Data Processing Agreement (DPA)

Versión 1.0 · 2026-05-20

Este DPA modelo se ofrece a clientes empresariales que requieran un acuerdo formal de tratamiento conforme al RGPD art. 28. Para firmar un DPA con tu organización, contacta con dpo@chefpro.es indicando razón social y CIF.

Partes

• Responsable del tratamiento: el cliente que contrata el servicio.
• Encargado del tratamiento: ChefPro Technologies SL (CIF B12345678).

1. Objeto y alcance

El presente acuerdo regula el tratamiento de datos personales que ChefPro realiza por cuenta del cliente para prestar el servicio SaaS contratado. La descripción detallada de operaciones consta en el Anexo I.

2. Anexo I · Detalles del tratamiento

• Duración: vigente mientras dure la relación contractual + 30 días posteriores para portabilidad/borrado.
• Naturaleza: almacenamiento, organización, consulta, transmisión, supresión por instrucciones del responsable.
• Categorías de interesados: empleados del restaurante, proveedores, clientes finales (datos de reserva), staff del cliente.
• Categorías de datos: identificativos (nombre, email), profesionales (rol, restaurante), operativos (turnos, pedidos), comerciales (facturas).
• Categorías especiales: NO se tratan datos del RGPD art. 9.

3. Obligaciones del Encargado

1. Tratar los datos solo conforme a instrucciones documentadas del Responsable.
2. Garantizar que el personal con acceso firma compromiso de confidencialidad.
3. Implementar las medidas técnicas y organizativas del Anexo II.
4. No subcontratar a terceros sin autorización previa del Responsable (lista de subencargados autorizados en Anexo III).
5. Asistir al Responsable a atender derechos de los interesados.
6. Notificar incidentes de seguridad al Responsable sin dilación indebida (objetivo <24h desde detección).
7. Cooperar en evaluaciones de impacto (DPIA) y consultas previas.
8. Suprimir o devolver los datos al final del contrato.
9. Poner a disposición del Responsable la información necesaria para demostrar cumplimiento + permitir auditorías.

4. Anexo II · Medidas de seguridad

ChefPro aplica las siguientes medidas conforme al RGPD art. 32:

• Cifrado TLS 1.3 en tránsito y AES-256 en reposo.
• Aislamiento multi-tenant en 4 capas (Edge middleware + FastAPI middleware + queries por tenant_id + Row-Level Security PostgreSQL).
• Autenticación: magic link + opcional MFA (TOTP).
• Log de auditoría inmutable con hash chain SHA-256 sobre cada acceso staff.
• Backups cifrados diarios con retención 30 días.
• Plan de continuidad y recuperación ante desastres con RTO 4h y RPO 24h.
• Revisiones de seguridad periódicas + auditoría externa anual (a partir de 1000 clientes).
• Formación obligatoria al personal sobre protección de datos.

5. Anexo III · Subencargados autorizados

La lista actualizada de subencargados se mantiene en /legal/privacy sección 5. Notificaremos con al menos 30 días la incorporación de cualquier nuevo subencargado para permitir al Responsable oponerse.

6. Transferencias internacionales

Cuando algún subencargado opere fuera del EEE, la transferencia se ampara en Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea (Decisión 2021/914) y se aplican medidas técnicas suplementarias.

7. Responsabilidad

Cada parte responde de los daños causados por incumplimientos imputables conforme al RGPD art. 82. La responsabilidad del Encargado se limita en los términos previstos en el contrato principal del servicio.

8. Ley aplicable

Este DPA se rige por el RGPD y la legislación española. Para controversias se someten ambas partes a los Juzgados de Madrid capital.

Este documento está disponible en formato PDF firmable bajo demanda · contacta con dpo@chefpro.es.