Subencargados

Versión 4.1. Redacción de 30 de octubre de 2026: añade a la ficha de Brevo el registro de aperturas y clics de los correos. Sustituye a la versión 4 (21 de octubre de 2026, con la revisión letrada de octubre de 2026 incorporada). Sustituye al publicado el 17 de julio de 2026 en soydeva.es/subencargados. Es la lista pública que exige el Contrato de Encargo de Tratamiento (soydeva.es/encargo, cláusula 6).

Qué es esta página

Para prestarte el servicio, Deva se apoya en un número reducido de proveedores que tratan datos por cuenta nuestra. Respecto de tus datos como usuario son nuestros encargados de tratamiento (Política de Privacidad, soydeva.es/privacidad-app, apartado 7); respecto de los datos de tus clientes, nuestros subencargados (Contrato de Encargo de Tratamiento, soydeva.es/encargo, cláusula 6). Ese contrato nos obliga a mantener esta lista pública y al día, y a avisarte al menos 15 días antes de incorporar o sustituir a cualquiera de ellos, para que puedas oponerte si tienes un motivo razonable.

Proveedores

Mistral AI — Inteligencia artificial: transcripción del dictado por voz y de las notas de voz, extracción de datos, lectura de tickets, extractos bancarios y listas de precios, y asistente. Qué datos trata: el audio que dictas, las imágenes de documentos y los textos que envías a estas funciones; junto con el audio, los nombres de algunos de tus clientes y tus conceptos, para reconocerlos; cuando usas el asistente (o tu gestoría lo usa sobre tus datos desde su portal), los datos de tu cuenta que consulta para responder —por ejemplo, el nombre, el NIF, el correo y el teléfono de un cliente, tus facturas, cobros, gastos y citas—; el texto de los conceptos de tus facturas, para calcular en segundo plano su representación numérica; y, en el alta, la descripción de tu profesión. Dónde: Unión Europea (Francia); excepcionalmente puede apoyarse en subencargados propios fuera de la UE, con las garantías del art. 46 del RGPD (cláusulas contractuales tipo). Nota: Deva tiene contratado con Mistral un servicio de pago que incluye un acuerdo de tratamiento de datos y le prohíbe usar los datos para entrenar sus modelos. Para vigilar usos abusivos de su servicio conserva las peticiones un máximo de 30 días, como responsable propio conforme a sus condiciones, y después las borra.

Brevo — Envío de todo el correo electrónico de Deva: el código de acceso con el que entras en tu cuenta, los avisos del servicio, la entrega de tus presupuestos y facturas a tus clientes y los avisos previos de sus cobros recurrentes; y los correos de novedades de la web a quienes se suscriben. Qué datos trata: tu dirección de correo y el código de acceso de un solo uso (de validez breve, unos minutos); si abres cada correo y si pulsas en sus enlaces, con la fecha (sin mostrarnos tu dirección IP ni el enlace); la dirección de tus clientes y el documento que les envías. Dónde: Unión Europea (Francia). Nota: el código de acceso se envía desde noreply@soydeva.es (si respondes, tu mensaje llega a soporte@soydeva.es); el resto del correo se envía desde hola@soydeva.es.

Google (Google Workspace) — Los buzones de correo de Deva (@soydeva.es, entre ellos soporte@soydeva.es y hola@soydeva.es). Qué datos trata: la dirección de quien escribe y el contenido de su mensaje, con sus adjuntos: lo que nos escribes (consultas, solicitudes de derechos, respuestas a nuestros correos) y lo que nos escriban tus clientes o respondan a un documento que les has enviado con Deva. Dónde: Estados Unidos (Marco de Privacidad de Datos UE-EE. UU.).

Stripe — Tu cuenta de cobros (cuenta conectada de Stripe), procesamiento de cobros con tarjeta y domiciliación bancaria (SEPA), mandatos de cobro recurrente, devoluciones y el cobro del precio de Deva. Qué datos trata: tu identidad como titular de la cuenta de cobros (para su verificación, que Stripe hace como responsable propio por obligación legal), datos de pago de tus clientes, importes, referencias del mandato; y, para el cobro del precio de Deva, tu medio de pago (Deva solo guarda su referencia) y los datos de contacto y de facturación necesarios para cobrarte y emitirte la factura. Dónde: Estados Unidos (Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo). Nota: Deva no custodia fondos ni accede a números completos de tarjeta ni al IBAN de liquidación.

Google (Firebase) — Envío de notificaciones a tu dispositivo. Qué datos trata: identificador del dispositivo y texto de cada aviso, que puede incluir el nombre de un cliente, un importe, el título y el lugar de una cita o el motivo con el que un cliente te pide cambios en un documento. Dónde: Estados Unidos (Marco de Privacidad de Datos UE-EE. UU.). Los demás servicios de Google que usa la aplicación —el acceso con Google, las sugerencias de direcciones y las rutas que abres en Google Maps— los presta como responsable propio: ver más abajo. El buzón de correo (Google Workspace) tiene su propia entrada, y la analítica de la web soydeva.es se describe en su política de privacidad (soydeva.es/privacidad).

Apple — Solo en iPhone: envío de notificaciones a tu dispositivo. Qué datos trata: identificador del dispositivo y texto de cada aviso, que puede incluir el nombre de un cliente, un importe, el título y el lugar de una cita o el motivo con el que un cliente te pide cambios en un documento. Dónde: Estados Unidos (cláusulas contractuales tipo). El acceso con Apple lo presta como responsable propio: ver más abajo.

Supabase — Infraestructura: base de datos y almacenamiento de archivos (fotos de tickets y del trabajo, logotipos, documentos). Qué datos trata: los datos de la cuenta y los documentos generados con Deva. Dónde: servidores en la Unión Europea (Francia); la empresa, Supabase Pte. Ltd., está establecida en Singapur y puede acceder a los datos desde fuera de la UE, con cláusulas contractuales tipo.

Fly.io — Servidores donde se ejecuta el servicio. Qué datos trata: los datos de la cuenta y los documentos, mientras se procesan. Dónde: servidores en la Unión Europea (Francia); la empresa, Fly.io, Inc., está establecida en Estados Unidos y puede acceder a los datos desde allí (Marco de Privacidad de Datos UE-EE. UU.).

Vercel — Alojamiento de esta web, del portal de gestorías y de las páginas públicas de firma y pago de documentos; las peticiones de esas páginas a nuestros servidores y los formularios de esta web pasan por su red. Qué datos trata: mientras pasan por su red, lo que se muestra o se envía en esas páginas (el contenido de los documentos, los datos que tu cliente escribe al firmar, lo que consulta tu gestoría en su portal y el correo y la profesión que se escriben en los formularios de esta web), salvo los datos de tarjeta o de cuenta bancaria, que van directamente a la pasarela de pago; y los datos técnicos de la conexión (dirección IP, navegador y dirección de la página, que incluye el código del enlace). Dónde: Estados Unidos y otros países donde opera su red (Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo).

Quién no es un subencargado

• Redsys: si conectas tu propio TPV virtual, el cobro se ejecuta en Redsys por tu contrato con tu banco; Redsys es proveedor tuyo, no de Deva.
• Google, en el acceso con tu cuenta, en las sugerencias de direcciones y en las rutas: si accedes con Google, Google gestiona tu identidad de acceso y nos facilita tu correo, tu nombre y un identificador de tu cuenta. Cuando escribes una dirección en el alta, nuestros servidores piden a Google las sugerencias con lo que tecleas en ese campo y le indican la que eliges, sin tu dirección IP; y, si pulsas «Ruta» en una cita o abres en el mapa la dirección de un cliente, la aplicación abre Google Maps en tu móvil con esa dirección. En las páginas en las que tus clientes leen, firman y pagan no se carga ningún servicio de Google. En estos servicios Google trata los datos como responsable propio, conforme a sus condiciones, y puede hacerlo en Estados Unidos (Marco de Privacidad de Datos UE-EE. UU.).
• Apple, en el acceso con tu cuenta: si accedes con Apple en iPhone, Apple gestiona tu identidad de acceso y nos facilita tu correo, tu nombre si lo compartes y un identificador de tu cuenta, como responsable propio.
• Tu gestoría: si la vinculas, consulta tus datos porque tú se lo permites; responde ella de lo que hace con ellos.
• Las aplicaciones de terceros que autorices (función no disponible en el lanzamiento): cuando Deva active esta función, reciben los datos que cubren sus permisos porque tú se lo permites, y los tratan como responsables propios.
• La Agencia Tributaria y la Comisión Europea (VIES): los registros de facturación se remiten a la AEAT porque Deva es un sistema VeriFactu, en el que el Reglamento aprobado por el Real Decreto 1007/2023 exige remitirlos todos (artículo 16); a la AEAT y a la Comisión Europea (VIES) se les consulta además la validez de los NIF y de los números de IVA. Eso no es un encargo de tratamiento: ambas tratan esos datos como responsables propias.

Cambios

Cuando esta lista cambie, actualizaremos esta página y te avisaremos en la aplicación con al menos 15 días de antelación. La fecha de la última actualización figura al principio de esta página.