Anexo de Tratamiento de Datos
Última actualización: julio de 2026.
Cláusulas de encargado del tratamiento conforme al art. 15 bis de la Ley N.º 21.719 de Chile. Última actualización: julio de 2026.
1. Roles de las partes
El Cliente actúa como Responsable del Tratamiento de los datos personales que carga o gestiona en CartaOnline. CartaOnline actúa como Encargado del Tratamiento, tratando los datos personales exclusivamente por cuenta del Cliente y conforme a las instrucciones recibidas en el Contrato principal y en este Anexo.
En los casos en que el Cliente instruya a CartaOnline a actuar bajo otra configuración (corresponsable, etc.), las partes lo dejarán por escrito en una modificación al presente Anexo.
2. Objeto, finalidad y duración del encargo
CartaOnline tratará los datos personales del Cliente únicamente para prestar el servicio contratado (gestión de carta digital, pedidos, pagos y reportes). No los utilizará para fines propios ni incompatibles con el objeto del contrato.
El encargo se extiende mientras el Contrato principal esté vigente y se prolonga, con finalidades limitadas de devolución o supresión, hasta 30 días después de su terminación.
3. Tipo de datos y categorías de titulares
Cartas, imágenes, descripciones y precios publicados por el Cliente (datos públicos o comerciales).
Datos de comensales que interactúan con la carta (pedidos, mensajes al garzón): son tratados por cuenta del Cliente al amparo de la base legal que el Cliente determine.
Datos de administradores del restaurante (nombre, email, rol) necesarios para operar la cuenta.
Ningún dato sensible (salud, biometría, etc.) es requerido por CartaOnline. Si el Cliente carga datos sensibles, asume la responsabilidad de su licitud.
4. Subencargados (proveedores)
CartaOnline utiliza los siguientes subencargados para prestar el servicio, sobre los que el Cliente presta su consentimiento al aceptar este Anexo:
Vercel (hosting de la aplicación y edge network).
Neon (base de datos Postgres gestionada).
Resend (correo electrónico transaccional).
Mercado Pago y/o Transbank (procesamiento de pagos, cuando aplique).
Cualquier cambio material en esta lista será notificado al Cliente con al menos 15 días de anticipación, dándole oportunidad de oponerse.
5. Medidas técnicas y organizativas
CartaOnline aplicará medidas apropiadas al riesgo, entre ellas: cifrado en tránsito (HTTPS/TLS), hashes de contraseña, control de acceso por rol, registro de auditoría y copias de seguridad cifradas.
Las medidas concretas vigentes se encuentran publicadas en /legal/politica-de-privacidad (sección Seguridad) y se actualizarán a medida que evolucione la plataforma.
6. Incidentes y notificaciones
CartaOnline notificará al Cliente, sin dilación indebida y a través del panel /soporte, cualquier vulneración de seguridad que afecte a los datos personales tratados por cuenta del Cliente.
La notificación incluirá descripción preliminar del incidente, datos posiblemente comprometidos, medidas de contención aplicadas y plan de remediación. CartaOnline cooperará con el Cliente para cumplir las obligaciones ante la autoridad competente y ante los titulares afectados.
7. Transferencias internacionales
Algunos subencargados pueden almacenar o procesar datos fuera de Chile. CartaOnline elegirá proveedores que ofrezcan garantías suficientes para la protección de los datos y publicará el detalle de ubicaciones y bases jurídicas en /legal/politica-de-privacidad.
8. Devolución o supresión al término
Terminada la prestación, CartaOnline devolverá o suprimirá, a elección del Cliente, los datos personales tratados por su cuenta, salvo obligación legal de conservación.
La supresión se completará en un plazo máximo de 60 días desde la solicitud escrita. Transcurrido el plazo de conservación legal, los datos restantes serán anonimizados o eliminados de forma irreversible.
9. Cooperación y evidencia
CartaOnline conservará evidencia razonable del cumplimiento de las instrucciones recibidas y de las medidas aplicadas, y cooperará con el Cliente para responder requerimientos de titulares o de la autoridad competente vinculados a los datos tratados bajo este Anexo.