, que abroga la ley de 2010 y atribuye las funciones de autoridad a la Secretaría Anticorrupción y Buen Gobierno.

6. Ejercicio de derechos y contacto

Las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad —o los derechos ARCO cuando aplique la normativa mexicana— se dirigen al responsable del tratamiento, que normalmente es el cliente. Cuando Veritas Digital sea el responsable, se atienden por el canal publicado en el aviso de privacidad.

Como encargado, Veritas Digital asiste al responsable en la atención de esas solicitudes dentro de los plazos legales.

Contacto de privacidad: privacidad@veritasdigital.tech

Fuentes