1. Objeto y partes
Este Acuerdo de encargo del tratamiento («AET») forma parte integrante de las Condiciones de uso y entra en vigor entre el negocio suscrito a Qungry («Cliente», responsable del tratamiento) y Ae Telecom («Qungry», encargado del tratamiento) en la fecha de aceptación de las Condiciones de uso.
El AET se aplica a los datos personales que Qungry trata por cuenta del Cliente al prestar el Servicio. Si hay contradicción entre las Condiciones de uso y este AET en lo relativo a datos personales, prevalece el AET.
2. Detalles del tratamiento
- Objeto y finalidad: prestación, soporte y seguridad del software de gestión de restaurantes (caja, pedidos, reparto, carta QR, web de pedidos, reservas, informes, apps móviles e integraciones).
- Duración: mientras estén vigentes las Condiciones de uso y, tras su fin, durante el plazo de conservación de la cláusula 11 de las Condiciones de uso.
- Interesados: clientes y comensales del Cliente, personal (camareros, cajeros, repartidores, responsables), proveedores y otros contactos comerciales.
- Categorías de datos: nombre y apellidos, teléfono, correo, dirección de entrega, contenido y notas de los pedidos, registros de pedidos y pagos (sin datos de tarjeta), puntos de fidelidad y uso de cupones, datos de reservas, valoraciones y opiniones, datos del personal (nombre, rol, PIN cifrado con hash, registros de trabajo, operaciones de caja, reparto de propinas y cargo por servicio), datos de ubicación de los repartidores (latitud, longitud, precisión y hora; solo la última ubicación, mientras el repartidor lleva un pedido), registros de dispositivos y sesiones.
- Categorías especiales de datos: el Servicio no está diseñado para tratar categorías especiales de datos. La información sobre alergias o dietas de un cliente escrita en las notas del pedido puede considerarse dato de salud; el Cliente se asegura de que solo se introduzca en la medida necesaria para preparar el pedido.
3. Obligaciones de Qungry
Qungry:
- trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente. Se consideran instrucciones las Condiciones de uso, este AET y los ajustes que el Cliente realiza en el Servicio (p. ej., conectar una integración). Si considera que una instrucción infringe la normativa de protección de datos, se lo comunica al Cliente.
- garantiza que las personas que acceden a los datos están sujetas a confidencialidad y limita el acceso a las personas y al alcance que requiere la tarea. Solo se accede a la cuenta de un restaurante para dar soporte a petición del Cliente o cuando lo exigen la seguridad o la corrección de errores.
- aplica las medidas de seguridad técnicas y organizativas del Anexo 1.
- no usa los datos para fines propios, no los vende ni los trata con fines publicitarios.
- ayuda razonablemente al Cliente a responder a las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad, etc.) y le reenvía sin demora las solicitudes que recibe directamente.
- ayuda al Cliente en las evaluaciones de impacto relativas a la protección de datos y en las consultas a las autoridades de control, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.
4. Subencargados del tratamiento
- El Cliente autoriza de forma general a Qungry a recurrir a los proveedores que figuran en la página Subencargados del tratamiento.
- Qungry actualiza la lista y avisa al Cliente por correo o en el panel al menos 30 días antes de añadir o sustituir un subencargado. El Cliente puede oponerse en ese plazo por motivos razonables de protección de datos. Si las partes no encuentran una solución, el Cliente puede resolver el Servicio afectado y se le reembolsa el importe del periodo no utilizado.
- Qungry firma con los subencargados contratos escritos que ofrecen en lo esencial la misma protección que las obligaciones de este AET, y sigue respondiendo ante el Cliente de las obligaciones de los subencargados.
- Servicios conectados por el Cliente: las plataformas de reparto (Uber Eats, Just Eat, Deliveroo), los proveedores de pago y datáfonos (Stripe, SumUp) y servicios similares que el Cliente conecta con su propia cuenta no son subencargados de Qungry. La relación con ellos se rige por el contrato propio del Cliente; Qungry solo envía datos a estos servicios o los recibe de ellos siguiendo las instrucciones del Cliente.
5. Transferencias internacionales
Los datos personales se alojan en Francia; las copias de seguridad se guardan en los Países Bajos. Cuando se transfieren datos fuera del Espacio Económico Europeo o del Reino Unido a un país sin decisión de adecuación, Qungry se basa en garantías adecuadas como las cláusulas contractuales tipo de la Comisión Europea (2021/914) y el UK International Data Transfer Addendum (IDTA / Addendum), y adopta medidas adicionales cuando es necesario.
El equipo de soporte y desarrollo de Qungry está en Turquía; el acceso del equipo a los datos de los servidores se considera una transferencia a efectos de esta cláusula y está sujeto a las mismas garantías.
6. Violaciones de la seguridad de los datos
Cuando Qungry tenga conocimiento de una violación de la seguridad que afecte a los datos del Cliente, se lo comunicará sin dilación indebida y, como máximo, en 48 horas. La comunicación incluirá, a medida que se disponga de la información, la naturaleza de la violación, las categorías de datos y el número aproximado de personas afectadas, las consecuencias probables, las medidas adoptadas o propuestas y una persona de contacto. Qungry adopta las medidas necesarias para mitigar sus efectos y ayuda al Cliente a cumplir su obligación de notificar a la autoridad y a los afectados.
7. Devolución y supresión de los datos al final del contrato
Al terminar las Condiciones de uso, Qungry exporta los datos en un formato habitual (p. ej., CSV / JSON) a petición del Cliente dentro del plazo de conservación, y suprime los datos al terminar ese plazo. Las copias de seguridad se eliminan en el ciclo normal de copias. Los datos que la ley obliga a conservar se conservan solo para esa obligación y durante su plazo.
8. Información y auditorías
Qungry facilita, a petición por escrito del Cliente, la información que demuestra el cumplimiento de este AET. Si esa información no es suficiente, el Cliente puede realizar una auditoría por sí mismo o mediante un auditor independiente, siempre que avise con al menos 30 días de antelación, como máximo una vez al año, en horario laboral y bajo confidencialidad. Los costes de la auditoría corren a cargo del Cliente, salvo que se detecte un incumplimiento grave por parte de Qungry.
9. Obligaciones del Cliente
El Cliente confirma que recoge los datos con una base jurídica lícita, que ha facilitado a los interesados (clientes, personal) la información necesaria (p. ej., publicando una política de privacidad en su web de pedidos) y que sus instrucciones a Qungry cumplen la ley.
Si se usa la app de repartidor, corresponde al Cliente determinar la base jurídica del seguimiento de la ubicación, informar previamente a los repartidores y cumplir las obligaciones de la normativa laboral (p. ej., obtener el acuerdo de los representantes de los trabajadores en los países donde se exige).
10. Responsabilidad y vigencia
La responsabilidad derivada de este AET se rige por las cláusulas de responsabilidad de las Condiciones de uso, salvo en las responsabilidades que la ley no permite limitar. El AET sigue vigente mientras Qungry trate datos personales por cuenta del Cliente.
Anexo 1 — Medidas de seguridad técnicas y organizativas
- Cifrado: HTTPS/TLS en todas las conexiones; claves de API, claves de proveedores de pago y tokens de tarjeta guardados cifrados en la base de datos; contraseñas y PIN guardados con hash irreversible.
- Separación de datos: los datos de cada restaurante se guardan en una base de datos separada.
- Control de acceso: acceso según roles y permisos; permisos por local; cajas y dispositivos de camarero reconocidos mediante una clave de registro; límite de duración de las sesiones.
- Datos de pago: los números de tarjeta nunca se tratan ni se guardan en los servidores de Qungry; los cobros se realizan en la página segura o en el datáfono del proveedor.
- Protección frente a abusos: limitación de peticiones en el acceso y en los formularios públicos, protección frente a falsificación de peticiones entre sitios (CSRF), verificación de firma en las notificaciones de las plataformas.
- Copias de seguridad y continuidad: copias de seguridad automáticas diarias; las copias se guardan cifradas durante 30 días en el centro de datos de Backblaze en Ámsterdam (Países Bajos); funcionamiento sin conexión de la caja ante cortes de internet.
- Supervisión: registro y supervisión de errores y eventos de seguridad; los datos personales se mantienen, en la medida de lo posible, fuera de los registros de errores.
- Personal: compromisos de confidencialidad, principio de mínimo privilegio, retirada del acceso al cesar en el puesto.
- Desarrollo: aplicación periódica de actualizaciones de seguridad y pruebas de los cambios.