Subencargados del tratamiento de Mailistix

Versión: 1.6 · En vigor desde: 1 de noviembre de 2026

Esta página enumera los terceros que tratan datos personales por cuenta nuestra («subencargados del tratamiento») para prestar el Servicio de Mailistix. Constituye el Anexo 3 de nuestro Acuerdo de tratamiento de datos y complementa nuestra Política de privacidad. La última columna indica qué subencargados del tratamiento tratan Datos personales del Cliente que nosotros tratamos por cuenta de Clientes empresariales con arreglo al Acuerdo de tratamiento de datos; los demás tratan únicamente datos de los que somos responsables del tratamiento. La Sección 4 contiene la información exigida por el artículo 28, apartado 1, del Reglamento de Datos de la UE.

Lo que nunca llega a un subencargado del tratamiento: su buzón se sincroniza directamente entre la aplicación de Mailistix de su dispositivo y su proveedor de buzón (por ejemplo, Google o Microsoft). Sus correos electrónicos se almacenan únicamente en su dispositivo, en una base de datos cifrada. El contenido del correo electrónico llega a nuestros servidores y a los proveedores de IA que se indican a continuación únicamente cuando usted utiliza una Función de IA, y solo durante el tiempo necesario para responder a esa solicitud. Aparte de ello, nuestros servidores reciben únicamente datos técnicos sobre sus buzones (como la dirección del buzón y las notificaciones de cambios sin contenido), los códigos y los tokens de inicio de sesión de un buzón cuando usted lo conecta (que pasan por nuestros servidores, pero no se almacenan), el enlace de cancelación de la suscripción de un boletín cuya suscripción usted cancela, y lo que usted decida enviarnos para soporte.

1. Subencargados del tratamiento

Nuestros proveedores de IA pueden conservar los datos de las solicitudes durante un tiempo limitado con fines operativos y de supervisión de abusos con arreglo a sus condiciones: Google Vertex AI hasta 24 horas en memoria (almacenamiento en caché) y hasta 90 días para las instrucciones (prompts) señaladas como posible abuso; Microsoft Azure OpenAI hasta 30 días; empleados autorizados del proveedor pueden revisar las solicitudes señaladas. Véanse el Aviso sobre las funciones de IA y el Anexo 1 del Acuerdo de tratamiento de datos. Cada subencargado del tratamiento utiliza sus propios subencargados (por ejemplo, Supabase utiliza Amazon Web Services), que enumera en su propia documentación.

2. Responsables del tratamiento independientes (no subencargados)

Estas partes reciben datos personales, pero deciden por sí mismas cómo tratarlos. Se aplican sus propias políticas de privacidad.

Polar está ubicada en los Estados Unidos y no está certificada en el Marco de Privacidad de Datos UE-EE. UU. Nuestro contrato con Polar incluye la adenda de tratamiento de datos de Polar con las cláusulas contractuales tipo de la UE; cuando estas no cubren una transferencia, esta es necesaria para la compra solicitada (artículo 49, apartado 1, letra b), del RGPD). Véase la sección 9.5 de la Política de privacidad.

3. Cambios en esta lista

Anunciaremos en esta página los nuevos subencargados del tratamiento al menos 14 días antes de que empiecen a tratar datos personales. También se informa a los Clientes empresariales mediante un aviso a las direcciones de correo electrónico de la Cuenta de sus usuarios o en el Software, y por correo electrónico a su contacto de protección de datos si nos han facilitado uno (Sección 7.3 del Acuerdo de tratamiento de datos). Los Clientes empresariales pueden oponerse tal como se describe en la Sección 7 del Acuerdo de tratamiento de datos. En caso de emergencia (por ejemplo, para mantener la seguridad o la disponibilidad del Servicio) podemos contratar un sustituto antes y se lo comunicaremos sin demora indebida; cuando se apliquen las cláusulas contractuales tipo de la UE, prevalecen sus normas de notificación.

4. Información conforme al Reglamento de Datos de la UE

El artículo 28, apartado 1, del Reglamento de Datos de la UE (Reglamento (UE) 2023/2854) exige a los proveedores de servicios de tratamiento de datos que indiquen en su sitio web la jurisdicción a la que está sujeta la infraestructura de TIC utilizada para cada uno de sus servicios, y las medidas que adoptan contra el acceso gubernamental internacional a datos conservados en la UE cuando dicho acceso entre en conflicto con el Derecho de la Unión o con el de un Estado miembro. Sus derechos de cambio de proveedor y de recuperación de datos al amparo del Reglamento de Datos figuran en la Sección 15.10 de nuestros Términos del servicio.

4.1 Infraestructura y jurisdicción

4.2 Medidas contra el acceso gubernamental ilícito

• Técnicas: los datos de su buzón permanecen en sus dispositivos, en una base de datos cifrada cuya clave protege su sistema operativo; nosotros no conservamos ninguna copia de ellos. No almacenamos el contenido de las solicitudes de IA ni del Resultado de la IA. Nuestra base de datos y nuestro almacenamiento de archivos están en Fráncfort y nuestras funciones de servidor para solicitudes de IA se ejecutan solo en ubicaciones de la UE; rechazan las solicitudes de IA en cualquier otra región. Todas las conexiones están cifradas (TLS 1.2 o 1.3), y nuestra base de datos y nuestro almacenamiento de archivos están cifrados en reposo (actualmente no conservamos copias de seguridad de la base de datos). Conservamos solo los datos que el Servicio necesita y los eliminamos según plazos fijos (Anexo 1, Parte H, del Acuerdo de tratamiento de datos).
• Organizativas: solo comunicamos datos a una autoridad pública cuando una orden vinculante nos lo exige legalmente. En tal caso, intentamos redirigir a la autoridad al cliente, notificamos al cliente salvo que la ley lo prohíba, revisamos la orden y la impugnamos cuando existen motivos razonables para considerarla ilícita, comunicamos solo el mínimo que exige la orden y documentamos nuestra respuesta (Sección 13 del Acuerdo de tratamiento de datos). No hemos creado ningún medio para que las autoridades accedan directamente a los datos.
• Contractuales: nuestros proveedores están vinculados por condiciones de tratamiento de datos. Cuando se aplican las cláusulas contractuales tipo de la UE, su cláusula 15 obliga al proveedor a notificarnos las solicitudes de las autoridades públicas, a revisar su legalidad y a impugnarlas cuando existan motivos para ello. Microsoft y Google también publican sus propios compromisos de impugnar las solicitudes gubernamentales de datos de clientes.