Contrato de Encargo de Tratamiento de Datos Personales (DPA)

Versión 2.2 — pendiente de revisión por abogado.

Última actualización: 11 de octubre de 2026

Versión del 11 de octubre de 2026: cambia la fecha de vigencia del conjunto, porque la Política de Privacidad suma los avisos por WhatsApp (Meta) y se publican las instrucciones para borrar datos. Este contrato suma la cláusula 8.6, sobre WhatsApp (Meta), y la lista del §8.1 refleja que la Plataforma ya se aloja en Render; ninguna otra obligación, plazo ni derecho cambia.

Versión del 10 de octubre de 2026: los documentos legales de Orbexa ahora le hablan al lector de «tú». Este contrato ya estaba redactado en tercera persona, entre partes definidas (el Responsable y Orbexa), así que sus cláusulas no cambian: ni una obligación, ni un plazo, ni un derecho.

Resumen

El restaurante decide para qué y cómo se usan los datos que trata en su servicio (reservas, pedidos, su CRM): es el Responsable de esos datos.
Orbexa los guarda y los procesa solo para prestarle el Servicio y según sus instrucciones: es el Encargado. La cuenta global con la que un comensal entra a todos los restaurantes es, en cambio, de Orbexa, que responde por ella (§3.4).
Orbexa no vende esos datos, no los usa para fines propios y no los comparte salvo con los proveedores de infraestructura listados aquí.
Si ocurre un incidente de seguridad, Orbexa avisa al restaurante en 48 horas como máximo desde que lo detecta, aunque todavía no esté confirmado.
Al terminar el contrato, el restaurante tiene 30 días para exportar; después se suprime todo de la base activa. Sobre los respaldos: mientras un dato suprimido subsista en un respaldo, queda fuera de uso y, si hubiera que restaurar la plataforma desde ese respaldo, Orbexa lo vuelve a suprimir; hoy no hay un plazo garantizado para que desaparezca de todos los respaldos.

1. Partes y objeto

1.1. Este contrato se celebra entre el Cliente de los Términos y Condiciones del Servicio de Orbexa, que actúa como Responsable de la base de datos (el «Responsable»), y 3-101-966126 Sociedad Anónima, sociedad anónima costarricense, cédula jurídica 3-101-966126, con domicilio en Tibás, provincia de San José, Costa Rica, que actúa como Encargado del Tratamiento («Orbexa» o el «Encargado»).

1.2. Tiene por objeto regular el Tratamiento de Datos Personales que Orbexa realiza por cuenta del Responsable al prestarle el Servicio, conforme a la Ley N.° 8968, Protección de la Persona frente al Tratamiento de sus Datos Personales, y su Reglamento (en conjunto, la «Normativa»).

1.3. Forma parte de los Términos y Condiciones y se acepta con ellos. En lo relativo al Tratamiento de Datos Personales prevalece sobre cualquier otro documento del contrato.

2. Definiciones

Los términos Dato Personal, Dato sensible, Base de datos, Tratamiento, Titular (o «interesado»), Responsable, Encargado y consentimiento tienen el sentido de la Normativa. Además:

Comensal: el Titular cuyos datos el Responsable recoge por la Plataforma.
Subencargado: el proveedor de Orbexa que trata Datos Personales por cuenta de Orbexa para prestar el Servicio.
Incidente de seguridad: toda vulneración de la seguridad que cause o pueda causar la pérdida, destrucción, alteración, acceso o divulgación no autorizados de Datos Personales tratados por cuenta del Responsable.
PRODHAB: la Agencia de Protección de Datos de los Habitantes.

3. Roles de las partes

3.1. Datos de los Comensales en el servicio del Responsable. El Responsable decide la finalidad, el contenido y el uso de los datos que trata en su servicio: sus reservas, su lista de espera, sus pedidos, su programa de lealtad y la ficha de cada Comensal en su CRM (historial, notas, etiquetas, restricciones alimentarias, celebraciones y preferencias). Orbexa los trata solo por cuenta de él.

3.2. Datos del personal del Responsable que este carga en la Plataforma (fichas de empleados, marcas de reloj, planillas): mismo reparto que el inciso anterior.

3.3. Datos de los Usuarios de la Cuenta (nombre, correo, credenciales, registros de acceso): Orbexa es Responsable independiente para administrar las Cuentas, autenticar, facturar, prevenir fraudes y dar soporte, conforme a su Política de Privacidad. Ese Tratamiento queda fuera de este contrato.

3.4. La cuenta global del Comensal. La Plataforma ofrece al Comensal una cuenta única, con la que entra a todos los restaurantes que usan Orbexa. Respecto de esa cuenta (registro, correo, nombre, teléfono, contraseña, sesiones, aceptación de condiciones y su vínculo con cada restaurante), Orbexa es Responsable independiente, conforme a la Política de Privacidad para Comensales, y ese Tratamiento queda fuera de este contrato. Cuando el Comensal usa su cuenta en el servicio del Responsable, lo que se genera allí (su ficha, sus reservas, sus pedidos, sus puntos) es del Responsable conforme al §3.1, y cada restaurante ve solo lo suyo.

4. Descripción del Tratamiento

4.1. Finalidad. Prestar las funciones que el Responsable active: sitio web y carta, reservas y lista de espera, pedidos por QR, punto de venta, cocina, programa de lealtad, CRM, opiniones, chat con el Negocio y los correos operativos asociados (confirmaciones, recordatorios, verificación de cuentas).

4.2. Operaciones. Recolección por los formularios de la Plataforma, registro, almacenamiento, consulta, modificación, bloqueo, exportación, supresión, respaldo y transmisión a los Subencargados del §8.

4.3. Categorías de Titulares. Comensales; contactos del CRM; personal del Responsable.

4.4. Categorías de datos, según las funciones activas:

a) identificación y contacto: nombre, teléfono, correo electrónico;
b) datos de la reserva o del pedido: fecha, hora, número de personas, mesa, productos pedidos, montos, notas;
c) lealtad y CRM: historial de visitas y consumos, puntos, inasistencias, etiquetas y notas del personal;
c bis) restricciones alimentarias (alergias, intolerancias y otras restricciones, con su gravedad y una nota), celebraciones (tipo, mes y día; el año solo si el Comensal lo da para un aniversario) y preferencias (por ejemplo, de mesa o de servicio), que el personal anota en la ficha;
d) opiniones, mensajes del chat y respuestas a encuestas;
e) preferencias de comunicación, incluido el consentimiento para recibir comunicaciones comerciales;
f) credenciales del Comensal que crea una cuenta (la contraseña se guarda solo como resumen criptográfico, nunca en texto legible);
g) datos técnicos mínimos de seguridad (cookies esenciales de sesión, dirección IP en registros de seguridad);
h) del personal: nombre, identificación, puesto, horarios, marcas de reloj y datos de planilla que el Responsable cargue.

4.5. Datos sensibles: alergias y restricciones alimentarias. La Plataforma permite registrar en la ficha del Comensal sus alergias y restricciones alimentarias, que son datos de salud y, por tanto, datos sensibles. También puede recibirlas en una nota de una reserva o de un pedido, escrita por el propio Comensal. Respecto de esos datos:

a) finalidad: la seguridad alimentaria, es decir, preparar y servir al Comensal sin poner en riesgo su salud; el Responsable se obliga a no usarlas para promociones ni para perfiles comerciales. El filtro de clientes con alergia o intolerancia es solo operativo, para preparar el servicio de forma segura, y solo lo usa el personal con ese permiso; las campañas y las promociones de la plataforma no usan ese dato.
b) consentimiento expreso: nadie está obligado a darlas, y el Comensal puede comunicarlas en persona al llegar. Cuando el comensal escribe su alergia al reservar o al pedir, la plataforma solo la guarda en su ficha de ese restaurante si marca una casilla aparte, que viene sin marcar, con su sesión de cliente abierta, y registra qué texto aceptó y cuándo. Sin esa casilla, la alergia viaja solo en la nota de esa visita. Si la anota el personal porque el comensal se la dijo en persona, la ficha guarda ese origen y la marca como dato de salud. El comensal ve y borra sus alergias en «Mis alergias» de su cuenta, y borrarlas retira su consentimiento.;
c) quién las ve: En la ficha del comensal (también cuando se abre desde una reserva) y en la exportación del libro de clientes, la ve el personal del restaurante que tiene a la vez el permiso para ver datos de salud y el de consultar clientes o reservas, que el restaurante asigna por rol; con los roles de fábrica, el dueño, la administración, los colaboradores, la gerencia, el anfitrión y los meseros. Los perfiles de solo lectura, la cocina, la caja, el encargado de piso y recursos humanos no la ven en la ficha. La alergia que el comensal escribe al pedir viaja además en la nota del pedido; con los roles de fábrica, la ven el dueño, la administración, la gerencia, los meseros, la caja y la cocina, que la recibe junto a cada plato del pedido. La que escribe al reservar viaja en la nota de la reserva; con los roles de fábrica, la ven el dueño, la administración, los colaboradores, la gerencia, el anfitrión, los meseros, la caja y la cocina, que la recibe en la comanda de la cuenta. Quien no tiene el permiso de datos de salud ve esas notas con la alergia oculta en la reserva y en el pedido, pero la copia de la nota del pedido que acompaña a cada plato la muestra completa a quien puede ver esos pedidos o la pantalla de preparación. La cocina ve además, en cada pedido, la nota de cada plato y las marcas de alérgenos para prepararlo. Aun así, conviene que el comensal avise su alergia también en persona. Cada restaurante ve únicamente las que se registraron en su servicio, y Orbexa no las usa. El Responsable asigna los roles y responde por que solo los tenga el personal que corresponda;
d) el Comensal puede pedir en cualquier momento que se corrijan o se borren, conforme al §12;
e) el Responsable no carga otros datos sensibles de los Comensales en campos libres.

4.5 bis. Celebraciones y preferencias. Las fechas que el Comensal quiere celebrar y sus preferencias se registran para atenderle mejor y, solo si el Comensal aceptó recibir comunicaciones comerciales, para saludarle en esas fechas.

4.6. Menores de edad. El Servicio no se dirige a menores. El Responsable no recogerá por la Plataforma datos de menores sin la autorización de quien ejerza su representación legal.

4.7. Duración. Mientras esté vigente el contrato de Servicio y hasta que concluyan la devolución y la supresión del §13.

5. Obligaciones del Responsable

5.1. El Responsable se obliga a:

a) informar a los Comensales, en el momento de recoger sus datos, lo que exige la Normativa (existencia de la base, finalidades, destinatarios, carácter obligatorio u optativo de las respuestas, consecuencias de negarse a darlos, derechos, identidad y dirección del Responsable), para lo cual puede usar el aviso corto y la Política de Privacidad del Comensal que Orbexa pone a su disposición, completándolos con su identificación;
b) obtener el consentimiento de los Comensales cuando la Normativa lo exija, y un consentimiento separado, previo y expreso para enviarles comunicaciones comerciales;
c) inscribir sus bases de datos ante la PRODHAB cuando la Normativa lo exija (en particular, si las usa para distribución, difusión o comercialización), para lo cual Orbexa le entrega, a su pedido, la carta de aceptación como Encargado que exige la inscripción;
d) atender las solicitudes de acceso, rectificación, supresión y demás derechos de los Comensales en los plazos legales;
e) dar a Orbexa instrucciones lícitas y responder por la licitud de los datos que carga y de los medios por los que los obtuvo;
f) mantener la confidencialidad de sus credenciales y dar acceso a los datos solo al personal que lo necesite.

5.2. Instrucciones. Las instrucciones del Responsable son las que resultan de este contrato, de los Términos y Condiciones y de la configuración que hace en la Plataforma. Una instrucción adicional se da por escrito; si exige un desarrollo o un esfuerzo extraordinario, se cotiza aparte.

6. Obligaciones de Orbexa

6.1. Solo por instrucciones. Orbexa trata los Datos Personales únicamente para prestar el Servicio y según las instrucciones del Responsable. Si una obligación legal le exigiera otro Tratamiento, se lo informa al Responsable antes, salvo que la ley lo prohíba. Si considera que una instrucción infringe la Normativa, se lo comunica.

6.2. Prohibición de uso propio. Orbexa no usa los Datos Personales de los Comensales para fines propios, no los vende, no los cede a terceros, no los combina con datos de otros clientes y no los usa para publicidad. La información agregada y anonimizada, que no permite identificar a nadie, no es Dato Personal.

6.3. Confidencialidad. Orbexa guarda el deber de confidencialidad que establece la Normativa, aun después de terminado el contrato, y lo exige por escrito a las personas que, bajo su autoridad, tengan acceso a los datos. El acceso se limita a quienes lo necesitan para operar, dar soporte o mantener la seguridad de la Plataforma.

6.4. Soporte con acceso a datos. Cuando el soporte requiera consultar datos de la Cuenta del Responsable, se hace a pedido de este o para resolver un incidente, y Orbexa lo documenta.

6.5. Requerimientos de autoridad. Si una autoridad pide a Orbexa datos del Responsable, Orbexa lo avisa al Responsable antes de entregarlos, salvo que la ley lo prohíba, y entrega solo lo estrictamente exigido.

6.6. Solicitudes de Titulares. Si un Comensal dirige a Orbexa una solicitud sobre sus datos, Orbexa la reenvía al Responsable dentro del día hábil siguiente y le informa al Comensal que la reenvió, sin contestarla en el fondo salvo instrucción del Responsable.

7. Medidas de seguridad

7.1. Orbexa aplica medidas técnicas y organizativas apropiadas al riesgo, que hoy son:

a) cifrado en tránsito (HTTPS/TLS) entre los navegadores, la Plataforma y sus proveedores;
b) contraseñas guardadas solo como resumen criptográfico con sal (bcrypt);
c) control de acceso por roles y permisos, con separación entre los datos de cada cliente;
d) registro de auditoría de las acciones sensibles (inicios de sesión, cambios de usuarios y roles, anulaciones, devoluciones, cambios de configuración);
e) secretos de la verificación en dos pasos guardados cifrados en la base de datos;
f) protección contra automatismos abusivos en formularios públicos y protección contra la falsificación de peticiones;
g) respaldos, en el estado que describe el §10;
h) gestión de credenciales de infraestructura fuera del código fuente, con acceso restringido.

7.2. Orbexa revisa y actualiza estas medidas según la evolución de los riesgos. Puede reemplazarlas por otras equivalentes o mejores, pero no puede reducir el nivel de protección.

8. Subencargados

8.1. Autorización general. El Responsable autoriza a Orbexa a valerse de los siguientes Subencargados, para las finalidades indicadas:

Render (Render Services, Inc.) — alojamiento de la aplicación y de la base de datos. Estados Unidos (región este).
Neon — solo conserva, sin uso, la copia de la base anterior a la mudanza a Render (octubre de 2026), hasta que se elimine. Railway y Vercel ya no alojan la Plataforma. Estados Unidos.
Cloudflare R2 (Cloudflare, Inc.) — almacenamiento de imágenes y archivos cargados y, cuando estén en funcionamiento (§10), de las copias de respaldo propias. Estados Unidos (región este).
Cloudflare Turnstile — verificación anti automatismos en formularios públicos, cuando el Responsable la active. Red global.
Resend — envío de correos operativos. Estados Unidos.
Pusher — mensajería en tiempo real entre la caja, la cocina y las pantallas, cuando se active. Estados Unidos.

8.2. Subencargados condicionales. Solo intervienen si el Responsable usa la función: remove.bg (quitar el fondo de una imagen; Unión Europea) y Anthropic (funciones de inteligencia artificial, hoy apagadas en la Plataforma; Estados Unidos).

8.3. Mismas obligaciones. Orbexa contrata a cada Subencargado con obligaciones de confidencialidad y seguridad no menos protectoras que las de este contrato, y responde frente al Responsable por su cumplimiento.

8.4. Cambios. Orbexa avisa al Responsable de la incorporación o sustitución de un Subencargado con al menos quince (15) días naturales de antelación. El Responsable puede oponerse por escrito, con motivos fundados en la protección de datos, dentro de ese plazo; si las partes no encuentran una solución, el Responsable puede terminar el contrato de Servicio sin penalidad antes de que el cambio rija.

8.5. La lista vigente se publica con su fecha en este documento.

8.6. WhatsApp (Meta). Si el Responsable activa los avisos por WhatsApp, se entregan por la WhatsApp Business Platform de Meta, solo a los Comensales que dieron su consentimiento para recibirlos en su teléfono, solo con plantillas aprobadas por Meta y nunca a quien respondió BAJA. Hay dos modalidades:

a) Número de Orbexa. Mientras el Responsable no conecte un número propio, los avisos salen del número de WhatsApp de Orbexa, y Meta Platforms (Estados Unidos) actúa como Subencargado de Orbexa para entregarlos, en las condiciones de este contrato.
b) Número propio del Responsable. Si el Responsable conecta su número de WhatsApp Business, contrata ese servicio directamente con Meta al conectarlo, y Meta lo presta como encargado del Responsable según las condiciones de tratamiento de datos de WhatsApp Business que el Responsable acepta en ese momento; su costo lo paga el Responsable a Meta. Orbexa actúa como proveedor tecnológico que envía los avisos por cuenta del Responsable, desde su número. El Responsable puede desconectar su número en cualquier momento.

9. Transferencia internacional

9.1. Los Subencargados del §8 tienen su infraestructura principal en los Estados Unidos de América. El Responsable conoce y autoriza ese alojamiento, que es necesario para prestar el Servicio.

9.2. Las partes entienden que el traslado de datos a Orbexa y a sus Subencargados, que los tratan por cuenta del Responsable como proveedores de servicios o intermediarios tecnológicos, no es una transferencia a un tercero en el sentido de la Normativa. Aun así, el Responsable informa a los Comensales, en su aviso de privacidad, que sus datos se alojan en el extranjero por medio de proveedores tecnológicos; la Política de Privacidad del Comensal que Orbexa pone a su disposición ya lo dice.

9.3. Orbexa solo traslada datos a Subencargados que ofrecen garantías de seguridad y confidencialidad equivalentes a las de este contrato, y nunca los cede a terceros para que los usen por cuenta propia.

10. Respaldos y su retención

10.1. Estado de los respaldos. Hoy la base de datos se respalda con volcados que una persona de Orbexa ejecuta manualmente y con las copias que mantiene el proveedor de la base de datos según su propia política de retención. Esos respaldos todavía no tienen un plazo de borrado automático garantizado. Orbexa se obliga a implementar copias automáticas diarias, cifradas antes de salir del servidor, guardadas fuera del proveedor principal y con un plazo de borrado automático de treinta y cinco (35) días, y avisará cuando estén en funcionamiento.

10.2. Datos suprimidos en un respaldo: mientras un dato suprimido subsista en un respaldo, queda fuera de uso y, si hubiera que restaurar la plataforma desde ese respaldo, Orbexa lo vuelve a suprimir; hoy no hay un plazo garantizado para que desaparezca de todos los respaldos.

11. Incidentes de seguridad

11.1. Aviso. Orbexa avisa al Responsable de todo Incidente de seguridad que afecte o pueda afectar sus datos sin demora indebida y a más tardar dentro de las cuarenta y ocho (48) horas siguientes a detectarlo, aunque todavía no esté confirmado, por los medios de notificación de los Términos y Condiciones.

11.2. Contenido. El aviso dice, en la medida en que se conozca: qué pasó y cuándo, qué categorías de datos y cuántos Titulares están afectados, las consecuencias probables, las medidas adoptadas y las recomendadas, y una persona de contacto. Lo que no se conozca de inmediato se informa a medida que se averigua.

11.3. Cooperación. Orbexa coopera con el Responsable para que este cumpla, dentro del plazo de la Normativa, su obligación de informar a los Titulares afectados y a la PRODHAB, y le entrega la información técnica que necesite.

11.4. Registro. Orbexa documenta cada Incidente, sus efectos y las medidas adoptadas.

11.5. El aviso de un Incidente no implica reconocimiento de responsabilidad.

12. Derechos de los Titulares

12.1. Orbexa pone a disposición del Responsable funciones para consultar, exportar, rectificar y suprimir o anonimizar los datos de un Comensal. Si alguna no existe en la Plataforma, Orbexa la ejecuta a pedido escrito del Responsable dentro de los dos (2) días hábiles siguientes, para que el Responsable pueda contestar dentro del plazo legal de cinco (5) días hábiles.

12.2. El Responsable contesta las solicitudes de los Comensales. Orbexa no cobra al Responsable por la asistencia razonable en estas solicitudes.

13. Devolución y supresión al terminar

13.1. Exportación. Terminado el contrato de Servicio, el Responsable dispone de treinta (30) días naturales para exportar sus datos con las funciones de la Plataforma o pedir a Orbexa su entrega en un formato estructurado de uso común.

13.2. Supresión. Vencido ese plazo, Orbexa suprime los Datos Personales del Responsable de la base activa dentro de los treinta (30) días naturales siguientes, salvo los que una ley le obligue a conservar, que quedan bloqueados.

13.3. Copias de respaldo. Conforme al §10: mientras un dato suprimido subsista en un respaldo, queda fuera de uso y, si hubiera que restaurar la plataforma desde ese respaldo, Orbexa lo vuelve a suprimir; hoy no hay un plazo garantizado para que desaparezca de todos los respaldos.

13.4. Certificación. A pedido del Responsable, Orbexa le entrega una constancia escrita de la supresión.

14. Verificación del cumplimiento

14.1. Orbexa entrega al Responsable, a su pedido, la información razonable para demostrar el cumplimiento de este contrato: descripción de las medidas de seguridad, lista de Subencargados y registro de Incidentes que lo afecten.

14.2. Si el Responsable necesita una auditoría, la pide por escrito con treinta (30) días naturales de antelación, a su costo, no más de una vez al año (o después de un Incidente que lo afecte), en horario hábil, con un auditor sujeto a confidencialidad y sin acceso a datos de otros clientes ni a secretos de seguridad.

15. Responsabilidad

15.1. Cada parte responde por el incumplimiento de sus propias obligaciones bajo la Normativa y este contrato.

15.2. Rige la cláusula de limitación de responsabilidad de los Términos y Condiciones, con sus excepciones de dolo y culpa grave, salvo lo que la Normativa disponga de forma imperativa.

15.3. Si Orbexa tratara los datos para fines propios o en contra de las instrucciones del Responsable, respondería como Responsable de ese Tratamiento.

16. Vigencia, ley aplicable y controversias

16.1. Este contrato rige mientras esté vigente el contrato de Servicio y hasta que concluyan la devolución y la supresión del §13. La confidencialidad no vence.

16.2. Se rige por las leyes de la República de Costa Rica, y las controversias se resuelven según la cláusula de resolución de controversias de los Términos y Condiciones.

16.3. Las modificaciones se rigen por la cláusula de modificaciones de los Términos y Condiciones.

17. Contacto

Encargado: 3-101-966126 Sociedad Anónima, sociedad anónima costarricense, cédula jurídica 3-101-966126, con domicilio en Tibás, provincia de San José, Costa Rica.
Privacidad y protección de datos: privacidad@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250)
Incidentes y asuntos urgentes: WhatsApp +506 7095-8250
Asuntos legales: legal@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250)