n8n

n8n GmbH está registrada en Novalisstr. 10, 10115 Berlin, Alemania (Amtsgericht Charlottenburg HRB 212509 B, NIF DE327574983), con el fundador Jan Oberhauser como único Geschäftsführer. Tanto la política de privacidad como los Master Enterprise Terms designan a n8n GmbH como responsable del tratamiento y parte contratante. Sin embargo, los contratos con clientes (tanto los Self-Serve Terms como los Master Enterprise Terms) se rigen por el derecho de Inglaterra y Gales, con Londres como jurisdicción exclusiva: se trata de una elección de foro, no de un cambio en la aplicabilidad de la normativa de protección de datos. Los datos personales de la UE siguen sujetos al RGPD. En el aviso legal, en la lista de subencargados ni en los términos figura ninguna filial ni entidad registrada en EE. UU.

La exposición se clasifica como «partial-via-subprocessors». La estructura societaria en sí es íntegramente europea: n8n GmbH (Berlín) contrata directamente con los clientes y no hay filial en EE. UU. La exposición entra a través de la cadena de subencargados: los datos de los flujos de trabajo del cliente se procesan en Microsoft Azure (matriz en EE. UU.; regiones de la UE en Frankfurt y Suecia), el tráfico pasa por delante de Cloudflare (EE. UU.), la telemetría de la aplicación se envía a Sentry (EE. UU., o1420875.ingest.us.sentry.io) y las integraciones de IA, cuando el cliente las activa, envían datos de prompts y respuestas a OpenAI (EE. UU.), Anthropic (contratada a través de Anthropic Ireland Ltd; inferencia en región estadounidense), Google Vertex AI (UE/EE. UU.) y LangChain (EE. UU.). Las transferencias internacionales se documentan bajo el EU-U.S. Data Privacy Framework junto con cláusulas contractuales tipo conforme a los artículos 44 y siguientes del RGPD. Un despliegue autoalojable de la Community Edition elimina por completo la cadena de subencargados del SaaS: el cliente elige su propio alojamiento y sus propios proveedores de IA.

n8n es de código disponible, pero NO es código abierto reconocido por la OSI. El repositorio n8n-io/n8n se rige por una Sustainable Use License v1.0 a medida más una excepción independiente para la Enterprise Edition: los metadatos de licencia de GitHub devuelven correctamente Other en lugar de una licencia OSI reconocida. Limitaciones literales de la licencia: «You may use or modify the software only for your own internal business purposes or for non-commercial or personal use. You may distribute the software or provide it to others only if you do so free of charge for non-commercial purposes.» Los archivos de código fuente que contienen .ee. en el nombre o .ee en el directorio quedan excluidos de la Sustainable Use License y requieren una Enterprise License independiente. El repositorio migró de Apache 2.0 + Commons Clause a la Sustainable Use License en marzo de 2022.

n8n Cloud se aloja en Microsoft Azure dentro de la Unión Europea: la página de precios indica que los planes alojados en la UE almacenan los datos en Frankfurt, Alemania, y la página de seguridad señala que se están preparando regiones adicionales. El cifrado en reposo es AES-256 del lado del servidor de Azure (FIPS 140-2); el cifrado en tránsito es TLS a través de Cloudflare (PoP en el borde de Frankfurt observado en las cabeceras cf-ray). La lista completa de subencargados (https://n8n.io/legal/sub-processors/) nombra a seis encargados autorizados: Microsoft Azure (matriz en EE. UU., residencia en la UE), Hetzner Online (Alemania), OpenAI (EE. UU.), Anthropic (Irlanda), Google Vertex AI (UE/EE. UU.) y LangChain (EE. UU.). Los datos de los flujos de trabajo del cliente se eliminan aproximadamente en los seis meses posteriores a la desactivación de la cuenta, salvo obligación legal en contrario. Los despliegues autoalojables Community y Business mantienen todos los datos del cliente dentro de la infraestructura elegida por este.

No. Los AI Terms publicados en https://n8n.io/legal/ai-terms/ recogen dos prohibiciones vinculantes literales: «n8n will not: Use Customer Data to train any AI models operated by n8n» y «n8n will not use AI Output to train AI models operated by n8n». La política de privacidad lo reitera: «No personal data used for AI/ML model training». La arquitectura de IA también es sencilla por diseño: n8n no opera servicios de LLM por sí misma; en su lugar, los AI Terms establecen que «Customer configures LLM providers (OpenAI, Anthropic, Google, etc.) using Customer's own API credentials», lo que significa que la relación del cliente con el proveedor del LLM es directa, y las políticas de tratamiento de datos de cada proveedor aplican en esa capa. La Customer Acceptable Use Policy (vigente desde marzo de 2026) también prohíbe expresamente «Using AI components to train competing models».