Documento legal
Encargo de tratamiento de datos personales
Este documento forma parte de los Términos y condiciones y se aplica a todo restaurante que use NAEVEN. Regula cómo CCORI (el encargado) trata los datos personales de los huéspedes por cuenta del restaurante (el titular del banco de datos o responsable), conforme a la Ley N.° 29733 y su Reglamento (D. S. N.° 016-2024-JUS).
1. Objeto y duración
NAEVEN trata los datos solo para prestar el servicio contratado: reservas, gestión de sala, comunicaciones con huéspedes, depósitos, fichas de huéspedes, campañas que el restaurante decida enviar e informes. El encargo dura lo mismo que la cuenta del restaurante.
2. Datos y personas afectadas
- Huéspedes: nombre, teléfono, correo, idioma, historial de reservas y visitas, ocasiones, preferencias, valoraciones, consentimiento de marketing y datos de depósitos (sin números de tarjeta).
- Datos sensibles: alergias o restricciones alimentarias, solo si el huésped las comparte y solo para preparar su visita.
- Equipo del restaurante: nombre, correo, rol y registro de acciones en el panel.
3. Obligaciones de NAEVEN
- Tratar los datos únicamente siguiendo las instrucciones del restaurante, expresadas a través de la configuración y el uso del panel.
- No usarlos para fines propios, no venderlos y no cruzarlos con datos de otros restaurantes. Cada restaurante solo accede a su propia información.
- Guardar confidencialidad y exigirla a las personas y proveedores que intervienen en el servicio.
- Aplicar medidas de seguridad: cifrado en tránsito, acceso por roles, aislamiento entre restaurantes, registro de acciones sensibles, copias de seguridad, límites contra el abuso de la reserva online y revisión diaria de la integridad de los datos.
- Avisar al restaurante sin demora indebida, y en un máximo de 48 horas desde que tenga conocimiento, de cualquier incidente de seguridad que afecte a sus datos, con la información disponible para que pueda actuar.
- Ayudar al restaurante a responder los derechos de acceso, rectificación, cancelación y oposición (ARCO) de sus huéspedes. El panel permite consultar, corregir, exportar y fusionar fichas.
- Al terminar el servicio, entregar al restaurante sus datos en un formato de uso común (CSV) y eliminarlos dentro de los 90 días siguientes, salvo obligación legal de conservarlos.
4. Subencargados
El restaurante autoriza a NAEVEN a apoyarse en estos proveedores, que asumen obligaciones equivalentes. Varios prestan el servicio desde fuera del Perú, por lo que existe flujo transfronterizo de datos, necesario para el servicio:
- Supabase (base de datos y autenticación) y Vercel (alojamiento de la aplicación).
- Resend (envío de correos) y Meta (WhatsApp Business, cuando se active).
- PayPal e Izipay (cobro de depósitos, cuando el restaurante los active), que procesan los pagos directamente.
Si incorporamos un proveedor nuevo que trate datos de huéspedes, lo publicaremos en esta página con al menos 15 días de antelación.
5. Obligaciones del restaurante
- Inscribir su banco de datos de clientes ante la Autoridad Nacional de Protección de Datos Personales cuando corresponda e informar a sus huéspedes de forma clara.
- Tener base legal para los datos que carga o importa (por ejemplo, listas de clientes de otro sistema) y marcar el consentimiento de marketing solo cuando el huésped lo haya dado.
- Dar acceso al panel solo a personas de su equipo que lo necesiten, con el rol adecuado, y retirarlo cuando dejen de trabajar en el restaurante.
- Atender los derechos ARCO de sus huéspedes como titular del banco de datos.
6. Aliados (hoteles y agencias)
Si el restaurante crea aliados, cada aliado ve en su portal solo las reservas que llegaron por su enlace o su código, con los datos mínimos para dar seguimiento y calcular su comisión (código, fecha, hora, número de personas, experiencia, estado y nombre del huésped). El restaurante decide qué aliados crea y puede desactivarlos en cualquier momento.
7. Auditoría y contacto
El restaurante puede pedir por escrito información sobre las medidas aplicadas a sus datos y el registro de acciones de su cuenta. Consultas y avisos: ceo@ccoriperu.com.