Proveedores, Encargados y Otros Destinatarios

Última actualización: 3 de agosto de 2026

Esta página identifica los terceros relevantes para el tratamiento descrito en la Política de Privacidad. La calificación puede variar según la función: un proveedor puede actuar como encargado de Verxion en un flujo y como responsable independiente en otro.

1. Encargados de Verxion

Proveedor	Servicio y datos principales	Ubicación / transferencia	Condiciones de tratamiento
Railway	Hosting de API y servicios; base de datos PostgreSQL; logs operativos	Región de producción en la UE; posibles accesos de soporte según contrato	DPA de Railway
Amazon Web Services (KMS)	Custodia de claves de cifrado; recibe operaciones criptográficas, no el contenido en claro	`eu-north-1` (Estocolmo, EEE)	Centro RGPD de AWS
Upstash	Redis para límites de uso, idempotencia y seguridad; identificadores y hashes	`eu-west-2` (Reino Unido); decisión de adecuación UE-Reino Unido	DPA de Upstash
Resend	Email transaccional y listas solicitadas; email, contenido del mensaje y entrega	Dominio de envío configurado en Irlanda; la entidad estadounidense puede quedar sujeta a SCC	DPA de Resend
Sentry	Diagnóstico de errores y rendimiento en navegador y servidor; trazas técnicas, IDs seudónimos y metadatos HTTP	Proyecto configurado en región alemana	DPA de Sentry
Vercel	Hosting/CDN del sitio público y la aplicación web; solicitudes HTTP y despliegues; almacenamiento Blob solo si se habilita	CDN global y posible acceso desde EEUU; SCC en los términos aplicables	DPA de Vercel
Cloudflare	R2 y CDN/Image Transformations para imágenes de instrucciones de ejercicios; objetos y logs de entrega	Bucket configurado en Western Europe; entidad estadounidense y CDN global, con SCC	DPA de Cloudflare
PostHog	Analítica opcional del producto y errores de interfaz; ID seudónimo, eventos y propiedades de uso. Grabación de sesión desactivada	Host europeo configurado; sujeto a consentimiento previo	Trust Center de PostHog

PostHog solo debe iniciarse después del consentimiento exigible. Vercel debe tratar datos como encargado únicamente bajo un plan y unas condiciones que incorporen efectivamente su DPA; Verxion verifica ese extremo como parte de la revisión contractual periódica.

2. Responsables independientes y terceros elegidos por el usuario

Apple y Google, cuando los eliges para autenticarte.
Clientes MCP y aplicaciones conectadas que autorizas mediante OAuth. El cliente recibe únicamente los ámbitos concedidos, pero su uso posterior se rige por sus propias condiciones.
Proveedores de IA BYOK que eliges para el agente integrado —OpenAI, Anthropic, Google u OpenRouter y, en su caso, el proveedor downstream—. Verxion transmite la conversación desde su servidor usando tu clave y aplica las opciones técnicas disponibles de no entrenamiento y retención cero, pero el proveedor opera bajo la relación que mantienes con él.
Socios de búsqueda del proveedor de IA, solo si activas la búsqueda web y el modelo la utiliza.
OpenFoodFacts, para consultas de alimentos, y YouTube, Vimeo, TikTok o Instagram/Meta, si añades un enlace de vídeo del que se obtiene metadato público mínimo.
Entrenadores y otros usuarios autorizados, dentro de la relación, visibilidad y permisos configurados en Verxion.
Tiendas de aplicaciones y proveedor de pagos, si se activa una compra o suscripción a través de sus sistemas.

3. Telegram: canal operativo en revisión

Cuando está habilitado, Verxion utiliza Telegram para avisos internos de nuevas altas y feedback. El mensaje puede incluir email, nombre de usuario, origen de referencia, categoría y texto libre de feedback. Telegram no debe utilizarse para información clínica, credenciales ni contenido innecesario. Este canal está sujeto a revisión de minimización, ubicación, seguridad y calificación contractual; hasta completarla, Verxion debe limitar o desactivar el contenido personal enviado.

4. Transferencias internacionales

Cuando un proveedor o sus subencargados permiten acceso fuera del EEE, Verxion utiliza el mecanismo indicado en sus condiciones —normalmente Cláusulas Contractuales Tipo— y aplica medidas complementarias como cifrado, seudonimización, minimización, regiones europeas y acceso restringido. Los terceros elegidos directamente por el usuario pueden tratar datos en otros países conforme a sus propias políticas.

5. Cambios

Publicaremos los cambios materiales antes de su efectividad cuando sea posible y actualizaremos la Política de Privacidad o solicitaremos una nueva aceptación/elección cuando la ley o el cambio de finalidad lo requieran. Contacto u oposición motivada: [email protected].

Fecha	Cambio
2026-08-03	Inventario reconciliado con producción: Cloudflare R2, PostHog en navegador, Sentry navegador/servidor, harness BYOK y canal Telegram. Se eliminan afirmaciones absolutas sobre regiones o contratos no verificables solo desde el código.
2026-06-20	Añadida la búsqueda web opcional del proveedor de IA.
2026-05-08	Publicación inicial.