Acuerdo de Tratamiento de Datos (DPA)

Este Acuerdo de Tratamiento de Datos (el "Acuerdo") complementa los Términos y Condiciones y regula el tratamiento que KulinariOs (el "Encargado") realiza de datos personales por cuenta del Cliente (el "Responsable"), conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares ("LFPDPPP") y su normativa aplicable.

1. Roles de las partes

• El Cliente (restaurante) actúa como Responsable de los datos personales que decide recabar de sus propios clientes y personal a través de la plataforma: determina las finalidades y es quien tiene la relación directa con los titulares.
• KulinariOs actúa como Encargado: trata dichos datos únicamente por cuenta y bajo las instrucciones del Responsable, para prestar el servicio contratado.
• Respecto de los datos de la cuenta del propietario (registro, facturación, soporte), KulinariOs actúa como responsable conforme a su propio Aviso de Privacidad; esos datos quedan fuera de este Acuerdo.

2. Datos objeto del tratamiento

No se tratan datos personales sensibles a través de la plataforma. El Responsable se obliga a no ingresar datos sensibles en campos de texto libre.

3. Instrucciones y finalidad

1. KulinariOs tratará los datos exclusivamente para prestar las funciones de la plataforma (registro y gestión de órdenes, entregas, gestión de personal, reportes) y conforme a las instrucciones documentadas del Responsable, que se entienden dadas mediante la configuración y uso de la plataforma.
2. KulinariOs no usará estos datos para fines propios, no los venderá ni los comunicará a terceros distintos de los sub-encargados de la cláusula 6, salvo requerimiento de autoridad competente, en cuyo caso informará al Responsable cuando sea legalmente posible.
3. KulinariOs podrá generar información agregada y anonimizada que no identifique a titulares ni al Responsable.

4. Obligaciones del Encargado (KulinariOs)

KulinariOs se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones del Responsable.
2. Abstenerse de tratar los datos para finalidades distintas a las instruidas.
3. Implementar las medidas de seguridad descritas en la cláusula 5.
4. Guardar confidencialidad respecto de los datos tratados; su personal con acceso está sujeto a obligaciones de confidencialidad.
5. Suprimir o devolver los datos al concluir la relación, conforme a la cláusula 9.
6. Abstenerse de transferir los datos salvo lo previsto en la cláusula 6 (sub-encargados) o instrucción del Responsable.
7. Colaborar con el Responsable para la atención de solicitudes de derechos ARCO (cláusula 7) y para acreditar el cumplimiento de estas obligaciones cuando lo solicite razonablemente.

5. Medidas de seguridad

KulinariOs mantiene, como mínimo:

• Cifrado de datos en tránsito (TLS) y en reposo en la infraestructura del proveedor de base de datos.
• Aislamiento por restaurante a nivel de base de datos mediante políticas de seguridad por fila (Row Level Security): cada negocio solo puede acceder a sus propios datos.
• Autenticación por credenciales para propietarios y por NIP para personal; los NIP se almacenan únicamente como hash criptográfico y se comparan del lado del servidor.
• Control de acceso por roles dentro de la plataforma y cierre de sesión automático por inactividad del personal.
• Registros de auditoría inmutables para movimientos de inventario y descuentos.
• Límites de intentos de acceso para mitigar ataques de fuerza bruta.
• Respaldos periódicos de la base de datos.

6. Sub-encargados

El Responsable autoriza de forma general el uso de los siguientes sub-encargados, quienes tratan datos bajo obligaciones equivalentes a las de este Acuerdo:

KulinariOs notificará al Responsable con al menos 15 días naturales de anticipación la incorporación o sustitución de sub-encargados, publicando la lista actualizada en esta página o por correo. Si el Responsable objeta razonablemente, podrá cancelar el servicio conforme a la Política de Devoluciones antes de que el cambio surta efectos.

7. Derechos de los titulares (ARCO)

1. Las solicitudes ARCO de clientes finales o personal del restaurante corresponden al Responsable, quien tiene la relación con los titulares.
2. La plataforma permite al Responsable atenderlas directamente: consultar, rectificar y eliminar registros de clientes y personal.
3. Si un titular contacta a KulinariOs directamente, KulinariOs lo redirigirá al Responsable y le notificará, sin atender la solicitud por cuenta propia salvo obligación legal.
4. KulinariOs brindará asistencia razonable al Responsable cuando la atención de una solicitud requiera acciones técnicas fuera del alcance de la plataforma.

8. Vulneraciones de seguridad

1. KulinariOs notificará al Responsable sin dilación indebida y a más tardar dentro de las 72 horas siguientes a tener conocimiento de una vulneración de seguridad que afecte de forma significativa los datos objeto de este Acuerdo.
2. La notificación incluirá, en la medida disponible: naturaleza del incidente, datos y titulares afectados, medidas adoptadas y recomendaciones.
3. Corresponde al Responsable determinar y realizar, en su caso, la notificación a los titulares que exige la LFPDPPP; KulinariOs colaborará con la información necesaria.

9. Terminación y destino de los datos

1. Al terminar el servicio, el Responsable dispone de 90 días naturales para exportar los datos (formato CSV disponible en la plataforma o a solicitud).
2. Vencido el plazo, KulinariOs eliminará de forma segura los datos objeto de este Acuerdo, salvo lo que deba conservar por obligación legal, en cuyo caso permanecerán bloqueados hasta su supresión definitiva.

10. Vigencia y prevalencia

1. Este Acuerdo entra en vigor con la aceptación de los Términos y Condiciones y permanece vigente mientras KulinariOs trate datos por cuenta del Responsable.
2. En caso de conflicto entre este Acuerdo y los Términos respecto del tratamiento de datos personales, prevalece este Acuerdo.

11. Contacto

Asuntos de este Acuerdo y notificaciones de seguridad: [email protected].