Verwerkersovereenkomst en Beveiligingsbeleid TablePlay Incluye lista de subencargados, medidas técnicas y organizativas, divulgación responsable y declaración de accesibilidad

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Versión 1.0 Última actualización: 10 de julio de 2026

Nota de control jurídico Este documento fue redactado para uso comercial por parte de TablePlay. La publicación definitiva, la aplicación internacional, los proveedores actuales, la configuración técnica y las normas específicas de cada país deben someterse a control jurídico periódico.

Índice Parte A - Acuerdo de Encargado de Tratamiento Anexo 1 - Subencargados Anexo 2 - Medidas técnicas y organizativas Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades Parte C - Declaración de accesibilidad

Acuerdo de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 2 de 10

Parte A - Acuerdo de Encargado de Tratamiento Artículo 1 - Partes Este acuerdo de encargado de tratamiento rige entre el cliente comercial de TablePlay, en calidad de Responsable del Tratamiento, y Jimani B.V., que opera bajo el nombre comercial TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, en calidad de Encargado del Tratamiento. Las partes se denominan conjuntamente las Partes.

Artículo 2 - Aplicabilidad y celebración Este acuerdo rige en la medida en que TablePlay trate datos personales por encargo y en beneficio del Cliente, y forma parte integrante del contrato principal. Se perfecciona mediante aceptación electrónica, firma o uso efectivo del Servicio. Para los tratamientos respecto de los cuales TablePlay determina de manera autónoma los fines y medios, TablePlay actúa como responsable del tratamiento y rige la Declaración de Privacidad. En caso de contradicción respecto del tratamiento en nombre del Cliente, este Acuerdo de Encargado de Tratamiento prevalece sobre los Términos y Condiciones Generales.

Artículo 3 - Objeto, duración y naturaleza TablePlay trata datos personales para funcionalidades de juego, mesa, código QR, puntaje, tabla de posiciones, panel de control y soporte vinculadas al restaurante. El tratamiento se extiende durante la vigencia del contrato principal y por un período limitado posterior, para efectos de eliminación, devolución, rotación de copias de seguridad, obligaciones legales y defensa de derechos. El tratamiento puede comprender recolección, registro, organización, estructuración, almacenamiento, consulta, cálculo, combinación dentro del contexto del restaurante, exhibición, transmisión, limitación, eliminación y anonimización.

Artículo 4 - Finalidades • Vincular códigos QR con el restaurante y la mesa. • Iniciar y ejecutar sesiones de juego. • Procesar apodos temporales, elecciones de juego, respuestas, puntajes y resultados. • Facilitar juegos de mesa contra mesa y tablas de posiciones temporales. • Mostrar estadísticas vinculadas al restaurante. • Prevenir sesiones duplicadas, fraudulentas o técnicamente inválidas. • Soporte técnico, seguridad, continuidad y recuperación. • Eliminar o anonimizar tras los plazos de conservación.

Artículo 5 - Categorías de interesados • Huéspedes y jugadores del Cliente. • Personas de contacto, usuarios, empleados y auxiliares del Cliente. • Personas mencionadas en una solicitud de soporte.

Artículo 6 - Categorías de datos personales • Apodo temporal, número de mesa o ID de mesa único, e ID de restaurante o local. • ID de sesión de juego, juego elegido, modo de juego, respuestas, acciones, puntaje, resultado y clasificación. • Fecha, hora y configuración de idioma temporal. • Datos técnicos de sesión, IP, navegador y dispositivo, en la medida en que consten en los registros de seguridad.

Acuerdo de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 3 de 10 • Nombre y dirección de correo electrónico comercial de una persona de contacto, y contenido de las consultas de soporte. • Otros datos que se ingresen dentro de la funcionalidad acordada. TablePlay no está destinado a datos especiales, penales, médicos o biométricos, ni a perfiles extensos de huéspedes directamente identificables. El Cliente no dará instrucciones para dicho tratamiento sin un acuerdo escrito previo.

Artículo 7 - Instrucciones documentadas El contrato principal, este Acuerdo de Encargado de Tratamiento, la configuración del portal del cliente y las solicitudes de soporte lícitas constituyen instrucciones. TablePlay no trata datos para otros fines, salvo por obligaciones legales, fines propios de seguridad y defensa de derechos, o tratamiento posterior a una anonimización suficiente. Ante una instrucción presuntamente ilícita, TablePlay informará al Cliente, salvo que ello esté legalmente prohibido, y podrá suspender su ejecución. Las instrucciones adicionales de gran alcance podrán facturarse por separado.

Artículo 8 - Obligaciones del Cliente El Cliente garantiza la licitud, el fundamento válido, la información a los Huéspedes, las instrucciones lícitas, la minimización de datos, la seguridad interna y la protección de las credenciales de acceso. El Cliente es responsable de la exactitud y calidad, no exige nombres reales de los Huéspedes y no utiliza los Datos del Juego para marketing individual ni para elaboración de perfiles sin un fundamento independiente. Los incidentes de seguridad y las instrucciones ilícitas se notificarán sin demora.

Artículo 9 - Confidencialidad Las personas bajo la autoridad de TablePlay solo tendrán acceso en la medida necesaria, estarán sujetas al deber de confidencialidad y solo tratarán datos conforme a las instrucciones. Esta obligación seguirá vigente tras la finalización. La divulgación a terceros únicamente tendrá lugar sobre la base del presente acuerdo, del contrato principal o de la ley.

Artículo 10 - Seguridad TablePlay adopta medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, los costos, la naturaleza, el alcance, el contexto, la finalidad y el riesgo. Las medidas se detallan en el Anexo 2 y podrán modificarse siempre que no se reduzca de manera sustancial el nivel general de protección. Ningún sistema puede garantizar una seguridad absoluta.

Artículo 11 - Filtraciones de datos TablePlay informa al Cliente sin demora injustificada luego de tomar conocimiento de una violación de la seguridad de datos personales que se tratan en nombre del Cliente. En la medida de lo posible, se proporcionará información sobre la naturaleza, los sistemas, las categorías de datos e interesados afectados, las consecuencias, las medidas adoptadas y los datos de contacto. La información podrá suministrarse de manera escalonada. TablePlay investiga, limita, conserva las pruebas pertinentes y realiza las tareas de recuperación. El Cliente evalúa la obligación legal de notificación y TablePlay presta un apoyo razonable. Una notificación no constituye un reconocimiento de responsabilidad. Los trabajos derivados de circunstancias atribuibles al Cliente podrán realizarse contra el pago de costos razonables.

Artículo 12 - Solicitudes de los interesados Las solicitudes directas relacionadas con el rol del Cliente se remitirán a este, en principio. TablePlay solo responderá de manera autónoma por instrucción, en su propio rol o por obligación legal. TablePlay presta un apoyo razonable en materia de acceso, rectificación, supresión, limitación, portabilidad y oposición.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 4 de 10

Dado que los Huéspedes no poseen una Cuenta, la identificación puede ser limitada. Pueden requerirse datos como el restaurante, la mesa, la fecha, la hora, el apodo y el contexto del juego. Los datos no se proporcionarán si no está suficientemente acreditado que se refieren al solicitante.

Artículo 13 - Apoyo en el cumplimiento normativo TablePlay presta un apoyo razonable en materia de seguridad, evaluaciones de filtraciones de datos, evaluaciones de impacto relativas a la protección de datos, consultas previas y la documentación necesaria. El apoyo de envergadura que exceda el servicio estándar podrá facturarse, salvo que derive de un incumplimiento de TablePlay.

Artículo 14 - Subencargados El Cliente otorga autorización general para los subencargados indicados en el Anexo 1. TablePlay podrá agregar, sustituir o eliminar subencargados y mantiene una lista electrónica actualizada. En caso de incorporación de un nuevo subencargado sustancial, TablePlay informará, en principio, con treinta días de anticipación. Dentro de dicho plazo, el Cliente podrá formular una objeción motivada basada en fundamentos concretos de protección de datos. Las partes buscarán garantías adicionales, una limitación o una alternativa técnica. Si no existe una solución razonable, el Cliente podrá dar por finalizada la parte directamente afectada antes de la implementación. TablePlay impone obligaciones sustancialmente equivalentes y sigue siendo responsable en la medida en que así lo determine el RGPD.

Artículo 15 - Transferencia internacional de datos Los datos personales se tratan, en la medida de lo posible, en una región europea. Los subencargados o las empresas del grupo podrán estar establecidos fuera del EEE o tener acceso desde fuera de este. Cuando sea necesario, TablePlay utiliza decisiones de adecuación, cláusulas contractuales tipo, medidas adicionales u otros mecanismos válidos. A solicitud razonable, se proporcionará información respetando la confidencialidad.

Artículo 16 - Solicitudes de autoridades TablePlay únicamente proporciona datos a las autoridades competentes en caso de una obligación legítima. Cuando esté permitido, se informará previamente al Cliente. TablePlay evalúa la competencia, el alcance y la validez jurídica, y limita la divulgación en la medida de lo posible.

Artículo 17 - Auditorías e información TablePlay pone a disposición información razonable, incluida documentación de seguridad, auditorías, certificaciones, cuestionarios o declaraciones de garantía. Si esto resulta insuficiente, el Cliente puede exigir como máximo una vez por año calendario una auditoría con treinta días de anticipación, durante horario de oficina, realizada por un experto independiente sujeto a confidencialidad, sin perjuicio para la seguridad, la confidencialidad u otros clientes. El Cliente asume los costos, salvo que se constate una infracción sustancial imputable. TablePlay puede resguardar el código fuente, otros datos de clientes, detalles de vulnerabilidades e información comercialmente sensible cuando exista una alternativa suficiente.

Artículo 18 - Devolución y eliminación Tras la finalización, TablePlay elimina o devuelve, a elección del Cliente y en la medida técnica y jurídicamente posible, los datos que se procesan exclusivamente en nombre del Cliente. La elección debe comunicarse a más tardar dentro de los treinta días. Ante la ausencia de elección, TablePlay podrá eliminar o anonimizar conforme a la política estándar. Las copias de seguridad pueden contener datos por un máximo de un mes y se utilizan exclusivamente para la recuperación.

Acuerdo de Tratamiento de Datos y Política de Seguridad de TablePlay

Página 5 de 10

Los datos legalmente obligatorios, necesarios para la defensa jurídica y anonimizados no deben eliminarse.

Artículo 19 - Responsabilidad Las disposiciones sobre responsabilidad de los Términos y Condiciones Generales también son aplicables. Cada parte es responsable de sus propias obligaciones en materia de privacidad. El Cliente indemniza a TablePlay por reclamos derivados de instrucciones ilícitas, ausencia de base legal, información insuficiente, uso ilícito de Datos de Juego o ingreso de datos sensibles prohibidos, en la medida permitida por ley.

Artículo 20 - Duración y finalización Este Acuerdo de Tratamiento de Datos finaliza cuando TablePlay deje de procesar datos personales en nombre del Cliente. La confidencialidad, la seguridad, la eliminación, la responsabilidad y las auditorías seguirán vigentes en la medida en que su naturaleza así lo exija.

Artículo 21 - Derecho y controversias Este Acuerdo de Tratamiento de Datos se rige por el derecho neerlandés. Las controversias se tramitarán de conformidad con los Términos y Condiciones Generales.

Anexo 1 - Subencargados Proveedor

Servicio

Datos posibles

Región / rol

Supabase

Base de datos, autenticación, almacenamiento y backend Cuentas, datos de mesa, apodos, sesiones, puntajes Primario y registros Región de la UE en la medida en que esté configurada; subencargado

Vercel

Alojamiento, tiempo de ejecución, distribución de Dirección contenido IP, y registro datos de solicitud, navegador, dispositivo y aplicación EEE y posiblemente EE. UU.; subencargado de alojamiento

Twilio SendGrid

Correo electrónico transaccional y operativo Nombre, dirección de correo electrónico, información de cuenta, contenido y Internacional; estado desubencargado entrega del correo electrónico

OpenAI / otro proveedor de IA Solo si las funciones de IA están activadas

Datos limitados necesarios para la función Según la configuración; subencargado potencial

Stripe

Datos comerciales, facturas, transacciones y estado de pago Internacional; el rol varía según el procesamiento

Pagos, facturación y fraude

Google / Meta / LinkedIn Análisis y marketing tras consentimiento Datos del sitio web, del dispositivo, de publicidad y de conversión Internacional; por lo general no es subencargado para res

La lista actualizada se pone a disposición a través del sitio web o del portal de clientes. En caso de un nuevo subencargado sustancial, se aplica el procedimiento de notificación y objeción del artículo 14. TablePlay no proporciona datos de invitados identificables a un proveedor de IA para el entrenamiento general de modelos, salvo que posteriormente se disponga de manera expresa, lícita y transparente lo contrario.

Anexo 2 - Medidas técnicas y organizativas 1. Seguridad de acceso • Cuentas de usuario únicas y autenticación segura. • Contraseñas con hash y limitación de los derechos de administración. • Acceso basado en rol y necesidad. • Revocación del acceso cuando ya no sea necesario. • Medidas adicionales de autenticación cuando sea pertinente.

2. Separación lógica de datos • Separación entre Cuentas comerciales y autorización vinculada al tenant.

Acuerdo de Tratamiento de Datos y Política de Seguridad de TablePlay

Página 6 de 10 • Row Level Security de Supabase en la medida técnicamente aplicable. • Limitación del acceso a los datos de otros Clientes. • Identificadores de mesa únicos.

3. Transporte y almacenamiento • Conexiones protegidas mediante HTTPS y TLS. • Comunicación segura entre el navegador, la aplicación, el backend y las API. • Almacenamiento en proveedores de nube seleccionados. • Acceso limitado del personal y confidencialidad contractual. • Ninguna contraseña se almacena en forma directamente legible.

4. Disponibilidad, registro y recuperación • Copias de seguridad y provisiones de recuperación cuando sea pertinente. • Monitoreo de errores técnicos e intentos de inicio de sesión relevantes. • Detección e investigación de uso anómalo. • Copias de seguridad, en principio, por un máximo de un mes. • Registros, en principio, por un máximo de un año, salvo que se requiera más tiempo por un incidente o controversia.

5. Desarrollo seguro y gestión de proveedores • Control de versiones, revisión de código e implementación controlada donde corresponda. • Limitación de secretos y claves en el código fuente. • Actualizaciones oportunas de los componentes relevantes. • Evaluación y corrección de vulnerabilidades notificadas. • Selección de proveedores profesionales, acuerdos contractuales y mecanismos de transferencia.

6. Minimización de datos y gestión de incidentes • No se exigen nombres reales, correo electrónico ni número de teléfono para los Invitados. • Apodos temporales y visibilidad limitada en la tabla de clasificación. • Eliminación o anonimización una vez transcurridos los plazos. • Proceso interno de escalamiento, investigación, registro, evaluación de la obligación de notificación y medidas de corrección.

Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades 1. Finalidad y dirección de notificación TablePlay atribuye importancia a la seguridad del sitio web, la Plataforma, la infraestructura y los datos. Las posibles vulnerabilidades técnicas pueden notificarse de manera confidencial a support@tableplay.online con el asunto Securitymelding - vertrouwelijk.

2. Contenido de una notificación • Descripción clara de la vulnerabilidad. • Dominio, endpoint, pantalla o sistema involucrado.

Página 7 de 10 • Pasos reproducibles e impacto posible. • Capturas de pantalla limitadas o datos técnicos probatorios. • Navegador, dispositivo o entorno utilizado. • Datos de contacto y, eventualmente, propuesta para comunicación segura.

3. Actos permitidos • Únicamente los actos necesarios para constatar la existencia de la vulnerabilidad. • Mantener el impacto y el acceso a datos lo más limitado posible. • No modificar, eliminar ni descargar datos de terceros. • No afectar la disponibilidad y detenerse en cuanto exista prueba suficiente. • Investigar únicamente sistemas que estén demostrablemente bajo la gestión de TablePlay.

4. Actos no permitidos • Ingeniería social, phishing, ataques físicos, fuerza bruta y credential stuffing. • Toma de control de cuentas, denial-of-service, malware o acceso persistente. • Modificar, borrar, copiar o divulgar datos. • Manipulación real de pagos, facturas, cupones o puntajes. • Investigación de proveedores externos sin su autorización. • Escaneos automatizados perjudiciales. • Divulgación antes de que se haya otorgado un plazo razonable de investigación y corrección. • Extorsión o exigencia de pago mediante amenazas.

5. Respuesta y divulgación TablePlay procura confirmar la recepción dentro de los cinco días hábiles, evaluar la notificación, formular preguntas cuando sea necesario, informar al notificante sobre los aspectos generales y mitigar una vulnerabilidad verificada tan pronto como sea razonablemente posible. El plazo de corrección depende de la gravedad, la complejidad, los proveedores y las pruebas necesarias. TablePlay no garantiza un plazo fijo. Los detalles no se divulgarán antes de que TablePlay dé su consentimiento, se haya acordado una fecha razonable o hayan transcurrido al menos noventa días sin una respuesta de fondo razonable o intento de corrección. No se publicarán datos personales, datos de autenticación ni código de explotación.

6. Ausencia de programa general de recompensas y enfoque jurídico TablePlay no aplica un programa general de bug bounty y una notificación no otorga derecho a pago, encargo ni publicidad. TablePlay puede, a su entera discreción, otorgar un reconocimiento. En principio, TablePlay no emprenderá acciones legales contra un investigador que actúe de buena fe, dentro de esta política, sin causar daño, de manera confidencial y sin recurrir a la extorsión. Este compromiso no se aplica en casos de actos evidentemente delictivos, perjudiciales, fraudulentos o desproporcionados y no vincula a terceros ni a las autoridades.

Página 8 de 10

7. security.txt TablePlay puede publicar en /.well-known/security.txt un archivo técnico con la dirección de notificación, el enlace a la política, idiomas, fecha de vencimiento y, eventualmente, una clave de cifrado. Este archivo debe controlarse y renovarse periódicamente.

Parte C - Declaración de Accesibilidad 1. Ambición y marco de referencia TablePlay procura hacer que el sitio web, el registro, el portal de clientes y los juegos para invitados sean utilizables para un grupo amplio de usuarios, incluidas las personas con discapacidades visuales, auditivas, motrices o cognitivas. En la medida en que sea razonablemente posible, se utilizan los principios de las WCAG 2.2 nivel AA como marco de referencia técnico y de contenido. Esto no constituye una garantía de que cada componente sea, en todas las circunstancias, plenamente conforme.

2. Situación actual El entorno completo aún no ha sido auditado de manera independiente e integral. Por lo tanto, TablePlay actualmente no reclama conformidad formal completa con WCAG 2.2 AA. Las posibles limitaciones se refieren a componentes de juego en tiempo real, presión de tiempo, drag-and-drop, animaciones, páginas externas de pago o autenticación, traducciones, representaciones de color más antiguas y funciones orientadas al tacto.

3. Medidas • HTML semántico y etiquetas utilizables donde corresponda. • Control mediante teclado de las funciones esenciales y foco visible. • Suficiente contraste y texto escalable. • Textos alternativos para imágenes informativas. • Ninguna información esencial exclusivamente por color. • Mensajes de error comprensibles y navegación consistente. • Botones y enlaces claros. • Soporte de navegadores y tamaños de pantalla habituales. • Limitación de animaciones innecesarias. • Lenguaje comprensible en el entorno de invitado. • Pruebas automatizadas y manuales donde sea posible.

4. Juegos y presión de tiempo Algunos juegos son, por su naturaleza, dependientes del tiempo. Cuando sea técnicamente y en cuanto al contenido del juego posible, TablePlay puede ofrecer modos de juego alternativos, límites de tiempo ampliados, menos movimiento, alternativas visuales para el sonido y texto o símbolos además del color. No todos los modos de juego son igualmente adecuados para todos los usuarios. Se alienta a los restaurantes a ofrecer varios tipos de juego.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 9 de 10

5. Responsabilidad del cliente comercial El Cliente sigue siendo responsable de la accesibilidad física y operativa del Local, incluyendo la colocación de los códigos QR, la legibilidad del material impreso, la ayuda alternativa, la accesibilidad de las pantallas, el apoyo por parte del personal y el contenido propio. Los códigos QR se colocan de manera accesible y visible y, en la medida razonablemente posible, se ofrece una alternativa a los Huéspedes que no puedan escanear de forma autónoma.

6. Notificación y acceso alternativo Los problemas de accesibilidad pueden notificarse a través de support@tableplay.online indicando la página o el juego, el dispositivo, el navegador, la tecnología de asistencia, una descripción y la solución deseada. TablePlay se esfuerza por confirmar la recepción dentro de los cinco días hábiles y por dar una respuesta de fondo dentro de un plazo razonable. Cuando sea posible, se puede ofrecer información por correo electrónico, soporte, una instrucción alternativa, procesamiento manual u otra posibilidad de juego.

7. Carga desproporcionada y mejora Una adaptación puede posponerse cuando no sea técnicamente viable, afecte sustancialmente la seguridad, altere la naturaleza fundamental de un juego, dependa de un proveedor externo o constituya una carga organizativa o financiera desproporcionada. En ese caso, TablePlay evaluará una alternativa. TablePlay puede incorporar la accesibilidad en el diseño, las pruebas, la priorización, los comentarios de los usuarios y las auditorías externas, y actualizar esta declaración.

8. Contacto TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Países Bajos - KvK 91644453 - Btw NL865722729B01 - support@tableplay.online.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 10 de 10

Lista adicional de subencargados Esta lista de subencargados forma parte del Acuerdo de Encargado de Tratamiento y de la Política de Seguridad de TablePlay. La lista actual puede modificarse cuando cambien los proveedores, regiones o funciones.

Proveedor: Supabase Servicio: base de datos, autenticación, almacenamiento y backend. Datos posibles: cuentas, datos de mesa, apodos, sesiones, puntajes y registros (logs). Región / rol: región de la UE de manera primaria en la medida en que esté configurada; subencargado principal.

Proveedor: Vercel Servicio: hosting, runtime, entrega de contenido y registro (logging). Datos posibles: dirección IP, datos de solicitud, navegador, dispositivo y aplicación. Región / rol: EEE y posiblemente EE. UU.; subencargado de hosting.

Proveedor: Twilio SendGrid Servicio: correo electrónico transaccional y operativo. Datos posibles: nombre, dirección de correo electrónico, información de cuenta, contenido y estado de entrega. Región / rol: internacional; subencargado de correo electrónico.

Proveedor: OpenAI / otro proveedor de IA Servicio: solo cuando se activen funciones de IA. Datos posibles: datos limitados que sean necesarios para la función. Región / rol: según la configuración; subencargado potencial. TablePlay no proporciona datos identificables de huéspedes a un proveedor de IA para el entrenamiento general de modelos, salvo que en el futuro esto se disponga expresamente de otro modo, de manera lícita y transparente.

Proveedor: Stripe Servicio: pagos, facturación y fraude. Datos posibles: datos comerciales, facturas, transacciones y estado de pago. Región / rol: internacional; el rol varía según el procesamiento.

Proveedor: Google / Meta / LinkedIn Servicio: analítica y marketing previo consentimiento. Datos posibles: datos del sitio web, del dispositivo, publicitarios y de conversión. Región / rol: internacional; por lo general no es subencargado respecto de los datos de juego del restaurante.