BORRADOR — pendiente de revisión legal por abogado de privacy antes de publicar. Generado como punto de partida basado en estándares GDPR + LOPDGDD + LATAM + CCPA.
Lista de Sub-procesadores — Astrosoul Center
Última revisión: 2026-05-26 Versión: 1.0 (borrador)
Esta página identifica a los sub-procesadores (encargados del tratamiento) que utilizamos para prestar Astrosoul Center. Forma parte de la privacy-policy.md y se mantiene actualizada conforme cambian los proveedores.
Es responsable del tratamiento [NOMBRE COMPLETO DEL AUTÓNOMO], NIF [NIF], domicilio [DIRECCIÓN POSTAL], contacto [EMAIL CONTACTO].
1. ¿Qué es un sub-procesador?
Un sub-procesador es una empresa que trata datos personales en nuestro nombre y siguiendo nuestras instrucciones, para que podamos prestarte el servicio. La relación se rige por contratos de encargo del tratamiento (Art. 28 GDPR) y, cuando hay transferencia internacional, por Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea.
Cada sub-procesador queda vinculado a obligaciones equivalentes a las que asumimos contigo: confidencialidad, seguridad, asistencia ante derechos del interesado y notificación de brechas.
2. Tabla de sub-procesadores activos
| Proveedor | Propósito | Datos compartidos | Ubicación del tratamiento | Mecanismo de transferencia internacional | Política / DPA |
|---|---|---|---|---|---|
| OpenAI, L.L.C. | Generación de respuestas del chat y de reports interpretativos mediante modelos de lenguaje (LLM) y embeddings vectoriales | Carta natal, fragmentos RAG, mensajes del chat, prompts | Estados Unidos | Standard Contractual Clauses (SCC) UE 2021/914 + EU-US Data Privacy Framework | https://openai.com/policies/privacy-policy / https://openai.com/policies/data-processing-addendum |
| Stripe, Inc. (cuando se integre) | Procesamiento de pagos, suscripciones, facturación y reembolsos | Identificador de cliente, importe, divisa, datos fiscales que aporte el usuario, método de pago tokenizado | Estados Unidos e Irlanda (Stripe Payments Europe Ltd.) | SCC + DPF | https://stripe.com/privacy / https://stripe.com/legal/dpa |
| Vercel, Inc. | Hosting y entrega del frontend Next.js, edge runtime, CDN | Logs de acceso, IP, headers de petición, errores de runtime | Estados Unidos (multi-región global) | SCC + DPF | https://vercel.com/legal/privacy-policy / https://vercel.com/legal/dpa |
| Resend Inc. | Envío de emails transaccionales (confirmaciones, recuperación de contraseña, recibos, contact form) | Email destinatario, contenido del email, IP del envío | Estados Unidos | SCC | https://resend.com/legal/privacy-policy / https://resend.com/legal/dpa |
| Google LLC (Google Identity Platform) | Inicio de sesión con Google OAuth 2.0 (opcional para usuarios) | Email verificado, nombre, identificador único de Google, foto de perfil (si la cuenta lo expone) | Estados Unidos | SCC + DPF | https://policies.google.com/privacy / https://cloud.google.com/terms/data-processing-addendum |
| Proveedor de Postgres (a determinar según hosting final) | Persistencia de la base de datos | Datos de cuenta, cartas, reports, conversaciones, facturas | Por confirmar | SCC si fuera del EEE; adequacy decision si dentro | Por confirmar |
3. Datos compartidos por sub-procesador (detalle)
3.1 OpenAI
- Qué enviamos: prompts construidos a partir de la carta del usuario, fragmentos de la base RAG y, en el chat, el último contexto de la conversación.
- Qué NO enviamos: contraseñas, datos de pago, IP del usuario final, identidad real (usamos un identificador interno opaco).
- Política respecto a entrenamiento: OpenAI API no usa los datos enviados por nuestra integración para entrenar sus modelos (compromiso por defecto en su API B2B).
- Retención por OpenAI: datos retenidos hasta 30 días para abuse monitoring; tras ese plazo se eliminan.
- Variantes: evaluamos modelos auto-hospedados o proveedores europeos (Mistral AI con servidores en la UE) como alternativas futuras para reducir transferencias internacionales.
3.2 Stripe
- Qué enviamos: importe, divisa, descripción del plan, identificador interno del cliente. Los datos de tarjeta se introducen directamente en Stripe Elements y nunca pasan por nuestros servidores.
- Qué nos devuelven: identificador de transacción, estado del pago, eventos webhook (suscripción creada, renovada, cancelada, fallo de pago).
- Cumplimiento: Stripe está certificado PCI DSS Level 1.
3.3 Vercel
- Qué procesan: despliegan el código del frontend Next.js y enrutan peticiones HTTP/HTTPS.
- Qué ven: logs de acceso estándar (IP, user-agent, path), métricas de rendimiento.
- Qué NO ven: contenido de la base de datos (eso está en Postgres, fuera de Vercel) ni payload de respuestas autenticadas (no las cacheamos públicamente).
- Edge runtime: algunas funciones pueden ejecutarse en edge nodes; aplican las mismas garantías SCC.
3.4 Resend
- Qué enviamos: el email completo a entregar (destinatario, asunto, cuerpo HTML/texto, headers).
- Qué retiene: logs de envío 90 días.
- Configuración: SPF, DKIM y DMARC alineados con el dominio remitente.
3.5 Google Identity Platform
- Cuándo aplica: sólo si el usuario opta por iniciar sesión con Google.
- Datos recibidos: email verificado, nombre, identificador único de Google. No accedemos a Drive, Gmail ni ningún otro servicio del usuario.
- Configuración: scopes mínimos (
openid,email,profile).
3.6 Proveedor de Postgres
Aún en evaluación. Candidatos:
- Postgres autogestionado en la infraestructura del titular (preferencia inicial). En este caso no es un sub-procesador externo.
- Neon, Supabase, Railway o Render como alternativas gestionadas. La elección final figurará en esta tabla.
4. Sub-procesadores anteriormente usados y retirados
Mantenemos por transparencia un historial de cambios:
| Proveedor | Periodo | Motivo de retirada |
|---|---|---|
| Kerykeion (librería astrológica con licencia AGPL) | hasta wave-5 (2026-05) | Eliminado por riesgo legal de propagación AGPL en código propietario |
Nota: Kerykeion era una librería instalada, no un sub-procesador remoto. Lo incluimos aquí por trazabilidad de decisiones que afectan a la confianza del usuario.
5. Cuándo notificamos cambios
5.1 Política de aviso de 30 días
Si añadimos un nuevo sub-procesador o sustituimos uno existente por motivos no críticos, te notificaremos con al menos 30 días de antelación:
- Publicando una actualización en esta página con la fecha de revisión.
- Enviando un aviso por email a todos los usuarios suscritos a la newsletter de cambios legales.
- Anunciando el cambio en el dashboard al iniciar sesión.
Durante esos 30 días puedes objetar el cambio. Si la objeción es razonada y no podemos atenderla, te ofrecemos resolver el contrato sin penalización con reembolso prorrateado del periodo no consumido.
5.2 Excepciones (sin preaviso)
Podemos incorporar un sub-procesador sin preaviso sólo en estos casos:
- Continuidad del servicio ante el fallo crítico o cese de actividad de un proveedor previo.
- Requerimiento legal o de autoridad pública.
En tal caso, notificamos a posteriori en cuanto sea factible, explicando la razón.
6. Encargados del tratamiento secundarios
Algunos sub-procesadores subcontratan a su vez a otros proveedores (por ejemplo OpenAI con su CDN, Vercel con AWS). Nos comprometemos contractualmente con cada sub-procesador a exigir el mismo nivel de protección en su cadena de subcontratación. La diligencia ante autoridades de control corresponde al sub-procesador directo.
Las listas detalladas de sub-encargados de nuestros sub-procesadores son públicas:
- OpenAI: https://openai.com/policies/subprocessor-list
- Stripe: https://stripe.com/legal/subprocessors
- Vercel: https://vercel.com/legal/subprocessors
- Resend: https://resend.com/legal/subprocessors
7. Datos no compartidos con sub-procesadores
Para refrescar lo que NO sale de nuestros sistemas hacia terceros:
- Contraseñas (sólo el hash bcrypt vive en nuestra base de datos).
- IP de usuarios finales hacia OpenAI (las anonimizamos antes).
- Datos crudos del chat hacia analytics (no usamos analytics con perfilado).
- Datos de pago detallados (PAN, CVV) — Stripe los gestiona en su entorno PCI DSS.
8. Cómo ejercer tus derechos respecto a sub-procesadores
Si quieres conocer qué datos tiene un sub-procesador concreto sobre ti, puedes:
- Escribir a
[EMAIL CONTACTO]. Coordinaremos la consulta con el sub-procesador en tu nombre. - Contactar directamente al sub-procesador con tu identificador de cliente (lo facilitamos a petición).
9. Cláusula final
Esta lista es dinámica. La fecha de revisión al inicio de la página refleja la última actualización. Te recomendamos revisarla periódicamente. Cualquier cambio sustantivo se notificará por los canales descritos en la sección 5.
10. Contacto
Para cualquier pregunta sobre nuestros sub-procesadores o las garantías contractuales aplicables, escríbenos a [EMAIL CONTACTO] o por correo postal a [DIRECCIÓN POSTAL].