Accord de sous-traitance des données
Comment Exporta.ai traite, pour le compte de ses clients, les données personnelles qu’ils enregistrent sur la plateforme (article 28 du RGPD, Règlement (UE) 2016/679).
Dernière mise à jour: 24 septembre 2026
Parties, objet et acceptation
Le présent accord est conclu entre le Client, en qualité de responsable du traitement, et Tarraconsulting International S.L. (NIF B43758671, « Exporta.ai »), en qualité de sous-traitant. Il fait partie des Conditions générales de vente et d’utilisation et est accepté en même temps que celles-ci, y compris pour le plan Free. En matière de protection des données, il prévaut sur celles-ci. Il a pour objet d’encadrer le traitement des données personnelles que le Client saisit sur la Plateforme ou qui sont obtenues à sa demande, dans le seul but de lui fournir le service souscrit.
Description du traitement
• Personnes concernées : contacts commerciaux du Client (clients, prospects, distributeurs, importateurs, fournisseurs, exposants et visiteurs de salons) et, le cas échéant, les Utilisateurs du Client. • Catégories de données : données d’identification et professionnelles (nom, fonction, entreprise, pays, ville), coordonnées professionnelles (adresse électronique, téléphone, profil LinkedIn), notes, tâches, opportunités, pièces jointes, notes vocales et leur transcription, photographies de cartes de visite, brouillons de messages et contenu des conversations avec l’assistant concernant ces contacts. Aucun traitement de catégories particulières de données n’est prévu. • Opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, enrichissement, vérification, transcription, traduction, analyse par IA, exportation et effacement. • Durée : celle du contrat principal.
Obligations d’Exporta.ai
• Ne traiter les données que sur instruction documentée du Client, à savoir celles du présent accord et celles que le Client donne en utilisant la Plateforme, et l’informer si elle estime qu’une instruction constitue une violation de la réglementation. • Ne pas utiliser les données à ses propres fins, sauf les données d’utilisation agrégées et anonymisées destinées à améliorer le service, ni pour entraîner des modèles d’intelligence artificielle. • Veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité. • Mettre en œuvre les mesures de sécurité prévues à l’article 32 du RGPD, décrites dans la Politique de sécurité de l’information. • N’accéder au contenu du compte du Client que lorsque cela est nécessaire pour lui fournir une assistance ou résoudre un incident, avec un motif enregistré, de manière temporaire et en laissant une trace dans le journal d’audit. • Aider le Client, dans la mesure du possible, à donner suite aux demandes d’exercice des droits des personnes concernées, à réaliser des analyses d’impact et des consultations préalables et à respecter ses obligations de sécurité et de notification. • Tenir un registre des activités de traitement effectuées pour le compte du Client.
Obligations du Client
• Garantir qu’il dispose d’une base légale pour traiter les données qu’il saisit ou obtient au moyen de la Plateforme et pour les communications qu’il envoie, et qu’il a informé les personnes concernées lorsque cela est requis (art. 13 et 14 RGPD). • Évaluer s’il doit réaliser une analyse d’impact avant d’utiliser des fonctionnalités d’enrichissement ou de prospection à grande échelle, et en appliquer les conclusions. • Ne pas saisir de catégories particulières de données ni de données de mineurs. • Superviser le traitement et donner des instructions licites.
Droits des personnes concernées
Si une personne concernée s’adresse à Exporta.ai pour exercer ses droits sur des données du Client, Exporta.ai transmettra la demande au Client dans un délai maximal de deux jours ouvrables et n’y répondra pas de sa propre initiative, sauf instruction du Client. La Plateforme propose des outils pour consulter, rectifier, exporter et effacer des données, ainsi que pour inscrire des personnes sur la liste d’exclusion du Client.
Violations de la sécurité
Exporta.ai notifiera au Client, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, toute violation de la sécurité affectant ses données, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes concernées et d’enregistrements concernés, conséquences probables, mesures prises ou proposées et point de contact. Les informations pourront être communiquées de manière échelonnée.
Sous-traitants ultérieurs
Le Client autorise de manière générale Exporta.ai à faire appel aux sous-traitants ultérieurs suivants : • Supabase Inc. — base de données, authentification et stockage de fichiers (région Irlande, UE). • Vercel Inc. — hébergement et exécution de l’application (région Dublin, UE). • OpenRouter Inc. — accès aux modèles d’IA (États-Unis) et, par son intermédiaire, les fournisseurs des modèles utilisés (notamment Google, Anthropic, OpenAI, DeepSeek et Xiaomi). • Apollo.io et FullEnrich — recherche d’entreprises et de personnes et identification d’adresses électroniques professionnelles (États-Unis). • looot.ai et, par son intermédiaire, Icypeas et Hunter — recherche d’entreprises et de personnes, identification d’adresses électroniques professionnelles et lecture de pages web publiques. • Dropcontact — identification d’adresses électroniques professionnelles (France, UE). • MillionVerifier — vérification d’adresses électroniques. • DeepL SE — traduction de documents (Allemagne, UE). • Firecrawl — lecture de pages web publiques (États-Unis). • Resend — envoi d’e-mails transactionnels, tels que les invitations (États-Unis). • PostHog — analyse produit et journalisation des erreurs (UE). Exporta.ai informera le Client de l’ajout ou du remplacement de sous-traitants ultérieurs au moins 15 jours à l’avance, en publiant la liste mise à jour sur cette page et en avertissant les administrateurs par e-mail. Le Client pourra s’y opposer pour des motifs raisonnables ; à défaut de solution, il pourra résilier le contrat. Exporta.ai impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes et répond de ceux-ci.
Transferts internationaux
Lorsqu’un sous-traitant ultérieur traite des données en dehors de l’Espace économique européen, le transfert repose sur une décision d’adéquation (comme le cadre de protection des données UE–États-Unis) ou sur des clauses contractuelles types de la Commission européenne, assorties des mesures complémentaires appropriées. Si un mécanisme cessait d’être valable, Exporta.ai adopterait une solution alternative dans un délai raisonnable.
Audits
Exporta.ai mettra à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client pourra réaliser, à ses frais et moyennant un préavis de 30 jours, un audit par an, sauf en cas de violation de la sécurité survenue au cours des 12 mois précédents ou si une autorité l’exige. L’audit ne donnera accès ni aux données d’autres clients, ni aux informations confidentielles d’Exporta.ai, ni à des éléments susceptibles de compromettre la sécurité.
Fin de la sous-traitance
À la fin du contrat, le Client peut exporter ses données depuis la Plateforme. Une fois le compte clôturé, Exporta.ai effacera les données personnelles traitées pour son compte, sauf si la loi impose de les conserver, auquel cas elle les conservera à l’état bloqué. Les sauvegardes du fournisseur d’infrastructure sont supprimées selon leur cycle de rotation ordinaire. À la demande du Client, Exporta.ai certifiera l’effacement.
Responsabilité
Chaque partie répond de ses manquements au présent accord et à la réglementation, dans les limites prévues par les Conditions générales de vente et d’utilisation. Si Exporta.ai traitait les données à des fins autres que celles qui lui ont été confiées, elle serait considérée comme responsable du traitement à leur égard.