Subencargados del tratamiento
Última actualización: 5 de octubre de 2026
Esta página cumple el compromiso de transparencia del Anexo de Encargo de Tratamiento (DPA) y la autorización general del art. 28.2 del RGPD. Recoge los terceros que tratan datos personales por cuenta de DutyBeat para prestar el servicio.
1. Subencargados actuales
| Proveedor | Finalidad | Datos | Ubicación |
|---|---|---|---|
| Cloudflare, Inc. | Infraestructura: ejecución de la aplicación (Workers), bases de datos (D1), almacenamiento de ficheros (R2), inferencia de IA (Workers AI) y la pasarela por la que pasan las llamadas a modelos externos (AI Gateway), protección anti-bot (Turnstile) y cortafuegos (WAF). | Todos los datos tratados en la plataforma. | Almacenamiento en la Unión Europea (restricción jurisdiccional). Entidad matriz en EE. UU. |
| Resend (Plus Five Five, Inc.) | Envío de correo transaccional: avisos, recuperación de contraseña y confirmaciones. | Dirección de correo del destinatario, asunto y contenido del mensaje. | EE. UU. |
| Google Ireland Ltd. (Firebase Cloud Messaging) | Entrega de notificaciones push a la aplicación móvil. | Identificador del dispositivo y contenido de la notificación. | Unión Europea / EE. UU. |
| Google (API de Gemini) | Lectura automática de las facturas de la Gestoría Digital: extrae emisor, número, fechas e importes del documento. Solo para las empresas que tienen activo ese módulo. | El documento de la factura (PDF o imagen) y lo que contiene, que puede incluir datos de personas físicas que emiten o reciben facturas (nombre, NIF, dirección). | EE. UU. |
| GitHub, Inc. | Automatización del aprovisionamiento de la base de datos dedicada de cada cliente. | Identificador interno de la empresa. Ningún dato de personas. | EE. UU. |
| Sentry (Functional Software, Inc.) | Diagnóstico de errores: recibe el fallo técnico que se produce en la aplicación para poder corregirlo. | Mensaje y traza del error, y la ruta en la que ocurrió. Antes de enviarse se eliminan cabeceras, cookies, contenido de la petición, parámetros de la URL y la identidad del usuario. | EE. UU. |
2. Modelos de inteligencia artificial
El asistente, la lectura de recibos y el apoyo a la valoración de candidaturas se ejecutan dentro de la red de Cloudflare mediante Workers AI: los modelos corren en su infraestructura, que ya figura como subencargado en el apartado anterior.
La lectura de facturas de la Gestoría Digital es la única excepción: la hace un modelo de Google (Gemini), al que se envía cada factura a través de la pasarela de Cloudflare. Solo ocurre en las empresas que tienen ese módulo activo, y Google figura como subencargado en el apartado anterior.
DutyBeat no utiliza los datos de sus clientes para entrenar, reentrenar ni afinar modelos de inteligencia artificial, ni permite que sus subencargados lo hagan. Este compromiso es contractual y figura en el DPA.
3. Terceros sin acceso a datos personales
Los siguientes servicios se consultan desde la plataforma pero no reciben ningún dato personal, por lo que no son subencargados del tratamiento:
- Frankfurter (tipos de cambio del BCE) — Conversión de divisa de los gastos. Se envían la divisa y la fecha; ningún dato personal.
- calendariosnacionales.com — Importación del calendario laboral. Se envía la región; ningún dato personal.
4. Transferencias internacionales
El almacenamiento y la persistencia de los datos de la plataforma están garantizados en la Unión Europea mediante restricciones jurisdiccionales aplicadas a las bases de datos y a los almacenes de ficheros. No obstante, y para ser precisos: el procesamiento en el borde puede ejecutarse en nodos situados fuera de la UE, los proveedores de correo y notificaciones operan desde EE. UU., y la lectura de facturas de la Gestoría Digital se procesa en la infraestructura de Google.
Estas transferencias se amparan en las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 y, cuando resulte aplicable, en decisiones de adecuación de la Comisión Europea, junto con las medidas suplementarias que procedan. Si el mecanismo de transferencia invocado dejara de ser válido, se aplicarán automáticamente las Cláusulas Contractuales Tipo vigentes, según lo previsto en el DPA.
5. Cambios en la lista
DutyBeat comunicará a sus clientes la incorporación o sustitución de cualquier subencargado con una antelación mínima de 30 días. Durante ese plazo, el cliente podrá oponerse de forma motivada al cambio. Si la objeción fuera razonable y no existiera una alternativa técnica viable, el cliente podrá resolver el contrato sin penalización, con reembolso de la parte proporcional no consumida.
Para recibir estos avisos, escribe a legal@dutybeat.com.
6. Responsabilidad
Conforme al art. 28.4 del RGPD, DutyBeat impone a sus subencargados las mismas obligaciones de protección de datos que asume frente a sus clientes, y responde plenamente ante el cliente del cumplimiento por parte de aquéllos.