Anexo de encargo del tratamiento

Última actualización: 29 de septiembre de 2026 · Versión 2026-09-25

1.Partes y objeto

Este anexo (el «Anexo») forma parte de las Condiciones generales de contratación del servicio Unified Restaurant (el «Servicio») y regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos personales que Unified Restaurants, S.L.U. (el «Encargado») realiza por cuenta del cliente del Servicio (el «Responsable») para prestarlo.

Prevalece sobre las Condiciones generales en lo relativo a la protección de datos. Se acepta electrónicamente en el alta y su aceptación queda registrada con la versión, fecha, dirección IP y huella del texto, sin necesidad de firma manuscrita.

2.Descripción del tratamiento

3.Obligaciones del Encargado

El Encargado se obliga a:

• Instrucciones. Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, que son las recogidas en este Anexo, en las Condiciones generales y en la configuración y uso que el Responsable haga del Servicio. Si el Encargado considera que una instrucción infringe la normativa, informará inmediatamente al Responsable y podrá suspender su ejecución. Solo tratará los datos con otra finalidad si el Derecho de la Unión o español se lo exige, informando previamente al Responsable salvo que la ley lo prohíba.
• No uso propio. No utilizar los datos para fines propios ni de terceros, ni para entrenar modelos de inteligencia artificial. Los datos estadísticos agregados y anonimizados de la cláusula 17 de las Condiciones no contienen datos personales.
• Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido por escrito a respetar la confidencialidad, o están sujetas a una obligación legal equivalente, y han recibido la formación necesaria.
• Seguridad. Aplicar las medidas técnicas y organizativas del Anexo de seguridad (cláusula 9), revisarlas periódicamente y adaptarlas al estado de la técnica.
• Subencargados. Recurrir únicamente a subencargados conforme a la cláusula 5.
• Derechos. Asistir al Responsable, con las herramientas del Servicio y con la diligencia debida, para que pueda atender las solicitudes de ejercicio de derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un interesado se dirige directamente al Encargado, este se lo comunicará al Responsable en un máximo de cinco días laborables, sin responder por sí mismo salvo que el Responsable lo autorice.
• Cumplimiento. Ayudar al Responsable a garantizar el cumplimiento de los artículos 32 a 36 del RGPD —seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas— teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
• Violaciones de seguridad. Notificar al Responsable, sin dilación indebida y en un máximo de cuarenta y ocho horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información del artículo 33.3 del RGPD de que disponga en ese momento y completándola después. La notificación a la Agencia Española de Protección de Datos y a los interesados corresponde al Responsable; el Encargado le prestará la asistencia razonable para ello.
• Registro. Llevar el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable que exige el artículo 30.2 del RGPD.
• Información y auditoría. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Anexo, en primer lugar mediante la documentación, informes y certificaciones de que disponga. El Responsable podrá realizar una auditoría por año natural, con un preaviso de treinta días, en horario laboral, sin interrumpir el Servicio ni acceder a datos de otros clientes, por sí o por un auditor independiente sujeto a confidencialidad, y a su costa; el Encargado podrá facturar el tiempo de su personal dedicado. Tras una violación de seguridad que afecte al Responsable, este podrá realizar una auditoría adicional sin ese preaviso.

4.Obligaciones del Responsable

El Responsable garantiza y se obliga a:

• Disponer de base jurídica para cada tratamiento que realiza a través del Servicio y para comunicar los datos al Encargado, y haber informado a los interesados conforme a los artículos 13 y 14 del RGPD.
• Introducir solo los datos adecuados, pertinentes y necesarios, y en particular limitar los datos de categoría especial a los imprescindibles para la gestión de nóminas y personal, amparados en el artículo 9.2.b) del RGPD.
• Realizar, cuando proceda, la evaluación de impacto del tratamiento de datos de personal, para lo que el Encargado le facilitará la información de este Anexo y de su documentación de seguridad.
• Gestionar las cuentas de acceso de sus usuarios, sus permisos y sus bajas, y custodiar las credenciales.
• Dar instrucciones conformes a la ley y responder frente al Encargado de las que no lo sean.
• Atender por sí mismo las solicitudes de los interesados y las obligaciones de notificación ante la autoridad de control.

El Responsable mantendrá indemne al Encargado frente a reclamaciones, sanciones y gastos derivados del incumplimiento de estas obligaciones o de instrucciones ilícitas.

5.Subencargados

El Responsable otorga al Encargado una autorización general para recurrir a subencargados en la prestación del Servicio. La lista vigente, con la identidad, función y ubicación de cada uno, se publica en https://unified.rest/subencargados y forma parte de este Anexo.

El Encargado comunicará al Responsable, por correo electrónico o desde el panel, cualquier alta o sustitución de subencargado con al menos quince días naturales de antelación. El Responsable podrá oponerse por motivos justificados relacionados con la protección de datos en ese plazo; si no es posible atender la oposición, cualquiera de las partes podrá resolver el contrato respecto del Servicio afectado sin penalización, con devolución de la parte proporcional no consumida. La falta de oposición en plazo se entiende como aceptación.

El Encargado impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este Anexo, y responde frente al Responsable del cumplimiento de sus subencargados.

6.Transferencias internacionales

Los datos se alojan y tratan en la Unión Europea siempre que el subencargado lo permita. Cuando un subencargado esté establecido fuera del Espacio Económico Europeo, o pueda acceder a los datos desde fuera de él, la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea, complementadas con las medidas adicionales que procedan, y, en su caso, en la decisión de adecuación aplicable. La lista de subencargados indica el mecanismo utilizado con cada uno.

7.Datos de categoría especial

El módulo de personal puede contener datos de afiliación sindical y de salud en la medida imprescindible para elaborar la nómina y gestionar ausencias. El Encargado aplica a esos datos cifrado específico en reposo, acceso restringido a los perfiles que los necesitan y registro de accesos. El Responsable garantiza que su tratamiento está amparado en el artículo 9.2.b) del RGPD y en la normativa laboral y de Seguridad Social.

8.Duración, devolución y supresión

Este Anexo está vigente mientras lo esté el contrato principal. A su terminación por cualquier causa, el Responsable dispone de treinta días naturales para exportar los datos desde el panel en formatos estructurados de uso común, conforme a la cláusula 20 de las Condiciones. Transcurrido ese plazo, el Encargado suprime los datos y sus copias de seguridad en un máximo de noventa días y, si el Responsable lo solicita, certifica la supresión.

El Encargado puede conservar los datos bloqueados durante el tiempo en que puedan derivarse responsabilidades, y los que deba conservar por obligación legal —en particular sus propias facturas emitidas al Responsable—, sin tratarlos para ningún otro fin.

9.Anexo de seguridad

Medidas técnicas y organizativas que el Encargado aplica al tratamiento:

• Aislamiento por cliente. Toda lectura y escritura queda acotada a la empresa del Responsable en la capa de acceso a datos; no existe consulta que cruce datos de dos clientes. La medida se audita periódicamente.
• Cifrado. En tránsito mediante TLS en todas las comunicaciones; en reposo en base de datos, almacenamiento de ficheros y copias de seguridad; cifrado adicional de los campos de categoría especial.
• Control de acceso. Autenticación individual, roles y permisos por sección configurables por el Responsable, contraseñas almacenadas con función de derivación resistente, y cierre de sesión por inactividad.
• Acceso del personal del Encargado. Limitado a las personas que lo necesitan para soporte y operación, con registro de cada acceso a datos de clientes y revisión periódica de los permisos.
• Registro de actividad. Trazas de acceso y de operaciones relevantes, conservadas al menos un año.
• Copias de seguridad. Diarias, cifradas, en región de la Unión Europea, con pruebas periódicas de restauración documentadas.
• Desarrollo seguro. Revisión de código, gestión de dependencias, separación de entornos y secretos fuera del código.
• Gestión de incidentes. Procedimiento escrito de detección, contención, notificación y análisis posterior, con responsable designado.
• Proveedores. Selección de subencargados con garantías de seguridad y contrato de encargo con cada uno.
• Continuidad. Infraestructura redundante y plan de recuperación con objetivos de tiempo de restauración definidos.

10.Responsabilidad

Cada parte responde de los daños que cause por incumplimiento de las obligaciones que el RGPD le impone específicamente o por actuar fuera de las instrucciones lícitas del Responsable, en los términos del artículo 82 del RGPD. En lo no regulado por norma imperativa, la responsabilidad del Encargado frente al Responsable queda sujeta a los límites de la cláusula 21 de las Condiciones generales.

11.Contacto

Para cualquier cuestión sobre este Anexo, ejercicio de derechos o comunicación de incidencias: admin@unified.rest.