Acuerdo de encargo de tratamiento de datos (art. 28 del RGPD) entre el restaurante que contrata Kavuo (el responsable) y Voilá Estudio Creativo S.L., con NIF B39872783 (el encargado). Versión 2026-09-29. Se acepta al crear la cuenta o reclamar un restaurante.
1. Objeto
El encargado trata datos personales por cuenta del responsable únicamente para prestarle el servicio de Kavuo: alojar su web y su carta, gestionar reservas, lista de espera y clientes, enviar emails y mensajes de WhatsApp a sus comensales, cobrar no-show y, si lo contrata, atender llamadas con el asistente de voz.
2. Datos y personas afectadas
Categorías de datos: nombre, teléfono, email, datos de la reserva (fecha, hora, comensales, notas, alergias o preferencias que indique el cliente), historial de visitas, datos de pago tokenizados por Stripe o Redsys (el encargado no guarda el número de tarjeta) y, en Voice, la transcripción de la llamada. El audio de las llamadas no se graba.
Interesados: comensales, clientes y personas que contactan con el restaurante.
3. Duración
Mientras el responsable tenga cuenta en Kavuo. Si la suscripción termina, el encargado suprime los datos personales de los clientes del restaurante a los 12 meses sin plan activo; si el responsable da de baja la cuenta, en el plazo de 30 días desde la baja, salvo obligación legal de conservarlos.
4. Obligaciones del encargado
Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son el uso normal de la plataforma y lo que este acuerdo establece.
Garantizar que las personas autorizadas se comprometen a la confidencialidad.
Aplicar medidas de seguridad adecuadas, entre ellas control de acceso por restaurante mediante políticas a nivel de fila en la base de datos, cifrado en tránsito, y acceso de administración restringido y con doble factor.
Ayudar al responsable a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad y evaluación de impacto, en lo que le corresponda.
Notificar al responsable sin dilación indebida, y en todo caso en 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos que le afecte.
Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, avisadas con antelación y sin perjuicio de la seguridad de otros clientes.
5. Subencargados
El responsable autoriza de forma general el uso de los subencargados de la lista siguiente. El encargado informará de altas o cambios con antelación razonable y el responsable podrá oponerse; si no hay alternativa, podrá cancelar el servicio. El encargado impone a cada subencargado obligaciones equivalentes a las de este acuerdo.
Supabase: Base de datos, autenticación y almacenamiento de archivos. Ubicación: UE (Irlanda).
Vercel: Alojamiento y ejecución de la aplicación. Ubicación: UE (Dublín).
OpenAI: Generación y traducción de textos con IA. Ubicación: EE. UU..
Google (Places y Maps): Búsqueda de restaurantes y mapas. Ubicación: EE. UU..
Stripe: Cobro de suscripciones y de no-show. Ubicación: UE / EE. UU..
Redsys: Cobro de no-show con TPV Virtual. Ubicación: España.
Resend: Envío de emails transaccionales. Ubicación: UE / EE. UU..
Meta (WhatsApp Business): Mensajes de WhatsApp a comensales. Ubicación: UE / EE. UU..
Telnyx: Telefonía del asistente de voz (Voice). Ubicación: UE / EE. UU..
PostHog: Analítica de uso (solo con consentimiento). Ubicación: UE.
Las transferencias fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo.
6. Obligaciones del responsable
Informar a sus comensales de cómo trata sus datos (por ejemplo, con la política de privacidad de su web), contar con una base jurídica para ese tratamiento y usar los datos de forma lícita. Si activa el cobro de no-show, informar de su política de cancelación. Si contrata Voice, es responsable de que el aviso de IA sea adecuado en su caso.
7. Contacto
Para cualquier asunto relacionado con este acuerdo: hola@kavuo.app.