Subencargados
Última actualización: 27 de octubre de 2026
En resumen
- Estas son las empresas que tratan datos personales para OpenWAF Cloud: Hetzner (Alemania), Vultr (Madrid, España), Cloudflare (EE. UU.) y Let’s Encrypt (EE. UU.).
- Los datos de los clientes se guardan en la Unión Europea. Las transferencias fuera del EEE se amparan en las cláusulas contractuales tipo de la UE.
- Avisamos a los clientes por correo con al menos 30 días de antelación antes de añadir o sustituir un subencargado, como establece el apartado 6 del Contrato de encargo de tratamiento.
1. Subencargados
AI Services LLC (OpenWAF) recurre a los siguientes subencargados para prestar OpenWAF Cloud. La misma lista es el Anexo III del Contrato de encargo de tratamiento; la Política de privacidad explica qué tratan cuando actuamos como responsables.
| Subencargado | Lugar del tratamiento | Finalidad | Datos de clientes tratados |
|---|---|---|---|
| Hetzner Online GmbH (Alemania) | Alemania (UE) | Alojamiento: plano de control, bases de datos, servidores DNS, nodos de borde, servidor de correo y almacenamiento de copias de seguridad. | Todos los datos del servicio: configuración, datos de cuentas, eventos de seguridad, direcciones de correo del control de acceso, tráfico de los nodos de borde de Alemania y copias de seguridad. |
| The Constant Company, LLC (Vultr) (EE. UU.) | Madrid, España (UE) | Alojamiento del nodo de borde de Madrid, que atiende a los visitantes de España. | Tráfico de los visitantes dirigidos a ese nodo (terminación TLS, WAF, caché) y la configuración que necesita el nodo. |
| Cloudflare, Inc. (EE. UU.) | EE. UU. y la red global de Cloudflare | Registrador y DNS de openwaf.dev, y proxy de red delante de este sitio web, del panel, del servicio del plano de control que usan nuestros nodos de borde y del servicio de Egress IA. | Direcciones IP y el contenido de esas conexiones en tránsito, incluidos los documentos de configuración (que pueden contener direcciones de correo del control de acceso y claves privadas de certificados) y, si se activa Egress IA, las peticiones de los agentes de IA del cliente. |
| Internet Security Research Group (Let’s Encrypt) (EE. UU.) | EE. UU. | Emisión de certificados TLS. | Solo nombres de host. |
2. Proveedores que no son subencargados
- Nuestro propio servidor de correo. Los correos de inicio de sesión y del control de acceso salen de un servidor de correo que gestionamos nosotros mismos en Hetzner, en Alemania; no usamos ningún servicio de correo de terceros.
- Google LLC y GitHub, Inc. (inicio de sesión). Si un usuario elige iniciar sesión con Google o GitHub, ese proveedor actúa como responsable independiente del inicio de sesión.
- GitHub, Inc. (código fuente). Guardamos nuestro código fuente en GitHub. No contiene datos personales de clientes.
- Proveedores de modelos de IA (Egress IA). Proveedores como OpenRouter, OpenAI o Anthropic solo reciben peticiones cuando un cliente activa Egress IA, los elige como destinos y guarda su propia clave de API para ellos. Actúan según el acuerdo del propio cliente con ellos, no como subencargados nuestros.
- Servidores de origen y proveedores de alojamiento de los clientes. Les reenviamos las peticiones permitidas a los orígenes que configura el cliente.
3. Transferencias
Cuando un subencargado trata datos de clientes fuera del Espacio Económico Europeo, o AI Services LLC accede a ellos desde Estados Unidos, la transferencia se ampara en las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión y, para los datos del Reino Unido, en el Addendum de transferencias internacionales de datos del Reino Unido, como establece el apartado 9 del Contrato de encargo de tratamiento. No nos amparamos en el Marco de Privacidad de Datos UE-EE. UU.
4. Cambios en esta lista
Avisaremos por correo a los propietarios de cada cuenta de cliente con al menos 30 días de antelación antes de añadir o sustituir un subencargado, y actualizaremos esta página. Los clientes pueden oponerse como se describe en el apartado 6 del Contrato de encargo de tratamiento. Preguntas: [email protected].