Versión del 28 de septiembre de 2026
Subencargados, la lista completa.
Quién gestiona cada parte de Union AI, dónde ocurre y bajo qué jurisdicción queda la matriz. Incluidas las partes que no son europeas, porque una lista que las deja fuera no es transparencia, es publicidad.
La lista completa de subencargados
| Empresa | Función | Región de tratamiento | Entidad |
|---|---|---|---|
| Scaleway SAS | Inferencia de IA: todos los prompts y respuestas | Unión Europea (fr-par) | Francia |
| Cloudflare, Inc. | Hosting, CDN y terminación TLS | Unión Europea (región UE de Cloudflare) | Estados Unidos |
| Neon (Databricks) | Base de datos: cuentas, crédito, uso | Región UE (en AWS) | Estados Unidos |
| Stripe | Pagos y determinación del IVA | Tratamiento en la UE a través de Stripe Payments Europe Ltd, Irlanda | Estados Unidos (matriz) |
| Scaleway SAS | Email transaccional | Francia | Francia |
| Linkup Technologies SAS | Búsqueda web, solo cuando activas Buscar: la consulta de búsqueda, nada más | No fija: Linkup puede enviar una consulta a EE. UU., la UE, Canadá o Asia-Pacífico | Francia |
| Google Ireland Ltd | Estadísticas de la web (Google Analytics) y medición de anuncios (Google Ads): sin cookies hasta que hagas clic en Aceptar, después cookies y una dirección de email en hash. Nunca el chat ni la API | No fija: Google puede tratar los datos en EE. UU., en el marco del EU-US Data Privacy Framework | Estados Unidos (matriz) |
| Meta Platforms Ireland Ltd | Medición de anuncios (Meta Pixel y Conversions API), solo después de que hagas clic en Aceptar: el clic en el anuncio y una dirección de email en hash. Nunca el chat ni la API | No fija: Meta puede tratar los datos en EE. UU., en el marco del EU-US Data Privacy Framework | Estados Unidos (matriz) |
Si esta lista cambia, avisamos con antelación a los clientes empresariales con un contrato de encargo del tratamiento, para que puedas oponerte antes de que el cambio entre en vigor.
Google Drive y OneDrive (incluido SharePoint) no están en esta lista porque no son nuestros: son tus propias cuentas. Si conectas una, guardamos la dirección de email de la cuenta y un token de inicio de sesión cifrado, y solo obtenemos un archivo cuando lo eliges en el chat. Después, el archivo se trata como una subida: se lee en nuestros servidores y el modelo responde dentro de la Unión Europea. Si desconectas la cuenta, el token se borra.
Lo que, por eso, afirmamos y no afirmamos
Cada capa de Union AI se ejecuta en una región europea. Tres de las empresas detrás de esas capas tienen una matriz estadounidense, y región no es lo mismo que jurisdicción, así que limitamos nuestras promesas a lo que controlamos: dónde se procesan tus prompts y dónde se ejecuta el modelo. Linkup, para la búsqueda web, es una empresa francesa, pero por defecto no promete procesar una consulta dentro de la UE.
- Cierto: Toda la inferencia de IA se ejecuta en infraestructura dentro de la Unión Europea.
- Cierto: Tus prompts y resultados nunca van a Estados Unidos ni a China.
- Cierto: Con la búsqueda web activada, sale una cosa: una consulta de búsqueda corta que nuestro propio modelo redacta a partir de tu mensaje, con la instrucción de omitir nombres y otros datos personales. Tu conversación, tus archivos y tu cuenta nunca van al proveedor de búsqueda.
- Cierto: Los modelos funcionan bajo nuestra gestión y no se entrenan con datos de clientes.
- No es cierto: «La búsqueda web se queda en la UE.» No está garantizado. La documentación de Linkup dice que las consultas pueden enviarse a EE. UU., la UE, Canadá y Asia-Pacífico salvo que un acuerdo empresarial diga otra cosa, y que la retención cero de datos es para clientes empresariales. Una consulta refleja lo que has preguntado, así que deja Buscar desactivado para un mensaje que no quieras ver convertido en una.
Qué ve cada capa de tu prompt
No todos los subencargados ven lo mismo. En concreto:
| Capa | Ve | No ve |
|---|---|---|
| Scaleway (inferencia) | El prompt y la respuesta generada | Tu identidad, tus datos de pago, tu historial de uso |
| Cloudflare | Tráfico cifrado; TLS termina en el edge, en la región UE de Cloudflare, así que el contenido de la petición pasa por la memoria de ese edge | Nada que se almacene: el tráfico de la API no se guarda en caché |
| Neon | Cuenta, saldo, número de tokens y marcas de tiempo por petición | El contenido de tus prompts y respuestas |
| Stripe | Nombre, email, NIF-IVA, datos de pago e importes | Todo lo que haces con el modelo |
| Linkup (solo con Buscar activado) | Una consulta de búsqueda corta por mensaje, redactada por nuestro modelo a partir de tu mensaje | Tu conversación, tus archivos, tu cuenta y tu dirección IP |
Cloudflare funciona en su región UE
Por qué no todas las empresas son europeas
Técnicamente es posible montar todo el stack solo con empresas europeas. Lo que hoy no es posible es hacerlo, que funcione de forma fiable y cobrar los precios de nuestra página de precios. Hemos decidido que la parte que más importa en el fondo, es decir, dónde se procesa tu prompt y dónde se ejecuta el modelo, sea totalmente europea, y ser claros sobre el resto en lugar de montar un relato de soberanía a su alrededor.
Somos una empresa joven y este stack está en construcción. Si una alternativa europea puede asumir alguna de estas funciones de forma fiable, nos cambiaremos, y lo contaremos aquí.
Qué puede y qué no puede leer cada capa se explica salto a salto en adónde van tus prompts: residencia de datos de IA en la UE. Los plazos de conservación de estas empresas están en la política de privacidad, y los clientes empresariales reciben la misma lista por contrato a través del contrato de encargo del tratamiento.
Preguntas frecuentes
¿Qué es un subencargado del tratamiento?
Un subencargado es un tercero que trata datos personales por cuenta de un encargado del tratamiento. Si usas un servicio de IA para tratar datos de otras personas, sus subencargados tratan esos datos un eslabón más abajo en la cadena, y por eso la lista completa tiene que ser pública y deberías recibir aviso antes de que cambie.
¿Salen tus datos de la UE cuando usas una API de IA?
Depende de qué datos y de qué proveedor. En Union AI el prompt y la respuesta se procesan en infraestructura dentro de la Unión Europea y nunca van a Estados Unidos ni a China, mientras que en el hosting, la base de datos y los pagos intervienen empresas con una matriz estadounidense. Si activas la búsqueda web, una consulta de búsqueda corta va a Linkup, que puede procesarla fuera de la UE. Pide a cualquier proveedor que responda a estas preguntas por separado, porque la mayoría solo responde a la primera.
¿La búsqueda web envía mi prompt a un buscador?
No. Cuando activas Buscar, nuestro propio modelo dentro de la UE redacta una consulta de búsqueda corta a partir de tu mensaje, y solo esa consulta va a Linkup, una API de búsqueda francesa. Linkup puede enviar consultas fuera de la UE salvo que un acuerdo empresarial diga otra cosa, así que la consulta puede salir de la UE aunque tu conversación no salga. Con Buscar desactivado, no va nada a Linkup.
¿Puede una nube europea estar sujeta a la CLOUD Act estadounidense?
Sí, si el operador es una empresa estadounidense o una filial de una. La CLOUD Act alcanza los datos que un proveedor tiene en su posesión, custodia o control, estén donde estén almacenados, así que un centro de datos en Fráncfort no deja por sí solo los datos fuera de su alcance. Tres empresas de nuestra cadena tienen una matriz estadounidense, y ninguna de ellas es donde se procesan tus prompts: eso ocurre en Scaleway, una empresa francesa, dentro de la Unión Europea.
¿Quién puede leer mis prompts?
En Union AI, solo la capa de inferencia ve el contenido de un prompt y su respuesta, y no ve ninguna identidad, ningún dato de pago ni ningún historial. La base de datos ve tu cuenta, tu saldo y el número de tokens, y el proveedor de pagos solo ve datos de facturación. Con la búsqueda web activada, el proveedor de búsqueda ve una consulta corta redactada a partir de tu mensaje, nunca la conversación en sí.
¿Qué debe incluir la lista de subencargados de un proveedor de IA?
Cuatro columnas: la empresa, lo que hace, la región donde trata los datos y la entidad jurídica que hay detrás. Una lista con regiones pero sin entidades esconde la cuestión de la jurisdicción, que es la que importa ante solicitudes de acceso extranjeras. También debe decir con cuánta antelación te avisan antes de que cambie la lista.
¿Me avisaréis cuando cambie un subencargado?
Sí. Los clientes empresariales con un contrato de encargo del tratamiento reciben aviso con al menos 30 días de antelación antes de que un cambio entre en vigor, para que haya tiempo de oponerse. Si te opones y no podemos resolverlo, puedes poner fin al contrato y recuperar el crédito no usado.