Subencargados de tratamiento
Esta página individualiza a los terceros que reciben datos personales en la prestación
de la plataforma de Flopty SpA, RUT 78.465.414-1, con domicilio en Augusto Leguía Norte
65, Oficina 4, Las Condes, Santiago, Chile (en adelante, «Flopty») —aplicación web y
aplicaciones móviles— y en la operación de su sitio público flopty.com. Las dos
superficies se cubren aquí, y cada fila indica a cuál alcanza. La mayoría trata datos
por cuenta de Flopty; los proveedores de modelos de lenguaje de las etapas de tipo
«IA» los elige y los contrata el propio Cliente, y figuran aquí porque pueden recibir
datos, según se precisa en la sección 2.
Es el listado al que remiten la sección 5 de la Política de Privacidad, las secciones 1 y 8 de los Términos y Condiciones y las secciones 8 y 13 del Anexo de Tratamiento de Datos Personales, y es la fuente única: los demás documentos remiten aquí en vez de duplicar esta lista, para que no puedan divergir. Describe qué proveedor interviene, para qué y dónde se realiza el tratamiento; la sección 2 precisa el alcance de las filas que lo requieren.
La lista se mantiene actualizada y sus cambios se avisan. La incorporación de un nuevo subencargado o la sustitución de uno existente se comunica a las empresas clientes por correo electrónico con antelación razonable a su entrada en vigencia, además de reflejarse en esta página. Las modificaciones que no alteren el destinatario del tratamiento —precisiones de redacción o de la función descrita— se publican directamente aquí, en los términos de la sección 8 del Anexo de Tratamiento de Datos Personales y de la sección 12 de la Política de Privacidad.
1. Listado vigente
| Subencargado | Para qué | Dónde |
|---|---|---|
| Amazon Web Services | Alojamiento de la interfaz de programación del servicio, de la base de datos y del almacenamiento de archivos. | Estados Unidos de América, región us-east-1, donde los datos se almacenan. |
| Cloudflare | Red global de distribución y seguridad por la que se sirven la aplicación web, el sitio público flopty.com y la interfaz de programación del servicio. Provee además la medición de audiencia del sitio público (Cloudflare Web Analytics), sin cookies ni identificadores entre sitios. | Red global de bordes; sociedad proveedora domiciliada en Estados Unidos de América. |
| Resend | Envío del correo transaccional de la plataforma. | Estados Unidos de América. |
| Google (Firebase Cloud Messaging) | Entrega de las notificaciones push, tanto a la aplicación móvil como a la aplicación web. | Estados Unidos de América. |
| Google (componentes de notificaciones web) | Entrega al navegador, desde www.gstatic.com, de los componentes que hacen funcionar las notificaciones en la aplicación web. Solo interviene si el usuario autoriza las notificaciones. | Red global de bordes; sociedad proveedora domiciliada en Estados Unidos de América. |
| Anthropic | Asistente de inteligencia artificial de la plataforma. Viene desactivado y se habilita por empresa, a solicitud de ésta. | Estados Unidos de América. |
| Anthropic, OpenAI o Google, según lo que el Cliente configure | Etapas de tipo «IA» dentro de los flujos del Cliente. Operan con la credencial que el propio Cliente registra en la plataforma. | Estados Unidos de América. |
ipwhois.io (servicio ipwho.is) | Derivar la ciudad, la región y el país desde la dirección IP con que se accede, para los avisos de seguridad y el registro de accesos. | Servicio global; el proveedor no publica una ubicación de tratamiento determinada. |
| OpenFreeMap (Hyperknot Software Kft.) | Mapa base de la vista «Mapa» de las colecciones y del campo de ubicación dentro de las etapas de los flujos. | Unión Europea; sociedad proveedora domiciliada en Hungría. |
| Google (Google Fonts) | Tipografías de la aplicación web y de la aplicación móvil. | Red global de bordes; sociedad proveedora domiciliada en Estados Unidos de América. |
| Unsplash (Unsplash Inc.) | Fotografías del sitio público flopty.com. No interviene en la plataforma. | Sociedad proveedora domiciliada en Canadá. |
Sobre la columna «Dónde». Indica la región en que el proveedor almacena los datos cuando ésta consta. Tratándose de redes globales de distribución —en las que el punto que atiende cada solicitud es el más cercano al usuario y no una ubicación fija—, se indica la red y el domicilio de la sociedad proveedora.
2. Precisiones sobre determinadas filas
Resend. Por el correo transaccional viajan las invitaciones y los enlaces de restablecimiento de clave, los avisos de seguridad, la clave de un solo uso que se envía para firmar, la copia del documento firmado cuando la firma es de alcance laboral, y los correos que las propias etapas del Cliente emiten, con los adjuntos que éstas lleven. El proveedor de correo recibe ese contenido por ser el medio de envío.
Notificaciones. El título y el cuerpo de una notificación pueden contener el nombre de la etapa, del proceso o del documento que la origina, de modo que el proveedor de entrega recibe ese texto además del token del dispositivo y de los datos que acompañan al aviso. La aplicación web usa el mismo servicio de notificaciones que la móvil: al abrirla, solicita al usuario la autorización del navegador para recibir avisos y, solo si el usuario la concede, registra ante el proveedor un identificador del navegador —equivalente al token de un teléfono— y descarga desde la red del mismo proveedor los componentes que hacen funcionar los avisos en segundo plano. Si el usuario rechaza la autorización, esta vía no contacta a proveedor alguno.
Las dos vías por las que interviene un proveedor de modelos de lenguaje. No son la misma y conviene no confundirlas.
- El asistente de la plataforma se ejecuta contra Anthropic y solo contra Anthropic, con una credencial propia de Flopty. Viene desactivado y se habilita por empresa, a solicitud de ésta; la habilitación la ejecuta Flopty y no es una opción que el Cliente active por sí mismo. Mientras no se habilite, ningún contenido sale hacia ese proveedor. En esta vía, Anthropic trata datos por cuenta de Flopty.
- Las etapas de tipo «IA» las configura el Cliente dentro de sus propios flujos, y es el Cliente quien elige el proveedor entre Anthropic, OpenAI y Google, y quien registra en la plataforma la credencial de su propia cuenta con ese proveedor. La plataforma transmite el contenido, pero la relación con el proveedor es del Cliente: se individualiza aquí a los tres porque los tres pueden recibir datos, no porque Flopty declare haber contratado a los tres. Sin credencial registrada y sin una etapa así configurada, ninguna de estas tres empresas recibe dato alguno.
El uso que estos proveedores hacen del contenido recibido se rige por las condiciones de tratamiento de datos de cada uno. Flopty, por su parte, no utiliza el Contenido del Cliente para entrenar modelos de inteligencia artificial, propios ni de terceros.
Resolución de direcciones IP. La ciudad, la región y el país que se muestran junto a
un evento de acceso no se calculan dentro de la plataforma: se consultan al servicio
externo ipwho.is, operado por ipwhois.io, al que se le envía la dirección IP y nada
más. Los datos resueltos se eliminan a los 90 días junto con el resto de la telemetría
de seguridad, conforme a la sección 7 de la Política de Privacidad.
Mapas. La plataforma dibuja mapas en dos lugares —la vista «Mapa» de una colección y el campo de ubicación dentro de una etapa—, y ambos comparten el mismo fondo cartográfico, que el navegador del usuario descarga desde OpenFreeMap, servicio operado por Hyperknot Software Kft. (Hungría), que declara no conservar direcciones IP en condiciones normales de operación. Los datos propios no se le envían: los puntos se dibujan en el navegador con información obtenida de la infraestructura de Flopty.
Tipografías. La aplicación web y la aplicación móvil cargan sus tipografías desde la red de distribución de Google Fonts, lo que entrega a ese proveedor la dirección IP del usuario al abrirse la aplicación. No se le envía ningún otro dato.
Fotografías del sitio público. Las imágenes de las páginas de flopty.com se cargan
desde Unsplash. Al mostrarlas, el navegador del visitante revela a ese proveedor su
dirección IP y los datos técnicos del navegador; el sitio está configurado para no
revelar a los terceros que le sirven contenido la página concreta que el visitante está
mirando. Unsplash no interviene en la aplicación ni recibe dato alguno de las empresas
clientes.
Medición de audiencia del sitio público. El sitio flopty.com mide sus visitas con
Cloudflare Web Analytics, un servicio del mismo proveedor que ya distribuye su tráfico.
Registra la página visitada, el origen de la visita y los datos técnicos del navegador,
sin cookies, sin identificadores persistentes y sin seguimiento entre sitios. No
interviene en la plataforma.
3. Qué no comprende este listado
Se deja constancia expresa de lo que no está aquí, para que su ausencia sea una constatación y no un olvido.
- No hay proveedores de publicidad ni de elaboración de perfiles. Ni la plataforma ni el sitio público incorporan etiquetas publicitarias ni códigos de seguimiento entre sitios. La única medición de audiencia es la del sitio público descrita en la sección 2, que no usa cookies ni identifica al visitante.
- No hay proveedores de monitoreo de errores ni de sesiones de usuario. No se transmite a terceros el detalle de las fallas ni la grabación de la actividad de los usuarios.
- Los enlaces a servicios de mapas que la plataforma imprime junto a un dato de ubicación son eso, enlaces: no envían dato alguno mientras el usuario no los abra por su propia decisión, y al abrirlos abandona la plataforma.
- Los destinos de las etapas de tipo «API HTTP» los define el Cliente al configurar sus flujos. La plataforma ejecuta la llamada que el Cliente instruye, hacia el sistema que el Cliente indica; esos destinos no son subencargados de Flopty ni pueden enumerarse aquí, porque dependen de la configuración de cada Cliente. Corresponde al Cliente evaluarlos y documentarlos en su calidad de responsable.
- Los proveedores de servicios internos de Flopty que no acceden a datos de la plataforma —herramientas de gestión propias, servicios contables o similares— no figuran en este listado, por no tratar datos personales por cuenta de las empresas clientes.
4. Versión de este listado
Este listado se versiona. Cada versión indica su número y su fecha de entrada en
vigencia bajo el título del documento, y la fecha que allí consta es la de su última
modificación. La versión vigente está siempre publicada en
flopty.com/legal/subencargados.
Las consultas sobre este listado, y la solicitud de información adicional sobre cualquiera de los proveedores individualizados, se dirigen a [email protected].