Contrato de encargo de tratamiento de datos

1. Partes y objeto

El presente contrato regula el encargo de tratamiento de datos personales entre el restaurante que se da de alta en la plataforma (en adelante, el "Responsable") y Comanda (en adelante, el "Encargado"), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

El Encargado presta al Responsable un servicio de software (web pública del restaurante, carta digital, panel de gestión de pedidos, alta de pedidos de plataformas externas) y de intermediación en el reparto a domicilio mediante repartidores de la zona. Para prestar estos servicios, el Encargado trata por cuenta del Responsable los datos personales de los clientes finales del restaurante.

La aceptación de este contrato durante el alta en la plataforma, con fecha y hora registradas, tiene la consideración de firma a los efectos del artículo 28.9 RGPD.

2. Datos tratados, finalidad y duración

El Encargado tratará las siguientes categorías de datos de los clientes finales del Responsable, con la única finalidad de gestionar y entregar los pedidos:

• Datos identificativos: nombre y teléfono de contacto.
• Datos de entrega: dirección postal, indicaciones de acceso y coordenadas aproximadas.
• Datos del pedido: contenido, importe, forma de pago elegida, observaciones del cliente.
• Datos de plataformas externas (Glovo, Just Eat): el contenido del tique que el Responsable introduce en la plataforma, incluida la imagen del tique si se conserva.
• Datos de tráfico técnico necesarios para el funcionamiento del servicio (dirección IP, fecha y hora, navegador).

3. Duración y purga automática

El tratamiento se prolonga mientras esté vigente la relación de servicio. Los datos de contacto y de entrega de cada pedido se anonimizan automáticamente transcurridos 90 días desde su finalización, conservándose únicamente los datos económicos necesarios para la facturación y las obligaciones fiscales del Responsable y del Encargado (en ese caso, sin datos identificativos del cliente final).

A la finalización del contrato, el Encargado devolverá al Responsable los datos personales en formato estructurado y de uso común, y suprimirá las copias existentes, salvo aquellas que deban conservarse por obligación legal, que quedarán debidamente bloqueadas.

4. Obligaciones del Encargado

El Encargado se compromete a:

• Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se concretan en el uso de la plataforma, y no utilizarlos para fines propios.
• Garantizar que las personas autorizadas a tratar los datos se comprometen a la confidencialidad y reciben la formación necesaria.
• Aplicar medidas técnicas y organizativas apropiadas (artículo 32 RGPD): aislamiento por restaurante en base de datos con políticas de seguridad a nivel de fila, cifrado en tránsito, control de accesos por rol, registro de accesos y copias de seguridad.
• Asistir al Responsable en la atención de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, redirigiendo al Responsable cualquier solicitud recibida directamente.
• Notificar al Responsable sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información necesaria para que el Responsable pueda cumplir el artículo 33 RGPD.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías razonables, previo aviso.
• No transferir datos fuera del Espacio Económico Europeo sin garantías adecuadas conforme al Capítulo V del RGPD.

5. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados, necesarios para prestar el servicio: proveedores de alojamiento y bases de datos en la Unión Europea, proveedor de red de entrega de contenidos y certificados (Cloudflare), proveedor de pasarela de pago cuando el Responsable active el pago online, y los repartidores autónomos que realizan la entrega, quienes acceden únicamente a los datos de contacto y entrega del pedido asignado y mientras dura el reparto.

El Encargado informará al Responsable de cualquier cambio en la lista de subencargados con una antelación mínima de 15 días, para que pueda oponerse. Los subencargados quedan sujetos a obligaciones equivalentes a las de este contrato.

6. Obligaciones del Responsable

Corresponde al Responsable:

• Disponer de base jurídica para el tratamiento e informar a sus clientes conforme a los artículos 13 y 14 RGPD, para lo que la plataforma incluye un texto informativo en el proceso de pedido que el Responsable puede completar.
• Introducir en la plataforma únicamente los datos necesarios para la entrega y no utilizar la plataforma para tratar categorías especiales de datos.
• Custodiar las credenciales de acceso al panel y gestionar las altas y bajas de su personal.
• Atender los derechos de las personas interesadas y realizar, en su caso, la evaluación de impacto que proceda.

7. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que le corresponden en virtud del RGPD y de este contrato. Si el Encargado determinara por sí mismo los fines y medios del tratamiento, será considerado responsable respecto de ese tratamiento.