Una política integral de seguridad de la información rige todo el manejo de datos. Todos los empleados reciben capacitación de concientización sobre seguridad al ser contratados y anualmente a partir de entonces. Los empleados con acceso a Datos del Cliente reciben capacitación adicional sobre protección de datos. Las políticas de seguridad se revisan y actualizan al menos anualmente.

Auditoría y Monitoreo

Los controles de seguridad y el cumplimiento se revisan mediante auditorías internas (trimestrales), evaluaciones de seguridad de terceros (anuales) y monitoreo y alertas automatizados continuos. Se mantienen registros de auditoría para el acceso al sistema y a los datos (retenidos por un mínimo de 12 meses). El Responsable del Tratamiento puede solicitar pruebas de evaluaciones y certificaciones de seguridad.

Estas medidas se revisan y actualizan regularmente. RankScaleAI puede actualizar o mejorar las medidas de seguridad a medida que avanza la tecnología, siempre que no se produzca una reducción material en el nivel general de protección.

Anexo III – Subencargados del Tratamiento

RankScaleAI utiliza actualmente los siguientes subencargados del tratamiento para el procesamiento de Datos del Cliente:

Infraestructura y Alojamiento en la Nube

Subencargado del Tratamiento	Finalidad	Ubicación
Amazon Web Services, Inc.	Alojamiento en la nube, almacenamiento de datos e infraestructura	EE. UU. / Global
Google LLC (Google Cloud Platform)	Análisis de datos e infraestructura de aprendizaje automático	EE. UU. / Global
Cloudflare, Inc.	Red de entrega de contenido (CDN), seguridad y protección DDoS	EE. UU. / Global

Procesamiento de Pagos

Subencargado del Tratamiento	Finalidad	Ubicación
Stripe, Inc.	Procesamiento de pagos y facturación de suscripciones	EE. UU.

Proveedores de Modelos de IA

Subencargado del Tratamiento	Finalidad	Ubicación
OpenAI, Inc.	Servicios de modelo de lenguaje de IA (GPT)	EE. UU.
Anthropic PBC	Servicios de modelo de lenguaje de IA (Claude)	EE. UU.
Google LLC (Gemini)	Servicios de modelo de lenguaje de IA	EE. UU.
OpenRouter	Enrutamiento y acceso a modelos de IA	EE. UU.

Análisis y Monitoreo

Subencargado del Tratamiento	Finalidad	Ubicación
Google LLC (Google Analytics)	Análisis de sitios web (anonimizados)	EE. UU.
Microsoft Corporation (Clarity)	Análisis de experiencia de usuario (repetición de sesiones, mapas de calor)	EE. UU.

Cumplimiento de la Protección de Datos

Todos los subencargados del tratamiento enumerados anteriormente están sujetos a acuerdos de procesamiento de datos por escrito con RankScaleAI que incluyen obligaciones de protección de datos no menos protectoras que las de este APD. Para las transferencias a subencargados del tratamiento en los Estados Unidos, RankScaleAI se basa en las Cláusulas Contractuales Tipo (CCT) y/o el Marco de Privacidad de Datos UE-EE. UU. (cuando el subencargado del tratamiento está certificado).

Actualizaciones de la Lista de Subencargados del Tratamiento

RankScaleAI podrá añadir o reemplazar subencargados del tratamiento de vez en cuando, sujeto a los procedimientos de notificación y objeción descritos en la sección "Subencargados del Tratamiento" de este APD. El Responsable del