Acuerdo de tratamiento de datos

1. Partes, incorporación y finalidad

Este Acuerdo de tratamiento de datos (DPA) regula el tratamiento por World Travel Club s.r.o., número de identificación empresarial (IČO) 07214073, con domicilio en Ostrčilovo náměstí 462/4, Nusle, 128 00 Praha 2, República Checa (la Empresa o MenuAI), por cuenta del cliente empresarial identificado en el pedido de suscripción o contrato de servicios aplicable (Cliente). Contacto de protección de datos: team@menuai.pro.

El DPA forma parte del contrato de servicios MenuAI cuando se incorpora y acepta válidamente por representantes autorizados de ambas partes, también mediante un proceso electrónico acordado. Deben poder determinarse la identidad del Cliente, los servicios y el registro de aceptación. Publicar esta página o la visita de un visitante no constituye por sí solo un contrato de tratamiento para cada establecimiento.

Su finalidad es establecer las condiciones vinculantes del tratamiento por cuenta del Cliente exigidas por el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la normativa aplicable. Los anexos forman parte del DPA. Los detalles del servicio y el registro confidencial del anexo 3 lo complementan sin eliminar protecciones obligatorias.

El Cliente garantizará que quien acepte tenga autoridad para la empresa y el tratamiento correspondientes. Una entidad jurídica distinta no queda vinculada automáticamente por pertenecer al mismo grupo o usar una marca común. Las entidades adicionales deben estar cubiertas por un acuerdo válido y las instrucciones necesarias.

2. Definiciones

Los términos definidos por la normativa conservan su significado legal. Las siguientes expresiones delimitan el DPA; una etiqueta contractual no puede alterar los papeles jurídicos reales.

• Contrato significa el pedido de suscripción, contrato de servicios y condiciones debidamente incorporadas y aceptadas que regulan el uso de MenuAI por el Cliente.
• Datos Personales del Cliente son los tratados por la Empresa por cuenta del Cliente dentro de los servicios contratados e instrucciones lícitas. No incluyen automáticamente todos los registros respecto de los cuales la Empresa actúe como responsable independiente.
• Responsable es quien determina fines y medios esenciales del tratamiento. Encargado es una persona u organización distinta que trata datos por cuenta de un responsable.
• Tratamiento incluye operaciones legales como recogida, registro, organización, conservación, recuperación, consulta, uso, transmisión, limitación, devolución y supresión.
• Interesado es una persona física identificada o identificable a la que se refieren los datos, incluidos visitantes u otras personas dentro del alcance acordado.
• Instrucciones documentadas son indicaciones lícitas registradas en el Contrato, DPA, ajustes acordados o comunicación escrita o electrónica atribuible a un representante autorizado del Cliente.
• Subencargado es otro encargado contratado por la Empresa para actividades específicas por cuenta del Cliente. Un responsable independiente o servicio contratado directamente por el Cliente no es automáticamente subencargado de la Empresa.
• Violación de seguridad de datos personales es una brecha que cause destrucción, pérdida, alteración, divulgación o acceso no autorizados de forma accidental o ilícita a datos tratados bajo el DPA.
• Normativa de protección de datos aplicable significa el RGPD y otras disposiciones vinculantes de la Unión o Estados miembros relevantes; los requisitos locales obligatorios adicionales se aplican cuando concurren sus condiciones.

3. Papeles y separación de finalidades

Para el tratamiento del anexo 1, el Cliente es responsable y la Empresa encargada. Si el Cliente actúa lícitamente como encargado de otro responsable, la Empresa será su subencargada; el Cliente obtendrá la autorización previa en esa cadena y transmitirá instrucciones lícitas. Ninguna parte puede desatender obligaciones frente a ese responsable.

Las actividades propias de la Empresa como responsable, como gestionar la suscripción y relación comercial, contabilidad o consultas propias, se rigen por la ley y Política de privacidad. Los registros de seguridad o uso se asignan según su fin real; no toda información de una interacción pertenece automáticamente a un papel.

La Empresa no utilizará los Datos Personales del Cliente para publicidad ajena, venta, reutilización entre establecimientos ni entrenamiento de modelos de propósito general. La información confiada sirve al establecimiento y visitante correspondientes dentro de instrucciones lícitas. Una licencia sobre el contenido o una declaración de mejora no amplía los fines.

El DPA no establece por sí solo corresponsabilidad. Si las partes determinan conjuntamente fines y medios esenciales, evaluarán y documentarán el acuerdo legal requerido. Un fin independiente no puede ocultarse en instrucciones al encargado ni imponerse cambiando un aviso de privacidad.

4. Instrucciones documentadas e indicaciones ilícitas

La Empresa tratará los datos solo conforme a instrucciones documentadas, incluidas transferencias a terceros países u organizaciones internacionales, salvo obligación distinta del Derecho de la Unión o Estado miembro aplicable. Informará antes del tratamiento, excepto si esa ley lo prohíbe por razones importantes de interés público.

Las instrucciones iniciales son prestar funciones contratadas, gestionar interacciones autorizadas y realizar operaciones del anexo 1 sujetas al DPA. Elegir una función solo autoriza el tratamiento razonablemente comprendido en el fin y alcance comunicados. No permite recoger datos adicionales sin límite, designar destinatarios ocultos o introducir nuevos fines.

Un representante autorizado puede enviar instrucciones adicionales por la cuenta o soporte acordados. Las partes registrarán cambios de alcance, seguridad, transferencias, conservación o cargos. Una petición obligatoria lícita no debe retrasarse solo por tener un formato distinto de un flujo opcional.

La Empresa informará inmediatamente si considera que una instrucción infringe el RGPD u otras disposiciones de la Unión o Estados miembros. Podrá suspenderla mientras se aclara, con la menor perturbación compatible con la ley y protección personal. No cumplirá conscientemente instrucciones ilícitas ni sustituirá silenciosamente el fin por otro propio ajeno.

Si una instrucción no puede ejecutarse en el servicio acordado, la Empresa explicará el problema y se considerará una alternativa lícita o modificación. Esto no elimina deberes ya aplicables por ley o DPA. El registro de instrucciones y cambios permanecerá disponible para demostrar la autoridad del tratamiento.

5. Responsabilidades y derechos del Cliente

El Cliente responde de la licitud de los fines, datos e instrucciones que determina. Establecerá bases jurídicas, informará a las personas, respetará consentimiento y acceso al dispositivo y mantendrá registros y políticas exigidos.

Limitará los datos a las funciones contratadas, mantendrá una exactitud razonable e instrucciones lícitas de conservación. Asignará acceso autorizado, actualizará contactos comerciales y de incidentes e informará pronto de compromisos de cuenta o errores de instrucciones que afecten a los datos.

Evaluará condiciones adicionales para categorías especiales, información infantil o usos de alto riesgo. La necesidad contractual no basta para una condición de categoría especial. La Empresa puede pedir aclaraciones o rechazar usos no acordados que no puedan prestarse lícitamente con garantías apropiadas.

El Cliente conserva derechos a dar instrucciones lícitas, recibir información para evaluar al encargado, objetar subencargados según el DPA, obtener asistencia y realizar auditorías lícitas. Asignarle deberes de responsable no elimina estos derechos ni las obligaciones propias de la Empresa como encargada.

6. Objeto, duración y límites

El objeto es el tratamiento para las funciones MenuAI contratadas para el establecimiento y relaciones con visitantes. El anexo 1 concreta naturaleza, fines y categorías de personas y datos. Los servicios habilitados e instrucciones lícitas acotan la descripción; no se exige recoger todas las categorías de cada visitante.

El tratamiento dura el servicio contratado y después solo para devolución, supresión o conservación lícita según el DPA. Terminar el acceso de pago no demuestra por sí solo que se borren todas las copias, y una instrucción pendiente no justifica conservar indefinidamente.

La Empresa no ampliará a un nuevo fin incompatible o categoría sustancialmente distinta porque disponga de almacenamiento. Los cambios sustanciales deben documentarse y evaluarse antes respecto de bases jurídicas, seguridad, garantías de transferencia y acuerdos adicionales necesarios.

Las instrucciones de anonimización definirán fin lícito y método apropiado. Quitar un identificador directo o sustituirlo por un código no es necesariamente anonimizar. Hasta ser realmente anónimos según la ley, los datos mantienen las protecciones y límites del DPA.

7. Confidencialidad y personal autorizado

La Empresa garantizará deberes adecuados contractuales o legales de confidencialidad del personal autorizado. Limitará el acceso a personas y fines necesarios para el servicio, protección del tratamiento u obligación lícita.

El personal recibirá instrucciones apropiadas sobre datos personales, credenciales e incidentes sospechosos. Los permisos se revisarán al cambiar responsabilidades y se retirarán cuando dejen de justificarse. La confidencialidad subsiste tras finalizar el acceso según su naturaleza y la ley.

Los datos no se divulgarán solo porque el destinatario sea socio de recomendaciones, posible cliente o solicite una demostración. Soporte y verificación no pedirán datos sensibles innecesarios ni usarán registros reales de visitantes para fines ajenos.

La confidencialidad también protege información no pública de cumplimiento y seguridad. No impide divulgación lícita a personas, auditores independientes, asesores o autoridades cuando la ley lo exija o permita con garantías. No puede ocultar brechas ni negar derechos obligatorios.

8. Obligaciones técnicas y organizativas de seguridad

La Empresa implementará y mantendrá medidas apropiadas conforme al artículo 32 RGPD. Tendrá en cuenta estado de la técnica, costes, naturaleza, alcance, contexto y fines y la probabilidad y gravedad de riesgos personales. El anexo 2 establece requisitos contractuales de control.

Las medidas cubrirán confidencialidad, integridad, disponibilidad y resiliencia, protección de transmisión y almacenamiento, recuperación del acceso tras incidentes y evaluación periódica de eficacia. Cifrado y seudonimización se usarán según el riesgo, sin garantía general de una implementación concreta para todos los datos y contextos.

Antes de confiar el tratamiento, el Cliente recibirá información razonablemente necesaria para evaluar garantías y requisitos específicos acordados. Las pruebas detalladas pueden darse confidencialmente por canal protegido. Una descripción general no es un certificado, opinión de auditoría independiente ni garantía contra cualquier incidente imaginable.

La Empresa podrá actualizar medidas según riesgos y cambios sin reducir sustancialmente la protección acordada. Comunicará cambios importantes para la evaluación conforme al Contrato y ley. El Cliente responde de dispositivos, accesos y otras garantías bajo su control.

9. Autorización general escrita de subencargados

Sujeto a esta sección y al procedimiento de cambios, el Cliente autoriza generalmente por escrito a los subencargados identificados en el registro confidencial vigente entregado antes del tratamiento correspondiente. El registro integra el anexo 3. La autorización nace de la aceptación válida del DPA con esa información disponible; no aprueba proveedores no divulgados.

El registro identificará entidad, tarea, lugares de tratamiento incluidos accesos remotos y mecanismo de transferencia cuando se requiera. La Empresa dará información suficiente para evaluar. Una categoría genérica como proveedor no sustituye la identidad exigida para autorizar un subencargado.

Antes del acceso, la Empresa evaluará garantías suficientes e impondrá por escrito las mismas obligaciones pertinentes del DPA, incluida seguridad, confidencialidad, asistencia, supresión y auditoría. Sigue respondiendo plenamente ante el Cliente por su cumplimiento conforme al artículo 28(4) RGPD.

El registro podrá entregarse por canal empresarial protegido en vez de publicarse con el DPA. La confidencialidad comercial no elimina el derecho del Cliente a conocerlo, los derechos legales de personas ni las facultades de autoridades. La Empresa garantizará autorizaciones y deberes equivalentes en la subcontratación posterior.

10. Cambios, notificación y objeciones sobre subencargados

La Empresa notificará activamente por escrito incorporaciones o sustituciones al menos 30 días naturales antes del nuevo tratamiento propuesto. Identificará entidad, tarea, lugares, fecha y garantías para una evaluación significativa. Cambiar sin aviso un registro no satisface esta obligación.

El Cliente podrá objetar durante el plazo por razones razonables de protección de datos, explicándolas suficientemente. Las partes cooperarán de buena fe mediante garantías o alternativas viables. La Empresa no iniciará el tratamiento controvertido para ese Cliente hasta resolver la objeción por acuerdo u otra solución lícita.

Sin solución lícita satisfactoria, se abordará el servicio afectado, incluida suspensión o terminación si procede, y se liquidarán anticipos y consecuencias conforme al Contrato y ley imperativa. No se forzará al Cliente a aceptar transferencias ilícitas o encargados ocultos para recuperar o suprimir sus datos.

Con autorización general escrita y sin objeción dentro del plazo notificado, podrá proceder la contratación dentro de esa autorización y demás requisitos legales. No es consentimiento del interesado ni renuncia a preocupaciones jurídicas posteriores fundamentadas. Un inicio anticipado necesita autorización escrita específica u otra obligación vinculante que lo permita lícitamente; la urgencia no elimina silenciosamente la regla de 30 días.

El Cliente mantendrá un contacto vigente para estos avisos. La Empresa conservará notificación, autorización, objeciones y resolución, y facilitará el registro vigente a petición.

11. Ubicaciones y transferencias internacionales

La Empresa tratará en ubicaciones documentadas para el servicio y subencargados autorizados. Debe considerarse el acceso desde otro país; indicar solo el almacenamiento no evalúa completamente una transferencia. El DPA no promete que todo tratamiento o acceso se limite al Espacio Económico Europeo.

Una transferencia sujeta al capítulo V RGPD solo tendrá lugar por instrucciones lícitas documentadas y una base aplicable. Puede ser una decisión de adecuación o garantías apropiadas, incluidas las cláusulas contractuales tipo correctas de la Comisión Europea, con evaluación y medidas complementarias requeridas.

Si se necesitan cláusulas tipo o un instrumento local adicional, deberán completarse partes, módulo, anexos y garantías e incorporarse válidamente antes. Publicar el DPA no ejecuta por sí solo todos los instrumentos, constituye una evaluación de impacto de transferencia ni autoriza excepciones generales.

La Empresa aportará información razonablemente necesaria para la evaluación del Cliente e informará de cambios legales o circunstancias del destinatario que impidan cumplir garantías. La transferencia se suspenderá o corregirá cuando lo exija la ley; la autorización general de subencargados no prevalece sobre ello.

Las cláusulas obligatorias de transferencia prevalecen en caso de conflicto. La información puede proporcionarse por canal protegido con ocultaciones lícitas, pero sin impedir evaluar la transferencia real o ejercer un derecho obligatorio.

12. Asistencia en los derechos de las personas

Atendiendo a la naturaleza del tratamiento, la Empresa ayudará mediante medidas técnicas y organizativas apropiadas, en lo posible, a responder solicitudes del capítulo III RGPD. Incluye localizar, acceder, rectificar, limitar, devolver o suprimir datos y facilitar portabilidad cuando proceda legalmente.

Las solicitudes recibidas sobre el tratamiento por cuenta del Cliente se remitirán sin dilación indebida, sin decidir la respuesta sustantiva por él salvo instrucciones documentadas o ley. La parte relativa a su actividad independiente como responsable se atenderá según deberes propios.

El Cliente evalúa solicitudes, verifica autoridad cuando proceda e instruye respuestas lícitas. La Empresa comunicará limitaciones y aportará información disponible a tiempo para apoyar la respuesta legal. La cooperación no prorroga automáticamente los plazos.

Verificación y respuesta protegerán al interesado y a terceros. Se evitarán pruebas de identidad innecesarias, expedientes completos a solicitantes no verificados y entender cualquier supresión como permiso para eliminar registros ajenos. La parte responsable explicará denegaciones lícitas, excepciones de conservación o restricciones conforme a la ley.

13. Violaciones de datos y cooperación en incidentes

La Empresa avisará sin dilación indebida al conocer una violación que afecte a los datos del Cliente. El aviso inicial irá al contacto empresarial o de incidentes y a un canal urgente adicional acordado si existe. No esperará a completar la investigación para dar información disponible.

El aviso describirá, hasta donde se sepa, naturaleza, categorías y cifras aproximadas de personas y registros, consecuencias probables, medidas de contención y corrección tomadas o propuestas y contacto de seguimiento. Los detalles faltantes se aportarán por fases sin demoras indebidas, distinguiendo hechos acreditados y cuestiones investigadas.

La Empresa adoptará medidas razonables de contención, protección y preservación de pruebas y cooperará en evaluación, avisos obligatorios y remedios. Mantendrá un registro apropiado e informará de novedades. La cooperación no expondrá innecesariamente datos de otros clientes ni comprometerá una investigación lícita.

El Cliente conserva las decisiones de responsable sobre notificar a autoridades o personas salvo deber directo de la Empresa. El plazo del responsable, incluido el marco aplicable de 72 horas del RGPD, no permite al encargado retrasar su propio aviso ese tiempo. No se presume un nivel de servicio de incidentes con horas fijas no acordado.

La Empresa no publicará avisos por el Cliente sin autorización salvo exigencia legal. Notificar o cooperar no es por sí solo admitir responsabilidad; esto no elimina deberes legales ni remedios de afectados. Pueden comunicarse sospechas a team@menuai.pro sin credenciales ni material sensible innecesario.

14. Evaluaciones de seguridad, impacto y consulta

Según la naturaleza del tratamiento e información disponible, la Empresa ayudará a cumplir los artículos 32 a 36 RGPD. Incluye información sobre tratamiento, garantías, riesgos, incidentes, subencargados y transferencias para evaluar.

Si el Cliente debe evaluar impacto o consultar una autoridad, identificará la actividad y concretará razonablemente la información requerida. La Empresa aportará información disponible y cooperará apropiadamente sin asumir decisiones del Cliente ni certificar todo uso empresarial propuesto.

Un alto riesgo no resuelto detectado deberá abordarse con medidas y consultas legalmente necesarias antes de la actividad. Un ajuste o DPA firmado no sustituye la evaluación. La Empresa comunicará limitaciones sustanciales de apoyo en vez de dar garantías infundadas.

La asistencia se organizará por contacto empresarial con confidencialidad y urgencia suficientes para el deber legal. Los cargos separados seguirán la sección de costes y no frustrarán la cooperación obligatoria.

15. Información, auditorías e inspecciones

La Empresa facilitará toda información necesaria para demostrar obligaciones del artículo 28 y permitirá y contribuirá a auditorías, incluidas inspecciones, del Cliente o auditor designado. Las pruebas pueden incluir políticas, registros, controles, respuestas e informes independientes cuando existan realmente.

Primero se considerará si documentación apropiada responde a la petición. Es un comienzo práctico, no sustituye inspecciones razonablemente necesarias o legales. El DPA no afirma certificaciones concretas, impone aceptar informes inexistentes ni limita universalmente a una auditoría anual.

Para inspecciones previstas se acordarán aviso, alcance, momento, confidencialidad y protección razonables que reduzcan molestias evitables. Incidentes urgentes, exigencias de autoridades o pruebas de incumplimiento material pueden justificar menos aviso u otra revisión. La programación no obstaculizará obligaciones legales urgentes.

El auditor será independiente, respetará confidencialidad y accederá solo a lo pertinente. Proteger otros clientes, credenciales y material propietario ajeno puede exigir acceso controlado u ocultaciones, sin impedir examinar efectivamente obligaciones. Ninguna cláusula autoriza pruebas intrusivas sin método seguro acordado.

La Empresa atenderá hallazgos fundamentados sobre sus obligaciones y documentará medidas correctoras proporcionadas. Auditorías y cargos no eliminarán facultades regulatorias, derechos individuales ni información de cumplimiento necesaria.

16. Autoridades y divulgación legalmente obligatoria

La Empresa cooperará con autoridades competentes según la ley. Ante una petición vinculante de datos del Cliente evaluará base y alcance, divulgará solo lo exigido e informará al Cliente cuando y donde esté permitido.

Si la petición parece ilícita o desproporcionada, considerará recursos y protección lícitos según las circunstancias. No promete desobedecer órdenes vinculantes ni garantizar que ninguna autoridad solicite acceso.

Las prohibiciones legales de avisar se respetarán solo en su alcance aplicable. Se conservará registro apropiado y se informará después cuando sea permitido y exigido. Acceso gubernamental y transferencias del capítulo V también respetarán cláusulas vinculantes.

Ninguna parte usará la confidencialidad para impedir reclamaciones lícitas, transparencia obligatoria o investigaciones. El Cliente también limitará la divulgación de pruebas no públicas de la Empresa al fin lícito y las protegerá cuando corresponda.

17. Devolución, supresión y conservación lícita

A elección del Cliente, la Empresa devolverá o suprimirá los datos al terminar los servicios y eliminará copias existentes salvo conservación exigida por Derecho de la Unión o Estado miembro. Si es viable, la elección se comunicará antes del fin del acceso. Ante instrucciones ausentes o incoherentes pedirá aclaración, no presumirá permiso ilimitado para conservar.

Se registrarán alcance, formato común apropiado cuando esté razonablemente disponible, entrega protegida y calendario adecuado al servicio e instrucciones. Se cumplirá sin dilación indebida; las dificultades operativas se explicarán y no crearán excepciones indefinidas. No se promete una herramienta de autoexportación no verificada ni un plazo universal de recuperación.

Cerrar la cuenta o eliminar información de una interfaz no demuestra supresión completa. La Empresa atenderá datos activos y copias dentro del proceso lícito acordado y confirmará su conclusión a petición, indicando excepciones legales restantes.

Si una copia protegida de recuperación no puede modificarse individualmente de inmediato, explicará el ciclo de conservación y supresión, limitará su uso a recuperación necesaria o fines legales y reaplicará supresión o restricción al restaurar. Esto no anula borrar copias ni justifica conservar más de lo necesario.

Los datos legalmente conservados permanecerán protegidos y se tratarán solo para ese fin. Se identificarán requisito y plazo o criterios hasta donde se permita. Los registros contables propios de la Empresa como responsable se distinguirán de datos guardados solo por cuenta del Cliente.

18. Suspensión y terminación del tratamiento afectado

Si una parte no puede cumplir, informará sin dilación indebida a la otra en lo permitido por ley. El tratamiento afectado se suspenderá cuando sea necesario para evitar ilicitud o proteger personas mientras se considera una solución conforme.

Incumplimientos materiales no resueltos, instrucciones ilícitas o falta de garantías necesarias pueden justificar terminar tratamiento o servicio según Contrato y ley. Se abordarán hechos, avisos y oportunidad de subsanar cuando proceda. Un desacuerdo sobre alcance comercial opcional no eludirá obligaciones de protección de datos.

Terminar o restringir el servicio no cancela automáticamente confidencialidad, incidentes, asistencia ni devolución y supresión. La Empresa protegerá datos aún conservados lícitamente y no retendrá respuestas o devoluciones obligatorias solo para forzar nuevos encargados o condiciones ajenas.

Las consecuencias económicas siguen el Contrato y ley sin eliminar reembolsos u otros remedios ya debidos. La terminación no autoriza nuevos fines independientes para los datos del Cliente.

19. Costes de asistencia y responsabilidad

Cada parte responde de deberes legales y del DPA. La asignación comercial de responsabilidad solo opera si es lícita y compatible con requisitos vinculantes y cláusulas de transferencia. No nace indemnidad automática para la Empresa por su propia culpa.

Ningún límite contractual restringe derechos irrenunciables, facultades supervisoras o responsabilidad que la ley prohíba limitar. Las reglas legales de compensación o repetición entre responsables siguen sus condiciones. Aceptar un subencargado no elimina la responsabilidad de la Empresa del artículo 28(4).

La asistencia ordinaria e información de cumplimiento debidas no pueden hacerse ilusorias mediante tarifas ocultas. Para trabajo extra fuera de deberes ya incluidos, se explicarán y aceptarán alcance y coste previamente. Discutir costes no retrasará avisos urgentes ni impedirá derechos legales.

Cada parte cooperará razonablemente y reducirá daños lícitamente. Ninguna cláusula exige doble reparación del mismo daño, garantiza el éxito de toda reclamación ni elimina defensas preservadas por ley imperativa.

20. Prioridad de documentos y ley aplicable

En su objeto específico de tratamiento por cuenta del Cliente, el DPA prevalece sobre disposiciones generales contradictorias. Cláusulas tipo vinculantes y derecho imperativo prevalecen según sus términos y la ley. El marketing o etiquetas unilaterales de cuenta no anulan estas obligaciones.

El DPA se rige por el Derecho de la República Checa, sujeto a normas de conflicto e imperativas. Los tribunales competentes de Praga conocerán disputas contractuales cuando la jurisdicción acordada sea válida y permitida.

Esto no restringe reclamaciones o vías judiciales individuales, competencia supervisora o foro obligatorio de instrumentos de transferencia. Las partes pueden intentar resolver por escrito sin convertirlo en barrera a protección urgente o plazos legales.

Los efectos de invalidez o inaplicabilidad sobre el resto del DPA se determinan legalmente. Una cláusula amplia de confidencialidad o limitación no elimina deberes obligatorios de tratamiento.

21. Cambios y cumplimiento continuo

Los cambios se documentarán mediante proceso contractual válido y se facilitarán al Cliente. Una versión pública nueva no autoriza retrospectivamente tratamientos ni elimina instrucciones ni modifica un DPA aceptado por el mero uso continuado.

Actualizar garantías o cumplir requisitos vinculantes respetará protección y avisos o aceptación aplicables. Los cambios de subencargados siguen el procedimiento específico de 30 días naturales; publicar el DPA revisado no sustituye el aviso.

Las partes mantendrán razonablemente actualizados descripción, contactos, instrucciones, ubicaciones y registro confidencial. Ampliar a nuevas actividades de alto riesgo se evaluará y documentará antes, no se presumirá cubierto por una descripción amplia de servicios.

Deberes sobre datos retenidos, confidencialidad, asistencia, pruebas de auditoría y devolución o supresión subsisten mientras sean aplicables. No ejercer un derecho inmediatamente no supone renunciar a un deber obligatorio.

22. Contactos y versiones lingüísticas

Envíe consultas DPA, instrucciones documentadas, incidentes y solicitudes del registro confidencial a team@menuai.pro. La Empresa es World Travel Club s.r.o., IČO 07214073, Ostrčilovo náměstí 462/4, Nusle, 128 00 Praha 2, República Checa. No se ha nombrado delegado de protección de datos separado; este contacto atiende la correspondencia.

Contactos autorizados y canales de incidentes del Cliente son los del Contrato o instrucciones válidas posteriores. Las partes actualizarán sus datos y usarán canales adecuados a urgencia y sensibilidad. Instrucciones y pruebas confidenciales pueden requerir verificación proporcionada de autoridad.

Las versiones inglesa y ucraniana pretenden expresar derechos y deberes equivalentes. No se introduce prioridad lingüística superior. Las diferencias se resolverán según reglas interpretativas sin restringir derechos imperativos.

La disponibilidad pública no exige publicar detalles propietarios de implementación. Se facilitarán, no obstante, pruebas necesarias e información de destinatarios a quienes tengan derecho por vías lícitas. La confidencialidad comercial no es excepción general a transparencia, autorización o auditoría.

Anexo 1. Descripción del tratamiento encomendado

Objeto y fin: funciones MenuAI contratadas para el establecimiento, incluidas interacciones de visitantes, pedidos, reservas, eventos, entrega y fidelización cuando estén incluidos. Sirve al establecimiento y visitante según instrucciones lícitas, sin fin independiente de entrenamiento entre establecimientos o publicidad.

Naturaleza y operaciones: recogida mediante la función; registro, organización, almacenamiento, consulta y visualización autorizada; atención de instrucciones o peticiones; comunicación necesaria a destinatarios autorizados; rectificación, limitación, devolución y supresión. Operaciones y divulgaciones permanecerán en el servicio habilitado.

Duración y frecuencia: durante el servicio contratado al aportar datos y usar funciones, seguido solo de devolución, supresión o conservación restringida legal del apartado 17. Las instrucciones lícitas y calendarios específicos se documentan en el registro aplicable.

Las categorías siguientes solo operan si el Cliente realmente aporta datos o instruye su tratamiento para una función contratada. No obligan a recogerlo todo ni a exigir cuentas a todos los visitantes.

• Personas: visitantes y clientes del establecimiento; quienes reservan o participan en reservas, eventos o entregas; personas representadas en reservas autorizadas; personal y contactos empresariales en registros operativos del Cliente. La administración propia de cuentas de la Empresa es distinta.
• Identificación y contacto: nombres, datos de contacto, referencias de visitantes o clientes del establecimiento e información para comunicar sobre servicios solicitados. Dirección postal o de entrega solo si es necesaria.
• Pedidos y transacciones: artículos, cantidades, importes, estado, detalles de reservas o eventos, instrucciones de entrega y referencias de pago o transacción facilitadas autorizadamente. No se instruye almacenar números completos de tarjeta ni códigos de seguridad en campos ordinarios.
• Relaciones y preferencias: visitas o fidelización del establecimiento, puntos o recompensas, idioma, comentarios, preferencias declaradas y fecha de nacimiento o cumpleaños lícitamente aportados para fines habilitados. Datos opcionales sujetos a minimización y bases legales del Cliente.
• Información técnica del servicio: identificadores, registros de acceso o actividad y comunicaciones para prestar, proteger o apoyar la función, solo cuando la Empresa los trate por cuenta del Cliente. Fines propios requieren evaluar el papel por separado.
• Posibles categorías especiales: alergias, dieta y texto libre pueden revelar salud, religión u otras características protegidas. Solo se tratarán con base del artículo 6 y condición aplicable del artículo 9 establecidas por el Cliente, instrucciones lícitas y garantías. No se autoriza información sensible ajena ni datos de condenas penales de forma general.

Para categorías especiales o datos infantiles se minimizarán campos y texto libre, limitará acceso según necesidad, evitarán divulgaciones innecesarias, aplicará conservación adecuada y facilitarán corrección o supresión. El Cliente identificará protección adicional antes; la Empresa no aceptará riesgos altos sin respaldo solo porque un campo admita el texto.

Anexo 2. Controles de seguridad exigidos

Son requisitos contractuales para el tratamiento cubierto, aplicados según el riesgo documentado. Describen resultados de protección y deberes sin revelar implementación propietaria. No acreditan la existencia de una certificación, auditoría independiente, plazo de recuperación o implementación concreta. El Cliente tiene derecho a información para evaluar antes de confiar datos.

• Gobierno y confidencialidad: asignar responsabilidades de datos y seguridad, dar instrucciones apropiadas, obligar a confidencialidad y revisar accesos y necesidades de concienciación.
• Control de acceso: identificar usuarios autorizados, proteger autenticación y recuperación de credenciales, conceder permisos por rol y tarea y retirarlos al dejar de justificarse. Los privilegios necesitan protección proporcional al impacto.
• Separación de clientes: limitar acceso al contexto autorizado del Cliente y establecimiento, evitando acceso ordinario a datos ajenos. Soporte y administración requieren fin autorizado y supervisión.
• Transmisión y almacenamiento: proteger frente a accesos o cambios no autorizados mediante garantías según riesgo, incluido cifrado cuando proceda, y evitar divulgación de credenciales u otro material sensible de seguridad.
• Minimización y manejo: limitar recogida, copias, divulgación y conservación al fin instruido; evitar datos innecesarios en diagnósticos y proteger información de soporte o verificación.
• Integridad operativa: gestionar configuración y cambios, corregir vulnerabilidades con urgencia según riesgo y evaluar cambios importantes para la protección acordada. No usar registros del Cliente en pruebas o demostraciones ajenas.
• Evidencia y detección: guardar pruebas proporcionadas de accesos de seguridad y acciones importantes para detectar, investigar y demostrar cumplimiento, limitando acceso y evitando contenido sensible innecesario.
• Disponibilidad y recuperación: mantener medidas según servicio y riesgo para resiliencia, copias protegidas necesarias y restauración de disponibilidad y acceso tras incidentes. Se evaluarán y probarán periódicamente; no se crea una meta numérica no acordada.
• Respuesta a incidentes: habilitar comunicación de preocupaciones, evaluar sospechas, contener brechas, preservar pruebas y avisar y ayudar según el apartado 13. El informe final no es requisito del aviso inicial.
• Conservación y eliminación: aplicar instrucciones lícitas de limitación, devolución y supresión, controlar copias residuales y evitar que restaurar eluda supresiones o restricciones válidas. La eliminación abarcará copias, no solo etiquetas visibles de cuenta.
• Supervisión de proveedores: evaluar subencargados, imponer deberes equivalentes, mantener autorizaciones y ubicaciones y evaluar cambios o transferencias antes del nuevo tratamiento.
• Revisión y pruebas: evaluar periódicamente la eficacia de controles, documentar hallazgos importantes y correcciones y facilitar información y auditoría del DPA. Toda certificación debe respaldarse con certificado vigente aplicable, no inferirse de estos requisitos.

Las medidas específicas, hallazgos de riesgo o garantías adicionales se documentarán en el registro protegido antes de confiar la actividad. Si no puede cumplirse un requisito, se resolverá o no se tratará; un resumen público de seguridad no subsana la carencia.

Anexo 3. Registro específico del Cliente y lista confidencial

El pedido y registro escrito o electrónico atribuible identificarán al Cliente, servicio, fecha de aceptación, contactos e instrucciones del DPA. El registro vigente estará disponible a ambas partes; no se completa viendo este documento público.

Antes de autorizar un subencargado, la Empresa facilitará el registro vigente por canal protegido. Identificará entidad, tarea o servicio, ubicaciones de tratamiento y acceso, garantías de transferencia y versión o fecha. Vinculará la autorización y límites específicos a la versión pertinente.

Incluirá especificaciones acordadas necesarias de categorías, protección especial, devolución o supresión y pruebas de control. Solo se incluyen funciones contratadas e instrucciones lícitas. Las partes resolverán carencias materiales antes de confiar el tratamiento.

Para cambios se conservarán aviso escrito, inicio propuesto, objeción y resolución y registro actualizado. La notificación seguirá el apartado 10, no dependerá de descubrir periódicamente una lista modificada.

La lista detallada y pruebas de seguridad no necesitan publicarse, pero se darán al Cliente y destinatarios legitimados por ley con protección apropiada. La confidencialidad podrá salvaguardarlas, no impedir información legalmente debida a personas o autoridades.