Terceros y subencargados
Versión 2026-10-18 · Vigente desde el 18 de octubre de 2026
Versiones publicadas: 2026-10-18
01 Objeto y autorización
Este documento identifica a los terceros que intervienen en CORD y desarrolla la sección 5 del Acuerdo de tratamiento de datos. «Flouvia», «Cliente», «CORD» y los demás términos definidos tienen el significado que les dan los Términos y Condiciones de CORD.
El Cliente autoriza de forma general a Flouvia a recurrir a los subencargados de la sección 2. La lista vigente se publica en la página Subencargados, que muestra la entidad, el país y el mecanismo de transferencia de cada uno y los cambios anunciados.
02 Subencargados
Tratan Datos del Cliente por cuenta de Flouvia:
| Proveedor | Entidad y país | Función | Mecanismo de transferencia |
|---|---|---|---|
| Neon | Databricks, Inc., Estados Unidos | Base de datos PostgreSQL con los datos de la cuenta, la operación y los clientes. | Marco de Privacidad de Datos UE–EE. UU., su extensión al Reino Unido y Marco de Privacidad de Datos Suiza–EE. UU.; Cláusulas Contractuales Tipo. |
| Vercel | Vercel Inc., Estados Unidos | Alojamiento, ejecución de peticiones, registros técnicos, analítica web y de rendimiento solo con consentimiento, y detección de bots. | Marco de Privacidad de Datos UE–EE. UU., su extensión al Reino Unido y Marco de Privacidad de Datos Suiza–EE. UU.; Cláusulas Contractuales Tipo. |
| Anthropic | Anthropic, PBC, Estados Unidos | Funciones de inteligencia artificial: texto, imágenes y PDF con el contexto necesario, solo cuando se invoca una función. Borra las entradas y salidas de la API a los 30 días, salvo las excepciones de su política. | Cláusulas Contractuales Tipo y adenda del Reino Unido. |
| Resend | Plus Five Five, Inc., Estados Unidos | Envío de correo transaccional, boletín y, si está activada, recepción de correo. | Marco de Privacidad de Datos UE–EE. UU. y extensión al Reino Unido; Cláusulas Contractuales Tipo. |
| PostHog | PostHog, Inc., Estados Unidos | Analítica de producto; la del navegador, solo con consentimiento. | Marco de Privacidad de Datos UE–EE. UU., su extensión al Reino Unido y Marco de Privacidad de Datos Suiza–EE. UU.; Cláusulas Contractuales Tipo. |
| Upstash | Upstash, Inc., Estados Unidos | Límites de uso y sesiones técnicas efímeras. | Marco de Privacidad de Datos UE–EE. UU., su extensión al Reino Unido y Marco de Privacidad de Datos Suiza–EE. UU.; Cláusulas Contractuales Tipo. |
| Slack | Slack Technologies Limited, Irlanda | Alertas operativas internas de Flouvia, sin datos de los clientes del Cliente. | Cláusulas Contractuales Tipo y adenda del Reino Unido. |
| Facturapi | Facturapi S.A. de C.V., México; trata los datos en servidores de Estados Unidos | Preparación, timbrado, cancelación y recuperación de CFDI, incluidos complementos de pago y factura global, en México. Timbra por medio de su proveedor autorizado de certificación, Prodigia. | Contrato de encargado conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Para un Cliente sujeto al RGPD, la regla de la sección 6 del Acuerdo de tratamiento de datos. |
03 Proveedores con obligaciones propias
Estos proveedores reciben datos para prestar su propio servicio y responden de él conforme a sus propias condiciones; no son subencargados de Flouvia:
- Stripe: suscripciones, cobros, reembolsos, disputas, depósitos, verificación de identidad, métodos de pago y mandatos, y el cálculo del sales tax de Estados Unidos.
- Mercado Pago: cobros con la cuenta de Mercado Pago del Cliente.
- Google y Apple: inicio de sesión que elige la persona.
04 Autoridades e integraciones dirigidas por el Cliente
Las autoridades fiscales (el SAT por medio del PAC, la AEAT, ARCA, Sefin Nacional, SEFAZ y el SII) reciben los documentos por obligación legal del Cliente, solo cuando el riel de su país está habilitado y el Cliente lo configuró. La emisión de facturas en Francia mediante una plataforma autorizada todavía no está disponible y ningún tercero recibe datos para ese fin; cuando Flouvia la habilite, actualizará este documento con una nueva versión.
Las integraciones que el Cliente conecta (Google Sheets y Gmail, Microsoft Excel y Teams, Intuit QuickBooks Online, Xero, Shopify, WhatsApp Business de Meta, HubSpot, Slack, plataformas que usan la API, servidores MCP, su proveedor de identidad y sus webhooks) reciben datos por instrucción del Cliente y bajo la relación del Cliente con esos terceros. No son subencargados de Flouvia.
05 Avisos de cambios y objeciones
Cualquier persona puede suscribirse por correo a los avisos de cambios en la página de subencargados. Flouvia avisará con al menos 30 días de anticipación antes de agregar o sustituir un subencargado, o de cambiar su finalidad, y el aviso quedará publicado en la página con su fecha de entrada en vigor.
El Cliente puede objetar el cambio por escrito a legal@flouvia.com antes de su entrada en vigor, con razones fundadas en la protección de datos. Si las partes no resuelven la objeción de buena fe, el Cliente puede terminar los servicios afectados y Flouvia le reembolsará la parte prepagada que no haya usado.
Cuando un cambio sea necesario para atender un riesgo urgente de seguridad o la falla de un proveedor, Flouvia podrá hacerlo de inmediato y lo avisará lo antes posible, con el mismo derecho de objeción a partir del aviso.
06 Obligaciones que Flouvia impone
Antes de que un subencargado trate Datos del Cliente, Flouvia celebra con él un contrato que le impone obligaciones de protección de datos equivalentes a las del Acuerdo de tratamiento de datos, y conserva la evidencia: el acuerdo de tratamiento aceptado, su fecha, el identificador de la cuenta, la lista de sus propios subencargados y su mecanismo de transferencia. Flouvia sigue siendo responsable frente al Cliente del cumplimiento de cada subencargado.
07 Ubicación de los datos y transferencias
Los subencargados principales tratan datos en Estados Unidos. Facturapi solo trata los datos de los CFDI que emiten negocios establecidos en México, y su contrato de encargado se rige por la ley mexicana. Si un Cliente está sujeto al RGPD, la salvaguarda de la transferencia a Facturapi son las Cláusulas Contractuales Tipo, módulo 3, anexas a ese contrato, y mientras Facturapi no las haya firmado, ese Cliente no debe usar el timbrado de CFDI para facturar a personas que se encuentren en el Espacio Económico Europeo, conforme a la sección 6 del Acuerdo de tratamiento de datos. Las demás transferencias se rigen por la sección 6 del Acuerdo de tratamiento de datos: el Marco de Privacidad de Datos cuando el subencargado está certificado, y las Cláusulas Contractuales Tipo en los demás casos. Flouvia revisa la vigencia de cada certificación antes de cada publicación de esta lista.
08 Disposiciones finales
En caso de contradicción, prevalece el Acuerdo de tratamiento de datos. La ley aplicable y la jurisdicción son las de la sección 16 de los Términos. Los cambios de subencargados siguen la sección 5 de este documento, y las demás modificaciones, la sección 17 de los Términos.