Privacy notice
Effective from 2026-10-19 · Version 2026-10-19
The legally binding version of this document is the Spanish one. This version is provided for information purposes only.
Data controller
- Responsable del tratamiento: Talent Network MX, RFC TNM1710092C0, con domicilio fiscal en Av. Patria 2085, Col. Puerta de Hierro, Zapopan, C.P. 45116, Jalisco, México.
- Contacto para protección de datos personales: toda solicitud relacionada con datos personales se atiende en soporte@talent-academy.com.
- Correo de contacto: soporte@talent-academy.com
Request deletion of your account or specific data
Sub-processors
Talent Academy relies on the following third-party processors to operate the platform:
| Servicio y entidad receptora | Datos comunicados | Finalidad | Papel | Ubicación verificada | Mecanismo |
|---|---|---|---|---|---|
| Supabase (Supabase, Inc. / Supabase Pte. Ltd., según la entidad contratante) | Datos de cuenta, progreso académico y contenido generado por el usuario | Base de datos, autenticación y almacenamiento de la plataforma | Encargado (procesador): el propio DPA fija que Supabase actúa como procesador/proveedor del servicio y el cliente como responsable | EE. UU. (us-east-1) — verificado en la configuración del proyecto | Data Processing Addendum con Cláusulas Contractuales Tipo (Decisión UE 2021/914) + UK International Data Transfer Addendum |
| Railway (Railway Corporation) | Datos que procesa la aplicación en ejecución | Hosting de la aplicación | Encargado (procesador) de los datos que la app procesa; responsable independiente para los datos propios de la cuenta y facturación de Talent Academy | EE. UU. (procesamiento primario; infraestructura sobre Google Cloud Platform) — sin fuente oficial publicada la región exacta del servicio de Talent Academy | Data Processing Addendum con Cláusulas Contractuales Tipo (UE) + UK Addendum; posible acogida al EU-U.S. Data Privacy Framework — sin fuente oficial publicada la certificación DPF vigente de Railway |
| Cloudflare (Cloudflare, Inc.) | Contenido servido vía CDN; archivos almacenados en R2 | CDN y almacenamiento de objetos | Encargado (procesador o sub-procesador, según el servicio) | Red global de centros de datos; sede en EE. UU. (San Francisco, CA) | Data Processing Addendum con Cláusulas Contractuales Tipo + UK Addendum; lista de subencargados pública |
| Resend (Plus Five Five, Inc.) | Correo electrónico, nombre y contenido de las comunicaciones transaccionales | Envío de correo transaccional | Encargado (procesador) del envío en nuestro nombre; responsable independiente para los datos propios de la cuenta y facturación de Talent Academy | EE. UU. (subencargado de hosting/envío: Amazon Web Services, EE. UU.) | Data Processing Addendum con Cláusulas Contractuales Tipo |
| Meta / WhatsApp Cloud API (Meta Platforms Ireland Limited) | Número de teléfono, nombre de perfil y contenido de los mensajes de WhatsApp | Envío de mensajes por WhatsApp (accesos, recordatorios y, si lo autorizaste, promociones) | Encargado (procesador): Meta actúa, en el servicio Cloud API, como procesador/proveedor del servicio por cuenta del negocio | Servidores de centros de datos de Meta (red global) — sin región única publicada | WhatsApp Business Data Processing Terms + European/Global/UK Data Transfer Addendum; transferencias posteriores a Meta Platforms, Inc. (EE. UU.) bajo el EU-U.S. Data Privacy Framework |
| Meta Ads (Meta Platforms Ireland Limited) | Identificadores de navegación (Meta Pixel), según tu elección de cookies; y, al inscribirte, correo, teléfono y nombre cifrados (SHA-256), identificador del clic del anuncio, IP y navegador (API de conversiones) | Publicidad y medición de campañas | Responsable independiente para la entrega y medición de anuncios; encargado solo para funciones concretas que instruye el anunciante (p. ej. audiencias personalizadas) | Red global de Meta; entidad contratante Meta Platforms Ireland Limited fuera de EE. UU./Canadá | EU-U.S. Data Privacy Framework (Meta Platforms, Inc. certificada) y/o Cláusulas Contractuales Tipo, según el European Data Transfer Addendum de Meta |
| Firebase Cloud Messaging (Google; entidad contratante según las condiciones de Firebase aplicables al tenant) | Token de registro de la app en el dispositivo; título, texto y destino del aviso; identificador del destinatario obtenido mediante hash. El SDK también trata el identificador de instalación de Firebase y metadatos técnicos de la aplicación y del dispositivo. | Entregar avisos sobre tu actividad y tus formaciones, como parte del servicio solicitado en nuestra relación contractual contigo. El permiso de notificaciones controla su visualización, no el registro del token. Los avisos pendientes en FCM caducan en un máximo de 24 horas o antes. Conservamos registros revocados para auditar fallos de entrega; revocar no supone borrado inmediato. Google conserva el identificador de instalación hasta la solicitud de eliminación por API y elimina los datos asociados de sus sistemas activos y copias de seguridad en hasta 180 días desde la solicitud. | Encargado del tratamiento para prestar el servicio de mensajería conforme a las instrucciones del cliente. | Infraestructura global de Google y sus subencargados; sin región única de FCM verificada para este tenant. | Firebase Data Processing and Security Terms; Cláusulas Contractuales Tipo y otros mecanismos de transferencia cuando sean aplicables. Pendiente verificar la entidad y las condiciones aceptadas por el titular. |
| Google — inicio de sesión / OAuth (Google LLC) | Nombre, correo electrónico y foto de perfil de tu cuenta de Google | Inicio de sesión (autenticación) | Sin fuente oficial publicada un DPA de encargado/responsable para el inicio de sesión con Google; según su propia documentación, Google trata la Cuenta de Google como responsable propio de esos datos | Infraestructura global de Google; entidad contratante por defecto para México es Google LLC (EE. UU.) | Google APIs Terms of Service + Google API Services User Data Policy |
| Google Analytics 4 (Google LLC / Google Ireland Limited, según el país del usuario) | Identificadores de navegación y uso de la plataforma, según tu elección de cookies | Analítica de uso | Mixto: encargado (procesador) para los datos no compartidos; responsable (si se activa el uso compartido de datos de Google Analytics) para esos datos compartidos — pendiente verificar el ajuste activado en la propiedad de Talent Academy | Infraestructura global de Google | Google Ads/Analytics Processor Terms y/o Measurement Controller-Controller Data Protection Terms + Cláusulas Contractuales Tipo cuando aplica |
| Google — Gemini (Google LLC) | Mensajes de texto que envías al asistente de IA (incluido el texto transcrito de tus notas de voz), cuando este proveedor está configurado; el texto de tus preguntas para buscar en el contenido de la formación, cuando este proveedor está configurado para esa búsqueda o como su respaldo; y las respuestas del asistente por WhatsApp demasiado largas para un mensaje o una nota de voz, para acortarlas | Modelos de lenguaje y embeddings: asistente de IA cuando está configurado, respaldo de la búsqueda y acortado de las respuestas por WhatsApp | Depende del nivel de servicio contratado: encargado en los servicios de pago (Google no usa los prompts para mejorar sus productos); responsable independiente en el nivel gratuito — pendiente verificar el nivel de facturación en uso | Cualquier país donde Google o sus subencargados mantengan instalaciones — sin región única publicada | Gemini API Additional Terms of Service + Data Processing Addendum for Products Where Google is a Data Processor (solo servicios de pago) |
| YouTube (YouTube LLC, filial de Google LLC) | Datos de reproducción del video incrustado | Alojamiento y reproducción de video de las clases | Responsable independiente de los datos que recoge su reproductor incrustado; sin fuente oficial publicada un DPA de encargado para el reproductor embebido | EE. UU. (San Bruno, CA); infraestructura global de Google | YouTube API Services Terms of Service + Política de Privacidad de Google |
| Vimeo, Inc. | Datos de reproducción del video incrustado | Alojamiento y reproducción de video de las clases | Encargado (procesador) bajo el DPA Enterprise de Vimeo — pendiente verificar si Talent Academy tiene un contrato Enterprise con ese DPA firmado | EE. UU. (Nueva York); filiales/subencargados en Australia, Israel, Singapur, India, Reino Unido, Ucrania, Italia y Japón | Vimeo Enterprise Data Processing Addendum con autorización general de subencargados |
| Bunny.net (BunnyWay d.o.o., Liubliana, Eslovenia) | Dirección IP, navegador y peticiones de reproducción del vídeo de las clases (registros técnicos del CDN, temporales) | Alojamiento, codificación y entrega de vídeo de las clases y respaldo de la reproducción | Encargado (procesador): bunny.net declara que «typically acts as a data processor» y ofrece su Data Processing Agreement en el panel del cliente; su servicio Stream declara no almacenar de forma permanente información identificable | Red global de centros de datos; empresa de la Unión Europea (Eslovenia) — sin fuente oficial publicada el plazo exacto de conservación de los registros («temporales») | Data Processing Agreement disponible en el panel de bunny.net; lista pública de subencargados — pendiente verificar la aceptación del DPA en la cuenta de Talent Academy |
| Publitio (Publitio Inc., EE. UU. / Publitio DOO, Serbia) | Dirección IP, datos del dispositivo y huella técnica descritos en la sección 2, señales de reproducción y peticiones de vídeo y de descarga de las lecciones | Alojamiento y entrega de vídeo de las clases, descargas sin conexión y protección del contenido (gestión de derechos digitales) | Encargado (procesador) conforme a su Data Processing Agreement, incorporado a sus condiciones de servicio; su DPA no publica un régimen específico para los datos de los espectadores — sin fuente oficial publicada la retención de los datos de huella | Centro de datos por defecto en EE. UU.; subencargados Amazon Web Services, DigitalOcean, Microsoft Azure y Google Cloud Platform (EE. UU., Reino Unido, Alemania, Singapur, India y Australia); registros del sistema 90 días en línea y 1 año en almacenamiento frío | Data Processing Agreement anexo a las condiciones de servicio, aceptado por el uso del servicio, que incorpora en su Exhibit A las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión UE 2021/914, módulos dos y tres). El DPA se limita a los datos personales contenidos en el contenido del cliente y no declara su aplicación a los datos de los espectadores — pendiente verificar con Publitio ese alcance |
| Anthropic (Anthropic, PBC) | Mensajes de texto que envías al asistente de IA (incluido el texto transcrito de tus notas de voz), cuando este proveedor está configurado | Modelos de lenguaje (asistente de IA) | Encargado (procesador): el DPA de Anthropic se incorpora automáticamente a sus condiciones comerciales | Sin fuente oficial publicada la región exacta de procesamiento/almacenamiento de los prompts de su API directa | Data Processing Addendum con Cláusulas Contractuales Tipo, incorporado automáticamente al aceptar las condiciones comerciales |
| OpenAI (OpenAI OpCo, LLC) | Mensajes de texto que envías al asistente de IA (incluido el texto transcrito de tus notas de voz), cuando este proveedor está configurado; las notas de voz que le envías por WhatsApp, para transcribirlas; y el texto transcrito de tus llamadas, para buscar en el contenido de la formación cuando falla la búsqueda principal | Modelos de lenguaje, transcripción de notas de voz y embeddings | Encargado (procesador) de los datos que procesa en nuestro nombre | Sin fuente oficial publicada la región exacta de procesamiento/almacenamiento; lista de subencargados pública | Data Processing Addendum con Cláusulas Contractuales Tipo + UK Addendum |
| OpenRouter (OpenRouter, Inc.) | Mensajes e imágenes que envías al asistente de IA: los mensajes de texto (incluido el texto transcrito de tus notas de voz), cuando este proveedor está configurado, y las imágenes que le adjuntas; el texto transcrito de tus llamadas; el texto de tus preguntas para buscar en el contenido de la formación; y, si el asistente te responde con notas de voz por WhatsApp, esas notas, para comprobar que se entienden | Acceso a modelos de lenguaje, de visión, de transcripción y de embeddings de distintos fabricantes para el asistente de IA | Encargado (procesador): su Data Processing Agreement, incorporado a sus condiciones, fija que el cliente es el responsable y OpenRouter el encargado. Cada petición la atiende el proveedor de modelos al que OpenRouter la dirige | EE. UU. (alojamiento en Google Cloud, regiones de EE. UU.); cada petición la procesa además el proveedor de modelos que la atiende — sin fuente oficial publicada la ubicación de cada proveedor de modelos | Data Processing Agreement con Cláusulas Contractuales Tipo (Módulo 2) + UK Addendum. Las peticiones que generan las respuestas del asistente exigen a OpenRouter usar solo proveedores con retención cero de datos (Zero Data Retention) y excluir a los que recopilan datos; las de la búsqueda y las de comprobación de las notas de voz no llevan esa exigencia |
| Cartesia (Cartesia AI, Inc.) | Tu voz cuando llamas al asistente de IA y el texto de las respuestas que el asistente te da en voz: en las llamadas y, como respaldo, en las notas de voz de WhatsApp | Voz a texto y texto a voz del asistente de IA | Encargado (procesador) según su Data Processing Addendum, incorporado a sus condiciones. Sus condiciones estándar permiten usar las entradas para mejorar sus modelos salvo exclusión, y su retención cero solo se ofrece a clientes Enterprise — pendiente verificar la exclusión o la retención cero en la cuenta contratada; sin fuente oficial publicada el plazo de conservación sin retención cero | EE. UU. (sede en San Francisco, CA) — sin fuente oficial publicada la región de procesamiento y almacenamiento de su API | Data Processing Addendum con Cláusulas Contractuales Tipo (Módulo 2) + UK Addendum; el DPA cita además el EU-U.S. Data Privacy Framework — sin fuente oficial consultada su certificación vigente |
| Zoom Video Communications, Inc. | Nombre, correo, audio y video de la sesión en vivo a la que asistes | Sesiones en vivo | Encargado (procesador) de los datos de la sesión; responsable independiente solo para una lista tasada de fines propios (facturación, gestión de cuenta, prevención de fraude) | EE. UU. (procesamiento base); su subencargado también procesa en Australia, Brasil, Canadá, Europa, India, Japón, Singapur y Taiwán según la función usada | Data Processing Addendum global de Zoom con Cláusulas Contractuales Tipo por cada subencargado |
| Stripe, LLC (antes Stripe, Inc.) | Datos de pago y facturación necesarios para procesar el cobro | Procesamiento de pagos con tarjeta | Rol dual: responsable independiente para sus servicios financieros propios (cumplimiento, prevención de fraude, verificación de identidad) y encargado para los servicios concretos que procesa por instrucción del comercio | EE. UU. (Stripe, LLC); Irlanda para procesamiento fuera de América | Data Processing Agreement con Cláusulas Contractuales Tipo y lista pública de subprocesadores |
| PayPal (Operadora PayPal de México, S. de R.L. de C.V.) | Datos de pago y facturación necesarios para procesar el cobro | Procesamiento de pagos | Responsable (controlador): declarado expresamente así por PayPal en su propio aviso de privacidad para México | México (entidad contratante, CDMX); el grupo corporativo PayPal procesa también en EE. UU. y otras jurisdicciones | Aviso de Privacidad de PayPal México bajo la LFPDPPP; transferencias dentro del grupo corporativo PayPal conforme a su declaración de privacidad global |
| MercadoPago (según el servicio: entidades del grupo Mercado Libre en México) | Datos de pago y facturación necesarios para procesar el cobro | Procesamiento de pagos en Latinoamérica | Responsable (controlador): declarado expresamente como responsable del tratamiento en la Declaración de Privacidad de Mercado Libre para México, bajo la LFPDPPP | México (CDMX) | Declaración de Privacidad + Anexo México de Mercado Libre/Mercado Pago, conforme a la LFPDPPP |
| NOWPayments (entidad contratante en verificación entre sus dos dominios y políticas publicadas) | Datos de pago necesarios para procesar el cobro en criptoactivos | Procesamiento de pagos con criptoactivos | Mixto: responsable para los datos propios del comercio (Talent Academy); encargado para los datos de las personas que pagan a Talent Academy, tratados según sus instrucciones | Sin fuente oficial publicada la región de procesamiento | Sin fuente oficial publicada un DPA o mecanismo de transferencia internacional específico |
| Hotmart (entidad de Brasil o de los Países Bajos, según la ubicación del comprador) | Datos de pago, facturación y checkout necesarios para procesar la compra | Procesamiento de pagos y checkout de determinados programas | Mixto: responsable independiente de los datos de cuenta de la persona compradora en su propia plataforma; encargado respecto de los datos que Talent Academy, como creador, procesa a través de la plataforma | Brasil (Belo Horizonte, Minas Gerais) o Países Bajos (Ámsterdam, para usuarios de la UE) | Data Processing Agreement con Cláusulas Contractuales Tipo (Decisión UE 2021/914) para transferencias desde la UE; International Data Transfer Agreement de la ICO para transferencias desde el Reino Unido |
| Sentry (Functional Software, Inc.) | Datos técnicos del error (puede incluir fragmentos de datos de sesión) | Monitoreo de errores | Encargado (procesador) de los datos personales del cliente | Sede en EE. UU. (San Francisco, CA); infraestructura de producto alojada en EE. UU. y Alemania | Data Processing Addendum con autocertificación al EU-U.S., UK y Swiss-U.S. Data Privacy Framework, y Cláusulas Contractuales Tipo como mecanismo alternativo |
| Better Stack, Inc. | Registros técnicos de la aplicación | Registro y monitoreo de disponibilidad | Encargado (procesador), publica su propio Data Processing Agreement como proveedor de logging/monitoreo | Por defecto, regiones de la UE en centros de datos certificados ISO/IEC 27001; ubicación personalizada disponible para cuentas empresariales — pendiente verificar la región configurada por Talent Academy | Data Processing Agreement propio; sin fuente oficial publicada el detalle de Cláusulas Contractuales Tipo |
| Amazon Web Services, Inc. | Credenciales y secretos de la infraestructura | Infraestructura y gestión de secretos | Encargado (procesador): AWS actúa como procesador del cliente, que puede ser responsable o procesador de los datos de sus propios usuarios | La región de AWS que el cliente configure — sin fuente oficial publicada la región exacta usada directamente por Talent Academy más allá de la ya confirmada de Supabase en us-east-1 | AWS Data Processing Addendum (Global) con Cláusulas Contractuales Tipo |