DUBHCORE — Lista de subencargados
Versión 1.0 — Fecha: 30 de agosto de 2026 — Versión final Se enumeran solo los proveedores efectivamente utilizados (verificados en código/config). Las dependencias presentes en el proyecto pero no utilizadas activamente NO están incluidas. DPA/acuerdos: cuando el DPA del proveedor está incorporado en los términos o perfeccionado mediante aceptación electrónica válida, no se requiere firma manuscrita separada; la prueba es la aceptación en línea (no se declara la posesión de copias «firmadas»). La duración de los registros de infraestructura de Emergent no ha sido comunicada ni confirmada por el proveedor (gestionada por Emergent en el marco de su propia infraestructura; no se indica ningún periodo numérico no verificado) y no constituye actualmente un bloqueo para el lanzamiento.
| Proveedor | Servicio / Finalidad | Categorías de datos | Lugar del tratamiento | Transferencia internacional | Mecanismo/Garantía | Notas |
|---|---|---|---|---|---|---|
| Stripe | A) Suscripciones/facturación DUBHCORE; B) Stripe Connect para los anticipos de los Estudios; eventos webhook | Datos de pago/facturación, identificadores de transacción | UE/EE. UU. (PARTIAL — no verificada) | Sí | DPA/DPP Stripe + CCT perfeccionados mediante aceptación en línea de los términos | Stripe puede actuar como Responsable autónomo para determinados tratamientos (pagos, cumplimiento, antifraude, obligaciones propias) según la documentación de Stripe aplicable; no es un simple subencargado |
| Solo OAuth + Google Calendar (importación en solo lectura) | Identificadores de cuenta (correo/perfil), eventos de calendario importados | UE/EE. UU. (PARTIAL — no verificada) | Sí | Data Processing Terms Google + CCT mediante aceptación en línea | Tokens OAuth conservados cifrados (Fernet). Excluidos: analytics, publicidad, Google Fonts, servicios de IA y otros servicios de Google no utilizados | |
| Emergent | Alojamiento/infraestructura backend (K8s), Object Storage privado gestionado, envío de correos transaccionales (Resend/SES gestionado), Hub | Todas las categorías alojadas (cuenta, solicitudes, imágenes, documentos, etc.); direcciones de correo de los destinatarios | Estados Unidos (VERIFIED) | Sí (EE. UU.) | DPA Emergent + CCT UE 2021/914 | Plataforma de despliegue; cadena de subproveedores infra abajo |
Expo / EAS (nota técnica — NO subencargado en tiempo de ejecución): utilizado exclusivamente como herramienta de build/distribución de la app móvil. Según la auditoría técnica, no trata los datos personales de los usuarios finales de DUBHCORE durante el uso normal de la app; por tanto no está incluido en la lista pública de subencargados y no se presenta como subencargado en tiempo de ejecución de los datos de clientes.
Apple Calendar: el acceso tiene lugar en el dispositivo del usuario (expo-calendar); no constituye un subencargado del lado del servidor de DUBHCORE (no se envía ningún dato del calendario de Apple a los servidores).
Datos de salud (art. 9) en los subencargados: los datos de salud (Tatuaje/Piercing) están alojados en la infraestructura de Emergent (ya enumerada) junto con las demás categorías; el acceso está limitado del lado del servidor únicamente a los roles autorizados (mínimo privilegio). La confirmación de Emergent respecto a la admisibilidad del tratamiento de dichos datos para la aplicación no constituye la condición de licitud del art. 9, que sigue siendo el consentimiento explícito (art. 9.2.a)) identificado por el Estudio Responsable. Ningún otro subencargado recibe específicamente los datos de salud.
Analytics/publicidad/tracking: ausentes tanto en la app como en el sitio Hub (dubhcore.com) — auditoría verificada (ningún subencargado de analytics).
DUBHCORE Hub (dubhcore.com): el formulario de contacto /contact (nombre, estudio, correo, país, mensaje) envía los datos al backend del Hub, almacenados en la colección MongoDB contact_requests del proyecto Hub (alojado en la infraestructura de Emergent, ya enumerada). Ningún proveedor de correo/newsletter externo recibe dichos datos. Los pagos tienen lugar mediante Payment Links externos de Stripe (buy.stripe.com), ya cubiertos por la entrada Stripe.
Google Fonts y Unsplash: ya no son servicios externos activos — las fuentes y la imagen «Origin» del Hub están ahora alojadas localmente. Por tanto, no figuran entre los proveedores/destinatarios externos.
Infraestructura verificada (Emergent Labs Inc.): DUBHCORE utiliza la infraestructura gestionada por Emergent Labs Inc. Subproveedores de infraestructura con un rol verificado/razonablemente documentado en el flujo de datos de DUBHCORE:
| Proveedor | Servicio / Finalidad | Lugar | Transferencia internacional | Garantía |
|---|---|---|---|---|
| Emergent Labs Inc. | Plataforma/infraestructura gestionada (despliegue, orquestación) | Estados Unidos | Sí (EE. UU.) | DPA + CCT (Dec. UE 2021/914) |
| MongoDB Atlas | Base de datos gestionada de la aplicación | Estados Unidos | Sí (EE. UU.) | vía DPA Emergent + CCT |
| Amazon Web Services (AWS) | Cloud hosting / object storage / correo, cuando proceda | Estados Unidos | Sí (EE. UU.) | vía DPA Emergent + CCT |
| Cloudflare | Edge/CDN/serving aplicativo | Edge/distribuido globalmente (PARTIAL — región no verificada) | Sí | vía DPA Emergent + CCT |
Copias de seguridad de producción: automáticas rotatorias, almacenadas en los Estados Unidos (detalle en el Data Retention Schedule). Roles DPA: Cliente = Responsable, Emergent = Encargado; si el Cliente es a su vez Encargado, Emergent = Subencargado.
No se enumeran todos los proveedores presentes en la página general de Subencargados de Emergent, sino solo aquellos con un rol verificado en el flujo de datos de DUBHCORE. Ningún servicio de IA/LLM (Gemini/Vertex/Bedrock, etc.) trata datos de usuario de DUBHCORE (la auditoría técnica no detectó ningún tratamiento de IA en tiempo de ejecución).
Nota final: los DPA/acuerdos con los proveedores están perfeccionados mediante aceptación electrónica válida (sin firma manuscrita separada requerida; la prueba es la aceptación en línea). El periodo de conservación de los registros de infraestructura de Emergent (dirección IP, ubicación aproximada, navegador, identificadores de sesión/dispositivo, telemetría) no ha sido comunicado ni confirmado por el proveedor: estos registros son gestionados por Emergent en el marco de su propia infraestructura y de las condiciones/documentación aplicables; DUBHCORE no indica ningún periodo numérico no verificado. Esto no constituye un bloqueo para el lanzamiento.