Subprocesadores
Borrador pendiente de revisión legal. Este documento es un borrador fundamentado y NO constituye asesoría legal ni la versión vigente hasta su revisión y aprobación por un abogado. Los renglones marcados como pendientes contienen datos que sólo un humano puede confirmar (contratos vigentes, entidad y región del proveedor). Mientras existan, esta lista no está completa y el DPA —que depende de ella— no puede considerarse cumplido.
Para prestar el servicio, Belfort (en su carácter de encargado frente a sus clientes) recurre a terceros que tratan datos por nuestra cuenta —los subprocesadores—. Esta página los enumera de forma pública, con qué datos recibe cada uno, para qué, y dónde se tratan. Es una condición del DPA y refleja la práctica de la industria de verificación de identidad.
Cada renglón de esta lista corresponde a una llamada que el software realiza de verdad. No enumeramos proveedores que no reciben datos, ni omitimos los que sí los reciben.
1. Tratamiento de datos biométricos y del documento de identidad
Estos son los subprocesadores que reciben datos personales sensibles: la fotografía del rostro (selfie), los fotogramas del video de prueba de vida y las imágenes de la credencial para votar u otro documento de identidad.
| Subprocesador | Qué datos recibe | Finalidad | Ubicación de datos |
|---|---|---|---|
AllSign (Astro Digital, S.A. de C.V.), como operador de la pasarela de modelos de lenguaje llm.portal.allsign.io | Imagen del rostro (selfie), imágenes del anverso y reverso del documento de identidad y fotogramas del video de prueba de vida, transmitidos en el cuerpo de la solicitud | Encaminar la solicitud al modelo de lenguaje visual que emite el dictamen | México / infraestructura propia del grupo |
[PROVEEDOR DEL MODELO DE LENGUAJE VISUAL — PENDIENTE] (el servicio que opera el modelo gpt-4o detrás de la pasarela anterior) | Los mismos datos biométricos y documentales del renglón anterior | Emitir el dictamen de coincidencia facial, prueba de vida y detección de suplantación, así como la lectura de los datos impresos en el documento | [REGIÓN — PENDIENTE] |
Advertencia sobre el dictamen automatizado. El juicio de coincidencia facial y de prueba de vida lo emite un modelo de lenguaje visual de un tercero, no un componente de infraestructura ni un algoritmo que corra exclusivamente dentro de Belfort. Es el tratamiento de mayor riesgo de todo el servicio y por eso encabeza esta lista. El titular conserva su derecho de oposición a decisiones basadas únicamente en tratamientos automatizados, que se atiende con la revisión humana prevista en la cláusula 6.3 del DPA.
Antes de firmar cualquier contrato que dependa de esta lista, un humano tiene que confirmar y dejar por escrito: (a) qué empresa opera realmente el modelo, (b) en qué país se procesa, (c) si existe un acuerdo de retención cero que impida que las imágenes se conserven o se usen para entrenar modelos, y (d) si la pasarela conserva copia de las solicitudes que reencamina.
2. Contraste contra fuentes oficiales
| Subprocesador | Qué datos recibe | Finalidad | Ubicación de datos |
|---|---|---|---|
| Nubarium — Lista Nominal (INE) | Clave de elector y número identificador de la credencial | Comprobar la vigencia de la credencial para votar | México |
| Nubarium — RENAPO | CURP | Validar la CURP y obtener nombre, fecha y entidad de nacimiento | México |
| Nubarium — listas de riesgo | Nombre completo y, cuando aplica, CURP y RFC | Contraste contra listas de personas bloqueadas y personas políticamente expuestas | México |
| Nubarium — lectura de comprobante de domicilio | Imagen completa del recibo (contiene nombre y domicilio) | Extraer nombre, domicilio y fecha del comprobante | México |
| Servicio de Administración Tributaria (SAT) | Número de serie del certificado de e.firma | Consultar si el certificado está revocado | México |
| Gobierno del Estado de Colima (pasarela de consulta al SAT) | Archivo del certificado de e.firma completo, que contiene nombre, CURP y RFC del titular | Reencaminar la consulta de revocación al SAT | México |
3. Infraestructura, comunicaciones y soporte
| Subprocesador | Qué datos recibe | Finalidad | Ubicación de datos |
|---|---|---|---|
| [PROVEEDOR DE CENTRO DE DATOS — PENDIENTE] | Todos los datos del servicio: base de datos, archivos de evidencia cifrados y registros | Cómputo, almacenamiento y base de datos | [REGIÓN — PENDIENTE] |
| Resend | Dirección de correo del destinatario y contenido del mensaje | Avisos transaccionales de verificación | Estados Unidos |
| SendGrid (Twilio) | Dirección de correo del destinatario y contenido del mensaje | Correos de acceso y verificación de cuenta del panel | Estados Unidos |
| Stripe | Datos de facturación del cliente contratante, no de los titulares verificados | Cobro de suscripciones y créditos | Estados Unidos |
| Sentry | Diagnósticos de error, configurados para excluir datos personales. El componente de verificación de identidad —el que maneja las imágenes— redacta CURP, RFC, clave de elector, correo e imágenes antes de enviar. El resto del servicio redacta los campos de resultado y respuesta | Detección y diagnóstico de fallas | Estados Unidos |
| PostHog | Métricas de uso sin datos personales: familia de documento, país y resultado | Analítica de producto agregada | Estados Unidos |
| Google — Play Integrity | Identificador de integridad del dispositivo Android | Comprobar que la aplicación no corre en un dispositivo manipulado | Estados Unidos |
| Google y jsDelivr — distribución de los componentes de captura | Dirección IP y navegador del titular al descargar el componente. No recibe imágenes: el análisis del rostro durante la captura ocurre en el dispositivo | Entregar el componente de captura facial al navegador | Red de distribución global |
4. Destinatarios que no son subprocesadores
- El cliente contratante (responsable). Recibe el resultado de la verificación, incluida la evidencia, en su carácter de responsable del tratamiento. No es un subprocesador: es a quien le devolvemos el dato.
- La dirección de notificación que configure el cliente. Cuando el cliente activa notificaciones automáticas, el resultado viaja al destino que él mismo define. El responsable de ese destino es el cliente.
5. Fuentes de datos gubernamentales
El contraste contra fuentes gubernamentales (CURP/RENAPO, INE) depende de la disponibilidad de esos sistemas, ajena a Belfort. Su estado se reporta como componente independiente en status.belfort.ai. Cuando una fuente está caída, la verificación cae a revisión manual.
6. Cambios de subprocesadores
Cuando incorporemos o sustituyamos un subprocesador que trate datos personales, lo notificaremos con antelación razonable a los clientes suscritos a estos avisos, para que puedan objetar conforme al DPA. Para suscribirte a las notificaciones de cambios, escribe a privacidad@belfort.ai.
La fecha de última actualización de esta lista es la que aparece en el encabezado de este documento. La fecha de vigencia y el código del documento cambian con cada actualización.