RGPD · art. 28
Contrato de encargo del tratamiento
Forma parte de las Condiciones del servicio y se acepta con ellas.
1. Partes y objeto
El Cliente (el restaurante que contrata FastBite) es el responsable del tratamiento de los datos de sus clientes y de su personal. BRASATECH DIGITAL SOLUTIONS S.L., NIF B09767898, es el encargado del tratamiento: trata esos datos solo para prestar FastBite al Cliente.
2. Naturaleza, finalidad y duración
Alojar, registrar, consultar, organizar y conservar los datos necesarios para la carta y los pedidos, el punto de venta, la cocina, los pedidos para llevar, la facturación y el envío de registros VERI*FACTU a la Agencia Tributaria. El encargo dura lo mismo que el contrato de servicio.
3. Interesados y datos
| Interesados | Datos |
|---|---|
| Clientes del restaurante | Pedidos, mesa, nombre para recoger un pedido, datos para una factura completa (nombre o razón social, NIF y dirección), referencias de pago (nunca los datos de la tarjeta) |
| Personal del restaurante | Usuario, nombre, función y contraseña cifrada de forma irreversible; pedidos y tickets que gestiona |
El servicio no está pensado para tratar categorías especiales de datos. La información de alérgenos describe los platos, no a las personas.
4. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del Cliente, que son estas condiciones y lo que el Cliente configura en el servicio, salvo obligación legal, de la que le informaremos antes si la ley lo permite.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
- Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en el apartado 6.
- Recurrir a subencargados solo según el apartado 5.
- Ayudar al Cliente a atender los derechos de los interesados. Si un interesado se dirige a nosotros, le remitiremos al Cliente y se lo comunicaremos.
- Ayudar al Cliente a cumplir sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas, teniendo en cuenta la información de que dispongamos.
- Notificar al Cliente sin dilación indebida, y en lo posible en 48 horas, cualquier violación de la seguridad de los datos de la que tengamos conocimiento, con la información necesaria para que pueda notificarla.
- Al terminar el servicio, permitir al Cliente exportar sus datos durante 30 días y después suprimirlos, salvo que la ley exija conservarlos (por ejemplo, las facturas y los registros de facturación).
- Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con aviso previo y sin acceso a datos de otros clientes.
5. Subencargados
El Cliente autoriza de forma general el recurso a subencargados. Los actuales son:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Google Ireland Ltd. (Google Cloud, Firebase) | Alojamiento de la aplicación, base de datos y archivos | Unión Europea (Madrid) |
| Microsoft Ireland Operations Ltd. (Microsoft 365) | Correo electrónico del servicio | Unión Europea |
Avisaremos de cualquier alta o sustitución con al menos 30 días de antelación; el Cliente puede oponerse por motivos razonables y, si no se encuentra solución, resolver el contrato. Cada subencargado queda sujeto a las mismas obligaciones que este contrato. Stripe y la Agencia Tributaria no son subencargados: Stripe trata los pagos como responsable propio y la Agencia Tributaria recibe los registros por obligación legal del Cliente.
6. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS) y de los datos almacenados por el proveedor de alojamiento.
- Separación de los datos de cada restaurante en su propio esquema de base de datos.
- Contraseñas guardadas con algoritmos de resumen irreversibles; control de acceso por funciones.
- Copias de seguridad y posibilidad de exportación por el Cliente.
- Actualización del software y registro de la actividad relevante para detectar y resolver incidentes.
7. Transferencias internacionales
Los datos se alojan en la Unión Europea. Cualquier acceso desde fuera del Espacio Económico Europeo se hará con las garantías del capítulo V del RGPD.
8. Obligaciones del Cliente
El Cliente garantiza que trata los datos de forma lícita, que informa a los interesados (puede usar la página de privacidad que FastBite ofrece para cada local) y que sus instrucciones cumplen la normativa.