Contrato de encargado del tratamiento
Versión 1.1 — septiembre de 2026 · Artículo 28 del RGPD
Este documento es anexo obligatorio de las condiciones del servicio y se acepta con ellas. Regula cómo trata Tupido los datos personales que el restaurante le confía.
1. Las partes y sus papeles
El Restaurante es el responsable del tratamiento: decide qué datos recoge de sus comensales, empleados y repartidores y para qué.
Tupido: — (—), —.
Tupido es el encargado del tratamiento: trata esos datos por cuenta del Restaurante, únicamente para prestarle el servicio contratado, y siguiendo sus instrucciones.
Hay un tratamiento en el que Tupido actúa como responsable, y conviene separarlo: los datos de contacto y facturación del propio Restaurante como cliente nuestro. Eso se describe en la política de privacidad, no aquí.
2. Objeto, duración, naturaleza y finalidad
Objeto: el tratamiento de datos personales necesario para prestar el servicio de gestión del restaurante descrito en las condiciones del servicio.
Duración: la del contrato de servicio, más los plazos de conservación previstos en el punto 8.
Naturaleza y finalidad: recogida, registro, estructuración, conservación, consulta, comunicación a los destinatarios previstos y supresión, con el único fin de que el Restaurante pueda recibir pedidos y reservas, atender a sus clientes, repartir, emitir sus documentos de venta y gestionar a su personal.
3. Qué datos y de quién
| Categoría de interesados | Datos |
|---|---|
| Comensales del Restaurante | Nombre y apellidos, teléfono y su verificación, direcciones de entrega y sus coordenadas, ubicación del móvil cuando el comensal la concede, historial de pedidos y reservas, identificador del dispositivo, identificador de avisos, cupones y descuentos. |
| Empleados del Restaurante | Nombre y apellidos, teléfono, correo, NIE o DNI, puesto, tipo de contrato y jornada, turnos, ausencias, registro de jornada (fichajes), coste por hora, PIN del quiosco y, si el Restaurante lo activa, la fotografía del momento del fichaje. |
| Repartidores del Restaurante | Nombre, teléfono, código de acceso, ubicación durante el turno o mientras tienen un envío en curso, identificador de avisos. |
Categorías especiales: no se tratan. El servicio no trata datos biométricos. El quiosco de fichaje llegó a reconocer al empleado por su rostro; esa función se retiró en septiembre de 2026 y los códigos faciales guardados se suprimieron. La identificación es por PIN.
El servicio tampoco está diseñado para tratar datos de menores ni ninguna otra categoría especial del art. 9. El Restaurante se compromete a no introducirlos.
4. Instrucciones del responsable
Tupido tratará los datos únicamente siguiendo las instrucciones documentadas del Restaurante. Son instrucciones documentadas: este contrato, las condiciones del servicio, la configuración que el Restaurante establece en su panel y las peticiones que curse por escrito por los canales de soporte.
La configuración que el Restaurante establece en el panel es una instrucción suya. Activar una función que trata datos personales —por ejemplo, la fotografía del momento del fichaje, o el modo de registro de jornada— es una decisión del responsable, que al tomarla declara disponer de base de licitud. Tupido ejecuta esa configuración; no la valora por él.
Si Tupido considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato y podrá no ejecutarla.
Tupido no usará los datos para fines propios: no los vende, no los cede, no elabora perfiles ni los emplea para publicidad ni para entrenar sistemas de inteligencia artificial.
5. Confidencialidad y personal
Tupido garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad, y que el acceso se limita a quienes lo necesitan para prestar el servicio o resolver una incidencia. Ese acceso queda registrado.
6. Medidas de seguridad (art. 32 RGPD)
Atendiendo al estado de la técnica y al riesgo, se aplican al menos:
- Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones, y cifrado de los secretos guardados (claves de terceros del Restaurante).
- Aislamiento entre restaurantes mediante seguridad a nivel de fila en la base de datos: los datos de un restaurante no son accesibles desde la sesión de otro.
- Control de acceso por roles, con permisos por sección para el personal del Restaurante y credenciales individuales.
- Copias de seguridad periódicas y capacidad de restauración.
- Registro de las acciones sensibles (altas, cambios de permisos, emisión de documentos, acciones de la plataforma sobre la cuenta).
- Pruebas automáticas de seguridad ejecutadas periódicamente, que comprueban entre otras cosas que un restaurante no puede leer los datos de otro.
7. Subencargados
El Restaurante autoriza de forma general a Tupido a recurrir a los subencargados necesarios para prestar el servicio. Los actuales son:
| Subencargado | Para qué | Dónde |
|---|---|---|
| Supabase | Base de datos y almacenamiento | Unión Europea |
| Hostinger | Servidor de la aplicación | Unión Europea |
| Twilio | Envío del código de verificación por SMS o WhatsApp | EE. UU. (ver punto 9) |
| Stripe | Pago con tarjeta en la app | Irlanda / EE. UU. |
| Google (Firebase) | Entrega de avisos a móviles Android | EE. UU. |
| Apple | Entrega de avisos a iPhone | EE. UU. |
| Anthropic | Asistente de la sección Ayuda del panel | Estados Unidos |
| OpenStreetMap | Mapas y búsqueda de direcciones | Unión Europea / Reino Unido |
Tupido impone a cada subencargado, por contrato, obligaciones de protección equivalentes a las de este documento, y responde ante el Restaurante de su actuación.
Antes de añadir o cambiar un subencargado, Tupido lo comunicará con 30 días de antelación. Si el Restaurante se opone por motivos razonables de protección de datos, podrá terminar el contrato de servicio sin penalización.
8. Conservación y supresión
Los datos se conservan mientras dure el contrato. Al terminar, y a elección del Restaurante, Tupido devolverá los datos en formato legible por máquina o los suprimirá. El Restaurante dispone de 90 días desde la terminación para pedir la devolución; pasado ese plazo se suprimen.
Se exceptúa lo que Tupido deba conservar por obligación legal, que quedará bloqueado —sin uso— durante el plazo que corresponda. También se conservan las copias de seguridad hasta su rotación normal.
El comensal puede además eliminar su cuenta desde la app: sus datos personales se anulan de inmediato, conservándose sólo lo que la normativa fiscal obliga a mantener en las facturas ya emitidas.
9. Transferencias internacionales
Los datos se almacenan en la Unión Europea. Las transferencias que implican los subencargados estadounidenses (Twilio, Stripe, Google y Apple) están amparadas en el Marco de Privacidad de Datos UE-EE. UU. y, en su caso, en cláusulas contractuales tipo aprobadas por la Comisión Europea.
Tupido no realizará otras transferencias fuera del Espacio Económico Europeo sin informar previamente al Restaurante.
10. Derechos de los interesados
Si un comensal, empleado o repartidor ejerce sus derechos —acceso, rectificación, supresión, oposición, limitación o portabilidad— ante Tupido, se le remitirá al Restaurante y se comunicará a éste sin demora indebida.
Tupido asistirá al Restaurante para atender esas solicitudes, poniendo a su disposición las herramientas del panel (exportación, edición y supresión) y, si hiciera falta, ayuda técnica.
11. Violaciones de seguridad
Si Tupido tiene conocimiento de una violación de la seguridad que afecte a datos del Restaurante, se lo notificará sin demora indebida y, a más tardar, en 48 horas desde que la conozca, con la información disponible: naturaleza, categorías y número aproximado de afectados, consecuencias probables y medidas adoptadas. El plazo se fija en 48 horas para que al Restaurante le queden al menos 24 de las 72 que tiene ante la autoridad de control.
Tupido colaborará en la investigación y en las notificaciones que el Restaurante deba hacer. La notificación a la autoridad de control y, en su caso, a los afectados, corresponde al Restaurante, que es el responsable.
12. Otras obligaciones de asistencia
Tupido asistirá al Restaurante, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en el cumplimiento de sus obligaciones de seguridad (art. 32), notificación de violaciones (arts. 33 y 34), evaluación de impacto (art. 35) y consulta previa (art. 36).
13. Demostración del cumplimiento y auditoría
Tupido pondrá a disposición del Restaurante la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías, incluidas inspecciones, realizadas por el Restaurante o por un auditor que designe.
Condiciones razonables: aviso con 30 días, una vez al año como máximo salvo incidente, en horario laboral, sin interrumpir el servicio, con acuerdo de confidencialidad, y a costa del Restaurante salvo que la auditoría revele un incumplimiento relevante.
14. Registro de actividades
Tupido mantiene el registro de las actividades de tratamiento realizadas por cuenta de sus clientes que exige el artículo 30.2 del RGPD, y lo pondrá a disposición de la autoridad de control cuando lo requiera.
15. Responsabilidad
Cada parte responde de las sanciones e indemnizaciones derivadas de sus propios incumplimientos y de las obligaciones que el RGPD le impone directamente.
El Restaurante, como responsable, garantiza que dispone de base de licitud para cada tratamiento, que ha informado a los interesados y que sus instrucciones y su configuración del panel son conformes a la normativa. Responde de las consecuencias de unas y otra.
Si Tupido es sancionado o reclamado por causa de una instrucción del Restaurante, de su configuración o de un incumplimiento suyo, el Restaurante le reembolsará el importe y los gastos de defensa razonables. Y a la inversa: si la sanción al Restaurante se debe a un incumplimiento imputable a Tupido como encargado, la asume Tupido, con el límite de responsabilidad de las condiciones del servicio salvo en lo que la ley no permita limitar.
Conviene decirlo con claridad en vez de dejarlo entre líneas: el art. 82 del RGPD permite que un interesado reclame directamente al encargado, y la autoridad de control puede sancionarle directamente. Ningún acuerdo entre las partes evita eso. Lo que este punto regula es cómo se reparte después entre ellas, no frente a quien reclama.