Un subencargado es un tercero que trata datos personales por cuenta de Vonzay y siguiendo sus instrucciones, para que una parte del servicio funcione. La ley obliga a decir quiénes son. Esta página es la lista, y es el Anexo III del contrato de encargo de tratamiento.
La empresa que contrata a estos proveedores y responde por ellos es Vonzay Ecuador S.A.S., que opera el servicio bajo el nombre Vonzay. El equipo que opera el servicio está en el Ecuador; el servidor y la bóveda corren sobre infraestructura alquilada al proveedor de la primera fila de la tabla, en Estados Unidos.
Está escrita para la persona que tiene que aprobar Vonzay dentro de su empresa. Si algo aquí le impide firmar, escríbanos y lo hablamos antes, no después.
1. Cómo leer la tabla
Cada fila es un proveedor. La columna de datos dice qué ve ese proveedor concreto, no qué guarda la plataforma entera: cada uno recibe únicamente lo que su función exige. El país es donde está constituido el proveedor y, cuando lo sabemos, la región donde trata los datos. La última columna lleva a su propia política, no a un resumen nuestro.
2. Subencargados en uso
| Proveedor | Para qué | Qué datos toca | País o región | Su política |
|---|---|---|---|---|
| Hostinger International Ltd. | Ejecutar la plataforma: el servidor, su disco y los contenedores | Todo lo que está en reposo: base de datos, bóveda y respaldos | Chipre, con el centro de datos en Estados Unidos | Política de privacidad |
| Anthropic | Atender los turnos del agente sobre Claude Code | La instrucción del turno, el historial de la conversación y el contenido de los archivos que el agente lee o escribe | Estados Unidos | Política de privacidad |
| OpenAI | Atender los turnos del agente sobre Codex, el motor alternativo que se elige por conversación | Lo mismo que la fila anterior, cuando la conversación usa ese motor | Estados Unidos | Política de privacidad |
| OpenAI, interfaz web de ChatGPT | Generar imágenes con la herramienta gratuita | El texto de la instrucción y las imágenes de referencia que se tomen de la bóveda | Estados Unidos | Política de privacidad |
| NEXUSAI SERVICES LLC, que opera kie.ai | Generar imágenes por lote y generar video | El texto de la instrucción, y la imagen, el video o el audio de referencia que sus servidores descargan por enlace firmado | Estados Unidos | Política de privacidad |
| Backblaze | Archivar fuera del servidor la media que ya no se usa a diario | Los archivos binarios archivados: video, audio, imágenes, PDF y otros adjuntos | Estados Unidos, con el depósito en la región oeste de Estados Unidos (us-west-004) | Política de privacidad |
| Amazon Web Services, servicio SES | Enviar el correo del servicio y retransmitir el correo saliente de los buzones de su empresa | Remitente, destinatarios, asunto y cuerpo de los mensajes que salen, más el dominio y sus identificadores de firma | Estados Unidos | Política de privacidad |
| Cloudflare | Alojar el DNS de nuestros dominios, sin proxy: los registros apuntan directo a nuestro servidor y el tráfico no atraviesa su red | Los nombres de dominio, los registros de DNS y los identificadores de zona | Estados Unidos, red global | Política de privacidad |
| Servicios de notificaciones del navegador: Google, Mozilla y Apple | Entregar al dispositivo suscrito los avisos que usted activó | La dirección de la suscripción, que identifica ese dispositivo, y el momento de cada envío. El contenido del aviso va cifrado y el proveedor no lo lee | Estados Unidos, red global | Google, Mozilla, Apple |
3. Cuatro filas que necesitan explicación
El generador gratuito de imágenes funciona sobre una cuenta compartida. No usa una interfaz de programación con contrato de empresa: usa un navegador automatizado sobre una sola cuenta de ChatGPT que hoy comparten todas las empresas de la plataforma. Las instrucciones y las imágenes de referencia de distintas empresas quedan en el historial de esa misma cuenta, que administramos nosotros. Es el único punto del producto donde el aislamiento por empresa no llega hasta el proveedor. Si su empresa prefiere no usar esa herramienta, escríbanos y acordamos desactivarla en su cuenta.
A kie.ai no le subimos los archivos: se los publicamos. Cuando pide generar video a partir de una imagen o de un audio suyo, ese archivo se expone en un enlace firmado que caduca a los treinta minutos y que solo sirve para ese archivo, y los servidores de kie.ai lo descargan desde ahí. Durante esos treinta minutos, cualquiera que tenga la dirección puede descargar ese archivo sin iniciar sesión, y hoy no hay forma de revocar el enlace antes de que caduque.
El correo se lee en nuestro servidor y se envía por Amazon. El buzón, los mensajes recibidos y el archivo histórico viven en el servidor de correo que operamos nosotros. Lo que sale sí pasa por Amazon SES, que actúa como retransmisor y por lo tanto ve el destinatario y el cuerpo del mensaje.
El proveedor de infraestructura lo ve todo en reposo. No ciframos los documentos a nivel de aplicación. Quien administra el servidor puede llegar a los archivos. Esto está declarado también en la cláusula 5 del contrato de encargo y en la página de seguridad, y es una de las razones por las que ofrecemos autoalojamiento.
4. El pago
Hoy no hay un procesador de pagos en esta lista porque no lo usamos. Los planes se contratan por correo o desde el formulario de contacto, la forma de pago se acuerda por escrito al contratar, y ningún dato de su tarjeta pasa por nosotros ni por un tercero que trabaje para nosotros.
Cuando incorporemos una pasarela de pago, será un subencargado nuevo: figurará en la tabla de la sección 2 con lo que ve y dónde, y se lo avisaremos antes, como dice la sección 7.
5. Equipos propios fuera del centro de datos
El renderizado de video y la separación de pistas de audio corren en una máquina con tarjeta gráfica que es nuestra, pero que no está en el centro de datos. Esa máquina descarga el material del proyecto, lo procesa y devuelve el resultado.
No hay un tercero de por medio: el equipo es de Vonzay y nadie más lo opera. Aun así lo decimos aquí, porque el archivo sale físicamente de la infraestructura principal y esa es la clase de detalle que una revisión de proveedores necesita conocer.
6. Servicios autoalojados: aquí no hay tercero
Buena parte de lo que en otros productos es una llamada a una interfaz de terceros, en Vonzay corre en nuestras propias máquinas y escucha solo en la interfaz local. En esta lista no hay proveedor que nombrar porque no hay proveedor:
| Función | Cómo funciona |
|---|---|
| Indexación y búsqueda | Un modelo de embeddings abierto instalado en nuestro servidor |
| Transcripción de audio | Un modelo de reconocimiento de voz instalado en nuestro servidor |
| Llamadas de voz y video | Un servidor de conferencias propio |
| Base de datos, caché y grafo de enlaces | En nuestras máquinas |
| Recepción y almacenamiento de correo | Un servidor de correo propio |
| Consolas incrustadas de atención, automatización y publicación | Instaladas en nuestra infraestructura |
Lo que eso significa en la práctica: indexar veinte años de documentación no envía un solo byte a un proveedor de modelos, y transcribir una reunión de dos horas tampoco. Ese contenido no sale del servidor y no se lo cobramos. El único momento en que su contenido viaja a un tercero es cuando un agente trabaja sobre él, o cuando usted pide generar una imagen o un video.
7. Aviso antes de sumar uno nuevo
Antes de incorporar o sustituir un subencargado avisamos con treinta días de anticipación, de dos formas a la vez:
- Por correo al contacto administrativo de cada empresa cliente.
- Publicando el cambio en esta página y moviendo la fecha del encabezado.
Si una urgencia de seguridad o de continuidad obliga a sustituir un proveedor sin esos treinta días, avisamos apenas podamos y explicamos por qué. El derecho a objetar de la sección siguiente se conserva igual.
8. Cómo objetar
Escriba a sales@vonzay.com dentro de los quince días siguientes al aviso, indicando el proveedor y el motivo. El motivo tiene que ser de protección de datos: el país, la finalidad, las garantías del proveedor, un conflicto con su propia política interna.
Qué pasa después:
- Buscamos una alternativa razonable o una medida que resuelva el motivo, y le contestamos.
- Si en treinta días no encontramos ninguna, usted puede terminar la parte del servicio afectada, o el contrato entero, sin penalidad, y le devolvemos su bóveda y su base de datos según la cláusula 9 del contrato de encargo.
Y lo que esto le quita, dicho aquí y no en letra pequeña: si no responde dentro de esos quince días, el cambio se entiende aceptado y el proveedor entra en operación.
9. Qué no está en esta lista
- Los proveedores que usted contrata. Si conecta su propia cuenta de un servicio y nos entrega una credencial, ese proveedor es suyo y trabaja para usted. Guardamos esa credencial cifrada y la usamos solo para lo que nos pida.
- Los sitios que el agente consulta. Cuando el agente abre una página web o descarga un video público, ese sitio recibe la petición, pero no recibe contenido suyo.
- Las autoridades. Entregamos información cuando una autoridad competente lo requiere por la vía legal. Eso no es un encargo de tratamiento y no se autoriza por contrato.
10. Si algo aquí no le cuadra
Escríbanos a sales@vonzay.com. Si su empresa necesita que ninguno de estos proveedores intervenga, la salida es el autoalojamiento: Vonzay instalado en el servidor y el país que usted elija, con los modelos que usted contrate.