Reunidos
De una parte, el negocio que se da de alta en la plataforma YAIGO (en adelante, "el Responsable"), identificado por los datos de su Perfil Fiscal (Autónomo o Empresa/SL).
De otra parte, GAITS ADTECH S.L., con NIF B88961826 y domicilio en Carrer de les Cabres, 9, Ciutat Vella, 08001 Barcelona, titular de la marca YAIGO (en trámite de registro) (en adelante, el "Encargado"), proveedor de la plataforma tecnológica objeto de contratación.
Ambas partes, en la representación que ostentan, reconociéndose capacidad legal suficiente, acuerdan suscribir el presente Contrato de Encargado de Tratamiento (en adelante, "el Contrato"), que se regirá por las siguientes
Cláusulas
1. Objeto
El Responsable contrata los servicios de la plataforma YAIGO para la gestión de su Negocio (TPV, reservas, pedidos, carta QR, delivery, fidelización, asistente de voz IA cuando esté activado, y demás módulos contratados). Para prestar dicho servicio, el Encargado trata, por cuenta y siguiendo instrucciones del Responsable, los datos personales de los clientes finales, personal y demás interesados del Responsable que sean necesarios.
Cuando el Responsable haya otorgado a GAITS ADTECH S.L. la representación para remitir sus registros de facturación a la AEAT (ver Términos y Condiciones, cláusula 7), el Responsable da instrucción documentada al Encargado para que envíe dichos registros a la AEAT a través de la Sede electrónica, en el marco del Acuerdo de Colaboración Social. La documentación que acredita esa representación la trata GAITS ADTECH S.L. como responsable, conforme a la Política de Privacidad (sección 8.1).
2. Duración
El presente Contrato estará en vigor mientras dure la relación de prestación de servicios entre las partes conforme a los Términos y Condiciones del Servicio, y se extinguirá automáticamente al finalizar dicha relación, sin perjuicio de las obligaciones de conservación o devolución de datos previstas en la cláusula 9.
3. Naturaleza, finalidad, tipos de datos y categorías de interesados
| Elemento | Detalle |
|---|---|
| Naturaleza del tratamiento | Alojamiento, almacenamiento, procesamiento y puesta a disposición de datos a través de una plataforma SaaS multi-tenant, desarrollada 100% por el Encargado |
| Finalidad | Prestación del servicio YAIGO: TPV, reservas, pedidos, carta QR, delivery, KDS, inventario, fidelización, facturación VeriFactu y, si el Responsable ha otorgado la representación, remisión de los registros de facturación a la AEAT; asistente de voz IA (si está activado) |
| Tipos de datos | Identificativos y de contacto; datos de pedido/reserva; datos de pago tokenizados (solo tarjeta); datos de categoría especial (alergias/salud) si el Responsable activa esa función; grabaciones/transcripciones de voz si el Responsable activa el asistente IA; datos de los destinatarios de las facturas (nombre o razón social y NIF) incluidos en los registros de facturación |
| Categorías de interesados | Clientes finales del Responsable (comensales, compradores) y, en su caso, personal del Responsable con acceso a la Plataforma |
4. Obligaciones del Encargado (art. 28.3 RGPD)
El Encargado se compromete a:
- Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluida la relativa a las transferencias internacionales, salvo obligación legal en contrario (en cuyo caso informará al Responsable antes del tratamiento, salvo prohibición legal).
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación equivalente.
- Adoptar todas las medidas exigidas por el artículo 32 RGPD (cifrado, control de acceso, aislamiento por Negocio, copias de seguridad, pruebas periódicas).
- Respetar las condiciones de la cláusula 6 para recurrir a otro encargado del tratamiento (subencargado).
- Asistir al Responsable para que pueda atender las solicitudes de ejercicio de derechos de los interesados.
- Ayudar al Responsable a cumplir sus obligaciones de seguridad (art. 32), notificación de violaciones de seguridad (art. 33) y, en su caso, evaluaciones de impacto (art. 35).
- A elección del Responsable, suprimir o devolver todos los datos personales una vez finalice la prestación del servicio, y suprimir las copias existentes, salvo obligación legal de conservación.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato, y permitir auditorías con un preaviso razonable.
5. Notificación de violaciones de seguridad
El Encargado notificará al Responsable, sin dilación indebida y en cualquier caso dentro de las 48 horas siguientes a tener constancia de ella, cualquier violación de la seguridad de los datos personales tratados en virtud de este Contrato, aportando la información razonablemente disponible para que el Responsable pueda cumplir su obligación de notificación a la autoridad de control y a los interesados (arts. 33 y 34 RGPD).
6. Subencargados del tratamiento
El Responsable autoriza con carácter general al Encargado a recurrir a otros encargados del tratamiento (subencargados) para prestar el servicio, siempre bajo las mismas obligaciones de protección de datos recogidas en este Contrato. Los subencargados actuales son:
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Cloudflare | Orquestación (Workflows) y alojamiento del backend propio | Según proveedor; fuera del EEE, solo con garantías del art. 46 RGPD (Cláusulas Contractuales Tipo) |
| Proveedor de base de datos gestionada (PostgreSQL) | Base de datos | Según proveedor; fuera del EEE, solo con garantías del art. 46 RGPD (Cláusulas Contractuales Tipo) |
| Twilio | Telefonía (voz y SMS) para el asistente de voz IA | Según proveedor; fuera del EEE, solo con garantías del art. 46 RGPD (Cláusulas Contractuales Tipo) |
| ElevenLabs | Reconocimiento y síntesis de voz con IA | Según proveedor; fuera del EEE, solo con garantías del art. 46 RGPD (Cláusulas Contractuales Tipo) |
| Anthropic (Claude) | Interpretación del lenguaje / IA generativa (asistente de voz, resumen diario) | Según proveedor; fuera del EEE, solo con garantías del art. 46 RGPD (Cláusulas Contractuales Tipo) |
| Meta (WhatsApp Business API) | Envío del resumen diario y notificaciones | Según proveedor; fuera del EEE, solo con garantías del art. 46 RGPD (Cláusulas Contractuales Tipo) |
| Proveedor de envío de emails transaccionales | Envío de emails transaccionales | Según proveedor; fuera del EEE, solo con garantías del art. 46 RGPD (Cláusulas Contractuales Tipo) |
| Stripe | Procesamiento de pagos y tokenización de tarjetas | UE / EE. UU. (Stripe Payments Europe Ltd. y Stripe, Inc.; transferencias amparadas en Cláusulas Contractuales Tipo) |
El Encargado informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados con al menos 30 días de antelación a que surta efecto — el mismo estándar que aplica Stripe, uno de nuestros propios subencargados, en su Data Processing Agreement. El Responsable podrá oponerse por motivos justificados relacionados con la protección de datos, comunicándolo a privacidad@yaigo.es dentro de esos 30 días desde la notificación.
7. Transferencias internacionales
Cuando el tratamiento implique una transferencia de datos personales fuera del Espacio Económico Europeo, el Encargado garantizará que dicha transferencia cuenta con una decisión de adecuación de la Comisión Europea o con las garantías adecuadas previstas en el artículo 46 RGPD (en particular, Cláusulas Contractuales Tipo), junto con las medidas suplementarias que resulten necesarias.
8. Datos de categoría especial
Cuando el Responsable active funciones que impliquen el tratamiento de datos de categoría especial (por ejemplo, alergias o intolerancias alimentarias de sus clientes finales), el Responsable es responsable de recabar la base legal correspondiente (consentimiento explícito) frente a sus clientes finales, y el Encargado se compromete a tratar dichos datos únicamente para la finalidad de seguridad alimentaria, con las medidas de seguridad reforzadas descritas en la Política de Privacidad.
9. Destino de los datos al finalizar el Contrato
Al finalizar la prestación del servicio, el Encargado, a elección del Responsable, devolverá los datos personales en un formato estructurado de uso común, o los suprimirá junto con las copias existentes, en un plazo de [30] días, salvo obligación legal de conservación (fiscal o mercantil), en cuyo caso los datos quedarán bloqueados hasta el cumplimiento de dicha obligación.
10. Responsabilidad
Cada parte responderá frente a los interesados y frente a la autoridad de control de los incumplimientos que le sean imputables conforme a la normativa de protección de datos. El Encargado responderá de los daños causados por el tratamiento en caso de incumplimiento de las obligaciones que el RGPD impone específicamente a los encargados, o cuando haya actuado al margen o en contra de las instrucciones lícitas del Responsable.
11. Ley aplicable
Este Contrato se rige por el RGPD, la LOPDGDD y demás normativa española y europea aplicable en materia de protección de datos.
Firma
Este Contrato se entiende aceptado por el Responsable al marcar la casilla correspondiente durante el alta del Negocio en la plataforma YAIGO, con el mismo valor probatorio que una firma manuscrita conforme a la normativa de firma electrónica y contratación a distancia. Esto es distinto de la autorización de representación tributaria ante la AEAT para VeriFactu, que requiere firma manuscrita o electrónica cualificada por separado (ver Términos y Condiciones, cláusula 7).