Subencargados

Las regiones que se indican son las documentadas. Donde pone «según las condiciones del proveedor», el proveedor no nos garantiza una región concreta para ese tratamiento.

Tienen su sede en Estados Unidos, o una matriz allí, Amazon Web Services, Cloudflare, Google, Meta, Telnyx y Stripe. 360dialog está establecida en Alemania. Aunque los datos se guarden en la UE, un proveedor estadounidense puede acceder a ellos desde fuera, por lo que tratamos todos esos casos como transferencias internacionales.

• Proveedores certificados en el Marco de Privacidad de Datos UE-EE. UU. (hoy, todos los estadounidenses de esta lista): la transferencia se ampara en la decisión de adecuación de la Comisión Europea, Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023 (artículo 45 del RGPD).
• Si un proveedor no está certificado o su certificación decae: la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (artículo 46 del RGPD), incorporadas en su contrato de tratamiento.

El estado de certificación de cada proveedor procede de sus propias declaraciones públicas, revisadas el 30 de septiembre de 2026. Lo comprobamos en la lista oficial (dataprivacyframework.gov) antes de incorporar un proveedor y, después, de forma periódica.

Cuando una transferencia se base en cláusulas contractuales tipo, documentamos una evaluación de impacto de la transferencia y, si hace falta, medidas adicionales. Puedes pedirnos información sobre la garantía de cualquier proveedor en info@nexau.es.

Los servicios que cada cliente conecta y autoriza por su cuenta, como su tienda Shopify, su cuenta de Klaviyo, su buzón de Google Workspace o Microsoft 365, o sus marketplaces y transportistas, no son subencargados nuestros: el cliente se relaciona con ellos directamente, según sus condiciones, y los datos fluyen porque él lo decide.

Los proveedores que usamos para nuestros propios tratamientos como responsables (por ejemplo, nuestro correo corporativo) figuran en la política de privacidad.

• Aviso con 30 días de antelación. Antes de que un subencargado nuevo o sustituto trate datos de un cliente, avisaremos por email al administrador de su cuenta y lo publicaremos en esta página, con al menos 30 días de antelación.
• Suscripción a los cambios. Cualquiera puede recibir esos avisos por email: escribe a info@nexau.es con el asunto «Suscripción subencargados».
• Derecho de oposición. Dentro de esos 30 días, el cliente puede oponerse por motivos razonables relacionados con la protección de datos, explicándolos por escrito. Buscaremos de buena fe una solución, como no usar ese proveedor para sus datos o una configuración alternativa.
• Si no hay solución. El cliente puede resolver el contrato respecto del servicio afectado, sin penalización, y le devolveremos la parte proporcional de las cuotas que haya pagado por adelantado por el periodo no disfrutado.
• Sustitución urgente. Si un subencargado tuviera que sustituirse con urgencia por un motivo de seguridad o de continuidad del servicio, avisaremos lo antes posible, explicaremos el motivo y el derecho de oposición se aplicará igual desde el aviso.

Esta lista y este procedimiento forman parte de la autorización general prevista en el contrato de encargo del tratamiento (artículo 28.2 del RGPD).