Lista de subencargados del tratamiento

Servicio: GestoFlou by RS Agents (gestoflou.com · app.gestoflou.com) Encargado del tratamiento: RS Soluciones de Inteligencia Artificial, S.L. · NIF B26705749 Contacto: hola@gestoflou.com

Última actualización: 19 de octubre de 2026

*Versión publicada con antelación; en vigor desde el 19 de octubre de 2026.*

1. Objeto

RS Soluciones de Inteligencia Artificial, S.L. («RS Agents») trata los datos de los documentos por cuenta de las asesorías que usan GestoFlou y, en su caso, de sus clientes, como encargado del tratamiento (art. 28 RGPD). Esta es la relación de subencargados a los que recurre para prestar el Servicio. Se incorpora por remisión al Contrato de encargo del tratamiento, y el apartado 4 de esta lista forma parte de ese contrato.

RS Agents impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos pactadas con el responsable (art. 28.4 RGPD), formaliza ese contrato antes de que el subencargado empiece a tratar datos, conserva copia de él y responde plenamente ante el responsable de su cumplimiento.

2. Novedad de esta versión

Alta de Hetzner Online GmbH, con efecto el 19 de octubre de 2026 y sin tratar datos antes de esa fecha, para la custodia de las copias de seguridad cifradas del Servicio; Hostinger ejecutará además esa copia. El plazo de oposición del apartado 4 corre desde el envío del correo de aviso.

3. Subencargados autorizados

Copias de seguridad (desde el 19 de octubre de 2026). Se cifran en origen, antes de salir del servidor de la aplicación, con una clave que no se entrega a Hetzner. Ni la copia sin cifrar ni la cifrada se conservan en ese servidor, en ningún caso: solo Hetzner custodia la copia cifrada. Lo suprimido en el Servicio, por cualquier vía, desaparece de todas las copias como máximo 45 días después. Las copias solo se usan para recuperar el Servicio tras un incidente y para comprobar periódicamente que la restauración es posible, en un entorno aislado de la UE que se borra al terminar. Si hubiera que restaurar, antes de reabrir el Servicio se vuelven a aplicar las supresiones posteriores a la copia de las que quede constancia.

Cadena de subencargados. Amazon SES interviene como subencargado de Resend, que le impone obligaciones equivalentes; se enumera para que el responsable conozca la cadena completa. Si Hetzner incorpora a su vez subencargados, RS Agents lo comunicará conforme al apartado 4 en cuanto Hetzner se lo notifique y, si el plazo de oposición que Hetzner le concede es más corto que el de ese apartado, se opondrá ante Hetzner hasta que venza el del responsable.

Proveedores de inferencia. La fila 2 autoriza esa categoría con las garantías que en ella se indican; la relación de los proveedores a los que pueden dirigirse las solicitudes en cada momento se facilita a solicitud (apartado 6).

Datos de cuenta. A OpenAI y a Stripe no se les envían documentos ni datos extraídos de ellos: tratan datos de cuenta y de la relación comercial. Stripe actúa además como responsable independiente en lo que le imponen sus propias obligaciones legales (prevención del fraude y del blanqueo de capitales).

4. Altas y sustituciones de subencargados

Conforme a los arts. 28.2 y 28.3.d) RGPD y al Contrato de encargo:

• RS Agents puede incorporar o sustituir subencargados cuando sea necesario para prestar el Servicio y con las garantías que exige el RGPD.
• Avisa con antelación de cada alta o sustitución, con un plazo de preaviso de 15 días naturales antes de que el nuevo subencargado empiece a tratar datos.
• El aviso se envía por correo electrónico a la dirección de contacto designada por el responsable. Siempre existe una: por defecto, la del administrador de su cuenta en el Servicio; el responsable puede designar otra desde Ajustes, conforme a la cláusula 11 del Contrato de encargo. Además, se publica la versión actualizada de esta lista, con su fecha y el cambio introducido.
• El plazo corre desde el envío del correo, y la mera publicación de la lista no lo sustituye. RS Agents conserva registro de cada envío (dirección, aviso y fecha).
• El responsable puede oponerse, de forma motivada y por escrito, dentro de ese plazo. Si la oposición es fundada, las partes buscarán de buena fe una alternativa; si no la hay, el responsable podrá resolver el contrato respecto de los tratamientos afectados, en los términos del Contrato de encargo. Aceptar durante el plazo una versión actualizada de los textos del Servicio no supone renunciar a este derecho.

5. Compromisos comunes

• Sin entrenamiento. Los proveedores de IA no usan los datos del Servicio para entrenar modelos; en la extracción solo se usan modalidades de pago de los proveedores.
• Retención cero en la extracción. Las solicitudes de extracción solo se dirigen a proveedores de inferencia que no conservan el contenido tras procesarlo. Estas garantías rigen el procesamiento por IA del contenido de los documentos.
• Nunca China. Para procesar documentos solo se usan proveedores de la UE o de EE. UU., nunca proveedores establecidos en China.
• Transferencias con garantías. Toda transferencia fuera del EEE se ampara en el capítulo V del RGPD: el Marco de Privacidad de Datos UE-EE. UU., solo para entidades cuya certificación vigente se ha comprobado, o cláusulas contractuales tipo con medidas complementarias (cifrado en tránsito, retención cero, no entrenamiento y minimización), previa evaluación de la transferencia.
• Datos alojados en la UE. La base de datos, los ficheros, el servidor de la aplicación, el envío de correo y las copias de seguridad del Servicio se ubican en la Unión Europea, y RS Agents conserva evidencia de su ubicación.
• Categorías especiales. Los documentos pueden contener de forma incidental datos del art. 9 RGPD; la base que legitima su tratamiento la aporta el responsable.

6. Información, auditoría y vigencia

A solicitud del responsable, y con la confidencialidad debida, RS Agents pone a su disposición la información necesaria para demostrar el cumplimiento respecto de los subencargados (art. 28.3.h RGPD): la garantía de transferencia de cada uno (certificación vigente o cláusulas contractuales tipo firmadas), la evaluación de las transferencias, la evidencia de las garantías técnicas descritas y la relación de proveedores de inferencia a los que pueden dirigirse las solicitudes. Permite y contribuye a las auditorías en los términos del Contrato de encargo, que pueden atenderse con certificaciones o informes de terceros independientes cuando basten, y traslada a sus subencargados las obligaciones necesarias para ello.

RS Agents revisa periódicamente esta lista y las garantías de cada subencargado. Cualquier modificación sustancial de esta lista se comunica conforme al apartado 4. La versión vigente es la publicada en gestoflou.com/legal/subencargados. Su fecha permite comprobar la vigencia de la lista; el plazo de preaviso, en cambio, se computa desde el envío del correo (apartado 4).

Consultas y oposiciones: hola@gestoflou.com.