Anexo de Encargo de Tratamiento de Datos

Naturaleza de este anexo

Este anexo forma parte de los Términos y Condiciones de la plataforma y regula el tratamiento de datos personales que la Plataforma realiza por cuenta y orden del Cliente, en los términos del artículo 25 de la Ley 25.326 de Protección de Datos Personales.

En lo relativo a los datos de los clientes del negocio, este anexo prevalece sobre cualquier otra disposición del acuerdo.

Roles y objeto

El Cliente —el negocio que contrata la plataforma— es el responsable del tratamiento de los datos personales que sus propios clientes dejan en su sitio. Cacao, como prestadora del servicio, actúa exclusivamente como encargada del tratamiento.

El objeto del encargo es alojar y procesar esos datos con el único fin de prestar el servicio contratado: publicar el sitio, gestionar reservas, pedidos, gift cards y el club de beneficios, mostrar la información en el panel del Cliente y enviar en su nombre las comunicaciones operativas de esas gestiones.

Duración

El encargo dura mientras la suscripción esté vigente y se extiende por el período de conservación posterior a la baja previsto en los Términos, únicamente a los fines de la exportación o reactivación.

Datos y titulares alcanzados

El encargo alcanza a los datos que el sitio del Cliente recoge de sus clientes:

• Titulares: comensales, compradores y socios del club de beneficios del negocio.
• Identificación y contacto: nombre, email y teléfono.
• Datos operativos: reservas y sus comentarios, pedidos y direcciones de entrega, gift cards y sus dedicatorias, visitas y puntos del club, y el contenido de las conversaciones con el asistente si está activo.

Datos sensibles

El servicio no está diseñado para tratar datos sensibles (art. 2, Ley 25.326: salud, origen étnico, convicciones religiosas, afiliación sindical, entre otros). El Cliente se obliga a no cargarlos ni solicitarlos a través de la plataforma.

Instrucciones del responsable

La Plataforma trata los datos únicamente siguiendo las instrucciones documentadas del Cliente, que se expresan en la configuración de su panel: qué funciones activa, qué campos pide y qué comunicaciones se envían.

La Plataforma no usa esos datos para fines propios, no los cede a terceros, no los cruza entre clientes de la plataforma y no los enriquece con fuentes externas. Cada negocio está aislado del resto.

Confidencialidad

Las personas autorizadas a acceder a los datos lo hacen bajo deber de confidencialidad, que subsiste aun después de terminada la relación. El acceso está limitado a lo estrictamente necesario para operar y dar soporte al servicio.

Medidas de seguridad

Conforme al artículo 9 de la Ley 25.326, la Plataforma aplica medidas técnicas y organizativas apropiadas, entre ellas:

• Cifrado de las conexiones y de las credenciales de terceros almacenadas.
• Aislamiento de los datos de cada negocio y control de acceso por cuenta.
• Copias de seguridad periódicas de la base de datos.
• Registro temporal y en memoria de direcciones IP con el único fin de limitar abusos, sin persistirlas en la base.

Subencargados

El Cliente autoriza de manera general a la Plataforma a valerse de los proveedores necesarios para operar el servicio: infraestructura de alojamiento y base de datos, envío de emails transaccionales, procesamiento de pagos y, si activa el club de beneficios, los servicios de billeteras digitales.

La Plataforma les exige por contrato obligaciones de protección de datos equivalentes a las de este anexo, responde ante el Cliente por su actuación y le informa los cambios sustanciales de proveedores. La lista vigente está disponible a pedido.

Transferencias internacionales

La infraestructura puede estar ubicada fuera de la Argentina, principalmente en Estados Unidos y la Unión Europea. Cuando el alojamiento implica una transferencia internacional, la Plataforma la ampara en contratos con cláusulas de protección equivalentes a las de la Ley 25.326, conforme a su artículo 12 y a los modelos de la Disposición 60-E/2016.

Asistencia al responsable

El panel le da al Cliente las herramientas para atender por sí mismo los pedidos de acceso, rectificación o supresión de sus clientes. Para lo que el panel no cubra, la Plataforma le presta asistencia razonable.

Si un titular contacta directamente a la Plataforma por datos cuyo responsable es el Cliente, la Plataforma le informa quién es el responsable y deriva el pedido, salvo que la ley le exija actuar de otro modo.

Incidentes de seguridad

Si la Plataforma toma conocimiento de un incidente de seguridad que afecte datos tratados por cuenta del Cliente, se lo notifica sin demora indebida —procurando hacerlo dentro de las 72 horas— con la información disponible: naturaleza del incidente, datos y titulares alcanzados, medidas adoptadas y recomendadas.

La evaluación del riesgo y las comunicaciones a los titulares o a la autoridad de control que correspondan quedan a cargo del Cliente como responsable, con la colaboración de la Plataforma.

Fin del encargo

Terminado el servicio, el Cliente puede exportar los datos desde su panel durante el período de conservación previsto en los Términos. Vencido ese plazo, la Plataforma elimina o anonimiza los datos, salvo los que deba conservar por una obligación legal.

Verificación

La Plataforma pone a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este anexo y responde las consultas que el Cliente le formule con ese fin.