Subprocessor
List

A Team Agency LLC utiliza los siguientes terceros proveedores (Subprocesadores) para la prestación de sus Servicios. Cada Subprocesador accede únicamente a los datos estrictamente necesarios para cumplir su función específica y está sujeto a acuerdos de protección de datos equivalentes a los estándares establecidos en el Data Processing Agreement vigente en www.the-ateam.ai/legal.

Esta lista no incluye subprocesadores de los propios Clientes ni herramientas internas de A Team que no accedan a datos de terceros. Chatwoot opera de forma self-hosted en la infraestructura GCP de A Team y no constituye un subprocesador de terceros. La lista maestra con detalles de certificaciones vigentes se mantiene en www.the-ateam.ai/legal.

Transferencia intra-grupo: el flujo de datos entre A Team Agency LLC (HoldCo, Delaware) y sus Entidades Operativas Locales ---Bull Forward SRL (Argentina) y futuras OpCos--- está regulado por un Intercompany DPA que replica los estándares del Data Processing Agreement vigente en www.the-ateam.ai/legal. Las OpCos operan bajo instrucciones expresas e indisponibles de la HoldCo.

A Team Agency LLC uses the following third-party providers (Subprocessors) for the provision of its Services. Each Subprocessor accesses only the data strictly necessary to perform its specific function and is subject to data protection agreements equivalent to the standards established in the Data Processing Agreement in effect at www.the-ateam.ai/legal.

This list does not include Clients' own subprocessors or A Team's internal tools that do not access third-party data. Chatwoot operates in a self-hosted manner on A Team's GCP infrastructure and does not constitute a third-party subprocessor. The master list with current certification details is maintained at www.the-ateam.ai/legal.

Intra-group transfer: the flow of data between A Team Agency LLC (HoldCo, Delaware) and its Local Operating Entities — Bull Forward SRL (Argentina) and future OpCos — is governed by an Intercompany DPA that replicates the standards of the Data Processing Agreement in effect at www.the-ateam.ai/legal. OpCos operate under express and non-waivable instructions from the HoldCo.

A Team aplica los siguientes criterios al seleccionar y contratar Subprocesadores:

Criterio Detalle

Acuerdo de protección de Todo Subprocesador firma un DPA o acepta datos cláusulas equiv. antes de acceder a datos del Cliente.

Limitación de finalidad Los datos se comparten exclusivamente para la función listada en esta tabla.

Prohibición de Ningún Subprocesador puede usar datos del entrenamiento de IA Cliente para entrenar modelos de IA.

Transferencias SCCs (GDPR), cláusulas aprobadas por ANPD internacionales (LGPD) o mecanismos equivalentes según jurisdicción.

Notificación de brechas Todo Subprocesador debe notificar a A Team dentro de 48hs de detectar un incidente de seguridad.

Revisión periódica A Team revisa el cumplimiento de cada Subprocesador al menos una vez por año.

A Team applies the following criteria when selecting and engaging Subprocessors:

Criterion Detail

Data protection Every Subprocessor signs a DPA or accepts agreement equivalent clauses before accessing Client data.

Purpose limitation Data is shared exclusively for the function listed in this table.

AI training prohibition No Subprocessor may use Client data to train AI models.

International SCCs (GDPR), clauses approved by ANPD (LGPD), transfers or equivalent mechanisms per jurisdiction.

Breach notification Every Subprocessor must notify A Team within 48 hours of detecting a security incident.

Periodic review A Team reviews each Subprocessor's compliance at least once per year.

Toda la infraestructura de A Team opera nativamente sobre Google Cloud Platform (GCP), región us-east1. Los servicios utilizados incluyen: Cloud Run (cómputo serverless), Cloud SQL / PostgreSQL (base de datos relacional), Firestore (base de datos no relacional), Cloud Tasks (colas de trabajo), Cloud Storage (archivos), Cloud Scheduler (cadencias proactivas) y Compute Engine (VM para Chatwoot self-hosted).

Subprocesador Categoría País Finalidad Marco **Datos **Transferencia legal** tratados**

Google Cloud Cloud IaaS / EE.UU. Almacenamiento, SCCs + Todos los SCCs Módulo 2 Platform (GCP) PaaS cómputo Google Cloud datos del
serverless (Cloud DPA Cliente y de Run), bases de Usuarios
datos (Cloud SQL
/ PostgreSQL,
Firestore), colas
de trabajo (Cloud
Tasks), archivos
(Cloud Storage) y
orquestación
(Cloud Scheduler)
de toda la
plataforma.

Cloudflare CDN / Seguridad EE.UU. Red de SCCs + Metadatos de SCCs Módulo 2 web distribución de Cloudflare tráfico,
contenido, DPA IPs, logs de protección DDoS y acceso
firewall de
aplicaciones web

Chatwoot opera de forma self-hosted en una VM e2-standard-2 dentro del proyecto GCP de A Team y no constituye un subprocesador externo. Todos los datos de Chatwoot permanecen en la infraestructura controlada por A Team. Chatwoot almacena el historial completo de conversaciones entre los Agentes y los Usuarios (incluyendo mensajes de texto, comprobantes recibidos, datos de deuda y estado de negociaciones). Al cierre de cada relación usuario-cliente, el inbox de Chatwoot correspondiente es archivado técnicamente para preservar la auditabilidad. Los historiales archivados son eliminados definitivamente al vencimiento del plazo de retención establecido en el DPA vigente.

Subprocesador Categoría País Finalidad Marco **Datos tratados Transferencia legal**

Meta Platforms --- Mensajería EE.UU. Envío y Políticas Número de teléfono, SCCs + Políticas WhatsApp Cloud API recepción de Meta + BSP contenido de Meta oficial mensajes a Agreement + mensajes, estado de
Usuarios en SCCs entrega
nombre del
Cliente vía Meta
Cloud API
oficial con
templates
aprobados

SendGrid / Email EE.UU. Envío de SCCs + Email Dirección de email, SCCs Módulo 2 Proveedor SMTP transaccional notificaciones Provider DPA contenido de
operativas, notificaciones, PDFs recibos, adjuntos
facturas y
alertas al
Cliente por
correo
electrónico

Twilio / Proveedor SMS EE.UU. Envío de OTP SCCs + Twilio Número de teléfono, SCCs Módulo 2 SMS para validación DPA contenido OTP (no
Soft KYC y almacenado
notificaciones post-verificación)
SMS operativas

Restricción crítica: Anthropic no puede usar datos del Cliente ni de Usuarios para entrenar o ajustar sus modelos. Esta condición está contractualmente establecida en los términos de la API y se verifica en cada renovación de acuerdo. Los datos del Cliente se tratan únicamente como input de inferencia y no persisten en los sistemas de Anthropic más allá del procesamiento de la solicitud.

Subprocesador Categoría País Finalidad Marco legal Datos **Transferencia tratados**

Anthropic --- IA / LLM + EE.UU. Motor principal SCCs + Contenido de SCCs Módulo 2 Claude API Visión (OCR) de razonamiento Anthropic API mensajes,
(claude-sonnet-4) de los Agentes: DPA + imágenes de
procesamiento de prohibición de comprobantes y
lenguaje entrenamiento facturas,
natural, tool con datos del instrucciones
use nativo, Cliente de
análisis visual configuración
de imágenes del Cliente
(comprobantes de
pago, facturas,
documentos KYC)
y toma de
decisiones en el
Tool Use Loop

Subprocesador Categoría País Finalidad Marco **Datos **Transferencia legal** tratados**

Stripe Pagos (USD) EE.UU. Procesamiento de PCI-DSS Nivel Datos de tarjeta SCCs Módulo 2 suscripciones en 1 + SCCs + (tokenizados),
USD para planes Stripe DPA datos de
Professional y facturación del
Business Cliente

Mercado Pago / Pagos (ARS) Argentina Procesamiento de PCI-DSS + Ley Datos de tarjeta Intra-grupo DPA Proveedor local ARS suscripciones en 25.326 + (tokenizados),
ARS para planes Intercompany datos de
o servicios DPA facturación del
cobrados en Cliente
moneda local en
Argentina

ARCA API (AFIP) --- Facturación Argentina Emisión de CAE y Ley 11.683 + CUIT del N/A --- API oficial API REST directa electrónica facturas normativa consumidor, organismo fiscal electrónicas ARCA + datos de la gubernamental (Tipo B y C) vía regulación factura, argentino API REST con fiscal certificados
autenticación argentina digitales del
por certificado Cliente
digital por (almacenados en
cliente Cloud Storage)
(multi-tenant)

Acceso de solo lectura: ningún proveedor en esta categoría tiene capacidad de iniciar transacciones. El acceso es estrictamente limitado a consulta de movimientos bancarios para fines de conciliación automática. La funcionalidad de conciliación bancaria no está disponible en Fase MVP. En Fase Producción se implementa mediante Interbanking (Argentina) como primera integración. En Fase Avanzada / expansión LATAM se incorporan APIs bancarias directas bajo los mismos principios de solo lectura.

Subprocesador Categoría País Finalidad Marco legal Datos **Transferencia tratados**

Interbanking S.A. Fintech / Argentina Conciliación Com. A 8406 Movimientos Intra-país (AR) Bancario --- bancaria de BCRA + DPA bancarios y
Fase Producción pagos recibidos Interbanking + saldos del
en el CVU SCCs CVU
recaudador del recaudador
Cliente mediante del Cliente
consulta de solo (solo
lectura al lectura)
portal
Interbanking.
Primera
implementación
de conciliación
activa (Fase
Producción,
Argentina). No
disponible en
Fase MVP.

API Bancaria / Fintech / Variable Acceso de solo Com. A 8406 BCRA Movimientos SCCs + regulación Agregador Open Bancario lectura a (AR) + Normativa bancarios y local Banking movimientos BCB (BR) + DPA + saldos del
bancarios del SCCs CVU
Cliente para recaudador
validación de del Cliente
comprobantes y (solo
conciliación lectura)
automática de
pagos recibidos
en el CVU
recaudador

Subprocesador Categoría País Finalidad Marco legal Datos tratados Transferencia

ARCA/AFIP (AR) · KYC Soft --- Variable Validación de Ley 11.683 + Identificador fiscal N/A --- fuente SAT (MX) · Receita Fuente pública por país identificador fiscal normativa ARCA (CUIT/CUIL, RFC, pública oficial Federal/SERPRO (BR) (CUIT/CUIL, RFC, (AR) · Código CPF/CNPJ, NIT según
· DIAN (CO) --- CPF/CNPJ, NIT) y estado Fiscal + país), razón social, APIs fiscales de inscripción del normativa SAT estado de
oficiales Cliente en el organismo (MX) · Lei inscripción (solo
recaudador oficial de su 5.172/66 + lectura desde fuente jurisdicción, en Fase de normativa oficial)
Entrada (Soft KYC) sin Receita Federal
captura de biometría. (BR) · Estatuto
Equivalentes: ARCA/AFIP Tributario +
(AR), SAT (MX), Receita normativa DIAN
Federal/SERPRO (BR), (CO)
DIAN (CO)

Twilio / Proveedor KYC Soft --- EE.UU. Envío de token de SCCs + DPA Número de teléfono, SCCs Módulo 2 SMS (OTP) OTP validación telefónica proveedor token OTP (no
para onboarding Soft KYC almacenado
del plan Starter post-verificación)

RENAPER (AR) / KYC Avanzado Variable Cruce biométrico en Normativa de Foto del documento SCCs Módulo 2 / TSE-SERPRO (BR) / --- Fuente por país tiempo real entre la cada organismo de identidad y dato fuente oficial INE-RENAPO (MX) / pública oficial selfie/prueba de vida oficial + SCCs biométrico para según país Registraduría (CO) del Usuario y los según cruce puntual (no
--- APIs oficiales registros civiles del jurisdicción almacenados
de identidad civil organismo oficial de post-verificación)
identidad de su
jurisdicción. Activado
exclusivamente en Fase
Financiera (planes
Professional/Business,
Open Banking o billetera
recaudadora). Destruye
el fraude de identidades
sintéticas (documentos
reales con fotos
falsas).

Proveedor KYB Avanzado Variable Verificación biométrica SCCs + DPA + Selfie, documento de SCCs Módulo 2 biométrico / eKYC --- Fase (prueba de vida, selfie, prohibición identidad, datos
avanzado Financiera documento) activada reutilización biométricos (solo
exclusivamente en biométrica para verificación,
upgrades a planes eliminados
Professional/Business u post-proceso)
habilitación de Open
Banking o billetera
recaudadora

Subprocesador Categoría País Finalidad Marco legal Datos **Transferencia tratados**

Bull Forward SRL OpCo --- Argentina Facturación en Ley 25.326 + Datos de Intra-grupo DPA Sub-encargado moneda local Intercompany facturación (HoldCo → OpCo) autorizado (ARS), soporte DPA + del Cliente,
comercial y instrucciones datos de
operativo local HoldCo contacto,
para planes o plan
servicios contratado
cobrados en
moneda local en
Argentina

Futuras OpCos OpCo --- Variable Facturación en Normativa Datos de Intra-grupo DPA LATAM/Brasil Sub-encargado por país moneda local, local + facturación
autorizado soporte Intercompany del Cliente,
comercial y DPA + datos de
operativo local instrucciones contacto,
para planes o HoldCo plan
servicios contratado
cobrados en
moneda local en
cada
jurisdicción de
expansión

All of A Team's infrastructure runs natively on Google Cloud Platform (GCP), us-east1 region. Services used include: Cloud Run (serverless computing), Cloud SQL / PostgreSQL (relational database), Firestore (non-relational database), Cloud Tasks (job queues), Cloud Storage (files), Cloud Scheduler (proactive cadences), and Compute Engine (VM for self-hosted Chatwoot).

Subprocessor Category Country Purpose Legal **Data **Transfer framework** processed**

Google Cloud Cloud IaaS / U.S.A. Storage, SCCs + All Client SCCs Module 2 Platform (GCP) PaaS serverless Google Cloud and User computing DPA data (Cloud Run), databases (Cloud SQL / PostgreSQL, Firestore), job queues (Cloud Tasks), files (Cloud Storage), and orchestration (Cloud Scheduler)

Cloudflare CDN / Web U.S.A. Content SCCs + Traffic SCCs Module 2 Security delivery Cloudflare metadata, network, DPA IPs, access DDoS logs protection, web application firewall

Chatwoot operates in a self-hosted manner on an e2-standard-2 VM within A Team's GCP project and does not constitute an external subprocessor. All Chatwoot data remains within A Team-controlled infrastructure. Chatwoot stores the full conversation history between Agents and Users (including text messages, received receipts, debt data, and negotiation status). Upon closure of each user-client relationship, the corresponding Chatwoot inbox is technically archived to preserve auditability. Archived histories are definitively deleted upon expiry of the retention period established in the current DPA.

Subprocessor Category Country Purpose Legal **Data processed Transfer framework**

Meta Platforms --- Messaging U.S.A. Sending and Meta Phone number, SCCs + Meta WhatsApp Cloud API receiving Policies + message content, Policies official messages to BSP delivery status Users on Agreement + behalf of the SCCs Client via official Meta Cloud API with approved templates

SendGrid / Transactional U.S.A. Sending SCCs + Email Email address, SCCs Module 2 SMTP Provider email operational Provider DPA notification notifications, content, attached receipts, PDFs invoices, and alerts to the Client by email

Twilio / SMS SMS U.S.A. Sending OTP SCCs + Twilio Phone number, SCCs Module 2 Provider for Soft KYC DPA OTP content (not validation and stored operational post-verification) SMS notifications

Critical restriction: Anthropic may not use Client or User data to train or fine-tune its models. This condition is contractually established in the API terms and is verified at each agreement renewal. Client data is treated solely as inference input and does not persist in Anthropic's systems beyond the processing of the request.

Subprocessor Category Country Purpose Legal **Data **Transfer framework** processed**

Anthropic --- AI / LLM + U.S.A. Main SCCs + Message SCCs Module 2 Claude API Vision (OCR) reasoning Anthropic API content, (claude-sonnet-4) engine for DPA + receipt and Agents: training invoice natural prohibition images, language with Client Client processing, data configuration native tool instructions use, visual analysis of images (payment receipts, invoices, KYC documents), and decision- making in the Tool Use Loop

Subprocessor Category Country Purpose Legal **Data **Transfer framework** processed**

Stripe Payments (USD) U.S.A. Processing USD PCI-DSS Card data SCCs Module 2 subscriptions Level 1 + (tokenized), for SCCs + Client billing Professional Stripe DPA data and Business plans

Mercado Pago / Payments (ARS) Argentina Processing ARS PCI-DSS + Card data Intra-group DPA Local ARS Provider subscriptions Law 25.326 + (tokenized), for plans or Intercompany Client billing services billed DPA data in local currency in Argentina

ARCA API (AFIP) --- Electronic Argentina Issuing CAE Law 11.683 + Taxpayer ID N/A --- official Direct REST API fiscal and electronic ARCA (CUIT), invoice government agency invoicing invoices (Type regulations + data, Client API B and C) via fiscal digital REST API with regulation certificates per-client Argentina (stored in digital Cloud Storage) certificate auth (multi-tenant)

Read-only access: no provider in this category has the ability to initiate transactions. Access is strictly limited to querying bank movements for automatic reconciliation purposes. Bank reconciliation functionality is not available in MVP Phase. In Production Phase it is implemented via Interbanking (Argentina) as the first integration. In Advanced Phase / LATAM expansion, direct bank APIs are incorporated under the same read-only principles.

Subprocessor Category Country Purpose Legal **Data **Transfer framework** processed**

Interbanking S.A. Fintech / Argentina Bank BCRA Com. Bank Intra-country (AR) Banking --- reconciliation A 8406 + movements Production of payments Interbanking and balances Phase received in DPA + SCCs of the the Client's Client's collection CVU collection via read-only CVU (read- query of the only) Interbanking portal. First active reconciliation implementation (Production Phase, Argentina). Not available in MVP Phase.

Banking API / Fintech / Variable Read-only BCRA Com. A 8406 Bank SCCs + local Open Banking Banking access to (AR) + BCB movements regulation Aggregator Client bank Regulations and balances movements for (BR) + DPA + of the receipt SCCs Client's validation and collection automatic CVU (read- reconciliation only) of payments received in the collection CVU

Subprocessor Category Country Purpose Legal **Data processed Transfer framework**

ARCA/AFIP (AR) · Soft KYC --- Variable Validation of tax Law 11.683 + Tax ID (CUIT/CUIL, N/A --- official SAT (MX) · Receita Official public per country identifier ARCA (AR) · RFC, CPF/CNPJ, NIT public source Federal/SERPRO (BR) source (CUIT/CUIL, RFC, Tax Code + by country), · DIAN (CO) --- CPF/CNPJ, NIT) and SAT (MX) · company name, Official tax APIs Client registration Law 5.172/66 + enrollment status status with the Receita Federal (read-only from official tax authority (BR) · Tax official source) of their jurisdiction, Statute + DIAN in Entry Phase (Soft (CO) KYC) without biometric capture. Equivalents: ARCA/AFIP (AR), SAT (MX), Receita Federal/ SERPRO (BR), DIAN (CO)

Twilio / SMS Soft KYC --- U.S.A. Sending phone SCCs + provider Phone number, SCCs Module 2 Provider (OTP) OTP validation token for DPA OTP token (not Soft KYC onboarding of stored Starter plan post-verification)

RENAPER (AR) / Advanced KYC Variable Real-time biometric Regulation of Identity document SCCs Module 2 / TSE-SERPRO (BR) / --- Official per country cross-check between each official photo and biometric official source INE-RENAPO (MX) / public source the User's selfie/ body + SCCs data for one-time per country Registraduría (CO) liveness proof and per cross-check (not --- Official civil civil registry records jurisdiction stored post- identity APIs of the official verification) identity authority of their jurisdiction. Activated exclusively in Financial Phase (Professional/Business plans, Open Banking, or collection wallet). Prevents synthetic identity fraud (real documents with fake photos).

Advanced biometric Advanced KYB Variable Biometric verification SCCs + DPA + Selfie, identity SCCs Module 2 / eKYC provider --- Financial (liveness detection, biometric document, biometric Phase selfie, document) reuse data (for activated exclusively prohibition verification only, on upgrades to deleted post- Professional/Business process) plans or enablement of Open Banking or collection wallet

Subprocessor Category Country Purpose Legal **Data **Transfer framework** processed**

Bull Forward SRL OpCo --- Argentina Local currency Law 25.326 + Client Intra-group DPA Authorized invoicing Intercompany billing (HoldCo → OpCo) sub-processor (ARS), local DPA + data, contact commercial and HoldCo data, operational instructions contracted support for plan plans or services billed in local currency in Argentina

Future LATAM/ OpCo --- Variable Local currency Local Client Intra-group DPA Brazil OpCos Authorized per country invoicing, regulation + billing sub-processor local Intercompany data, contact commercial and DPA + data, operational HoldCo contracted support for instructions plan plans or services billed in local currency in each expansion jurisdiction

Paso Acción Detalle

1 Publicación en el A Team actualiza esta página en sitio www.the-ateam.ai/legal con al menos 15 días corridos de anticipación.

2 Notificación al Envío de email informativo al correo Cliente registrado del Cliente.

3 Ventana de El Cliente dispone de 15 días corridos desde objeción la notificación para objetar por escrito a legal@the-ateam.ai.

4 Negociación de Si el Cliente objeta, las partes negocian una buena fe solución alternativa. Si no hay acuerdo, el Cliente puede rescindir sin penalidad conforme la Sección 9 de los Términos y Condiciones vigentes en www.the-ateam.ai/legal.

5 Activación El nuevo Subprocesador comienza a operar vencido el plazo de 15 días sin objeción, o cuando se resuelva la objeción.

Step Action Detail

1 Website A Team updates this page at publication www.the-ateam.ai/legal with at least 15 calendar days' advance notice.

2 Client Informational email sent to the Client's notification registered address.

3 Objection window The Client has 15 calendar days from the notification to object in writing to legal@the-ateam.ai.

4 Good-faith If the Client objects, the parties negotiate negotiation an alternative solution. If no agreement is reached, the Client may terminate without penalty under Section 9 of the Terms and Conditions in effect at www.the-ateam.ai/legal.

5 Activation The new Subprocessor begins operating after the 15-day period expires without objection, or once the objection is resolved.

Derecho Cómo ejercerlo

Consultar la lista Acceder en cualquier momento a actualizada www.the-ateam.ai/legal (sección Subprocessor List).

Solicitar detalles de Enviar solicitud a legal@the-ateam.ai. A Team certificaciones responde en 10 días hábiles.

Objetar nuevo Por escrito a legal@the-ateam.ai dentro de los Subprocesador 15 días corridos de la notificación.

Verificar cumplimiento Mediante el mecanismo de auditoría previsto en del DPA el Data Processing Agreement vigente en www.the-ateam.ai/legal.

Excluir datos Opt-out enviando email a legal@the-ateam.ai en anonimizados de mejora cualquier momento. de IA

Right How to exercise it

Consult the updated Access at any time at www.the-ateam.ai/legal list (Subprocessor List section).

Request certification Send request to legal@the-ateam.ai. A Team details responds within 10 business days.

Object to new In writing to legal@the-ateam.ai within 15 Subprocessor calendar days of the notification.

Verify DPA compliance Through the audit mechanism provided in the Data Processing Agreement in effect at www.the-ateam.ai/legal.

Exclude anonymized Opt-out by sending email to legal@the-ateam.ai data from AI improvement at any time.

Esta lista entró en vigor en Junio 2026 y se actualiza de forma dinámica conforme A Team incorpora, modifica o retira Subprocesadores. La versión publicada en www.the-ateam.ai/legal es siempre la versión vigente y prevalece sobre versiones anteriores descargadas.

Contacto para consultas sobre Subprocesadores: legal@the-ateam.ai

--- FIN DEL DOCUMENTO ---

A Team Agency LLC -- Documento de uso público. www.the-ateam.ai/legal

Subprocessor List v1.0 -- Junio 2026

This list entered into force in June 2026 and is updated dynamically as A Team adds, modifies, or removes Subprocessors. The version published at www.the-ateam.ai/legal is always the current version and supersedes previously downloaded versions.

Contact for Subprocessor inquiries: legal@the-ateam.ai

--- END OF DOCUMENT ---

A Team Agency LLC -- Public document. www.the-ateam.ai/legal

Subprocessor List v1.0 -- June 2026