1. Introducción

TraceWeave utiliza proveedores de servicios terceros (en adelante, "Subprocesadores") para alojar, procesar y gestionar datos personales de nuestros clientes. Esta lista se mantiene actualizada conforme a lo establecido en nuestro Acuerdo de Procesamiento de Datos (DPA).

Todos los Subprocesadores cumplen con:

•Reglamento General de Protección de Datos (RGPD - Reglamento UE 2016/679)
•Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea cuando operan fuera del EEE
•Medidas de seguridad técnicas y organizativas apropiadas (Artículo 32 RGPD)
•Certificaciones reconocidas (ISO 27001, SOC 2, etc.)

2. Categorías de Subprocesadores

TraceWeave trabaja con un conjunto de subprocesadores agrupados por categoría funcional. La identidad concreta de cada subprocesador, su domicilio social y los detalles operativos del tratamiento están documentados internamente en el Registro de Actividades (Art. 30 RGPD) y se ponen a disposición de los Responsables del tratamiento que hayan suscrito un DPA, previa solicitud razonada por correo electrónico a hola@traceweave.eu con el asunto [Subprocesadores] Solicitud de listado detallado.

Categoría	Finalidad	Ubicación	Garantías
Hosting y CDN	Alojamiento de la plataforma web y distribución de contenido estático.	Multi-región (UE + EE.UU.)	SCCs, DPF, certificaciones del proveedor (SOC 2)
Base de datos gestionada y autenticación	Persistencia de los datos de la plataforma y gestión de identidades de usuario.	UE (Frankfurt)	Alojamiento en UE, certificaciones del proveedor (ISO 27001 / SOC 2)
Object storage	Almacenamiento de imágenes, documentos y archivos cargados por los usuarios.	UE (Frankfurt)	Cifrado en reposo, alojamiento en UE, certificaciones del proveedor (ISO 27001 / SOC 2)
Email transaccional	Envío de correos operativos del servicio (confirmación de suscripción, restablecimiento de credenciales, notificaciones).	EE.UU.	SCCs, DPF, cifrado TLS
Pasarela de pago	Procesamiento de pagos y gestión de facturación, cuando aplique al plan contratado.	Multi-región (UE + EE.UU.)	PCI DSS, SCCs, DPF
Monitorización de errores	Captura y análisis de errores de aplicación para mantener la estabilidad del servicio, con scrubbing previo de datos personales.	UE (Frankfurt)	Alojamiento en UE, certificaciones del proveedor (ISO 27001 / SOC 2)
Analítica de uso agregada	Métricas de rendimiento web y de tráfico agregado, sin perfilado individual.	UE (con posible procesamiento puntual fuera del EEE bajo SCCs/DPF)	SCCs, DPF, anonimización

Leyenda de garantías

•

SCCs: Cláusulas Contractuales Tipo (Decisión UE 2021/914)

•

DPF: EU-US Data Privacy Framework

•

ISO 27001 / SOC 2: Certificaciones de seguridad del subprocesador (no de TraceWeave).

•

PCI DSS: Estándar de seguridad para pasarelas de pago.

3. Mecanismo de Notificación de Cambios

3.1 Notificación Previa

TraceWeave notificará a todos los clientes con al menos 30 días de antelación antes de:

•Añadir un nuevo subprocesador a la lista
•Cambiar un subprocesador existente por otro
•Modificar la ubicación geográfica de procesamiento de datos por parte de un subprocesador

3.2 Canales de Notificación

Las notificaciones se enviarán a través de:

Email al administrador de cuenta

Correo automático al email del administrador principal de la cuenta del cliente.

Actualización de esta página

Esta lista se actualizará con el banner "Próximo cambio" visible en la parte superior.

3.3 Derecho de Oposición

Conforme al DPA (Sección 5.1), el cliente puede oponerse a un cambio de subprocesador por motivos justificados relacionados con la protección de datos dentro de los 15 días siguientes a la notificación.

Procedimiento de oposición: Envíe un correo a hola@traceweave.eu indicando el subprocesador al que se opone y las razones justificadas. TraceWeave evaluará la oposición y, si no es posible abstenerse de contratar al subprocesador, el cliente podrá suspender o terminar el contrato sin penalización.

3.4 Cambios Menores (Sin Notificación Previa)

No requieren notificación previa los cambios meramente administrativos que no afectan al procesamiento de datos, como actualización de URL del subprocesador, cambio de razón social sin cambio de entidad legal, o mejora de certificaciones de seguridad existentes. Estos cambios se reflejarán directamente en esta lista.

4. Cláusulas Contractuales Tipo (SCCs)

TraceWeave ha suscrito Cláusulas Contractuales Tipo (SCCs) conforme a la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea con todos los subprocesadores que procesan datos personales fuera del Espacio Económico Europeo (EEE).

Módulo aplicado

Para transferencias internacionales a subprocesadores, TraceWeave utiliza el Módulo Tres (Procesador a Procesador) de las SCCs.

Entre TraceWeave y sus clientes se aplica el Módulo Dos (Responsable a Procesador), conforme al DPA.

Evaluación de Impacto de Transferencias (TIA)

TraceWeave ha realizado una Evaluación de Impacto de Transferencias (Transfer Impact Assessment) para cada subprocesador ubicado fuera del EEE, conforme a la recomendación del EDPB (Comité Europeo de Protección de Datos).

Las TIA concluyen que las garantías aplicadas (SCCs + medidas técnicas complementarias como cifrado, controles de acceso y anonimización) son suficientes para asegurar un nivel de protección esencialmente equivalente al del RGPD.

Solicitar copia de las SCCs

Los clientes del plan Empresa pueden solicitar una copia de las SCCs suscritas con subprocesadores específicos para fines de auditoría o cumplimiento.

Solicitar SCCs

5. Contacto

Para consultas sobre esta lista de subprocesadores, notificaciones de cambios o ejercicio del derecho de oposición, contacte con:

Contacto en materia de protección de datos

TraceWeave SL

hola@traceweave.eu

Dirección Postal

TraceWeave SL — Atención: Privacidad, Sevilla, España

Lista de Subprocesadores