Contrato de encargo del tratamiento

Respecto de los datos de clientes, reservas y del fichero de clientes que gestiona en AlpineTable, el cliente es el responsable del tratamiento y Marques Holdings B.V. es su encargado del tratamiento. Cuando el propio cliente actúe como encargado del tratamiento (por ejemplo, para un grupo u otro establecimiento), Marques Holdings B.V. será subencargado del tratamiento. Los datos que AlpineTable trata para sus propios fines, como los datos de la cuenta del restaurante, de inicio de sesión, de facturación y del sitio web, se rigen por el Aviso de privacidad y no por este contrato de encargo.

El objeto es la prestación del servicio AlpineTable al cliente. El tratamiento se mantiene mientras el cliente utilice AlpineTable, más el periodo de exportación y supresión que se describe a continuación.

AlpineTable almacena, organiza, muestra y transmite datos personales para que el cliente pueda: recibir reservas a través de su página pública de reservas, su widget y sus enlaces de socios; gestionar la lista de espera, las mesas y el servicio; mantener un fichero de clientes; enviar correos electrónicos de reservas y, si el cliente lo decide, correos de marketing; exportar datos; y utilizar las funciones opcionales que el cliente active, como el asistente para propietarios de Telegram y WhatsApp, la redacción con IA, la transcripción de notas de voz y el análisis de menús.

Los clientes y clientes potenciales que hacen una reserva, se inscriben en una lista de espera o son registrados por el restaurante; los destinatarios de los correos de reservas y de marketing del restaurante; las personas de contacto de empresas asociadas (como hoteles, chalés y escuelas de esquí) que el restaurante añade; y los propios usuarios del personal del restaurante.

Nombres, direcciones de correo electrónico, números de teléfono e idioma preferido; datos de la reserva (fecha, hora, número de comensales, servicio, preferencia de mesa, modo de acceso, equipamiento, notas, estado, origen y motivo de cancelación); datos del fichero de clientes (número de visitas, cancelaciones y ausencias sin aviso, última visita, etiquetas, preferencias, notas sobre alimentación y notas internas); registros de consentimiento de marketing y de bajas; eventos de entrega de correos electrónicos; inscripciones en la lista de espera; mensajes intercambiados a través del servicio; nombres, correos electrónicos y funciones del personal; y datos técnicos, como las direcciones IP utilizadas por motivos de seguridad. Las notas sobre alimentación pueden revelar información sobre la salud (como alergias) o creencias religiosas. El cliente solo debe registrar lo necesario para atender al cliente del restaurante.

Marques Holdings B.V. trata los datos únicamente siguiendo las instrucciones documentadas del cliente. Estas instrucciones consisten en las Condiciones, este contrato de encargo y la configuración y el uso que el cliente haga de AlpineTable. Marques Holdings B.V. no vende los datos ni los utiliza para su propio marketing. Si una instrucción parece infringir la normativa de protección de datos, Marques Holdings B.V. lo comunicará al cliente. Si la ley exige otro tratamiento, lo comunicará previamente al cliente, salvo que la ley lo prohíba.

Solo pueden acceder a los datos del cliente las personas que necesiten dicho acceso para prestar, proteger o dar soporte al servicio, y están sujetas a obligaciones de confidencialidad.

Las medidas actuales incluyen: conexiones HTTPS cifradas; cifrado de la base de datos en reposo descrito en el acuerdo de tratamiento de datos de Railway; contraseñas almacenadas mediante hash; tokens de API, de dispositivos y de invitación del personal almacenados únicamente como hash; separación de los datos por restaurante; funciones de propietario, gerente y empleado con permisos diferentes; verificación del correo electrónico y comprobaciones de titularidad antes de que una nueva ficha se haga pública; protección frente a bots y límites de frecuencia en el registro; comprobación de firmas en los webhooks entrantes de los proveedores de correo electrónico y mensajería; confirmación explícita antes de las acciones de IA de mayor riesgo; y un registro de auditoría de los cambios importantes. Las medidas pueden cambiar con el tiempo, pero no reducirán el nivel general de protección. El calendario de copias de seguridad de producción y el procedimiento de restauración deben verificarse antes de que este acuerdo entre en vigor.

El cliente otorga una autorización general para los subencargados del tratamiento incluidos en el registro público. Marques Holdings B.V. avisará con al menos 30 días de antelación, por correo electrónico y en ese registro, antes de añadir o sustituir un subencargado. El cliente puede oponerse por motivos razonables de protección de datos; si no se encuentra una solución, el cliente puede poner fin al servicio afectado y recibir el reembolso a prorrata de cualquier periodo prepagado. Cada subencargado está sujeto a obligaciones de protección de datos equivalentes a las de este contrato de encargo, y Marques Holdings B.V. sigue siendo responsable de ellos.

AlpineTable ha configurado regiones de tratamiento en la UE cuando están disponibles. Sin embargo, algunos proveedores almacenan datos o acceden a ellos fuera del Espacio Económico Europeo. Ese acceso o transferencia requiere una decisión de adecuación aplicable u otra garantía legal, como las cláusulas contractuales tipo de la Comisión Europea. Las ubicaciones y garantías de cada proveedor figuran en el registro público; la configuración pendiente de las cuentas debe verificarse antes de que este acuerdo entre en vigor.

AlpineTable pone a disposición del cliente herramientas para atender las solicitudes de sus clientes: edición y supresión de registros de clientes, exportaciones en CSV de reservas y clientes, y enlaces para darse de baja en los correos de marketing. Si un cliente del restaurante se pone en contacto directamente con AlpineTable en relación con los datos del cliente, Marques Holdings B.V. trasladará la solicitud al cliente sin dilación indebida. También prestará una ayuda razonable en materia de seguridad, notificación de violaciones de seguridad y evaluaciones de impacto relativas a la protección de datos.

Marques Holdings B.V. notificará al cliente, sin dilación indebida y a más tardar 48 horas después de tener conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a los datos del cliente. La notificación describirá lo ocurrido, los datos y las personas probablemente afectados, las consecuencias probables y las medidas adoptadas o propuestas, en la medida en que se disponga de esta información.

Tras el cierre de la cuenta, el cliente puede exportar sus datos desde el panel o solicitar una exportación. Marques Holdings B.V. elimina o anonimiza los datos de los clientes del restaurante en un plazo de seis meses desde la fecha de cierre registrada, incluidas las copias de seguridad conforme rotan, salvo obligación legal de conservarlos más tiempo. Mientras la cuenta está activa, el restaurante determina y comunica su plazo de conservación tras cada visita; el modo de pausa estacional no supone el cierre de la cuenta.

Marques Holdings B.V. facilitará la información necesaria para demostrar el cumplimiento de este contrato de encargo, comenzando por respuestas por escrito a cuestionarios razonables. Si esto no fuera suficiente, el cliente podrá realizar una auditoría, o encargarla a un auditor independiente, una vez al año y con un preaviso mínimo de 30 días, a su propio cargo y con sujeción a confidencialidad. Podrá realizarse una auditoría adicional tras una violación de la seguridad de los datos personales.

La responsabilidad derivada de este contrato de encargo se rige por las Condiciones. En caso de conflicto entre este contrato de encargo y las Condiciones en materia de protección de datos, prevalecerá este contrato de encargo. Este contrato de encargo se rige por la misma ley que las Condiciones. Consultas: hey@pedromarques.io.