Subencargados actuales
Esta lista refleja los subencargados en uso a fecha de la actualización indicada arriba. Es la lista de referencia a la que remiten nuestro DPA y nuestra Política de privacidad.
| Subencargado | Finalidad | Datos personales compartidos |
|---|---|---|
| Clerk | Autenticación y gestión de sesiones | Identidad de la cuenta (correo electrónico, nombre), foto de perfil, metadatos de la cuenta, metadatos de autenticación |
| Stripe (incl. Stripe Connect, Express y Global Payouts) | Facturación de suscripciones, webhooks de conversiones y reembolsos, y pagos a afiliados (cuentas Stripe Express y depósitos bancarios de Global Payouts) | Datos de facturación, identidad de pago y datos bancarios, formularios fiscales de los afiliados (custodiados por Stripe en la vía Express), datos de clientes y conversiones |
| Paddle | Seguimiento de conversiones y reembolsos para las marcas que conectan su propia cuenta de Paddle Billing | Identificadores de cliente y de pedido e importes de ventas y reembolsos recibidos de la cuenta de Paddle de la marca; las credenciales de Paddle de la marca se guardan cifradas en reposo |
| Braintree (una empresa de PayPal) | Seguimiento de conversiones de suscripción y de contracargos para las marcas que conectan su propia cuenta de Braintree | Identificadores de cliente y de transacción e importes de ventas recurrentes y disputas recibidos de la cuenta de Braintree de la marca; las credenciales de la API de Braintree de la marca se guardan cifradas en reposo |
| Shopify Inc. (Canadá) | Para los comerciantes que instalan la app de Rekomi para Shopify: seguimiento de conversiones de pedidos y reembolsos, gestión de los códigos de descuento de afiliados y facturación de la suscripción a Rekomi y de la comisión del comerciante a través de Shopify (Shopify es a la vez subencargado y quien factura a esos comerciantes) | Dominio de la tienda, identificadores de pedido y de cliente e importes de ventas y reembolsos recibidos de la tienda Shopify del comerciante; el token de acceso offline de la Admin API de la tienda se guarda cifrado en reposo. Los datos protegidos de clientes se tratan conforme a los requisitos de Protected Customer Data de Shopify. |
| Wix.com Ltd (Israel / EE. UU.) | Para las marcas que instalan la app de Rekomi desde el Wix App Market: alojamiento de la app dentro del panel de Wix, seguimiento de conversiones de pedidos y reembolsos, gestión de los códigos de cupón de afiliados y facturación de la suscripción a Rekomi de la marca a través de Wix (Wix es a la vez subencargado y quien factura a esas marcas) | Identificadores del sitio y de la instancia de la app, identificadores de pedido y de cliente e importes de ventas y reembolsos recibidos de la tienda Wix de la marca; las credenciales de la app de Wix del sitio se guardan cifradas en reposo |
| BigCommerce, Inc. (EE. UU.) | Para las marcas que instalan la app de Rekomi desde el BigCommerce App Marketplace: alojamiento de la app dentro del panel de control de BigCommerce, seguimiento de conversiones de pedidos y reembolsos, gestión de los códigos de cupón de afiliados como promociones de la tienda y facturación de la suscripción a Rekomi de la marca a través de BigCommerce | Identificadores de la tienda y de la app, identificadores de pedido y de cliente e importes de ventas y reembolsos recibidos de la tienda BigCommerce de la marca; las credenciales de la app de BigCommerce de la tienda se guardan cifradas en reposo |
| Xe Corporation (Xe Currency Data API) | Tipos de cambio de referencia diarios de mercado medio para las monedas que el Banco Central Europeo no publica (informes, impuestos y valoración de la conversión de pagos; solo tipos de cambio, ningún dato personal sale de Rekomi) | Ninguno (Rekomi envía solo códigos de moneda y fechas) |
| Frankfurter (API de tipos de cambio de código abierto, instancia pública en api.frankfurter.app) | Tipos de cambio de referencia diarios de mercado medio del Banco Central Europeo para el conjunto de monedas que publica el BCE, republicados por Frankfurter (informes, impuestos y valoración de la conversión de pagos; solo tipos de cambio, ningún dato personal sale de Rekomi) | Ninguno (Rekomi envía solo códigos de moneda y fechas) |
| Lemon Squeezy (una empresa de Stripe) | Datos de facturación como merchant of record para las marcas que conectan su propia tienda de Lemon Squeezy: seguimiento de conversiones de pedidos, renovaciones de suscripción y reembolsos | Identificadores de cliente y de pedido e importes de ventas, renovaciones y reembolsos recibidos de la tienda Lemon Squeezy de la marca; la clave de API y el secreto de firma de webhooks de Lemon Squeezy de la marca se guardan cifrados en reposo |
| Chargebee | Datos de facturación de suscripciones para las marcas que conectan su propio sitio de Chargebee: seguimiento de conversiones de pagos, renovaciones y reembolsos | Identificadores de cliente, suscripción y factura e importes de pagos, renovaciones y reembolsos recibidos del sitio de Chargebee de la marca; la clave de API de solo lectura de Chargebee de la marca y la credencial del webhook se guardan cifradas en reposo |
| Polar | Datos de facturación como merchant of record para las marcas que conectan su propia organización de Polar: seguimiento de conversiones de pedidos, renovaciones de suscripción y reembolsos | Identificadores de cliente y de pedido e importes de ventas, renovaciones y reembolsos recibidos de la organización de Polar de la marca; el token de acceso y el secreto de firma de webhooks de Polar de la marca se guardan cifrados en reposo |
| Recurly, Inc. | Datos de facturación de suscripciones para las marcas que conectan su propio sitio de Recurly: seguimiento de conversiones de facturas pagadas, renovaciones y reembolsos | Identificadores de cliente, suscripción, factura y transacción e importes de pagos, renovaciones y reembolsos recibidos del sitio de Recurly de la marca, más los valores de referido de los campos personalizados de suscripción y de cuenta leídos con la clave de API de la marca; la clave de API de solo lectura de Recurly de la marca y la credencial del webhook se guardan cifradas en reposo |
| Gumroad, Inc. | Datos de comercio como merchant of record para las marcas que conectan su propia cuenta de vendedor de Gumroad: seguimiento de conversiones de ventas, renovaciones de membresía, reembolsos, disputas y ciclo de vida de las membresías | Correo electrónico y nombre del comprador, identificadores de venta, producto y suscripción, e importes de ventas, reembolsos y disputas recibidos de la cuenta de Gumroad de la marca (y contrastados con ella); el token de acceso de Gumroad de la marca se guarda cifrado en reposo |
| Armitage Labs OU (Creem) | Datos de comercio como merchant of record para las marcas que conectan su propia tienda de Creem: seguimiento de conversiones de ventas, renovaciones de suscripción, reembolsos, disputas y ciclo de vida de las suscripciones | Correo electrónico y nombre del cliente, identificadores e importes de producto, pedido, suscripción y transacción recibidos de la tienda Creem de la marca; la clave de API y el secreto de firma de webhooks de Creem de la marca se guardan cifrados en reposo |
| Dodo Payments Inc | Datos de comercio como merchant of record para las marcas que conectan su propia cuenta de Dodo Payments: seguimiento de conversiones de pagos, renovaciones de suscripción, reembolsos, disputas y ciclo de vida de las suscripciones | Correo electrónico y nombre del cliente, identificadores e importes de negocio, producto, pago, suscripción, reembolso y disputa recibidos de la cuenta de Dodo Payments de la marca; la clave de API y el secreto de firma de webhooks de Dodo Payments de la marca se guardan cifrados en reposo |
| Mollie B.V. (Ámsterdam) | Datos de pago para las marcas que conectan su propia cuenta de Mollie: seguimiento de conversiones de pagos, renovaciones de suscripción, reembolsos y contracargos | Correo electrónico y nombre del cliente, perfil del sitio web, identificadores e importes de pago, suscripción, reembolso y contracargo leídos de la organización de Mollie de la marca a través de un token de acceso con permisos acotados; el token de acceso y el secreto de firma de webhooks de Mollie de la marca se guardan cifrados en reposo |
| PayPal | Vía de pago a afiliados para los países que no cubren ni Stripe Express ni Stripe Global Payouts | Correo electrónico de PayPal del afiliado e importes de los pagos |
| Resend | Envío de correos electrónicos transaccionales y de ciclo de vida | Dirección de correo electrónico del destinatario y contenido del mensaje |
| Cloudflare | DNS, CDN, seguimiento en el edge, detección de bots, verificación humana Turnstile en los formularios de leads y en el inicio de sesión del portal, y nombres de host personalizados de seguimiento y de portal | Metadatos de la solicitud, dirección IP, agente de usuario, puntuación de bot, resultado del desafío Turnstile |
| Vercel | Alojamiento del sitio rekomi.com y del front end de la aplicación web, y registro de los nombres de host personalizados que las marcas apuntan a sus portales | Metadatos de la solicitud, dirección IP, agente de usuario, nombres de host personalizados que registra una marca |
| IPQualityScore (IPQS) | Detección de fraude y de tráfico inválido: reputación de IP, detección de proxies, VPN, centros de datos y bots, y huella de dispositivo en los clics de seguimiento y en los formularios de registro, de leads y de propuestas; análisis de URL maliciosas en los enlaces de páginas de destino y de propuestas; reputación de direcciones de correo electrónico de las cuentas de marca, de los afiliados y de los buzones de pago; puntuación de riesgo de los datos de facturación de la suscripción de una marca durante la revisión de confianza; y notificación de identificadores vinculados a fraude confirmado. Se usa únicamente para puntuar el riesgo de fraude, nunca para publicidad | Dirección IP, agente de usuario, características del dispositivo, direcciones de correo electrónico, las URL de páginas de destino y de propuestas enviadas para su análisis y, para la revisión de confianza de una marca, el nombre y el correo electrónico de facturación, el país y el código postal, los cuatro últimos dígitos y la caducidad de la tarjeta de la suscripción y el resultado de las comprobaciones de la tarjeta (nunca un número de tarjeta completo, un BIN ni un número de cuenta bancaria) |
| DigitalOcean | Alojamiento de la aplicación y almacenamiento privado de objetos (Spaces) para los archivos subidos, como los formularios fiscales de los afiliados | Documentos subidos (por ejemplo, formularios fiscales W-8) y datos de la aplicación en tránsito a través del alojamiento |
| Anthropic | API de modelo de lenguaje detrás de dos funciones: clasificar a los clientes existentes de una marca como candidatos a afiliados (Invitar afiliados, Desde clientes) y redactar el resumen en lenguaje claro que ve el personal de Rekomi durante la revisión de verificación de una marca | Para la clasificación de candidatos, identificadores seudónimos de clientes (un hash, nunca el correo electrónico) con totales y fechas de compra; para la revisión de verificación, el nombre comercial de la marca, el dominio de su sitio web, un breve extracto del texto público de su sitio y las señales de riesgo que se activaron. No se envían nombres, correos electrónicos ni datos de tarjeta o bancarios de afiliados o clientes, y el proveedor no usa las entradas de la API para entrenar sus modelos |
| DigitalOcean (PostgreSQL y Redis gestionados, Nueva York) | Base de datos principal de la aplicación y caché, con copias de seguridad diarias y recuperación a un punto en el tiempo de 7 días | Todos los datos de la aplicación, incluidos los registros de cuentas, afiliados, conversiones y pagos |
| Sentry | Monitorización de errores y rendimiento, incluida una grabación de sesión enmascarada que se captura cuando se produce un error | Datos de diagnóstico depurados de datos personales antes de enviarse cuando es posible; agente de usuario; las direcciones IP se eliminan; las grabaciones de sesión tienen el texto y los campos enmascarados |
| PostHog (opcional) | Analítica de producto, activada solo con el consentimiento de cookies de analítica | Eventos de uso e identificadores de dispositivo o de sesión |
| Google Analytics 4 | Tráfico agregado y atribución de marketing. La etiqueta se carga en cada visita con el almacenamiento denegado (Consent Mode) y solo envía pings sin cookies hasta que usted acepta las cookies de analítica; la medición completa se activa después de aceptar | Pings de páginas vistas sin cookies antes del consentimiento; datos agregados de uso y tráfico después del consentimiento; Google anonimiza las direcciones IP antes de guardarlas |
| Intercom (opcional) | Chat de soporte, cargado solo con el consentimiento de cookies de marketing | Contenido de las conversaciones de soporte; los usuarios con sesión iniciada se identifican ante Intercom por identificador de usuario, nombre, correo electrónico y fecha de registro |
| Anthropic | Funciones de IA (Claude) que un usuario invoca, y la revisión automatizada de las nuevas cuentas de marca para detectar fraude | Para las funciones de IA, el contenido que usted envía: los prompts pueden incluir los nombres y correos electrónicos de los destinatarios que introduce en los mensajes de contacto y el texto del perfil de creador, y las estadísticas de rendimiento se envían de forma agregada. Para la revisión automatizada de marcas, el expediente de la marca que ven nuestros revisores: nombre comercial, sitio web y texto del sitio, los nombres del propietario y del titular de la tarjeta, los correos electrónicos del propietario y de facturación, la dirección IP y el identificador de dispositivo del registro, los cuatro últimos dígitos, la caducidad, el código postal y el país de facturación y los resultados de las comprobaciones de la tarjeta de la suscripción, la configuración de las campañas, los nombres, correos electrónicos y direcciones IP de registro de los afiliados de la marca, los nombres de los titulares de las cuentas de financiación y el texto que la marca escribió en su descripción y en sus respuestas de verificación, para que el modelo pueda redactar un resumen de riesgo en lenguaje claro. No se usa para entrenar modelos |
| Zapier | Página de Zapier integrada en el panel de marca para crear automatizaciones | El nombre y el correo electrónico del usuario de marca con sesión iniciada, que se pasan a la integración para que Zapier pueda identificar la cuenta. Los datos que se envían a los Zaps propios de una marca se tratan más abajo, en Servicios que usted conecta |
| Gravatar (Automattic) | Imágenes de avatar de los clientes referidos que se muestran en el panel de marca | Un hash MD5 del correo electrónico de cada cliente referido, solicitado desde el navegador de quien lo ve, por lo que Gravatar también ve la dirección IP y el agente de usuario de esa persona |
| Google Fonts (Google) | Fuentes servidas al cargar la página en las páginas de inscripción de los portales de marca y en la sección “Acerca de” de las páginas de creadores | Dirección IP y agente de usuario del visitante, como en cualquier solicitud de fuentes servida por Google |
| Calendly | Widget de reserva de demos integrado en rekomi.com/demo | Lo que usted introduce en el formulario de reserva (nombre, correo electrónico y cualquier nota), más la dirección IP y el agente de usuario del visitante |
Servicios que usted conecta
Algunos servicios reciben datos personales porque una Marca los conecta, no porque Rekomi los haya elegido: los CRM y las plataformas de email a los que una Marca sincroniza afiliados y clientes, los endpoints de webhooks y los Zaps de Zapier que una Marca suscribe a eventos (que reciben los nombres y correos electrónicos de los afiliados de esos eventos), los píxeles de seguimiento que una Marca coloca en sus páginas de inscripción y las plataformas sociales que un creador o una Marca conectan a su perfil. Son encargados propios de la Marca (o del creador), elegidos y controlados por ellos, no subencargados de Rekomi, y el tratamiento que hacen de los datos se rige por el acuerdo de esa parte con el servicio.
Residencia de los datos
Nuestra región de tratamiento por defecto es Estados Unidos. Los subencargados pueden operar en todo el mundo; cuando se transfieren datos personales fuera del EEE, del Reino Unido o de Suiza, nuestro DPA se apoya en las Cláusulas Contractuales Tipo, en la Adenda internacional de transferencia de datos del Reino Unido y en las adaptaciones suizas a las Cláusulas Contractuales Tipo.
Cambios
Publicamos las incorporaciones en esta página con la fecha de actualización y avisamos por correo electrónico a los propietarios de la organización al menos 30 días antes de que un nuevo subencargado trate datos personales de Clientes, salvo cuando un cambio sea urgente por motivos de seguridad o continuidad, en cuyo caso avisamos tan pronto como sea razonablemente posible. La fecha de “Actualizado” que aparece arriba refleja la lista vigente. Para plantear una inquietud sobre un subencargado, escriba a support@rekomi.com.