Registro de encargados y subencargados del tratamiento — Atención al cliente con IA de SiCusto

1Cómo leer el registro

Función — «Tratamiento por encargo» se refiere a quien recibe datos personales para realizar una tarea (generación de respuestas de IA · Envío de correos · Autenticación); «Almacenamiento» se refiere a la infraestructura de almacenamiento y ejecución.
Uso para entrenamiento y conservación por el proveedor son columnas distintas: los tres proveedores de IA no usan los datos para entrenar, pero los conservan durante un tiempo para supervisar abusos. Por eso no prometemos «retención cero» (anexo 3 del acuerdo de encargo del tratamiento).
Las políticas de los proveedores cambian. Los enlaces de referencia y las fechas de verificación de cada fila se comprobarán de nuevo al contratar.

2Registro

Las políticas de los proveedores y las condiciones aplicables se comprobarán de nuevo al contratar.

Encargado del tratamiento	provider	Función	Datos tratados	País	Fuera de Corea	Uso para entrenamiento	Conservación por el proveedor (plazo · Finalidad)	Retención cero	Referencia
Anthropic (Claude API) Anthropic, PBC 【Entidad contratante pendiente de verificar — entidad jurídica que contrata con la cuenta de consola】	`anthropic`	Tratamiento por encargo (llamadas API para generar respuestas)	Mensajes de clientes finales (enmascarados) · Documentos de conocimiento de la empresa cliente · Instrucciones de atención	Estados Unidos 【Región de tratamiento pendiente de verificar — política de infraestructura del proveedor】	Fuera de Corea	Las entradas y salidas de la API empresarial no se usan para entrenar modelos (condiciones comerciales)	Las entradas y salidas de la API se eliminan del sistema del proveedor en un plazo de 30 días desde su recepción o generación · Si se determina una infracción de la política de uso: entradas y salidas hasta 2 años · Puntuaciones de clasificación hasta 7 años · Excepciones de conservación legal Finalidad: supervisión de abusos (aplicación de la política de uso) · Cumplimiento legal	Sin acuerdo de retención cero (ZDR): solo es posible mediante acuerdo separado 【Verificar si se ha firmado un acuerdo】	www.anthropic.com/legal/commercial-terms privacy.claude.com/en/articles/7996866-how-long-
Google Gemini API (Gemini Developer API) Google LLC 【Entidad contratante pendiente de verificar】	`google`	Tratamiento por encargo (llamadas API para generar respuestas · Cambio de proveedor en caso de fallo)	Mensajes de clientes finales (enmascarados) · Documentos de conocimiento de la empresa cliente · Instrucciones de atención	Infraestructura de Google en Estados Unidos y otros países 【Región de tratamiento pendiente de verificar】	Fuera de Corea	Los prompts y respuestas de proyectos con facturación activada (servicios de pago) no se usan para mejorar ni desarrollar productos 【Verificar que la facturación esté activada en el proyecto de Google Cloud de la clave API: las condiciones del nivel gratuito son distintas】	Los prompts y respuestas de servicios de pago se registran durante 55 días para detectar abusos y cumplir obligaciones legales de divulgación (sin uso para entrenamiento) · El registro del proyecto es independiente (55 días por defecto · Puede reducirse a 7/14/28 días) Finalidad: detección de abusos · Obligaciones legales de divulgación	No se ha confirmado en la documentación oficial una exención de registros de supervisión de abusos (retención cero) para Gemini Developer API 【Verificación necesaria】	ai.google.dev/gemini-api/docs/logs-policy
OpenAI API 【Entidad contratante pendiente de verificar — contraparte de la cuenta de organización de OpenAI】	`openai`	Tratamiento por encargo (llamadas API para generar respuestas · Cambio de proveedor en caso de fallo)	Mensajes de clientes finales (enmascarados) · Documentos de conocimiento de la empresa cliente · Instrucciones de atención	Estados Unidos 【Región de tratamiento pendiente de verificar】	Fuera de Corea	Los datos enviados por API no se usan para entrenar ni mejorar modelos sin consentimiento explícito (opt-in)	Registros de supervisión de abusos conservados hasta 30 días (excepciones por requisitos legales y prevención de daños) · No se activa la opción de almacenamiento (store) de Chat Completions 【Volver a comprobar al contratar】 Finalidad: supervisión de abusos · Cumplimiento legal	La retención cero (ZDR) y la supervisión modificada de abusos requieren aprobación previa de OpenAI: no se ha solicitado 【Verificación necesaria】	developers.openai.com/api/docs/guides/your-data
Google Cloud — Firebase / Cloud Firestore · Cloud Functions · Hosting Google LLC 【Entidad contratante pendiente de verificar — según la cuenta de facturación de Google Cloud】	`gcp`	Almacenamiento (almacenamiento de datos · Ejecución del servidor)	Sesiones y mensajes de atención (enmascarados) · Solicitudes de contacto humano (datos de contacto originales) · Documentos de conocimiento · Libro de uso · Registros de auditoría · Consultas de implantación	República de Corea (región de Seúl asia-northeast3)	En Corea	No procede (almacenamiento · Ejecución)	Originales de producción según la tabla de conservación de la política de privacidad · Copias de seguridad: recuperación a un momento determinado (PITR) + copias diarias conservadas 7 días 【Verificar que la configuración de las copias de seguridad esté completada】 Finalidad: recuperación ante fallos	No procede	— cloud.google.com/firestore/docs/backups
Firebase Authentication (cuentas de la página de administración) Google LLC	`firebase-auth`	Tratamiento por encargo (autenticación de las cuentas de los contactos de la empresa cliente)	Correo del contacto de la empresa cliente · Hash de contraseña · Hora de inicio de sesión: no contiene datos de clientes finales	【Verificación necesaria: Firebase Authentication no permite elegir región】	【Verificar】	No procede	Las bajas de miembros se conservan con un indicador de baja · Las cuentas se eliminan al terminar el contrato (eliminación del tenant); en cuentas compartidas con aplicaciones de consumo, solo se elimina la pertenencia Finalidad: autenticación	No procede	— firebase.google.com/support/privacy
Gmail SMTP (correo saliente) Google LLC 【Verificación del representante: cuenta de Google Workspace o cuenta de Gmail normal】	`smtp`	Tratamiento por encargo (envío de correos)	Correos de derivación a una persona (contacto del cliente final · Consulta · Conversación reciente) · Correos de invitación, alerta e informe	Infraestructura de correo de Google en Estados Unidos y otros países 【Verificación necesaria】	Fuera de Corea	【Verificación necesaria: las condiciones cambian según el tipo de cuenta】	Las copias de Enviados siguen la política de la cuenta remitente · Los correos ya enviados permanecen en el buzón del destinatario (empresa cliente): sujetos a solicitudes de eliminación Finalidad: registro de envío de correos	No procede	—

4Cuando haya cambios

Aviso previo a la empresa cliente antes de aplicar el cambio (artículo 5, apartado 3 del acuerdo de encargo del tratamiento) → Indicaciones para actualizar el párrafo que se inserta en su política de privacidad (D-3).