Sub-procesadores
Última actualización: 12 de septiembre de 2026
invitas.co contrata a los siguientes terceros (sub-procesadores) para entregar el servicio. Cada uno firmó un contrato con cláusulas de protección de datos personales conforme a Ley 1581/2012 (CO), LFPDPPP (MX), Ley 25.326 (AR), Ley 21.719 (CL), Ley 29733 (PE), LGPD (BR), LOPDP (EC) y Ley 8968 (CR).
Hay una excepción, y la fila lo dice de forma explícita: el asistente de IA externo. Ese destinatario lo elige el anfitrión al conectar su propia cuenta, así que no es un tercero que nosotros contratemos, y la transferencia se rige por el acuerdo que el anfitrión ya tiene con esa herramienta. Está declarado en esta lista para que quede claro a dónde pueden llegar los datos, no porque sea un proveedor nuestro.
| Sub-procesador | Finalidad | País | Datos | Desde |
|---|---|---|---|---|
| Chatwoot Community Edition (autohospedado) | Inbox y ticketing de soporte al cliente (widget en páginas públicas de marketing + correo a [email protected]) | Alemania (servidor Contabo, mismo VPS que la aplicación) | Nombre, correo, contenido de la conversación, IP, metadatos del navegador. Sin contrato comercial: software de código abierto operado por invitas.co. | 2026-06-08 |
| Contabo GmbH | Hosting de servidor y almacenamiento de datos de la aplicación | Alemania (DC Frankfurt/Múnich/Núremberg) | Toda la base de datos de la aplicación | 2024-01-15 |
| Cloudflare Inc. DPA | CDN, DNS, WAF, almacenamiento R2 (fotos y video) con replicación regional automática | EE. UU. + edges globales | Tráfico HTTP, archivos R2 | 2024-01-15 |
| Google LLC — OAuth DPA | Autenticación de hosts | EE. UU. + UE | Email + nombre del host | 2024-01-15 |
| Google LLC — Analytics 4 DPA | Métricas agregadas del marketing site | EE. UU. + UE | IP anonimizada, eventos de navegación (NO en /e/* ni /dashboard/*) | 2024-01-15 |
| Google LLC — Vertex AI (texto) DPA | Generación de texto y análisis de fotos con IA, incluido el Asistente del anfitrión y el Wizard — Gemini 2.5 Flash (primario). Transferencia bajo SCCs del DPA de Google Cloud. | EE. UU. (us-central1) | Instrucciones del host con PII tokenizada antes del envío | 2026-07-22 |
| Google LLC — Vertex AI (imagen) DPA | Generación de imagen de portada (Imagen) y edición de imagen / image-to-image del Inspirarme (gemini-2.5-flash-image), en us-central1 (EE. UU.). La foto de referencia se analiza con Vertex vision (us-central1); un control automático impide que las fotos con personas reconocibles pasen además al modelo de edición de imagen. Transferencia bajo SCCs del DPA de Google Cloud. | EE. UU. (us-central1) | Instrucciones de imagen del host con PII tokenizada; foto de referencia sin personas reconocibles (solo en image-to-image) | 2026-06-01 |
| DeepInfra Inc. | Generación de texto e imágenes IA (respaldo cuando Vertex falla) | EE. UU. | Instrucciones del host con PII tokenizada antes del envío | 2026-05-01 |
| Asistente de IA externo (lo elige el anfitrión) | Gestión de la cuenta desde un asistente de IA, solo si el anfitrión conecta el conector MCP (invitas.co/mcp). Opt-in explícito en la pantalla de consentimiento. Ejemplos: Claude (Anthropic), ChatGPT (OpenAI), Gemini (Google), Perplexity | El del proveedor elegido (Anthropic, OpenAI y Google procesan en EE. UU.) | Datos del evento dentro de los permisos autorizados: evento, invitados y sus datos de contacto, confirmaciones, links de invitación, mensajes del muro, mesas y webhooks. Nunca secretos internos de la plataforma. | 2026-08-03 |
| Resend (Drip Marketing Inc.) DPA | Envío de email transaccional (magic link, recordatorios RSVP) | EE. UU. | Email + contenido del mensaje | 2024-01-15 |
| Wompi (Bancolombia S.A.) DPA | Procesamiento de pagos LATAM (PSE, Nequi, Bre-B, tarjeta) | Colombia | Datos de pago + email (PCI a cargo de Wompi) | 2024-08-01 |
| Lemon Squeezy LLC (subsidiaria de Stripe Inc.) DPA | Procesamiento de pagos USD internacional | EE. UU. | Datos de pago + email (PCI a cargo de Lemon Squeezy) | 2024-09-01 |
Compromisos de los sub-procesadores
- Google Cloud Vertex AI y DeepInfrase comprometen contractualmente a no usar tus datos para entrenar modelos de IA. Aplicamos tokenización de PII antes del envío (ver Términos §4).
- El asistente de IA que conectes solo recibe datos si tú conectas tu cuenta por el conector MCP. Es el único caso en esta tabla donde el destinatario lo eliges tú y no nosotros: puede ser Claude, ChatGPT, Gemini, Perplexity o cualquier otra herramienta que use el mismo estándar. La transferencia la activas al autorizar los permisos en nuestra pantalla de consentimiento, alcanza únicamente a los datos que devuelve la herramienta que le pides ejecutar, y ocurre bajo el acuerdo de tratamiento de datos que tú ya tienes con ese proveedor. Cómo funciona y cómo quitar el acceso: /asistentes.
- Wompi y Lemon Squeezy se encargan del cumplimiento PCI DSS para datos de tarjeta. invitas.co no almacena números de tarjeta.
- Todos los sub-procesadores que invitas.co contrata y que están fuera de países con nivel adecuado firmaron cláusulas contractuales estándar conforme a Ley 1581/2012 art. 26. El asistente de IA externo no entra en esa afirmación, porque no lo contratamos nosotros: ahí la base legal es el consentimiento explícito del anfitrión al autorizar la conexión, más el acuerdo que él ya tenga con el proveedor que eligió.
Cambios a esta lista
Actualizamos esta lista cuando agregamos o reemplazamos un sub-procesador material. Te notificaremos por email a tu cuenta de host con al menos 30 días de anticipación antes del cambio. Si te opones, puedes terminar tu suscripción y solicitar el reembolso proporcional conforme a nuestra Política de Reembolsos.
Contacto
Preguntas sobre sub-procesadores: [email protected].