Contracte d'encarregat del tractament

Traducció informativa. En cas de dubte preval la versió en castellà.

Article 28 del Reglament (UE) 2016/679 (RGPD) · Versió 2026-10-01

1. Objecte

El Responsable encarrega a elpizzero el tractament de dades personals necessari per prestar els serveis de la plataforma: carta digital, recepció i gestió de comandes, TPV, reserves, notificacions, facturació i eines associades. elpizzero tractarà aquestes dades únicament per compte i segons les instruccions documentades del Responsable.

2. Durada

Aquest contracte està vigent mentre hi hagi relació de servei entre les parts. En finalitzar-se s'aplicarà la clàusula 9 (devolució/supressió).

3. Naturalesa, finalitat i dades tractades

• Categories d'interessats: clients finals del restaurant i, si escau, personal/usuaris del restaurant.
• Tipus de dades: identificatives i de contacte (nom, telèfon, correu electrònic, adreça de lliurament), dades de la comanda i de pagament (gestionades pel proveïdor de pagament) i historial de comandes. No es tracten categories especials de manera intencionada.
• Finalitat: exclusivament l'execució dels serveis contractats pel Responsable.

4. Obligacions de elpizzero (Encarregat)

1. Tractar les dades només conforme a les instruccions documentades del Responsable, incloses les transferències internacionals, tret d'obligació legal. Si, en la seva opinió, una instrucció infringeix el RGPD o una altra norma de protecció de dades, elpizzero informarà immediatament el Responsable (art. 28.3 RGPD).
2. Garantir la confidencialitat i que les persones autoritzades s'hi comprometin.
3. Aplicar les mesures tècniques i organitzatives apropiades (art. 32 RGPD): xifratge de credencials sensibles, control d'accés per rol, aïllament de dades entre restaurants, còpies de seguretat xifrades i registre d'activitat.
4. Assistir el Responsable per respondre a les sol·licituds d'exercici de drets dels interessats (accés, rectificació, supressió, oposició, portabilitat, limitació).
5. Assistir el Responsable en el compliment dels art. 32 a 36 (seguretat, notificació de violacions i avaluacions d'impacte).
6. Notificar al Responsable sense dilació indeguda i, com a màxim, en 48 hores des que tingui coneixement d'una violació de seguretat que afecti les seves dades, amb la informació necessària perquè el Responsable compleixi el seu deure de notificació a l'autoritat (72 h) i, si escau, als interessats.
7. Posar a disposició del Responsable la informació necessària per demostrar el compliment i permetre auditories raonables.

5. Subencarregats

📣 Canvis comunicats el 2 d'octubre de 2026, en vigor el 18 d'octubre de 2026: deixa d'utilitzar-se ipwho.is (la localització aproximada de la IP passa a fer-se al nostre propi servidor); el correu electrònic el presta Hostinger, que ja figura com a subencarregat; i els serveis d'OpenStreetMap s'utilitzen també per als mapes de la pàgina de seguiment de la comanda. A més, l'apartat 4 deixa per escrit la seva instrucció perquè atenguem en nom seu les peticions d'esborrat dels seus clients rebudes a la plataforma, conservant el que la llei obliga a guardar. Pot oposar-s'hi escrivint a privacidad@elpizzero.com abans d'aquesta data (art. 28.2 RGPD).

El Responsable autoritza elpizzero a recórrer als subencarregats següents per prestar el servei, i elpizzero es compromet a imposar-los obligacions equivalents de protecció de dades:

• Hostinger — allotjament i infraestructura (servidors a la UE).
• Stripe — processament de pagaments (quan el restaurant l'activi amb les seves pròpies claus).
• Proveïdor de correu electrònic SMTP — enviament de notificacions i comunicacions.
• OpenAI (Estats Units) — traducció de la carta i de les notes que el client escriu a la seva comanda, i lectura de menús i factures; sense nom, telèfon, correu electrònic ni adreça.
• Twilio (Estats Units) — trucades automàtiques d'avís al restaurant, quan estan activades (telèfon del restaurant).
• Telegram — avisos de comandes al restaurant, només si el Responsable els activa; porten només el número i l'import de la comanda, cap dada dels seus clients (Telegram no ofereix contracte d'encarregat, de manera que no se li confien).
• hCaptcha · Intuition Machines (Estats Units) — protecció contra robots en els formularis públics (IP i dades del navegador).
• Serveis de cerca d'adreces i càlcul de rutes basats en OpenStreetMap (Nominatim, OSRM, openrouteservice) — adreça de lliurament.
• Reparto — plataforma de logística d'última milla (api.elpizzero.es), únicament si el Responsable activa la integració «Reparto» i aporta el seu propi token. De cada comanda a domicili rep l'imprescindible per executar el lliurament: adreça i coordenades de lliurament, telèfon de contacte, import a cobrar i detall de la comanda. Tracta aquestes dades exclusivament per compte del Responsable i queda subjecte a obligacions equivalents a les d'aquest contracte. Supressió: quan el Responsable ordena esborrar les dades d'un client, l'ordre es comunica automàticament a Reparto, que suprimeix l'adreça, les coordenades, el telèfon, les notes i el detall de la comanda, conservant únicament dades no identificatives d'operativa (estat, dates i imports).

La llista vigent està disponible i s'actualitzarà en aquest document. elpizzero informarà dels canvis de subencarregats, donant al Responsable la possibilitat d'oposar-s'hi.

No són subencarregats les eines de tercers que el Responsable decideix activar a la seva carta amb el seu propi compte (per exemple, el píxel de Meta, que només es carrega si el client accepta les cookies de màrqueting): aquest proveïdor tracta les dades com a responsable, juntament amb el Responsable, i no per compte de elpizzero (Sentència del Tribunal de Justícia de la UE de 29 de juliol de 2019, Fashion ID, assumpte C-40/17).

5 bis. Ús d'intel·ligència artificial

Algunes funcions de la plataforma fan servir serveis d'intel·ligència artificial (actualment OpenAI, EUA, amb garanties de transferència adequades) per a: escaneig de cartes/menús (extreure categories i productes de fotos o PDF del restaurant), escaneig de factures de proveïdor (assessoria i inventari), traducció de la carta i de textos a altres idiomes, i detecció d'inventari i generació de continguts de suport.

S'envia únicament el contingut necessari i no s'envien dades de clients finals de manera intencionada; puntualment, una traducció podria incloure un text lliure escrit pel client (p. ex. una nota de la comanda). El Responsable autoritza aquest tractament mitjançant IA en acceptar aquest contracte i es compromet a no introduir dades personals innecessàries en aquestes funcions. Cada funció que fa servir IA està identificada com a tal al tauler, conforme als principis de transparència (incl. Reglament (UE) 2024/1689 d'IA).

6. Obligacions del Responsable (restaurant)

• Garantir la base de legitimació dels tractaments que encarrega i la informació als interessats.
• Disposar de la seva pròpia política de privadesa i d'una identificació fiscal correcta al seu perfil.
• No introduir a la plataforma categories especials de dades sense una base adequada.

7. Ubicació de les dades i transferències

Les dades s'allotgen en servidors situats a la Unió Europea. Si algun subencarregat implicés una transferència internacional, es farà amb les garanties del capítol V del RGPD (decisió d'adequació o clàusules contractuals tipus).

8. Violacions de seguretat

En cas de violació de la seguretat de les dades, elpizzero seguirà el seu protocol de resposta i ho notificarà al Responsable conforme a la clàusula 4.6 perquè aquest pugui complir l'art. 33 RGPD (notificació a l'autoritat de control en 72 h quan escaigui).

9. Devolució o supressió en finalitzar

En finalitzar el servei, i a elecció del Responsable, elpizzero retornarà o suprimirà les dades personals tractades per compte seu, així com les còpies existents, tret d'obligació legal de conservació.

10. Responsabilitat i legislació

Cada part respon de l'incompliment de les seves obligacions conforme al RGPD i a la LO 3/2018 (LOPDGDD). Aquest contracte es regeix per la legislació espanyola i de la UE.

L'acceptació d'aquest contracte queda registrada amb data, versió i IP en donar-se d'alta o en acceptar-lo des del tauler. Darrera actualització: 2026-10-01.