Contrato de encargo del tratamiento
Última actualización: 13 de octubre de 2026 · versión 2026-10-13
Anexo a las condiciones generales, conforme al artículo 28 del RGPD y al artículo 33 de la LOPDGDD. Lo acepta el cliente al crear su establecimiento y rige mientras use Don Carta.
Faltan datos del titular por completar: nombre o razón social (LEGAL_NAME), NIF (LEGAL_NIF), domicilio (LEGAL_ADDRESS), correo de contacto (LEGAL_EMAIL).
1. Partes
- Responsable del tratamiento: el cliente (el establecimiento que usa Don Carta).
- Encargado del tratamiento: [pendiente: nombre o razón social], NIF [pendiente: NIF], contacto [pendiente: correo de contacto].
2. Objeto, naturaleza y finalidad
El encargado trata datos personales por cuenta del responsable únicamente para prestar el servicio Don Carta: publicar la carta, recibir y mostrar pedidos, avisos al personal, mesas compartidas y valoraciones, y calcular estadísticas. Las operaciones son: recogida, registro, conservación, consulta, comunicación al responsable, anonimización y supresión.
3. Datos e interesados
| Interesados | Datos |
|---|---|
| Comensales del establecimiento | Contenido del pedido, mesa, hora y código; notas libres; aviso de alergia (puede revelar datos de salud, categoría especial del art. 9 RGPD); nombre o apodo en mesas compartidas; valoraciones de platos; avisos de “llamar al camarero” y “pedir la cuenta”. |
| Personal y terceros | Personas que puedan aparecer en las fotografías o textos que suba el cliente. |
El servicio no pide a los comensales identificarse. El responsable no debe introducir más datos de los necesarios ni pedir a sus clientes datos identificativos en las notas.
4. Duración y conservación
El encargo dura lo mismo que el contrato. Durante su vigencia se aplica esta conservación automática: notas, avisos de alergia y nombres de los pedidos se suprimen a los 30 días (el resto del pedido queda sin datos identificativos para las estadísticas); las mesas compartidas se suprimen a los 7 días. Al terminar el contrato, el encargado suprime todos los datos en 30 días, salvo que el responsable pida antes una copia; las copias de seguridad se sobrescriben a los 14 días.
5. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son estas condiciones y la configuración que haga en el panel, e informarle si considera que una instrucción infringe la normativa.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
- Aplicar las medidas de seguridad del artículo 32 RGPD: cifrado en tránsito, alojamiento en la UE, base de datos sin acceso desde internet, control de acceso por establecimiento en cada operación, mínimos privilegios en el servidor, copias diarias y registro de incidencias.
- Recurrir a subencargados con la autorización general que el responsable concede en este contrato, con las mismas obligaciones de protección de datos. El encargado informará con 30 días de antelación de cualquier alta o sustitución; el responsable podrá oponerse y, si no hay solución, resolver el contrato sin coste.
- Ayudar al responsable a atender los derechos de los interesados y trasladarle sin demora cualquier solicitud que reciba directamente.
- Ayudar al responsable a cumplir las obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (arts. 32 a 36 RGPD).
- Notificar al responsable sin dilación indebida, y en todo caso en un plazo máximo de 48 horas, las brechas de seguridad que conozca, con la información disponible.
- Suprimir o devolver los datos al finalizar el servicio, según el apartado 4.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso y a su cargo.
- Llevar el registro de actividades de tratamiento que efectúa por cuenta de sus clientes.
6. Obligaciones del responsable
- Informar a sus clientes del tratamiento. Don Carta facilita un aviso de privacidad en el pie de cada carta con los datos que el responsable configure en el panel (Configuración → Datos legales).
- Contar con una base legal para el tratamiento y no usar el servicio para fines incompatibles.
- Mantener actualizados los datos de contacto para comunicaciones sobre privacidad.
7. Subencargados autorizados
| Proveedor | Servicio | Ubicación | Garantías |
|---|---|---|---|
| Oracle (Oracle Cloud Infrastructure) | Servidor donde se ejecutan la aplicación y la base de datos, y se guardan las copias de seguridad | Región de Madrid (España) | Tratamiento dentro de la UE |
| Cloudflare, Inc. | DNS, proxy inverso, cifrado TLS y protección frente a ataques; todo el tráfico de la web pasa por su red | Red global; sede en EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Resend | Envío de correos del servicio (enlace de acceso y avisos) | EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Anthropic, PBC | Inteligencia artificial para traducir e importar cartas, solo cuando el cliente usa esas funciones (textos e imágenes de la carta, nunca datos de comensales) | EE. UU. | Cláusulas contractuales tipo (anexo de tratamiento de datos de Anthropic) |
Los datos de los comensales se alojan en España. Atraviesan la red de Cloudflare al viajar por internet. Anthropic solo recibe contenido de la carta cuando el responsable usa la traducción o la importación, nunca datos de comensales; Resend solo envía correos de la cuenta del responsable. Las transferencias a EE. UU. se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo.