Contrato de encargo de tratamiento

Anexo a los Términos y condiciones de contratación de TapReview
Última actualización: 4 de noviembre de 2026

Este contrato se celebra conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD, y se entiende aceptado por el Cliente al aceptar los Términos y condiciones de TapReview al contratar.

1. Partes

• Responsable del tratamiento: el Cliente que contrata el servicio TapReview (el restaurante o negocio), con los datos indicados en su pedido.
• Encargado del tratamiento: TapReview, nombre comercial de un profesional autónomo establecido en Sevilla (España), email tapreviewia@gmail.com. Su nombre completo, NIF y domicilio figuran en la factura de cada compra.

2. Objeto

El Encargado trata, por cuenta del Responsable, los datos personales necesarios para prestar el servicio TapReview: leer, almacenar, mostrar y analizar con inteligencia artificial las reseñas de la ficha de Google Business Profile del Responsable, y generar indicadores, informes, objetivos y sugerencias de respuesta en el dashboard.

3. Duración

Este contrato dura lo mismo que la suscripción del Cliente. Las obligaciones de confidencialidad y de devolución o supresión de los datos continúan tras su fin.

4. Naturaleza, finalidad y datos tratados

• Naturaleza del tratamiento: recogida mediante la API de Google, registro, conservación, consulta, análisis automatizado, generación de informes y supresión.
• Finalidad: prestar el servicio contratado. El Encargado no usará los datos para ninguna otra finalidad propia.
• Categorías de interesados: clientes del negocio que han publicado reseñas en Google; personal del Responsable que usa el dashboard o aparece mencionado en las reseñas.
• Categorías de datos: nombre público y foto de perfil del autor de la reseña en Google, texto de la reseña, puntuación, fecha, respuestas del negocio y cualquier dato que el autor haya incluido en su reseña; datos identificativos y de contacto de los usuarios del dashboard.
• No se tratan intencionadamente categorías especiales de datos. Si alguna reseña las incluye por decisión de su autor, se tratarán solo como parte del contenido de la reseña.

5. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son las de este contrato y las que el Responsable da al configurar y usar el servicio. Si una instrucción infringe la normativa, informará al Responsable.
2. Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
3. Aplicar las medidas de seguridad del apartado 9.
4. No usar los datos para fines propios ni para publicidad, y no venderlos. Respecto a los datos obtenidos de las API de Google, cumplir la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado.
5. Asistir al Responsable para atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un interesado se dirige al Encargado, se lo trasladará al Responsable en un plazo máximo de 5 días laborables.
6. Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consulta previa, cuando proceda.
7. Notificar al Responsable cualquier violación de seguridad de los datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento, con la información disponible para que el Responsable pueda notificarla a la autoridad en el plazo de 72 horas.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con preaviso de al menos 30 días, a cargo del Responsable y sin afectar a la seguridad de otros clientes.
9. Llevar, cuando sea obligatorio, un registro de las actividades de tratamiento realizadas por cuenta del Responsable.

6. Obligaciones del Responsable

El Responsable se obliga a:

1. Ser titular o estar autorizado para gestionar la ficha de Google conectada y tener una base legal para el tratamiento.
2. Informar a sus clientes del tratamiento de sus datos cuando proceda.
3. Dar instrucciones lícitas al Encargado.
4. Supervisar el tratamiento.

7. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados, necesarios para prestar el servicio:

El Encargado informará al Responsable por email de cualquier cambio previsto en los subencargados con al menos 15 días de antelación. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si no se llega a una solución, podrá dar de baja el servicio sin penalización.

El Encargado firmará con cada subencargado un contrato con las mismas obligaciones de protección de datos que este, y seguirá siendo responsable frente al Responsable de su cumplimiento.

8. Transferencias internacionales

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se realizará solo a países con decisión de adecuación de la Comisión Europea, a entidades adheridas al Marco de Privacidad de Datos UE-EE. UU., o con cláusulas contractuales tipo aprobadas por la Comisión Europea y, en su caso, medidas adicionales.

9. Medidas de seguridad

Teniendo en cuenta el estado de la técnica, el coste y los riesgos, el Encargado aplica, como mínimo:

• Cifrado de las comunicaciones (HTTPS/TLS).
• Cifrado de los tokens de acceso a Google y de las credenciales.
• Control de acceso con usuario y contraseña, y acceso interno limitado a quien lo necesite.
• Separación lógica de los datos de cada Cliente.
• Secretos y claves fuera del código fuente.
• Copias de seguridad periódicas y procedimientos de restauración.
• Registro de accesos y actualizaciones de seguridad.
• Envío al proveedor de IA solo de los datos necesarios para el análisis, con un proveedor que no usa los datos de la API para entrenar sus modelos.

10. Fin del tratamiento: devolución y supresión

Al terminar el servicio, el Encargado:

1. Si el Responsable lo pide antes de la baja, le facilitará una exportación de los datos en un formato estándar.
2. Suprimirá los datos en un plazo máximo de 30 días desde el fin del servicio, incluidas las copias, salvo que la ley obligue a conservarlos. En ese caso los mantendrá bloqueados durante el plazo legal.
3. Las copias de seguridad se eliminarán según su ciclo normal de rotación, en un plazo máximo de 90 días.

11. Responsabilidad

Cada parte responde de sus incumplimientos según el artículo 82 del RGPD. Si el Encargado usa los datos para otra finalidad o incumple este contrato, será considerado responsable del tratamiento en lo que respecta a ese uso.

12. Ley aplicable

Este contrato se rige por la legislación española y la normativa europea de protección de datos. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Sevilla (España).