Volver a PrivacidadA quién compartimos
Privacidad · sub-procesadores
A quién compartimos
tus datos.
Versión 2026-05-17 · cada cambio se notifica por email con 30 días de antelación (art. 28.2 RGPD · derecho de oposición).
Los siguientes proveedores son sub-procesadores de Kursear bajo contrato (DPA art. 28 RGPD). Cada uno trata sólo los datos estrictamente necesarios para su función y bajo nuestras instrucciones documentadas.
Supabase Inc.
Encargado del tratamiento- Jurisdicción
- EEUU · datos almacenados en EU (Frankfurt, AWS eu-central-1)
- Finalidad
- Hosting de base de datos PostgreSQL, autenticación, almacenamiento de archivos cifrados en reposo (evidencias).
- Base contractual
- DPA Supabase firmado (https://supabase.com/legal/dpa) · SCC módulo 2 · datos físicamente en la UE.
- Transferencia internacional
- No · datos almacenados exclusivamente en EU.
Anthropic, PBC
Sub-encargado del tratamiento- Jurisdicción
- EEUU (San Francisco, California)
- Finalidad
- Procesamiento de prompts y evidencias mediante modelos Claude (generación del manual + plan + Profesor IA + verificador adversarial + visión).
- Base contractual
- Anthropic Commercial Terms of Service · DPA firmado · NO entrena modelos con inputs API · log retention 30 días por defecto.
- Transferencia internacional
- Sí · SCC Decisión 2021/914 módulo 3 + adhesión al Data Privacy Framework UE-EEUU (decisión 2023/1795).
Lemon Squeezy (Forewind LLC)
Encargado del tratamiento + Merchant of Record- Jurisdicción
- EEUU (Wilmington, Delaware)
- Finalidad
- Procesamiento del pago. Como MoR, Lemon es el vendedor legal frente al cliente final, recauda IVA en su nombre y nos liquida netos.
- Base contractual
- Lemon Squeezy DPA (https://www.lemonsqueezy.com/dpa) · SCC + actúa como controller separado para datos de tarjeta (PCI-DSS).
- Transferencia internacional
- Sí · SCC + DPF.
Resend
Encargado del tratamiento- Jurisdicción
- EEUU (Delaware)
- Finalidad
- Envío de emails transaccionales (magic link, recordatorios Profesor IA, notificaciones de evidencia, recuperación de cohorte, confirmaciones de pago).
- Base contractual
- Resend DPA · SCC + DPF.
- Transferencia internacional
- Sí · SCC + DPF.
Vercel Inc.
Encargado del tratamiento (hosting)- Jurisdicción
- EEUU · edge en múltiples regiones, función principal en EU Frankfurt.
- Finalidad
- Hosting de la aplicación Next.js, ejecución de funciones edge, cron jobs, logs de runtime.
- Base contractual
- Vercel DPA (https://vercel.com/legal/dpa) · SCC + DPF.
- Transferencia internacional
- Sí · SCC + DPF.
Trigger.dev
Encargado del tratamiento- Jurisdicción
- Reino Unido (con infra UE)
- Finalidad
- Orquestación de tareas asíncronas largas (generación del manual + plan de 30 días post-pago).
- Base contractual
- Trigger.dev DPA · transferencia UK ↔ EU bajo Adequacy Decision Reino Unido (Decisión UE 2021/1772).
- Transferencia internacional
- UK ↔ EU bajo decisión de adecuación · sin SCC adicionales.
Plausible Analytics
Encargado del tratamiento- Jurisdicción
- UE (Estonia · infra Alemania)
- Finalidad
- Analítica web agregada · sin cookies · IP anónima · sin fingerprinting. Activo siempre (no requiere consentimiento).
- Base contractual
- Plausible DPA · datos íntegramente en la UE.
- Transferencia internacional
- No · datos exclusivamente en EU.
Google Analytics 4
Encargado del tratamiento- Jurisdicción
- EEUU
- Finalidad
- Medición de tráfico, eventos de conversión y atribución de campañas pagadas. Activo SÓLO si el visitante acepta cookies en el banner. Consent Mode v2 para los que rechazan.
- Base contractual
- Google DPA · SCC + DPF · IP anonimizada activada por defecto.
- Transferencia internacional
- Sí · SCC + DPF · sólo con consentimiento del visitante.
OpenRouter (cuando aplique)
Sub-encargado del tratamiento (proxy)- Jurisdicción
- EEUU
- Finalidad
- Proxy a modelos no-Anthropic cuando se requiera (raro · Kursear usa Claude por defecto). Sólo si se activa explícitamente en un módulo concreto.
- Base contractual
- OpenRouter ToS + DPA · forward al proveedor final con su propia política.
- Transferencia internacional
- Sí · SCC + DPF.
Cómo te enteras si cambia
Cuando añadamos, cambiemos o sustituyamos un sub-procesador te avisaremos por email con al menos 30 días de antelación al cambio. Tienes derecho a oponerte (art. 28.2 RGPD); si la oposición impide la prestación del servicio podrás solicitar la terminación del contrato con devolución prorrateada.