Información legal

Sub-processors

Fecha de entrada en vigor: 19 de septiembre de 2026
Fuente: Annex III del DPA

Esta página enumera todos los terceros que procesan datos de clientes por instrucción de IronMemo. Refleja el Annex III de nuestro Acuerdo de Tratamiento de Datos, que es el anexo autoritativo: si ambos difieren, prevalece el DPA.

IronMemo es un servicio en la nube con una única ubicación de almacenamiento. Los datos de los clientes se almacenan en Austria; los proveedores de IA que figuran abajo procesan datos en EE. UU. y, para determinadas operaciones de OpenAI, en Irlanda. Los plazos de retención varían, por eso se indican por proveedor y no como una sola cifra.

Infraestructura y hosting

netcup

Entidad legal: netcup GmbH (part of the Anexia group)
Servicio prestado: Infraestructura de servidores y almacenamiento. netcup aporta los servidores; IronMemo administra el sistema operativo y la capa de aplicación.
Categorías de datos transferidos: Todos los datos que almacena el Servicio: datos de cuenta, contenido de reuniones, transcripciones, resúmenes, archivos subidos, registros y copias de seguridad.
País de la entidad legal: Alemania
Lugar de procesamiento: Austria (Espacio Económico Europeo)
Lugar de almacenamiento: Austria (Espacio Económico Europeo)
Retención por defecto en el proveedor: Mientras los datos existan en el Servicio. Al eliminarlos en IronMemo se borran del almacenamiento de netcup; las copias de seguridad expiran en un ciclo de 30 días.
Retención reducida / sin registro: No aplica.
Uso para entrenamiento de modelos: No permitido. Nuestro contrato prohíbe usar el contenido de los clientes para entrenar, ajustar o mejorar los modelos del proveedor.
Mecanismo de transferencia: No aplica: los datos permanecen en el Espacio Económico Europeo.
Añadido: Composición inicial, en el lanzamiento
Sub-processors propios del proveedor: No se identifican por separado en nuestro anexo.

Reconocimiento de voz

ElevenLabs

Entidad legal: Eleven Labs Inc.
Servicio prestado: Reconocimiento de voz (transcripción).
Categorías de datos transferidos: Audio y vídeo enviados para su transcripción.
País de la entidad legal: Estados Unidos
Lugar de procesamiento: Estados Unidos
Lugar de almacenamiento: Estados Unidos
Retención por defecto en el proveedor: Por defecto se aplica la retención propia del proveedor.
Retención reducida / sin registro: Solo disponible con una configuración enterprise apta y tras la verificación a nivel de cuenta. No se da por activada.
Uso para entrenamiento de modelos: No permitido. Nuestro contrato prohíbe usar el contenido de los clientes para entrenar, ajustar o mejorar los modelos del proveedor.
Mecanismo de transferencia: Cláusulas Contractuales Tipo (SCC) de la UE.
Añadido: Composición inicial, en el lanzamiento
Sub-processors propios del proveedor: Publicados por el propio proveedor.

AssemblyAI

Entidad legal: AssemblyAI Inc.
Servicio prestado: Reconocimiento de voz (transcripción).
Categorías de datos transferidos: Audio y vídeo enviados para su transcripción.
País de la entidad legal: Estados Unidos
Lugar de procesamiento: Estados Unidos
Lugar de almacenamiento: Estados Unidos
Retención por defecto en el proveedor: Configurable; en los demás casos se aplican las condiciones estándar de eliminación y retención del proveedor.
Retención reducida / sin registro: Configurable. Tenga en cuenta que las condiciones estándar del proveedor permiten cierto uso de datos desidentificados si no se configura de otro modo.
Uso para entrenamiento de modelos: No permitido. Nuestro contrato prohíbe usar el contenido de los clientes para entrenar, ajustar o mejorar los modelos del proveedor.
Mecanismo de transferencia: Cláusulas Contractuales Tipo (SCC) de la UE.
Añadido: Composición inicial, en el lanzamiento
Sub-processors propios del proveedor: Infraestructura en la nube de terceros y los sub-processors propios del proveedor, publicados por él.

Procesamiento con modelos de lenguaje

OpenAI

Entidad legal: OpenAI OpCo, LLC; OpenAI Ireland Ltd
Servicio prestado: Resúmenes, tareas, chat de IA.
Categorías de datos transferidos: Transcripciones y texto enviados para resúmenes, tareas y chat de IA, junto con el resultado generado.
País de la entidad legal: Estados Unidos. OpenAI Ireland Ltd para determinadas operaciones fuera de EE. UU. cuando está habilitado.
Lugar de procesamiento: Estados Unidos. OpenAI Ireland Ltd para determinadas operaciones fuera de EE. UU. cuando está habilitado.
Lugar de almacenamiento: Estados Unidos. OpenAI Ireland Ltd para determinadas operaciones fuera de EE. UU. cuando está habilitado.
Retención por defecto en el proveedor: Por defecto, las entradas y salidas no se usan para entrenamiento; los registros de supervisión de abuso pueden conservarse un periodo limitado, por defecto hasta 30 días.
Retención reducida / sin registro: Disponible con una configuración aprobada de retención reducida o supervisión modificada.
Uso para entrenamiento de modelos: No permitido. Nuestro contrato prohíbe usar el contenido de los clientes para entrenar, ajustar o mejorar los modelos del proveedor.
Mecanismo de transferencia: Cláusulas Contractuales Tipo (SCC) de la UE.
Añadido: Composición inicial, en el lanzamiento
Sub-processors propios del proveedor: Publicados por el propio proveedor.

Google

Entidad legal: Google LLC
Servicio prestado: Resúmenes, tareas, chat de IA.
Categorías de datos transferidos: Transcripciones y texto enviados para resúmenes, tareas y chat de IA, junto con el resultado generado.
País de la entidad legal: Estados Unidos
Lugar de procesamiento: Estados Unidos
Lugar de almacenamiento: Estados Unidos
Retención por defecto en el proveedor: En la API de pago y en Vertex AI, las entradas y salidas no se usan para mejorar los productos de Google; por defecto se aplica la retención de supervisión de abuso, actualmente hasta 55 días. Algunas funciones con estado pueden implicar almacenamiento adicional.
Retención reducida / sin registro: Disponible con una configuración de retención reducida aprobada para el proyecto.
Uso para entrenamiento de modelos: No permitido. Nuestro contrato prohíbe usar el contenido de los clientes para entrenar, ajustar o mejorar los modelos del proveedor.
Mecanismo de transferencia: Cláusulas Contractuales Tipo (SCC) de la UE.
Añadido: Composición inicial, en el lanzamiento
Sub-processors propios del proveedor: Publicados por el propio proveedor.

xAI

Entidad legal: X.AI LLC
Servicio prestado: Resúmenes, tareas, chat de IA.
Categorías de datos transferidos: Transcripciones y texto enviados para resúmenes, tareas y chat de IA, junto con el resultado generado.
País de la entidad legal: Estados Unidos
Lugar de procesamiento: Estados Unidos
Lugar de almacenamiento: Estados Unidos
Retención por defecto en el proveedor: Por defecto, las entradas y salidas no se usan para entrenar modelos fundacionales; el contenido se conserva temporalmente, por defecto hasta 30 días.
Retención reducida / sin registro: Disponible con una configuración de retención reducida aprobada. Fuera de esa configuración, el proveedor puede crear y usar datos desidentificados o agregados.
Uso para entrenamiento de modelos: No permitido para el entrenamiento de modelos fundacionales. Este proveedor no se usa para datos originados en el EEE, el Reino Unido o Suiza.
Mecanismo de transferencia: Cláusulas Contractuales Tipo (SCC) de la UE.
Añadido: Composición inicial, en el lanzamiento
Sub-processors propios del proveedor: Publicados por el propio proveedor.

Embeddings y búsqueda semántica

DeepInfra

Entidad legal: Deep Infra Inc.
Servicio prestado: Embeddings vectoriales del texto de transcripciones y documentos, usados para la búsqueda y el chat con IA sobre el workspace.
Categorías de datos transferidos: Fragmentos de texto de transcripciones, resúmenes y documentos subidos que se envían para obtener embeddings, junto con los vectores resultantes.
País de la entidad legal: Estados Unidos
Lugar de procesamiento: Estados Unidos
Lugar de almacenamiento: El proveedor no almacena nada. Los vectores se devuelven a IronMemo y se guardan en nuestra propia infraestructura en Austria.
Retención por defecto en el proveedor: Retención cero segun las condiciones del proveedor: el texto enviado no se almacena, no se vende y no se usa para entrenamiento.
Retención reducida / sin registro: No aplicable - la retención cero es el comportamiento por defecto.
Uso para entrenamiento de modelos: No permitido. Nuestro acuerdo prohíbe usar contenido de clientes para entrenar, ajustar o mejorar los modelos del proveedor.
Mecanismo de transferencia: Cláusulas Contractuales Tipo de la UE.
Añadido: 24 de julio de 2026
Sub-processors propios del proveedor: Publicada por el proveedor.

Correo transaccional y SMS

Resend

Entidad legal: Plus Five Five, Inc., que opera como Resend
Servicio prestado: Entrega de correo transaccional: enlaces de acceso, alertas de seguridad, avisos del servicio.
Categorías de datos transferidos: Dirección del destinatario, remitente, asunto y cuerpo del mensaje, metadatos de entrega.
País de la entidad legal: Estados Unidos
Lugar de procesamiento: Estados Unidos
Lugar de almacenamiento: Estados Unidos
Retención por defecto en el proveedor: Registros de mensajes y entrega segun el plazo publicado por el proveedor.
Retención reducida / sin registro: No se presupone activada.
Uso para entrenamiento de modelos: No permitido.
Mecanismo de transferencia: Cláusulas Contractuales Tipo de la UE.
Añadido: Lista inicial, en el lanzamiento
Sub-processors propios del proveedor: Publicada por el proveedor.

GatewayAPI

Entidad legal: ONLINECITY.IO ApS (CVR 27364276), titular de GatewayAPI
Servicio prestado: Entrega de códigos de un solo uso por SMS.
Categorías de datos transferidos: Número de teléfono del destinatario y texto del mensaje con el código.
País de la entidad legal: Dinamarca
Lugar de procesamiento: Unión Europea. El proveedor ofrece una configuración europea en la que el mensaje pasa por infraestructura y operadores de la UE.
Lugar de almacenamiento: Unión Europea.
Retención por defecto en el proveedor: Registros de tráfico segun el plazo publicado por el proveedor.
Retención reducida / sin registro: El proveedor ofrece un modo en el que el contenido del mensaje, el remitente y el destinatario no se escriben en los registros de tráfico.
Uso para entrenamiento de modelos: No aplicable.
Mecanismo de transferencia: No se requiere para la configuración europea. Los datos permanecen dentro del Espacio Económico Europeo.
Añadido: Lista inicial, en el lanzamiento
Sub-processors propios del proveedor: Publicada por el proveedor.

Twilio

Entidad legal: Twilio Inc.; Twilio Ireland Limited para clientes del Espacio Económico Europeo
Servicio prestado: Entrega de códigos de un solo uso por SMS en rutas que GatewayAPI no cubre.
Categorías de datos transferidos: Número de teléfono del destinatario y texto del mensaje con el código.
País de la entidad legal: Estados Unidos. Twilio Ireland Limited, Dublín, para la contratación en el EEE.
Lugar de procesamiento: Estados Unidos.
Lugar de almacenamiento: Estados Unidos.
Retención por defecto en el proveedor: Registros de mensajes segun el plazo publicado por el proveedor; el cuerpo del mensaje puede ocultarse en la consola del proveedor.
Retención reducida / sin registro: Disponible como ajuste del proveedor.
Uso para entrenamiento de modelos: No aplicable.
Mecanismo de transferencia: Cláusulas Contractuales Tipo de la UE.
Añadido: Lista inicial, en el lanzamiento
Sub-processors propios del proveedor: Publicada por el proveedor.

Seguimiento de errores

Sentry

Entidad legal: Functional Software, Inc., que opera como Sentry
Servicio prestado: Monitorización de errores y rendimiento de la aplicación.
Categorías de datos transferidos: Informes de error: trazas de pila, metadatos de la petición, dirección IP, identificador de usuario o de workspace. El contenido de las reuniones no se envía de forma deliberada y solo puede aparecer si se cita dentro de un mensaje de error.
País de la entidad legal: Estados Unidos
Lugar de procesamiento: Estados Unidos
Lugar de almacenamiento: Estados Unidos
Retención por defecto en el proveedor: Retención de eventos segun el plan del proveedor, por defecto 90 días.
Retención reducida / sin registro: El filtrado de datos está activado, de modo que los secretos y datos personales reconocidos se eliminan antes de guardar el evento.
Uso para entrenamiento de modelos: No permitido.
Mecanismo de transferencia: Cláusulas Contractuales Tipo de la UE.
Añadido: Lista inicial, en el lanzamiento
Sub-processors propios del proveedor: Publicada por el proveedor.

Analítica del sitio y publicidad

Los tres proveedores siguientes nunca reciben contenido de reuniones ni datos del workspace. Tratan datos de visitantes del sitio ironmemo.com, donde IronMemo actúa como responsable independiente y no como encargado, por lo que quedan fuera del Annex III del DPA igual que Stripe. Se enumeran aquí porque sí reciben datos personales y quien lee esta página tiene derecho a saber quiénes son. Qué instalan y cuándo se describe en la Política de cookies.

Google Analytics 4 y la medición de conversiones de Google Ads - Google LLC (Estados Unidos); Google Ireland Limited cuando la entidad de Google que contrata está en el Espacio Económico Europeo. Finalidad: estadísticas de uso del sitio y medición de la publicidad de pago. Categorías de datos: páginas vistas, referente, dispositivo y navegador, ubicación aproximada por IP, identificadores de clic. Mecanismo de transferencia: Cláusulas Contractuales Tipo de la UE. Las etiquetas se cargan sin cookies en Consent Mode antes de la elección y solo instalan cookies tras Aceptar todo, con la única excepción de las llegadas desde anuncios de pago descrita en la Política de cookies.
Yandex Metrica - YANDEX, LLC, calle Lva Tolstogo 16, Moscú 119021, Rusia; para los visitantes sujetos al RGPD el servicio lo presta Air Smart Advertising Solutions FZ-LLC conforme a las condiciones de uso de Metrica. Finalidad: estadísticas de uso del sitio, mapa de clics y repetición de sesión (Webvisor), que registra las interacciones con las páginas públicas, incluido el texto escrito en formularios. Categorías de datos: páginas vistas, referente, dispositivo y navegador, ubicación aproximada por IP, interacciones registradas. El script no se carga en absoluto hasta que el visitante elige Aceptar todo. Mecanismo de transferencia: Cláusulas Contractuales Tipo de la UE. No existe decisión de adecuación de la Comisión Europea para la Federación de Rusia, por lo que la transferencia se apoya en las Cláusulas y en el consentimiento del visitante.

Pagos

Stripe procesa pagos, facturas, prevención del fraude e impuestos como responsable independiente bajo su propia política de privacidad, no como sub-processor del contenido de los clientes. Los datos de la tarjeta quedan en Stripe y nunca llegan a los sistemas de IronMemo.

Cambios en esta lista

Avisamos a los titulares de las cuentas y a los administradores enterprise al menos 30 días antes de que un nuevo sub-processor empiece a procesar datos de clientes.
El aviso indica el nombre del proveedor, su finalidad, la región de procesamiento y la fecha de inicio.
Durante ese plazo puede presentar una objeción motivada en materia de protección de datos. Buscamos una alternativa razonable y, si no existe, puede rescindir la parte afectada del Servicio.
Un proveedor solo puede sustituirse antes en una emergencia de seguridad documentada, con justificación aparte.

Preguntas

Para el DPA o una consulta sobre sub-processors, escriba a dpa@ironmemo.com; para una revisión de seguridad o el aviso de una vulnerabilidad, a security@ironmemo.com. Las solicitudes sobre sus propios datos personales van a dsar@ironmemo.com.