Acuerdo de encargo del tratamiento

[to confirm: borrador] Borrador del 23 de octubre de 2026, redactado conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD). Antes de su publicación se completarán los puntos marcados con [to confirm] y un jurista revisará el texto. La versión neerlandesa (verwerkersovereenkomst) prevalece; esta traducción se ofrece solo a título informativo.

1. Partes y ámbito de aplicación

1. Este acuerdo se celebra entre usted, el cliente empresarial de Mealbooks (responsable del tratamiento), y Sevenhills Software, empresa individual (eenmanszaak) de Subhashini Sivasubramani, Saturnus 16, 1188 EC Amstelveen, Países Bajos, KVK 42162009 (encargado del tratamiento, «nosotros»).
2. Forma parte del contrato relativo a Mealbooks (condiciones generales de uso). Usted lo acepta junto con las condiciones al registrarse, marcando la casilla del formulario de registro; registramos cuándo y qué versión.
3. Se aplica a los datos personales que usted lleva en Mealbooks sobre otras personas. Respecto de los datos sobre usted como cliente nuestro, nosotros mismos somos el responsable del tratamiento; véase la política de privacidad. Si este acuerdo y las condiciones generales de uso se contradicen en materia de protección de datos, prevalece este acuerdo.

2. Objeto, naturaleza, finalidad y duración

1. Tratamos datos personales por cuenta de usted únicamente para prestarle Mealbooks: almacenarlos, mostrarlos a sus usuarios, generar facturas, facturas rectificativas, PDF, archivos de factura electrónica e impresiones, enviar los correos electrónicos que usted hace enviar a Mealbooks (como confirmaciones de pedidos y recordatorios de pago), buscar direcciones de entrega si utiliza las Rutas de reparto (Route Planning), las copias de seguridad y el soporte que usted solicite.
2. Este acuerdo dura mientras usted utilice Mealbooks y termina en cuanto se hayan eliminado todos los datos personales que tratamos para usted (artículo 10).

3. Interesados y datos personales

Mealbooks no está pensado para categorías especiales de datos personales (artículo 9 del RGPD), como los datos sobre la salud de una persona. Usted no los introduce; los alérgenos se registran por plato, no por persona.

4. Sus instrucciones

1. Tratamos los datos únicamente siguiendo sus instrucciones documentadas: este acuerdo, las condiciones generales de uso, el uso de Mealbooks tal como usted lo ha configurado y lo que nos pida por escrito. Esto incluye las transferencias a un tercer país (artículo 7).
2. No utilizamos los datos para fines propios. Si, a nuestro juicio, una instrucción infringe el RGPD u otra normativa de protección de datos, se lo comunicamos inmediatamente.
3. Sin instrucción suya, solo tratamos datos cuando lo exija el Derecho de la Unión o el neerlandés; en ese caso se lo comunicamos previamente, salvo que ese Derecho lo prohíba.

5. Confidencialidad

Toda persona que tenga acceso a los datos por cuenta nuestra está sujeta a un deber de confidencialidad. Actualmente, solo la persona titular de Sevenhills Software. Solo consultamos sus datos cuando es necesario para el soporte que usted solicite, por seguridad o porque la ley lo exige.

6. Seguridad (artículo 32 del RGPD)

Adoptamos medidas técnicas y organizativas apropiadas, entre ellas:

• cada empresa ve solo sus propios datos; acceso solo tras iniciar sesión; contraseñas guardadas solo como hash irreversible;
• bloqueo de una cuenta tras 5 contraseñas incorrectas, inicio de sesión en dos pasos opcional con un código por correo electrónico, límites al número de solicitudes;
• conexiones cifradas (HTTPS) y alojamiento en la UE o el EEE;
• una copia de seguridad cada noche, borrada en un plazo de 30 días;
• fotos subidas reducidas y sin los datos ocultos (como la ubicación);
• un registro encadenado por empresa de cada factura emitida, factura rectificativa, pago y anulación de pago y de los cierres mensuales y anuales: cada entrada contiene una huella SHA-256 de la anterior, de modo que un cambio o una eliminación posterior se detecta al verificar la cadena; las facturas emitidas, las facturas rectificativas y los pagos no se modifican ni se eliminan después;
• registro de los eventos de seguridad, y los cambios en el software se prueban antes de ponerse en producción.

Revisamos estas medidas periódicamente y podemos modificarlas, siempre que el nivel de seguridad no disminuya.

7. Subencargados y transferencias

1. Usted otorga una autorización general por escrito para estos subencargados:

2. Mollie gestiona el pago de su propia suscripción como responsable del tratamiento independiente y no recibe ningún dato de sus clientes.
3. Le avisamos por correo electrónico al menos 30 días antes de añadir o sustituir un subencargado. Dentro de ese plazo puede oponerse de forma motivada; si no podemos resolver la objeción, puede poner fin al contrato antes del cambio sin coste alguno.
4. Imponemos contractualmente a cada subencargado las mismas obligaciones de protección de datos. Seguimos siendo plenamente responsables frente a usted de su cumplimiento (artículo 28, apartado 4, del RGPD).
5. Los datos personales solo se transfieren fuera del Espacio Económico Europeo con una garantía del capítulo V del RGPD (como una decisión de adecuación o cláusulas contractuales tipo).

8. Asistencia

1. Solicitudes de los interesados: la mayoría de los datos puede consultarlos, corregirlos, exportarlos (CSV) y eliminarlos usted mismo en Mealbooks. Cuando no sea posible, le ayudamos en un plazo razonable. Si recibimos directamente una solicitud, se la remitimos sin responderla nosotros. Las facturas emitidas, las facturas rectificativas y los pagos no pueden modificarse ni eliminarse en Mealbooks, y su registro encadenado (artículo 6) se conserva mientras exista su cuenta; el derecho de supresión no se aplica a los datos que usted debe conservar por ley (artículo 17, apartado 3, letra b, del RGPD).
2. Teniendo en cuenta la información de que disponemos, le ayudamos con la seguridad, las evaluaciones de impacto relativas a la protección de datos y la consulta previa a una autoridad de control (artículos 32 a 36 del RGPD), y cooperamos con la autoridad de control.
3. Llevamos un registro de las actividades de tratamiento que realizamos para nuestros clientes (artículo 30, apartado 2, del RGPD).

9. Violaciones de la seguridad de los datos personales

1. Si descubrimos una violación de la seguridad de los datos personales que afecte a sus datos, se lo notificamos sin dilación indebida y, a más tardar, en un plazo de 48 horas desde su descubrimiento, por correo electrónico a la dirección de su cuenta.
2. Le comunicamos lo que sabemos y lo completamos a medida que sepamos más: qué ha ocurrido, qué categorías y qué número aproximado de interesados y de registros pueden verse afectados, las consecuencias probables y lo que hemos hecho y seguimos haciendo.
3. Usted decide si notifica la violación a la autoridad de control (en un plazo de 72 horas, artículo 33 del RGPD) y a los interesados; le ayudamos en ello. Documentamos toda violación.

10. Fin del acuerdo: devolución y supresión

1. Cuando su cuenta esté desactivada, puede descargar todos los datos de su empresa con Descargar mis datos durante al menos 30 días (como máximo 50) antes de que se eliminen; así le devolvemos los datos.
2. Transcurrido ese plazo, eliminamos todos los datos personales que tratamos para usted, y las copias de seguridad se sobrescriben en un plazo de 30 días. Solo conservamos datos cuando lo exija el Derecho de la Unión o el neerlandés; los datos sobre sus clientes no están entre ellos.
3. A petición, confirmamos la supresión por escrito.

11. Información y auditorías

1. Le facilitamos toda la información necesaria para demostrar que cumplimos el artículo 28 del RGPD y este acuerdo.
2. Puede encargar una auditoría a un experto independiente sujeto a un deber de confidencialidad, como máximo una vez al año, con un preaviso de al menos 30 días, en horario laboral y sin acceso a datos de otros clientes. Los costes corren de su cuenta, salvo que la auditoría demuestre que hemos incumplido gravemente este acuerdo.

12. Responsabilidad y otras disposiciones

1. Las limitaciones de responsabilidad de las condiciones generales de uso se aplican también a este acuerdo, salvo cuando el artículo 82 del RGPD u otra norma imperativa no lo permita. No limitan los derechos de los interesados.
2. Se aplica el Derecho neerlandés; los litigios se someten al tribunal indicado en las condiciones generales de uso.

Versión 2026-10-26 (borrador).