Versión 2026-07-30

# Contrato de Encargado del Tratamiento

**Versión 2026-07-30**

Anexo al contrato de servicio entre **ALMARUC (AlmarucQR)** — el Encargado — y
el **restaurante titular de la cuenta** — el Responsable.

Se firma conforme al artículo 28.3 del Reglamento (UE) 2016/679 (RGPD).

## 1. Quién es quién

El **Responsable es el restaurante**. Decide qué datos recoge de sus comensales,
para qué y con qué base jurídica.

El **Encargado es ALMARUC**. Solo trata esos datos para prestar el servicio, y
únicamente siguiendo las instrucciones documentadas del Responsable.

ALMARUC **no decide** las finalidades. No usa los datos de los comensales para
fines propios, no los vende, no los cede y no los emplea para entrenar sistemas.

## 2. Objeto, duración y naturaleza

**Objeto:** prestación de la plataforma de carta digital, reservas, pedidos en
mesa, fidelización, lista de espera, control horario y web, según el plan y los
servicios contratados.

**Duración:** mientras esté vigente el contrato de servicio.

**Naturaleza y finalidad:** alojamiento, conservación, consulta, modificación y
supresión de los datos, por cuenta del Responsable.

## 3. Datos e interesados

**Categorías de interesados:** comensales y clientes del restaurante, y su
personal empleado.

**Categorías de datos:** identificativos (nombre, teléfono, correo), datos de la
reserva o el pedido, datos de fidelización, y datos de jornada laboral del
personal cuando se use el módulo de control horario.

**Categorías especiales (art. 9):** el servicio **no está diseñado para
tratarlas**. Los campos de texto libre advierten de ello. Si el Responsable
introduce o permite introducir datos de salud, asume la base jurídica reforzada
que exige el art. 9.2 y responde de ello.

## 4. Obligaciones de ALMARUC

1. Tratar los datos **solo** según instrucciones documentadas del Responsable.
2. Guardar **confidencialidad**, y exigirla a todo su personal.
3. Aplicar las **medidas de seguridad** del art. 32: cifrado de los datos
   personales sensibles en la base de datos, cifrado en tránsito, control de
   acceso por roles y permisos, registro de actividad y copias de seguridad
   verificadas.
4. **No subcontratar** sin autorización. La lista de subencargados vigente está
   en el anexo I; cualquier alta se comunicará con antelación y el Responsable
   podrá oponerse.
5. **Asistir** al Responsable en la atención de los derechos de los interesados
   y en sus evaluaciones de impacto, en la medida en que le corresponda.
6. **Notificar sin dilación indebida** al Responsable cualquier violación de la
   seguridad de la que tenga conocimiento, con la información disponible para
   que aquel pueda cumplir el art. 33.
7. Al terminar el contrato, **devolver o suprimir** los datos a elección del
   Responsable. La plataforma permite descargar la exportación completa desde el
   panel.
8. Poner a disposición del Responsable la información necesaria para demostrar
   el cumplimiento y **permitir auditorías** razonables, previo aviso.

## 5. Obligaciones del Responsable

El restaurante garantiza y responde de que:

1. Dispone de **base jurídica** para cada tratamiento que realiza.
2. **Informa a sus comensales** conforme a los arts. 13 y 14, incluida la
   existencia de ALMARUC como encargado.
3. El **contenido que introduce es lícito, veraz y exacto** — en particular la
   información de la carta y de **alérgenos**, cuya responsabilidad es
   exclusivamente suya conforme al Reglamento (UE) 1169/2011.
4. Cumple sus propias obligaciones laborales, incluido el registro de jornada.
5. Custodia sus credenciales y responde de los actos de su personal.
6. Sus instrucciones son lícitas. ALMARUC le informará si, a su juicio, una
   instrucción infringe la normativa de protección de datos.

## 6. Responsabilidad

Cada parte responde de sus propias obligaciones. Frente al interesado, la
responsabilidad se rige por el art. 82 RGPD, con derecho de repetición entre las
partes conforme a su apartado 5.

El Responsable **mantendrá indemne** a ALMARUC frente a reclamaciones,
sanciones o costes derivados del contenido que introduce, de la ausencia de base
jurídica, de la falta de información a sus comensales o del incumplimiento de
sus obligaciones laborales o de seguridad alimentaria.

## Anexo I · Subencargados

ALMARUC **no cede los datos a terceros con fines propios**. Los únicos
subencargados son los proveedores de infraestructura imprescindibles para
prestar el servicio:

| Subencargado | Finalidad | Ubicación |
|---|---|---|
| **OVH** (OVH Groupe SAS) | Alojamiento del servidor y almacenamiento de los datos | Unión Europea |
| **Hostalia** (Grupo Nicolás Correa / Acens) | Envío de los avisos por correo electrónico | España |

Ambos prestan sus servicios desde la **Unión Europea**, por lo que **no se
producen transferencias internacionales** de datos a terceros países.

Cualquier alta o cambio de subencargado se comunicará al Responsable con
antelación suficiente para que pueda oponerse. Si se opusiera y no fuera posible
mantener el servicio sin ese subencargado, cualquiera de las partes podrá
resolver el contrato sin penalización.

## Anexo II · Edad mínima

El programa de fidelización está reservado a **mayores de 14 años**, conforme al
art. 7 de la LOPDGDD. El Responsable no debe dar de alta a menores de esa edad
sin el consentimiento de sus padres o tutores.