*Borrador para revisión de abogado colombiano*

**IALABS.APP · AGENTRIXLABS.COM.CO · S360.TECH — CORDOVA GROUP S.A.S.**

# Subencargados y proveedores que tratan datos

Versión 1.0 · Vigente desde el 22 de octubre de 2026 · Cordova Group S.A.S., NIT 901578119-7 · Sitios: ialabs.app (sitio principal), agentrixlabs.com.co y s360.tech · Publicada en https://ialabs.app/legal/subencargados

## 1. Para qué sirve esta lista

1.1 Cordova Group S.A.S. («ialabs»), NIT 901578119-7, presta los Servicios de ialabs.app con estos proveedores. El que trata datos de los Contactos de un Cliente por cuenta nuestra es un **Subencargado**: lo hace bajo contrato, solo para prestar los Servicios y con seguridad y confidencialidad (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 y cláusula 4 del Contrato de Transmisión de Datos). Lo configuramos para que no use los datos para fines propios, publicidad ni entrenamiento de modelos, y activamos o solicitamos la retención cero donde existe.

1.2 **Retención propia** es lo que el proveedor guarda por su cuenta, por ejemplo para detectar abusos; nuestros plazos están en la sección 16 de la Política de Privacidad (https://ialabs.app/legal). **En reserva** significa autorizado para continuidad o migración, sin datos hasta que lo activemos y lo anotemos en el Registro de cambios.

1.3 **Dónde están los datos.** Los Subencargados alojan y tratan los datos **solo en Colombia, Estados Unidos y Estados de la Unión Europea**, países con nivel adecuado de protección según el numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la Superintendencia de Industria y Comercio (Circular Externa 005 de 2017). El tráfico puede pasar cifrado por la red de entrega de contenidos, sin almacenarse en ella.

## 2. Subencargados

| Proveedor | Servicio que presta | Datos que recibe | Ubicación | Garantía contractual | Retención propia del proveedor | Desde |
|---|---|---|---|---|---|---|
| **A. Infraestructura, bases de datos y almacenamiento** (reciben los datos de la Plataforma, cifrados en tránsito) | | | | | | |
| **OVHcloud** | Servidor virtual (VPS) principal | Todos los de la Plataforma | Estados Unidos | [DPA](https://us.ovhcloud.com/legal/data-processing-agreement/) | La controla ialabs. Al terminar, el proveedor borra el servidor | 22 oct. 2026 |
| **Supabase** | Base de datos administrada (Postgres), cifrada en reposo | Todos los de la Plataforma | Estados Unidos o Unión Europea (región del proyecto) | [DPA](https://supabase.com/legal/customer-resources/data-processing-addendum) | La controla ialabs. Respaldos diarios: 7 días. Al terminar: 30 días para pedir los datos; luego borra | 22 oct. 2026 |
| **Cloudflare** (Cloudflare, Inc.) | Red de entrega, túneles y archivos (R2), cifrados en reposo | Tráfico web cifrado; audios y archivos en R2 | Archivos en Estados Unidos o Unión Europea; tránsito por su red | [DPA](https://www.cloudflare.com/cloudflare-customer-dpa/) | Archivos de R2: los controla ialabs. Al terminar: borra o devuelve, a elección del cliente | 22 oct. 2026 |
| **n8n** (n8n GmbH) | Automatización de flujos (n8n Cloud) | Datos que pasan por los flujos | Unión Europea (Alemania) | [DPA](https://n8n.io/legal/data-processing-agreement/) | Ejecuciones: máximo 30 días | 22 oct. 2026 |
| **Contabo** (Contabo GmbH) | Servidor virtual (VPS) de respaldo | Todos los de la Plataforma | Alemania | DPA en su panel | La controla ialabs | En reserva |
| **AWS** (Amazon Web Services, Inc.) | Nube: servidores, bases de datos y almacenamiento | Todos los de la Plataforma | Estados Unidos o Unión Europea (región que elegimos) | [DPA](https://d1.awsstatic.com/legal/aws-dpa/aws-dpa.pdf) | La controla ialabs. Al terminar: hasta 90 días para recuperar o borrar | En reserva |
| **Google Cloud** (Google LLC) | Nube: servidores, bases de datos y almacenamiento | Todos los de la Plataforma | Estados Unidos o Unión Europea (región que elegimos) | [DPA](https://cloud.google.com/terms/data-processing-addendum) | La controla ialabs | En reserva |
| **B. Modelos de inteligencia artificial** | | | | | | |
| **OpenAI** (OpenAI OpCo, LLC) | Modelos de lenguaje | Mensajes, instrucciones y fragmentos de la base de conocimiento | Estados Unidos | [DPA](https://openai.com/policies/data-processing-addendum/) | Hasta 30 días para detectar abusos; luego borra. No entrena con datos de su API | 22 oct. 2026 |
| **Anthropic** (Anthropic, PBC) | Modelos de lenguaje (Claude) | Los mismos que OpenAI | Estados Unidos | [DPA](https://www.anthropic.com/legal/data-processing-addendum) | Borra en 30 días; si detecta una infracción de sus políticas, puede conservar más tiempo. No entrena con datos comerciales | 22 oct. 2026 |
| **Groq** (Groq LLC) | Modelos de lenguaje | Los mismos que OpenAI | Estados Unidos | [DPA](https://console.groq.com/docs/legal/customer-data-processing-addendum) | Retención cero activada en su panel. No entrena con datos de clientes | 22 oct. 2026 |
| **OpenRouter** (OpenRouter, Inc.) | Enrutador de modelos de varios desarrolladores (sección 4), solo con proveedores en Estados Unidos o la Unión Europea | Los mismos que OpenAI | Estados Unidos | [DPA](https://openrouter.ai/data-processing-agreement) | No guarda los mensajes (registro desactivado). Guarda metadatos de uso. No entrena | 22 oct. 2026 |
| **C. Voz, telefonía y correo** | | | | | | |
| **ElevenLabs** (Eleven Labs Inc.) | Voz: síntesis, transcripción, agentes de voz y voces clonadas con autorización | Audio y transcripción de llamadas; texto del Agente; muestras de voz autorizadas | Estados Unidos | [DPA](https://elevenlabs.io/dpa) | Conversaciones de agentes: 90 días. Exclusión de entrenamiento activada | 22 oct. 2026 |
| **Twilio** (Twilio Inc.) | Telefonía, SMS y grabación de llamadas | Llamadas (registros y grabaciones) y SMS | Estados Unidos | [DPA](https://www.twilio.com/en-us/legal/data-protection-addendum) | Grabaciones: las borramos a los 90 días | 22 oct. 2026 |
| **Resend** (Plus Five Five, Inc.) | Correo transaccional | Correos de aviso y confirmación | Estados Unidos | [DPA](https://resend.com/legal/dpa) | Contenido y registros: 30 días | 22 oct. 2026 |
| **D. Datos de cuenta y facturación** (ialabs es Responsable; no reciben datos de Contactos) | | | | | | |
| **Bold** (Bold.Co S.A.S.) | Pagos de los planes | Facturación y pago del Cliente o del Usuario Individual | Colombia | [Política de datos](https://bold.co/legal/privacidad-datos-personales) | Según sus normas financieras | 22 oct. 2026 |
| **HubSpot** (HubSpot, Inc.) | CRM propio | Prospectos y contactos comerciales de ialabs | Estados Unidos | [DPA](https://legal.hubspot.com/dpa) | Mientras exista la cuenta | 22 oct. 2026 |

**Telegram** se usa solo para alertas técnicas internas, sin datos de Contactos ni contenido de conversaciones; por eso no es Subencargado.

## 3. Plataformas que el Cliente elige y contrata directamente

Meta y Google no son Subencargados de ialabs: el Cliente conecta sus propias cuentas y acepta sus términos directamente. Nosotros solo nos integramos, con los permisos que el Cliente autoriza (secciones 9 y 10 de la Política de Privacidad).

| Plataforma | Qué hace | Datos | Términos que acepta el Cliente | Cómo desconectar |
|---|---|---|---|---|
| **WhatsApp Business Platform** (Cloud API), de Meta | Entrega sus mensajes de WhatsApp | Número y nombre de perfil del Contacto, mensajes, estados de entrega y datos de la WABA | [Business Solution Terms](https://www.whatsapp.com/legal/business-solution-terms) · [Data Processing Terms](https://www.whatsapp.com/legal/business-data-processing-terms). Meta actúa como encargado del Cliente | https://ialabs.app/legal/eliminacion, sección 2 |
| **Instagram y Messenger**, de Meta | Entregan los mensajes de la cuenta profesional de Instagram y de la página de Facebook del Cliente | Identificadores y nombre de la persona, mensajes y estados de entrega | Términos de Meta y Términos de la Plataforma de Meta | https://ialabs.app/legal/eliminacion, sección 2 |
| **Google Workspace** (Calendar, Gmail, Drive, Sheets) | Aloja sus eventos, correos y archivos | Solo lo que permiten los permisos que el usuario autoriza | [Política de Datos de Usuario de API (Uso Limitado)](https://developers.google.com/terms/api-services-user-data-policy) | https://myaccount.google.com/permissions o https://ialabs.app/legal/eliminacion, sección 3 |

## 4. Modelos de origen chino y proveedores fuera de países con nivel adecuado

4.1 Algunos modelos abiertos que ofrecemos son de origen chino, como **Kimi**, de Moonshot AI. A dónde van los datos lo define quién ejecuta el modelo, no su origen: solo los usamos por medio de OpenRouter, con proveedores en Estados Unidos, retención cero, sin entrenamiento y sin enrutamiento automático a otros proveedores. **Los datos no van a China ni a ningún país distinto de Colombia, Estados Unidos o la Unión Europea.** El Cliente puede pedir que sus Agentes no usen modelos de origen chino.

4.2 No usamos la API directa de Moonshot AI: la presta Moonshot AI Pte. Ltd. desde Singapur, no publica un contrato de tratamiento de datos y sus términos permiten usar el contenido para mejorar sus servicios, salvo acuerdo escrito.

4.3 Un proveedor en otro país solo se activaría para los Agentes de un Cliente con: (a) instrucción escrita del Cliente; (b) contrato con el proveedor que prohíba el entrenamiento y fije la retención; (c) autorización expresa e inequívoca de los Contactos para esa transmisión u otra excepción del artículo 26 de la Ley 1581 de 2012, a cargo del Cliente como Responsable; y (d) aviso al Contacto al iniciar la conversación. Nunca recibiría datos sensibles, de menores ni Datos de Usuario de Google. Hoy no hay ninguno.

## 5. Cómo avisamos los cambios

5.1 Antes de agregar o reemplazar un Subencargado avisamos con **30 días** de anticipación, por correo a los contactos administrativo y de privacidad del Cliente y en el Registro de cambios. El aviso indica proveedor, servicio, datos, ubicación, garantía y fecha de inicio. Para recibirlos sin ser Cliente, escriba a privacidad@ialabs.app (asunto «Suscripción a subencargados»).

5.2 **En reserva.** Ya están publicados: el Cliente puede oponerse a ellos desde hoy. Al activar uno, lo anotamos y avisamos por correo, sin un nuevo plazo de 30 días.

5.3 **Urgencias.** Si un proveedor falla o una autoridad lo exige, lo reemplazamos de inmediato por otro de esta lista; si ninguno sirve, avisamos dentro de 5 días hábiles y el Cliente puede oponerse (sección 6). Retirar un Subencargado no requiere aviso.

## 6. Cómo oponerse

6.1 Dentro de los 30 días siguientes al aviso, escriba a privacidad@ialabs.app con el asunto «Oposición a Subencargado» y sus razones de protección de datos. Respondemos en máximo 10 días hábiles: no usar ese proveedor con sus datos, otra configuración o por qué no es posible.

6.2 Si no hay solución, el Cliente puede terminar el servicio afectado sin penalidad (cláusula 4 del Contrato de Transmisión de Datos), con 30 días para exportar; luego eliminamos los datos y entregamos certificado (https://ialabs.app/legal/eliminacion).

## 7. Registro de cambios y contacto

| Fecha | Versión | Cambio |
|---|---|---|
| 22 de octubre de 2026 | 1.0 | Primera publicación: 11 Subencargados activos, 3 en reserva, 2 proveedores de datos de cuenta y las plataformas que contrata el Cliente. |

**Contacto.** Oficial de Protección de Datos: Mateo Piza Ruiz · privacidad@ialabs.app · Cordova Group S.A.S. · NIT 901578119-7 · [DIRECCIÓN], Medellín, Antioquia · Política de Privacidad: https://ialabs.app/legal.

---

## Anexo interno — no publicar

*Para el equipo y el abogado revisor. Se elimina antes de publicar.*

### Cambios respecto a versiones anteriores

| Sección | Antes | Ahora | Motivo |
|---|---|---|---|
| §1.3 | EE. UU., UE y Brasil (por la Decisión (UE) 2026/179) | Solo Colombia, EE. UU. y UE; cita al numeral 3.2 de la Circular Única | Instrucción del fundador |
| §2 A | Hostinger (Brasil) en reserva; AWS y Google Cloud «EE. UU. o Brasil»; Supabase Pte. Ltd. (Singapur) | Hostinger fuera; AWS y Google Cloud solo EE. UU. o UE; Supabase sin entidad de Singapur en la tabla; OVH en EE. UU. | Instrucción del fundador; la IP del VPS es de OVH US |
| §2 B y C | Configuraciones «[CONFIRMAR]» y «[SOLICITAR]» | Se publican como estado objetivo; cada una queda como pendiente bloqueante | Formato v2: sin corchetes de verificación en el cuerpo |
| §2 C | ElevenLabs solo voz y agentes | Se agregan voces clonadas con autorización | Se ofrece clonación de voz |
| §3 | Solo WhatsApp y Google | Se agregan Instagram y Messenger | Se ofrecen |
| §4.3 | Régimen opcional con las cláusulas modelo de la Circular Externa 003 de 2025 | Régimen excepcional sin activar; se quita la cita no verificada | Hoy no hay proveedores fuera de Colombia, EE. UU. o UE |
| §7 | [N] Subencargados | 11 activos, 3 en reserva, 2 de cuenta | Inventario actual |

### Pendientes antes de publicar (bloqueantes: no publicar hasta cumplirlos o ajustar la fila)

- [ ] **Dapta.** Mientras haya agentes de Clientes en Dapta, Dapta es Subencargado y debe aparecer en la tabla, con ubicación y contrato: Dapta | Agentes de voz y texto durante la migración | Conversaciones, llamadas y transcripciones | [UBICACIÓN] | [DPA] | [RETENCIÓN] | Temporal. Si la ubicación no es Colombia, EE. UU. o UE, terminar la migración antes de publicar.
- [ ] **ElevenLabs:** activar la exclusión de entrenamiento y fijar la retención en 90 días en cada agente (por defecto son 2 años). Obtener la exclusión por escrito.
- [ ] **OVHcloud:** confirmar la entidad (OVH US LLC) y el centro de datos; enlazar el DPA de esa entidad.
- [ ] **Supabase:** confirmar la región del proyecto (EE. UU. o UE) y la entidad contratante. Si es Supabase Pte. Ltd. (Singapur), que el abogado evalúe el acceso de soporte desde Singapur.
- [ ] **Cloudflare R2:** fijar la ubicación del bucket en EE. UU. o UE.
- [ ] **OpenAI:** enviar store=false; no usar Files, Assistants ni Batch con datos de Contactos; solicitar retención cero.
- [ ] **Anthropic:** fijar la inferencia en «us» y solicitar retención cero.
- [ ] **Groq:** activar la retención cero y confirmar que la inferencia no corre fuera de EE. UU. o UE (tiene centros en Canadá y Arabia Saudita).
- [ ] **OpenRouter:** mantener desactivado el registro de prompts; exigir zdr y data_collection «deny»; fijar proveedores en EE. UU. o UE, sin respaldo automático; excluir a Moonshot AI. Revisar cada mes.
- [ ] **Twilio:** programar el borrado de grabaciones a los 90 días y de registros a los 12 meses.
- [ ] **Bold y HubSpot:** pedir a Bold su contrato de tratamiento; confirmar la región de la cuenta de HubSpot.
- [ ] **Contabo:** firmar el DPA en su panel antes de activarlo.
- [ ] Identificar y agregar a la sección D, con su ubicación: el proveedor del correo de ialabs.app (recibe PQR y solicitudes de supresión), la hoja de cálculo del Registro de solicitudes (17) y el software contable y de facturación electrónica.
- [ ] Definir con el abogado el rol de Bold (Encargado de ialabs o Responsable independiente) y usar la misma calificación en 09, 19 y 21.
- [ ] Confirmar si algún Agente usa Airtable, Lovable Cloud u otra herramienta como respaldo de datos; si es así, agregarla.
- [ ] Crear la lista de correos de privacidad de los Clientes para los avisos de 30 días.
- [ ] Completar **[DIRECCIÓN]**.
- [ ] Revisión del abogado.