Subencargados
Última actualización: 3 de noviembre de 2026
Proveedores que pueden tratar datos personales por cuenta de CeroPixels para prestar el servicio. Avisamos a los clientes con 15 días de antelación antes de añadir o sustituir uno.
| Proveedor | Para qué | Datos | Dónde | Garantía para transferencias | DPA aceptado |
|---|---|---|---|---|---|
| Cloudflare, Inc. | Alojamiento web, servidores, almacenamiento de archivos (R2), transformación de imágenes, entrega | Todo el contenido y los datos de la plataforma | Red global; empresa de EE. UU. | Marco de Privacidad UE-EE. UU. y cláusulas contractuales tipo | En trámite |
| Supabase, Inc. | Base de datos y autenticación | Cuentas, emails, actividad, registro de auditoría | UE (Irlanda, eu-west-1); empresa de EE. UU. | Cláusulas contractuales tipo | En trámite |
| OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.) | Generación y edición de imágenes con IA | Imágenes de producto, que pueden incluir modelos | EE. UU. | Marco de Privacidad UE-EE. UU. o cláusulas contractuales tipo, según su DPA | En trámite |
| Google Cloud (Google Ireland Ltd. / Google LLC), Vertex AI | Generación y edición de imágenes con IA (Gemini) | Imágenes de producto, que pueden incluir modelos | Procesamiento global (endpoint global, sin residencia garantizada) | Marco de Privacidad UE-EE. UU. y cláusulas contractuales tipo | En trámite |
| Photoroom SAS | Recorte de fondos (solo en algunos encargos) | Imágenes de producto | Francia (UE) | No hay transferencia si procesa en la UE | En trámite |
| Resend (Plus Five Five, Inc.) | Envío de emails del servicio | Email, nombre y contenido de los avisos | EE. UU. | Cláusulas contractuales tipo | En trámite |
| Retocadores y revisores independientes | Retoque y control de calidad | Imágenes de los paquetes que tienen asignados | España o UE | Contrato de subencargo; si alguno está fuera del EEE, cláusulas contractuales tipo | Contrato firmado por cada uno |
CeroPixels también usa Google BigQuery para medir el coste de los servicios de IA y Cloudflare Analytics Engine para medir la velocidad, sin datos personales de los clientes ni de las personas de las imágenes.
Dónde están los datos y quién puede pedirlos
La columna «Dónde» indica en qué país o región trata los datos cada proveedor (artículo 28 del Reglamento (UE) 2023/2854 de datos). La base de datos está en la UE (Irlanda). Los archivos y la web pasan por la red global de Cloudflare, y la generación con IA se hace en Estados Unidos o en centros de datos de Google en todo el mundo.
Para evitar que una autoridad de un país de fuera de la UE acceda a los datos sin respetar el Derecho de la Unión:
- Los datos viajan cifrados (HTTPS/TLS), y la base de datos y el almacenamiento de archivos los guardan cifrados.
- Los archivos están en almacenamiento privado. Solo se abren con enlaces firmados de corta duración, que la plataforma emite después de comprobar de quién es cada archivo.
- A cada proveedor de IA se le envían solo las imágenes que necesita para el encargo, no las cuentas ni los comentarios.
- Cada proveedor está obligado por contrato (el DPA y sus cláusulas contractuales tipo o el Marco de Privacidad UE-EE. UU.) a no entregar datos salvo por una orden legalmente vinculante, a impugnar las que no lo sean y a avisarnos cuando la ley se lo permita.
- Si una autoridad pide datos a CeroPixels, solo los entregaremos con una orden conforme al Derecho de la Unión o de España, entregaremos lo mínimo que exija y avisaremos al cliente afectado, salvo que la ley lo prohíba.