Contrato de Encargado do Tratamento

Tradución informativa. En caso de dúbida prevalece a versión en español.

Artigo 28 do Regulamento (UE) 2016/679 (RGPD) · Versión 2026-10-01

1. Obxecto

O Responsable encarga a elpizzero o tratamento de datos persoais necesario para prestar os servizos da plataforma: carta dixital, recepción e xestión de pedidos, TPV, reservas, notificacións, facturación e ferramentas asociadas. elpizzero tratará ditos datos unicamente por conta e segundo as instrucións documentadas do Responsable.

2. Duración

Este contrato está vixente mentres exista relación de servizo entre as partes. Á súa finalización aplicarase a cláusula 9 (devolución/supresión).

3. Natureza, finalidade e datos tratados

• Categorías de interesados: clientes finais do restaurante e, se é o caso, persoal/usuarios do restaurante.
• Tipos de datos: identificativos e de contacto (nome, teléfono, correo electrónico, enderezo de entrega), datos do pedido e de pagamento (xestionados polo provedor de pagamento) e historial de pedidos. Non se tratan categorías especiais de forma intencionada.
• Finalidade: exclusivamente a execución dos servizos contratados polo Responsable.

4. Obrigas de elpizzero (Encargado)

1. Tratar os datos só conforme ás instrucións documentadas do Responsable, incluídas as transferencias internacionais, salvo obriga legal. Se, na súa opinión, unha instrución infrinxe o RGPD ou outra norma de protección de datos, elpizzero informará inmediatamente o Responsable (art. 28.3 RGPD).
2. Garantir a confidencialidade e que as persoas autorizadas se comprometan a ela.
3. Aplicar as medidas técnicas e organizativas apropiadas (art. 32 RGPD): cifrado de credenciais sensibles, control de acceso por rol, illamento de datos entre restaurantes, copias de seguridade cifradas e rexistro de actividade.
4. Asistir o Responsable para responder ás solicitudes de exercicio de dereitos dos interesados (acceso, rectificación, supresión, oposición, portabilidade, limitación).
5. Asistir o Responsable no cumprimento dos arts. 32 a 36 (seguridade, notificación de violacións e avaliacións de impacto).
6. Notificar ao Responsable sen dilación indebida e, como máis tarde, en 48 horas desde que teña coñecemento dunha violación de seguridade que afecte aos seus datos, coa información necesaria para que o Responsable cumpra o seu deber de notificación á autoridade (72 h) e, se é o caso, aos interesados.
7. Pór á disposición do Responsable a información necesaria para demostrar o cumprimento e permitir auditorías razoables.

5. Subencargados

📣 Cambios comunicados o 2 de outubro de 2026, en vigor o 18 de outubro de 2026: deixa de usarse ipwho.is (a localización aproximada do IP pasa a facerse no noso propio servidor); o correo electrónico préstao Hostinger, que xa figura como subencargado; e os servizos de OpenStreetMap úsanse tamén para os mapas da páxina de seguimento do pedido. Ademais, o apartado 4 deixa por escrito a túa instrución para que atendamos no teu nome as peticións de borrado dos teus clientes recibidas na plataforma, conservando o que a lei obriga a gardar. Podes opoñerte escribindo a privacidad@elpizzero.com antes desa data (art. 28.2 RGPD).

O Responsable autoriza a elpizzero a recorrer aos seguintes subencargados para prestar o servizo, comprometéndose elpizzero a impoñerlles obrigas equivalentes de protección de datos:

• Hostinger — aloxamento e infraestrutura (servidores na UE).
• Stripe — procesamento de pagamentos (cando o restaurante o active coas súas propias claves).
• Provedor de correo electrónico SMTP — envío de notificacións e comunicacións.
• OpenAI (Estados Unidos) — tradución da carta e das notas que o cliente escribe no seu pedido, e lectura de menús e facturas; sen nome, teléfono, correo electrónico nin enderezo.
• Twilio (Estados Unidos) — chamadas automáticas de aviso ao restaurante, cando están activadas (teléfono do restaurante).
• Telegram — avisos de pedidos ao restaurante, só se o Responsable os activa; levan só o número e o importe do pedido, ningún dato dos seus clientes (Telegram non ofrece contrato de encargado, polo que non se lle confían).
• hCaptcha · Intuition Machines (Estados Unidos) — protección contra robots nos formularios públicos (IP e datos do navegador).
• Servizos de busca de enderezos e cálculo de rutas baseados en OpenStreetMap (Nominatim, OSRM, openrouteservice) — enderezo de entrega.
• Reparto — plataforma de loxística de última milla (api.elpizzero.es), unicamente se o Responsable activa a integración «Reparto» e achega o seu propio token. De cada pedido a domicilio recibe o imprescindible para executar a entrega: enderezo e coordenadas de entrega, teléfono de contacto, importe a cobrar e detalle do pedido. Trata eses datos exclusivamente por conta do Responsable e queda suxeito a obrigas equivalentes ás deste contrato. Supresión: cando o Responsable ordena borrar os datos dun cliente, a orde comunícase automaticamente a Reparto, que suprime enderezo, coordenadas, teléfono, notas e detalle do pedido, conservando unicamente datos non identificativos de operativa (estado, datas e importes).

A lista vixente está dispoñible e actualizarase neste documento. elpizzero informará dos cambios de subencargados, dándolle ao Responsable a posibilidade de opoñerse.

Non son subencargados as ferramentas de terceiros que o Responsable decide activar na súa carta coa súa propia conta (por exemplo, o píxel de Meta, que só se carga se o cliente acepta as cookies de márketing): ese provedor trata os datos como responsable, xunto co Responsable, e non por conta de elpizzero (Sentenza do Tribunal de Xustiza da UE do 29 de xullo de 2019, Fashion ID, asunto C-40/17).

5 bis. Uso de intelixencia artificial

Algunhas funcións da plataforma usan servizos de intelixencia artificial (actualmente OpenAI, EEUU, con garantías de transferencia adecuadas) para: escaneo de cartas/menús (extraer categorías e produtos de fotos ou PDF do restaurante), escaneo de facturas de provedor (asesoría e inventario), tradución da carta e de textos a outros idiomas, e detección de inventario e xeración de contidos de apoio.

Envíase unicamente o contido necesario e non se envían datos de clientes finais de forma intencionada; puntualmente, unha tradución podería incluír un texto libre escrito polo cliente (p. ex. unha nota do pedido). O Responsable autoriza este tratamento mediante IA ao aceptar este contrato e comprométese a non introducir datos persoais innecesarios nestas funcións. Cada función que usa IA está identificada como tal no panel, conforme aos principios de transparencia (incl. Regulamento (UE) 2024/1689 de IA).

6. Obrigas do Responsable (restaurante)

• Garantir a base de lexitimación dos tratamentos que encarga e a información aos interesados.
• Dispor da súa propia política de privacidade e identificación fiscal correcta no seu perfil.
• Non introducir na plataforma categorías especiais de datos sen base adecuada.

7. Localización dos datos e transferencias

Os datos aloxanse en servidores situados na Unión Europea. Se algún subencargado implicase unha transferencia internacional, realizarase coas garantías do Capítulo V do RGPD (decisión de adecuación ou cláusulas contractuais tipo).

8. Violacións de seguridade

En caso de violación da seguridade dos datos, elpizzero seguirá o seu protocolo de resposta e notificaralle ao Responsable conforme á cláusula 4.6 para que este poida cumprir o art. 33 RGPD (notificación á autoridade de control en 72 h cando proceda).

9. Devolución ou supresión ao finalizar

Á finalización do servizo, e a elección do Responsable, elpizzero devolverá ou suprimirá os datos persoais tratados por súa conta, así como as copias existentes, salvo obriga legal de conservación.

10. Responsabilidade e lexislación

Cada parte responde do incumprimento das súas obrigas conforme ao RGPD e á LO 3/2018 (LOPDGDD). Este contrato réxese pola lexislación española e da UE.

A aceptación deste contrato queda rexistrada con data, versión e IP ao darse de alta ou ao aceptalo desde o panel. Última actualización: 2026-10-01.