Subprocesadores

Para prestar el servicio nos apoyamos en proveedores externos. Cuando uno de ellos trata datos personales de nuestros clientes, es un subencargado del tratamiento, y esta es la lista completa.

Cada uno tiene contrato con nosotros, accede solo a lo que su función necesita y está sujeto a obligaciones de confidencialidad y seguridad equivalentes a las nuestras.

Cómo avisamos los cambios

Antes de sumar un subencargado nuevo o reemplazar uno existente, lo publicamos aquí y lo avisamos con al menos 30 días de anticipación a las organizaciones activas.

Si tu organización tiene una objeción razonable y fundada en materia de protección de datos, puede planteárnosla dentro de ese plazo escribiendo a info@meruma.app. Buscaremos una alternativa razonable y, si no la hubiera, tu organización podrá dar de baja el servicio afectado sin penalidad.

Infraestructura

Estos proveedores intervienen siempre, sea cual sea la configuración de tu organización.

Proveedor	Para qué	Qué datos trata	País
Amazon Web Services	Alojamiento, base de datos, almacenamiento de archivos, colas, identidad de usuarios y correo transaccional	Todos los datos del servicio	Estados Unidos (us-east-1)
Cloudflare	Protección contra el envío automatizado en los formularios públicos	Dirección IP y señales del navegador de quien completa un formulario	Estados Unidos y red global

Canales y funciones opcionales

Estos proveedores intervienen solo si tu organización activa el canal o la función correspondiente.

Proveedor	Para qué	Qué datos trata	País
Meta Platforms	Canales de WhatsApp, Instagram y Messenger	Mensajes, archivos adjuntos, identificadores y nombre de perfil de los contactos de ese canal	Estados Unidos e Irlanda
Telnyx	Telefonía, SMS y grabación de llamadas	Números de teléfono, metadatos y audio de las llamadas y los mensajes	Estados Unidos
Google	Canal de correo con Gmail, sincronización de agenda e inicio de sesión	Correos, eventos de calendario y datos de la cuenta conectada	Estados Unidos
Microsoft	Canal de correo con Outlook y sincronización de agenda	Correos, eventos de calendario y datos de la cuenta conectada	Estados Unidos
OpenAI	Bots con inteligencia artificial, con la clave de tu organización	Los mensajes de la conversación y los documentos de conocimiento que cargues	Estados Unidos

Sobre OpenAI: los datos enviados no se usan para entrenar modelos, ni suyos ni nuestros.

Servicios que elige tu organización

Además, tu organización puede conectar servicios propios o de terceros que nosotros no elegimos ni controlamos:

• Su propio servidor de correo (SMTP o IMAP), si prefiere enviar y recibir por ahí en lugar de usar los canales anteriores.
• Servicios incorporados a los sitios que publique con el constructor de sitios: por ejemplo analítica, mapas o videos. Si tu organización los agrega, esos servicios reciben datos de quienes visiten el sitio, y es la organización quien debe informarlo y recabar el consentimiento que corresponda.

Componentes que ejecutamos nosotros

Algunas funciones se apoyan en software de código abierto que corre dentro de nuestra propia infraestructura, sin que ningún tercero reciba datos: es el caso de la conversión de documentos a PDF para la firma electrónica y de la base de datos PostgreSQL. No son subencargados, pero los mencionamos para que el cuadro esté completo.

Transferencias internacionales

Todos los proveedores de la lista tratan datos en Estados Unidos. Para las transferencias desde la Unión Europea, el Reino Unido o Suiza aplicamos las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914), junto con las medidas técnicas descritas en la página de seguridad.

Preguntas

Escríbenos a info@meruma.app si necesitas el detalle contractual de alguno de estos proveedores para tu propio análisis de cumplimiento.