Preparado para tu
evaluación de seguridad de proveedores
CrunchJunkie está desarrollado por una empresa alemana (Tiki-Taka Media GmbH) para las agencias y los equipos in-house que custodian estos datos. Aquí te explicamos exactamente dónde residen tus datos, quién los procesa y las medidas que los protegen: todo lo que un comprador con certificación ISO necesita para aprobarnos.
Residencia de los datos
Procesamiento de la aplicación
Frankfurt (fra1)
UEVercel: región de la UE
Almacenamiento de archivos
Frankfurt (fra1)
UEVercel Blob: región de la UE
Base de datos
Frankfurt (eu-central-1)
UENeon: región de la UE
El procesamiento de la aplicación, el almacenamiento de archivos y la base de datos se ejecutan en la UE (Fráncfort). Como proveedor constituido en EE. UU., Vercel puede estar sujeto a la CLOUD Act estadounidense; si quieres que el procesamiento de IA quede por completo dentro de tu propia jurisdicción, usa tu propia clave de IA (BYOK) y tus prompts los procesará tu propia cuenta del proveedor.
Los clientes pueden consultar y exportar un informe de ubicación de datos y subencargados actualizado de su propio espacio de trabajo en Ajustes → Datos y residencia.
Subencargados del tratamiento
Tenemos contratos de encargo del tratamiento (art. 28 del RGPD) con cada subencargado que trata datos personales por cuenta nuestra. Los proveedores de IA solo intervienen cuando activas Managed AI o la función que los utiliza.
| Subencargado | Finalidad | Región | Mecanismo de transferencia |
|---|---|---|---|
Vercel Vercel Inc. (USA) DPA → | Application hosting, CDN, serverless function execution (compute), and file/object storage | Frankfurt (fra1), EU | EU–US Data Privacy Framework + Standard Contractual Clauses |
Neon Neon Inc. (USA) DPA → | Managed PostgreSQL database (all application data at rest) | Frankfurt (eu-central-1), EU | Processed in the EU — no third-country transfer |
Upstash Upstash, Inc. (USA) DPA → | Shared rate-limit counters for API and sign-in endpoints (request counts keyed by IP address) · Conservación: Counters expire automatically after 1–15 minutes | Frankfurt (eu-central-1), EU | Standard Contractual Clauses (+ Transfer Impact Assessment) |
Stripe Stripe, Inc. (USA) DPA → | Payment processing & subscription management | United States | EU–US Data Privacy Framework + Standard Contractual Clauses |
Resend Resend Inc. (USA) DPA → | Transactional email delivery (password resets, report & alert emails) | United States | EU–US Data Privacy Framework + Standard Contractual Clauses |
SerpAPI SerpAPI, LLC (USA) | Reads Google AI Overviews, Google AI Mode & Microsoft Copilot for visibility scans | United States | No transfer mechanism published by the vendor — do not send personal data |
Tavily Tavily (USA) | Supplementary web-search retrieval in research & content-brief features | United States | No transfer mechanism published by the vendor — do not send personal data |
WorkOS(opcional) WorkOS, Inc. (USA) DPA → | OAuth authorization server for the MCP connector (issues the access tokens AI assistants use to call CrunchJunkie on a user's behalf) | United States | Standard Contractual Clauses (+ Transfer Impact Assessment) |
OpenAI OpenAI, L.L.C. (USA) DPA → | AI-visibility scans (ChatGPT) and CrunchJunkie AI features · Conservación: 30-day default; Zero-Data-Retention available | United States (EU in-region processing available via EU Project) | EU–US Data Privacy Framework + Standard Contractual Clauses |
Anthropic (Claude) Anthropic, PBC (USA) DPA → | CrunchJunkie AI features (report summaries, assistant), Claude visibility scans, and — for every workspace — reading each AI-visibility answer, the AI-visibility analyses and GEO audit insights · Conservación: 7-day default; Zero-Data-Retention available (enterprise) | United States | Standard Contractual Clauses (+ Transfer Impact Assessment) |
Google (Gemini) Google LLC (USA) DPA → | Gemini visibility scans and CrunchJunkie AI features · Conservación: Not used to train models on paid API/Vertex | United States (EU regions available via Vertex AI) | EU–US Data Privacy Framework + Standard Contractual Clauses |
Perplexity Perplexity AI, Inc. (USA) DPA → | Perplexity visibility scans | United States | Standard Contractual Clauses (+ Transfer Impact Assessment) |
Grok (xAI) X.AI LLC (USA) DPA → | Grok visibility scans · Conservación: Deleted within ~30 days of a deletion request | United States | Standard Contractual Clauses (+ Transfer Impact Assessment) |
DeepSeek(opcional) DeepSeek (China) | DeepSeek visibility scans | China | No transfer mechanism published by the vendor — do not send personal data |
Meta AI (Muse Spark)(opcional) Meta Platforms Ireland Limited (Ireland); processed by Meta Platforms, Inc. (USA) | Meta AI visibility scans | United States | EU–US Data Privacy Framework (EU contracting entity; certified US processing entity) |
DataForSEO(opcional) DataForSEO OÜ (Estonia) DPA → | Google and Bing search results for the Rank Tracker, for workspaces that use a Rank Tracker budget instead of their own DataForSEO account · Conservación: Task data (including keywords) kept 365 days, then deleted | EU (Estonia; data centre in Germany) and USA (cloud infrastructure); operations also in Ukraine | Standard Contractual Clauses (+ Transfer Impact Assessment) |
Medidas técnicas y organizativas (art. 32)
- Cifrado en reposo: claves de IA y tokens OAuth con AES-256-GCM en la capa de aplicación, además del cifrado de disco del proveedor
- Cifrado en tránsito: TLS 1.2+ con HSTS obligatorio
- Aislamiento entre clientes: cada consulta se limita al equipo autenticado; la arquitectura impide el acceso entre equipos
- Control de acceso: MFA obligatorio para acceder a producción; mínimo privilegio; accesos registrados y revisados
- Contraseñas: bcrypt (factor de coste 12), nunca guardadas en texto plano
- Limitación de peticiones: las rutas de autenticación y las rutas críticas de la API se limitan por IP
- Respuesta a incidentes: proceso documentado; notificación de brechas en un plazo de 72 horas (art. 33 del RGPD)
El anexo completo de medidas técnicas y organizativas forma parte de nuestro contrato de encargo del tratamiento.
Certificaciones
Trabajamos según los controles en los que se basa la ISO 27001 (cifrado, control de acceso, registro, respuesta a incidentes, resiliencia). La certificación formal ISO 27001 está en nuestra hoja de ruta; mientras tanto, apoyamos tu evaluación de seguridad de proveedores con un DPA firmado, esta lista de subencargados, nuestras medidas técnicas y organizativas y, si lo pides, un cuestionario de seguridad cumplimentado.
Transferencias internacionales
Cuando los datos llegan a un subencargado de un tercer país (sobre todo EE. UU.), nos basamos en el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está certificado, respaldado por las cláusulas contractuales tipo de la UE y una evaluación de impacto de la transferencia. Mantenemos las cláusulas contractuales tipo incluso con los proveedores certificados en el DPF, para que las transferencias sigan siendo lícitas si el marco cambia.
Documentos para tu revisión
Todo lo que necesita tu equipo de cumplimiento. ¿Necesitas un DPA firmado (AVV) o nuestro cuestionario de seguridad? Escribe a hello@crunchjunkie.io.
Los clientes con sesión iniciada pueden exportar un informe actualizado de ubicación de los datos en Ajustes → Datos y residencia.