Traducción al español facilitada solo a título informativo. Únicamente la versión en inglés es jurídicamente vinculante; en caso de discrepancia, prevalece la versión en inglés.

Anexo de Tratamiento de Datos

Este anexo forma parte de los Términos de Servicio entre Bisux Limited («nosotros») y la empresa identificada en la cuenta o el pedido aceptados («tú»). Tú eres el responsable del tratamiento y nosotros somos el encargado del tratamiento de los datos personales aquí comprendidos. Nuestras actividades independientes como responsable del tratamiento se describen en nuestra Política de Privacidad.

1. Qué tratamos y para qué

Tratamos los datos del Apéndice A para prestar las funciones que utilizas, durante el periodo de servicio y el plazo de devolución o supresión de la sección 8.

El acuerdo que has aceptado, este anexo, la configuración de las funciones y las instrucciones de asistencia lícitas por escrito constituyen tus instrucciones documentadas. Esto incluye las instrucciones sobre transferencias. Tratamos los datos únicamente siguiendo esas instrucciones, salvo que el Derecho de la UE o de sus Estados miembros exija otra cosa. Te informamos de esa exigencia antes del tratamiento, salvo que la ley lo prohíba.

Debes tener facultades y una base jurídica para tus instrucciones, facilitar la información exigida y recoger únicamente datos adecuados. Te informamos inmediatamente si consideramos que una instrucción infringe la normativa de protección de datos de la UE o de sus Estados miembros. Podemos detener el tratamiento afectado mientras lo resolvemos y no seguiremos una instrucción que sepamos ilícita.

No utilizamos los datos tratados por tu cuenta para nuestra propia publicidad ni para entrenar modelos de uso general. Cualquier actividad independiente como responsable del tratamiento necesita su propio fin, base jurídica e información.

2. Personal y confidencialidad

Limitamos el acceso a las personas autorizadas que lo necesitan para prestar el servicio. Deben estar sujetas a obligaciones de confidencialidad contractuales o legales. Les damos instrucciones adecuadas de seguridad y protección de datos y retiramos el acceso cuando deja de ser necesario.

3. Seguridad

Mantenemos medidas técnicas y organizativas adecuadas al riesgo conforme al artículo 32 del RGPD, incluidos los compromisos del Apéndice B. Tenemos en cuenta los datos, el tratamiento, la tecnología disponible y los costes de aplicación. Revisamos los riesgos y cambios importantes y no reducimos la protección por debajo del nivel legalmente exigido.

4. Subencargados

Concedes una autorización general por escrito para los subencargados y las actividades identificados en nuestra lista de Proveedores de Servicios. Esta autorización cubre únicamente a los proveedores que tratan tus datos por nuestra cuenta, no a los que actúan para sus propios fines.

Al menos 30 días antes de que un subencargado nuevo o sustituto comience a tratar tus datos, actualizamos esa lista y enviamos un correo a la dirección de tu cuenta con su identidad, actividad y lugares de tratamiento. Puedes oponerte por motivos razonables de protección de datos antes de que comience, respondiendo o escribiendo a privacy@bisux.net. No necesitas aceptar de nuevo los Términos.

Trabajamos contigo para encontrar una alternativa lícita. Si no podemos resolver una oposición antes del inicio del tratamiento, no enviamos tus datos a ese proveedor. Detenemos el tratamiento afectado si es necesario y puedes poner fin al servicio afectado con un reembolso proporcional de su periodo prepagado no utilizado conforme a la sección 9 de los Términos. Si es necesario sustituir urgentemente a un proveedor para proteger la seguridad o la continuidad del servicio, podemos dar un preaviso más breve, pero explicamos por qué el cambio era urgente y te damos tiempo suficiente para valorarlo y oponerte antes de que el nuevo proveedor comience a tratar tus datos; siguen siendo aplicables tus derechos de oposición anteriores.

Imponemos contractualmente a cada subencargado las mismas obligaciones pertinentes de protección de datos. Seguimos siendo plenamente responsables ante ti de su cumplimiento de esas obligaciones y facilitamos la información necesaria sobre él previa solicitud.

5. Transferencias y solicitudes de comunicación de datos

Solo transferimos datos o permitimos el acceso desde fuera del EEE siguiendo instrucciones documentadas y mediante un mecanismo lícito del capítulo V del RGPD. Puede tratarse de una decisión de adecuación aplicable o de las cláusulas contractuales tipo de la UE, con la evaluación del destino y las garantías adicionales exigidas. Las cláusulas de transferencia aplicables prevalecen sobre las condiciones contradictorias. Este anexo no las sustituye por sí mismo.

Comprobamos la validez jurídica de las solicitudes de comunicación de datos de autoridades públicas, las impugnamos cuando procede, revelamos únicamente lo legalmente exigido y te informamos salvo que esté prohibido. Registramos el fundamento de la comunicación. Las salvaguardias de infraestructura de los Términos también se aplican cuando sean pertinentes para datos no personales.

6. Ayuda para cumplir tus obligaciones

Teniendo en cuenta el tratamiento y la información de que disponemos, te ayudamos a responder a las solicitudes de ejercicio de derechos de las personas. Remitimos las solicitudes relativas a tus datos sin dilación indebida. No respondemos por ti salvo que nos lo indiques o lo exija la ley.

Te asistimos en materia de seguridad, evaluación y notificación de violaciones de seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa conforme a los artículos 32–36 del RGPD. Sigues siendo responsable de tus decisiones como responsable del tratamiento.

Se incluyen la documentación justificativa ordinaria y la cooperación en materia de derechos, seguridad y evaluaciones. Solo los trabajos adicionales verdaderamente excepcionales pueden estar sujetos a una tarifa razonable acordada previamente por escrito. Las tarifas nunca deben retrasar ni impedir la cooperación obligatoria. No cobramos por subsanar nuestro propio incumplimiento, por solicitudes ordinarias de ejercicio de derechos de las personas ni por el cambio de proveedor cubierto por los Términos.

7. Violaciones de la seguridad de los datos personales

Te notificamos sin dilación indebida cuando tengamos conocimiento de una violación de seguridad que afecte a datos que tratamos por tu cuenta. No esperamos a completar la investigación.

A medida que la información esté disponible, facilitamos la naturaleza de la violación de seguridad, las categorías afectadas y el número aproximado de personas y registros, un contacto, las consecuencias probables y las medidas adoptadas o propuestas para contener y reducir los daños. Facilitamos actualizaciones, conservamos las pruebas pertinentes y cooperamos en tu evaluación y tus notificaciones.

Tú decides las notificaciones que te corresponden como responsable del tratamiento, salvo que la ley nos exija actuar de forma independiente. El posible plazo de 72 horas del responsable del tratamiento para notificar a la autoridad no nos autoriza a esperar 72 horas antes de informarte.

8. Devolución y supresión

Al finalizar el tratamiento, eliges si devolvemos o suprimimos tus datos personales. A continuación, suprimimos las copias restantes, salvo que el Derecho de la UE o de sus Estados miembros exija conservarlas. Envía tus instrucciones a privacy@bisux.net.

La devolución comprende los datos, los archivos adjuntos y las relaciones necesarias entre registros, incluido el material que no figure en la descarga del panel. Se aplican los derechos de exportación gratuita, cambio de proveedor, transición y recuperación de la sección 13 de los Términos y su anexo. Conservamos los datos necesarios para esos derechos y acordamos contigo sin dilación indebida los pasos prácticos de devolución o supresión. Tras el plazo de recuperación aplicable, completamos la supresión y la confirmamos, con sujeción a la conservación legalmente exigida.

Los plazos predeterminados de eliminación ordinaria son 14 días tras eliminar una web, 30 días tras eliminar una cuenta y 90 días desde que una web queda desactivada, y te enviamos por correo electrónico la fecha efectiva de eliminación. Son plazos predeterminados de limpieza del servicio, no un derecho a conservar datos tratados como encargado frente a una instrucción lícita de supresión. No acortan los plazos de cambio de proveedor, recuperación o solicitudes de derechos.

Las instrucciones de supresión abarcan bases de datos, archivos, cachés y las copias pertinentes de los proveedores. Las copias sujetas a conservación legal se aíslan y se utilizan solo para esa obligación. Las copias de seguridad residuales deben permanecer protegidas y excluidas del uso ordinario, caducar conforme al ciclo fijo de copias de seguridad aplicable y volver a someterse a las instrucciones de supresión si se restauran. Incluimos los almacenes gestionados por separado en las comprobaciones de finalización; eliminar únicamente un registro de cuenta no demuestra que se hayan suprimido todas las copias.

9. Pruebas y auditorías

Facilitamos la información necesaria para demostrar el cumplimiento del artículo 28 y permitimos y contribuimos a las auditorías, incluidas las inspecciones, realizadas por ti o por el auditor que designes.

Cuando sea suficiente, comenzamos con documentos y comprobaciones a distancia. Las inspecciones ordinarias se realizan con un preaviso razonable, en horario laboral coordinado, con confidencialidad y salvaguardias para los demás clientes. Estas condiciones no pueden impedir las inspecciones necesarias, el acceso de las autoridades reguladoras ni las investigaciones urgentes. No hay un límite anual de auditorías ni un certificado obligatorio que sustituya los derechos de auditoría.

La documentación justificativa ordinaria está incluida. Tú pagas a tu propio auditor. Los trabajos adicionales excepcionales que realicemos siguen la regla de tarifa razonable acordada previamente por escrito de la sección 6; la subsanación de nuestro propio incumplimiento está incluida.

10. Responsabilidad y prelación

Cada parte conserva sus propias obligaciones legales. Los límites comerciales no eliminan los derechos de las personas, las facultades de supervisión ni la responsabilidad que no pueda excluirse legalmente. Este anexo prevalece en materia de protección de los datos tratados como encargado, como explica la sección 2 de los Términos. La legislación imperativa y las cláusulas de transferencia aplicables prevalecen sobre él.

11. Contacto y acuerdo

Tus datos y la aceptación autorizada proceden de tu cuenta empresarial o pedido. Aceptas este anexo a través de los Términos que lo incorporan. Para instrucciones de tratamiento, asuntos de privacidad o incidentes de datos urgentes, contacta con privacy@bisux.net.

Apéndice A. Detalles del tratamiento

• Objeto: tu web de restaurante alojada y las funciones activadas.
• Operaciones: recogida, registro, organización, conservación, recuperación, rectificación, acceso autorizado, visualización pública del contenido que publicas, transmisión, exportación y supresión.
• Fines: alojamiento de tu contenido; importación y traducción de cartas por indicación del comensal; gestión de reservas y mensajes relacionados; mantenimiento del historial de comensales y de los indicadores de fiabilidad específicos del restaurante; y asistencia técnica para esas operaciones.
• Personas: comensales y personas que reservan; tu personal autorizado cuyos datos facilites; personas identificadas en el contenido y los mensajes que subes.
• Datos: nombres, direcciones de correo electrónico, números de teléfono, contenido del restaurante, archivos e imágenes; fecha, hora, número de personas, zona, estado, notas y notas internas de las reservas; comunicaciones; indicadores de elección de comunicaciones comerciales; historial de reservas, cancelaciones e incomparecencias e indicadores de fiabilidad específicos del restaurante; identificadores técnicos necesarios para estas funciones.
• Datos de salud: los formularios de reserva indican a los comensales que no introduzcan alergias ni otros datos de salud y que contacten directamente con el restaurante. Este anexo no autoriza el tratamiento general de historiales de salud. Suprime sin demora las notas de salud introducidas accidentalmente, salvo que establezcas una condición lícita independiente del artículo 9 y garantías adecuadas.
• Duración: el periodo de servicio de la función y la sección 8. Estableces instrucciones proporcionadas de conservación de reservas e historial de comensales, incluidos los índices de comensales, los registros del resultado de las reservas y los indicadores de fiabilidad. Una ventana de puntuación no es un plazo de conservación de datos.
• Fuera de este ámbito: nuestra relación de cuenta, las ventas, la facturación, los impuestos, la asistencia humana a las cuentas, la publicidad, la seguridad de la plataforma y las estadísticas de visitas propias. La Política de Privacidad explica esas actividades como responsable del tratamiento.

Apéndice B. Compromisos de seguridad

• Acceso y separación: comprobaciones de roles y titularidad del restaurante, privilegios mínimos, credenciales protegidas, confidencialidad y retirada del acceso cuando deja de ser necesario.
• Transmisión: protección adecuada de los datos personales en tránsito, incluido HTTPS para las conexiones del navegador y protección adecuada al riesgo para las transferencias internas de archivos.
• Almacenamiento y secretos: acceso restringido a bases de datos y archivos, claves y secretos protegidos, tokens de servicios conectados cifrados y cifrado adicional adecuado al riesgo.
• Resiliencia: mecanismos de copia de seguridad, recuperación y restauración adecuados al riesgo, con comprobaciones de su eficacia. No se incluye ningún tiempo fijo de recuperación ni garantía de disponibilidad.
• Seguridad de la aplicación: protección frente a la falsificación de formularios, comprobaciones contra abusos y límites de frecuencia cuando proceda, cambios controlados y gestión de vulnerabilidades.
• Registros: registros minimizados y con acceso restringido. Los registros de inicio de sesión y seguridad de la base de datos se eliminan tras 365 días y los registros de errores tras 90 días; los registros de infraestructura requieren sus propios calendarios.
• Personal e incidentes: confidencialidad, instrucciones al personal, gestión de incidentes y las obligaciones de notificación anteriores.
• Supresión: instrucciones y calendarios aprobados aplicados a bases de datos, archivos, proveedores, cachés y copias de seguridad, con comprobaciones de finalización.

Última actualización: 10 de noviembre de 2026

Bisux Limited es una sociedad irlandesa de responsabilidad limitada por acciones, inscrita en Irlanda (Companies Registration Office), con número de sociedad 816985. Domicilio social: 51 Bracken Road, Dublin, D18 CV48, Ireland. Contacto general: hello@bisux.net.