Contrato de encargo del tratamiento (art. 28 RGPD)

1. Partes

Encargado: [Pendiente: razón social] (NIF [Pendiente: NIF/CIF]), con domicilio en [Pendiente: domicilio social], [Pendiente: datos registrales], correo [Pendiente: correo de contacto]. Contacto de privacidad: [Pendiente: contacto de privacidad / DPD].

Responsable: el Cliente titular de la suscripción, identificado en su cuenta.

2. Objeto, duración y naturaleza del tratamiento

Objeto: prestar el servicio Allunora (web y pedidos, sala, cocina, reservas, fidelización, reseñas, personal y control horario, inventario, analítica e IA).

Duración: la de la suscripción, más el plazo de devolución y eliminación de la cláusula 10.

Interesados: clientes y visitantes de la web del restaurante, comensales, personas que reservan, miembros del programa de fidelización, empleados del restaurante y proveedores.

Datos: identificativos y de contacto, direcciones de entrega, pedidos e importes, reservas, puntos de fidelización, reseñas, datos laborales (registro de jornada, turnos, ausencias, documentos), mensajes al asistente, datos técnicos de navegación (con consentimiento) y, ocasionalmente, información sobre alergias que el interesado decida indicar.

3. Obligaciones del encargado (art. 28.3 RGPD)

• a) Tratar los datos solo siguiendo instrucciones documentadas del responsable (estas condiciones y la configuración que el Cliente hace en la plataforma), también respecto a transferencias internacionales, salvo obligación legal, que se comunicará previamente.
• b) Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad o están sujetas a una obligación legal de confidencialidad.
• c) Aplicar las medidas de seguridad del art. 32 RGPD descritas en el Anexo II.
• d) Respetar las condiciones para recurrir a otros encargados (cláusula 4).
• e) Asistir al responsable, mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad). La plataforma ofrece exportación y anonimización de los pedidos y reservas de una persona.
• f) Ayudar al responsable a cumplir los arts. 32 a 36 RGPD: seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas.
• g) A elección del responsable, devolver o suprimir los datos al terminar el servicio (cláusula 10).
• h) Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías (cláusula 7).

4. Subencargados

El responsable autoriza de forma general a Allunora a recurrir a los subencargados de la lista publicada (/platform-legal/subprocessors).

Allunora avisará con al menos 30 días de antelación de cualquier alta o sustitución de un subencargado. El responsable podrá oponerse por motivos razonables; si no se encuentra una solución, podrá resolver el contrato sin penalización.

Allunora impone a cada subencargado las mismas obligaciones de protección de datos por contrato y responde de su cumplimiento.

5. Transferencias internacionales

Algunas funciones de IA las presta Anthropic PBC (EE. UU.). Las transferencias se amparan en el EU-US Data Privacy Framework y/o en las Cláusulas Contractuales Tipo de la Comisión Europea. Allunora minimiza los datos enviados a los modelos de IA.

6. Violaciones de seguridad

Allunora notificará al responsable, sin dilación indebida y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales, con la información disponible (naturaleza, categorías y número aproximado de afectados, consecuencias probables y medidas adoptadas), para que el responsable pueda notificarla a la autoridad en el plazo de 72 horas cuando corresponda.

7. Auditorías

El responsable puede solicitar la documentación que acredite el cumplimiento y, con un preaviso razonable y sin afectar a otros clientes ni a la seguridad de la plataforma, realizar o encargar una auditoría. Los costes de la auditoría corren a cargo del responsable salvo que revele un incumplimiento relevante.

8. Obligaciones del responsable

El responsable garantiza que dispone de base jurídica para los tratamientos que encarga, informa a sus clientes y empleados (la plataforma le ofrece páginas legales y un aviso para el personal) y configura las funciones opcionales (marketing, IA, WhatsApp) conforme a la ley.

9. Plazos de conservación

La plataforma aplica por defecto estos plazos:

• Textos de prompts y respuestas de IA (registros del proxy de IA): se vacían a los 30 días; se conservan solo tokens y coste.
• Chats públicos del asistente web: se eliminan a los 90 días. Chats del copiloto del personal: 12 meses.
• Datos de plantillas de notificaciones: se vacían a los 90 días; los registros de envío se eliminan a los 24 meses.
• Datos personales de clientes en pedidos (recogida, domicilio, WhatsApp, mesa, cocina): se anonimizan a los 24 meses (los importes se conservan por obligación fiscal). Datos de cliente en tickets de cocina: se vacían 7 días después del cierre.
• Textos libres que pueden contener datos de salud (peticiones especiales, instrucciones de entrega, notas, alertas de alérgenos): se vacían 30 días después del día de servicio.
• Reservas: se anonimizan 12 meses después de la fecha de la reserva.
• Códigos y enlaces de verificación: se eliminan 7 días después de caducar.
• Reportes de soporte resueltos y sus capturas: se eliminan a los 90 días.
• Registros de auditoría: 3 años. Analítica propia: 13 meses (el identificador del cliente se borra si el cliente elimina su cuenta).
• Empleados que causan baja: DNI, contacto de emergencia, teléfono, foto y matrícula se borran al dar de baja; registro de jornada, turnos, ausencias y documentos se eliminan 4 años después de la baja.

10. Devolución y eliminación al terminar

Al terminar la suscripción, el responsable dispone de 30 días para descargar una exportación completa. Después, Allunora suprime los datos (salvo conservación legal obligatoria) y emite un certificado de eliminación.

Anexo II — Medidas técnicas y organizativas

Medidas aplicadas:

• Aislamiento por cliente: la pasarela de API elimina cualquier cabecera de identidad enviada por el cliente y deriva el restaurante de la sesión; cada consulta filtra por cliente y local.
• Servicios internos, base de datos, Redis y almacenamiento no expuestos a Internet; rutas internas inaccesibles desde fuera.
• Cifrado TLS en todos los dominios públicos.
• Contraseñas y PIN con bcrypt; secretos de sesión distintos por entorno.
• Cifrado (Fernet) de las credenciales de TPV, correo y Stripe de cada local.
• Firma verificada de los webhooks de Stripe.
• Lista explícita de orígenes CORS.
• Suplantación por el administrador de la plataforma solo de lectura y registrada.
• Tokens de restablecimiento con caducidad (1 h) y límites de envío por correo e IP; respuestas uniformes que impiden enumerar cuentas.
• Exportación y eliminación de la cuenta por el propio cliente.

Medidas en implantación:

• Cabeceras de seguridad (HSTS, CSP, X-Frame-Options, Referrer-Policy).
• Límites de intentos y bloqueo en los accesos; segundo factor (TOTP) para el administrador de la plataforma.
• Registro de accesos a datos personales por parte del administrador.
• Enmascaramiento de datos personales en registros y en resultados del copiloto de IA.
• Copias de seguridad diarias verificadas y procedimiento de respuesta a violaciones de seguridad.
• Trabajos automáticos de conservación y anonimización según la cláusula 9.