Encargo de tratamiento de datos

Versión 2026-10-18

Este encargo de tratamiento (RGPD art. 28) se acepta al crear la cuenta, junto con los Términos y la Política de privacidad: guardamos qué versión aceptaste, la fecha y la dirección IP. Si tu organización necesita además una copia firmada, escribe a privacidad@chefmust.com indicando razón social y CIF.

Partes

• Responsable del tratamiento: el cliente que contrata el servicio.
• Encargado del tratamiento: pendiente de publicar (CIF pendiente de publicar).

1. Objeto y alcance

El presente acuerdo regula el tratamiento de datos personales que ChefMust realiza por cuenta del cliente para prestar el servicio SaaS contratado. La descripción detallada de operaciones consta en el Anexo I.

2. Anexo I · Detalles del tratamiento

• Duración: mientras dure la relación contractual y 30 días después (plazo para cancelar la baja y descargar los datos); después solo lo que la ley obliga a conservar al Responsable, hasta que vence su plazo.
• Naturaleza: almacenamiento, organización, consulta, transmisión, supresión por instrucciones del responsable.
• Categorías de interesados: empleados del restaurante, proveedores, clientes finales (datos de reserva), staff del cliente.
• Categorías de datos: identificativos (nombre, email), profesionales (rol, restaurante), operativos (turnos, pedidos), comerciales (facturas).
• Categorías especiales: solo alergias e intolerancias de clientes finales (datos de salud, RGPD art. 9), cuando el cliente final las anota en la página de reservas tras marcar una casilla de consentimiento explícito, o cuando el Responsable las anota con su propia base legal. Ninguna otra.

3. Obligaciones del Encargado

1. Tratar los datos solo conforme a instrucciones documentadas del Responsable.
2. Garantizar que el personal con acceso firma compromiso de confidencialidad.
3. Implementar las medidas técnicas y organizativas del Anexo II.
4. No subcontratar a terceros sin autorización previa del Responsable (lista de subencargados autorizados en Anexo III).
5. Asistir al Responsable a atender derechos de los interesados.
6. Notificar incidentes de seguridad al Responsable sin dilación indebida (objetivo <24h desde detección).
7. Cooperar en evaluaciones de impacto (DPIA) y consultas previas.
8. Suprimir o devolver los datos al final del contrato.
9. Poner a disposición del Responsable la información necesaria para demostrar cumplimiento + permitir auditorías.

4. Anexo II · Medidas de seguridad

ChefMust aplica hoy estas medidas (RGPD art. 32):

• Conexiones cifradas (HTTPS).
• Aislamiento por cliente: el servidor resuelve el restaurante desde la sesión verificada en cada petición y la base de datos lo impone con seguridad a nivel de fila; una comprobación automática diaria lo revisa.
• Acceso con cuenta personal y roles (propietario, administración, encargado, empleado) que limitan qué ve y qué cambia cada persona.
• Registro de las acciones de privacidad (accesos, exportaciones y bajas).
• Registro de jornada y registros sanitarios inalterables: las correcciones quedan anotadas con motivo y autor.
• Supresión al final del contrato con conservación limitada a lo que la ley exige al Responsable (ver política de privacidad, apartado 4).

Copias de seguridad, plazos de recuperación (RTO/RPO), doble factor de autenticación y auditorías externas se concretan en el contrato antes de firmar este encargo: no se dan por hechos aquí.

5. Anexo III · Subencargados autorizados

La lista actualizada de subencargados se mantiene en /legal/privacy sección 5. Notificaremos con al menos 30 días la incorporación de cualquier nuevo subencargado para permitir al Responsable oponerse.

6. Transferencias internacionales

Cuando algún subencargado opere fuera del EEE, la transferencia se ampara en Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea (Decisión 2021/914) y se aplican medidas técnicas suplementarias.

7. Responsabilidad

Cada parte responde de los daños causados por incumplimientos imputables conforme al RGPD art. 82. La responsabilidad del Encargado se limita en los términos previstos en el contrato principal del servicio.

8. Ley aplicable

Este encargo se rige por el RGPD y la legislación española. Para controversias se someten ambas partes a los Juzgados del domicilio del Encargado (pendiente de publicar).

Este documento está disponible en formato PDF firmable bajo demanda · contacta con privacidad@chefmust.com.