1. Resumen
ArtInStack («nosotros», «nos») opera la plataforma ArtInStack (los «Servicios»). Para prestar los Servicios, contratamos empresas externas («subencargados») que tratan datos personales en nuestro nombre.
Esta página:
- Enumera los subencargados que contratamos para operar la plataforma. Respecto de los datos personales de los Clientes Finales de los Creadores, actuamos como encargado según las instrucciones del Creador, y estas empresas actúan como nuestros subencargados. Respecto de los datos de cuenta y facturación de los propios Creadores, actuamos como responsable, y estas empresas son nuestros proveedores de servicios.
- Complementa nuestra Política de privacidad.
- No enumera las herramientas que un Creador elige activar en su propio sitio (por ejemplo, sus propias redes publicitarias o analítica). Los creadores son responsables de esas herramientas. Véase más abajo Herramientas habilitadas por el Creador.
«Creador» y «Cliente Final» tienen el significado indicado en nuestros Términos del servicio. Para clientes empresariales que necesiten términos contractuales de tratamiento, consulte nuestro Acuerdo de procesamiento de datos (DPA).
2. Cómo utilizamos subencargados
Contratamos subencargados para:
- Alojar aplicaciones, bases de datos y copias de seguridad;
- Almacenar y entregar medios (imágenes, vídeo, archivos);
- Procesar pagos, cálculo de impuestos y desembolsos;
- Enviar correo electrónico transaccional;
- Enviar correo electrónico de marketing y campañas (Email Center);
- Proteger contra el abuso y monitorear la fiabilidad;
- Cumplir pedidos de impresión bajo demanda cuando los Creadores usan laboratorios integrados;
- Servir mosaicos de mapas y geocodificación para funciones de ubicación e impacto; y
- Medir el uso de nuestro propio sitio de marketing.
Exigimos que los subencargados protejan los datos personales bajo acuerdos escritos adecuados a su función, como términos de tratamiento de datos y requisitos de seguridad. Cuando se transfieren datos personales fuera del EEE o del Reino Unido, nos basamos en las Cláusulas Contractuales Tipo (y el addendum del Reino Unido cuando proceda), según se describe en nuestra Política de privacidad y en el DPA.
3. Subencargados actuales
Esta lista está completa a la fecha indicada como Last updated / última actualización en esta página. Las ubicaciones son indicativas: muchos proveedores tratan en varias regiones y usan subencargados propios. Consulte la documentación de cada proveedor para más detalles.
| Subencargado | Propósito | Datos típicos tratados | Ubicación | Información de privacidad |
|---|---|---|---|---|
| Google Cloud (Google LLC) | Runtime de aplicaciones, base de datos PostgreSQL (Cloud SQL), copias de seguridad, redes y secretos. Nuestro sistema de gestión de contenidos (Directus) se autohospeda en esta infraestructura y no es un subencargado aparte. | Datos de cuenta, contenido, ajustes, pedidos y registros de la plataforma | Iowa, Estados Unidos (us-central1) | policies.google.com/privacy |
| Cloudflare, Inc. | CDN, DNS, protección DDoS, caché en el borde, redimensionado de imágenes, SSL de dominio personalizado, protección Turnstile, almacenamiento de objetos (R2) para medios y copias de seguridad | Dirección IP, registros de solicitudes, señales de dispositivo/navegador, archivos almacenados y metadatos | Estados Unidos; red perimetral global. Región del bucket R2 de producción: Eastern North America (ENAM) | cloudflare.com/privacypolicy |
| BunnyWay d.o.o. (Bunny.net) | Alojamiento y transmisión de vídeo (Bunny Stream) y entrega CDN de activos relacionados | Archivos de vídeo, metadatos de reproducción, IP y registros del espectador | Europa — almacenamiento principal Frankfurt (DE); borde CDN global | bunny.net/privacy |
| Stripe, Inc. | Facturación de suscripción, pago, cálculo de impuestos (Stripe Tax), Stripe Connect para ventas y desembolsos de Creadores, prevención del fraude y cumplimiento | Nombre, correo electrónico, dirección de facturación, tokens de método de pago, metadatos de transacción e impuestos, IDs de cuentas Connect | Estados Unidos; puede procesar a nivel global | stripe.com/privacy |
| Resend, Inc. | Correo electrónico transaccional (inicio de sesión, recibos, invitaciones, notificaciones) | Dirección de correo electrónico, contenido del mensaje, eventos de entrega | Estados Unidos | resend.com/legal/privacy-policy |
| Amazon Web Services, Inc. (Amazon SES) | Correo de marketing y campañas (Email Center): envíos masivos; gestión de rebotes y quejas | Dirección de correo electrónico, contenido del mensaje, eventos de entrega | Estados Unidos — N. Virginia (us-east-1) | aws.amazon.com/privacy |
| Functional Software, Inc. (Sentry) | Supervisión de errores y rendimiento | Dirección IP, datos de dispositivo/navegador, rastros de pila, IDs de usuario cuando se adjuntan a errores | Estados Unidos | sentry.io/privacy |
| Google LLC / Google Ireland Limited (Google Tag Manager y Google Analytics 4) | Medición de uso solo en nuestro sitio de marketing, y solo tras el consentimiento cuando sea necesario | Identificadores en línea, datos de dispositivo y navegador, páginas vistas, ubicación aproximada | Estados Unidos; global | policies.google.com/privacy |
| Prodigi | Producción y envío de impresión bajo demanda cuando el Creador selecciona Prodigi (alta de cuenta estándar) | Dirección de envío, detalles del pedido, archivos de impresión | UK / UE / EE. UU. según el enrutamiento del pedido | prodigi.com/privacy-policy |
| Gelato | Producción y envío de impresión bajo demanda cuando el Creador selecciona Gelato (alta de cuenta estándar) | Dirección de envío, detalles del pedido, archivos de impresión | UE / global según el enrutamiento del pedido | gelato.com/privacy |
| Stadia Maps, Inc. | Teselas de mapa base para el Mapa de Impacto y otras visualizaciones de ubicación | Solicitudes de vista del mapa, dirección IP y metadatos de la solicitud | Estados Unidos; puede ofrecer endpoints regionales | stadiamaps.com/privacy/privacy-policy |
| Mapbox, Inc. | Búsqueda de lugares y geocodificación para funciones de ubicación | Consultas de búsqueda, coordenadas aproximadas, dirección IP y metadatos de la solicitud | Estados Unidos; puede procesar a nivel global | mapbox.com/legal/privacy |
Subencargados dependientes de la función
| Proveedor | Cuándo se usa | Notas |
|---|---|---|
| Global Biodiversity Information Facility (GBIF) | Funciones de conservación: sugerencias de nombres de especies | Nuestros servidores consultan GBIF para nombres y claves de taxones. No se envían datos de contacto del Cliente Final. |
Herramientas habilitadas por el Creador
Los Creadores pueden activar lo siguiente en sus propios sitios o espacios de trabajo. El Creador decide si y cómo se usan, y es responsable de los datos que reciben. No somos su encargado respecto de los datos de la audiencia del Creador.
- Redes publicitarias e incrustaciones: Google AdSense, Mediavine, Carbon y proveedores similares, en sitios de Creador elegibles.
- Publicación de conjuntos de datos en GBIF: un Creador o su institución puede publicar conjuntos de datos bajo su propia relación de Publicador GBIF aprobado. GBIF es entonces un destino que elige el Creador. Véase gbif.org/terms.
- Traducción e IA (BYOK): cuando un Creador aporta su propia clave de API de DeepL, Google Gemini u OpenAI en Ajustes → Integraciones → Traducción, el contenido que el Creador elige traducir se envía a ese proveedor bajo la cuenta y los términos del Creador. Véase Idiomas del sitio multilingüe.
4. Comercio y cumplimiento del Creador
Cuando un Cliente Final compra en el sitio de un Creador:
- Stripe, incluido Stripe Connect, trata los datos de pago e impuestos según el papel de Stripe en esa transacción.
- Prodigi, Gelato u otro laboratorio integrado recibe los datos de producción y envío necesarios para cumplir el pedido.
En estos flujos, el Creador es generalmente el responsable de los datos personales del Cliente Final, y nosotros actuamos como encargado del Creador según se describe en nuestro DPA.
5. Cambios en esta lista
Podemos añadir o sustituir subencargados a medida que evolucionen los Servicios. Antes de que un nuevo subencargado comience a tratar datos personales en nuestro nombre como proveedor de la plataforma, nosotros:
- Actualizaremos esta página; y
- Daremos a los titulares de cuenta un aviso de al menos 30 días por correo electrónico o aviso en el panel.
Para recibir avisos de cambios, envíe un correo a [email protected] con el asunto Subprocessor updates.
Si objeta a un nuevo subencargado por motivos razonables de protección de datos, escriba a [email protected] en un plazo de 30 días desde el aviso. Trabajaremos de buena fe para abordar la preocupación, lo que puede incluir ofrecer una alternativa o permitirle dejar de usar la función afectada. Los clientes con un DPA firmado pueden tener derechos de aviso u objeción distintos según ese acuerdo.
6. Seguridad y diligencia debida
Evaluamos a los subencargados por prácticas de seguridad y privacidad adecuadas a los datos que manejan, incluidas obligaciones contractuales, limitaciones de acceso y alineación con nuestro programa de seguridad. Para una visión general de nuestra infraestructura, consulte Platform foundation. Esa visión general no sustituye un cuestionario de seguridad para clientes ni un DPA firmado.
7. Preguntas
DPA y cumplimiento B2B: [email protected]
Preguntas sobre subencargados / privacidad: [email protected]
Historial de cambios
- 2026-10-11: Lista revisada. Se eliminó Directus como subencargado (autohospedado; descrito bajo Google Cloud). Se añadieron Google Tag Manager y Google Analytics 4 (sitio de marketing), Stripe Tax, Bunny Stream/CDN con almacenamiento principal en Frankfurt, Cloudflare R2 ENAM, Amazon SES us-east-1, redes publicitarias habilitadas por el Creador (Mediavine, Carbon) y proveedores de traducción BYOK. Se aclararon aviso y objeción vía [email protected].