Lista de Subencargados
Esta página identifica las categorías de proveedores de servicios externos que DevAI puede autorizar para tratar Datos del Cliente en relación con la prestación de DevAI Suite.
DevAI exige a los subencargados que traten los datos de conformidad con las protecciones contractuales apropiadas para los servicios que prestan.
Las directrices de la UE otorgan importancia a la transparencia en relación con los encargados y subencargados del tratamiento, por lo que mantener esta página actualizada es importante incluso en una etapa temprana.
1. Cómo Utilizamos a los Subencargados
Podemos utilizar subencargados para dar soporte a:
- alojamiento e infraestructura en la nube;
- almacenamiento y copia de seguridad de datos;
- servicios de autenticación e identidad;
- procesamiento de pagos;
- atención al cliente y comunicaciones;
- supervisión y registro de eventos;
- analítica;
- entrega de documentos o correo electrónico;
- inferencia de IA o infraestructura de modelos, cuando corresponda;
- otros servicios operativos razonablemente necesarios para prestar el Servicio.
2. Tabla Actual de Subencargados
Los siguientes subencargados están actualmente autorizados para tratar Datos del Cliente en relación con DevAI Suite. Las regiones de tratamiento reflejan la configuración actual de cada proveedor y pueden cambiar según lo descrito en la Sección 3.
| Proveedor | Categoría de Servicio | Finalidad | Datos Potencialmente Implicados | Región Principal de Tratamiento |
|---|---|---|---|---|
| Fly.io | Alojamiento / Cómputo | Ejecuta la API, la aplicación web y los procesos en segundo plano | Datos del Cliente en tránsito, registros de la aplicación, datos de la cuenta | UE (Fráncfort) |
| Neon | Base de Datos Gestionada | PostgreSQL + pgvector; datos del tenant en reposo con aislamiento Row-Level Security y almacenamiento vectorial para RAG | Todos los Datos del Cliente en reposo | UE (Fráncfort, aws-eu-central-1) |
| Cloudflare | CDN / Almacenamiento de Objetos / Protección anti-bots / Embeddings de IA | Almacenamiento de objetos R2 para documentos, plantillas, archivos adjuntos en el chat de IA, volcados de la base de datos e instantáneas nocturnas de objetos; DNS y entrega en el edge; CAPTCHA Turnstile; el sitio de marketing (Pages); la consola de operación (Workers + D1); Cloudflare Workers AI genera los embeddings vectoriales de los documentos del tenant para recuperación (RAG), en producción desde el 31 de octubre de 2026 | Documentos y plantillas cargados, volcados completos de la base de datos, metadatos de solicitud y dirección IP, tokens de challenge, registros de la consola de operación; fragmentos de texto de documentos y consultas de búsqueda (Workers AI) | R2: jurisdicción UE. Edge: global (red de Cloudflare). Workers AI: la red de Cloudflare, sin elección de región, por lo que las solicitudes de embeddings no están fijadas a la UE; Cloudflare declara que el contenido del cliente no se usa para entrenar sus modelos |
| Upstash | Caché / Limitación de Tasa | Caché Redis, contadores de rate limit y difusión de mensajes en tiempo real entre las máquinas de la API | Claves de rate limit (dirección IP, id de usuario), valores en caché y mensajes de corta duración | Estados Unidos |
| GitHub | Control de Código / CI | Aloja el código fuente y la CI; el volcado nocturno de la base de datos y el simulacro mensual de restauración se ejecutan en runners alojados por GitHub | Una copia completa de la base de datos de producción, que el runner mantiene mientras duran esos jobs | Runners alojados por GitHub (región no seleccionable) |
| Together AI | IA / Inferencia de Modelos | Inferencia LLM por defecto, comprensión de imágenes y transcripción de voz; entrenamiento de un adaptador por organización cuando se ejecuta un fine-tune | Prompts y fragmentos recuperados, resultados de herramientas, imágenes, audio grabado, salidas del modelo; los pares de corrección de una organización mientras se ejecuta un fine-tune, solo con el consentimiento de datos de entrenamiento de esa organización, eliminados cuando el job termina | Estados Unidos (API del proveedor) |
| Voyage AI (condicional) | IA / Embeddings | Sin uso desde el 31 de octubre de 2026, cuando producción pasó los embeddings de documentos a Cloudflare Workers AI — solo recibe datos si un operador vuelve a seleccionarlo | Fragmentos de texto de documentos, consultas de búsqueda (solo si se vuelve a seleccionar) | Estados Unidos (API del proveedor) |
| Tavily (condicional) | IA / Búsqueda Web | Herramienta de búsqueda web del asistente de IA — activa solo cuando la búsqueda web está configurada | La consulta de búsqueda que escribe el modelo, que puede llevar contexto de la conversación | Estados Unidos (API del proveedor) |
| Hugging Face (condicional) | IA / Almacenamiento de Modelos | Almacena los pesos de adaptadores por organización — solo cuando se ejecuta el entrenamiento de adaptadores | Pesos de adaptadores derivados de las correcciones de una organización | Estados Unidos |
| Anthropic (condicional) | IA / Inferencia de Modelos | Inferencia de modelos Claude, solo de emergencia (break-glass) — inalcanzable salvo que un operador active el ajuste de emergencia (desactivado por defecto) o lo seleccione como proveedor de modelos | Prompts y fragmentos recuperados, salidas del modelo (solo cuando está habilitado) | Estados Unidos (API del proveedor) |
| OpenAI (condicional) | IA / Inferencia de Modelos | Inferencia de modelos GPT, solo de emergencia (break-glass), después de Anthropic; un clasificador de documentos opcional (desactivado por defecto) | Prompts y fragmentos recuperados, salidas del modelo; texto de documentos enviado para su clasificación (solo cuando está habilitado) | Estados Unidos (API del proveedor) |
| Groq (condicional) | IA / Inferencia de Modelos | No se usa por defecto — solo recibe datos si un operador lo reactiva | Prompts (solo cuando está habilitado) | Estados Unidos (API del proveedor) |
| Inngest | Trabajos en Segundo Plano | Orquesta la indexación de documentos y trabajos asíncronos | Metadatos de eventos de trabajo (identificadores y parámetros de organización, documento y trabajo) | Estados Unidos (API del proveedor) |
| Resend | Correo Transaccional | Entrega de correos de verificación de cuenta y notificaciones | Direcciones de correo, contenido de notificaciones | Estados Unidos (API del proveedor) |
| Stripe | Pagos | Facturación de suscripciones y procesamiento de pagos | Metadatos de facturación / cuenta; los datos de tarjeta los tokeniza Stripe y DevAI nunca los almacena | Estados Unidos / global |
| Sentry | Supervisión / Seguimiento de Errores | Supervisión de errores y rendimiento de la aplicación | Trazas de pila y contexto de solicitud, con PII saneada antes de la transmisión | Estados Unidos |
| PostHog | Analítica de Producto | Analítica de uso del producto para la API y el navegador | Eventos de uso asociados al id de usuario | UE |
| Autenticación / Servicios Opcionales | "Iniciar sesión con Google", a elección del usuario; dos servicios opcionales, cada uno desactivado salvo que se configure: inferencia sobre imágenes de inspección (Cloud Vision) y un almacén analítico (BigQuery) | La solicitud de inicio de sesión (Google devuelve nombre y dirección de correo); imágenes de inspección, tablas de hechos por organización y telemetría de máquinas (solo cuando está habilitado) | Google (global); la ubicación de BigQuery se fija por despliegue | |
| Microsoft | Autenticación / Vista Previa de Documentos | "Iniciar sesión con Microsoft" (Entra ID), a elección del usuario; vista previa en el navegador de archivos de Word, Excel y PowerPoint | La solicitud de inicio de sesión (Microsoft devuelve nombre y dirección de correo); el archivo de Office previsualizado, que Microsoft obtiene mediante un enlace firmado de corta duración | Microsoft (global) |
| RunPod (condicional) | IA / Cómputo GPU | Servicio en GPU del modelo propio de DevAI — siempre que sus credenciales estén configuradas, el respaldo ante caídas para los turnos de IA que no necesitan llamar a herramientas; primera opción para las skills de dominio solo cuando se activa el enrutado al modelo propio (desactivado por defecto) | Prompts y fragmentos recuperados, salidas del modelo | Estados Unidos / UE (según el endpoint) |
El cómputo, la base de datos principal y el almacenamiento de objetos se alojan en la UE. Varios proveedores de caché, trabajos en segundo plano, inferencia de IA, correo y supervisión tratan datos a través de servicios alojados en EE. UU.; dichas transferencias se rigen por el Acuerdo de Tratamiento de Datos aplicable y las Cláusulas Contractuales Tipo. Los embeddings de documentos se ejecutan en Cloudflare Workers AI, que no ofrece elección de región, por lo que ese tratamiento no está fijado a la UE. Los proveedores de inferencia de IA reciben el contenido de los prompts únicamente cuando un usuario invoca una función de IA, sujeto a la configuración de IA de su organización. Un proveedor marcado como condicional solo recibe datos en la condición indicada en su columna Finalidad.
Los servicios de datos públicos siguientes responden a preguntas sobre el mundo exterior. No reciben registros de cliente, pero una consulta puede revelar dónde están las plantas, los proveedores o los envíos de un cliente.
| Servicio | Finalidad | Qué Contiene la Consulta |
|---|---|---|
| Open-Meteo | Meteorología y geocodificación de ciudades para mapas de suministro y previsiones | Coordenadas y nombres de ciudad y país de las plantas |
| GDELT | Señal de riesgo por país a partir del tono de las noticias | Nombres de países |
| OpenSky; AISStream, FlightAware, MarineTraffic | Posiciones de vuelos y buques para los envíos en seguimiento | Identificadores del vuelo o del buque en seguimiento; AISStream, FlightAware y MarineTraffic solo cuando sus claves están configuradas |
| Router público OSRM | Rutas por carretera para los envíos en seguimiento | Coordenadas de inicio y fin de un tramo |
| CARTO, OpenStreetMap | Fondos de mapa, cargados por el navegador | El área del mapa que se está viendo y la dirección IP del navegador |
Las integraciones que un cliente configura hacia sus propios sistemas (ERP, MES, PLM, repositorios de documentos, webhooks) envían los datos adonde el cliente indica, con credenciales que aporta el cliente; son encargados del cliente y no figuran aquí.
3. Actualizaciones de Esta Lista
Podemos actualizar esta lista en cualquier momento a medida que nuestro Servicio evoluciona. Los cambios sustanciales podrán reflejarse mediante la actualización de esta página y, cuando sea contractualmente obligatorio, podremos notificarlos a través del Servicio o por correo electrónico.
4. Preguntas
Las preguntas relativas a los subencargados pueden enviarse a: admin@devaisuite.com