Contrato de encargo del tratamiento
Cómo trata Exporta.ai, por cuenta de sus clientes, los datos personales que guardan en la plataforma (artículo 28 del RGPD).
Última actualización: 24 de septiembre de 2026
Partes, objeto y aceptación
Este contrato se celebra entre el Cliente, como responsable del tratamiento, y Tarraconsulting International S.L. (NIF B43758671, «Exporta.ai»), como encargada del tratamiento. Forma parte de las Condiciones generales de contratación y se acepta al aceptarlas, también en el plan Free. En materia de protección de datos prevalece sobre ellas. Su objeto es regular el tratamiento de los datos personales que el Cliente introduce en la Plataforma o que se obtienen a petición suya, con la única finalidad de prestarle el servicio contratado.
Descripción del tratamiento
• Interesados: contactos comerciales del Cliente (clientes, potenciales clientes, distribuidores, importadores, proveedores, expositores y visitantes de ferias) y, en su caso, los Usuarios del Cliente. • Categorías de datos: identificativos y profesionales (nombre, cargo, empresa, país, ciudad), de contacto profesional (correo, teléfono, perfil de LinkedIn), notas, tareas, oportunidades, archivos adjuntos, notas de voz y su transcripción, fotografías de tarjetas de visita, borradores de mensajes y el contenido de las conversaciones con el asistente sobre esos contactos. No se prevé el tratamiento de categorías especiales de datos. • Operaciones: recogida, registro, organización, estructuración, conservación, consulta, enriquecimiento, verificación, transcripción, traducción, análisis con IA, exportación y supresión. • Duración: la del contrato principal.
Obligaciones de Exporta.ai
• Tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son las de este contrato y las que el Cliente da al usar la Plataforma, y avisarle si considera que una instrucción infringe la normativa. • No usar los datos para fines propios, salvo datos de uso agregados y anonimizados para mejorar el servicio, ni para entrenar modelos de inteligencia artificial. • Garantizar que las personas autorizadas a tratarlos están sujetas a confidencialidad. • Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en la Política de seguridad de la información. • Acceder al contenido de la cuenta del Cliente solo cuando sea necesario para darle soporte o resolver una incidencia, con motivo registrado, de forma temporal y dejando constancia en el registro de auditoría. • Ayudar al Cliente, en la medida de lo posible, a atender los derechos de los interesados, a realizar evaluaciones de impacto y consultas previas y a cumplir sus obligaciones de seguridad y notificación. • Llevar un registro de las actividades de tratamiento realizadas por cuenta del Cliente.
Obligaciones del Cliente
• Garantizar que tiene una base legal para tratar los datos que introduce u obtiene mediante la Plataforma y para las comunicaciones que envía, y que ha informado a los interesados cuando corresponda (arts. 13 y 14 RGPD). • Valorar si necesita una evaluación de impacto antes de usar funciones de enriquecimiento o prospección a gran escala, y aplicar sus conclusiones. • No introducir categorías especiales de datos ni datos de menores. • Supervisar el tratamiento y dar instrucciones lícitas.
Derechos de los interesados
Si un interesado se dirige a Exporta.ai para ejercer sus derechos sobre datos del Cliente, Exporta.ai trasladará la solicitud al Cliente como máximo en dos días laborables y no la responderá por su cuenta, salvo instrucción del Cliente. La Plataforma ofrece herramientas para consultar, rectificar, exportar y suprimir datos, y para incorporar personas a la lista de supresión del Cliente.
Violaciones de seguridad
Exporta.ai notificará al Cliente, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto. La información podrá facilitarse por fases.
Subencargados
El Cliente autoriza de forma general a Exporta.ai a recurrir a los siguientes subencargados: • Supabase Inc. — base de datos, autenticación y almacenamiento de archivos (región de Irlanda, UE). • Vercel Inc. — alojamiento y ejecución de la aplicación (región de Dublín, UE). • OpenRouter Inc. — acceso a los modelos de IA (EE. UU.) y, a través de él, los proveedores de los modelos en uso (entre otros, Google, Anthropic, OpenAI, DeepSeek y Xiaomi). • Apollo.io y FullEnrich — búsqueda de empresas y personas y localización de correos profesionales (EE. UU.). • looot.ai y, a través de él, Icypeas y Hunter — búsqueda de empresas y personas, localización de correos profesionales y lectura de páginas web públicas. • Dropcontact — localización de correos profesionales (Francia, UE). • MillionVerifier — verificación de correos. • DeepL SE — traducción de documentos (Alemania, UE). • Firecrawl — lectura de páginas web públicas (EE. UU.). • Resend — envío de correos transaccionales, como invitaciones (EE. UU.). • PostHog — analítica de producto y registro de errores (UE). Exporta.ai informará al Cliente de la incorporación o sustitución de subencargados con al menos 15 días de antelación, publicando la lista actualizada en esta página y avisando por correo a los administradores. El Cliente podrá oponerse por motivos razonables; si no se alcanza una solución, podrá resolver el contrato. Exporta.ai impone a sus subencargados obligaciones de protección de datos equivalentes y responde de ellos.
Transferencias internacionales
Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.) o en cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias que procedan. Si un mecanismo dejara de ser válido, Exporta.ai adoptará una alternativa en un plazo razonable.
Auditorías
Exporta.ai pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato. El Cliente podrá realizar, a su costa y con un preaviso de 30 días, una auditoría al año, salvo que haya existido una violación de seguridad en los 12 meses anteriores o lo exija una autoridad. La auditoría no dará acceso a datos de otros clientes, a información confidencial de Exporta.ai ni a elementos que comprometan la seguridad.
Fin del encargo
Al terminar el contrato, el Cliente puede exportar sus datos desde la Plataforma. Una vez cerrada la cuenta, Exporta.ai suprimirá los datos personales tratados por su cuenta, salvo que la ley obligue a conservarlos, en cuyo caso los mantendrá bloqueados. Las copias de seguridad del proveedor de infraestructura se eliminan en su ciclo ordinario de rotación. A petición del Cliente, Exporta.ai certificará la supresión.
Responsabilidad
Cada parte responde de sus incumplimientos de este contrato y de la normativa, con los límites previstos en las Condiciones generales. Si Exporta.ai tratara los datos para fines distintos de los encargados, será considerada responsable del tratamiento respecto de ellos.