Conforme al art. 28.4 del RGPD, el Responsable del Tratamiento autoriza al Encargado (Academia Hoilab) a contar con los siguientes subprocesadores. Cualquier alta o baja se comunica con 30 días de antelación mediante actualización de esta página y notificación por correo a las cuentas administrativas de cada empresa cliente.
1. Listado de subprocesadores activos
| # | Servicio | Propósito | Datos transferidos | País / Región | Base legal de transferencia |
|---|---|---|---|---|---|
| 1 | Stripe Payments Europe Ltd. | Procesamiento de pagos con tarjeta y SEPA | Razón social, CIF, importe, IBAN, identificadores de transacción | Irlanda (EEE) + EE.UU. (procesamiento secundario) | Decisión de adecuación EU-US DPF + SCC 2021/914/UE |
| 2 | DocuSeal (self-hosted) | Firma electrónica avanzada eIDAS | Nombre, NIF, correo, hash del documento firmado, IP, geolocalización aproximada | España (servidor hoilab-prod UE) | No hay transferencia internacional |
| 3 | Resend Inc. | Envío de correos transaccionales (alta, recordatorios, diplomas) | Correo, nombre, contenido del mensaje | EE.UU. | SCC 2021/914/UE + cifrado en tránsito TLS 1.3 |
| 4 | Backblaze Inc. (B2 Cloud Storage) | Almacenamiento de evidencias FUNDAE Object Lock COMPLIANCE | Documentos formativos cifrados AES-256, metadatos del grupo (sin PII identificativa) | EE.UU. (región eu-central-003 cuando esté disponible) | SCC 2021/914/UE + cifrado en reposo cliente-side |
| 5 | OpenRouter Inc. | Pasarela LLM para tareas no críticas (clasificación, resumen) | Prompts sanitizados sin PII | EE.UU. | SCC 2021/914/UE + sanitización PII previa (ADR-0013) |
| 6 | Anthropic PBC | Modelos Claude (Sonnet, Opus, Haiku) para asistencia pedagógica y validación | Prompts sanitizados sin PII | EE.UU. | SCC 2021/914/UE + sanitización PII previa + cláusula no-training |
| 7 | Infomaniak Network SA (SMTP/Calendar) | Buzones operativos y calendario | Correos del personal, agenda | Suiza | Decisión de adecuación (Decisión 2000/518/CE) |
| 8 | iLabora Formación, S.L. | Partner FUNDAE — comunicación con aplicativo FUNDAE/SEPE | Datos del grupo formativo (código, fechas, participantes), XML INICIO/FINALIZACION | España (UE) | Sin transferencia internacional. Contrato Art. 28.4 RGPD vigente |
2. Garantías técnicas y organizativas comunes
Todos los subprocesadores listados cumplen, a fecha de la presente versión:
- DPA Art. 28 RGPD firmado disponible bajo solicitud al DPO.
- Certificaciones de seguridad vigentes: ISO 27001 (todos), SOC 2 Type II (Stripe, Resend, Anthropic, Backblaze, OpenRouter), PCI-DSS Nivel 1 (Stripe).
- Notificación de brechas al Encargado (Hoilab) en menos de 72 horas.
- Cifrado en tránsito TLS 1.3 mínimo.
- Cifrado en reposo AES-256 cuando aplica almacenamiento persistente.
3. Datos enviados a IA — Detalle de sanitización
Para los subprocesadores 5 (OpenRouter) y 6 (Anthropic), antes de cualquier transmisión:
- El módulo
lib/ai/sanitizer.tselimina identificadores directos (nombres, NIF, correos, teléfonos, direcciones). - Los datos de categorías especiales del art. 9 RGPD se bloquean automáticamente y se registran como incidente.
- Cada invocación se firma en el AccessLog hash-chain inmutable.
- Los proveedores se han comprometido contractualmente a NO utilizar estos datos para entrenamiento de modelos.
Detalle completo en /legal/politica-ia.
4. Histórico de cambios
| Fecha | Cambio | Versión política |
|---|---|---|
| 2026-05-19 | Versión inicial de la página de subprocesadores | v2026.05.1 |
5. Cómo objetar a un subprocesador
Conforme al art. 28.2 RGPD, el Responsable del Tratamiento (empresa cliente) puede oponerse motivadamente a la incorporación de un nuevo subprocesador. La oposición debe formularse en los 30 días posteriores a la notificación, dirigiéndose por escrito a rgpd@hoilab.com.
En caso de objeción fundada que no pueda ser razonablemente atendida, ambas partes podrán resolver el Contrato de Encomienda sin penalización, manteniendo siempre la obligación de custodia de 4 años conforme al RD 694/2017.
6. Notificación de altas / bajas
- Cómo te avisamos: correo a la cuenta administrativa de empresa + actualización de esta página.
- Antelación: 30 días desde la notificación hasta la entrada en vigor del nuevo subprocesador.
- Suscripción al feed RSS: disponible en
/legal/subprocesadores.rss(próximamente).
Última actualización: 19/05/2026 · Versión: v2026.05.1 Contacto: rgpd@hoilab.com