# Lista de subencargados de Ariveno y otros destinatarios pertinentes

**Versión:** `2026-10-24-active.14`  
**Situación a:** 2026-10-24  
**Encargado del tratamiento:** Brillnet Piotr Adamski, ul. Henryka Sienkiewicza 73/6, 90-057 Łódź, NIP 7321779060, REGON 101551294  
**Contacto y oposición:** privacy@ariveno.com

> Esta traducción al español se facilita a título informativo. El texto vinculante de este documento es el original polaco de la misma versión (`2026-10-24-active.14`), disponible en https://ariveno.pl/legal/subprocessors.

## 1. Cómo leer esta lista

1. Un **subencargado directo** trata, por cuenta de Ariveno, los datos confiados por el salón. Está cubierto por la autorización general del Acuerdo de tratamiento de datos.
2. Un **responsable independiente o un proveedor con una función mixta** trata determinados datos para sus propios fines legales o de facturación y no es subencargado de los datos de los Clientes del salón en todo su ámbito de actuación.
3. Un **proveedor elegido por el salón** establece una relación directamente con el salón. Ariveno únicamente conecta técnicamente el Servicio con ese proveedor conforme a las instrucciones del salón.
4. La ubicación «UE» indica la configuración del recurso principal, no una garantía incondicional de que ninguna actividad de soporte, red u otro proveedor vaya a ocasionar una transferencia técnica fuera del EEE.

## 2. Subencargados directos

### 2.1 Cloudflare

| Campo | Información |
|---|---|
| Entidad | Cloudflare, Inc. y las sociedades pertinentes del grupo que actúan en virtud del contrato con Ariveno |
| Sede principal | Estados Unidos |
| Finalidad | alojamiento de Workers, bases de datos D1, objetos privados R2, Durable Objects, colas, flujos de trabajo, red, seguridad, Turnstile, registro de eventos y correo transaccional de respaldo |
| Datos | datos de la organización, el equipo, los Clientes del salón, las reservas y las citas; archivos; ajustes; datos técnicos y de seguridad; contenido y metadatos del correo transaccional de respaldo |
| Ámbito efectivamente utilizado | los recursos D1, R2 y Durable Objects de las organizaciones están configurados para la jurisdicción de la UE; las colas no contienen datos personales, solo identificadores técnicos; la red global y el soporte pueden operar fuera del EEE |
| Mecanismo de transferencia | la decisión de adecuación aplicable/DPF, cláusulas contractuales tipo y medidas complementarias conforme al Cloudflare Customer DPA |
| Estado | infraestructura activa; correo electrónico de respaldo |

Documentos del proveedor:

- [Cloudflare Customer DPA](https://www.cloudflare.com/cloudflare-customer-dpa/) — versión vigente del proveedor;
- [lista de subencargados de Cloudflare](https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/).

Cloudflare es un proveedor necesario para el funcionamiento del núcleo de Ariveno. No aceptar su uso implica que el Servicio no puede prestarse con la arquitectura actual.

### 2.2 EmailLabs

| Campo | Información |
|---|---|
| Entidad | Vercom S.A., operador del servicio EmailLabs |
| Dirección | ul. Wierzbięcice 1B, 61-569 Poznań, Polonia |
| Finalidad | envío principal de correos transaccionales; Cloudflare actúa como respaldo |
| Datos | dirección de correo del destinatario, nombre, marca del salón, contenido del mensaje transaccional y metadatos técnicos del envío |
| Restricciones de Ariveno | sin conmutación automática cuando se desconoce el resultado del envío; prevención de duplicados; seguimiento de aperturas y clics desactivado; sin campañas de marketing |
| Mecanismo de transferencia | proveedor establecido en Polonia; las posibles transferencias fuera del EEE por sus proveedores se rigen por el acuerdo de tratamiento y la lista vigente de subencargados de Vercom, con los mecanismos legales aplicables |
| Estado | activo, proveedor principal de correo transaccional |

Documentos del proveedor:

- [Documentos contractuales y de tratamiento de Vercom](https://docs.emaillabs.io/centrum-bezpieczenstwa/centrum-bezpieczenstwa-i-zaufania-vercom-s.a./wzory-dokumentow);
- [Política de privacidad de EmailLabs](https://emaillabs.io/en/privacy-policy/).

El Operador verifica el acuerdo de tratamiento y la lista vigente de proveedores de Vercom. La sede polaca no garantiza que todo tratamiento se realice exclusivamente dentro del EEE. Resend ya no participa en los envíos activos; los datos históricos permanecen sujetos a las obligaciones de conservación y supresión aplicables.

## 3. Entidades que no son subencargados directos de los datos del salón en todo su ámbito de actuación

### 3.1 Stripe

| Campo | Información |
|---|---|
| Entidad | la sociedad pertinente del grupo Stripe indicada en Stripe Checkout y en las condiciones de la cuenta del Operador, incluida Stripe Payments Europe, Limited, cuando corresponda |
| Función | proveedor de pagos cuya función depende de la operación, incluido el papel de responsable independiente de los datos del pagador para parte de sus obligaciones de pago y normativas |
| Finalidad | Checkout, suscripción, estado de facturas, webhook de pagos y prevención del fraude |
| Datos | datos de la cuenta de facturación, plan, importe, moneda, identificadores de suscripción y pago, datos del medio de pago recogidos directamente por Stripe |
| Exclusión | Ariveno no transmite a Stripe datos de los Clientes del salón, reservas, citas ni agenda, y no almacena los datos completos de la tarjeta |

Stripe no se presenta en esta lista como subencargado directo de la base de datos de los Clientes del salón. Sus propias funciones y obligaciones se derivan de los documentos de Stripe y de la normativa de pagos.

### 3.2 Ministerio de Finanzas / KSeF

El Sistema Nacional de Facturación Electrónica y las autoridades públicas competentes reciben datos de facturas en virtud de la ley y de las actuaciones del Cliente o del Operador. No son subencargados de Ariveno. El alcance depende de las reglas de KSeF aplicables.

### 3.3 Proveedores de correo y asistencia del Operador

La correspondencia enviada a las direcciones support@, privacy@ y security@ puede ser tratada por el proveedor del buzón del Operador. El contenido debe limitarse a los datos necesarios para la comunicación y no deben enviarse contraseñas, claves ni datos innecesarios de los Clientes del salón. Si una comunicación contiene Datos confiados, el Operador trata al proveedor conforme a las obligaciones de un subencargado y actualiza esta lista antes de utilizarlo regularmente para dicha atención.

## 4. Proveedor elegido directamente por el salón

### SMSAPI / LINK Mobility Poland

| Campo | Información |
|---|---|
| Entidad | SMSAPI, servicio de LINK Mobility Poland sp. z o.o. o del operador pertinente indicado en el contrato del salón |
| Función | proveedor/encargado adicional elegido y pagado directamente por el salón |
| Finalidad | envío de mensajes SMS opcionales relativos a las citas |
| Datos | número de teléfono, contenido del SMS y metadatos de entrega |
| Condición | el propio salón crea la cuenta, acepta las condiciones del proveedor, introduce sus propias credenciales de acceso y responde de la base jurídica de los mensajes |

Ariveno es un conector técnico. Los SMS no funcionan hasta que el propio salón activa el canal. SMSAPI no es un subencargado directo contratado por Ariveno en nombre de todos los salones.

## 5. Componentes técnicos que no son destinatarios

Las bibliotecas ejecutadas en la infraestructura de Ariveno, por ejemplo Better Auth, no son destinatarios independientes de datos por el mero hecho de que su código se utilice en la aplicación. Una entidad externa solo se convierte en destinataria cuando recibe efectivamente datos o presta a distancia un servicio de tratamiento.

En la configuración actual, Ariveno no utiliza:

- Google Analytics;
- Google Ads;
- Meta Pixel;
- herramientas de grabación de sesiones;
- proveedores externos de modelos de IA;
- plataformas de automatización de marketing;
- WhatsApp.

La activación de una herramienta de este tipo requiere una evaluación previa de su función, base jurídica, transferencia y conservación, así como la actualización de los documentos.

## 6. Cambios y oposición

1. Ariveno notificará la intención de añadir o sustituir un Subencargado directo con al menos 30 días de antelación, por correo electrónico o en el Panel.
2. La notificación indicará la entidad, el país, la finalidad, los datos y el mecanismo de transferencia.
3. El salón puede presentar una oposición justificada en un plazo de 30 días a privacy@ariveno.com.
4. Ariveno y el salón intentarán reducir el riesgo, por ejemplo desactivando una función o mediante otra configuración. Si no hay una solución razonable, el salón puede dar por terminado el Servicio afectado por el cambio antes de su aplicación.
5. Un cambio urgente impuesto por un incidente o por el cese de actividad de un proveedor puede aplicarse antes si es necesario para la seguridad o la continuidad. Ariveno lo notificará sin dilación indebida y garantizará el derecho a dar por terminado el Servicio.

## 7. Historial de versiones

| Versión | Fecha | Cambio |
|---|---|---|
| `2026-10-12-beta.13` | 2026-10-12 | Copias independientes del correo transaccional |
| `2026-09-24-beta.12` | 2026-09-24 | Reducción de precios estándar; lista de subencargados sin cambios. |
| `2026-09-13-beta.11` | 2026-09-13 | EmailLabs pasa a ser el proveedor principal de correo transaccional y Cloudflare el respaldo; Resend deja de participar en los envíos activos. Seguimiento de aperturas y clics desactivado. |
| `2026-09-07-beta.10` | 2026-09-07 | Se amplió la Política de privacidad para incluir ariveno.pl y ariveno.com; sin cambios en la lista de subencargados. |
| `2026-09-02-beta.9` | 2026-09-02 | Se retiró Google Ads de la configuración activa y de la lista de destinatarios; Ariveno utiliza analítica propia sin cookies conforme a la base de referencia del producto. |
| `2026-09-02-beta.8` | 2026-09-02 | Se añadieron precios en EUR para empresas de países de la UE distintos de Polonia y el requisito de IVA UE e inversión del sujeto pasivo en las Condiciones del servicio y las Condiciones de la beta; sin cambios en la lista de subencargados. |
| `2026-09-01-beta.7` | 2026-09-01 | Se restableció Resend (Plus Five Five, Inc.) como proveedor de emergencia del correo transaccional, conforme a la especificación canónica del producto y la configuración real del servicio; EmailLabs (Vercom S.A.) no es un proveedor de emergencia activo. Se actualizó la fecha de situación de la lista y se completó el historial con `beta.5` y `beta.6`. |
| `2026-08-29-beta.6` | 2026-08-29 | Se unificó la conservación predeterminada de los datos de los Clientes del salón en 180 días y se indicó la prioridad de la configuración activa del salón (cambios en las Condiciones del servicio, la Política de privacidad y el Acuerdo de tratamiento de datos); sin cambios sustanciales en la lista de subencargados. |
| `2026-07-29-beta.5` | 2026-07-29 | Se precisaron el período de prueba único de la primera suscripción y la reutilización de la plaza de suscripción tras la eliminación permanente de un salón (cambios en las Condiciones del servicio y las Condiciones de la beta pública); sin cambios sustanciales en la lista de subencargados. |
| `2026-07-29-beta.4` | 2026-07-29 | Se añadió Google Ads como responsable independiente de la medición voluntaria del período de prueba; se excluyeron los Datos confiados, los identificadores de Ariveno, la personalización y el remarketing. |
| `2026-07-28-beta.3` | 2026-07-28 | Se sustituyó el proveedor de emergencia Resend por el servicio EmailLabs de Vercom S.A.; se actualizaron la ubicación, las transferencias y los documentos del proveedor. |
| `2026-07-24-beta.2` | 2026-07-24 | Se diferenciaron los subencargados directos, los proveedores con una función independiente y SMSAPI elegido por el salón; se precisaron las transferencias y el uso de emergencia de Resend. |

Las versiones anteriores están disponibles previa solicitud a privacy@ariveno.com.


## Copias independientes del correo transaccional

Los plazos de datos de aplicación, registros, exportaciones y copias de la organización no cubren todas las copias del proveedor de correo. El DPA de EmailLabs/Vercom prevé copias cifradas durante dos años desde su creación. Afecta al ámbito separado de datos de envío y copias del proveedor; no amplía automáticamente la retención de la base activa. Minimizamos los mensajes y separamos datos del cliente de facturación y seguridad propias. Cada solicitud de supresión se evalúa por categoría y función. Un plazo contractual no sustituye la base legal ni las instrucciones del responsable.

---

`2026-10-24-active.14` · 2026-10-24

Estado: servicio activo. Los precios, las limitaciones, la protección de datos y las obligaciones no cambian. Las Normas de uso del servicio sustituyen las Condiciones de la beta; solo se eliminan las opciones de ampliar la beta y pasar a disponibilidad general.