Fecha de entrada en vigor: 28/3/2026
Este Acuerdo de Tratamiento de Datos (“DPA”) se celebra entre:
Denominados conjuntamente las “Partes”.
Este DPA complementa y forma parte del acuerdo entre las Partes para la prestación de la plataforma B2B de Bomdiu para el sector de alimentos y bebidas, conforme a las Condiciones de Servicio (el “Acuerdo”). En caso de conflicto entre este DPA y el Acuerdo, prevalecerá este DPA en lo relativo a las cuestiones de protección de datos.
Los términos no definidos en el presente documento tendrán el significado que se les atribuye en el Acuerdo o en el Reglamento (UE) 2016/679 (“RGPD”).
El Encargado trata Datos Personales por cuenta del Responsable para proporcionar la plataforma B2B de Bomdiu para el sector de alimentos y bebidas, incluyendo la gestión de pedidos, la gestión de catálogos, la sincronización de datos, la inteligencia empresarial y el procesamiento de documentos asistido por IA.
El tratamiento se mantendrá durante la vigencia del Acuerdo. Tras la resolución, se aplicarán las disposiciones de la Sección 11 de este DPA.
El Encargado trata Datos Personales para las siguientes finalidades:
El Responsable deberá:
El Encargado tratará los Datos Personales únicamente sobre la base de instrucciones documentadas del Responsable, incluyendo en lo relativo a las transferencias de Datos Personales a un tercer país, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros al que esté sujeto el Encargado. En tal caso, el Encargado informará al Responsable de dicho requisito legal antes del tratamiento, salvo que dicha legislación prohíba tal notificación.
Las Partes acuerdan que el Acuerdo (incluido este DPA) y el uso del Servicio por parte del Responsable constituyen las instrucciones documentadas completas y definitivas del Responsable al Encargado. Cualquier instrucción adicional o alternativa deberá acordarse por separado y por escrito.
El Encargado garantizará que las personas autorizadas para tratar Datos Personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada.
El Encargado aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo, según proceda:
El Encargado revisará y actualizará periódicamente estas medidas para adaptarlas a los cambios en la tecnología, las amenazas y la naturaleza de los datos tratados.
El Encargado, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, asistirá al Responsable mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, en el cumplimiento de las obligaciones del Responsable de atender las solicitudes de ejercicio de derechos de los interesados en virtud del Capítulo III del RGPD (acceso, rectificación, supresión, limitación, portabilidad y oposición).
El Encargado asistirá asimismo al Responsable en el cumplimiento de:
Cuando dicha asistencia requiera un esfuerzo significativo que exceda el funcionamiento ordinario del Servicio, el Encargado podrá cobrar una tarifa razonable basada en los costes reales del Encargado.
El Responsable otorga por la presente al Encargado una autorización general por escrito para contratar Subencargados con el fin de llevar a cabo actividades de tratamiento específicas por cuenta del Responsable. El Encargado garantizará que cada Subencargado esté sujeto a obligaciones de protección de datos no menos protectoras que las establecidas en este DPA.
Los Subencargados actuales del Encargado a la fecha de este DPA se enumeran en el Anexo B. Asimismo, se mantiene una lista actualizada en la Política de Privacidad.
El Encargado notificará al Responsable cualquier cambio previsto relativo a la incorporación o sustitución de Subencargados con al menos treinta (30) días de antelación antes de que el nuevo Subencargado comience a tratar Datos Personales, otorgando así al Responsable la oportunidad de oponerse a dichos cambios.
Si el Responsable tiene una objeción razonable y documentada a un nuevo Subencargado por motivos de protección de datos, el Responsable lo notificará al Encargado por escrito en un plazo de quince (15) días desde la recepción de la notificación del Encargado. Las Partes discutirán la objeción de buena fe con el fin de alcanzar una resolución comercialmente razonable.
Si no se puede alcanzar una resolución en un plazo de treinta (30) días desde la objeción del Responsable, el Responsable podrá resolver el Acuerdo (o la parte afectada del Servicio) mediante notificación por escrito, sin penalización. El Encargado reembolsará las cuotas prepagadas correspondientes a la parte no utilizada del período de suscripción posterior a la fecha efectiva de resolución.
El Encargado seguirá siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones de cada Subencargado en virtud de este DPA.
El Encargado no transferirá Datos Personales a un país fuera del Espacio Económico Europeo (EEE) salvo que existan las garantías adecuadas establecidas en el Capítulo V del RGPD.
Cuando las transferencias fuera del EEE sean necesarias, el Encargado se basa en uno o varios de los siguientes mecanismos:
El Encargado realiza Evaluaciones de Impacto de Transferencias para las transferencias de datos a terceros países y pondrá los resúmenes a disposición del Responsable previa solicitud razonable.
El Encargado notificará al Responsable sin dilación indebida, y en cualquier caso en un plazo máximo de cuarenta y ocho (48) horas, tras tener conocimiento de una Violación de Datos que afecte a Datos Personales tratados por cuenta del Responsable.
La notificación incluirá, en la medida en que se conozca en ese momento:
Si no es posible facilitar toda la información simultáneamente, el Encargado proporcionará la información de forma gradual sin dilación indebida adicional.
El Encargado cooperará con el Responsable y adoptará medidas comerciales razonables para asistir en la investigación, mitigación y subsanación de la Violación de Datos. El Encargado no informará a ningún tercero de una Violación de Datos sin consultar previamente con el Responsable, salvo que así lo exija la ley.
El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD y en este DPA, y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Responsable o por un auditor independiente designado por el Responsable.
Las auditorías estarán sujetas a las siguientes condiciones:
El Encargado podrá atender las solicitudes de auditoría proporcionando al Responsable informes de auditoría de terceros pertinentes, certificaciones (p. ej., SOC 2, ISO 27001) u otras pruebas de cumplimiento, siempre que dicha evidencia responda razonablemente a los objetivos de auditoría del Responsable.
El Encargado utiliza tecnologías de inteligencia artificial y aprendizaje automático como parte del Servicio para asistir en la extracción, organización y tratamiento de datos empresariales a partir de documentos como facturas, pedidos y catálogos.
Los Datos Personales tratados mediante funcionalidades de IA podrán ser transmitidos a los siguientes Subencargados de IA (también enumerados en el Anexo B):
Solo se transmiten a los Subencargados de IA los datos estrictamente necesarios para proporcionar la funcionalidad de IA correspondiente.
Los Datos Personales tratados mediante funcionalidades de IA se utilizan exclusivamente para inferencia y no se utilizan para entrenar modelos de IA. El Encargado garantiza que sus Subencargados de IA tienen la prohibición contractual de conservar o utilizar Datos Personales para fines de entrenamiento de modelos.
Los resultados generados por IA se presentan para revisión y confirmación humana antes de que se adopte cualquier acción. No se toman decisiones automatizadas con efectos jurídicos o igualmente significativos exclusivamente por IA sin revisión humana.
El Encargado no lleva a cabo decisiones individuales automatizadas ni elaboración de perfiles que produzcan efectos jurídicos para los interesados o les afecten significativamente de forma similar, según lo definido en el artículo 22 del RGPD. En caso de que esto cambie, el Encargado notificará al Responsable y actualizará este DPA en consecuencia.
Tras la resolución o expiración del Acuerdo, el Responsable dispondrá de un plazo de noventa (90) días (“Plazo de Recuperación”) para exportar sus Datos Personales del Servicio. El Encargado pondrá los datos a disposición para su exportación en un formato estructurado, de uso común y lectura mecánica (p. ej., CSV o JSON a través de las funcionalidades de exportación de la plataforma o de la API).
Tras el Plazo de Recuperación, el Encargado suprimirá o anonimizará todos los Datos Personales tratados por cuenta del Responsable, salvo que su conservación sea exigida por el Derecho de la Unión o de los Estados miembros. El Encargado confirmará la supresión por escrito a solicitud del Responsable.
Los Datos Personales podrán persistir en copias de seguridad cifradas durante un máximo de treinta (30) días tras su supresión de los sistemas de producción, de conformidad con el calendario de rotación de copias de seguridad del Encargado. Los datos de las copias de seguridad no se tratan activamente y solo se restauran en escenarios de recuperación ante desastres.
El Encargado podrá conservar Datos Personales limitados cuando sea necesario para cumplir obligaciones legales (p. ej., registros fiscales en virtud de la Ley griega 4987/2022, art. 36: 5 años, ampliables a 10 años en caso de auditorías pendientes), resolver disputas o hacer cumplir el Acuerdo. En la medida de lo posible, dichos datos conservados se aislarán y se restringirá el acceso a los mismos.
La responsabilidad de las Partes en virtud de este DPA estará sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el Acuerdo, salvo en la medida en que la Legislación Aplicable en Materia de Protección de Datos disponga lo contrario.
Este DPA entrará en vigor en la fecha en que el Responsable acepte el Acuerdo y permanecerá vigente mientras el Encargado trate Datos Personales por cuenta del Responsable.
Este DPA podrá ser modificado por el Encargado para reflejar cambios en la Legislación Aplicable en Materia de Protección de Datos o en las directrices de las autoridades de control. Las modificaciones sustanciales serán notificadas al Responsable con al menos treinta (30) días de antelación. El uso continuado del Servicio por parte del Responsable tras la entrada en vigor de la modificación constituirá la aceptación de la misma. Si el Responsable no acepta la modificación, podrá resolver el Acuerdo de conformidad con la Sección 17 de las Condiciones de Servicio.
Este DPA se regirá por las leyes de la República Helénica (Grecia) y estará sujeto a la jurisdicción exclusiva de los Tribunales de Tesalónica, en consonancia con el Acuerdo.
| Elemento | Descripción |
|---|---|
| Objeto | Tratamiento de Datos Personales para proporcionar la plataforma B2B de Bomdiu para el sector de alimentos y bebidas |
| Duración | Duración del Acuerdo más los períodos de retención posteriores a la resolución descritos en la Sección 11 |
| Naturaleza del tratamiento | Recogida, almacenamiento, organización, recuperación, consulta, utilización, comunicación por transmisión, cotejo, combinación, limitación, supresión, destrucción |
| Finalidad | Alojamiento de la plataforma, facilitación de pedidos, sincronización de datos, procesamiento de documentos asistido por IA, análisis, comunicaciones transaccionales, atención al cliente |
| Tipos de Datos Personales | Datos de contacto (nombre, correo electrónico, teléfono, dirección), información de empleados (nombre, cargo), datos de pedidos/transacciones, mensajes de chat, identificadores técnicos (dirección IP, credenciales con hash) |
| Categorías de interesados | Empleados y colaboradores del Responsable, personas de contacto de los clientes/proveedores del Responsable, personal de reparto/logística |
Los siguientes Subencargados están autorizados a la fecha de publicación de este DPA:
| Subencargado | Servicio | Datos tratados | Ubicación de datos | Mecanismo de transferencia |
|---|---|---|---|---|
| Cloudflare | CDN, base de datos (D1), alojamiento (Workers/Pages), analítica web, inferencia de IA (Workers AI) | Datos técnicos, datos de cuenta, datos operativos | UE (principal), EE. UU. | DPF UE-EE. UU.; CCT |
| PlanetScale | Alojamiento de base de datos | Datos de cuenta, datos operativos | UE | CCT |
| UpCloud | Alojamiento de infraestructura | Datos de cuenta, datos operativos | UE | N/A (solo EEE) |
| Fly.io | Alojamiento de servicios | Datos de cuenta, datos operativos | UE | N/A (solo EEE) |
| Resend | Envío de correo electrónico transaccional | Datos de contacto (nombre, correo electrónico), contenido de notificaciones | EE. UU. | DPF UE-EE. UU.; CCT |
| PostHog | Analítica de producto, grabación de sesiones (Cloud UE) | Eventos de análisis de uso, datos de grabación de sesiones (incluido contenido e interacciones en pantalla que puedan mostrar datos personales), identificadores internos de organización/cliente | UE | N/A (solo EEE) |
| Google (Vertex AI) | Inferencia de IA (procesamiento de documentos) | Contenido de documentos (facturas, pedidos, catálogos) que pueden contener datos de contacto | Región UE | CCT; Google DPA |
| Better Auth | Infraestructura de autenticación (panel de control, protección contra abusos, registro de auditoría) | Datos de cuenta, eventos de autenticación, eventos de seguridad (direcciones IP, huellas digitales del navegador, ubicaciones de inicio de sesión), direcciones de correo electrónico | EE. UU. | CCT |
Nota: La analítica Umami está alojada en la propia infraestructura de Bomdiu y no constituye un Subencargado.
Para consultas relativas a este DPA, póngase en contacto con:
Bomdiu SINGLE MEMBER PC GEMI: 190310106000 VAT: EL803131996 Geor. Gennimata 21 555 35 Thessaloniki Greece Teléfono: +30 231 176 8265 Correo electrónico: privacy@bomdiu.com Sitio web: https://bomdiu.com