Subencargados del tratamiento

Requesty

Requesty — razón social y jurisdicción PENDIENTES de confirmar en su DPA (ver nota).

• Para qué: Toda la inteligencia artificial del servicio: generación de textos (situaciones de aprendizaje, rúbricas, informes, fichas) y cálculo de embeddings para la búsqueda documental. Es un enrutador: no ejecuta el modelo, lo reenvía al operador de inferencia que nombra la petición.
• Qué datos ve: El texto de la petición del docente y los fragmentos de los documentos que se indexan. El alumnado viaja pseudonimizado: identificadores tipo A1, A2, nunca nombres reales.
• Dónde los trata: Las peticiones se envían al router europeo (router.eu.requesty.ai), que Requesty declara alojado en Frankfurt, Alemania (eu-central-1). El operador de inferencia va nombrado EN CADA PETICIÓN: hoy son Google, Nebius, Novita, Groq y DeepInfra (ver el detalle más abajo).
• Garantía de la transferencia: A diferencia del enrutador anterior, aquí el operador no lo elige la pasarela: lo fija el identificador del modelo en cada llamada, de modo que ninguna petición puede acabar en un operador que no esté en la lista de abajo.

Vercel

Vercel Inc. (Estados Unidos), con tratamiento en la Unión Europea

• Para qué: Alojamiento y ejecución de la aplicación web.
• Qué datos ve: Todo el tráfico de la aplicación y los datos que se procesan al servir cada página. No almacena la base de datos.
• Dónde los trata: París, Francia (región cdg1). Comprobado el 24-ago-2026 sobre didacly.es: la cabecera X-Vercel-Id devuelve «cdg1::cdg1», es decir, borde y función en París.
• Garantía de la transferencia: El tratamiento se realiza en la UE. Para el soporte y la administración de la cuenta, prestados desde Estados Unidos, aplican las Cláusulas Contractuales Tipo del DPA de Vercel.

Sentry

Functional Software, Inc. «Sentry» (Estados Unidos), con almacenamiento en la Unión Europea

• Para qué: Registro de los errores técnicos de la aplicación (una pantalla que no carga, una operación que falla) para poder detectarlos y corregirlos.
• Qué datos ve: Solo datos técnicos del fallo: el mensaje de error, la parte del código donde ocurrió, la pantalla (sin parámetros), el navegador y la versión desplegada. No se envían cookies, cabeceras, el contenido de las peticiones, nombres, correos ni la dirección IP; los campos que pudieran llevar datos del alumnado (nombre, apellidos, alumno, DNI, observaciones…) se borran además en el propio servidor de Sentry. Sin grabación de sesiones.
• Dónde los trata: Unión Europea: la organización tiene la región de datos «European Union» (Frankfurt, Alemania) y los errores se reciben en ingest.de.sentry.io. Comprobado el 05-oct-2026 en la configuración de la organización.
• Garantía de la transferencia: Los datos se almacenan en la UE. Para el soporte y la administración de la cuenta, prestados desde Estados Unidos, aplican las Cláusulas Contractuales Tipo del DPA de Sentry.

Resend

Resend, Inc. (Estados Unidos)

• Para qué: Envío de correo transaccional: confirmación de cuenta, invitaciones al centro y códigos de verificación.
• Qué datos ve: Dirección de correo y nombre del profesorado. No se envían datos del alumnado.
• Dónde los trata: Estados Unidos.
• Garantía de la transferencia: Cláusulas Contractuales Tipo del DPA de Resend.

Stripe

Stripe Payments Europe, Ltd. (Irlanda)

• Para qué: Cobro de las suscripciones y gestión de la facturación.
• Qué datos ve: Datos de facturación de quien contrata: correo, nombre o razón social y datos de pago. No se envían datos del alumnado.
• Dónde los trata: Unión Europea (entidad irlandesa), con transferencias al grupo en Estados Unidos.
• Garantía de la transferencia: Cláusulas Contractuales Tipo del DPA de Stripe.

Supabase

Supabase, Inc. (Estados Unidos), con los datos alojados en la Unión Europea

• Para qué: Base de datos y autenticación: almacenamiento de todos los datos del servicio.
• Qué datos ve: Todos los datos del servicio, incluidos los identificativos del alumnado y sus calificaciones.
• Dónde los trata: Irlanda (región eu-west-1, «West EU»). Comprobado el 24-ago-2026 en el panel de infraestructura del proyecto.
• Garantía de la transferencia: Los datos se almacenan y procesan en Irlanda. Para el soporte y la administración de la cuenta, prestados desde Estados Unidos, aplican las Cláusulas Contractuales Tipo del DPA de Supabase.

Google

• Para qué: Escribe las situaciones de aprendizaje y los comentarios del boletín (gemini-3.5-flash-lite), el guion de las fichas (2.5-flash) y los jueces de datos (2.5-flash-lite).
• Dónde los trata: SIN CONFIRMAR — pendiente del DPA de Requesty.

Nebius

• Para qué: Modelo de herramientas del chat y de los autobancos de fichas (qwen3-30b), y suplente de la prosa de las situaciones de aprendizaje.
• Dónde los trata: SIN CONFIRMAR — pendiente del DPA de Requesty.

Novita

• Para qué: Modelo de texto de RESERVA (llama-3.1-8b), el que atiende si no se pide otro.
• Dónde los trata: SIN CONFIRMAR — pendiente del DPA de Requesty.

Groq

• Para qué: Respaldo de las llamadas con herramientas y juez del calificador de oposiciones (gpt-oss-20b y 120b).
• Dónde los trata: SIN CONFIRMAR — pendiente del DPA de Requesty.

DeepInfra

• Para qué: Rescate del baúl documental cuando el modelo pequeño se niega (llama-3.3-70b).
• Dónde los trata: SIN CONFIRMAR — pendiente del DPA de Requesty.