1. PARTES Y OBJETO
Responsable: la entidad titular del restaurante identificada en el resumen particular del contrato y su representante autorizado. Encargado: Dexperiencias Gastro 2023 S.L., B13927520, C/ Abu-S-Salt 1, 03700 Dénia, Alicante, contacto tbgo.info@drest2chef.com.
El encargo permite prestar las funciones de TB&Go expresamente contratadas: registro y gestión de reservas, disponibilidad, comunicación operativa, gestión de usuarios y, si se contratan y habilitan, los módulos adicionales indicados en el anexo técnico de la instalación. No autoriza usos propios de los datos de comensales para publicidad, venta de bases o elaboración de perfiles ajenos a las instrucciones del restaurante.
El tratamiento durará lo necesario para prestar el servicio y completar las operaciones legítimas de devolución/supresión al terminar, con las conservaciones legales que procedan. Los tratamientos propios del prestador sobre contratación, facturación y seguridad se informan separadamente y no se convierten en instrucciones del restaurante por este anexo.
2. DATOS, INTERESADOS Y OPERACIONES
Interesados: comensales y contactos de reservas, usuarios y personal autorizado, y otros contactos cuya incorporación esté incluida en el servicio. Datos: identificación y contacto, información de reserva y asistencia, comunicaciones operativas, permisos/aceptaciones acreditados, identificadores de usuario y registros técnicos necesarios. Las alergias u otros datos de salud solo se tratarán cuando la función esté habilitada, exista base jurídica suficiente y el restaurante lo instruya conforme a la normativa. No incorporar datos innecesarios ni ampliar categorías por un campo libre sin valorar su necesidad.
Operaciones: recogida, registro, organización, consulta, actualización, comunicación instruida, alojamiento, protección, respaldo cuando esté contratado, exportación y supresión. El anexo técnico identificará módulos, finalidades, categorías efectivas, acceso, retención y copias de cada instalación. No se presume aplicable a todos los clientes la configuración privada de Dexcaro.
3. INSTRUCCIONES Y OBLIGACIONES DEL RESPONSABLE
El responsable define finalidades, base jurídica, información a interesados, autorizaciones y plazos de conservación que le correspondan. Documentará las instrucciones, designará interlocutores facultados y limitará los datos y accesos a lo necesario. No ordenará campañas o tratamientos incompatibles con los permisos acreditados.
La configuración aceptada del servicio y las órdenes de usuarios autorizados constituyen instrucciones dentro del alcance contratado. Una orden fuera de ese alcance debe evaluarse y documentarse antes de ejecutarse. El encargado advertirá si aprecia una infracción de protección de datos en una instrucción; no se atribuye la obligación imposible de garantizar todas las decisiones jurídicas del restaurante.
4. OBLIGACIONES DEL ENCARGADO
Tratará los datos solo siguiendo instrucciones documentadas, salvo obligación legal que deba cumplir; en tal caso informará cuando la ley lo permita. Mantendrá la confidencialidad del personal autorizado y limitará su acceso según necesidad y función. No comunicará datos a otros restaurantes ni los utilizará con fines propios no amparados por una base jurídica independiente e información aplicables.
Aplicará medidas adecuadas al riesgo, incluidas autenticación, permisos e aislamiento entre restaurantes, protección de comunicaciones, gestión de secretos, actualización y gestión de incidencias, trazabilidad y recuperación en el alcance efectivo del anexo técnico. Las medidas, proveedores, regiones y copias deben verificarse y documentarse antes del primer acceso a datos reales. No se certifica una localización exclusivamente europea, un sistema de respaldo o un objetivo de recuperación no contrastados.
5. SUBENCARGADOS Y TRANSFERENCIAS
Los proveedores necesarios y su papel se identificarán en la ficha técnica aceptada. La utilización de Google/Firebase requiere identificar los servicios efectivos, entidad contratante, ubicación y mecanismos aplicables a transferencias; su acuerdo estándar no sustituye el presente encargo. Los módulos de email, SMS o integraciones solo se incorporarán con su finalidad, proveedor y garantías documentados.
La autorización general de subencargados solo alcanza la lista facilitada antes de contratar. Se informará previamente de incorporaciones o sustituciones para permitir objeciones fundadas antes de su efectividad; si no puede resolverse una objeción se acordará una alternativa o la finalización del tratamiento afectado preservando los derechos aplicables. Se impondrán obligaciones de protección equivalentes y se mantendrá la responsabilidad del encargado que establece la normativa.
No se efectuarán transferencias internacionales sin cumplir los requisitos legales y las instrucciones aplicables. Stripe podrá intervenir en funciones de pago con roles propios que dependen de la operación; no se le atribuye automáticamente la condición de subencargado para todos sus tratamientos. La cuenta conectada del restaurante y la cuota de software son circuitos diferenciados.
6. DERECHOS, INCIDENTES Y ASISTENCIA
Las solicitudes relativas a datos bajo responsabilidad del restaurante se trasladarán al responsable sin resolverlas por cuenta propia salvo instrucción o deber legal. El encargado prestará la asistencia necesaria para que el responsable pueda atender derechos, evaluar riesgos y cumplir las obligaciones que correspondan a los tratamientos contratados.
El encargado notificará al responsable las violaciones de seguridad de datos personales de las que tenga conocimiento sin dilación indebida, con la información disponible sobre naturaleza, alcance, consecuencias y medidas; completará progresivamente la información que falte. El responsable decidirá las comunicaciones a autoridad/interesados que le correspondan, sin excluir las obligaciones propias de cada parte. Se preservarán evidencias y confidencialidad durante la respuesta.
7. INFORMACIÓN Y AUDITORÍA
El encargado facilitará información suficiente para acreditar sus obligaciones y permitirá las comprobaciones y auditorías previstas legalmente, con garantías de confidencialidad, seguridad y separación de otros clientes. No se utiliza este apartado para negar una auditoría exigible ni para revelar secretos o datos ajenos al restaurante. Las partes colaborarán en las evaluaciones y consultas previas que procedan.
8. FIN DEL ENCARGO, COPIAS Y CONSERVACIÓN
Al terminar, el responsable elegirá devolución o supresión en el alcance legalmente disponible. Se verificará la identidad y se facilitará recuperación segura de los datos propios en los formatos y plazos del contrato y de la normativa aplicable. Los secretos, código del prestador y datos de otros clientes quedan excluidos de la exportación de datos del restaurante.
La devolución, eliminación y conservación legal se documentarán, incluidas las copias y el calendario efectivo de eliminación. Las copias retenidas legítimamente permanecerán protegidas y sin uso operativo, salvo recuperación autorizada o deber legal. No se declara una supresión completa antes de comprobar copias y proveedores, ni conservación indefinida general para datos de salud.
9. FICHA OBLIGATORIA POR INSTALACIÓN, ANTES DE ACTIVAR
Identidad y representación del responsable; restaurante y contrato; interlocutor de privacidad; fecha de inicio; módulos y categorías efectivas; proveedores/subencargados con servicios, entidades y regiones; garantías de transferencias; medidas de acceso y seguridad; cobertura de copias, frecuencia, retención y recuperación verificadas; conservación por categoría; formatos y procedimiento de devolución/exportación/supresión; canales para incidentes y derechos; versión y evidencia de aceptación.
No se activa un tratamiento real omitiendo esta ficha o sustituyéndola por los datos del piloto Dexcaro. La firma del contrato de software y la autorización de cobro no son consentimiento de los comensales ni prueba de aprobación de sus alergias o publicidad.