Subencargados del tratamiento

1. Qué es esta página

El artículo 28.2 del RGPD exige que quien trata datos por cuenta de otro no subcontrate a un tercero sin autorización, y que informe de cualquier alta o sustitución para que el responsable pueda oponerse.

Esta página es esa información, siempre al día, respecto de los encargos que asume Huequia S.L. (NIF B05731047) como encargado del tratamiento. Es el Anexo III del contrato de encargo del tratamiento y forma parte de él.

2. Los subencargados

Estado a 1 de octubre de 2026, comprobado contra la infraestructura y contra el contrato de encargo que publica cada proveedor.

Proveedor	Entidad y domicilio	Finalidad	Datos a los que llega	Ubicación	Amparo de la transferencia
Supabase	Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513	Base de datos, autenticación e identidades, y almacenamiento de ficheros	Todos los datos del negocio y de su clientela, incluidos los documentos firmados	Irlanda (AWS eu-west-1)	Cláusulas contractuales tipo (Decisión (UE) 2021/914)
Northflank	Northflank Ltd. (n.º de sociedad 11918540), 20-22 Wenlock Road, Londres N1 7GU, Reino Unido	Ejecución de la API y de las webs, su caché (Redis) y sus registros de funcionamiento	Los que pasan por cada petición; en la caché, copias temporales que caducan solas (respuestas de hasta 24 horas y contadores anti-abuso con la dirección IP); en los registros, trazas con los correos y teléfonos enmascarados	Reino Unido (Londres)	Decisión de adecuación de la Comisión Europea (Reino Unido)
Cloudflare	Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, Estados Unidos	Red de distribución, DNS, certificados de los dominios de los negocios, verificación anti-bots de los formularios públicos (Turnstile), control de acceso a los entornos internos y encaminamiento del correo entrante	Direcciones IP y metadatos de las peticiones; el contenido en tránsito	Red global, con tratamiento preferente en la Unión	Marco de Privacidad de Datos UE-EE. UU. (Decisión (UE) 2023/1795), con cláusulas contractuales tipo como respaldo
Resend	Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, Estados Unidos	Envío del correo transaccional	Nombre y dirección de correo del destinatario y el contenido del mensaje, que nunca incluye datos de salud	Estados Unidos (el envío sale desde la región europea; el contenido y los registros de entrega se guardan allí)	Marco de Privacidad de Datos UE-EE. UU. (Decisión (UE) 2023/1795), con cláusulas contractuales tipo como respaldo
Sentry	Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, Estados Unidos	Registro de errores de la aplicación	Trazas técnicas, identificadores internos y dirección IP. Los datos personales se depuran antes de enviarse	Unión Europea (región de Alemania del servicio)	Marco de Privacidad de Datos UE-EE. UU. (Decisión (UE) 2023/1795), con cláusulas contractuales tipo como respaldo
Infomaniak	Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Les Acacias (Ginebra), Suiza	Buzones de correo de soporte, protección de datos y seguridad	Lo que se nos escriba: si un negocio o una persona que ejerce sus derechos incluye datos de la clientela en su mensaje, llegan ahí	Suiza	Decisión de adecuación de la Comisión Europea (Suiza)
UptimeRobot	UptimeRobot s. r. o., Obchodná 507/2, 811 06 Bratislava, Eslovaquia	Comprobación externa de disponibilidad del servicio	Ninguno de los negocios ni de su clientela: solo consulta direcciones públicas de estado	Unión Europea	No sale del Espacio Económico Europeo

Ninguno de estos proveedores puede usar los datos para finalidades propias. Todos están vinculados por contrato con las mismas obligaciones que asumimos nosotros, y respondemos ante el negocio de lo que hagan.

La cadena, hasta el final

Cada uno de ellos se apoya a su vez en otros. Para que el negocio pueda llegar hasta el último eslabón sin tener que pedírnoslo, esto es dónde publica cada proveedor los suyos:

Supabase: https://supabase.com/legal/customer-resources/subprocessor-list
Northflank: no publica su lista. Se facilita a cualquier negocio que la pida, tal como el proveedor nos la dé por escrito.
Cloudflare: https://www.cloudflare.com/gdpr/subprocessors/
Resend: https://resend.com/legal/subprocessors
Sentry: https://sentry.io/legal/subprocessors/
Infomaniak: https://www.infomaniak.com/documents/privacy/DPA/Data_Processing_Agreement_(DPA).pdf
UptimeRobot: https://uptimerobot.com/privacy/

3. Quién no está en esta lista, y por qué

No figuran aquí los proveedores que no tratan datos personales de los negocios ni de su clientela, aunque sean parte de nuestra operación:

El registrador de dominios y el proveedor de DNS de nuestros propios dominios.
El alojamiento del código fuente y las herramientas de integración continua, que trabajan sobre código y sobre datos sintéticos, nunca sobre datos de producción. Una comprobación automática de nuestro código avisa si un proceso de integración continua pasa a leer la base de producción sin que su proveedor figure antes en esta lista.
Las herramientas ofimáticas y de comunicación interna, mientras no se usen para tratar datos de la clientela de un negocio — y no se usan.
La asesoría fiscal y contable, que trata datos del negocio como cliente nuestro —que es un tratamiento propio, no un encargo— y está sujeta a secreto profesional.

Si en algún momento alguno de estos pasara a tocar datos de un encargo, entraría en la tabla del apartado 2 con el preaviso del apartado 4.

4. Cómo se comunican los cambios

4.1. Cuando incorporemos o sustituyamos un subencargado, lo comunicaremos por correo electrónico al contacto de cada negocio y con un aviso en su panel, con treinta días de antelación a que empiece a tratar datos, y actualizaremos esta página con la nueva fecha.

4.2. Dentro de ese plazo, el negocio puede oponerse por motivos razonables y fundados relativos a la protección de datos, desde el propio aviso del panel o explicándolos por escrito a ops@huequia.com.

4.3. Si hay oposición, buscaremos de buena fe una alternativa durante quince días. Si no la hay, el negocio puede resolver el contrato sin penalización, con devolución a prorrata de lo pagado por anticipado. El detalle está en la cláusula 7 del contrato de encargo.

4.4. Excepción por urgencia. Si hubiera que sustituir un proveedor de inmediato por un fallo grave, un cese de servicio o un incidente de seguridad, lo haremos y lo comunicaremos en las cuarenta y ocho horas siguientes, explicando la causa. El derecho de oposición se mantiene, con el mismo efecto.

5. Suscribirse a los cambios

Cualquier persona del negocio puede pedir que se le añada a la lista de aviso de cambios de subencargados escribiendo a ops@huequia.com con el asunto «subencargados». El aviso se manda igualmente al contacto principal, esté o no suscrito.

6. Transferencias fuera del Espacio Económico Europeo

La base de datos y los ficheros se almacenan en la Unión Europea. Lo que sale del Espacio Económico Europeo, sale con uno de estos amparos, que la tabla del apartado 2 indica proveedor por proveedor:

Decisión de adecuación de la Comisión Europea: el Reino Unido (renovada en diciembre de 2025) y Suiza. No hace falta ninguna garantía adicional.
Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795), para las sociedades estadounidenses certificadas en él, con las cláusulas contractuales tipo de su contrato como respaldo si el Marco dejara de aplicarse.
Cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914), para la sociedad de Singapur que presta la base de datos, complementadas con las medidas técnicas del documento de seguridad —cifrado en tránsito y en reposo, minimización de lo que sale de nuestra infraestructura y depuración de datos personales en las trazas de error—.

Que el servidor esté en la Unión no basta: si la sociedad que lo opera está fuera, el acceso de su personal desde allí es en sí mismo una transferencia, y por eso figura como tal.

Puedes solicitar copia de las garantías aplicadas a cualquiera de ellos escribiendo a ops@huequia.com.

7. Historial de cambios

Fecha	Cambio
6-sep-2026	Primera publicación de la lista.
28-sep-2026	Cloudflare: se detallan dos finalidades que ya cubría, la verificación anti-bots de los formularios públicos (Turnstile) y la medición agregada de visitas sin cookies (Web Analytics). No entra ningún proveedor nuevo.
28-sep-2026	Northflank: se corrige su descripción. Además de ejecutar la API y las webs, aloja su caché (Redis), con copias temporales que caducan solas, y sus registros de funcionamiento, con los datos de contacto enmascarados. Antes decía que no persistía ningún dato. No entra ningún proveedor nuevo.
1-oct-2026	Entra Infomaniak (Suiza), que aloja los buzones de soporte, protección de datos y seguridad: en ellos llegan datos de la clientela cuando alguien los incluye en su mensaje. Se corrigen hechos comprobados contra el contrato de cada proveedor: Supabase contrata como Supabase Pte. Ltd. (Singapur); Northflank aloja el servicio en el Reino Unido, con decisión de adecuación; Cloudflare, Resend y Sentry están certificadas en el Marco de Privacidad de Datos; UptimeRobot es UptimeRobot s. r. o. (Eslovaquia). Cloudflare deja de declarar Web Analytics, que no se usa. Se añaden el domicilio de cada sociedad y dónde publica sus propios subencargados.