Actualización 2026-09-14

Registro de subencargados del tratamiento

Lista de encargados externos que tratan datos personales por cuenta de Polska Grupa Wierzytelności. Todo cambio se anuncia con 30 días de antelación.Durante ese período, el cliente corporativo puede presentar una objeción por escrito a la dirección de contacto indicada en la Política de privacidad.

Subencargados activos

Entidades que actualmente participan en el tratamiento de datos en el entorno de producción.

Supabase

Supabase Inc.

HIGH Activo, DPA firmado

Servicio: PostgreSQL gestionado (base de datos), Storage (escaneos de documentos), Auth (inicio de sesión). Entorno de producción de la plataforma.
Alcance de los datos: Todos los datos de la aplicación: cuentas de usuario, casos, documentos y correspondencia. Datos reales de clientes y deudores.
Ubicación: Unión Europea — región `eu-central-1` (Fráncfort, Alemania); infraestructura: Amazon Web Services como proveedor de Supabase
DPA / estado formal: DPA firmado el 2026-05-22 (erratum en curso). Está prevista la migración de la base de datos a Azure Poland Central; véase «Previstos».

Microsoft Azure Container Apps

Microsoft Corporation

HIGH Activo, DPA firmado

Servicio: Alojamiento de la aplicación (capa de servidor y API). Todas las solicitudes de los usuarios pasan por esta capa; los datos se procesan en memoria y en los registros de diagnóstico.
Alcance de los datos: Datos que pasan por la aplicación al procesar solicitudes: se procesan en memoria, SIN almacenamiento permanente (la base de datos y los archivos siguen en Supabase). Registros técnicos sin contenido de los casos (Azure Monitor / Log Analytics).
Ubicación: UE. Poland Central
DPA / estado formal: Cubierto por Microsoft DPA / Azure Online Services Terms.

Microsoft Azure Communication Services

Microsoft Corporation

HIGH Activo, DPA firmado

Servicio: Envío de correo saliente de la plataforma (notificaciones, correspondencia con clientes y deudores). Es el remitente técnico efectivo de los mensajes.
Alcance de los datos: Contenido y destinatarios de los correos enviados por la plataforma.
Ubicación: EU
DPA / estado formal: Cubierto por Microsoft DPA / Azure Online Services Terms.

Servicios contables (inFakt)

inFakt sp. z o.o., KRS 0000325203

HIGH Activo, DPA en curso

Servicio: Contabilidad, emisión y registro de facturas, liquidaciones fiscales y gestión de nóminas.
Alcance de los datos: Datos de facturas emitidas a clientes (nombre, dirección, NIP, importes) y registros de la cuenta bancaria, incluidos pagos de deudores con el concepto de transferencia. Datos de personal y nóminas.
Ubicación: Polonia — Cracovia
DPA / estado formal: Contrato de encargo del tratamiento: pendiente de confirmación.

Microsoft Azure OpenAI

Microsoft Corporation

HIGH Activo, DPA en curso

Servicio: Modelos de lenguaje (LLM) y embeddings para el asistente jurídico, RAG en expedientes y análisis de documentos. Microsoft NO utiliza datos de clientes para entrenar modelos. Único proveedor de IA (no se usan modelos ajenos a Microsoft).
Alcance de los datos: Contenido de las preguntas y contexto del caso tras la anonimización: capa 1, expresiones regulares (PESEL/NIP/IBAN/correo electrónico/teléfono) + capa 2, NER (apellidos/direcciones/empresas).
Ubicación: UE. Poland Central (preferido) / Sweden Central (alternativo)
DPA / estado formal: DPA de Azure OpenAI pendiente de firma (Microsoft Product Terms / DPA).

Microsoft Azure AI Language

Microsoft Corporation

HIGH Activo, DPA firmado

Servicio: Detección y enmascaramiento de datos personales (NER PII), segunda capa de anonimización antes del envío a la IA (apellidos, direcciones y nombres de empresas). Fail-closed.
Alcance de los datos: Fragmentos de texto enviados a la IA para detectar y enmascarar PII. Sin almacenamiento permanente.
Ubicación: UE. Sweden Central
DPA / estado formal: Cubierto por Microsoft DPA (Azure Cognitive Services).

Microsoft Azure Document Intelligence

Microsoft Corporation

HIGH Activo, DPA firmado

Servicio: OCR de documentos (facturas, contratos, escritos), extracción de texto para su posterior tratamiento.
Alcance de los datos: Contenido de los documentos del caso que se cargan (escaneos). El resultado del OCR se guarda en nuestra base de datos.
Ubicación: UE. Sweden Central
DPA / estado formal: Cubierto por Microsoft DPA (Azure Cognitive Services).

Microsoft Azure Maps

Microsoft Corporation

MEDIUM Activo, DPA firmado

Servicio: Geocodificación y sugerencias de direcciones (countrySet=PL), visualización en el mapa. Clave en el servidor (Managed Identity).
Alcance de los datos: Direcciones (calle, ciudad, código postal) enviadas para su geocodificación. Sin identificadores personales.
Ubicación: UE (atlas.microsoft.com)
DPA / estado formal: Cubierto por Microsoft DPA (Azure Maps).

Previstos / condicionales

Entidades que pueden incorporarse en el futuro si se cumplen las condiciones (DPA + preaviso de 30 días).

Previsto

Microsoft Azure (PostgreSQL Flexible Server / Blob / Key Vault / Entra ID)

Migración de la base de datos, el almacenamiento de archivos y el inicio de sesión de Supabase a Azure. Región Poland Central. La capa de aplicación ya funciona en Azure; véase «Activos».

Parte de Azure Online Services Terms / Data Protection Addendum (Microsoft).

Previsto

Microsoft Graph (Microsoft 365)

Envío y lectura del correo del buzón de la organización. Actualmente desactivado mediante una marca; Azure Communication Services gestiona el correo saliente.

Cubierto por Microsoft DPA / Online Services Terms. Activación tras configurar App Registration.

Previsto

Microsoft Azure Cache for Redis

Limitador de velocidad distribuido (sustitución de Upstash), región Poland Central, dentro del entorno Microsoft/UE.

Parte de Azure Online Services Terms / DPA.

Previsto

Autenti

Firma electrónica cualificada de contratos (sin equivalente en los servicios de Microsoft). Activación condicionada; actualmente desactivada mediante una marca.

Requiere un DPA firmado y verificación antes de la activación.

Qué NO es un subencargado

Elementos excluidos deliberadamente del registro, con su justificación.

Web Push (VAPID)

Alojamiento propio. Las notificaciones se envían directamente desde nuestro servidor al navegador. El payload es genérico, sin contenido ni datos personales.

Microsoft Entra ID

Sistema de identidad del administrador (Insignis Polska). No trata datos de clientes de PGW en el sentido del art. 28 RODO.

¿Tiene alguna pregunta sobre el tratamiento de datos?

Contacta con el responsable del tratamiento de datos, le responderemos sin demora indebida y, como máximo, en el plazo de un mes (art. 12, apdo. 3 RODO).

iod@e-pgw.pl Política de privacidad

Actualización 2026-09-14