Legal
Sub-procesadores
Volver al inicio
Última actualización: 28 de octubre de 2026
invitas.co contrata a los siguientes terceros (sub-procesadores) para entregar el servicio. Cada uno firmó un contrato con cláusulas de protección de datos personales conforme a Ley 1581/2012 (CO), LFPDPPP (MX), Ley 25.326 (AR), Ley 21.719 (CL), Ley 29733 (PE), LGPD (BR), LOPDP (EC) y Ley 8968 (CR).
Hay dos excepciones, y cada fila lo dice de forma explícita: el asistente de IA externo y el servicio de notificaciones del navegador. Al primero lo elige el anfitrión al conectar su propia cuenta, y la transferencia se rige por el acuerdo que el anfitrión ya tiene con esa herramienta. Al segundo lo determina el navegador de quien activa los avisos en su dispositivo. Ninguno es un tercero que nosotros contratemos: están declarados en esta lista para que quede claro a dónde pueden llegar los datos, no porque sean proveedores nuestros.
| Sub-procesador | Finalidad | País | Datos | Desde |
|---|---|---|---|---|
| Chatwoot Community Edition (autohospedado) | Inbox y ticketing de soporte al cliente (widget en páginas públicas de marketing + correo a [email protected]) | Alemania (servidor Contabo, mismo VPS que la aplicación) | Nombre, correo, contenido de la conversación, IP, metadatos del navegador. Sin contrato comercial: software de código abierto operado por invitas.co. | 2026-06-08 |
| Contabo GmbH | Hosting de servidor y almacenamiento de datos de la aplicación | Alemania (DC Frankfurt/Múnich/Núremberg) | Toda la base de datos de la aplicación | 2024-01-15 |
| Cloudflare Inc. DPA | CDN, DNS, WAF, almacenamiento R2 (fotos y video) con replicación regional automática | EE. UU. + edges globales | Tráfico HTTP, archivos R2 | 2024-01-15 |
| Google LLC — OAuth DPA | Autenticación de hosts | EE. UU. + UE | Email + nombre del host | 2024-01-15 |
| Google LLC — Analytics 4 DPA | Métricas del sitio público y de demos ficticias, sin datos de personas reales | EE. UU. + UE | IP anonimizada, eventos de navegación; identificador interno opaco si iniciaste sesión, no tu correo. Nunca en invitaciones de eventos reales. En las URL se conservan solo parámetros de campaña; los demás, incluidos tokens, se eliminan. | 2024-01-15 |
| Google LLC — Vertex AI (texto) DPA | Generación de texto y análisis de fotos con IA, incluido el Asistente del anfitrión y el Wizard — Gemini 3.1 Flash-Lite (primario). Transferencia bajo SCCs del DPA de Google Cloud. | EE. UU. (multirregión us) | Instrucciones del host con PII tokenizada antes del envío | 2026-10-05 |
| Google LLC — Vertex AI (imagen) DPA | Generación de imagen de portada (Imagen) y edición de imagen / image-to-image del Inspirarme (gemini-3.1-flash-image), en la multirregión us (EE. UU.). Imagen usa us-central1 (EE. UU.). La foto de referencia se analiza con Vertex vision (us-central1); un control automático impide que las fotos con personas reconocibles pasen además al modelo de edición de imagen. Transferencia bajo SCCs del DPA de Google Cloud. | EE. UU. (multirregión us para Gemini; us-central1 para Imagen) | Instrucciones de imagen del host con PII tokenizada; foto de referencia sin personas reconocibles (solo en image-to-image) | 2026-06-01 |
| DeepInfra Inc. | Respaldo de IA para generar texto e imágenes a partir de instrucciones escritas, solo si Vertex AI falla o no responde. | EE. UU. | Texto de instrucciones y contexto del evento, listas de invitados y mensajes de asistentes o visitantes. Antes del envío se tokenizan correos, teléfonos, cédulas colombianas, CURP y DNI; los nombres no se reemplazan. Nunca recibe fotos. | 2026-05-01 |
| Asistente de IA externo (lo elige el anfitrión) | Gestión de la cuenta desde un asistente de IA, solo si el anfitrión conecta el conector MCP (invitas.co/mcp). Opt-in explícito en la pantalla de consentimiento. Ejemplos: Claude (Anthropic), ChatGPT (OpenAI), Gemini (Google), Perplexity | El del proveedor elegido (Anthropic, OpenAI y Google procesan en EE. UU.) | Datos del evento dentro de los permisos autorizados: evento, invitados y sus datos de contacto, confirmaciones, links de invitación, mensajes del muro, mesas y webhooks. Nunca secretos internos de la plataforma. | 2026-08-03 |
| Servicio de notificaciones del navegador (lo determina el navegador del usuario) | Entrega de avisos en el dispositivo, solo si el usuario los activa: avisos de respuestas al anfitrión y avisos de cambios o novedades al invitado que los pide desde su invitación. Según el navegador: Google (Chrome, Android y la mayoría de navegadores basados en Chrome), Apple (Safari), Mozilla (Firefox) o Microsoft (Edge) | EE. UU. (sede de Google, Apple, Mozilla y Microsoft) | Dirección de suscripción del navegador y el aviso cifrado con las llaves del dispositivo (RFC 8291), sin el contenido en claro. Lo guarda hasta 24 horas si el dispositivo está desconectado. | 2026-09-14 |
| Resend (Drip Marketing Inc.) DPA | Envío de correo transaccional (enlace de acceso, recordatorios RSVP) | EE. UU. | Email + contenido del mensaje; para los resúmenes de recordatorios, correo del anfitrión, nombre del evento y fecha, nombres de las invitaciones pendientes y enlaces personales de invitación incluidos en los enlaces de WhatsApp. | 2024-01-15 |
| Meta Platforms, Inc. (WhatsApp Cloud API) | Envío de mensajes de WhatsApp a invitados y atención de conversaciones de WhatsApp | EE. UU. + centros de datos de Meta | Número de WhatsApp, contenido del mensaje, nombre del evento y del invitado incluidos en la plantilla, y enlace personal | 2026-08-15 |
| Wompi (Bancolombia S.A.) DPA | Procesamiento de pagos LATAM (PSE, Nequi, Bre-B, tarjeta) | Colombia | Datos de pago + email (PCI a cargo de Wompi) | 2024-08-01 |
| Lemon Squeezy LLC (subsidiaria de Stripe Inc.) DPA | Procesamiento de pagos USD internacional | EE. UU. | Datos de pago + email (PCI a cargo de Lemon Squeezy) | 2024-09-01 |
Compromisos de los sub-procesadores
- Google Cloud Vertex AI se compromete contractualmente a no usar tus datos para entrenar modelos de IA. Según su política de privacidad, DeepInfra no guarda los datos ni los usa para entrenar modelos. Aplicamos tokenización de PII antes del envío (ver Términos §4).
- El asistente de IA que conectes solo recibe datos si tú conectas tu cuenta por el conector MCP. Es el único caso en esta tabla donde el destinatario lo eliges tú y no nosotros: puede ser Claude, ChatGPT, Gemini, Perplexity o cualquier otra herramienta que use el mismo estándar. La transferencia la activas al autorizar los permisos en nuestra pantalla de consentimiento, alcanza únicamente a los datos que devuelve la herramienta que le pides ejecutar, y ocurre bajo el acuerdo de tratamiento de datos que tú ya tienes con ese proveedor. Cómo funciona y cómo quitar el acceso: /asistentes.
- El servicio de notificaciones del navegador solo interviene si alguien activa avisos en su dispositivo: el anfitrión, para saber cuándo responden a su evento, o el invitado, para enterarse si cambia la fecha, la hora, el lugar o la agenda, o si hay una novedad. Lo determina el navegador de esa persona (Google, Apple, Mozilla o Microsoft), no nosotros. Recibe la dirección de suscripción y el aviso cifrado con las llaves del dispositivo, sin el contenido en claro. Qué se guarda, qué no dice el aviso y cómo desactivarlo: Política de Privacidad §3.
- Wompi y Lemon Squeezy se encargan del cumplimiento PCI DSS para datos de tarjeta. invitas.co no almacena números de tarjeta.
- Todos los sub-procesadores que invitas.co contrata y que están fuera de países con nivel adecuado, excepto DeepInfra, firmaron cláusulas contractuales estándar conforme a Ley 1581/2012 art. 26. El asistente de IA externo no entra en esa afirmación, porque no lo contratamos nosotros: ahí la base legal es el consentimiento explícito del anfitrión al autorizar la conexión, más el acuerdo que él ya tenga con el proveedor que eligió. Tampoco entra el servicio de notificaciones del navegador: ahí la base es el consentimiento de quien activa los avisos, y el contenido viaja cifrado.
Cambios a esta lista
Actualizamos esta lista cuando agregamos o reemplazamos un sub-procesador material. Te notificaremos por email a tu cuenta de host con al menos 30 días de anticipación antes del cambio. Si te opones, puedes terminar tu suscripción y solicitar el reembolso proporcional conforme a nuestra Política de Reembolsos.
Contacto
Preguntas sobre sub-procesadores: [email protected].
