BORRADOR — pendiente de revisión por abogado colegiado

Versión: encargo-v3 · 2026-10-27 · Sirve a: LR-002 (contrato art. 28), LR-005 (subencargados), LR-008 (devolución/borrado al terminar), LR-004, LR-604 (seguridad), LR-023 (acceso del personal), LR-029 (buzones)

Es el Anexo 1 previsto de condiciones-servicio.md. La aceptación electrónica conjunta y el archivo de la versión aceptada todavía no están construidos. Este borrador no acredita una aceptación.

Contrato de encargo del tratamiento

Fecha: {{date}}

Responsable del tratamiento: {{venue.legalName}}, en adelante el Restaurante. Encargado del tratamiento: {{platform.legalName}}, en adelante NexoGRX. Sus datos completos están en el Anexo I.

Cómo está hecho este contrato

Este contrato usa, sin cambiar su texto, las cláusulas contractuales tipo que la Comisión Europea aprobó para los contratos entre responsables y encargados del tratamiento: Decisión de Ejecución (UE) 2021/915. El RGPD lo permite en su art. 28.6 @2016-05-04: «el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo» (norm/es/02016R0679-20160504/art-28@2016-05-04.md). Y la Decisión dice, en su art. 1: «Las cláusulas contractuales tipo que figuran en el anexo cumplen los requisitos aplicables a los contratos entre los responsables y los encargados del tratamiento contemplados en el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679» (norm/es/32021D0915/art-1@2021-01-01.md).

• Parte A es el pliego de la Comisión. Donde el pliego da a elegir, solo queda la opción elegida; donde pide un plazo, está escrito. Todo lo demás es el texto oficial, letra por letra.
• Parte B son las cláusulas propias de NexoGRX. El pliego las permite si no lo contradicen (su cláusula 2, letra b). Si alguna lo contradijera, gana el pliego (su cláusula 4).
• Anexos I a IV describen las partes, el tratamiento, las medidas de seguridad y los subencargados. Es lo único del pliego que las partes completan.

Parte A — Cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/915)

SECCIÓN I

Cláusula 1 — Finalidad y ámbito de aplicación

a) La finalidad de las presentes cláusulas contractuales tipo (en lo sucesivo, «pliego de cláusulas») es garantizar que se cumpla el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

b) Los responsables y encargados del tratamiento enumerados en el anexo I han dado su consentimiento a vincularse por el presente pliego de cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 y/o del artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725.

c) El presente pliego de cláusulas se aplica al tratamiento de datos personales especificado en el anexo II.

d) Los anexos I a IV forman parte del pliego.

e) El presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el responsable en virtud del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

f) El presente pliego de cláusulas no garantiza por sí mismo el cumplimiento de las obligaciones relativas a las transferencias internacionales contempladas en el capítulo V del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

Cláusula 2 — Invariabilidad del pliego de cláusulas

a) Las partes se comprometen a no modificar el pliego de cláusulas, excepto para añadir o actualizar información en los anexos.

b) Esto no es óbice para que las partes incluyan en un contrato más amplio las cláusulas contractuales tipo que contiene el presente pliego, ni para que añadan otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, el pliego de cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 3 — Interpretación

a) Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, se entiende que tienen el mismo significado que en el Reglamento correspondiente.

b) El presente pliego de cláusulas deberá leerse e interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) No se podrán realizar interpretaciones del presente pliego de cláusulas que entren en conflicto con los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 y el Reglamento (UE) 2018/1725 y/o que perjudiquen los derechos o libertades fundamentales de los interesados.

Cláusula 4 — Jerarquía

En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.

Cláusula 5 (opcional) — Cláusula de incorporación

Nota: las partes no incluyen esta cláusula opcional.

SECCIÓN II

OBLIGACIONES DE LAS PARTES

Cláusula 6 — Descripción del tratamiento o tratamientos

En el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable.

Cláusula 7 — Obligaciones de las partes

7.1. Instrucciones

a) El encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado. En tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable también podrá dar instrucciones ulteriores en cualquier momento del período de tratamiento de los datos personales. Dichas instrucciones deberán estar siempre documentadas.

b) El encargado informará inmediatamente al responsable si las instrucciones dadas por el responsable infringen, a juicio del encargado, el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos.

7.2. Limitación de la finalidad

El encargado tratará los datos personales únicamente para los fines específicos del tratamiento indicados en el anexo II, salvo cuando siga instrucciones adicionales del responsable.

7.3. Duración del tratamiento de datos personales

El tratamiento por parte del encargado solo se realizará durante el período especificado en el anexo II.

7.4. Seguridad del tratamiento

a) El encargado aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Una de estas medidas podrá consistir en la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos («violación de la seguridad de los datos personales»). A la hora de determinar un nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados.

b) El encargado solo concederá acceso a los datos personales tratados a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. El encargado garantizará que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.

7.5. Datos sensibles

Si el tratamiento afecta a datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado aplicará restricciones específicas y/o garantías adicionales.

7.6. Documentación y cumplimiento

a) Las partes deberán poder demostrar el cumplimiento del presente pliego de cláusulas.

b) El encargado resolverá con presteza y de forma adecuada las consultas del responsable relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.

c) El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y que deriven directamente del Reglamento (UE) 2016/679 y del Reglamento (UE) 2018/1725. A instancia del responsable, el encargado permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir si se realiza un examen o una auditoría, el responsable podrá tener en cuenta las certificaciones pertinentes que obren en poder del encargado.

d) El responsable podrá optar por realizar la auditoría por sí mismo o autorizar a un auditor independiente. Las auditorías también podrán consistir en inspecciones de los locales o instalaciones físicas del encargado y, cuando proceda, realizarse con un preaviso razonable.

e) Las partes pondrán a disposición de las autoridades de control competentes, a instancia de estas, la información a que se refiere la presente cláusula y, en particular, los resultados de las auditorías.

7.7. Recurso a subencargados

a) OPCIÓN 2: AUTORIZACIÓN GENERAL POR ESCRITO: El encargado cuenta con una autorización general del responsable para contratar a subencargados que figuren en una lista acordada. El encargado informará al responsable específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos treinta (30) días de antelación, de modo que el responsable tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento proporcionará al responsable la información necesaria para que pueda ejercer su derecho a formular objeción.

b) Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado en virtud del presente pliego de cláusulas. El encargado se asegurará de que el subencargado cumpla las obligaciones a las que esté sujeto en virtud del presente pliego de cláusulas y del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

c) El encargado proporcionará al responsable, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.

d) El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones que imponga al subencargado su contrato con el encargado. El encargado notificará al responsable los incumplimientos por parte del subencargado de las obligaciones que le atribuya dicho contrato.

e) El encargado pactará con el subencargado una cláusula de tercero beneficiario en virtud de la cual, en caso de que el encargado desaparezca de facto, cese de existir jurídicamente o sea insolvente, el responsable tendrá derecho a rescindir el contrato del subencargado y ordenar a este que suprima o devuelva los datos personales.

7.8. Transferencias internacionales

a) Las transferencias de datos a un tercer país o a una organización internacional por parte del encargado solo podrán realizarse siguiendo instrucciones documentadas del responsable o en virtud de una exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado; se llevarán a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725.

b) El responsable se aviene a que, cuando el encargado recurra a un subencargado de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable) y dichas actividades conlleven una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la utilización de dichas cláusulas contractuales tipo.

Cláusula 8 — Ayuda al responsable del tratamiento

a) El encargado notificará con presteza al responsable las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.

b) El encargado ayudará al responsable a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le atribuyen las letras a) y b), el encargado cumplirá las instrucciones del responsable.

c) Además de la obligación del encargado de ayudar al responsable en virtud de la cláusula 8, letra b), el encargado también ayudará al responsable a garantizar el cumplimiento de las obligaciones siguientes teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado:

1) la obligación de realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales («evaluación de impacto») cuando sea probable que un tipo de tratamiento suponga un alto riesgo para los derechos y libertades de las personas físicas;

2) la obligación de consultar a las autoridades de control competentes antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo;

3) la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable si el encargado descubre que los datos personales que está tratando son inexactos o han quedado obsoletos;

4) las obligaciones contempladas en el artículo 32 del Reglamento (UE) 2016/679.

d) Las partes establecerán en el anexo III medidas técnicas y organizativas apropiadas que obliguen al encargado a ayudar al responsable a aplicar la presente cláusula, así como el objeto y el alcance de la ayuda requerida.

Cláusula 9 — Notificación de violaciones de la seguridad de los datos personales

En caso de violación de la seguridad de los datos personales, el encargado colaborará con el responsable y le ayudará a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679 o los artículos 34 y 35 del Reglamento (UE) 2018/1725, en su caso, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado.

9.1. Violación de la seguridad de datos personales tratados por el responsable

En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable, el encargado ayudará al responsable en lo siguiente.

a) Notificar la violación de la seguridad de los datos personales a las autoridades de control competentees sin dilación indebida una vez tenga constancia de ella, si procede (a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas).

b) Recabar la información siguiente, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable, que debe incluir como mínimo:

1) la naturaleza de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;

2) las consecuencias probables de la violación de la seguridad de los datos personales;

3) las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

c) Cumplir, con arreglo al artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida al interesado la violación de la seguridad de los datos personales cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas.

9.2. Violación de la seguridad de datos personales tratados por el encargado

En caso de violación de la seguridad de datos personales tratados por el encargado, este lo notificará al responsable sin dilación indebida una vez que el encargado tenga constancia de ella. Dicha notificación deberá incluir como mínimo:

a) una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);

b) los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;

c) sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

Las partes establecerán en el anexo III los demás elementos que deberá aportar el encargado cuando ayude al responsable a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679.

SECCIÓN III

DISPOSICIONES FINALES

Cláusula 10 — Incumplimiento de las cláusulas y resolución del contrato

a) Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725, en caso de que el encargado del tratamiento incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el responsable podrá ordenar al encargado que suspenda el tratamiento de datos personales hasta que este vuelva a dar cumplimiento al presente pliego de cláusulas, o resolver el contrato. El encargado informará con presteza al responsable en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.

b) El responsable estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:

1) el tratamiento de datos personales por parte del encargado haya sido suspendido por el responsable con arreglo a la letra a) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;

2) el encargado incumpla de manera sustancial o persistente el presente pliego de cláusulas o las obligaciones que le atribuye el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725;

3) el encargado incumpla una resolución vinculante de un órgano jurisdiccional competente o de las autoridades de control competentes en relación con las obligaciones que les atribuye el presente pliego de cláusulas, el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725.

c) El encargado estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando, tras haber informado al responsable de que sus instrucciones infringen los requisitos jurídicos exigidos por la cláusula 7.1, letra b), el responsable insiste en que se sigan dichas instrucciones.

d) Tras la resolución del contrato, el encargado suprimirá, a petición del responsable, todos los datos personales tratados por cuenta del responsable y acreditará al responsable que lo ha hecho, o devolverá todos los datos personales al responsable y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija el almacenamiento de los datos personales. Hasta que se destruyan o devuelvan los datos, el encargado seguirá garantizando el cumplimiento con el presente pliego de cláusulas.

Parte B — Cláusulas adicionales de NexoGRX

B1. Qué cuenta como instrucción del Restaurante (cláusula 7.1)

Son instrucciones documentadas del Restaurante: este contrato, las Condiciones del servicio, y lo que el Restaurante configura y hace en el programa (por ejemplo, crear una campaña, activar un módulo o borrar una ficha). Las instrucciones nuevas se dan por escrito (correo o ticket) desde el correo del titular. NexoGRX no usa los datos para fines propios. Si lo hiciera, sería responsable de ese tratamiento: LOPDGDD art. 33.2 @2018-12-07, «Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades» (norm/es/BOE-A-2018-16673/art-33@2018-12-07.md).

B2. Acceso del personal de NexoGRX (cláusula 7.4, letra b)

• Quién. Solo dos grupos de personas de NexoGRX entran en los datos del Restaurante: (a) el personal de altas ("Responsable de altas"), que monta el local antes de entregarlo; (b) el personal de soporte y sistemas, cuando el Restaurante pide ayuda o hay un problema de seguridad. Cada persona tiene su propio usuario; nunca se comparten.
• Para qué. El personal de altas prepara el local por encargo del Restaurante: carta, horarios, datos del local, mesas, caja y, si el Restaurante lo pide, el traslado de datos desde su programa anterior (Nexo Traslado), que puede incluir fichas de clientes. El soporte solo hace lo necesario para resolver la incidencia.
• Con instrucción documentada. La instrucción es el formulario de alta que firma el Restaurante, o una petición escrita suya (correo o ticket).
• Limitado. El acceso de altas vale para un solo local, empieza cuando se crea el local o se asigna, y termina en la entrega o, como muy tarde, 30 días después, sin prórroga automática. Fuera de su alcance quedan: crear o cambiar usuarios, otros locales y la consola de operador. Dentro de su alta, el personal de altas puede confirmar los alérgenos en presencia y por indicación del Restaurante (queda registrado como hecho por el equipo de NexoGRX) y registrar en la entrega la confirmación del propietario de que la información de alérgenos es responsabilidad de su establecimiento y la ha revisado. La carta solo se publica a los clientes con esa confirmación del propietario, o cuando el propio Restaurante la publica desde su cuenta.
• Registrado. Cada cambio aparece en el Historial del local con "· equipo NexoGRX" junto al nombre. La asignación, la ampliación, la retirada y la entrega quedan como eventos de auditoría.
• Revocable. El Restaurante puede pedir en cualquier momento que se retire el acceso; NexoGRX lo retira ese mismo día hábil. [Confirmar en el producto que la retirada a petición del Restaurante es inmediata.]
• Confidencialidad. Antes de tener acceso, cada persona firma el compromiso de confidencialidad-personal.md, que sigue vigente al terminar su relación con NexoGRX (LOPDGDD art. 5.3).
• Buzones de correo: el personal de NexoGRX no lee correo. La única excepción está en anexo-buzones.md, que solo aplica si el Restaurante contrata "Correo del equipo".

B3. Plazos concretos

• Violaciones de seguridad (cláusula 9.2): NexoGRX avisa al Restaurante en un máximo de 24 horas desde que tenga constancia, a {{venue.contactEmail}} y por teléfono si es posible, y completa la información por fases. Así el Restaurante conserva margen para su propio plazo ante la AEPD: art. 33.1 RGPD @2016-05-04, «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella» (norm/es/02016R0679-20160504/art-33@2016-05-04.md).
• Solicitudes de los interesados (cláusula 8, letra a): NexoGRX reenvía al Restaurante en 2 días hábiles la solicitud que le llegue y no la contesta por su cuenta salvo autorización escrita del Restaurante. Procedimiento: derechos-arco.md. Hoy no hay herramienta de exportación/borrado para datos de empleados y proveedores (LR-008); hasta que exista, NexoGRX lo hace a mano en un plazo que permita al Restaurante responder en un mes.
• Subencargados (cláusula 7.7): el aviso de 30 días se da por correo al titular. Si el Restaurante se opone por motivos razonables de protección de datos y no hay solución, puede terminar el contrato sin coste.

B4. Auditorías (cláusula 7.6)

NexoGRX entrega a petición: este contrato, la lista de subencargados del Anexo IV, las medidas del Anexo III y su registro de actividades como encargado (art. 30.2 RGPD). Las partes acuerdan de buena fe la fecha y el alcance de cada auditoría, sin limitar lo que permite la cláusula 7.6. Quien audite firma un compromiso de confidencialidad. El coste de la auditoría es del Restaurante, salvo que revele un incumplimiento de NexoGRX.

B5. Obligaciones del Restaurante

• Tener base legal para los datos que mete en NexoGRX e informar a sus clientes y empleados (la política privacidad-venue.md es un modelo).
• Dar instrucciones lícitas.
• Decidir los plazos de conservación de cada tratamiento. Al aceptar este contrato, el Restaurante da como instrucción los plazos del Anexo II ("Plazos de conservación"). Puede pedir otros por escrito en cualquier momento, y NexoGRX los aplica o le dice por escrito, en un plazo de 15 días, por qué el programa no puede.

B6. Al terminar: devolver o borrar (cláusula 10, letra d)

1. Instrucción del Restaurante: al aceptar este contrato, el Restaurante da la instrucción de borrar los datos al terminar. Durante los 30 días siguientes al final del contrato puede cambiarla por escrito a devolución o entrega a un nuevo encargado (LOPDGDD art. 33.3). El día en que termina el contrato, NexoGRX se lo recuerda por escrito.

1 bis. Acceso de salida: durante esos 30 días la cuenta queda en modo solo exportación: el titular puede entrar, descargar y nada más.

1. Exportación: el propietario del Restaurante, o NexoGRX a petición suya, genera la exportación completa: un único archivo JSON comprimido con todo lo que el local tiene en el panel (carta, clientes y visitas, reservas, empleados con sus fichajes y ausencias, pedidos y proveedores, ajustes), con un índice de cuántos registros hay de cada tipo. Las fotos y documentos (PDF, nóminas) no van dentro: el índice los lista y se entregan aparte si se piden.
2. Descarga: el archivo aparece en el panel, en Importar carta → Archivos recibidos (https://admin.nexogrx.es/import). Solo lo ven y lo descargan el propietario del local y NexoGRX; no un encargado ni una tablet compartida. Se queda ahí hasta que el propietario lo elimina.
3. Borrado: siguiendo esa instrucción, NexoGRX borra los datos el día 60 después del final del contrato, salvo lo indicado en el punto 6. Si el Restaurante pidió la devolución o la entrega, NexoGRX la hace dentro de esos 60 días y después borra.
4. Confirmación: NexoGRX confirma por escrito lo devuelto, lo borrado y lo conservado.
5. Lo que la ley obliga a guardar: el registro de jornada (fichajes y ausencias) y los registros fiscales de caja se devuelven al Restaurante; NexoGRX solo guarda, bloqueado, lo necesario para posibles responsabilidades. LOPDGDD art. 33.4 @2018-12-07: «El encargado del tratamiento podrá conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento» (norm/es/BOE-A-2018-16673/art-33@2018-12-07.md).
6. Copias de seguridad: no se borran una a una; caducan a los 40 días según el Anexo III y, mientras, solo se usan para restaurar el servicio.
7. Lo que guarda NexoGRX: solo, bloqueados y durante 6 años, este contrato, el registro de su aceptación y sus propias facturas.

B7. Responsabilidad

Cada parte responde de sus incumplimientos según el art. 82 RGPD. Art. 82.2 RGPD @2016-05-04: «Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable» (norm/es/02016R0679-20160504/art-82@2016-05-04.md).

Anexo I — Lista de partes

Responsable:

1. Nombre: {{venue.legalName}}, NIF {{venue.vatId}}
2. Dirección: {{venue.address}}
3. Persona de contacto: {{venue.ownerName}}, titular, {{venue.contactEmail}}
4. Delegado de protección de datos: {{venue.dpd_o_no_aplica}}
5. Firma y fecha de adhesión: aceptación electrónica en el formulario de alta, antes de cargar ningún dato, marcando una casilla (nunca premarcada) y escribiendo el nombre de quien acepta como titular o con poder para contratar. NexoGRX guarda, sin poder modificarlos: local, usuario, nombre, cargo, versión y huella SHA-256 de cada documento, copia exacta del texto aceptado, fecha y hora, IP y navegador. En pocos minutos envía al correo del titular un acuse con el texto aceptado (LSSI art. 28.1.a), y la copia se puede descargar en Ajustes → Contrato mientras dure el contrato. [Pendiente de construir: hoy no existe.]
6. Antes de esa aceptación, los datos del formulario de alta y los archivos que se envían los trata NexoGRX como responsable, para preparar el contrato que se le ha pedido (art. 6.1.b RGPD), según su propia política de privacidad.

Encargado:

1. Nombre: {{platform.legalName}}, NIF {{platform.nif}}
2. Dirección: {{platform.address}}
3. Persona de contacto: {{platform.contactName}}, titular, {{platform.email}}
4. Delegado de protección de datos: {{platform.dpd_o_no_aplica}}
5. Firma y fecha de adhesión: la misma aceptación electrónica.

Anexo II — Descripción del tratamiento

Categorías de interesados: clientes y contactos del Restaurante; empleados y usuarios del Restaurante; personas que aparezcan en archivos que el Restaurante envía.

Categorías de datos: las de la tabla de abajo, por tratamiento.

Datos sensibles y garantías: datos de salud de clientes (alergias, intolerancias, dieta, accesibilidad), recogidos con consentimiento explícito en el formulario; la nota sensible va cifrada en la base de datos y solo la ven usuarios del propio local. Posibles datos de salud de empleados (tipo de baja, sin diagnóstico; LR-110). El campo libre de comentarios avisa de no escribir datos de salud. No se usan datos biométricos (LR-109).

Naturaleza: alojamiento, registro, consulta, organización, modificación, envío de comunicaciones, copia de seguridad y supresión, en la nube.

Finalidad: prestar al Restaurante el servicio NexoGRX descrito en las Condiciones del servicio, para los fines de cada fila.

Duración: la del contrato de servicio, más el tiempo necesario para la devolución o el borrado de la cláusula B6.

Tratamientos:

Plazos de conservación (instrucción por defecto del Restaurante, cláusula B5). Donde la ley fija un mínimo, se guarda ese tiempo y después se borra, salvo una retención legal documentada (inspección, reclamación o comprobación tributaria en curso), que se anota con su motivo y su fin. Donde no hay mínimo legal, el plazo es el más corto que necesita la función (art. 5.1.e RGPD).

El borrado automático por plazos se activa para cada Restaurante el día en que se registra su aceptación de este contrato; los locales de demostración no lo tienen. [Pendiente de construir: limitar el barrido a los locales que han aceptado, borrar los archivos de enviar.nexogrx.es y vaciar las «Peticiones» no decididas.]

Subencargados: objeto, naturaleza y duración en el Anexo IV; su duración es la de este contrato.

Anexo III — Medidas técnicas y organizativas

Medidas concretas a 2026-10-27. Las marcadas "comprobado" se verificaron ese día contra la configuración real; el resto se describe según el código y la documentación del servicio.

Dónde están los datos

• Servidor principal (panel y base de datos) y servidor de cajas en la UE: netcup, Viena (Austria). Servidor de reserva en Hetzner, en la UE.
• El acceso normal al panel entra por un túnel cifrado de Cloudflare. Existe además una entrada directa con HTTPS (admin-directo.nexogrx.es, puertos 80 y 443) para cuando Cloudflare está bloqueado en España; en ella la consola de operador está cerrada, y protegen el acceso el inicio de sesión, los límites de peticiones y la separación por restaurante.
• La radio de voz (walkie) usa puertos de audio directos en su servidor; el audio viaja cifrado por el propio protocolo de la radio (WebRTC) y no se graba.

Cifrado

• Cifrado en tránsito (HTTPS) en todas las conexiones que llegan desde internet. Dentro de cada servidor, los servicios se hablan sin salir de la máquina.
• Cifrado en la base de datos de la nota sensible del cliente, de los documentos de personal (nóminas, contratos) y de los tokens de avisos del dispositivo.

Confidencialidad, separación y acceso

• Separación por restaurante: cada consulta está limitada al restaurante del usuario; pruebas automáticas lo comprueban.
• Acceso por roles; PIN personal en terminales compartidos; bloqueo de pantalla.
• Acceso del personal de NexoGRX limitado según la cláusula B2, con cada acceso registrado.
• Registro de auditoría de las acciones sobre personas.

Protección de los formularios públicos

• Protección antirrobots que falla cerrada si falta la configuración (LR-604).
• Los formularios rechazan campos desconocidos y limitan el tamaño de cada campo y del envío.

Copias de seguridad y recuperación

• Copia nocturna de la base de datos, cifrada en el propio servidor antes de salir (solo la clave pública está en el servidor), guardada en Cloudflare R2 con jurisdicción UE. Comprobado.
• Las copias diarias y las previas a cada actualización se borran solas a los 40 días. Comprobado: reglas de caducidad del almacén de copias.
• Las copias excepcionales previas a una migración de base de datos también se borran solas a los 40 días desde el 2026-10-27. Comprobado. [Pendiente: la misma regla para las demás carpetas de copias puntuales (previas a la demo, al traslado, a fusiones y de verificación).]
• Servidor de reserva preparado para recuperar el servicio.
• Cada actualización comprueba la salud del servicio y vuelve sola a la versión anterior si falla.

Minimización y conservación

• El barrido global de borrado por plazos está pausado desde el 2026-08-31. Hay limpiezas concretas, como el vaciado del contenido de "Peticiones" tras 90 días desde su decisión final, al abrir la bandeja. No se promete un borrado general automático: los plazos de cada tratamiento son instrucción del Restaurante (cláusula B5).
• Pedidos de reparto: el nombre, el teléfono y la dirección que manda la plataforma no se guardan.

Huecos conocidos

• Los archivos subidos durante el alta tienen hoy una dirección pública permanente, sin caducidad, y "Eliminar mis datos" no los alcanza (LR-024). Corregir antes del primer local.

Medidas para ayudar al Restaurante (cláusulas 8 y 9)

• Herramientas del panel para buscar, exportar, corregir, limitar y borrar la ficha de un cliente.
• Exportación completa del local (cláusula B6).
• Aviso de violaciones de seguridad en 24 horas, con la información de la cláusula 9.2 (cláusula B3).
• Información técnica para la evaluación de impacto del Restaurante, si la necesita (por ejemplo, por datos de salud).

Anexo IV — Subencargados

Lista acordada a efectos de la cláusula 7.7, letra a), opción 2 (autorización general). Solo figuran los proveedores que tratan datos del Restaurante. Situación a 2026-10-27, tomada de docs/legal-drafts/dpa-encargado-tratamiento.md (LR-005): ningún DPA de proveedor se ha comprobado todavía, y la dirección y el contacto de cada uno se completan desde su DPA.

No son subencargados de NexoGRX cuando el Restaurante los contrata con su propia cuenta y NexoGRX solo recibe lo que el Restaurante conecta: Viva Payments (cobros), Glovo, Uber Eats y Just Eat (reparto), y Loyverse y Vendus (traslado desde el programa anterior). [Comprobar en cada integración que usa la cuenta del Restaurante.] Los avisos de llamadas del agente llegan por las notificaciones del propio panel, no por servicios externos. [Pendiente: hoy van por Pushover; cambiarlo antes de activar el agente con un Restaurante real.]

Cambios en esta lista: NexoGRX avisa por correo con 30 días (cláusula 7.7, letra a), opción 2) y guarda cada versión fechada del Anexo IV junto al registro de aceptación.

Transferencias fuera del EEE: solo con las garantías del capítulo V del RGPD (cláusula 7.8).