ANEXO DE ENCARGO
DEL TRATAMIENTO
Regula el tratamiento por parte de Lymon de los datos personales de los clientes finales del restaurante, conforme al artículo 28 del Reglamento General de Protección de Datos.
Versión v2026-02 En vigor desde el
1. Objeto y ámbito de aplicación
Este anexo regula el tratamiento por parte de LYMON APP S.L. («Lymon») de los datos personales
de los clientes finales del cliente —comensales, compradores y usuarios de sus canales
digitales— a los que Lymon accede como consecuencia de la prestación del servicio.
Forma parte integrante de las Condiciones de Comercio y se acepta
junto con ellas. En caso de contradicción entre ambos documentos en materia de protección de datos,
prevalece este anexo.
Queda fuera de su ámbito el tratamiento de los datos del propio cliente como contratante —datos
identificativos, fiscales y de contacto—, respecto de los cuales Lymon actúa como responsable conforme
a su política de privacidad.
2. Roles de las partes
El cliente es el responsable del tratamiento: determina los fines y los medios
del tratamiento de los datos de sus clientes finales, y es quien decide qué canales activa y qué
datos solicita a través de ellos.
Lymon es el encargado del tratamiento: trata esos datos por cuenta del cliente y
únicamente para prestarle el servicio contratado.
3. Instrucciones documentadas y finalidad
Lymon tratará los datos personales únicamente siguiendo las instrucciones documentadas del cliente. Tienen la consideración de instrucciones documentadas:
a) este anexo y las Condiciones de Comercio;
b) la configuración que el cliente realice en su panel de Lymon, incluidos los canales que active y los datos que decida solicitar a sus clientes finales;
c) las instrucciones adicionales que el cliente comunique por escrito a Lymon.
Lymon no utilizará los datos de los clientes finales para fines propios, ni para
publicidad o marketing, ni los cederá a terceros distintos de los subencargados relacionados en
el Anexo III.
Lymon podrá comunicarse con el cliente final cuando resulte necesario para tramitar o completar
su pedido. Cualquier comunicación comercial o de marketing dirigida a los clientes finales corresponde
exclusivamente al cliente como responsable, que será el único obligado a disponer de la base jurídica
y de la información necesarias.
Si Lymon considerase que una instrucción del cliente infringe la normativa de protección de datos,
se lo comunicará sin dilación y podrá suspender su ejecución hasta que la confirme o modifique.
4. Duración del tratamiento
El tratamiento se extenderá durante toda la vigencia del servicio contratado y finalizará con la terminación del contrato, en los términos previstos en la cláusula de supresión y devolución de este anexo.
5. Obligaciones de Lymon como encargado
Lymon se obliga a:
a) tratar los datos únicamente conforme a las instrucciones documentadas del cliente;
b) garantizar que las personas autorizadas para tratar los datos se hayan comprometido a respetar la confidencialidad;
c) aplicar las medidas técnicas y organizativas descritas en el Anexo II;
d) respetar el régimen de subencargados previsto en este anexo;
e) asistir al cliente en la atención de los derechos de los interesados y en el cumplimiento de sus obligaciones de seguridad, notificación de brechas y evaluación de impacto;
f) suprimir o devolver los datos al finalizar la prestación del servicio;
g) poner a disposición del cliente la información necesaria para demostrar el cumplimiento de estas obligaciones.
6. Confidencialidad del personal
Lymon garantiza que las personas de su organización con acceso a los datos personales están sujetas a un deber de confidencialidad de carácter contractual o legal, que subsiste tras la finalización de su relación con Lymon. El acceso se limita a las personas que lo necesitan para desempeñar sus funciones.
7. Seguridad del tratamiento
Lymon aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD. Las medidas concretas se describen en el Anexo II de este documento y podrán actualizarse siempre que el nivel de seguridad no se vea reducido.
8. Subencargados
El cliente autoriza con carácter general a Lymon a recurrir a los
subencargados relacionados en el Anexo III para la prestación del servicio.
Lymon suscribirá con cada subencargado un contrato que le imponga obligaciones de protección de
datos equivalentes a las de este anexo, y responderá frente al cliente del cumplimiento por parte
de aquellos.
Cuando Lymon pretenda incorporar un subencargado nuevo o sustituir uno existente, publicará una
versión nueva de este anexo con al menos 30 días naturales de antelación y lo comunicará
al cliente por correo electrónico. El cliente podrá oponerse por motivos razonables relativos a la
protección de datos dentro de ese plazo; si la objeción no puede resolverse, el cliente podrá causar
baja del servicio sin penalización alguna.
9. Transferencias internacionales
Lymon no realizará transferencias de datos personales fuera del Espacio Económico Europeo salvo
que concurra alguno de los mecanismos previstos en el capítulo V del RGPD —decisión de adecuación
o cláusulas contractuales tipo, con las garantías adicionales que procedan—.
El Anexo III identifica, para cada subencargado, si el tratamiento implica una transferencia internacional
y con qué garantía se ampara.
10. Asistencia al responsable
Teniendo en cuenta la naturaleza del tratamiento, Lymon asistirá al cliente:
a) mediante las funcionalidades del panel, para que el cliente pueda atender por sí mismo las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición de sus clientes finales;
b) respondiendo a las consultas del cliente cuando la solicitud no pueda atenderse desde el panel. La asistencia que exceda de lo que el panel ya permite resolver por sí mismo se prestará a cargo del cliente, conforme a las tarifas de servicios adicionales de Lymon;
c) facilitando la información de que disponga para el cumplimiento de los artículos 32 a 36 del RGPD.
Si un cliente final dirigiera a Lymon una solicitud de ejercicio de derechos, Lymon la trasladará al cliente sin dilación indebida y sin responderla por su cuenta, salvo instrucción en contrario.
11. Violaciones de la seguridad de los datos
Lymon notificará al cliente, sin dilación indebida desde que tenga
conocimiento de ella, cualquier violación de la seguridad de los datos personales tratados por
cuenta del cliente, facilitando la información de que disponga sobre su naturaleza, las
categorías y el número aproximado de interesados y registros afectados, las consecuencias
probables y las medidas adoptadas o propuestas.
Corresponde al cliente, como responsable, valorar la notificación a la autoridad de control y, en
su caso, la comunicación a los interesados.
12. Supresión y devolución de los datos
Al finalizar la prestación del servicio, y a elección del cliente, Lymon suprimirá o le
devolverá los datos personales tratados por su cuenta, en los plazos y condiciones previstos en
la cláusula de conservación de datos de las
Condiciones de Comercio.
Se exceptúan los datos que Lymon deba conservar por obligación legal, que permanecerán bloqueados
y a disposición de las autoridades competentes durante los plazos de prescripción aplicables, sin
que puedan ser tratados para ninguna otra finalidad.
La supresión en las copias de seguridad no es inmediata: se produce conforme estas rotan, dentro del
plazo de conservación indicado en el Anexo II. Durante ese intervalo los datos permanecen únicamente
en las copias, sin ser accesibles ni tratados para ninguna finalidad.
13. Información y auditorías
Lymon pone a disposición del cliente, de forma permanente y a través de este anexo, la
descripción de las medidas técnicas y organizativas aplicadas, que constituye la información
necesaria para acreditar el cumplimiento de las obligaciones aquí previstas.
Lymon atenderá además las preguntas concretas y razonables que el cliente le dirija por escrito sobre
dichas medidas, sin que ello comporte la elaboración de informes, cuestionarios o certificaciones
específicos.
Solo procederá una auditoría distinta de la anterior cuando se haya acreditado un incumplimiento relevante
imputable a Lymon. En tal caso se realizará en horario laboral, sin interrumpir la actividad de Lymon,
previo acuerdo escrito sobre su alcance y calendario, por un auditor sujeto a confidencialidad y que
no sea competidor de Lymon. Los costes serán por cuenta del cliente.
14. Obligaciones del cliente como responsable
El cliente, como responsable del tratamiento, se obliga a:
a) disponer de una base jurídica válida para el tratamiento de los datos de sus clientes finales y facilitarles la información exigida por los artículos 13 y 14 del RGPD;
b) mantener el registro de actividades de tratamiento que le corresponda y atender las solicitudes de ejercicio de derechos de sus clientes finales;
c) no solicitar a través de la plataforma datos innecesarios para la finalidad perseguida ni categorías especiales de datos del artículo 9 del RGPD;
d) impartir a Lymon instrucciones lícitas, y responder de la licitud de las instrucciones que imparta;
e) asumir en exclusiva las comunicaciones comerciales o de marketing que dirija a sus clientes finales, incluida la obtención del consentimiento cuando resulte exigible;
f) determinar qué personas de su organización acceden a la plataforma y con qué rol, y mantener esa relación actualizada, revocando el acceso de quienes dejen de necesitarlo. Las altas y bajas de usuarios que Lymon ejecute a petición del cliente se entienden realizadas por instrucción suya y bajo su responsabilidad.
15. Responsabilidad
Cada parte responderá de los daños que cause como consecuencia del incumplimiento de las
obligaciones que este anexo o el RGPD le imponen específicamente.
La responsabilidad de Lymon derivada de este anexo se regirá por lo previsto en la cláusula de limitación
de responsabilidad de las Condiciones de Comercio, sin que ello
afecte a los derechos que la normativa de protección de datos reconoce directamente a los interesados
frente a cualquiera de las partes.
16. Anexo I — Descripción del tratamiento
Categorías de interesados
Clientes finales del cliente: comensales, compradores en su tienda online y usuarios de sus canales digitales.
Tipos de datos personales
Datos identificativos y de contacto: nombre, teléfono y dirección de correo electrónico.
Datos del pedido: artículos, importes, local, mesa o punto de recogida y fecha y hora.
Datos de pago: identificador de la operación y, en su caso, los cuatro últimos dígitos y la marca de la tarjeta. Lymon no almacena el número completo de la tarjeta, que custodia el proveedor de servicios de pago.
Justificantes de operaciones realizadas con terminal de pago, cuando el cliente final solicita su descarga.
Naturaleza y finalidad del tratamiento
Recogida, registro, conservación, consulta y comunicación al sistema de punto de venta del cliente, con la finalidad de tramitar y completar los pedidos y los pagos, gestionar devoluciones y, cuando el cliente lo tenga activado, operar su programa de fidelización.
Categorías especiales de datos
No se tratan categorías especiales de datos del artículo 9 del RGPD.
Duración
Mientras esté vigente el servicio contratado y, tras su terminación, durante los plazos previstos en la cláusula de conservación de datos de las Condiciones de Comercio.
17. Anexo II — Medidas de seguridad
Lymon aplica, como mínimo, las siguientes medidas técnicas y organizativas, que podrán actualizarse siempre que no reduzcan el nivel de seguridad:
a) cifrado de las comunicaciones en tránsito mediante TLS entre los clientes finales, el cliente y la plataforma, y entre Lymon y sus proveedores. Las integraciones con el sistema de punto de venta del cliente emplean el protocolo que dicho sistema admita, que en algunos casos no ofrece cifrado por limitaciones del propio fabricante o distribuidor;
b) cifrado de los datos en reposo en la base de datos y en el almacenamiento de archivos, proporcionado por los proveedores correspondientes;
c) acceso a la plataforma mediante cuentas de usuario con roles diferenciados, limitado en todo caso a los locales que cada usuario tenga asignados. Corresponde al cliente asignar una cuenta individual a cada persona de su organización y no compartir credenciales entre varias;
d) registro de las operaciones críticas —modificaciones de la carta, cambios de configuración y reembolsos de pagos—, con identificación del usuario que las realizó y de la fecha, conservado durante un año;
e) copias de seguridad diarias de la base de datos, conservadas durante los siete días anteriores, y procedimiento de restauración verificado en situaciones reales;
f) segregación de los datos por local, de modo que cada usuario accede únicamente a los datos de los locales que tenga asignados;
g) no almacenamiento de datos completos de tarjeta, cuya custodia corresponde al proveedor de servicios de pago. Lymon conserva únicamente un identificador de la operación y, en su caso, los cuatro últimos dígitos;
h) canales habilitados para la comunicación de incidencias —chat en el panel y buzón de soporte atendido por el equipo— y notificación al cliente de las violaciones de seguridad en los términos previstos en este anexo.
18. Anexo III — Subencargados
La relación actualizada de subencargados a los que Lymon recurre para prestar el servicio está
publicada de forma permanente en
lymon.es/subencargados, e indica para cada uno su finalidad y la
ubicación del tratamiento. El cliente los autoriza con carácter general al aceptar este anexo.
Esa relación se mantiene fuera de este documento a propósito, para que un cambio de proveedor no
obligue a republicar el anexo. Cualquier alta o sustitución se comunicará conforme a la cláusula
8. Subencargados, con 30 días naturales de antelación y con derecho de oposición del cliente.
Historial de versiones
Cada modificación de este documento se publica como una versión nueva con su propia fecha de entrada en vigor. Las versiones anteriores no se editan ni se retiran: permanecen accesibles de forma permanente en las URLs de esta tabla.
| Versión | En vigor desde | Documento | Qué cambió |
|---|---|---|---|
| v2026-02 Vigente | /anexo-encargo-tratamiento/v2026-02 Estás viendo esta versión | Primera versión. Regula el tratamiento por Lymon de los datos personales de los clientes finales del restaurante, conforme al artículo 28.3 del RGPD. |