Contrato de encargo del tratamiento

Última actualización: octubre de 2026

Este contrato forma parte de las condiciones del servicio GoodReserva. Se entiende aceptado cuando el restaurante se da de alta o empieza a usar el servicio. Regula cómo trata ACV MULTIMEDIA SL los datos personales de los comensales por cuenta del restaurante, según el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Partes

  • Responsable del tratamiento: el restaurante (o la empresa que lo explota) que contrata GoodReserva, con los datos que constan en su cuenta.
  • Encargado del tratamiento: ACV MULTIMEDIA SL, CIF B44703676, Plaza Domingo Unanue 3, bajo, 20240 Ordizia (Gipuzkoa). Contacto: hola@goodreserva.com.

2. Objeto, naturaleza y finalidad

El encargado presta al responsable un servicio de reservas online. Incluye:

  • Recibir y guardar las reservas hechas desde la web del restaurante o introducidas por su personal.
  • Mostrarlas en el panel.
  • Enviar a los comensales los emails de confirmación, modificación, cancelación y recordatorio.
  • Permitir a cada comensal gestionar su reserva con un enlace personal.

Los datos se tratan solo para esta finalidad.

3. Datos y personas afectadas

  • Comensales:
    • nombre, email y teléfono
    • idioma
    • fecha, hora, número de personas y zona de la reserva
    • notas que escriba el comensal
    • estado de la reserva e historial de cambios
  • Personal del restaurante: nombre, email y registro de acciones en el panel.

Las notas del comensal pueden incluir información sobre alergias o intolerancias alimentarias, que es un dato de salud. El encargado solo la trata para que el restaurante pueda atender la reserva. El responsable se compromete a no pedir por este canal más datos de salud de los necesarios.

4. Duración

Este contrato dura lo mismo que el servicio. Al terminar, se aplica lo previsto en el punto 9.

5. Obligaciones del encargado

ACV MULTIMEDIA SL se compromete a:

  1. Instrucciones. Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato y la configuración que el restaurante hace en el panel. No los usará para fines propios ni los comunicará a terceros, salvo a los subencargados del punto 6 o por obligación legal. Si una instrucción le parece contraria a la ley, avisará al responsable.
  2. Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
  3. Seguridad. Aplicar las medidas del artículo 32 del RGPD, entre ellas:
    • cifrado en tránsito
    • separación de datos por restaurante
    • acceso al panel sin contraseñas, con enlace de un solo uso
    • permisos por rol
    • copias de seguridad
    • registro de accesos
    • borrado automático de los datos personales de las reservas a los 24 meses
  4. Derechos de los comensales. Ayudar al responsable a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un comensal se dirige al encargado, este pasará la petición al responsable sin demora.
  5. Brechas de seguridad. Avisar al responsable sin dilación indebida, y como máximo en 48 horas desde que tenga conocimiento, de cualquier brecha que afecte a sus datos, con la información disponible para que el responsable pueda notificarla si procede.
  6. Colaboración. Ayudar al responsable, cuando lo necesite, con evaluaciones de impacto y consultas a la autoridad de control.
  7. Demostrar el cumplimiento. Poner a disposición del responsable la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, con preaviso y sin afectar a la seguridad de otros clientes.
  8. Registro de actividades. Llevar el registro de actividades de tratamiento que exige el artículo 30.2 del RGPD.

6. Subencargados

El responsable autoriza de forma general al encargado a recurrir a estos subencargados:

Subencargado Servicio Ubicación y garantías
Cloudflare, Inc. Alojamiento, base de datos, protección anti-bots UE y EE. UU.; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Resend (Plus Five Five, Inc.) Envío de emails a comensales y restaurantes EE. UU.; cláusulas contractuales tipo

El encargado impone a cada subencargado las mismas obligaciones de protección de datos. Si quiere añadir o cambiar uno, lo avisará por email con 30 días de antelación. Si el responsable se opone por motivos razonables y no hay acuerdo, podrá dar de baja el servicio sin penalización.

7. Obligaciones del responsable

El restaurante se compromete a:

  • Informar a los comensales del tratamiento, por ejemplo con un enlace a su política de privacidad junto al widget.
  • Tener una base legal para tratar sus datos.
  • Usar el servicio conforme a la ley.
  • Custodiar el acceso a su panel y dar de baja a las personas que dejen de trabajar en el restaurante.

8. Transferencias internacionales

Las transferencias fuera del Espacio Económico Europeo que impliquen los subencargados del punto 6 se amparan en las garantías indicadas en esa tabla.

9. Fin del servicio

Al terminar el servicio, el restaurante puede descargar sus reservas desde el panel. Pasados 90 días desde la baja, el encargado suprime los datos personales, incluidas las copias, salvo que una ley obligue a conservarlos. En ese caso, los mantiene bloqueados durante el plazo legal.

10. Ley aplicable

Este contrato se rige por la ley española y por la normativa europea de protección de datos.

Volver a la portada