Anexo 1 de las Condiciones: Contrato de encargado del tratamiento

Última actualización: 6 de octubre de 2026

Este anexo forma parte de las Condiciones del servicio de EasyHeadChef. Regula cómo tratamos los datos de personas que tu negocio mete en la app.

• Tú, el negocio que tiene la cuenta del restaurante, eres el responsable de esos datos: decides para qué se usan.
• Nosotros, Oakfield Apps OÜ, somos el encargado: los tratamos solo para prestarte el servicio y siguiendo tus instrucciones.

Las palabras que usamos («datos personales», «tratamiento», «responsable», «encargado», «brecha de seguridad», «interesado»…) tienen el significado que les da el Reglamento General de Protección de Datos de la Unión Europea (RGPD).

1. Qué hacemos con los datos y durante cuánto tiempo

Guardamos, ordenamos, enseñamos y procesamos los datos que tú y tu equipo metéis en EasyHeadChef, con un solo fin: prestarte el servicio que describen las Condiciones (recetas, cartas, costes, inventario, pedidos, tareas, sala y comandas, y las funciones con IA).

Lo hacemos mientras tengas la cuenta, y después el tiempo que dice el punto 11 para devolverte y borrar los datos.

El detalle de qué datos y de qué personas está en el Apéndice A.

2. Tus instrucciones

• Solo tratamos los datos siguiendo tus instrucciones. Tus instrucciones son estas Condiciones, este anexo y lo que tú y tu equipo hacéis en la app (por ejemplo, invitar a una persona, borrar un proveedor o copiar recetas a otro restaurante tuyo). Puedes darnos otras por escrito, por correo, si son razonables y la app permite cumplirlas.
• Solo haríamos algo distinto si una ley nos obligara. En ese caso te avisaríamos antes, salvo que esa misma ley lo prohíba.
• Si creemos que una instrucción tuya va contra la ley de protección de datos, te lo diremos enseguida y no la cumpliremos hasta aclararlo.

3. Confidencialidad

Las personas que pueden acceder a tus datos por nuestra parte se han comprometido a guardar secreto, y solo acceden cuando hace falta para prestar o mantener el servicio, o para atender algo que tú nos pides.

4. Seguridad

Aplicamos medidas técnicas y organizativas para proteger los datos de forma adecuada al riesgo, como pide el artículo 32 del RGPD. Están en el Apéndice B. Podemos mejorarlas o cambiarlas con el tiempo, pero nunca para dar menos protección.

5. Otras empresas que tratan los datos (subencargados)

• Nos autorizas a usar las empresas del Apéndice C para prestar el servicio. Mantenemos esa lista siempre al día.
• Si queremos añadir o cambiar alguna, te avisaremos por correo o en la app al menos 30 días antes. Si tienes un motivo razonable de protección de datos para oponerte, dínoslo en ese plazo e intentaremos buscar una solución. Si no la hay, puedes cancelar tu suscripción antes de que entre el cambio, y te devolveremos la parte pagada y no usada.
• A cada una de esas empresas le exigimos por contrato las mismas obligaciones de protección de datos que este anexo nos pone a nosotros. Y respondemos ante ti de lo que hagan, igual que si lo hiciéramos nosotros.

6. Datos fuera de la Unión Europea

Algunas de las empresas del Apéndice C son de Estados Unidos o pueden tratar datos fuera de la Unión Europea. Nos autorizas a ello siempre que los datos vayan protegidos como pide el RGPD: empresas adheridas al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), cláusulas contractuales tipo aprobadas por la Comisión Europea, o países que la Comisión reconoce con una protección adecuada (decisión de adecuación). La garantía de cada empresa está en el Apéndice C.

7. Ayudarte con los derechos de las personas

• La app te deja ver, corregir y borrar la mayoría de los datos tú mismo (por ejemplo, quitar a una persona del equipo o borrar un proveedor).
• Si una persona nos pide directamente algo sobre datos que son tuyos, te lo pasaremos sin contestarle nosotros, salvo para decirle que se lo hemos pasado a su restaurante.
• Si necesitas ayuda para atender a alguien (ver, corregir, borrar o llevarse sus datos), te ayudamos.

8. Si hay una brecha de seguridad

Si descubrimos una brecha de seguridad que afecte a tus datos, te avisaremos sin demora indebida, e intentaremos que sea en 48 horas como mucho, para que tú puedas avisar a tu autoridad en las 72 horas que marca la ley si hace falta.

Te contaremos lo que sepamos: qué ha pasado, qué datos y cuántas personas pueden estar afectadas, qué consecuencias puede tener y qué hemos hecho o vamos a hacer para arreglarlo. Si al principio no lo sabemos todo, te lo iremos contando según lo sepamos.

9. Otras ayudas

Si lo necesitas, te ayudamos con la información que tengamos para cumplir tus obligaciones de seguridad, para hacer una evaluación de impacto o para consultar a tu autoridad de protección de datos.

10. Demostrar que cumplimos

• Te daremos la información que necesites para comprobar que cumplimos este anexo: nuestras respuestas por escrito, nuestra documentación y los certificados de seguridad de nuestros proveedores (como los informes SOC 2). Los centros de datos de esos proveedores no se pueden visitar; sus certificados sirven en su lugar.
• Si eso no basta, puedes hacer una auditoría. La puede hacer un auditor independiente con compromiso de secreto, sin poner en riesgo la seguridad ni los datos de otros clientes, y cada parte paga sus propios gastos. Como regla general, será una vez al año como mucho y avisando con 30 días. Esos límites no se aplican si lo pide una autoridad, si ha habido una brecha importante, si hay un indicio razonable de que no cumplimos o si la ley exige una revisión más rápida.
• Si es una autoridad de protección de datos quien pregunta, colaboraremos siempre.

11. Al terminar

• Cuando termine el servicio, tú eliges: pedirnos una copia de los datos personales que tratamos por tu encargo, o pedirnos que los borremos.
• Si no nos dices nada, durante 30 días puedes pedirnos la copia, y después los borramos. En las copias de seguridad pueden quedar hasta 30 días más, y luego desaparecen solos. Solo guardaremos algo más tiempo si una ley nos obliga, y solo para eso.
• Esto no afecta a un registro mínimo que guardamos por nuestra cuenta, como responsables, para aclarar y defender reclamaciones: el historial de alérgenos (punto 9 de las Condiciones) y qué Condiciones aceptaste y cuándo. No es una copia de tus datos: solo lo necesario para ese fin, y nunca las alergias de tus clientes. Qué guarda, para qué y cuánto tiempo lo explica la Política de privacidad.

12. Lo que no es parte de este encargo

Hay datos que tratamos por nuestra cuenta, como responsables, y no por encargo tuyo: las cuentas de usuario (correo, contraseña, idioma, datos de entrada), la relación contigo como cliente, lo necesario para la seguridad del servicio y para evitar fraudes, y el registro mínimo del punto 11. Para eso se aplica nuestra Política de privacidad.

Los pagos los gestiona Paddle, que trata los datos de pago como responsable por su cuenta, no como subencargado nuestro.

13. Lo que te toca a ti como responsable

• Tener una base legal para cada dato que metes en la app y, cuando haga falta, informar a las personas. Por ejemplo: avisar a tu equipo de que usáis EasyHeadChef y de qué se apunta en ella (como quién marca cada tarea).
• Alergias de tus clientes. Son datos de salud. Antes de apuntarlas necesitas una base legal válida (artículos 6 y 9 del RGPD), que normalmente será el permiso expreso del cliente: explícale que la vas a apuntar solo para preparar y servir su comida con seguridad, y que se borra al irse, y asegúrate de que te dice que sí. No apuntes su nombre completo ni nada que no haga falta: basta «Persona 1» o algo parecido. La app las borra cuando la mesa queda libre, y como mucho a las 24 horas.
• Pedidos desde el QR. Si enciendes «Pedir desde el QR», el cliente puede enviar su pedido con las alergias que marcó en la carta. La app le avisa antes de enviarlo de que la sala y la cocina las verán y de que se borran al dejar la mesa; al enviarlo da su permiso expreso. Las borra igual que las demás.
• No metas otros datos sensibles (salud, religión, datos de menores…) en las notas ni en otros campos de texto libre. La app no está pensada para ellos.
• Darnos solo instrucciones que cumplan la ley.

14. Responsabilidad

La responsabilidad entre tú y nosotros es la que dice el punto 14 de las Condiciones. Nada de este anexo quita a las personas los derechos que les da el RGPD.

15. Qué manda

En lo que toca a la protección de datos personales, si este anexo y las Condiciones dicen cosas distintas, manda este anexo. En todo lo demás se aplican las Condiciones, también la ley de Estonia y los tribunales que dicen.

---

Apéndice A: Qué datos y de quién

Personas afectadas:

• Las personas de tu equipo que usan la app: dueños, encargados, cocineros, camareros y cualquiera a quien invites.
• Los contactos de tus proveedores, si son personas (por ejemplo, autónomos o comerciales).
• Tus clientes, solo en lo que apuntéis de ellos en la sala (sus alergias) y en lo que envíen desde el QR de su mesa (lo que piden y sus alergias).
• Cualquier otra persona de la que decidas meter datos en la app (por ejemplo, en una nota o en una foto).

Datos:

• De tu equipo: nombre, puesto y permisos en el restaurante, tareas asignadas, y el registro de quién hizo algunas cosas y cuándo (crear una receta o una carta, cambiar un precio, marcar o desmarcar una tarea, tomar una comanda, cambiar el estado de una mesa, preparar un pedido, usar la IA), incluido quién cambió cada alérgeno y cuándo.
• De los contactos de proveedores: nombre, correo, teléfono, dirección y web.
• De tus clientes: las alergias e intolerancias que apuntéis, con una etiqueta para saber de quién son («Persona 1»), mientras la mesa está ocupada; y, si piden desde el QR, los platos pedidos, el número de mesa y las alergias que marcaron, sin nombre.
• Lo que haya en notas, documentos o fotos que subáis, incluido lo que mandáis a la IA para leer.

Datos sensibles: solo las alergias de tus clientes (datos de salud), con las condiciones del punto 13.

Cómo: de forma continua mientras uses el servicio, dentro de la app.

Cuánto tiempo: mientras tengas la cuenta, salvo lo que tú borres antes, y las alergias de tus clientes, que se borran al dejar la mesa libre y como mucho a las 24 horas. Al terminar, como dice el punto 11.

Apéndice B: Medidas de seguridad

• Todo viaja cifrado (HTTPS), y la base de datos guarda los datos cifrados.
• La base de datos está en la Unión Europea (Fráncfort, Alemania).
• Las contraseñas se guardan cifradas de forma que no se pueden leer.
• La base de datos separa cada restaurante con reglas propias: un restaurante no puede ver los datos de otro. Y cada consulta de la app filtra, además, por el restaurante abierto.
• Dentro de cada restaurante, cada persona ve y hace solo lo que permite su puesto, que decide el dueño.
• Las alergias de los clientes se borran solas al dejar la mesa libre, y como mucho a las 24 horas.
• Todo cambio que afecte a los alérgenos queda en un historial que no se puede borrar desde la app.
• Solo pueden entrar en los sistemas las personas autorizadas de Oakfield Apps OÜ, con contraseñas fuertes y verificación en dos pasos, y solo cuando hace falta; y nuestros proveedores, cuando lo necesitan para prestar el servicio y con obligación de confidencialidad.
• No usamos datos reales de los clientes para probar ni para arreglar la app: usamos datos de prueba.
• Mantenemos al día las piezas de software que usa la app y probamos cada cambio antes de publicarlo.
• Tenemos un plan para actuar si hay una brecha de seguridad (punto 8).

Apéndice C: Subencargados

Empresa	Para qué	Dónde trata los datos	Garantía si salen de la UE
Supabase Inc. (EE. UU.)	Base de datos, cuentas, fotos y avisos al momento	Fráncfort (Alemania)	Cláusulas contractuales tipo
Vercel Inc. (EE. UU.)	Alojamiento de la app y la web	Fráncfort; su red mundial sirve cada visita desde el punto más cercano	Marco de Privacidad UE-EE. UU.
Plus Five Five, Inc., «Resend» (EE. UU.)	Correos de la app (alta, contraseña)	Envía desde Irlanda; guarda los registros de envío en EE. UU.	Marco de Privacidad UE-EE. UU.
Anthropic, PBC (EE. UU.)	La IA de la app	EE. UU.	Marco de Privacidad UE-EE. UU.
Google Cloud EMEA Limited (Irlanda), con Google LLC (EE. UU.)	IA de respaldo, si la principal falla, y la Ayuda de la app	Cualquier país donde Google tenga centros de datos	Marco de Privacidad UE-EE. UU.
Google LLC (EE. UU.) y Namecheap, Inc. (EE. UU.)	Nuestro correo, si nos mandas datos por correo	EE. UU.	Google: Marco de Privacidad UE-EE. UU.; Namecheap: las garantías de su contrato de protección de datos