Conforme al artículo 28 del Reglamento (UE) 2016/679

Versión: 20 de agosto de 2026

El presente Anexo de Encargo de Tratamiento, en adelante el “Anexo” o “DPA”, regula el tratamiento de datos personales realizado por DigitalLeads a través de BarBoost por cuenta de los establecimientos que utilizan la plataforma.

Forma parte de las condiciones contractuales aplicables al uso de BarBoost cuando, como consecuencia de la prestación del servicio, DigitalLeads acceda o trate datos personales cuya responsabilidad corresponde al establecimiento usuario.

1. Partes

Responsable del tratamiento

El bar, restaurante, cafetería, establecimiento hostelero, empresa, autónomo o profesional que contrata o utiliza BarBoost y que determina los fines y medios esenciales del tratamiento de los datos personales de sus clientes, potenciales clientes, contactos u otros interesados.

En adelante, el “Responsable” o el “Cliente”.

Los datos identificativos concretos del Responsable serán los facilitados durante el alta y configuración de su cuenta BarBoost.

Encargado del tratamiento

Titular: Sebastián Portunato Gigena
Nombre comercial: DigitalLeads
Servicio: BarBoost
NIF/NIE: [COMPLETAR]
Domicilio profesional/fiscal: [COMPLETAR]
Correo electrónico: sebastian@digitalleads.es
Sitio web: https://barboost.digital/

En adelante, el “Encargado”, “DigitalLeads” o “BarBoost”.

2. Objeto del encargo

El Responsable encarga a DigitalLeads el tratamiento de aquellos datos personales que resulten necesarios para prestar las funcionalidades contratadas o utilizadas dentro de BarBoost.

DigitalLeads tratará dichos datos exclusivamente para prestar, mantener, asegurar y dar soporte técnico a las funcionalidades de BarBoost utilizadas por el Responsable y de acuerdo con sus instrucciones documentadas.

La mera utilización de BarBoost no implica necesariamente que todas las funcionalidades disponibles supongan un tratamiento de datos por cuenta del establecimiento.

Este Anexo se aplicará únicamente a aquellos tratamientos en los que DigitalLeads actúe jurídicamente como encargado del tratamiento.

3. Tratamientos en los que DigitalLeads actúa para fines propios

Este Anexo no se aplica a aquellos datos que DigitalLeads trate como responsable independiente para sus propias finalidades legítimas.

Entre estos tratamientos pueden encontrarse, según corresponda:

• gestión de la cuenta BarBoost;
• facturación;
• gestión contractual;
• prevención del fraude;
• seguridad de la plataforma;
• cumplimiento de obligaciones legales;
• comunicaciones operativas;
• soporte;
• gestión de sus propios usuarios y clientes;
• conservación de evidencias de aceptación contractual.

Estos tratamientos se regirán por la Política de Privacidad de DigitalLeads/BarBoost.

La distinción es importante: conforme a la normativa española, si un supuesto encargado utiliza datos para finalidades propias, tendrá la consideración de responsable respecto de dichas finalidades.

4. Duración

El presente encargo permanecerá vigente durante el tiempo en que exista una relación contractual o de prestación de servicios entre el Responsable y DigitalLeads que requiera tratamiento de datos personales por cuenta del Responsable.

Finalizada la prestación, se aplicarán las reglas de devolución, supresión o conservación previstas en este Anexo.

5. Naturaleza y finalidad del tratamiento

Según las funcionalidades utilizadas por el Responsable, DigitalLeads podrá realizar operaciones como:

recogida, registro, organización, estructuración, almacenamiento, consulta, transmisión técnica, puesta a disposición, modificación, recuperación, copia de seguridad, supresión y otras operaciones necesarias para prestar BarBoost.

Las finalidades podrán incluir:

• publicación y funcionamiento de la carta digital;
• gestión de interacciones realizadas desde dicha carta;
• gestión de formularios o comunicaciones cuando existan;
• procesamiento técnico de solicitudes;
• registro de métricas asociadas al establecimiento;
• soporte técnico;
• mantenimiento del servicio;
• seguridad;
• recuperación ante incidencias;
• futuras funcionalidades expresamente contratadas por el Responsable.

DigitalLeads no utilizará los datos tratados por cuenta del Responsable para fines propios incompatibles con este encargo.

6. Categorías de interesados

Dependiendo de las funcionalidades utilizadas, los datos podrán corresponder a:

• clientes del establecimiento;
• potenciales clientes;
• usuarios de la carta digital;
• personas que contacten con el establecimiento;
• personas que realicen solicitudes o reservas, cuando dichas funciones existan;
• destinatarios de comunicaciones gestionadas por cuenta del establecimiento;
• otros interesados cuyos datos introduzca lícitamente el Responsable en BarBoost.

7. Categorías de datos personales

Dependiendo de las funciones efectivamente utilizadas, podrán tratarse:

Datos identificativos

• nombre;
• apellidos;
• identificadores técnicos.

Datos de contacto

• correo electrónico;
• teléfono.

Datos relacionados con solicitudes o interacciones

• mensajes enviados;
• consultas;
• solicitudes;
• información aportada voluntariamente por el interesado.

Datos técnicos

Cuando sean necesarios para la prestación o seguridad:

• fecha y hora de una interacción;
• identificadores técnicos;
• información básica del navegador o dispositivo;
• datos técnicos de acceso;
• registros de seguridad.

Datos de operaciones futuras

Cuando BarBoost incorpore nuevas funcionalidades, podrán existir datos relativos a:

• reservas;
• pedidos;
• formularios;
• comunicaciones;
• preferencias vinculadas al servicio.

La incorporación de nuevas categorías relevantes de tratamiento deberá reflejarse en la documentación contractual cuando resulte necesario.

8. Categorías especiales de datos

BarBoost no está diseñado para que el Responsable introduzca de forma habitual categorías especiales de datos personales del artículo 9 RGPD.

El Responsable no deberá introducir datos relativos a:

• salud;
• origen racial o étnico;
• opiniones políticas;
• religión;
• afiliación sindical;
• datos genéticos;
• datos biométricos utilizados para identificación;
• vida sexual u orientación sexual,

salvo que una funcionalidad futura esté expresamente diseñada para ello y exista una base jurídica adecuada.

La información alimentaria relativa a los platos y sus alérgenos no constituye por sí misma información sanitaria de una persona.

No obstante, si un establecimiento asociara una alergia concreta a una persona identificada —por ejemplo, dentro de una reserva indicando que un cliente es alérgico a determinados alimentos— podría estar tratando datos relativos a la salud.

En ese supuesto, el Responsable deberá asegurarse de disponer de una base jurídica válida y aplicar las garantías adicionales correspondientes.

9. Obligaciones del Responsable

Corresponde al Responsable:

a) Garantizar que los datos personales tratados a través de BarBoost han sido obtenidos lícitamente.

b) Determinar las finalidades y bases jurídicas del tratamiento.

c) Facilitar a los interesados la información requerida por los artículos 13 y 14 RGPD cuando resulte aplicable.

d) Atender las solicitudes de ejercicio de derechos de los interesados.

e) Introducir únicamente datos adecuados, pertinentes y limitados a lo necesario.

f) Mantener los datos actualizados cuando sea necesario.

g) No utilizar BarBoost para realizar tratamientos ilícitos.

h) Comunicar a DigitalLeads las instrucciones necesarias relativas al tratamiento.

i) Valorar, cuando proceda, la necesidad de realizar una evaluación de impacto en protección de datos.

j) Adoptar sus propias medidas internas de protección de datos y seguridad.

k) Garantizar que las personas autorizadas a utilizar su cuenta disponen únicamente del acceso necesario.

10. Obligaciones de DigitalLeads como encargado

DigitalLeads se compromete a:

a) Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, salvo obligación legal aplicable.

b) Informar al Responsable si considera que una instrucción infringe el RGPD u otra normativa aplicable en materia de protección de datos.

c) Garantizar que las personas autorizadas para tratar datos personales estén sujetas a una obligación de confidencialidad.

d) Aplicar medidas técnicas y organizativas apropiadas de conformidad con el artículo 32 RGPD.

e) Respetar las condiciones aplicables a la contratación de subencargados.

f) Ayudar razonablemente al Responsable en la atención de los derechos de los interesados.

g) Colaborar con el Responsable en el cumplimiento de las obligaciones relativas a seguridad, violaciones de datos, evaluaciones de impacto y consultas previas cuando resulte aplicable.

h) Suprimir o devolver los datos al finalizar la prestación, de acuerdo con este Anexo.

i) Poner a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 RGPD.

j) Permitir y contribuir a las auditorías en los términos establecidos en este Anexo.

Estas obligaciones se corresponden con el contenido mínimo exigido por el artículo 28 RGPD.

11. Instrucciones documentadas

Se considerarán instrucciones documentadas del Responsable:

• este Anexo;
• los Términos y Condiciones;
• las configuraciones realizadas dentro de BarBoost;
• las acciones realizadas por usuarios autorizados del establecimiento;
• instrucciones remitidas a DigitalLeads por medios escritos;
• configuraciones relativas a funcionalidades contratadas.

Cuando una instrucción implique un tratamiento no contemplado por el servicio contratado o requiera desarrollos, recursos o medidas adicionales, DigitalLeads podrá solicitar condiciones económicas o técnicas específicas antes de ejecutarla.

12. Confidencialidad

DigitalLeads garantizará que las personas autorizadas para acceder a datos personales tratados por cuenta del Responsable:

• accedan únicamente cuando sea necesario;
• conozcan sus obligaciones;
• estén sujetas a deber de confidencialidad;
• utilicen los datos exclusivamente para las funciones autorizadas.

La obligación de confidencialidad continuará incluso después de finalizar su relación con DigitalLeads.

13. Medidas de seguridad

DigitalLeads aplicará medidas técnicas y organizativas adecuadas al riesgo.

En función de la infraestructura y funcionalidades utilizadas, dichas medidas podrán incluir:

• control de acceso mediante autenticación;
• separación de permisos y roles;
• restricciones de acceso por usuario y establecimiento;
• validación server-side de permisos y propiedad de recursos;
• protección contra solicitudes no autorizadas;
• uso de conexiones HTTPS/TLS;
• almacenamiento seguro de credenciales mediante mecanismos de hash;
• limitación del acceso administrativo;
• actualización y mantenimiento del software;
• medidas de protección frente a accesos no autorizados;
• registro técnico de determinadas operaciones de seguridad;
• recuperación ante incidencias cuando la infraestructura lo permita;
• medidas de minimización de datos.

Las medidas concretas deberán adaptarse a la evolución técnica de BarBoost y al nivel de riesgo existente.

DigitalLeads no garantiza riesgo cero, pero se compromete a aplicar medidas proporcionadas y razonables conforme al artículo 32 RGPD.

14. Gestión de accesos

DigitalLeads limitará el acceso a los datos personales a aquellas personas, sistemas o proveedores que necesiten acceder para prestar el servicio.

Los usuarios del establecimiento serán responsables de sus propias credenciales y de los permisos concedidos dentro de su organización.

El Responsable deberá comunicar a DigitalLeads cualquier acceso no autorizado del que tenga conocimiento cuando pueda afectar al servicio.

15. Subencargados del tratamiento

El Responsable concede a DigitalLeads una autorización general para recurrir a subencargados cuando sean necesarios para prestar BarBoost.

DigitalLeads garantizará que dichos proveedores asuman obligaciones de protección de datos equivalentes, en lo esencial, a las previstas en este Anexo.

Cuando se produzca la incorporación o sustitución relevante de un subencargado que trate datos por cuenta del Responsable, DigitalLeads informará al Responsable mediante un medio razonable y le ofrecerá la posibilidad de formular objeciones justificadas.

Esta autorización general y el deber de informar sobre cambios se ajustan al artículo 28.2 RGPD.

Lista inicial de subencargados

Antes de publicar este documento deberá completarse una lista actualizada, cuando corresponda, con los proveedores que realmente acceden a datos por cuenta de los establecimientos.

Ejemplo de estructura:

No deben añadirse proveedores que no actúen realmente como subencargados.

16. Stripe y otros proveedores que actúan como responsables independientes

La utilización de un proveedor externo dentro de BarBoost no implica necesariamente que dicho proveedor sea subencargado del tratamiento.

Determinados proveedores pueden actuar como responsables independientes para sus propios tratamientos.

Por ejemplo, el proveedor de pagos puede tratar datos relativos a la ejecución, seguridad y prevención del fraude de los pagos en virtud de sus propias obligaciones y políticas.

Cuando un proveedor actúe como responsable independiente, su tratamiento no quedará regulado por este Anexo, sino por sus propias condiciones y política de privacidad.

17. Transferencias internacionales

DigitalLeads no realizará transferencias internacionales de datos personales por cuenta del Responsable salvo que:

• sean necesarias para prestar el servicio;
• exista una base jurídica válida;
• se hayan aplicado las garantías exigidas por los artículos 44 y siguientes del RGPD.

Cuando un subencargado se encuentre fuera del Espacio Económico Europeo o trate datos desde un tercer país, DigitalLeads comprobará la existencia de un mecanismo válido, como:

• decisión de adecuación;
• cláusulas contractuales tipo;
• u otra garantía admitida por el RGPD.

18. Derechos de los interesados

Corresponde al Responsable atender las solicitudes de:

• acceso;
• rectificación;
• supresión;
• oposición;
• limitación;
• portabilidad;
• y demás derechos reconocidos por la normativa.

Cuando DigitalLeads reciba directamente una solicitud relacionada con datos tratados por cuenta de un establecimiento, no responderá en nombre del Responsable salvo autorización.

DigitalLeads comunicará la solicitud al Responsable y le prestará asistencia razonable, teniendo en cuenta la naturaleza del tratamiento y las funcionalidades disponibles.

19. Violaciones de seguridad de datos personales

Cuando DigitalLeads tenga conocimiento de una violación de seguridad que afecte a datos personales tratados por cuenta del Responsable, se lo comunicará sin dilación indebida.

La comunicación incluirá, en la medida en que la información esté disponible:

• naturaleza de la incidencia;
• categorías de datos afectados;
• posibles consecuencias;
• medidas adoptadas o propuestas;
• información disponible para valorar el riesgo.

DigitalLeads colaborará razonablemente con el Responsable para que este pueda cumplir sus obligaciones de notificación a la autoridad de control o a los interesados cuando proceda.

El artículo 28 y las obligaciones de seguridad de los artículos 32 a 36 RGPD exigen esta colaboración entre encargado y responsable.

20. Evaluaciones de impacto y consulta previa

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, DigitalLeads prestará asistencia razonable al Responsable cuando este deba:

• realizar una evaluación de impacto en protección de datos;
• efectuar una consulta previa a una autoridad de control;
• acreditar determinadas medidas de seguridad.

La decisión acerca de si una evaluación de impacto resulta necesaria corresponde al Responsable, sin perjuicio de las obligaciones propias de DigitalLeads.

La LOPDGDD exige que responsables y encargados determinen medidas adecuadas atendiendo al riesgo y valoren cuando proceda la realización de evaluaciones de impacto.

21. Devolución o supresión de los datos

Finalizado el servicio, el Responsable podrá solicitar, cuando técnicamente resulte procedente:

• devolución de los datos;
• exportación mediante las herramientas disponibles;
• supresión de los datos tratados por su cuenta.

Una vez finalizada la relación, DigitalLeads suprimirá o devolverá los datos según las instrucciones aplicables, salvo cuando exista una obligación legal que exija su conservación.

DigitalLeads podrá conservar determinados datos debidamente bloqueados cuando puedan derivarse responsabilidades de la relación contractual.

La LOPDGDD contempla expresamente que, al finalizar la prestación, el responsable determine si los datos deben destruirse, devolverse o entregarse a un nuevo encargado, permitiendo al encargado conservarlos bloqueados mientras puedan derivarse responsabilidades.

22. Copias de seguridad

La eliminación de datos de los sistemas activos no implica necesariamente su desaparición instantánea de todas las copias de seguridad.

Cuando existan backups, los datos eliminados podrán permanecer durante el ciclo normal de conservación de dichas copias, sujetos a medidas de seguridad y sin ser utilizados para finalidades ordinarias.

Cuando una copia de seguridad deba restaurarse, DigitalLeads adoptará medidas razonables para evitar la reintroducción indebida de datos previamente eliminados cuando resulte técnicamente posible.

23. Auditorías

DigitalLeads pondrá a disposición del Responsable la información razonablemente necesaria para acreditar el cumplimiento del artículo 28 RGPD.

El Responsable podrá solicitar una auditoría cuando exista una causa razonable relacionada con el cumplimiento del presente encargo.

Las auditorías deberán:

• notificarse con antelación razonable;
• realizarse durante horario laboral;
• minimizar interferencias en el servicio;
• respetar la confidencialidad;
• no comprometer información de otros clientes;
• no afectar a la seguridad de BarBoost.

Cuando exista documentación, certificaciones, informes o evidencias suficientes para acreditar determinados aspectos, DigitalLeads podrá proporcionarlos como alternativa a una inspección presencial.

Los costes extraordinarios derivados de auditorías específicas solicitadas por el Responsable podrán ser asumidos por este cuando excedan las obligaciones razonables ordinarias de DigitalLeads.

24. Cooperación con autoridades

DigitalLeads colaborará con la Agencia Española de Protección de Datos y demás autoridades competentes cuando exista una obligación legal de hacerlo.

Cuando sea legalmente posible, informará al Responsable de requerimientos que afecten específicamente a los datos tratados por su cuenta.

25. Registro de actividades de tratamiento

DigitalLeads mantendrá, cuando resulte legalmente exigible, el registro correspondiente de las categorías de actividades de tratamiento realizadas en calidad de encargado.

El Responsable es responsable de mantener su propio registro de actividades cuando resulte obligatorio.

26. Prohibición de utilizar los datos para otros fines

DigitalLeads no venderá los datos personales tratados exclusivamente por cuenta del Responsable ni los utilizará para elaborar perfiles propios, campañas publicitarias propias u otras finalidades incompatibles con el servicio contratado.

Esta limitación no impide tratar determinados datos bajo la condición de responsable independiente cuando exista una finalidad propia legítima y debidamente informada, como gestión contractual, seguridad, facturación o cumplimiento legal.

27. Responsabilidad

Cada parte responderá por las obligaciones que le correspondan conforme al RGPD, la LOPDGDD y demás normativa aplicable.

El Responsable será responsable, entre otras cuestiones, de:

• legitimidad de la recogida;
• información facilitada al interesado;
• bases jurídicas;
• instrucciones impartidas;
• utilización que realice de los datos.

DigitalLeads será responsable de cumplir las obligaciones que le correspondan como encargado.

Si DigitalLeads determinase por sí mismo los fines y medios de un tratamiento realizado inicialmente por cuenta del Responsable, será considerado responsable respecto de dicho tratamiento en los términos del RGPD.

28. Comunicaciones relativas a protección de datos

Las comunicaciones relacionadas con el presente Anexo podrán enviarse a:

DigitalLeads — BarBoost
Sebastián Portunato Gigena
Email: sebastian@digitalleads.es

El Responsable utilizará los datos de contacto asociados a su cuenta BarBoost.

29. Modificaciones

DigitalLeads podrá actualizar este Anexo cuando sea necesario debido a:

• cambios regulatorios;
• modificaciones en BarBoost;
• incorporación de nuevos tratamientos;
• cambios relevantes de infraestructura;
• modificación de subencargados;
• evolución de medidas de seguridad.

Cuando una modificación afecte sustancialmente a las condiciones del encargo, se informará al Responsable por un medio razonable.

Cada versión deberá estar identificada y conservarse de manera que pueda determinarse qué versión resultaba aplicable en cada momento.

30. Integración contractual

Este DPA forma parte del contrato entre DigitalLeads y el Responsable para la prestación de BarBoost.

En caso de contradicción entre este Anexo y otras condiciones contractuales respecto al tratamiento de datos realizado por cuenta del Responsable, prevalecerá este Anexo en aquello específicamente relacionado con el artículo 28 RGPD.

31. Ley aplicable

El presente Anexo se regirá por:

• Reglamento (UE) 2016/679;
• Ley Orgánica 3/2018;
• legislación española aplicable;
• demás normativa europea directamente aplicable en materia de protección de datos.

ANEXO I — Descripción del tratamiento

Objeto: prestación de BarBoost y funcionalidades contratadas por el establecimiento.

Duración: mientras exista una prestación activa que requiera tratamiento por cuenta del Responsable, más los períodos técnicos o legales de conservación aplicables.

Finalidad: prestación, mantenimiento, soporte, seguridad y ejecución de las funcionalidades de BarBoost utilizadas por el Responsable.

Naturaleza de las operaciones: recogida cuando proceda, registro, organización, almacenamiento, consulta, modificación, transmisión técnica, recuperación, supresión y operaciones auxiliares necesarias.

Interesados: clientes, potenciales clientes, usuarios de cartas digitales, contactos y otros interesados cuyos datos gestione lícitamente el establecimiento.

Datos: identificativos, contacto, comunicaciones, interacciones y datos técnicos necesarios según las funcionalidades empleadas.

Categorías especiales: no previstas con carácter general.

ANEXO II — Medidas técnicas y organizativas

DigitalLeads mantendrá medidas proporcionadas al riesgo, que podrán incluir:

1. Autenticación y control de acceso.
2. Gestión de roles y permisos.
3. Separación lógica entre establecimientos.
4. Verificación server-side de ownership.
5. Protección de credenciales.
6. Comunicaciones cifradas mediante HTTPS/TLS.
7. Validación y saneamiento de entradas.
8. Protección frente a accesos no autorizados.
9. Actualización de componentes de software.
10. Limitación de privilegios.
11. Procedimientos de gestión de incidencias.
12. Copias de seguridad cuando correspondan a la infraestructura utilizada.
13. Minimización de datos.
14. Restricción del acceso administrativo.
15. Medidas de continuidad y recuperación técnicamente disponibles.

La descripción podrá actualizarse para reflejar mejoras de seguridad sin que ello suponga una reducción material injustificada del nivel de protección.

ANEXO III — Subencargados autorizados

El Responsable concede autorización general conforme al artículo 28.2 RGPD.

La relación efectiva deberá mantenerse actualizada.

No incluir Stripe automáticamente en esta tabla sin verificar primero en qué tratamientos concretos actúa como encargado o responsable independiente.

32. Aceptación

El presente Anexo se considerará aceptado cuando el Responsable:

• acepte expresamente las condiciones contractuales de BarBoost que incorporen este documento;
• contrate el servicio;
• o complete otro mecanismo de aceptación electrónica válido habilitado por BarBoost.

BarBoost podrá registrar como evidencia:

• identificador del usuario;
• versión del DPA;
• fecha y hora;
• versión de los Términos;
• operación contractual asociada.

---

Responsable: establecimiento usuario de BarBoost.

Encargado:
Sebastián Portunato Gigena
DigitalLeads — BarBoost
sebastian@digitalleads.es
Versión del DPA: 2026-08-20
Fecha de última actualización: 20 de agosto de 2026.

---