Acuerdo de tratamiento de datos

Entre el Cliente (responsable del tratamiento) y el operador de TableServe indicado en el Aviso legal (Impressum) (encargado del tratamiento).

1. Objeto y duración

El encargado trata datos personales por cuenta del responsable para prestar el servicio TableServe descrito en las Condiciones del servicio, mientras dure la suscripción y durante el periodo de exportación posterior.

2. Naturaleza y finalidad del tratamiento

Almacenar y mostrar la carta del responsable; recibir y dirigir los pedidos, solicitudes, reservas y opiniones de los clientes a las pantallas del responsable; conservar los registros de servicio del responsable; proporcionar al responsable exportaciones, copias de seguridad y restauraciones.

3. Tipos de datos e interesados

Clientes del responsable: contenido de los pedidos, mesa o habitación, letra de asiento, datos de contacto de las reservas (nombre, teléfono, correo electrónico) cuando se facilitan, opiniones, tokens de notificación. Personal del responsable: nombre, correo electrónico, rol, registros de inicio de sesión y de acciones. No se prevé el tratamiento de categorías especiales de datos; las notas sobre alergias que introducen los clientes solo se tratan para transmitirlas a la cocina del responsable.

4. Instrucciones

El encargado trata los datos únicamente siguiendo las instrucciones documentadas del responsable, que se dan a través del propio servicio (la configuración, las acciones y las exportaciones del responsable). El encargado informa al responsable si una instrucción parece infringir la ley.

5. Confidencialidad

Las personas que trabajan para el encargado y que podrían acceder a los datos están obligadas a guardar confidencialidad. El personal de la Plataforma solo abre los datos de un responsable a petición de soporte del responsable, y cada uno de estos accesos queda registrado.

6. Seguridad (art. 32 RGPD)

Cifrado en tránsito (TLS) y de las copias de seguridad en reposo; hash unidireccional de contraseñas y PIN; acceso basado en roles con administración reservada al propietario; inicio de sesión en dos pasos para el personal de la plataforma; registro de las acciones de seguridad; un cortafuegos limitado a los puertos del servicio; copias de seguridad nocturnas cifradas por cliente conservadas durante 30 noches con comprobaciones semanales de restauración, y una copia cifrada externa de todo el sistema.

7. Subencargados

Proveedor de alojamiento (Alemania); proveedor de envío de correo electrónico; proveedor de almacenamiento externo de copias de seguridad. La lista actual está disponible en el Centro de confianza. El encargado comunica al responsable cualquier cambio con al menos 30 días de antelación; el responsable puede oponerse por un motivo justificado.

8. Asistencia

El encargado ayuda al responsable a atender las solicitudes de los interesados y a cumplir sus obligaciones conforme a los arts. 32–36 RGPD con las herramientas del panel de administración (exportación, eliminación, anonimización, registros) y, más allá de ello, previa solicitud.

9. Supresión y devolución

El responsable puede exportar y eliminar los datos en cualquier momento. Al finalizar el contrato, los datos siguen disponibles para su exportación durante 30 días y después se eliminan del sistema en producción y, con la rotación de las copias nocturnas, de las copias de seguridad, salvo que una ley exija su conservación.

10. Auditoría

El encargado facilita la información necesaria para demostrar el cumplimiento y permite auditorías por parte del responsable o de un auditor designado por este, con un preaviso razonable y a costa del responsable cuando la auditoría no detecte ningún incumplimiento.

11. Responsabilidad y ley aplicable

Se aplican las normas de responsabilidad de las Condiciones del servicio. Se aplica la ley alemana.