Última actualización: 18 de octubre de 2026
Este Encargo se celebra entre el usuario de Clonio que activa el Agente SDR («el Responsable») y ZIPGENIAL LLC, sociedad de Florida (Estados Unidos) con domicilio en 655 S Le Jeune Rd, Ste 905, Coral Gables, FL 33134 y correo electrónico contact@clonio.es, titular de Clonio («el Encargado»). Regula el tratamiento de datos personales de terceros que el Encargado realiza por cuenta del Responsable al prestarle el Agente SDR, conforme al artículo 28 del Reglamento (UE) 2016/679 («RGPD»). Forma parte del Aviso Legal de Clonio y el Responsable lo acepta expresamente al activar el Agente SDR. Si lo activa por cuenta de una empresa, declara estar facultado para aceptarlo en su nombre, y esa empresa es el Responsable. El representante del Encargado en la Unión (artículo 27 del RGPD) es GRUPO TINFORCE S.L.U., NIF B22930978, Rúa Dinán, 21, entreplanta, puerta B, 27002 Lugo (España), info@zipgenial.com.
El objeto, la naturaleza y la finalidad del tratamiento, los tipos de datos, las categorías de interesados y los plazos de conservación se describen en el Anexo I. El Encargo dura mientras el Agente SDR esté activado y hasta la supresión prevista en la cláusula 11.
El Encargado trata los datos únicamente siguiendo las instrucciones documentadas del Responsable, también en lo relativo a las transferencias internacionales. Son instrucciones documentadas este Encargo y sus Anexos, la configuración que el Responsable elige en la aplicación (activación, clientes ideales, etapas, notas, descartes, borrados, exclusiones y desactivación) y las instrucciones escritas adicionales que envíe a contact@clonio.es y el Encargado acepte. Al aceptar este Encargo, el Responsable aprueba como instrucción propia el funcionamiento del servicio descrito en el Anexo I. El Encargado le avisará con al menos treinta (30) días de antelación, por correo electrónico o en la aplicación, de cualquier cambio en los datos que se captan, la finalidad, los plazos o los subencargados; le informará de inmediato si considera que una instrucción infringe la normativa de protección de datos; y, si el Derecho de la Unión o de un Estado miembro le obliga a tratar los datos de otro modo, se lo comunicará antes, salvo que ese Derecho lo prohíba.
El Encargado no trata los datos para fines propios ni de terceros: no los vende ni los cede, no los combina entre Responsables, no los usa para publicidad ni para entrenar o ajustar modelos de inteligencia artificial, y no permite que sus subencargados lo hagan. Como única excepción, puede obtener de ellos estadísticas agregadas y anónimas sobre el funcionamiento del servicio (por ejemplo, recuentos por tipo de interacción o la tasa de acierto de la valoración), de las que no puede identificarse a nadie, para mantener y mejorar el Agente SDR; para esa operación actúa como responsable, sobre la base de su interés legítimo.
El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos cuando el Responsable pide ayuda con una incidencia, para investigar un problema de seguridad o por obligación legal.
El Encargado aplica las medidas técnicas y organizativas del Anexo II, que garantizan un nivel de seguridad adecuado al riesgo conforme al artículo 32 del RGPD, y puede sustituirlas por otras que ofrezcan un nivel de protección igual o superior.
El Responsable autoriza de forma general al Encargado a recurrir a los subencargados del Anexo III. El Encargado le informará con al menos treinta (30) días de antelación, por correo electrónico y actualizando el Anexo III, de cualquier alta o sustitución de subencargados; el Responsable podrá oponerse por motivos razonables de protección de datos y, si no se encuentra una solución, desactivar el Agente SDR. El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Encargo y sigue siendo plenamente responsable ante el Responsable de su cumplimiento.
El Encargado está establecido en los Estados Unidos. A la comunicación de los datos del Responsable al Encargado se aplican las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo dos (de responsable a encargado), que las partes incorporan por referencia a este Encargo, con el Responsable como exportador y el Encargado como importador, y con estas opciones: se incluye la cláusula 7 (cláusula de incorporación); en la cláusula 9, letra a), se aplica la opción 2 (autorización general previa), con el plazo de aviso de la cláusula 7 de este Encargo; no se incluye la opción de la cláusula 11, letra a); conforme a la cláusula 13, es competente la autoridad de control que corresponda según su letra a) y, para los Responsables establecidos en España, la Agencia Española de Protección de Datos; las cláusulas se rigen por el Derecho español (cláusula 17) y las controversias se someten a los juzgados y tribunales de Madrid (cláusula 18). Sus Anexos I, II y III son los de este Encargo. En caso de contradicción, prevalecen las cláusulas contractuales tipo.
Algunos subencargados del Anexo III tratan los datos en los Estados Unidos o pueden acceder a ellos desde allí. El Encargado solo transfiere datos a subencargados establecidos fuera de la Unión con una garantía del capítulo V del RGPD (su adhesión al Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo, módulo tres), indicada en el Anexo III.
El Encargado asiste al Responsable, teniendo en cuenta la naturaleza del tratamiento, para que pueda atender las solicitudes de ejercicio de los derechos de los artículos 15 a 22 del RGPD: en la aplicación puede consultar todos los datos de cada persona, borrarla y marcar «No volver a registrar a esta persona». Si un interesado se dirige directamente al Encargado, este trasladará la solicitud al Responsable sin dilación indebida y no la contestará en cuanto al fondo salvo instrucción suya.
Instrucción permanente: cuando el Responsable borre a una persona marcando «No volver a registrar a esta persona», el Encargado suprimirá sus datos y conservará solo un código seudonimizado, calculado con una clave secreta a partir de sus identificadores de LinkedIn y distinto para cada Responsable, con el único fin de no volver a registrarla mientras exista la cuenta del Responsable. Si la persona se opone o pide la supresión directamente al Encargado, este trasladará la solicitud al Responsable sin dilación indebida, como en el párrafo anterior, y solo la suprimirá o dejará de registrarla por instrucción del Responsable.
El Encargado asiste al Responsable en el cumplimiento de los artículos 32 a 36 del RGPD con la información de que dispone sobre el tratamiento. Le notificará sin dilación indebida, y en todo caso en un plazo de cuarenta y ocho (48) horas desde que tenga conocimiento de ella, cualquier violación de la seguridad que afecte a sus datos, con la información del artículo 33.3 del RGPD de que disponga, que completará por fases. No la notificará a la autoridad de control ni a los interesados en nombre del Responsable salvo instrucción de este.
Si el Responsable desactiva el Agente SDR o deja de tener un plan que lo incluya, el Encargado suprime todos sus datos a los treinta (30) días, o de inmediato si el Responsable lo pide al desactivarlo, salvo que lo reactive o recupere ese plan antes. Hasta la supresión, el Responsable puede pedir a contact@clonio.es una copia de sus datos en un formato estructurado. Las copias de seguridad del proveedor de base de datos se sobrescriben en su ciclo ordinario. Los códigos de exclusión de la cláusula 9 se suprimen con la cuenta del Responsable.
El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Encargo y del artículo 28 del RGPD, y permite y contribuye a las auditorías, incluidas las inspecciones, que realice el Responsable o un auditor independiente obligado a confidencialidad designado por él, con un aviso previo de treinta (30) días, como máximo una vez al año salvo violación de seguridad o requerimiento de una autoridad de control, primero de forma documental y a cargo del Responsable.
El Responsable garantiza que el tratamiento que encarga es lícito y, en particular, se obliga a: (a) contar con una base jurídica válida; (b) informar a las personas a las que contacte conforme al artículo 14 del RGPD; (c) respetar su derecho de oposición, usando «No volver a registrar a esta persona» cuando proceda; (d) cumplir las normas sobre comunicaciones comerciales por medios electrónicos, en particular el artículo 21 de la Ley 34/2002 (LSSI) o la norma equivalente aplicable; y (e) dar solo instrucciones conformes con la normativa de protección de datos.
La responsabilidad de cada parte frente a los interesados se rige por el artículo 82 del RGPD; entre las partes se aplica la cláusula de limitación de responsabilidad del Aviso Legal, salvo dolo o culpa grave y salvo lo que dispongan imperativamente las cláusulas contractuales tipo. En materia de protección de datos, este Encargo prevalece sobre el Aviso Legal. Se rige por el RGPD y por el Derecho español, y las controversias sobre él se someten a los juzgados y tribunales de Madrid (España), sin perjuicio del derecho de los interesados a acudir a los de su residencia habitual.
Upstash (límites de peticiones y coordinación de tareas) y PostHog (analítica de producto) no reciben datos de los interesados y por eso no figuran en este Anexo.