Contrato de encargo del tratamiento

1. Objeto y duración

Comandia trata datos personales por cuenta del restaurante para prestarle los servicios de carta digital, reservas, gestión de sala, avisos y asistente de recomendación. El encargo tiene la misma duración que el contrato principal. Las obligaciones de confidencialidad y las relativas a la devolución o supresión de los datos subsisten a su terminación.

2. Instrucciones del responsable

Comandia trata los datos únicamente siguiendo instrucciones documentadas del restaurante. Se consideran instrucciones documentadas este contrato y sus anexos, el contrato principal, las opciones de configuración que el restaurante activa en su panel y las instrucciones adicionales remitidas por escrito.

Comandia informará de inmediato si, en su opinión, una instrucción infringe la normativa de protección de datos, y podrá suspender su ejecución hasta que se aclare.

3. Categorías de datos y de interesados

4. Categorías especiales: precisiones

El restaurante reconoce y acepta que:

• El tratamiento de datos de salud se basa en el consentimiento explícito del comensal (arts. 6.1.a y 9.2.a del RGPD), que el restaurante debe recabar de forma informada en el momento de la recogida.
• El filtro de alérgenos de la carta se ejecuta en el dispositivo del comensal y no genera tratamiento en los sistemas de Comandia.
• Las consultas al asistente no se conservan y se transmiten al modelo sin ningún dato identificativo. Solo se registra un contador agregado por restaurante y periodo.
• La seguridad frente a alérgenos no se delega en el modelo de IA: el filtrado se realiza mediante reglas deterministas ejecutadas en el servidor antes de cualquier llamada al modelo.
• Las notas libres de las comandas se conservan 30 días y después se suprimen, por poder contener datos de salud.

5. Confidencialidad y seguridad

Comandia mantiene la confidencialidad de los datos y garantiza que las personas autorizadas para tratarlos se han comprometido a respetarla. El acceso del personal se limita a lo estrictamente necesario para el mantenimiento y el soporte, se realiza con cuentas nominativas y queda registrado.

Medidas técnicas y organizativas aplicadas (art. 32 del RGPD):

• Cifrado en tránsito (TLS) y en reposo; contraseñas con función de derivación de clave con sal.
• Aislamiento multiinquilino mediante seguridad a nivel de fila (RLS) en PostgreSQL: la base de datos impide técnicamente el acceso a filas de otra organización, con independencia de la lógica de aplicación. Existe una suite de pruebas automatizadas que verifica este aislamiento en cada integración.
• Dos roles de base de datos separados: uno de aplicación sujeto a RLS y otro privilegiado de uso exclusivo para migraciones.
• Infraestructura sin puertos públicos expuestos, accesible mediante túnel.
• Validación estricta de las entradas en todos los puntos de la API.
• Los datos de salud no se registran en los sistemas de trazas asociados a una identidad.
• Revisión de código obligatoria e integración continua con pruebas automatizadas antes de cada despliegue.

6. Subencargados

El restaurante autoriza de forma general a los subencargados relacionados a continuación. Comandia informará de cualquier alta o sustitución con al menos 30 días naturales de antelación; el restaurante podrá oponerse motivadamente y, de mantenerse la discrepancia, resolver el contrato sin penalización.

Comandia impone a cada subencargado, por contrato, las mismas obligaciones que asume en este documento, y responde frente al restaurante de su cumplimiento.

7. Asistencia al responsable

• Derechos de los interesados. Comandia pone a disposición del restaurante las funciones de consulta, rectificación, exportación y supresión necesarias. Si un interesado dirige su solicitud a Comandia, ésta se abstendrá de responder al fondo y la trasladará al restaurante en un plazo máximo de 5 días hábiles.
• Violaciones de seguridad. Comandia notificará al restaurante toda violación de la que tenga conocimiento sin dilación indebida y, a más tardar, en 48 horas, con la información de que disponga. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al restaurante.
• Evaluaciones de impacto y consultas previas (arts. 35 y 36), facilitando la información técnica de que disponga.

8. Transferencias internacionales

El almacenamiento principal se ubica en la Unión Europea. Determinados subencargados tratan datos en Estados Unidos. El restaurante autoriza esas transferencias, amparadas en las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914, en el Marco de Privacidad de Datos UE-EE. UU. para los proveedores adheridos, y en medidas suplementarias de cifrado y minimización.

9. Devolución o supresión al terminar

A la terminación del encargo, y a elección del restaurante manifestada por escrito, Comandia devolverá los datos en un formato estructurado, de uso común y lectura mecánica, o los suprimirá incluidas las copias. A falta de indicación en 30 días naturales, se procederá a la supresión. Las copias de seguridad se sobrescriben en su ciclo ordinario, en un plazo máximo de 90 días.

10. Auditoría

Comandia pondrá a disposición del restaurante la información necesaria para acreditar el cumplimiento y permitirá auditorías, incluidas inspecciones, con preaviso de 30 días, no más de una al año salvo incidente de seguridad o requerimiento de la autoridad de control, en horario laboral y con sujeción a confidencialidad. Los costes son a cargo del restaurante, salvo que la auditoría revele un incumplimiento sustancial imputable a Comandia.

11. Obligaciones del restaurante

• Informar a los interesados y recabar las bases jurídicas necesarias, en particular el consentimiento explícito para los datos de salud.
• Publicar en su carta digital sus datos identificativos y un canal de contacto en materia de protección de datos.
• Responder de las herramientas de analítica y publicidad de terceros que active en su panel, informando de ellas y recabando el consentimiento correspondiente. Comandia solo aporta el mecanismo técnico.
• No introducir en los campos de texto libre más datos personales de los necesarios, ni datos de categorías especiales de terceros.
• Mantener la confidencialidad de las credenciales de su personal y revocarlas cuando cese.

12. Responsabilidad y ley aplicable

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que el RGPD le impone específicamente, en los términos de su artículo 82. Este contrato se rige por la legislación española y las partes se someten a los juzgados y tribunales del domicilio del restaurante.