Subencargados del tratamiento
sign.yt (VARSOFIA) recurre a los terceros indicados a continuación, que tratan datos personales por cuenta de nuestros clientes. Avisamos a los clientes al menos 30 días antes de añadir o sustituir un subencargado, según el DPA. Los proveedores marcados «si está activado» solo reciben datos cuando la función está activa.
Hetzner Online GmbH — alojamiento
Finalidad: servidores, base de datos, almacenamiento cifrado de archivos y copias de seguridad. Datos: todos los datos del Servicio (documentos cifrados en reposo). Ubicación: Alemania y Finlandia (UE).
Resend (Plus Five Five, Inc.) — envío de correo
Finalidad: correos transaccionales (invitaciones de firma, códigos, notificaciones) para organizaciones con correo gestionado. Datos: nombre y correo del destinatario, contenido del mensaje. Ubicación: Estados Unidos / UE. Garantías: cláusulas contractuales tipo.
BulkGate (TOPefekt s.r.o.) — SMS
Finalidad: códigos SMS de un solo uso para verificar firmantes e inicios de sesión (si está activado). Datos: número de teléfono, texto del mensaje. Ubicación: República Checa (UE).
Cloudflare, Inc. — verificación antibots Turnstile
Finalidad: bloquear abusos automatizados en los formularios de inicio de sesión, registro y firma pública. Datos: dirección IP, señales técnicas del navegador. Ubicación: Estados Unidos / red global. Garantías: cláusulas contractuales tipo, Marco de Privacidad de Datos UE-EE. UU.
Proveedor de pagos — suscripciones
Finalidad: procesar pagos de suscripciones (cuando hay planes de pago activos). Datos: contacto de facturación, datos de pago introducidos en la página de pago del proveedor. El nombre y la ubicación del proveedor se indicarán aquí antes de activarlo.
Functional Software, Inc. (Sentry) — monitorización de errores (si está activado)
Finalidad: diagnosticar errores de la aplicación. Datos: informes técnicos de errores, que pueden incluir una dirección IP, un ID de usuario o metadatos de la solicitud. El envío de PII está desactivado; las cabeceras de autenticación, cookies, cuerpos de solicitud y tokens en URL se eliminan antes del envío. Ubicación: región de datos UE (Alemania) / EE. UU. Garantías: cláusulas contractuales tipo, minimización de datos.
Anthropic PBC — funciones de IA opcionales (si está activado)
Finalidad: detección de campos y análisis de documentos con IA, solo si el cliente los activa. Datos: contenido del documento enviado a la función. Ubicación: Estados Unidos. Garantías: cláusulas contractuales tipo; según las condiciones comerciales de Anthropic, las entradas no se usan para entrenar modelos.
Authologic sp. z o.o. — verificación de identidad (si está activado)
Finalidad: verificación de identidad opcional de los firmantes, solo si el cliente la activa. Datos: datos de identidad del firmante devueltos por el proceso de verificación. Ubicación: Polonia (UE). Garantías: contrato de encargo del art. 28 RGPD; transferencia intracomunitaria.
login.gov.pl (Węzeł Krajowy / mObywatel) — eID nacional (si está activado)
Finalidad: verificación de identidad opcional mediante el eID nacional polaco, operado por el Ministro de Asuntos Digitales. Datos: atributos de identidad devueltos por el nodo nacional tras la autenticación del firmante. Ubicación: Polonia (UE). Autoridad pública como responsable independiente de la autenticación; transferencia intracomunitaria.
Didit Identity Spain, S.L. — verificación de identidad (si está activada)
Finalidad: verificación de identidad opcional de los firmantes (documento de identidad y comprobación de selfie), solo si el Cliente la activa. Datos: datos del documento de identidad y resultado de la comprobación de selfie devueltos por el flujo de verificación. Ubicación: España (UE). Garantías: contrato de encargo del art. 28 RGPD; transferencia intracomunitaria (EEE).
Integraciones configuradas por el cliente
Si una organización conecta su propio servidor SMTP, una cuenta de Microsoft 365, Resend, AWS SES o Mailgun, un proveedor de SSO o webhooks, los datos fluyen a ese servicio en virtud del contrato propio del cliente. Estos servicios los elige el cliente y no son subencargados de sign.yt.
Registros públicos y sellado de tiempo (no son subencargados)
El autocompletado de datos de empresa consulta registros públicos — GUS (REGON), la lista blanca de IVA del Ministerio de Finanzas polaco y VIES de la UE — solo con un número fiscal. Las autoridades de sellado de tiempo RFC 3161 y los calendarios de OpenTimestamps reciben únicamente hashes criptográficos, nunca el contenido de los documentos ni datos personales. Son servicios públicos independientes, no encargados del tratamiento.
Cambios y oposición
Los clientes pueden oponerse por motivos razonables a un nuevo subencargado dentro del plazo previsto en el DPA escribiendo a support@sign.yt.