Contrato de encargado del tratamiento

1. Partes

Responsable del tratamiento: el restaurante cliente que acepta este contrato en el alta, con los datos fiscales que figuran en ella (en adelante, «el Restaurante»).

Encargado del tratamiento: Raimon Moreno Pedralva, NIF 22575073K, con domicilio en Carrer del Mestre Aguilar, 24, puerta 4, 46006 València, España, que presta el servicio SmartCover (en adelante, «SmartCover»). Contacto: hola@smartcover.app.

SmartCover es responsable, y no encargado, de los datos de su propia relación comercial con el Restaurante (personas de contacto, facturación), que se rigen por la política de privacidad.

2. Objeto, duración, naturaleza y finalidad

SmartCover trata datos personales por cuenta del Restaurante para prestarle el servicio de gestión de reservas: recibir y gestionar reservas desde la web y desde el panel, lista de espera, ficha de clientes, retención y cobro de tarjeta mediante la cuenta de Stripe del propio Restaurante, venta de bonos regalo, correos transaccionales (confirmación, recordatorio, cancelación, avisos) con registro de entrega y apertura, informes e importación de datos desde el programa anterior.

El contrato dura lo mismo que la suscripción y termina con ella, salvo las obligaciones que por su naturaleza deban seguir después (confidencialidad, devolución y supresión).

3. Datos y personas afectadas

• Comensales y clientes: nombre, teléfono, correo, idioma, historial de reservas (fecha, hora, número de personas, mesa, estado), notas y etiquetas que añada el Restaurante, cumpleaños si se pide y referencias de pago (marca y últimos cuatro dígitos de la tarjeta; el número nunca llega a SmartCover).
• Alergias e intolerancias que el comensal comunique para servir la mesa. Son datos de salud (art. 9 RGPD): el Restaurante solo debe recogerlos cuando hagan falta, y SmartCover los trata con las mismas medidas que el resto, sin ningún otro uso.
• Compradores y destinatarios de bonos regalo: nombre, correo y mensaje.
• Personal del Restaurante con acceso al panel: correo, rol y registro de acciones.

4. Obligaciones de SmartCover

1. Tratar los datos solo siguiendo las instrucciones documentadas del Restaurante, que son este contrato, las condiciones y la configuración que el Restaurante haga en el panel, también en lo relativo a transferencias internacionales. Si una instrucción le parece contraria a la normativa, lo avisará de inmediato.
2. No usar los datos para fines propios: ni publicidad, ni perfiles, ni directorios de comensales, ni cederlos a otro restaurante o a terceros, salvo obligación legal.
3. Garantizar la confidencialidad: solo acceden las personas que lo necesitan para prestar el servicio o darle soporte, con compromiso de confidencialidad.
4. Acceso de soporte. El personal autorizado de SmartCover puede entrar en el panel del Restaurante con permisos de administrador para configurarlo, resolver consultas e incidencias y hacer los cambios que el Restaurante pida, que se consideran instrucciones documentadas. Cada acceso se registra con quién, cuándo y su motivo, caduca solo y, mientras dura, el Restaurante lo ve en Ajustes › Equipo.
5. Aplicar las medidas de seguridad del artículo 32 que se describen en el anexo I.
6. Ayudar al Restaurante a responder las peticiones de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad): el panel permite buscar, corregir, exportar y borrar a un cliente, y si una petición llega a SmartCover se traslada al Restaurante en un plazo máximo de 5 días.
7. Notificar las brechas de seguridad que afecten a los datos del Restaurante sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia, con la información del artículo 33.3 que tenga en ese momento, para que el Restaurante pueda decidir si la comunica a la AEPD y a los afectados.
8. Ayudar, en lo que razonablemente pueda, con las evaluaciones de impacto y las consultas previas que el Restaurante tuviera que hacer.
9. Poner a disposición del Restaurante la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, con preaviso de 30 días, a costa del Restaurante y sin acceso a datos de otros clientes.

5. Subencargados

El Restaurante autoriza de forma general a SmartCover a apoyarse en los proveedores del anexo II. SmartCover avisará por correo con al menos 30 días de antelación de cualquier alta o cambio de proveedor; el Restaurante podrá oponerse y, si no hay solución, darse de baja sin coste. Cada proveedor está obligado por un contrato con las mismas garantías que este.

Stripe merece una nota aparte: los cobros con tarjeta se hacen en la cuenta de Stripe del propio Restaurante, que contrata directamente con Stripe y para la que Stripe actúa en buena parte como responsable independiente. SmartCover solo le pide a Stripe que haga las operaciones que el Restaurante ordena desde el panel.

6. Transferencias internacionales

La base de datos y las copias están en la Unión Europea. Algunos proveedores tienen su sede en Estados Unidos; las transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. o, en su defecto, en las Cláusulas Contractuales Tipo de la Comisión Europea.

7. Obligaciones del Restaurante

• Informar a sus clientes y tener base legal para tratar sus datos (su propia política de privacidad, que el panel le ayuda a publicar).
• No cargar datos que no necesite, en especial categorías especiales más allá de las alergias.
• Dar acceso al panel solo a su personal, cada uno con su cuenta y su rol, y retirarlo cuando dejen de necesitarlo.
• Dar instrucciones conformes con la normativa.

8. Al terminar

Al terminar la suscripción, el Restaurante puede exportar sus datos en CSV desde el panel durante 30 días. Pasado ese plazo, SmartCover los suprime, incluidas las copias en un plazo máximo de otros 30 días según el ciclo de copias del proveedor, salvo lo que una ley obligue a conservar, que quedará bloqueado. Si el Restaurante lo pide antes, la supresión se adelanta.

9. Responsabilidad, ley y jurisdicción

Cada parte responde de sus incumplimientos conforme al artículo 82 del RGPD. En lo demás se aplica lo dispuesto en las condiciones del servicio, incluida la ley española y la jurisdicción allí indicada.

Anexo I. Medidas de seguridad

• Cifrado en tránsito (HTTPS con HSTS) y en reposo (base de datos y copias del proveedor).
• Separación de cada restaurante en el código: toda operación comprueba que quien la pide pertenece a ese restaurante, y las políticas de la base de datos lo refuerzan.
• Acceso al panel con usuario y contraseña propios y roles (titular, encargado, sala); el acceso de administración de SmartCover exige además un segundo factor y queda registrado en un registro de auditoría que no se puede modificar.
• Registro de las acciones sobre reservas y usuarios, y de los correos enviados.
• Límites de frecuencia y protección contra envíos automatizados en los formularios públicos.
• Copias de seguridad automáticas diarias del proveedor de base de datos.
• Los datos de tarjeta nunca pasan por los servidores de SmartCover: los recoge Stripe.
• Revisión de seguridad del código y de las dependencias de forma periódica.

Anexo II. Subencargados autorizados