1. Qué es este anexo y cómo se acepta
- Para qué sirve: este anexo regula cómo tratamos los datos personales que tu restaurante introduce en Cuenta & Cocina, conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD).
- Tu restaurante (el cliente) es el responsable del tratamiento.
- Nosotros somos el encargado.
- Cómo se acepta: se acepta junto con las Condiciones del servicio, al marcar la casilla al crear la cuenta. Guardamos la versión aceptada y la fecha, y te enviamos una copia por email.
- En qué se basa: está formado por las cláusulas contractuales tipo entre responsables y encargados del tratamiento aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/915).
- Se incorporan íntegras, con las opciones de la sección 2, y se reproducen al final de este anexo.
- Se completan con:
- los términos adicionales de la sección 3;
- los apéndices I a IV.
- Si hay contradicción, prevalecen las cláusulas tipo:
- frente a los términos adicionales;
- frente a las Condiciones del servicio.
2. Opciones elegidas en las cláusulas tipo
| Cláusula | Opción |
|---|---|
| Cláusula 5 (incorporación de terceros) | no se incluye |
| Cláusula 7.7 (subencargados) | opción 2: autorización general por escrito, con la lista del apéndice IV y aviso con al menos 30 días de antelación de cualquier cambio que hagamos nosotros |
| Cláusula 7.8 (transferencias internacionales) | solo conforme al capítulo V del RGPD: el detalle por subencargado está en el apéndice IV |
| Cláusulas 8 y 9 (asistencia y brechas) | las referidas al RGPD (artículos 32 a 36) |
3. Términos adicionales
3.1 Instrucciones. Tus instrucciones son:
- estas condiciones;
- la configuración que eliges en la app;
- lo que nos pidas por escrito.
Si una instrucción nos parece contraria a la ley, te lo diremos.
3.2 Quién accede. Solo el titular accede a los datos, y solo cuando es necesario para prestar o mantener el servicio, o para atender tu solicitud. Está obligado a mantenerlos en secreto.
3.3 Brechas de seguridad.
- Plazo: si sufrimos una brecha que afecte a tus datos, te avisaremos en un máximo de 48 horas desde que la conozcamos.
- Qué te contamos: la información de la cláusula 9, y lo que vayamos sabiendo después, a medida que lo sepamos.
3.4 Peticiones de las personas interesadas.
- Si una persona nos pide algo sobre los datos de tu restaurante: te la remitiremos en un máximo de 5 días laborables. No le contestaremos nosotros, salvo para decirle que se dirija a ti.
- Cómo te ayudamos a atenderla: la app te permite consultar, corregir, exportar y borrar los datos. Si necesitas algo más, escríbenos.
3.5 Subencargados: avisos y oposición.
- Nuestros cambios: te avisamos por email al menos 30 días antes de añadir o cambiar un subencargado.
- Los cambios de nuestros proveedores: si es uno de ellos quien cambia sus propios subencargados, te reenviamos el aviso en cuanto lo recibimos, con el plazo que nos den. La lista de cada proveedor está enlazada en el apéndice IV.
- Si te opones: escríbenos dentro del plazo, explicando el motivo.
- Si no encontramos una solución, puedes resolver el contrato sin coste.
- Lo que te devolvemos: la parte pagada que no vayas a usar.
3.6 Auditorías.
- La documentación primero: te daremos la documentación necesaria para demostrar que cumplimos (medidas de seguridad, lista de subencargados y sus garantías).
- Inspecciones: solo si esa documentación no basta o ha habido una brecha. Se acuerdan con un preaviso razonable, en horario laboral y con confidencialidad.
- El coste: cada parte asume el suyo, salvo que la auditoría revele un incumplimiento nuestro.
3.7 Fin del encargo: devolución y borrado.
- Recuperar tus datos: al terminar el contrato, puedes exportarlos como dice la cláusula 15 de las Condiciones del servicio.
- El borrado: pasado ese plazo, los borramos todos de forma permanente, sin conservar copias, salvo que la ley nos obligue a conservarlos. Al terminar, te enviamos por email un certificado de borrado.
3.8 Transferencias. Cuando un subencargado trata datos fuera del Espacio Económico Europeo, lo hace con alguna de estas garantías:
- las cláusulas contractuales tipo de la Decisión (UE) 2021/914 (módulo 3, de encargado a encargado);
- el Marco de Privacidad de Datos UE-EE. UU., cuando está certificado.
El detalle está en el apéndice IV.
3.9 Responsabilidad.
- Entre tú y nosotros: se aplica el límite de la cláusula 19 de las Condiciones del servicio, con sus excepciones.
- Lo que no limita: los derechos de las personas cuyos datos tratamos, ni las sanciones de las autoridades.
3.10 Ley aplicable y conflictos. Los de las Condiciones del servicio.
3.11 Cambios de este anexo. Te avisamos de cualquier cambio por email, al menos 30 días antes. El cambio no se aplica hasta que lo aceptes; si no lo aceptas, puedes resolver el contrato como dice la sección 3.5.
Apéndice I — Partes
- Responsable: el cliente, identificado por el email de tu cuenta y, cuando contratas un plan, por la razón social y el NIF de tus datos de facturación. La versión que aceptaste y su fecha constan en tu cuenta.
- Encargado:
- Quién: Chun-Feng Pai, que opera como Cuenta & Cocina.
- NIF: Y3566474Q.
- Domicilio: Girona (Girona), España.
- Contacto: info@cuentaycocina.co.
Apéndice II — Descripción del tratamiento
Personas cuyos datos se tratan:
- Proveedores del restaurante que son personas físicas (por ejemplo, autónomos).
- Las personas de contacto de los proveedores.
- Cualquier otra persona cuyo nombre aparezca en las facturas o en los datos que el cliente introduzca.
Categorías de datos:
- Identificación: nombre o razón social, NIF y dirección del proveedor, tal como aparecen en la factura.
- Datos de la operación: número y fecha de la factura, productos, marcas, unidades, cantidades, precios, IVA e importes.
- Otros datos de negocio: recetas, precios de venta, ventas, stock y mermas.
- Sin categorías especiales: no se tratan categorías especiales de datos.
Naturaleza del tratamiento:
- Recepción del archivo o de los datos que se introducen a mano.
- Lectura de la imagen (OCR) con Google Cloud Vision, en la UE y en memoria, sin guardar la imagen.
- Extracción del texto con OpenAI, que puede conservarlo hasta 30 días para vigilar abusos y no lo usa para entrenar.
- Almacenamiento en la base de datos.
- Cálculo de costes y márgenes.
- Presentación en la app y en los correos de aviso.
- Exportación.
- Borrado.
Finalidad: prestar el servicio de Cuenta & Cocina al cliente.
Duración:
- Mientras dure el contrato, más el plazo para recuperar los datos (30 días).
- Durante el contrato: el historial de más de dos años se borra automáticamente, salvo los movimientos de inventario, a partir de los cuales se calcula el stock.
- Sin copias de seguridad: no se hacen copias de seguridad de la base de datos.
Apéndice III — Medidas de seguridad
Conexiones y accesos:
- Conexiones cifradas (HTTPS/TLS) entre tu navegador, nuestros servidores y nuestros proveedores.
- Datos cifrados en reposo en la base de datos (Supabase, AES-256) y en el servidor (Render).
- Cada cuenta solo accede a sus datos: lo controla la propia base de datos, en todas sus tablas.
- Producción: solo accede el titular, con contraseña y verificación en dos pasos.
- Las claves de acceso a los proveedores se guardan solo en la configuración de los servidores, nunca en el código.
Dónde y cómo se procesan los datos:
- Base de datos y servidor en Fráncfort (UE).
- Lectura de imágenes en el punto de la UE de Google, en memoria.
- IA: sin almacenamiento de las conversaciones en OpenAI y sin uso para entrenar.
Registros, borrados y brechas:
- Registros técnicos de pocos días, sin emails ni contenido de facturas en los registros de la aplicación.
- Borrados automáticos diarios: lo eliminado a los 30 días; el historial de más de dos años, salvo los movimientos de inventario.
- Un procedimiento para las brechas de seguridad, con aviso al cliente en 48 horas.
- Revisión de los subencargados y de sus garantías antes de añadirlos.
Apéndice IV — Subencargados
| Subencargado | Servicio | Datos | Dónde se tratan | Garantía de transferencia | Sus subencargados |
|---|---|---|---|---|---|
| Supabase Pte. Ltd. (Singapur) | base de datos y acceso | todos los datos del restaurante | Fráncfort (UE); soporte y telemetría pueden acceder desde Singapur y EE. UU. | cláusulas contractuales tipo (módulo 3) | supabase.com/legal/subprocessors |
| Render Services, Inc. (EE. UU.) | servidor de la aplicación | todos los datos que pasan por el servidor | Fráncfort (UE); operado desde EE. UU. | Marco de Privacidad de Datos; cláusulas contractuales tipo si deja de aplicarse | render.com/security |
| Vercel Inc. (EE. UU.) | web y aplicación | los datos que muestra la app | Fráncfort (UE); distribución global | cláusulas contractuales tipo | security.vercel.com |
| Google Cloud EMEA Limited (Irlanda), Cloud Vision | lectura de imágenes | la imagen de la factura o de la carta | Unión Europea, en memoria | Marco de Privacidad de Datos y cláusulas contractuales tipo, para cualquier acceso desde EE. UU. | cloud.google.com/terms/subprocessors |
| OpenAI Ireland Ltd. (Irlanda) | lectura de facturas y cartas, propuesta de recetas y redacción de los textos del análisis (no clasifica los platos) | el texto de las facturas y de la carta, con todo lo que aparece impreso en ellas, también el nombre y el NIF del proveedor y los datos del restaurante como comprador, y además el nombre del restaurante; de cada plato: su nombre, sus cifras, si su coste está incompleto, el grupo que le asigna la aplicación y los ingredientes que más pesan en su coste o cuyo precio ha variado, por nombre y con sus cifras; el plan contratado; y la variación semanal del margen, del coste de los ingredientes y de los ingresos | EE. UU. y otros países | cláusulas contractuales tipo | platform.openai.com/subprocessors |
| Plus Five Five, Inc. (Resend, EE. UU.) | correos de aviso e informes | el contenido de los avisos (por ejemplo, ingredientes y precios) | EE. UU. | cláusulas contractuales tipo y Marco de Privacidad de Datos | resend.com/legal/subprocessors |
| Google Cloud EMEA Limited (Irlanda), Google Workspace | buzón de soporte | lo que nos envíes al pedir ayuda | donde opera Google | Marco de Privacidad de Datos y cláusulas contractuales tipo | workspace.google.com/terms/subprocessors |
Última actualización: .
Cláusulas contractuales tipo
SECCIÓN I
Cláusula 1
Finalidad y ámbito de aplicación
La finalidad de las presentes cláusulas contractuales tipo (en lo sucesivo, «pliego de cláusulas») es garantizar que se cumpla el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).
Los responsables y encargados del tratamiento enumerados en el anexo I han dado su consentimiento a vincularse por el presente pliego de cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679.
El presente pliego de cláusulas se aplica al tratamiento de datos personales especificado en el anexo II.
Los anexos I a IV forman parte del pliego.
El presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el responsable en virtud del Reglamento (UE) 2016/679.
El presente pliego de cláusulas no garantiza por sí mismo el cumplimiento de las obligaciones relativas a las transferencias internacionales contempladas en el capítulo V del Reglamento (UE) 2016/679.
Cláusula 2
Invariabilidad del pliego de cláusulas
Las partes se comprometen a no modificar el pliego de cláusulas, excepto para añadir o actualizar información en los anexos.
Esto no es óbice para que las partes incluyan en un contrato más amplio las cláusulas contractuales tipo que contiene el presente pliego, ni para que añadan otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, el pliego de cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.
Cláusula 3
Interpretación
Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679, se entiende que tienen el mismo significado que en el Reglamento correspondiente.
El presente pliego de cláusulas deberá leerse e interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679.
No se podrán realizar interpretaciones del presente pliego de cláusulas que entren en conflicto con los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 y/o que perjudiquen los derechos o libertades fundamentales de los interesados.
Cláusula 4
Jerarquía
En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.
SECCIÓN II
OBLIGACIONES DE LAS PARTES
Cláusula 6
Descripción del tratamiento o tratamientos
En el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable.
Cláusula 7
Obligaciones de las partes
7.1. Instrucciones
El encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado. En tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable también podrá dar instrucciones ulteriores en cualquier momento del período de tratamiento de los datos personales. Dichas instrucciones deberán estar siempre documentadas.
El encargado informará inmediatamente al responsable si las instrucciones dadas por el responsable infringen, a juicio del encargado, el Reglamento (UE) 2016/679 o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos.
7.2. Limitación de la finalidad
El encargado tratará los datos personales únicamente para los fines específicos del tratamiento indicados en el anexo II, salvo cuando siga instrucciones adicionales del responsable.
7.3. Duración del tratamiento de datos personales
El tratamiento por parte del encargado solo se realizará durante el período especificado en el anexo II.
7.4. Seguridad del tratamiento
El encargado aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Una de estas medidas podrá consistir en la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos («violación de la seguridad de los datos personales»). A la hora de determinar un nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados.
El encargado solo concederá acceso a los datos personales tratados a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. El encargado garantizará que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
7.5. Datos sensibles
Si el tratamiento afecta a datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado aplicará restricciones específicas y/o garantías adicionales.
7.6. Documentación y cumplimiento
Las partes deberán poder demostrar el cumplimiento del presente pliego de cláusulas.
El encargado resolverá con presteza y de forma adecuada las consultas del responsable relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.
El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y que deriven directamente del Reglamento (UE) 2016/679. A instancia del responsable, el encargado permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir si se realiza un examen o una auditoría, el responsable podrá tener en cuenta las certificaciones pertinentes que obren en poder del encargado.
El responsable podrá optar por realizar la auditoría por sí mismo o autorizar a un auditor independiente. Las auditorías también podrán consistir en inspecciones de los locales o instalaciones físicas del encargado y, cuando proceda, realizarse con un preaviso razonable.
Las partes pondrán a disposición de las autoridades de control competentes, a instancia de estas, la información a que se refiere la presente cláusula y, en particular, los resultados de las auditorías.
7.7. Recurso a subencargados
OPCIÓN 2: AUTORIZACIÓN GENERAL POR ESCRITO: El encargado cuenta con una autorización general del responsable para contratar a subencargados que figuren en una lista acordada. El encargado informará al responsable específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos 30 días de antelación, de modo que el responsable tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento proporcionará al responsable la información necesaria para que pueda ejercer su derecho a formular objeción.
Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado en virtud del presente pliego de cláusulas. El encargado se asegurará de que el subencargado cumpla las obligaciones a las que esté sujeto en virtud del presente pliego de cláusulas y del Reglamento (UE) 2016/679.
El encargado proporcionará al responsable, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.
El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones que imponga al subencargado su contrato con el encargado. El encargado notificará al responsable los incumplimientos por parte del subencargado de las obligaciones que le atribuya dicho contrato.
El encargado pactará con el subencargado una cláusula de tercero beneficiario en virtud de la cual, en caso de que el encargado desaparezca de facto, cese de existir jurídicamente o sea insolvente, el responsable tendrá derecho a rescindir el contrato del subencargado y ordenar a este que suprima o devuelva los datos personales.
7.8. Transferencias internacionales
Las transferencias de datos a un tercer país o a una organización internacional por parte del encargado solo podrán realizarse siguiendo instrucciones documentadas del responsable o en virtud de una exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado; se llevarán a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679.
El responsable se aviene a que, cuando el encargado recurra a un subencargado de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable) y dichas actividades conlleven una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la utilización de dichas cláusulas contractuales tipo.
Cláusula 8
Ayuda al responsable del tratamiento
El encargado notificará con presteza al responsable las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.
El encargado ayudará al responsable a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le atribuyen las letras a) y b), el encargado cumplirá las instrucciones del responsable.
Además de la obligación del encargado de ayudar al responsable en virtud de la cláusula 8, letra b), el encargado también ayudará al responsable a garantizar el cumplimiento de las obligaciones siguientes teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado:
la obligación de realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales («evaluación de impacto») cuando sea probable que un tipo de tratamiento suponga un alto riesgo para los derechos y libertades de las personas físicas;
la obligación de consultar a las autoridades de control competentes antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo;
la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable si el encargado descubre que los datos personales que está tratando son inexactos o han quedado obsoletos;
las obligaciones contempladas en el artículo 32 del Reglamento (UE) 2016/679.
Las partes establecerán en el anexo III medidas técnicas y organizativas apropiadas que obliguen al encargado a ayudar al responsable a aplicar la presente cláusula, así como el objeto y el alcance de la ayuda requerida.
Cláusula 9
Notificación de violaciones de la seguridad de los datos personales
En caso de violación de la seguridad de los datos personales, el encargado colaborará con el responsable y le ayudará a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679, en su caso, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado.
9.1. Violación de la seguridad de datos personales tratados por el responsable
En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable, el encargado ayudará al responsable en lo siguiente.
Notificar la violación de la seguridad de los datos personales a las autoridades de control competentees sin dilación indebida una vez tenga constancia de ella, si procede (a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas).
Recabar la información siguiente, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable, que debe incluir como mínimo:
la naturaleza de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
las consecuencias probables de la violación de la seguridad de los datos personales;
las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.
Cumplir, con arreglo al artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida al interesado la violación de la seguridad de los datos personales cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas.
9.2. Violación de la seguridad de datos personales tratados por el encargado
En caso de violación de la seguridad de datos personales tratados por el encargado, este lo notificará al responsable sin dilación indebida una vez que el encargado tenga constancia de ella. Dicha notificación deberá incluir como mínimo:
una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);
los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;
sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.
Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.
Las partes establecerán en el anexo III los demás elementos que deberá aportar el encargado cuando ayude al responsable a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679.
SECCIÓN III
DISPOSICIONES FINALES
Cláusula 10
Incumplimiento de las cláusulas y resolución del contrato
Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679, en caso de que el encargado del tratamiento incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el responsable podrá ordenar al encargado que suspenda el tratamiento de datos personales hasta que este vuelva a dar cumplimiento al presente pliego de cláusulas, o resolver el contrato. El encargado informará con presteza al responsable en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.
El responsable estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:
el tratamiento de datos personales por parte del encargado haya sido suspendido por el responsable con arreglo a la letra a) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;
el encargado incumpla de manera sustancial o persistente el presente pliego de cláusulas o las obligaciones que le atribuye el Reglamento (UE) 2016/679;
el encargado incumpla una resolución vinculante de un órgano jurisdiccional competente o de las autoridades de control competentes en relación con las obligaciones que les atribuye el presente pliego de cláusulas, el Reglamento (UE) 2016/679.
El encargado estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando, tras haber informado al responsable de que sus instrucciones infringen los requisitos jurídicos exigidos por la cláusula 7.1, letra b), el responsable insiste en que se sigan dichas instrucciones.
Tras la resolución del contrato, el encargado suprimirá, a petición del responsable, todos los datos personales tratados por cuenta del responsable y acreditará al responsable que lo ha hecho, o devolverá todos los datos personales al responsable y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija el almacenamiento de los datos personales. Hasta que se destruyan o devuelvan los datos, el encargado seguirá garantizando el cumplimiento con el presente pliego de cláusulas.
1. Què és aquest annex i com s'accepta
- Per a què serveix: aquest annex regula com tractem les dades personals que el teu restaurant introdueix a Cuenta & Cocina, d'acord amb l'article 28 del Reglament General de Protecció de Dades (RGPD).
- El teu restaurant (el client) és el responsable del tractament.
- Nosaltres som l'encarregat.
- Com s'accepta: s'accepta juntament amb les Condicions del servei, en marcar la casella quan crees el compte. Desem la versió acceptada i la data, i t'enviem una còpia per correu electrònic.
- En què es basa: està format per les clàusules contractuals tipus entre responsables i encarregats del tractament aprovades per la Comissió Europea (Decisió d'execució (UE) 2021/915).
- S'hi incorporen íntegres, amb les opcions de la secció 2, i es reprodueixen al final d'aquest annex.
- Es completen amb:
- els termes addicionals de la secció 3;
- els apèndixs I a IV.
- Si hi ha contradicció, prevalen les clàusules tipus:
- davant dels termes addicionals;
- davant de les Condicions del servei.
2. Opcions triades en les clàusules tipus
| Clàusula | Opció |
|---|---|
| Clàusula 5 (incorporació de tercers) | no s'inclou |
| Clàusula 7.7 (subencarregats) | opció 2: autorització general per escrit, amb la llista de l'apèndix IV i avís amb almenys 30 dies d'antelació de qualsevol canvi que fem nosaltres |
| Clàusula 7.8 (transferències internacionals) | només d'acord amb el capítol V del RGPD: el detall per subencarregat és a l'apèndix IV |
| Clàusules 8 i 9 (assistència i bretxes) | les referides al RGPD (articles 32 a 36) |
3. Termes addicionals
3.1 Instruccions. Les teves instruccions són:
- aquestes condicions;
- la configuració que tries a l'app;
- el que ens demanis per escrit.
Si una instrucció ens sembla contrària a la llei, t'ho direm.
3.2 Qui hi accedeix. Només el titular accedeix a les dades, i només quan cal per prestar o mantenir el servei, o per atendre la teva sol·licitud. Està obligat a mantenir-les en secret.
3.3 Bretxes de seguretat.
- Termini: si patim una bretxa que afecti les teves dades, t'avisarem en un màxim de 48 hores des que en tinguem coneixement.
- Què t'expliquem: la informació de la clàusula 9, i el que anem sabent després, a mesura que ho sapiguem.
3.4 Peticions de les persones interessades.
- Si una persona ens demana alguna cosa sobre les dades del teu restaurant: te la remetrem en un màxim de 5 dies feiners. No li contestarem nosaltres, llevat de per dir-li que s'adreci a tu.
- Com t'ajudem a atendre-la: l'app et permet consultar, corregir, exportar i esborrar les dades. Si necessites alguna cosa més, escriu-nos.
3.5 Subencarregats: avisos i oposició.
- Els nostres canvis: t'avisem per correu electrònic almenys 30 dies abans d'afegir o canviar un subencarregat.
- Els canvis dels nostres proveïdors: si és un d'ells qui canvia els seus propis subencarregats, et reenviem l'avís tan bon punt el rebem, amb el termini que ens donin. La llista de cada proveïdor està enllaçada a l'apèndix IV.
- Si t'hi oposes: escriu-nos dins del termini, explicant-ne el motiu.
- Si no trobem una solució, pots resoldre el contracte sense cap cost.
- El que et retornem: la part pagada que no facis servir.
3.6 Auditories.
- La documentació primer: et donarem la documentació necessària per demostrar que complim (mesures de seguretat, llista de subencarregats i les seves garanties).
- Inspeccions: només si aquesta documentació no és suficient o hi ha hagut una bretxa. S'acorden amb un preavís raonable, en horari laboral i amb confidencialitat.
- El cost: cada part assumeix el seu, llevat que l'auditoria reveli un incompliment nostre.
3.7 Fi de l'encàrrec: devolució i esborrament.
- Recuperar les teves dades: quan s'acaba el contracte, les pots exportar com diu la clàusula 15 de les Condicions del servei.
- L'esborrament: passat aquest termini, les esborrem totes de manera permanent, sense conservar-ne còpies, llevat que la llei ens obligui a conservar-les. En acabar, t'enviem per correu electrònic un certificat d'esborrament.
3.8 Transferències. Quan un subencarregat tracta dades fora de l'Espai Econòmic Europeu, ho fa amb alguna d'aquestes garanties:
- les clàusules contractuals tipus de la Decisió (UE) 2021/914 (mòdul 3, d'encarregat a encarregat);
- el Marc de Privadesa de Dades UE-EUA, quan està certificat.
El detall és a l'apèndix IV.
3.9 Responsabilitat.
- Entre tu i nosaltres: s'aplica el límit de la clàusula 19 de les Condicions del servei, amb les seves excepcions.
- El que no limita: els drets de les persones les dades de les quals tractem, ni les sancions de les autoritats.
3.10 Llei aplicable i conflictes. Els de les Condicions del servei.
3.11 Canvis d'aquest annex. T'avisem de qualsevol canvi per correu electrònic, almenys 30 dies abans. El canvi no s'aplica fins que l'acceptis; si no l'acceptes, pots resoldre el contracte com diu la secció 3.5.
Apèndix I — Parts
- Responsable: el client, identificat pel correu del teu compte i, quan contractes un pla, per la raó social i el NIF de les teves dades de facturació. La versió que vas acceptar i la data consten al teu compte.
- Encarregat:
- Qui: Chun-Feng Pai, que opera com a Cuenta & Cocina.
- NIF: Y3566474Q.
- Domicili: Girona (Girona), Espanya.
- Contacte: info@cuentaycocina.co.
Apèndix II — Descripció del tractament
Persones les dades de les quals es tracten:
- Proveïdors del restaurant que són persones físiques (per exemple, autònoms).
- Les persones de contacte dels proveïdors.
- Qualsevol altra persona el nom de la qual aparegui a les factures o a les dades que introdueixi el client.
Categories de dades:
- Identificació: nom o raó social, NIF i adreça del proveïdor, tal com apareixen a la factura.
- Dades de l'operació: número i data de la factura, productes, marques, unitats, quantitats, preus, IVA i imports.
- Altres dades de negoci: receptes, preus de venda, vendes, estoc i minves.
- Sense categories especials: no es tracten categories especials de dades.
Naturalesa del tractament:
- Recepció del fitxer o de les dades que s'introdueixen a mà.
- Lectura de la imatge (OCR) amb Google Cloud Vision, a la UE i en memòria, sense desar la imatge.
- Extracció del text amb OpenAI, que el pot conservar fins a 30 dies per vigilar abusos i no el fa servir per entrenar.
- Emmagatzematge a la base de dades.
- Càlcul de costos i marges.
- Presentació a l'app i als correus d'avís.
- Exportació.
- Esborrament.
Finalitat: prestar el servei de Cuenta & Cocina al client.
Durada:
- Mentre duri el contracte, més el termini per recuperar les dades (30 dies).
- Durant el contracte: l'historial de més de dos anys s'esborra automàticament, excepte els moviments d'inventari, a partir dels quals es calcula l'estoc.
- Sense còpies de seguretat: no es fan còpies de seguretat de la base de dades.
Apèndix III — Mesures de seguretat
Connexions i accessos:
- Connexions xifrades (HTTPS/TLS) entre el teu navegador, els nostres servidors i els nostres proveïdors.
- Dades xifrades en repòs a la base de dades (Supabase, AES-256) i al servidor (Render).
- Cada compte només accedeix a les seves dades: ho controla la mateixa base de dades, en totes les seves taules.
- Producció: només hi accedeix el titular, amb contrasenya i verificació en dos passos.
- Les claus d'accés als proveïdors es desen només a la configuració dels servidors, mai al codi.
On i com es processen les dades:
- Base de dades i servidor a Frankfurt (UE).
- Lectura d'imatges al punt de la UE de Google, en memòria.
- IA: sense emmagatzematge de les converses a OpenAI i sense ús per entrenar.
Registres, esborraments i bretxes:
- Registres tècnics de pocs dies, sense correus electrònics ni contingut de factures als registres de l'aplicació.
- Esborraments automàtics diaris: el que s'ha eliminat, als 30 dies; l'historial de més de dos anys, excepte els moviments d'inventari.
- Un procediment per a les bretxes de seguretat, amb avís al client en 48 hores.
- Revisió dels subencarregats i de les seves garanties abans d'afegir-los.
Apèndix IV — Subencarregats
| Subencarregat | Servei | Dades | On es tracten | Garantia de transferència | Els seus subencarregats |
|---|---|---|---|---|---|
| Supabase Pte. Ltd. (Singapur) | base de dades i accés | totes les dades del restaurant | Frankfurt (UE); el suport i la telemetria hi poden accedir des de Singapur i els EUA | clàusules contractuals tipus (mòdul 3) | supabase.com/legal/subprocessors |
| Render Services, Inc. (EUA) | servidor de l'aplicació | totes les dades que passen pel servidor | Frankfurt (UE); operat des dels EUA | Marc de Privadesa de Dades; clàusules contractuals tipus si deixa d'aplicar-se | render.com/security |
| Vercel Inc. (EUA) | web i aplicació | les dades que mostra l'app | Frankfurt (UE); distribució global | clàusules contractuals tipus | security.vercel.com |
| Google Cloud EMEA Limited (Irlanda), Cloud Vision | lectura d'imatges | la imatge de la factura o de la carta | Unió Europea, en memòria | Marc de Privadesa de Dades i clàusules contractuals tipus, per a qualsevol accés des dels EUA | cloud.google.com/terms/subprocessors |
| OpenAI Ireland Ltd. (Irlanda) | lectura de factures i cartes, proposta de receptes i redacció dels textos de l'anàlisi (no classifica els plats) | el text de les factures i de la carta, amb tot el que hi apareix imprès, també el nom i el NIF del proveïdor i les dades del restaurant com a comprador, i a més el nom del restaurant; de cada plat: el seu nom, les seves xifres, si el seu cost està incomplet, el grup que li assigna l'aplicació i els ingredients que més pesen en el seu cost o el preu dels quals ha variat, pel nom i amb les seves xifres; el pla contractat; i la variació setmanal del marge, del cost dels ingredients i dels ingressos | EUA i altres països | clàusules contractuals tipus | platform.openai.com/subprocessors |
| Plus Five Five, Inc. (Resend, EUA) | correus d'avís i informes | el contingut dels avisos (per exemple, ingredients i preus) | EUA | clàusules contractuals tipus i Marc de Privadesa de Dades | resend.com/legal/subprocessors |
| Google Cloud EMEA Limited (Irlanda), Google Workspace | bústia de suport | el que ens enviïs quan demanes ajuda | on opera Google | Marc de Privadesa de Dades i clàusules contractuals tipus | workspace.google.com/terms/subprocessors |
Última actualització: .
Clàusules contractuals tipus
Aquest és el text oficial en castellà de les clàusules contractuals tipus de la Decisió d'execució (UE) 2021/915: no n'hi ha versió oficial en català.
SECCIÓN I
Cláusula 1
Finalidad y ámbito de aplicación
La finalidad de las presentes cláusulas contractuales tipo (en lo sucesivo, «pliego de cláusulas») es garantizar que se cumpla el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).
Los responsables y encargados del tratamiento enumerados en el anexo I han dado su consentimiento a vincularse por el presente pliego de cláusulas a fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679.
El presente pliego de cláusulas se aplica al tratamiento de datos personales especificado en el anexo II.
Los anexos I a IV forman parte del pliego.
El presente pliego de cláusulas se entiende sin perjuicio de las obligaciones a las que esté sujeto el responsable en virtud del Reglamento (UE) 2016/679.
El presente pliego de cláusulas no garantiza por sí mismo el cumplimiento de las obligaciones relativas a las transferencias internacionales contempladas en el capítulo V del Reglamento (UE) 2016/679.
Cláusula 2
Invariabilidad del pliego de cláusulas
Las partes se comprometen a no modificar el pliego de cláusulas, excepto para añadir o actualizar información en los anexos.
Esto no es óbice para que las partes incluyan en un contrato más amplio las cláusulas contractuales tipo que contiene el presente pliego, ni para que añadan otras cláusulas o garantías adicionales siempre que no contradigan, directa o indirectamente, el pliego de cláusulas ni perjudiquen los derechos o libertades fundamentales de los interesados.
Cláusula 3
Interpretación
Cuando en el presente pliego de cláusulas se utilizan términos definidos en el Reglamento (UE) 2016/679, se entiende que tienen el mismo significado que en el Reglamento correspondiente.
El presente pliego de cláusulas deberá leerse e interpretarse con arreglo a las disposiciones del Reglamento (UE) 2016/679.
No se podrán realizar interpretaciones del presente pliego de cláusulas que entren en conflicto con los derechos y obligaciones establecidos en el Reglamento (UE) 2016/679 y/o que perjudiquen los derechos o libertades fundamentales de los interesados.
Cláusula 4
Jerarquía
En caso de contradicción entre el presente pliego de cláusulas y las disposiciones de acuerdos conexos entre las partes que estuvieren en vigor en el momento en que se pactare o comenzare a aplicarse el presente pliego de cláusulas, prevalecerá el presente pliego de cláusulas.
SECCIÓN II
OBLIGACIONES DE LAS PARTES
Cláusula 6
Descripción del tratamiento o tratamientos
En el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable.
Cláusula 7
Obligaciones de las partes
7.1. Instrucciones
El encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado. En tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable también podrá dar instrucciones ulteriores en cualquier momento del período de tratamiento de los datos personales. Dichas instrucciones deberán estar siempre documentadas.
El encargado informará inmediatamente al responsable si las instrucciones dadas por el responsable infringen, a juicio del encargado, el Reglamento (UE) 2016/679 o las disposiciones aplicables del Derecho de la Unión o de los Estados miembros en materia de protección de datos.
7.2. Limitación de la finalidad
El encargado tratará los datos personales únicamente para los fines específicos del tratamiento indicados en el anexo II, salvo cuando siga instrucciones adicionales del responsable.
7.3. Duración del tratamiento de datos personales
El tratamiento por parte del encargado solo se realizará durante el período especificado en el anexo II.
7.4. Seguridad del tratamiento
El encargado aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Una de estas medidas podrá consistir en la protección contra violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos («violación de la seguridad de los datos personales»). A la hora de determinar un nivel adecuado de seguridad, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos que entraña el tratamiento para los interesados.
El encargado solo concederá acceso a los datos personales tratados a los miembros de su personal en la medida en que sea estrictamente necesario para la ejecución, la gestión y el seguimiento del contrato. El encargado garantizará que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
7.5. Datos sensibles
Si el tratamiento afecta a datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o datos relativos a condenas e infracciones penales («datos sensibles»), el encargado aplicará restricciones específicas y/o garantías adicionales.
7.6. Documentación y cumplimiento
Las partes deberán poder demostrar el cumplimiento del presente pliego de cláusulas.
El encargado resolverá con presteza y de forma adecuada las consultas del responsable relacionadas con el tratamiento con arreglo al presente pliego de cláusulas.
El encargado pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones contempladas en el presente pliego de cláusulas y que deriven directamente del Reglamento (UE) 2016/679. A instancia del responsable, el encargado permitirá y contribuirá a la realización de auditorías de las actividades de tratamiento cubiertas por el presente pliego de cláusulas, a intervalos razonables o si existen indicios de incumplimiento. Al decidir si se realiza un examen o una auditoría, el responsable podrá tener en cuenta las certificaciones pertinentes que obren en poder del encargado.
El responsable podrá optar por realizar la auditoría por sí mismo o autorizar a un auditor independiente. Las auditorías también podrán consistir en inspecciones de los locales o instalaciones físicas del encargado y, cuando proceda, realizarse con un preaviso razonable.
Las partes pondrán a disposición de las autoridades de control competentes, a instancia de estas, la información a que se refiere la presente cláusula y, en particular, los resultados de las auditorías.
7.7. Recurso a subencargados
OPCIÓN 2: AUTORIZACIÓN GENERAL POR ESCRITO: El encargado cuenta con una autorización general del responsable para contratar a subencargados que figuren en una lista acordada. El encargado informará al responsable específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos 30 días de antelación, de modo que el responsable tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento proporcionará al responsable la información necesaria para que pueda ejercer su derecho a formular objeción.
Cuando el encargado contrate a un subencargado para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable), lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado en virtud del presente pliego de cláusulas. El encargado se asegurará de que el subencargado cumpla las obligaciones a las que esté sujeto en virtud del presente pliego de cláusulas y del Reglamento (UE) 2016/679.
El encargado proporcionará al responsable, a instancia de este, una copia del contrato con el subencargado y de cualquier modificación posterior del mismo. En la medida en que sea necesario para proteger secretos comerciales u otro tipo de información confidencial, como datos personales, el encargado podrá expurgar el texto del contrato antes de compartir la copia.
El encargado seguirá siendo plenamente responsable ante el responsable del cumplimiento de las obligaciones que imponga al subencargado su contrato con el encargado. El encargado notificará al responsable los incumplimientos por parte del subencargado de las obligaciones que le atribuya dicho contrato.
El encargado pactará con el subencargado una cláusula de tercero beneficiario en virtud de la cual, en caso de que el encargado desaparezca de facto, cese de existir jurídicamente o sea insolvente, el responsable tendrá derecho a rescindir el contrato del subencargado y ordenar a este que suprima o devuelva los datos personales.
7.8. Transferencias internacionales
Las transferencias de datos a un tercer país o a una organización internacional por parte del encargado solo podrán realizarse siguiendo instrucciones documentadas del responsable o en virtud de una exigencia expresa del Derecho de la Unión o del Estado miembro al que esté sujeto el encargado; se llevarán a cabo de conformidad con el capítulo V del Reglamento (UE) 2016/679.
El responsable se aviene a que, cuando el encargado recurra a un subencargado de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable) y dichas actividades conlleven una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión, con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la utilización de dichas cláusulas contractuales tipo.
Cláusula 8
Ayuda al responsable del tratamiento
El encargado notificará con presteza al responsable las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.
El encargado ayudará al responsable a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le atribuyen las letras a) y b), el encargado cumplirá las instrucciones del responsable.
Además de la obligación del encargado de ayudar al responsable en virtud de la cláusula 8, letra b), el encargado también ayudará al responsable a garantizar el cumplimiento de las obligaciones siguientes teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado:
la obligación de realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales («evaluación de impacto») cuando sea probable que un tipo de tratamiento suponga un alto riesgo para los derechos y libertades de las personas físicas;
la obligación de consultar a las autoridades de control competentes antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo;
la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable si el encargado descubre que los datos personales que está tratando son inexactos o han quedado obsoletos;
las obligaciones contempladas en el artículo 32 del Reglamento (UE) 2016/679.
Las partes establecerán en el anexo III medidas técnicas y organizativas apropiadas que obliguen al encargado a ayudar al responsable a aplicar la presente cláusula, así como el objeto y el alcance de la ayuda requerida.
Cláusula 9
Notificación de violaciones de la seguridad de los datos personales
En caso de violación de la seguridad de los datos personales, el encargado colaborará con el responsable y le ayudará a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679, en su caso, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado.
9.1. Violación de la seguridad de datos personales tratados por el responsable
En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable, el encargado ayudará al responsable en lo siguiente.
Notificar la violación de la seguridad de los datos personales a las autoridades de control competentees sin dilación indebida una vez tenga constancia de ella, si procede (a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas).
Recabar la información siguiente, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable, que debe incluir como mínimo:
la naturaleza de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
las consecuencias probables de la violación de la seguridad de los datos personales;
las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.
Cumplir, con arreglo al artículo 34 del Reglamento (UE) 2016/679, la obligación de comunicar sin dilación indebida al interesado la violación de la seguridad de los datos personales cuando sea probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas.
9.2. Violación de la seguridad de datos personales tratados por el encargado
En caso de violación de la seguridad de datos personales tratados por el encargado, este lo notificará al responsable sin dilación indebida una vez que el encargado tenga constancia de ella. Dicha notificación deberá incluir como mínimo:
una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados);
los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;
sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.
Cuando y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.
Las partes establecerán en el anexo III los demás elementos que deberá aportar el encargado cuando ayude al responsable a cumplir las obligaciones que le atribuyen los artículos 33 y 34 del Reglamento (UE) 2016/679.
SECCIÓN III
DISPOSICIONES FINALES
Cláusula 10
Incumplimiento de las cláusulas y resolución del contrato
Sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679, en caso de que el encargado del tratamiento incumpla las obligaciones que le atribuye el presente pliego de cláusulas, el responsable podrá ordenar al encargado que suspenda el tratamiento de datos personales hasta que este vuelva a dar cumplimiento al presente pliego de cláusulas, o resolver el contrato. El encargado informará con presteza al responsable en caso de que no pueda dar cumplimiento al presente pliego de cláusulas por cualquier motivo.
El responsable estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando:
el tratamiento de datos personales por parte del encargado haya sido suspendido por el responsable con arreglo a la letra a) y no se vuelva a dar cumplimiento al presente pliego de cláusulas en un plazo razonable y, en cualquier caso, en un plazo de un mes a contar desde la suspensión;
el encargado incumpla de manera sustancial o persistente el presente pliego de cláusulas o las obligaciones que le atribuye el Reglamento (UE) 2016/679;
el encargado incumpla una resolución vinculante de un órgano jurisdiccional competente o de las autoridades de control competentes en relación con las obligaciones que les atribuye el presente pliego de cláusulas, el Reglamento (UE) 2016/679.
El encargado estará facultado para resolver el contrato en lo que se refiera al tratamiento de datos personales en virtud del presente pliego de cláusulas cuando, tras haber informado al responsable de que sus instrucciones infringen los requisitos jurídicos exigidos por la cláusula 7.1, letra b), el responsable insiste en que se sigan dichas instrucciones.
Tras la resolución del contrato, el encargado suprimirá, a petición del responsable, todos los datos personales tratados por cuenta del responsable y acreditará al responsable que lo ha hecho, o devolverá todos los datos personales al responsable y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija el almacenamiento de los datos personales. Hasta que se destruyan o devuelvan los datos, el encargado seguirá garantizando el cumplimiento con el presente pliego de cláusulas.
1. What this annex is and how it is accepted
- What it is for: this annex governs how we process the personal data that your restaurant enters into Cuenta & Cocina, in accordance with article 28 of the General Data Protection Regulation (GDPR).
- Your restaurant (the customer) is the controller.
- We are the processor.
- How it is accepted: it is accepted together with the Terms of Service, by ticking the box when you create the account. We keep the accepted version and the date, and we send you a copy by email.
- What it is based on: it consists of the standard contractual clauses between controllers and processors approved by the European Commission (Commission Implementing Decision (EU) 2021/915).
- They are incorporated in full, with the options in section 2, and are reproduced at the end of this annex.
- They are supplemented by:
- the additional terms in section 3;
- appendices I to IV.
- In case of conflict, the standard clauses prevail:
- over the additional terms;
- over the Terms of Service.
2. Options chosen in the standard clauses
| Clause | Option |
|---|---|
| Clause 5 (docking clause) | not included |
| Clause 7.7 (sub-processors) | option 2: general written authorisation, with the list in appendix IV and at least 30 days' advance notice of any change we make |
| Clause 7.8 (international transfers) | only in accordance with Chapter V of the GDPR: the detail for each sub-processor is in appendix IV |
| Clauses 8 and 9 (assistance and breaches) | those referring to the GDPR (articles 32 to 36) |
3. Additional terms
3.1 Instructions. Your instructions are:
- these terms;
- the settings you choose in the app;
- whatever you ask us in writing.
If an instruction seems to us to be against the law, we will tell you.
3.2 Who has access. Only the owner has access to the data, and only when necessary to provide or maintain the service, or to deal with your request. The owner is bound to keep it secret.
3.3 Security breaches.
- Deadline: if we suffer a breach affecting your data, we will tell you within 48 hours at most of becoming aware of it.
- What we tell you: the information in clause 9, and whatever we learn afterwards, as we learn it.
3.4 Requests from data subjects.
- If someone asks us about your restaurant's data: we will forward the request to you within 5 working days at most. We will not answer it ourselves, except to tell them to contact you.
- How we help you deal with it: the app lets you view, correct, export and delete the data. If you need anything else, write to us.
3.5 Sub-processors: notices and objections.
- Our changes: we tell you by email at least 30 days before adding or changing a sub-processor.
- Our providers' changes: if one of them changes its own sub-processors, we forward the notice to you as soon as we receive it, with the period they give us. Each provider's list is linked in appendix IV.
- If you object: write to us within the period, explaining your reason.
- If we don't find a solution, you can terminate the contract at no cost.
- What we refund you: the paid part you won't use.
3.6 Audits.
- Documentation first: we will give you the documentation needed to show that we comply (security measures, the list of sub-processors and their safeguards).
- Inspections: only if that documentation is not enough or there has been a breach. They are agreed with reasonable notice, during working hours and in confidence.
- The cost: each party bears its own, unless the audit reveals a breach on our part.
3.7 End of the processing: return and deletion.
- Getting your data back: when the contract ends, you can export it as clause 15 of the Terms of Service says.
- Deletion: after that period, we permanently delete all of it, keeping no copies, unless the law requires us to keep it. When it's done, we email you a certificate of erasure.
3.8 Transfers. When a sub-processor processes data outside the European Economic Area, it does so with one of these safeguards:
- the standard contractual clauses of Decision (EU) 2021/914 (module 3, processor to processor);
- the EU-U.S. Data Privacy Framework, where it is certified.
The detail is in appendix IV.
3.9 Liability.
- Between you and us: the limit in clause 19 of the Terms of Service applies, with its exceptions.
- What it does not limit: the rights of the people whose data we process, or penalties imposed by the authorities.
3.10 Applicable law and disputes. Those of the Terms of Service.
3.11 Changes to this annex. We tell you of any change by email, at least 30 days in advance. The change does not apply until you accept it; if you don't accept it, you can terminate the contract as section 3.5 says.
Appendix I — Parties
- Controller: the customer, identified by your account's email and, when you choose a plan, by the company name and tax ID in your billing details. The version you accepted and its date are recorded in your account.
- Processor:
- Who: Chun-Feng Pai, operating as Cuenta & Cocina.
- Tax ID (NIF): Y3566474Q.
- Address: Girona (Girona), Spain.
- Contact: info@cuentaycocina.co.
Appendix II — Description of the processing
People whose data is processed:
- Suppliers of the restaurant who are natural persons (for example, self-employed).
- The contact persons of the suppliers.
- Any other person whose name appears on the invoices or in the data the customer enters.
Categories of data:
- Identification: name or company name, tax ID and address of the supplier, as they appear on the invoice.
- Transaction data: invoice number and date, products, brands, units, quantities, prices, VAT and amounts.
- Other business data: recipes, selling prices, sales, stock and waste.
- No special categories: no special categories of data are processed.
Nature of the processing:
- Receiving the file or the data entered by hand.
- Reading the image (OCR) with Google Cloud Vision, in the EU and in memory, without storing the image.
- Extracting the text with OpenAI, which may keep it for up to 30 days to monitor abuse and does not use it for training.
- Storage in the database.
- Calculating costs and margins.
- Presentation in the app and in the alert emails.
- Export.
- Deletion.
Purpose: to provide the Cuenta & Cocina service to the customer.
Duration:
- For as long as the contract lasts, plus the period for retrieving the data (30 days).
- During the contract: history older than two years is deleted automatically, except stock movements, from which stock is calculated.
- No backups: no database backups are made.
Appendix III — Security measures
Connections and access:
- Encrypted connections (HTTPS/TLS) between your browser, our servers and our providers.
- Data encrypted at rest in the database (Supabase, AES-256) and on the server (Render).
- Each account can only access its own data: the database itself enforces this, in all its tables.
- Production: only the owner has access, with a password and two-step verification.
- The access keys to the providers are stored only in the servers' configuration, never in the code.
Where and how the data is processed:
- Database and server in Frankfurt (EU).
- Image reading at Google's EU endpoint, in memory.
- AI: no storage of the conversations at OpenAI and no use for training.
Logs, deletions and breaches:
- Technical logs kept for a few days, with no emails or invoice content in the application's logs.
- Daily automatic deletions: what has been deleted, after 30 days; history older than two years, except stock movements.
- A procedure for security breaches, with notice to the customer within 48 hours.
- Review of sub-processors and their safeguards before adding them.
Appendix IV — Sub-processors
| Sub-processor | Service | Data | Where it is processed | Transfer safeguard | Their sub-processors |
|---|---|---|---|---|---|
| Supabase Pte. Ltd. (Singapore) | database and access | all the restaurant's data | Frankfurt (EU); support and telemetry may access it from Singapore and the USA | standard contractual clauses (module 3) | supabase.com/legal/subprocessors |
| Render Services, Inc. (USA) | application server | all the data that passes through the server | Frankfurt (EU); operated from the USA | Data Privacy Framework; standard contractual clauses should it cease to apply | render.com/security |
| Vercel Inc. (USA) | website and application | the data the app shows | Frankfurt (EU); global distribution | standard contractual clauses | security.vercel.com |
| Google Cloud EMEA Limited (Ireland), Cloud Vision | image reading | the image of the invoice or the menu | European Union, in memory | Data Privacy Framework and standard contractual clauses, for any access from the USA | cloud.google.com/terms/subprocessors |
| OpenAI Ireland Ltd. (Ireland) | reading invoices and menus, suggesting recipes and writing the analysis texts (it doesn't classify dishes) | the text of the invoices and the menu, with everything printed on them, including the supplier's name and tax ID and the restaurant's details as the buyer, and also the restaurant's name; for each dish: its name, its figures, whether its cost is incomplete, the group the application assigns it and the ingredients that weigh most in its cost or whose price has changed, by name and with their figures; the plan subscribed to; and the weekly change in margin, ingredient costs and revenue | USA and other countries | standard contractual clauses | platform.openai.com/subprocessors |
| Plus Five Five, Inc. (Resend, USA) | alert emails and reports | the content of the alerts (for example, ingredients and prices) | USA | standard contractual clauses and Data Privacy Framework | resend.com/legal/subprocessors |
| Google Cloud EMEA Limited (Ireland), Google Workspace | support mailbox | whatever you send us when asking for help | wherever Google operates | Data Privacy Framework and standard contractual clauses | workspace.google.com/terms/subprocessors |
Last updated: .
Standard Contractual Clauses
SECTION I
Clause 1
Purpose and scope
The purpose of these Standard Contractual Clauses (the Clauses) is to ensure compliance with Article 28(3) and (4) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).
The controllers and processors listed in Annex I have agreed to these Clauses in order to ensure compliance with Article 28(3) and (4) of Regulation (EU) 2016/679.
These Clauses apply to the processing of personal data as specified in Annex II.
Annexes I to IV are an integral part of the Clauses.
These Clauses are without prejudice to obligations to which the controller is subject by virtue of Regulation (EU) 2016/679.
These Clauses do not by themselves ensure compliance with obligations related to international transfers in accordance with Chapter V of Regulation (EU) 2016/679.
Clause 2
Invariability of the Clauses
The Parties undertake not to modify the Clauses, except for adding information to the Annexes or updating information in them.
This does not prevent the Parties from including the standard contractual clauses laid down in these Clauses in a broader contract, or from adding other clauses or additional safeguards provided that they do not directly or indirectly contradict the Clauses or detract from the fundamental rights or freedoms of data subjects.
Clause 3
Interpretation
Where these Clauses use the terms defined in Regulation (EU) 2016/679, those terms shall have the same meaning as in that Regulation.
These Clauses shall be read and interpreted in the light of the provisions of Regulation (EU) 2016/679.
These Clauses shall not be interpreted in a way that runs counter to the rights and obligations provided for in Regulation (EU) 2016/679 or in a way that prejudices the fundamental rights or freedoms of the data subjects.
Clause 4
Hierarchy
In the event of a contradiction between these Clauses and the provisions of related agreements between the Parties existing at the time when these Clauses are agreed or entered into thereafter, these Clauses shall prevail.
SECTION II
OBLIGATIONS OF THE PARTIES
Clause 6
Description of processing(s)
The details of the processing operations, in particular the categories of personal data and the purposes of processing for which the personal data is processed on behalf of the controller, are specified in Annex II.
Clause7
Obligations of the Parties
7.1. Instructions
The processor shall process personal data only on documented instructions from the controller, unless required to do so by Union or Member State law to which the processor is subject. In this case, the processor shall inform the controller of that legal requirement before processing, unless the law prohibits this on important grounds of public interest. Subsequent instructions may also be given by the controller throughout the duration of the processing of personal data. These instructions shall always be documented.
The processor shall immediately inform the controller if, in the processor’s opinion, instructions given by the controller infringe Regulation (EU) 2016/679 or the applicable Union or Member State data protection provisions.
7.2. Purpose limitation
The processor shall process the personal data only for the specific purpose(s) of the processing, as set out in Annex II, unless it receives further instructions from the controller.
7.3. Duration of the processing of personal data
Processing by the processor shall only take place for the duration specified in Annex II.
7.4. Security of processing
The processor shall at least implement the technical and organisational measures specified in Annex III to ensure the security of the personal data. This includes protecting the data against a breach of security leading to accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access to the data (personal data breach). In assessing the appropriate level of security, the Parties shall take due account of the state of the art, the costs of implementation, the nature, scope, context and purposes of processing and the risks involved for the data subjects.
The processor shall grant access to the personal data undergoing processing to members of its personnel only to the extent strictly necessary for implementing, managing and monitoring of the contract. The processor shall ensure that persons authorised to process the personal data received have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.
7.5. Sensitive data
If the processing involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions and offences (“sensitive data”), the processor shall apply specific restrictions and/or additional safeguards.
7.6. Documentation and compliance
The Parties shall be able to demonstrate compliance with these Clauses.
The processor shall deal promptly and adequately with inquiries from the controller about the processing of data in accordance with these Clauses.
The processor shall make available to the controller all information necessary to demonstrate compliance with the obligations that are set out in these Clauses and stem directly from Regulation (EU) 2016/679. At the controller’s request, the processor shall also permit and contribute to audits of the processing activities covered by these Clauses, at reasonable intervals or if there are indications of non-compliance. In deciding on a review or an audit, the controller may take into account relevant certifications held by the processor.
The controller may choose to conduct the audit by itself or mandate an independent auditor. Audits may also include inspections at the premises or physical facilities of the processor and shall, where appropriate, be carried out with reasonable notice.
The Parties shall make the information referred to in this Clause, including the results of any audits, available to the competent supervisory authority/ies on request.
7.7. Use of sub-processors
OPTION 2: GENERAL WRITTEN AUTHORISATION: The processor has the controller’s general authorisation for the engagement of sub-processors from an agreed list. The processor shall specifically inform in writing the controller of any intended changes of that list through the addition or replacement of sub-processors at least 30 days in advance, thereby giving the controller sufficient time to be able to object to such changes prior to the engagement of the concerned sub-processor(s). The processor shall provide the controller with the information necessary to enable the controller to exercise the right to object.
Where the processor engages a sub-processor for carrying out specific processing activities (on behalf of the controller), it shall do so by way of a contract which imposes on the sub-processor, in substance, the same data protection obligations as the ones imposed on the data processor in accordance with these Clauses. The processor shall ensure that the sub-processor complies with the obligations to which the processor is subject pursuant to these Clauses and to Regulation (EU) 2016/679.
At the controller’s request, the processor shall provide a copy of such a sub-processor agreement and any subsequent amendments to the controller. To the extent necessary to protect business secret or other confidential information, including personal data, the processor may redact the text of the agreement prior to sharing the copy.
The processor shall remain fully responsible to the controller for the performance of the sub-processor’s obligations in accordance with its contract with the processor. The processor shall notify the controller of any failure by the sub-processor to fulfil its contractual obligations.
The processor shall agree a third party beneficiary clause with the sub-processor whereby - in the event the processor has factually disappeared, ceased to exist in law or has become insolvent - the controller shall have the right to terminate the sub-processor contract and to instruct the sub-processor to erase or return the personal data.
7.8. International transfers
Any transfer of data to a third country or an international organisation by the processor shall be done only on the basis of documented instructions from the controller or in order to fulfil a specific requirement under Union or Member State law to which the processor is subject and shall take place in compliance with Chapter V of Regulation (EU) 2016/679.
The controller agrees that where the processor engages a sub-processor in accordance with Clause 7.7. for carrying out specific processing activities (on behalf of the controller) and those processing activities involve a transfer of personal data within the meaning of Chapter V of Regulation (EU) 2016/679, the processor and the sub-processor can ensure compliance with Chapter V of Regulation (EU) 2016/679 by using standard contractual clauses adopted by the Commission in accordance with of Article 46(2) of Regulation (EU) 2016/679, provided the conditions for the use of those standard contractual clauses are met.
Clause 8
Assistance to the controller
The processor shall promptly notify the controller of any request it has received from the data subject. It shall not respond to the request itself, unless authorised to do so by the controller.
The processor shall assist the controller in fulfilling its obligations to respond to data subjects’ requests to exercise their rights, taking into account the nature of the processing. In fulfilling its obligations in accordance with (a) and (b), the processor shall comply with the controller’s instructions
In addition to the processor’s obligation to assist the controller pursuant to Clause 8(b), the processor shall furthermore assist the controller in ensuring compliance with the following obligations, taking into account the nature of the data processing and the information available to the processor:
the obligation to carry out an assessment of the impact of the envisaged processing operations on the protection of personal data (a ‘data protection impact assessment’) where a type of processing is likely to result in a high risk to the rights and freedoms of natural persons;
the obligation to consult the competent supervisory authority/ies prior to processing where a data protection impact assessment indicates that the processing would result in a high risk in the absence of measures taken by the controller to mitigate the risk;
the obligation to ensure that personal data is accurate and up to date, by informing the controller without delay if the processor becomes aware that the personal data it is processing is inaccurate or has become outdated;
the obligations in Article 32 of Regulation (EU) 2016/679.
The Parties shall set out in Annex III the appropriate technical and organisational measures by which the processor is required to assist the controller in the application of this Clause as well as the scope and the extent of the assistance required.
Clause 9
Notification of personal data breach
In the event of a personal data breach, the processor shall cooperate with and assist the controller for the controller to comply with its obligations under Articles 33 and 34 of Regulation (EU) 2016/679, where applicable, taking into account the nature of processing and the information available to the processor.
9.1 Data breach concerning data processed by the controller
In the event of a personal data breach concerning data processed by the controller, the processor shall assist the controller:
in notifying the personal data breach to the competent supervisory authority/ies, without undue delay after the controller has become aware of it, where relevant/(unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons);
in obtaining the following information which, pursuant to Article 33(3) of Regulation (EU) 2016/679, shall be stated in the controller’s notification, and must at least include:
the nature of the personal data including where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned;
the likely consequences of the personal data breach;
the measures taken or proposed to be taken by the controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects.
Where, and insofar as, it is not possible to provide all this information at the same time, the initial notification shall contain the information then available and further information shall, as it becomes available, subsequently be provided without undue delay.
in complying, pursuant to Article 34 of Regulation (EU) 2016/679, with the obligation to communicate without undue delay the personal data breach to the data subject, when the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons.
9.2 Data breach concerning data processed by the processor
In the event of a personal data breach concerning data processed by the processor, the processor shall notify the controller without undue delay after the processor having become aware of the breach. Such notification shall contain, at least:
a description of the nature of the breach (including, where possible, the categories and approximate number of data subjects and data records concerned);
the details of a contact point where more information concerning the personal data breach can be obtained;
its likely consequences and the measures taken or proposed to be taken to address the breach, including to mitigate its possible adverse effects.
Where, and insofar as, it is not possible to provide all this information at the same time, the initial notification shall contain the information then available and further information shall, as it becomes available, subsequently be provided without undue delay.
The Parties shall set out in Annex III all other elements to be provided by the processor when assisting the controller in the compliance with the controller’s obligations under Articles 33 and 34 of Regulation (EU) 2016/679.
SECTION III
FINAL PROVISIONS
Clause 10
Non-compliance with the Clauses and termination
Without prejudice to any provisions of Regulation (EU) 2016/679, in the event that the processor is in breach of its obligations under these Clauses, the controller may instruct the processor to suspend the processing of personal data until the latter complies with these Clauses or the contract is terminated. The processor shall promptly inform the controller in case it is unable to comply with these Clauses, for whatever reason.
The controller shall be entitled to terminate the contract insofar as it concerns processing of personal data in accordance with these Clauses if:
the processing of personal data by the processor has been suspended by the controller pursuant to point (a) and if compliance with these Clauses is not restored within a reasonable time and in any event within one month following suspension;
the processor is in substantial or persistent breach of these Clauses or its obligations under Regulation (EU) 2016/679;
the processor fails to comply with a binding decision of a competent court or the competent supervisory authority/ies regarding its obligations pursuant to these Clauses or to Regulation (EU) 2016/679.
The processor shall be entitled to terminate the contract insofar as it concerns processing of personal data under these Clauses where, after having informed the controller that its instructions infringe applicable legal requirements in accordance with Clause 7.1 (b), the controller insists on compliance with the instructions.
Following termination of the contract, the processor shall, at the choice of the controller, delete all personal data processed on behalf of the controller and certify to the controller that it has done so, or, return all the personal data to the controller and delete existing copies unless Union or Member State law requires storage of the personal data. Until the data is deleted or returned, the processor shall continue to ensure compliance with these Clauses.