Anexo II del contrato de encargo: subencargados

Lista de subencargados a la fecha de publicación. La primera parte recoge los subencargados que tratan o pueden tratar Datos del Cliente; la segunda, los servicios de datos públicos que la Plataforma consulta y que no son subencargados. La columna «¿Datos del Cliente?» responde sí, no o posible, con la razón. Las filas 5 y 6 (Sentry) se indican por transparencia: Hodeitek trata los informes de error como responsable (cláusula 2.2) y Sentry es su proveedor para ese tratamiento, no un subencargado del Cliente.

Este anexo forma parte del contrato de encargo del tratamiento de la beta y de sus condiciones.

1.Primera parte. Subencargados

N.º y proveedor: 1. OVHcloud (OVH SAS)
Servicio: Managed Kubernetes, Managed PostgreSQL y Object Storage; registros técnicos en OVHcloud Logs Data Platform (Graylog, GELF sobre TLS). La inferencia de IA de la misma entidad (OVHcloud AI Endpoints) figura aparte, en la fila 7
Finalidad: Alojar la Plataforma, la base de datos y los ficheros subidos
Ubicación del tratamiento: Gravelines, Francia (UE); registros en gra2 (Gravelines), retención de 1 año
Datos que recibe: Todos los Datos del Cliente almacenados; en los registros técnicos, identificador de inquilino, identificador de usuario, hash con sal de la IP, ruta, país y el texto y contexto de cada línea
¿Datos del Cliente?: Sí. Aloja la base de datos, los ficheros y el cómputo donde se tratan todos los Datos del Cliente
Garantía de transferencia: Dentro del EEE: no hay transferencia

N.º y proveedor: 2. Aiven Oy (Helsinki, Finlandia; código de empresa 2795743-5), subencargado ulterior (Hodeitek → OVHcloud → Aiven): opera el servicio OVHcloud Managed PostgreSQL. Hodeitek contrata a OVHcloud y OVHcloud utiliza a Aiven
Servicio: Plataforma que ejecuta el PostgreSQL gestionado de OVHcloud, operada por Aiven en remoto.
Finalidad: Ejecutar la base de datos gestionada
Ubicación del tratamiento: UE (Francia, Gravelines; las copias de seguridad gestionadas, también en Estrasburgo, Francia: Anexo I, I.2)
Datos que recibe: Los mismos Datos del Cliente que la base de datos de la fila 1, en la medida en que Aiven tenga acceso a ellos
¿Datos del Cliente?: Posible. La base de datos contiene todos los Datos del Cliente, y Aiven puede necesitar tratarlos, en remoto, para operar el servicio
Garantía de transferencia: Servidores en la UE; para cualquier tratamiento fuera del EEE, cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, según el contrato de encargo de Aiven

N.º y proveedor: 3. Cloudflare, Inc.
Servicio: DNS, red de distribución, cortafuegos y terminación TLS; verificación antibots Turnstile del Trust Center público; API de dominios propios (custom hostnames) de los Trust Center
Finalidad: Entregar y proteger el tráfico de la Plataforma
Ubicación del tratamiento: Red global; entidad en Estados Unidos
Datos que recibe: Todo el tráfico en tránsito, que Cloudflare ve en claro por terminar TLS en el borde y reabrirlo hacia el origen con TLS mutuo (incluye los Datos del Cliente que viajan en cada petición), con IP y datos técnicos del navegador. Turnstile: el token y la IP del visitante. API de dominios propios: el nombre de host que el cliente quiere asociar a su Trust Center
¿Datos del Cliente?: Sí (terminación TLS: ve el contenido de las peticiones). Posible en Turnstile (IP de visitantes del Trust Center público). No en la API de dominios propios (un nombre de host, no personal en principio)
Garantía de transferencia: EU-U.S. Data Privacy Framework mientras Cloudflare, Inc. figure como participante activo y, si deja de aplicarse, Cláusulas Contractuales Tipo (Decisión (UE) 2021/914)

N.º y proveedor: 4. Resend (EE. UU.; entidad contratante: Plus Five Five, Inc. (opera como Resend), 2261 Market Street #5039, San Francisco, CA, EE. UU., según el DPA y las condiciones del servicio del proveedor, https://resend.com/legal/dpa y https://resend.com/legal/terms-of-service, consultados el 2026-10-14)
Servicio: API de correo transaccional, llamada desde n8n
Finalidad: Enviar los correos de la Plataforma: invitaciones, alertas, avisos, invitaciones a cuestionarios y avisos de vulnerabilidades a proveedores
Ubicación del tratamiento: Estados Unidos (tratamiento principal, según su DPA); región de envío: eu-west-1 (Irlanda), medida en la API de Resend el 2026-10-14. Amazon Web Services, Inc. figura como proveedor de alojamiento y envío en la página de subencargados de Resend (actualizada el 27-08-2026, verificada el 2026-10-06)
Datos que recibe: Correo y nombre del destinatario (usuarios del Cliente y contactos de proveedores) y contenido del aviso
¿Datos del Cliente?: Sí. Recibe nombre y correo de personas y el texto de los avisos que contienen datos del Cliente
Garantía de transferencia: Resend es una empresa estadounidense y su DPA indica que su tratamiento principal se hace en EE. UU. (cláusula 6.1). Garantías según ese DPA: Cláusulas Contractuales Tipo de la Decisión (UE) 2021/914, módulo dos y, si el Cliente es encargado, módulo tres (cláusula 6.2), y adhesión declarada al EU-U.S. DPF (cláusula 11.1); base de la transferencia: DPF/SCC

N.º y proveedor: 5. Functional Software, Inc. (Sentry), para la consola, la API pública y el servidor MCP (proveedor de Hodeitek como responsable; no es subencargado del Cliente)
Servicio: Monitorización de errores (navegador, servidor y edge de la consola; API pública y servidor MCP)
Finalidad: Diagnosticar errores técnicos de la Plataforma, finalidad propia de Hodeitek como responsable (cláusula 2.2)
Ubicación del tratamiento: Almacenamiento en la región de la UE de Sentry. Accesos posibles desde EE. UU. por Functional Software, Inc.
Datos que recibe: Informes de error filtrados (sin usuario, cookies ni cabeceras; correos, IP y secretos del texto redactados); trazas de rendimiento muestreadas; registros de la aplicación con una lista cerrada de atributos (inquilino, petición, país, ruta, estado), sin identificador de usuario ni resumen de IP; reproducción de pantalla solo con error y enmascarada. Ver detalle abajo
¿Datos del Cliente?: No como subencargado: Hodeitek trata estos informes como responsable (cláusula 2.2). Posible. El texto libre de mensajes y trazas puede contener nombres o datos del Cliente que el filtro no reconoce (quita correos, IP, tokens y secretos, no nombres). La lista cerrada de atributos de los registros no incluye datos de personas
Garantía de transferencia: Región de almacenamiento: sin transferencia. Accesos desde EE. UU.: EU-U.S. DPF y, si no se aplica, Cláusulas Contractuales Tipo, módulos 2 y 3, según el DPA público de Sentry v5.1.0 (29-05-2024), https://sentry.io/legal/dpa/

N.º y proveedor: 6. Functional Software, Inc. (Sentry), para el agente de endpoint (proveedor de Hodeitek como responsable; no es subencargado del Cliente)
Servicio: Monitorización de errores del agente instalado en los equipos del Cliente
Finalidad: Diagnosticar fallos del agente, finalidad propia de Hodeitek como responsable (cláusula 2.2)
Ubicación del tratamiento: Región de la UE de Sentry. Accesos posibles desde EE. UU. como en la fila anterior
Datos que recibe: Solo errores y fallos: mensaje y traza filtrados, versión, entorno, sistema operativo y versión del núcleo, arquitectura. La IP de la conexión del equipo llega a los servidores de Sentry; con la opción del proyecto que impide guardar IP y la regla de depuración de datos de Sentry que elimina la ubicación derivada, el evento guardado no conserva ni la IP ni la ciudad (medido el 2026-10-06). Esa regla es configuración de Sentry y no código
¿Datos del Cliente?: No como subencargado: Hodeitek trata estos informes como responsable (cláusula 2.2). Posible. Las observaciones del agente no van a Sentry y el nombre del equipo y de la cuenta se redactan, pero el texto de un error puede contener datos que el filtro no reconoce; la IP de la conexión llega a Sentry aunque no se guarde
Garantía de transferencia: Igual que la fila anterior

N.º y proveedor: 7. OVH SAS (Francia), la misma entidad que la fila 1
Servicio: OVHcloud AI Endpoints (inferencia de IA), API compatible con la de OpenAI, a través de n8n, en los cinco flujos con modelo: HodeiAI, CISO virtual, redacción de políticas (el análisis de cobertura no llega al modelo), análisis de riesgo de escaneos de proveedores y clasificación de novedades regulatorias (ver detalle abajo). Condiciones del servicio: Apéndice 10 («AI Endpoints») de las Condiciones Particulares de Public Cloud de OVHcloud. Subencargados de OVH: los de su propio acuerdo de encargo; el Apéndice 10 no los menciona
Finalidad: HodeiAI, CISO virtual, informes, redacción de políticas y parte del análisis de riesgo de los escaneos de proveedores
Ubicación del tratamiento: UE (Francia, Gravelines, según la documentación del servicio de OVH), página del servicio actualizada el 03-02-2026, no contractual; el contrato no fija región. Según el contrato, el servicio no almacena las peticiones ni los datos, ni siquiera temporalmente, salvo la API Batch, que HodeiShield no usa, y OVHcloud no los reutiliza, tampoco para entrenar modelos. Retención propia de Hodeitek de las conversaciones: 90 días
Datos que recibe: HodeiAI y CISO virtual: la pregunta, los últimos 20 mensajes, el contexto del inquilino y los resultados de las herramientas que consulta el agente (proveedores, riesgos, evidencias, cumplimiento), seudonimizados. Políticas: el marco, la categoría, el tono, el idioma y el nombre de la organización para redactar la política, seudonimizados. Escaneos de proveedores: dominio, tipo, puntuación, hallazgos y datos de Shodan en claro, con solo sustitución por patrones de correo, teléfono, IBAN y DNI/NIE. Novedades regulatorias: solo fuentes públicas
¿Datos del Cliente?: Sí, mientras el inquilino tiene HodeiAI activado (todos los flujos salvo novedades regulatorias dependen de ese interruptor). No en la clasificación de novedades regulatorias (solo textos públicos)
Garantía de transferencia: Dentro del EEE: OVH SAS está establecida en Francia y la ubicación del servicio es la UE (Francia, Gravelines, según la documentación del servicio de OVH); no hay transferencia internacional.

N.º y proveedor: 8. Microsoft Corporation (Microsoft 365), con Microsoft Ireland Operations Ltd. como representante en el EEE
Servicio: Buzones de correo de atención, de seguridad y de protección de datos (info@hodeitek.com, security@hodeitek.com, privacy@hodeitek.com)
Finalidad: Atender por correo las consultas de soporte y las comunicaciones de seguridad
Ubicación del tratamiento: Irlanda (UE), dentro del EEE (EU Data Boundary); accesos puntuales de Microsoft Corporation (EE. UU.)
Datos que recibe: Solo lo que el Cliente escriba o adjunte en el mensaje, si envía Datos del Cliente por ese canal; además, el correo y el nombre del remitente
¿Datos del Cliente?: Posible. El soporte por correo puede recibir Datos del Cliente si el participante los pega o adjunta
Garantía de transferencia: Dentro del EEE para el almacenamiento; los accesos puntuales desde EE. UU. se apoyan en el EU-U.S. DPF y, como respaldo, en las Cláusulas Contractuales Tipo

N.º y proveedor: 9. UptimeRobot s. r. o. (Bratislava, Eslovaquia, UE)
Servicio: Página de estado y avisos de incidencias y mantenimiento por correo a quien se suscriba: status.hodeishield.com, página pública de UptimeRobot, con las incidencias y los avisos publicados por Hodeitek
Finalidad: Informar del estado del servicio y de las incidencias, y avisar por correo a quien se suscriba
Ubicación del tratamiento: Principal en la UE y secundaria en EE. UU., en centros de datos de sus subencargados (DPA de UptimeRobot, Anexo 1 y cláusula 11.1)
Datos que recibe: Si alguien se suscribe a los avisos, su correo electrónico, que UptimeRobot guarda en su base de datos y que el dueño de la página no puede ver; de los visitantes de la página, la IP y registros de uso (DPA, Anexo 1). Los monitores solo comprueban direcciones públicas de la Plataforma
¿Datos del Cliente?: Posible. Quien se suscribe puede ser un usuario del Cliente; la página no recibe datos del espacio de trabajo.
Garantía de transferencia: La entidad está en la UE. Para lo que se trate en EE. UU. u otros terceros países, Cláusulas Contractuales Tipo (Decisión (UE) 2021/914), módulo dos o tres según el papel del cliente (DPA de UptimeRobot, cláusulas 11.2 y 11.3). UptimeRobot no declara adhesión al EU-U.S. DPF

2.Destinos que elige el Cliente (no son subencargados)

Los servicios a los que el Cliente dirige datos por su cuenta no son subencargados de Hodeitek: los destinos de alertas (Slack, Microsoft Teams, PagerDuty, Opsgenie, webhooks propios, SIEM en formato CEF, Jira y ServiceNow) y los proveedores de identidad para el inicio de sesión único (Google, Microsoft Entra, Okta, OneLogin o uno propio). El Cliente elige el destino, lo configura y responde de él; Hodeitek solo envía lo que el Cliente configura. El aviso de la consola lo dice igual.

3.Stripe y Holded: figuran en la lista de la consola y no reciben Datos del Cliente

Stripe y Holded son encargados de Hodeitek para cobrar y facturar la suscripción, solo cuando se contrata en línea. Reciben solo datos de facturación, que Hodeitek trata como responsable, y nada del espacio de trabajo (proveedores, evidencias, usuarios). No son subencargados de este contrato y por eso no tienen fila en la primera parte. La facturación está apagada mientras BILLING_ENABLED no valga true, y la beta es gratuita.

4.Segunda parte. Fuentes de datos públicos (no son subencargados)

Esta lista es distinta de la primera parte. La consola la presenta aparte, como «Fuentes públicas de seguridad y servicio de logotipos»: servicios de datos públicos a los que el motor de automatización (n8n) envía identificadores de lo que se analiza, no cuentas de usuario. No son subencargados. Se declaran para que el Cliente sepa qué sale de la Plataforma: un dominio de empresa no suele ser un dato personal, pero lo es si identifica a una persona física, y el conjunto de lo consultado revela qué proveedores y qué software usa el Cliente. Este contrato no declara dónde tratan los datos estos servicios: no son subencargados y solo reciben lo que indica la tabla.

Segunda parte. Fuentes de datos públicos (no son subencargados)
Fuente	Para qué se consulta	Qué recibe	¿Datos personales?
Shodan (`api.shodan.io`)	Medir la exposición pública de los proveedores del Cliente (resolución de DNS y datos públicos del servidor), también en el escaneo público de dominios, con una credencial de Hodeitek	El dominio del proveedor y la dirección IP a la que resuelve, al escanear un proveedor del Cliente y en los reescaneos programados	Posible, solo si el dominio identifica a una persona física (por ejemplo, un autónomo). Revela qué proveedores analiza el Cliente
Have I Been Pwned (`haveibeenpwned.com`)	Detectar si un dominio de proveedor figura en brechas públicas, mediante el catálogo público de brechas (`/api/v3/breaches?Domain=`)	Solo el dominio del proveedor (parámetro `Domain`) y la cabecera `user-agent: HodeiShield/1.0`. No se envía ninguna dirección de correo ni otro dato personal de los clientes.	Posible, solo si el dominio identifica a una persona física. Por eso no es un encargado: no recibe datos personales de los clientes por cuenta de Hodeitek
OSV.dev (`api.osv.dev`)	Cruzar los componentes de los SBOM que sube el Cliente con vulnerabilidades conocidas	El identificador de paquete (purl: nombre, versión y ecosistema) de cada componente, sin el inquilino que lo subió	No. Sí es información confidencial del Cliente (qué software usa o usa su proveedor)
Logo.dev (`img.logo.dev`)	Obtener el logotipo de un proveedor, editor o conector	El dominio del proveedor, el editor o el conector	Posible, solo si el dominio identifica a una persona física
NVD (`services.nvd.nist.gov`)	Buscar CVE de los activos de software (API REST 2.0, por CPE)	El nombre CPE del producto de software del activo (proveedor, producto, versión), en el parámetro `cpeName`, sin el inquilino	Información de inventario del Cliente (qué software usa), del mismo carácter que los identificadores que recibe OSV.dev.
FIRST EPSS (`api.first.org`)	Obtener la probabilidad de explotación de cada CVE	Los identificadores CVE	No
CISA (catálogo de vulnerabilidades explotadas conocidas)	Descargar una lista pública	Nada del Cliente	No
Boletines regulatorios (BOE, EUR-Lex, BCE, EBA, ESMA, EDPB, Comisión Europea e INCIBE)	Descargar listas públicas para clasificar novedades regulatorias	Nada del Cliente	No

5.Detalle de OVHcloud AI Endpoints

Detalle de OVHcloud AI Endpoints
Flujo	Depende del interruptor HodeiAI	Seudonimizado	Datos del Cliente
HodeiAI y sus informes, resumen del panel y respuestas del Trust Center	Sí	Sí, la petición y los resultados de las herramientas	Sí
CISO virtual	Sí	Sí	Sí
Redacción de políticas	Sí	Sí	Sí
Análisis de cobertura de políticas	Sí	Sí (llega seudonimizado a n8n)	No llega a OVHcloud AI Endpoints
Análisis de riesgo de escaneos de proveedores	Sí, por la marca `ai_analysis`	No: petición sin seudonimizar, solo sustitución por patrones en el texto que recibe el modelo	Sí: dominio, hallazgos y datos de Shodan del proveedor
Clasificación de novedades regulatorias	No (texto público)	No hace falta	No: solo fuentes públicas

6.Detalle de Sentry

Consola, API pública y servidor MCP:

sendDefaultPii: false en navegador, servidor, edge, API y servidor MCP.
Filtro beforeSend: borra el usuario, las cookies y las cabeceras de la petición; en servidor y edge borra además claves con nombre de dato personal en extra y tags, y al final redacta formas de secretos, tokens en URL, correos y direcciones IP del texto. No reconoce nombres de personas dentro del texto de un error.
Registros enviados a Sentry (enableLogs: true): una lista cerrada de atributos (tenantId, requestId, cfRay, country, component, level, route, durationMs, statusCode, method, status, errorCode), solo como texto, número o booleano; todo lo demás se descarta, y el mensaje y los textos pasan por el filtro de secretos y correos. El identificador de usuario y el resumen salado de la IP no salen hacia Sentry; sí van a los registros internos y a OVHcloud Logs Data Platform (fila 1).
Reproducción de sesión: nunca en sesiones normales; en producción, solo si hay un error, con maskAllText, maskAllInputs y blockAllMedia y con bloqueo de los elementos con enlaces de acceso.
Trazas de rendimiento muestreadas (10 % en producción en navegador y edge; muestreo por ruta en servidor) y perfiles de servidor al 10 %.
Envío del navegador a través de un relé propio (POST /monitoring) que solo reenvía a un host de ingesta de la UE y a los proyectos de la lista permitida, y que no pasa al destino las cabeceras del navegador (solo el tipo de contenido y la codificación), así que Sentry ve la IP del servidor de la consola y no la del usuario.
La API pública (api/) y el servidor MCP envían solo errores, sin petición, usuario, migas de pan ni registros, también por el relé; sin interruptor de proyectos rellenado, el relé los rechaza.
Cómo se desactiva: solo lo puede hacer Hodeitek, en el despliegue. Sentry no envía nada con SENTRY_ENVIRONMENT=development, pero el arranque en producción exige un DSN configurado y el DSN del navegador se fija al compilar la imagen. No hay interruptor por cliente.

Agente:

El DSN se incorpora al compilar los binarios oficiales desde un secreto de CI; por eso los binarios publicados informan por defecto.
Solo envía errores, pánicos y ciertas anomalías internas del agente; sin sesiones, trazas, registros ni métricas.
Cómo se desactiva, en las versiones publicadas `v2.12.2` y `v2.12.3`: (1) fichero marcador /etc/hodei-shield/telemetry-off en Linux y macOS o %ProgramData%\Hodei-Shield\telemetry-off en Windows, que prevalece sobre cualquier DSN y sobrevive a las actualizaciones; (2) HODEI_SENTRY_DSN con valor off, false, 0, no, none, disabled o vacío. Está documentado en las guías de instalación del agente. En Windows el servicio no ve una variable de máquina nueva hasta reiniciar el equipo, por lo que se recomienda el fichero marcador.
En `v2.12.1` no hay fichero marcador: la desactivación era una variable HODEI_SENTRY_DSN con un valor que no es un DSN válido (por ejemplo off), y el nombre del equipo podía llegar dentro del texto de las migas de pan.
Ubicación aproximada: Sentry deduce país y ciudad desde la IP de la conexión después de que el evento salga del equipo; ningún código del agente puede impedirlo. La regla de depuración de datos del proyecto hodeishield-agent que la elimina es configuración de Sentry, medida el 2026-10-06, no código.
Los módulos cargados en Windows se envían por nombre de fichero e identificador de depuración, sin directorio.