Subprocesadores
Última actualización: septiembre 2026
En cumplimiento del artículo 28 del RGPD, Kardu publica la lista de subprocesadores que tienen acceso a datos personales de nuestros clientes. La mayoría están ubicados dentro de la Unión Europea o el Espacio Económico Europeo; las dos únicas excepciones están documentadas más abajo, ambas con Acuerdo de Tratamiento de Datos (DPA) vigente.
| Proveedor | Categoría | Ubicación | Finalidad | Política |
|---|---|---|---|---|
| Supabase | Base de datos y autenticación | Frankfurt, EU (AWS eu-central-1) | Almacenamiento de datos de la plataforma, autenticación de usuarios y gestión de sesiones. | Ver → |
| Vercel | Infraestructura y hosting | Frankfurt, EU | Hosting de la aplicación web y entrega de contenido estático. | Ver → |
| Scaleway SAS | Comunicaciones por email | París, EU | Envío de emails transaccionales (confirmaciones, alertas, recordatorios de evidencias). | Ver → |
| Stripe | Procesamiento de pagos | Irlanda, EU | Procesamiento seguro de pagos para planes de suscripción. Solo accede a datos de facturación. | Ver → |
| PostHog | Analítica web | Unión Europea (instancia UE) | Analítica de uso del sitio web, agregada y anónima (páginas vistas, scroll, mapas de calor de clics y Core Web Vitals). Se activa solo con consentimiento. No identifica visitantes ni accede a datos de clientes de la plataforma. | Ver → |
| hCaptcha (Intuition Machines, Inc.) | Protección anti-bot | Miami, EEUU (excepción — fuera de la UE) | Protección anti-bot en los formularios de login y registro. Excepción documentada a nuestra política de residencia de datos en la UE, con Acuerdo de Tratamiento de Datos (DPA) vigente. | Ver → |
| Cloudmersive | Escaneo de malware de archivos | Free tier vía Beauharnois, Quebec, Canadá (adecuación PIPEDA) — sede legal en Pleasanton, California, EEUU | Escaneo de malware de los archivos subidos al Evidence Vault. Excepción documentada a nuestra política de residencia de datos en la UE, con Acuerdo de Tratamiento de Datos (DPA) vigente. | Ver → |
hCaptcha y Cloudmersive son las dos únicas excepciones a nuestra política de residencia de datos en la UE. Ambas cuentan con un Acuerdo de Tratamiento de Datos (DPA) vigente y garantías contractuales equivalentes (cláusulas contractuales tipo / adecuación PIPEDA en el caso de Cloudmersive).
Notificaremos a nuestros clientes con al menos 14 días de antelación antes de añadir o cambiar cualquier subprocesador. Para recibir estas notificaciones, asegúrate de tener activadas las comunicaciones de producto en tu cuenta.
Para cualquier consulta sobre nuestros subprocesadores, escríbenos a contact@kardu.eu.