Subencargados

Lista del DPA v3.2 (cláusula 8.2) · Octubre de 2026

Esta lista forma parte del Acuerdo de Tratamiento de Datos (DPA) de Wismify. La versión en inglés es una traducción de cortesía: si no coinciden, prevalece el texto en español.

1. Qué es un subencargado

Wismify trata los datos personales de los clientes finales de cada cliente como encargado del tratamiento (artículo 28 del RGPD): por cuenta del cliente, que es el responsable, y solo para prestar el servicio contratado.

Un subencargado es un proveedor que Wismify contrata y que, para que el servicio funcione, trata esos datos por cuenta de Wismify. Cada uno tiene con Wismify un acuerdo de tratamiento de datos con obligaciones equivalentes a las del DPA y, si trata datos fuera del Espacio Económico Europeo, una garantía de transferencia conforme al capítulo V del RGPD.

2. Lista vigente

Algunos solo tratan datos si el cliente usa el canal o el módulo correspondiente (columna «Cuándo»).

SubencargadoServicioCuándoUbicaciónGarantía de transferencia
Supabase Inc.AWS eu-central-1, Fráncfort Base de datos y autenticación Siempre UE (Alemania) Sin transferencia internacional
Hetzner Online GmbH Servidores de la aplicación, incluido el receptor de correo de Prometeo Siempre UE (Alemania) Sin transferencia internacional
Anthropic, PBC IA (Claude) para tickets, chat de la web y voz Siempre que se use la IA EE. UU. Cláusulas contractuales tipo (Decisión (UE) 2021/914, módulo 3)
ElevenLabs Inc. Agente de voz «Alba» (Conversational AI) y síntesis de voz Solo con la voz con IA EE. UU. Cláusulas contractuales tipo (módulo 3)
OpenAI, L.L.C. Transcripción de las grabaciones de llamadas (Whisper), por API y sin uso para entrenamiento Solo con el canal de teléfono EE. UU. Cláusulas contractuales tipo (módulo 3)
Twilio Inc. / Twilio Ireland Limited Telefonía: números, llamadas entrantes y salientes, grabación de las llamadas y SMS Solo con el canal de teléfono EE. UU. / Irlanda Cláusulas contractuales tipo + EU-US Data Privacy Framework
Meta Platforms Ireland Ltd. WhatsApp Business Platform (Cloud API) e Instagram Messaging Solo si el cliente conecta WhatsApp o Instagram Irlanda (UE), con tratamiento por Meta Platforms, Inc. (EE. UU.) EU-US Data Privacy Framework + cláusulas contractuales tipo
Amazon Web Services EMEA SARLAmazon SES · por adenda Envío de las respuestas de atención al cliente desde el dominio del cliente, con el conector de correo para buzones que no son de Google ni de Microsoft 365 Solo si el cliente activa el conector de correo y lo autoriza firmando su adenda UE (Irlanda) Adenda de tratamiento de datos de AWS con cláusulas contractuales tipo
Google Ireland LimitedGoogle Workspace Emails de servicio de la plataforma (avisos de tickets, informes, invitaciones y emails de la cuenta) que se envían desde la cuenta de email de Wismify al equipo del cliente; pueden incluir datos de clientes finales, como el nombre o el email y el asunto de un ticket Siempre Irlanda (UE), con tratamiento por Google LLC (EE. UU.) EU-US Data Privacy Framework + cláusulas contractuales tipo
Stripe Payments Europe, Ltd. Pagos y domiciliación SEPA (datos de facturación del cliente, no de sus clientes finales) Facturación del servicio Irlanda (UE); tratamiento accesorio por Stripe, Inc. (EE. UU.) EU-US Data Privacy Framework + cláusulas contractuales tipo

3. Quién no es subencargado

  • El buzón de email del cliente (por ejemplo, Google Workspace o Microsoft 365): los emails a los clientes finales salen de la infraestructura de email que conecta el propio cliente, que es su proveedor. Google figura además en la lista por la cuenta de email de Wismify, que solo envía los emails de servicio de la plataforma.
  • Los sistemas que el cliente contrata y conecta con sus propias credenciales: su tienda online (por ejemplo, Shopify), su almacén u operador logístico, sus transportistas y agregadores de seguimiento, y sus herramientas de devoluciones, de email marketing o de atención al cliente. Son proveedores del cliente, no de Wismify (DPA, cláusula 8.6).
  • Vercel, Inc.: Next.js es un framework de código abierto; la aplicación se aloja en Hetzner.
  • ByteDance / TikTok: el píxel de TikTok solo está en la web de marketing de Wismify y no trata datos de los clientes.

4. Cambios en la lista

Avisamos a nuestros clientes con al menos 30 días naturales de antelación de cualquier alta o sustitución de un subencargado. En ese plazo, el cliente puede oponerse por motivos razonables de protección de datos y, si no llegamos a un acuerdo, dar de baja los servicios afectados sin penalización (DPA, cláusula 8.1).

  • Octubre de 2026 (conector de correo): entra Amazon Web Services EMEA SARL (Amazon SES, región UE), solo para los clientes que conectan un buzón de otro proveedor con el conector de correo. Cada cliente lo autoriza de forma expresa al activarlo, firmando una adenda; no trata datos del resto de clientes.
  • Octubre de 2026 (DPA v3.2): entran en la lista Meta Platforms Ireland Ltd., para WhatsApp e Instagram (solo trata datos si el cliente conecta esos canales; con la v3.1 pasaba a ser subencargado, con aviso previo, al activarlos), y Google Ireland Limited, por los emails de servicio que la plataforma envía desde la cuenta de email de Wismify. Se detallan los servicios de Twilio y de Hetzner.
  • Junio de 2026 (DPA v3.1): Supabase, Hetzner, Anthropic, ElevenLabs, OpenAI, Twilio y Stripe.

5. Contacto

1. What a sub-processor is

Wismify processes the personal data of each customer's end customers as a processor (Article 28 GDPR): on behalf of the customer, who is the controller, and only to provide the contracted service.

A sub-processor is a provider that Wismify engages and that, for the service to work, processes that data on Wismify's behalf. Each one has a data processing agreement with Wismify with obligations equivalent to those of the DPA and, if it processes data outside the European Economic Area, a transfer safeguard under Chapter V GDPR.

2. Current list

Some of them only process data if the customer uses the relevant channel or module (“When” column).

Sub-processorServiceWhenLocationTransfer safeguard
Supabase Inc.AWS eu-central-1, Frankfurt Database and authentication Always EU (Germany) No international transfer
Hetzner Online GmbH Application servers, including Prometeo's mail receiver Always EU (Germany) No international transfer
Anthropic, PBC AI (Claude) for tickets, the website chat and voice Whenever AI is used USA Standard contractual clauses (Decision (EU) 2021/914, Module 3)
ElevenLabs Inc. “Alba” voice agent (Conversational AI) and speech synthesis Only with AI voice USA Standard contractual clauses (Module 3)
OpenAI, L.L.C. Transcription of call recordings (Whisper), via API and not used for training Only with the phone channel USA Standard contractual clauses (Module 3)
Twilio Inc. / Twilio Ireland Limited Telephony: numbers, inbound and outbound calls, call recording and SMS Only with the phone channel USA / Ireland Standard contractual clauses + EU-US Data Privacy Framework
Meta Platforms Ireland Ltd. WhatsApp Business Platform (Cloud API) and Instagram Messaging Only if the customer connects WhatsApp or Instagram Ireland (EU), with processing by Meta Platforms, Inc. (USA) EU-US Data Privacy Framework + standard contractual clauses
Amazon Web Services EMEA SARLAmazon SES · by addendum Sending customer-service replies from the customer's own domain, with the email connector for mailboxes not hosted by Google or Microsoft 365 Only if the customer activates the email connector and authorises it by signing its addendum EU (Ireland) AWS data processing addendum with standard contractual clauses
Google Ireland LimitedGoogle Workspace The platform's service emails (ticket notices, reports, invitations and account emails) sent from Wismify's email account to the customer's team; they may include end-customer data, such as the name or email and the subject of a ticket Always Ireland (EU), with processing by Google LLC (USA) EU-US Data Privacy Framework + standard contractual clauses
Stripe Payments Europe, Ltd. Payments and SEPA direct debit (the customer's billing data, not its end customers') Billing of the service Ireland (EU); ancillary processing by Stripe, Inc. (USA) EU-US Data Privacy Framework + standard contractual clauses

3. Who is not a sub-processor

  • The customer's email mailbox (for example, Google Workspace or Microsoft 365): emails to end customers are sent from the email infrastructure connected by the customer itself, which is the customer's provider. Google is also on the list for Wismify's own email account, which only sends the platform's service emails.
  • The systems that the customer contracts and connects with its own credentials: its online store (for example, Shopify), its warehouse or logistics provider, its carriers and tracking aggregators, and its returns, email marketing or customer service tools. They are providers of the customer, not of Wismify (DPA, clause 8.6).
  • Vercel, Inc.: Next.js is an open-source framework; the application is hosted at Hetzner.
  • ByteDance / TikTok: the TikTok pixel is only on Wismify's marketing website and does not process customer data.

4. Changes to the list

We notify our customers at least 30 calendar days in advance of any addition or replacement of a sub-processor. Within that period, the customer may object on reasonable data protection grounds and, if we do not reach an agreement, terminate the affected services without penalty (DPA, clause 8.1).

  • October 2026 (email connector): Amazon Web Services EMEA SARL (Amazon SES, EU region) joins, only for customers who connect a mailbox from another provider through the email connector. Each customer authorises it expressly when activating it, by signing an addendum; it does not process data of any other customer.
  • October 2026 (DPA v3.2): Meta Platforms Ireland Ltd. joins the list for WhatsApp and Instagram (it only processes data if the customer connects those channels; under v3.1 it became a sub-processor, with prior notice, when they were activated), and so does Google Ireland Limited, for the service emails the platform sends from Wismify's email account. The services of Twilio and Hetzner are described in more detail.
  • June 2026 (DPA v3.1): Supabase, Hetzner, Anthropic, ElevenLabs, OpenAI, Twilio and Stripe.

5. Contact