Proveedores y transferencias fuera de Quebec

1Por qué existe esta página

Antes de comunicar información personal fuera de Quebec, la Ley 25 exige que la empresa realice una evaluación de impacto sobre la privacidad, que acredite mediante ella que la información recibirá una protección adecuada, y que recoja el resultado en un acuerdo escrito con el destinatario. Esta página es el resumen publicado de esas evaluaciones. En vigor el 9 August 2026.

Está aquí y no en un archivador por una razón sencilla: una evaluación que nadie puede leer es indistinguible de una evaluación que nadie hizo. Cuando se aplica el RGPD, esta página sirve además como la lista de encargados del tratamiento que debemos poner a disposición.

2Qué se pondera en cada evaluación

1. La sensibilidad de la información. Una dirección de entrega y un hash de contraseña no suponen el mismo riesgo, y no reciben la misma respuesta.
2. La finalidad para la que se usa, y si el proveedor podría usarla para otra cosa. Cada proveedor de la lista es un encargado del tratamiento: actúa siguiendo nuestras instrucciones y no puede usar la información para sus propios fines.
3. Las medidas de protección, incluidas las contractuales. Cifrado en tránsito y en reposo, control de acceso, límites de conservación, notificación de brechas, y las cláusulas de tratamiento de datos que forman parte del acuerdo con el proveedor.
4. El marco jurídico del lugar donde se trata, incluida la posibilidad de que una autoridad pública imponga allí la divulgación y los recursos de que dispone una persona.

Una evaluación solo concluye que una transferencia puede realizarse si los cuatro factores, en conjunto, acreditan una protección adecuada. Si no, la respuesta es no enviar la información, no enviarla y confiar.

3Dónde se ejecuta la plataforma

La aplicación está desplegada en una sola región del este de Estados Unidos, y la base de datos y el almacenamiento de objetos están junto a ella. El titular honesto es este: la mayor parte de la información personal de WIN se trata en Estados Unidos, no en Quebec, y las evaluaciones siguientes son lo que sostiene eso.

Estados Unidos no tiene una ley federal general de privacidad ni una decisión de adecuación. Esa es la debilidad concreta que cada evaluación siguiente debe responder, y la responde siempre igual: reduciendo al mínimo lo que sale, cifrándolo, por contrato, y eligiendo proveedores cuyos términos los vinculan como encargados del tratamiento sin derecho a usar la información para sí mismos.

4Infraestructura

Vercel

Alojamiento de la aplicación y enrutado en el borde, Estados Unidos. Trata cada petición en tránsito, más registros operativos de corta duración. Conclusión: proceder. Los datos son transitorios, el proveedor es encargado del tratamiento según sus cláusulas, y allí no se guarda ningún registro de miembro.

Neon

La base de datos PostgreSQL, Estados Unidos. Es el almacén principal: cuentas, empresas, contenido, pedidos. Los campos sensibles se cifran en la capa de aplicación con AES-256-GCM antes de escribirse, así que el proveedor guarda texto cifrado en esas columnas y nunca tiene una clave. Conclusión: proceder, sobre la base de eso y del acuerdo con el proveedor.

Amazon Web Services

Almacenamiento de objetos y distribución de contenido para los medios, gestión de claves y moderación automatizada de imágenes, Estados Unidos. Guarda las imágenes, vídeos y archivos subidos. Conclusión: proceder. Los buckets son privados, los medios se sirven mediante URL firmadas, y la moderación devuelve un veredicto sin conservar la imagen.

Cloudflare

Red de borde y defensa frente a bots, distribuida globalmente. Ve los metadatos de conexión, incluida su dirección IP, antes de que una petición nos llegue. Conclusión: proceder. No le enviamos nada que identifique a un miembro, y ese tratamiento es lo que impide atacar la plataforma trivialmente.

5Pagos

Stripe

Procesamiento de pagos e incorporación de vendedores, Estados Unidos e Irlanda. Trata los datos de tarjeta, que nunca llegan a nuestros servidores, y los datos de identidad y bancarios que un vendedor aporta para cobrar. Conclusión: proceder. Es la única forma de aceptar una tarjeta, el proveedor es a su vez una entidad de pago regulada, y la alternativa sería guardar nosotros los datos de tarjeta, lo que sería peor para usted en todos los sentidos.

6Comunicaciones

Resend

Correo transaccional, Estados Unidos. Recibe la dirección del destinatario y el cuerpo de un correo de cuenta: un código de verificación, un recibo, una notificación. Conclusión: proceder, limitado al correo transaccional. No le enviamos listas de miembros ni hacemos campañas de marketing con él.

Servicios de notificaciones push

Las notificaciones push web las entrega el servicio de notificaciones en el que está registrado su propio navegador, operado por el fabricante de ese navegador. Recibe un token de destino anónimo y la carga cifrada de la notificación. Conclusión: proceder. La carga va cifrada de extremo a extremo con claves que el servicio no posee, y la transferencia solo existe porque usted activó las notificaciones.

7Operaciones

Sentry

Supervisión de errores, Estados Unidos. Recibe trazas de pila y contexto técnico de un fallo. Configurado para no enviar información personal por defecto, y cada evento se filtra antes de salir: cookies, cabeceras de petición, dirección IP y correo se eliminan, los cuerpos de petición se limpian, y la repetición de sesión está desactivada. Conclusión: proceder, sobre la base de ese filtro más que del proveedor.

Vercel Analytics

Recuentos de páginas anónimos, Estados Unidos. Se carga solo si usted aceptó las cookies de analítica; si las rechaza, el script nunca se inyecta. Conclusión: proceder, con consentimiento.

Discord

Avisos operativos a nuestro propio equipo, Estados Unidos. Recibe alertas de seguridad y moderación, que pueden contener un nombre de empresa, un identificador, o un extracto de contenido denunciado. Conclusión: proceder con minimización. Las alertas llevan referencias en lugar de registros, y el canal está restringido a quienes actúan sobre ellas.

8El asistente

El modelo que hay detrás de Jarv1s es de pesos abiertos y se ejecuta en hardware que operamos nosotros. No es un proveedor de servicios, ninguna conversación se envía a un proveedor de IA y nada de lo que le digas al asistente entrena el modelo de otra persona. Dos de sus herramientas sí salen fuera, y solo en el turno que las usa.

Tavily

Búsqueda web para el asistente, Estados Unidos. Recibe los términos de esa única consulta y nada más: ni cuenta, ni empresa, ni identificador. Conclusión: continuar. Una búsqueda que el asistente hace por ti supone la misma exposición que una búsqueda que hubieras hecho tú, menos tu dirección IP.

Servicio de navegación

Un entorno de navegación aislado que operamos para el asistente. Recibe la dirección que visitar y la tarea, no tiene acceso a la base de datos ni credencial tuya alguna, y está limitado y auditado en cada ejecución. Conclusión: continuar. Lee páginas públicas como lo haría cualquier navegador.

Ninguno se ejecuta si no has activado el asistente, y a ninguno se recurre en un turno que no lo necesita. Si nunca haces una pregunta que exija la web en vivo, nada de este apartado llega a ocurrir.

9Lo que ningún proveedor recibe

• Ningún proveedor de esta página recibe información personal para sus propios fines.
• No vendemos información personal ni la compartimos con una red publicitaria. No hay ningún proveedor de publicidad en esta lista porque no hay ninguno en el producto.
• El contenido de los mensajes privados no se envía a ningún proveedor distinto del almacenamiento y la base de datos que lo guardan para usted.
• A ningún proveedor se le entrega una lista de miembros, y ninguno se usa para construir una audiencia o un segmento similar.

10Cuándo cambia esto

Añadir un proveedor que trate información personal implica hacer la evaluación primero y luego actualizar esta página. Un cambio de categoría, frente a una sustitución equivalente, se anuncia igual que una modificación sustancial de la Política de privacidad. Si se apoya en esta lista para su propio cumplimiento y quiere que le avisemos cuando cambie, escriba a [email protected].