Acuerdo de tratamiento de datos

Partes y alcance

Este acuerdo (RGPD art. 28) es entre usted, el local, como responsable del tratamiento y Ospitera como encargado del tratamiento. Forma parte de las condiciones de servicio y se aplica mientras tratemos datos personales por su cuenta. Versión 2026-11-05.

Qué tratamos

Objeto y finalidad: recibir, mostrar, imprimir y entregar los pedidos de sus clientes, enviar los mensajes de texto que active, y el soporte relacionado.

Interesados: sus clientes y su propio personal que usa el panel y la pantalla de personal.

Datos personales: nombre, teléfono, dirección de entrega, notas y contenido del pedido de los clientes; nombres de usuario del personal; datos técnicos como direcciones IP (guardadas solo como hashes con clave).

Duración: La dirección de entrega y las notas se eliminan 24 horas después de cerrar un pedido, el teléfono y el apellido a las 72 horas, y los pedidos no cerrados los pierden a los 7 días. El contenido y los importes de los pedidos se conservan para la contabilidad del local hasta que este o el servicio terminan.

Nuestras obligaciones

Instrucciones documentadas: tratamos sus datos personales solo para los fines y según las instrucciones de este acuerdo, los ajustes que elija en su panel y las instrucciones posteriores de sus contactos autorizados, también sobre transferencias al extranjero. Si una ley de la UE o de un Estado miembro exige otro tratamiento, se lo decimos antes salvo que esa ley lo prohíba. Si creemos que una instrucción infringe la normativa de protección de datos, se lo decimos con prontitud y suspendemos esa instrucción hasta que acordemos cómo seguir.

Todas las personas de Ospitera con acceso están sujetas a confidencialidad.

Mantenemos medidas de seguridad adecuadas, entre ellas: cifrado en tránsito, cifrado en reposo de los datos de contacto de los clientes y de las credenciales de pago, contraseñas y PIN con hash, acceso limitado por local, limitación de peticiones, registro de acciones sensibles, eliminación automática como se indica arriba y copias de seguridad de la base de datos.

Asistencia: teniendo en cuenta el tratamiento y la información de que disponemos, le ayudamos con las solicitudes de los clientes para ejercer sus derechos, la seguridad, la evaluación y notificación de brechas, las evaluaciones de impacto y las consultas a las autoridades. Su panel incluye una herramienta para exportar o suprimir los datos de un cliente; para lo que no cubra, escriba a soporte. Le reenviamos con prontitud las solicitudes sobre su tratamiento y no las respondemos nosotros salvo que la ley lo exija, y le damos la información que razonablemente tengamos a tiempo para sus plazos.

Le notificamos sin dilación indebida, y en las 48 horas siguientes a tener conocimiento, una violación de la seguridad de los datos personales que afecte a sus datos, con la información que necesita para cumplir sus propias obligaciones.

Fin del servicio: los pedidos nuevos se detienen en la fecha de fin. Durante 30 días después aún puede entrar y exportar (condiciones 9.4); el día 30 suprimimos los datos personales que guardamos por su cuenta (pedidos, datos de clientes, cuentas del personal y del titular, carta, y los datos de contacto de sus ajustes), salvo que nos pida suprimirlos antes. Las copias de seguridad de la base de datos caducan según el calendario de restauración de nuestro proveedor y nunca se usan para la operación ordinaria; si alguna vez se restaura una, las supresiones se aplican de nuevo. Solo conservamos lo que la ley nos exige: nuestras facturas a usted y el registro de su aceptación de las condiciones.

Cumplimiento y auditorías: le damos la información razonablemente necesaria para demostrar el cumplimiento de este acuerdo y permitimos y contribuimos a auditorías, incluidas inspecciones, por usted o por un auditor independiente que designe, con preaviso razonable y bajo confidencialidad. Las auditorías ordinarias pueden combinarse para evitar duplicidades; siempre caben auditorías adicionales tras un incidente importante, un cambio importante del tratamiento, indicios razonables de incumplimiento o a petición de una autoridad de control.

Funciones separadas: somos su encargado para los pedidos de sus clientes y para las cuentas del personal que gestiona. Somos responsable independiente para nuestra relación comercial con usted, la facturación, la seguridad de nuestra propia plataforma y las reclamaciones legales, como se describe en nuestra política de privacidad (/legal/privacy). Ninguna de las dos funciones nos permite usar datos de clientes para publicidad, elaboración de perfiles ajena al servicio o entrenamiento de modelos de IA.

Subencargados

Usted autoriza a los subencargados de /legal/subprocessors. Les imponemos las mismas obligaciones de protección de datos y seguimos respondiendo de ellos.

Anunciamos los subencargados nuevos en su panel con al menos 30 días de antelación. Puede oponerse por motivos razonables; si no podemos resolverlo, puede terminar el servicio antes del cambio.

Transferencias al extranjero

La lista de subencargados indica dónde trata los datos cada proveedor. Cuando los datos salen del Espacio Económico Europeo, la transferencia se basa en una decisión de adecuación o, si no hay ninguna, en las cláusulas contractuales tipo de la Comisión Europea (módulo 3, de encargado a encargado) que hemos acordado con ese proveedor, con medidas complementarias cuando hace falta. Evaluamos por separado las transferencias ulteriores de nuestros proveedores. Una transferencia sin un mecanismo válido no se inicia. A petición le damos una copia de las garantías, ocultando solo lo comercialmente necesario.

Anexos por país

Reino Unido: los datos personales del Reino Unido pueden ir al EEE según el reglamento de adecuación del Reino Unido para el EEE. Cuando una transferencia restringida va más allá del EEE, usa el UK International Data Transfer Addendum a las cláusulas que tenemos con ese proveedor.

Suiza: las transferencias al EEE se basan en el reconocimiento por el Consejo Federal de una protección adecuada allí; las transferencias a otros destinos usan las cláusulas contractuales tipo reconocidas por el Comisionado Federal suizo de Protección de Datos y Transparencia para ese destino.

Brasil: las transferencias a Bélgica y al resto de la UE se basan en la decisión de adecuación de la autoridad brasileña de protección de datos (ANPD) para la Unión Europea, en la medida en que las cubra. Otros destinos y transferencias ulteriores usan el mecanismo indicado para ellos; cuando son las cláusulas contractuales tipo de la ANPD (Resolución CD/ANPD 19/2024), se adjuntan sin cambios su texto completo y sus anexos cumplimentados.

Turquía: cuando la garantía es el contrato tipo del Consejo de Protección de Datos Personales, cumplimentamos y firmamos con usted el módulo turco correcto antes de que empiece cualquier transferencia, y el contrato firmado se notifica al Consejo en los cinco días hábiles siguientes a la firma por la parte que designe. No empezamos a tratar datos para un local en Turquía antes de eso.

Quebec: antes de que la información personal salga de Quebec, le damos la información y las garantías escritas que necesita para su propia evaluación según la Ley de protección de la información personal en el sector privado; la evaluación es suya.

Otros países con sus propias normas para enviar datos personales al extranjero (por ejemplo Argentina, Colombia y Perú): le damos la información sobre nuestro tratamiento que necesite, y establecemos las cláusulas que exige esa ley antes de que empiece la transferencia.

Orden de prelación

Las disposiciones obligatorias de un instrumento de transferencia citado arriba prevalecen sobre este acuerdo y las condiciones de servicio. Con esa salvedad, un anexo por país prevalece sobre el resto de este acuerdo para ese país, y este acuerdo prevalece sobre las condiciones de servicio en materia de datos personales.

Contacto

Preguntas sobre privacidad y contacto para brechas: support@ospitera.com.