Acuerdo de Encargado del Tratamiento y Política de Seguridad TablePlay Incluye lista de subencargados, medidas técnicas y organizativas, divulgación responsable y declaración de accesibilidad

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Versión 1.0 Última actualización: 10 de julio de 2026

Nota de control jurídico Este documento ha sido elaborado para uso empresarial por parte de TablePlay. Se recomienda que la publicación definitiva, la aplicación internacional, los proveedores vigentes, la configuración técnica y las normas específicas de cada país sean revisadas jurídicamente de forma periódica.

Índice de contenidos Parte A - Acuerdo de Encargado del Tratamiento Anexo 1 - Subencargados Anexo 2 - Medidas técnicas y organizativas Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades Parte C - Declaración de Accesibilidad

Acuerdo de Encargado del Tratamiento y Política de Seguridad TablePlay

Página 2 de 10

Parte A - Acuerdo de Encargado del Tratamiento Artículo 1 - Partes Este acuerdo de encargado del tratamiento aplica entre el cliente empresarial de TablePlay como Responsable del Tratamiento y Jimani B.V., que opera bajo el nombre TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, como Encargado del Tratamiento. Las partes se denominan conjuntamente las Partes.

Artículo 2 - Aplicabilidad y celebración Este acuerdo aplica en la medida en que TablePlay trate datos personales por encargo y en beneficio del Cliente, y constituye parte integral del contrato principal. Se celebra mediante aceptación electrónica, firma o uso efectivo del Servicio. Para los tratamientos respecto de los cuales TablePlay determina de forma autónoma los fines y medios, TablePlay es responsable del tratamiento y aplica la Declaración de Privacidad. En caso de contradicción respecto al tratamiento en nombre del Cliente, este Acuerdo de Encargado del Tratamiento prevalece sobre las Condiciones Generales.

Artículo 3 - Objeto, duración y naturaleza TablePlay trata datos personales para funcionalidades relacionadas con juegos, mesas, códigos QR, puntuaciones, tablas de clasificación, paneles de control y soporte, vinculadas al restaurante. El tratamiento se prolonga durante la vigencia del contrato principal y por un período limitado posterior, para efectos de eliminación, devolución, rotación de copias de seguridad, obligaciones legales y protección de derechos. El tratamiento puede incluir la recopilación, registro, organización, estructuración, almacenamiento, consulta, cálculo, combinación dentro del contexto del restaurante, visualización, envío, limitación, eliminación y anonimización.

Artículo 4 - Finalidades • Vincular códigos QR al restaurante y a la mesa. • Iniciar y ejecutar sesiones de juego. • Tratar apodos temporales, elecciones de juego, respuestas, puntuaciones y resultados. • Facilitar juegos entre mesas y tablas de clasificación temporales. • Mostrar estadísticas vinculadas al restaurante. • Prevenir sesiones duplicadas, fraudulentas o técnicamente inválidas. • Brindar soporte técnico, seguridad, continuidad y recuperación. • Eliminar o anonimizar datos tras los plazos de conservación.

Artículo 5 - Categorías de interesados • Huéspedes y jugadores del Cliente. • Personas de contacto, usuarios, empleados y auxiliares del Cliente. • Personas que figuren en una solicitud de soporte.

Artículo 6 - Categorías de datos personales • Apodo temporal, número de mesa o ID único de mesa e ID de restaurante o ubicación. • ID de sesión de juego, juego elegido, modalidad de juego, respuestas, acciones, puntuación, resultado y clasificación. • Fecha, hora y configuración de idioma temporal. • Datos técnicos de sesión, IP, navegador y dispositivo, en la medida en que estén presentes en los registros de seguridad.

Acuerdo de Encargado del Tratamiento y Política de Seguridad TablePlay

Página 3 de 10 • Nombre y dirección de correo electrónico empresarial de una persona de contacto y contenido de las consultas de soporte. • Demás datos que se introduzcan dentro de la funcionalidad acordada. TablePlay no está destinado al tratamiento de datos especiales, penales, médicos o biométricos, ni a perfiles de huéspedes directamente identificables a gran escala. El Cliente no instruirá dicho tratamiento sin un acuerdo escrito previo.

Artículo 7 - Instrucciones documentadas El contrato principal, este Acuerdo de Encargado del Tratamiento, la configuración del portal del cliente y las solicitudes de soporte legítimas constituyen instrucciones. TablePlay no trata los datos para otros fines, salvo obligaciones legales, fines propios de seguridad y protección de derechos, o el tratamiento tras una anonimización adecuada. En caso de una instrucción presuntamente ilícita, TablePlay informará al Cliente, salvo que ello esté legalmente prohibido, y podrá suspender su ejecución. Las instrucciones adicionales de gran alcance podrán facturarse por separado.

Artículo 8 - Obligaciones del Cliente El Cliente garantiza la legalidad, la base jurídica válida, la información a los Invitados, las instrucciones lícitas, la minimización de datos, la seguridad interna y la protección de los datos de acceso. El Cliente es responsable de la exactitud y calidad, no exige nombres reales de los Invitados y no utiliza los Datos de Juego para marketing individual o elaboración de perfiles sin una base jurídica independiente. Los incidentes de seguridad y las instrucciones ilícitas se notificarán sin demora.

Artículo 9 - Confidencialidad Las personas bajo la autoridad de TablePlay reciben acceso únicamente en la medida en que sea necesario, están obligadas a la confidencialidad y solo realizan el tratamiento conforme a las instrucciones. La obligación sigue vigente después de la terminación. La divulgación a terceros se realiza únicamente sobre la base del presente acuerdo, del acuerdo principal o de la ley.

Artículo 10 - Seguridad TablePlay adopta medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, los costos, la naturaleza, el alcance, el contexto, la finalidad y el riesgo. Las medidas se encuentran en el Anexo 2 y pueden ser modificadas siempre que el nivel general de protección no disminuya sustancialmente. Ningún sistema puede garantizar seguridad absoluta.

Artículo 11 - Filtraciones de datos TablePlay informa al Cliente sin demora injustificada después de haber tomado conocimiento de una violación de datos personales tratados en nombre del Cliente. En la medida de lo posible, se proporcionará información sobre la naturaleza, los sistemas, las categorías de datos e interesados afectados, las consecuencias, las medidas adoptadas y la información de contacto. La información podrá proporcionarse de forma escalonada. TablePlay investiga, limita, conserva las pruebas relevantes y ejecuta la recuperación. El Cliente evalúa la obligación legal de notificación y TablePlay presta un apoyo razonable. Una notificación no constituye un reconocimiento de responsabilidad. Los trabajos derivados de circunstancias bajo la responsabilidad del Cliente podrán ejecutarse contra costos razonables.

Artículo 12 - Solicitudes de los interesados Las solicitudes directas que se refieran al rol del Cliente se remitirán, en principio, a este último. TablePlay solo responde de forma autónoma por instrucción, dentro de su propio rol o en caso de obligación legal. TablePlay presta apoyo razonable en materia de acceso, corrección, eliminación, limitación, portabilidad y oposición.

Acuerdo de Encargado del Tratamiento y Política de Seguridad TablePlay

Página 4 de 10

Dado que los Invitados no disponen de una Cuenta, la identificación puede ser limitada. Puede ser necesario disponer del restaurante, la mesa, la fecha, la hora, el apodo y el contexto del juego. Los datos no se proporcionarán si no está suficientemente establecido que se refieren al solicitante.

Artículo 13 - Apoyo en el cumplimiento TablePlay presta apoyo razonable en materia de seguridad, evaluaciones de filtraciones de datos, evaluaciones de impacto relativas a la protección de datos, consultas previas y la documentación necesaria. El apoyo de gran envergadura que exceda el servicio estándar podrá facturarse, salvo que se derive de un incumplimiento por parte de TablePlay.

Artículo 14 - Subencargados El Cliente otorga autorización general para los subencargados mencionados en el Anexo 1. TablePlay podrá añadir, sustituir o eliminar dichos subencargados y mantiene una lista electrónica actualizada. En caso de incorporación de un nuevo subencargado sustancial, TablePlay informará, en principio, con treinta días de antelación. Dentro de ese plazo, el Cliente podrá oponerse de forma motivada por razones concretas relacionadas con la protección de datos. Las partes buscarán garantías adicionales, una limitación o una alternativa técnica. Si no existe una solución razonable, el Cliente podrá dar por terminada la parte directamente afectada antes de su implementación. TablePlay impone obligaciones sustancialmente equivalentes y sigue siendo responsable en la medida en que así lo disponga el RGPD.

Artículo 15 - Transferencia internacional Los datos personales se tratan, en la medida de lo posible, en una región europea. Los subencargados o las sociedades del grupo pueden estar establecidos fuera del EEE o tener acceso desde fuera de este. Cuando sea necesario, TablePlay utiliza decisiones de adecuación, cláusulas contractuales tipo, medidas adicionales u otros mecanismos válidos. A solicitud razonable, se proporcionará información teniendo en cuenta la confidencialidad.

Artículo 16 - Solicitudes de autoridades TablePlay únicamente proporciona datos a autoridades competentes en caso de obligación legal. Cuando esté permitido, se informará previamente al Cliente. TablePlay evalúa la competencia, el alcance y la validez jurídica, y limita la divulgación en la medida de lo posible.

Artículo 17 - Auditorías e información TablePlay pone a disposición información razonable, incluyendo documentación de seguridad, auditorías, certificaciones, cuestionarios o declaraciones de garantía. Si esto resulta insuficiente, el Cliente puede exigir una auditoría como máximo una vez por año calendario con treinta días de antelación, durante horario de oficina, por parte de un experto independiente sujeto a confidencialidad, sin causar daño a la seguridad, la confidencialidad u otros clientes.

El Cliente asume los costos, salvo que se determine una infracción sustancial imputable. TablePlay puede proteger el código fuente, otros datos de clientes, detalles de vulnerabilidades e información comercialmente sensible cuando exista una alternativa suficiente.

Artículo 18 - Devolución y eliminación Tras la finalización, TablePlay eliminará o devolverá, a elección del Cliente y en la medida técnica y jurídicamente posible, los datos que se procesen exclusivamente por cuenta del Cliente. La elección deberá comunicarse a más tardar dentro de treinta días. En ausencia de dicha elección, TablePlay podrá eliminar o anonimizar conforme a la política estándar. Las copias de seguridad pueden contener datos por un máximo de un mes y se utilizan exclusivamente para fines de recuperación.

Acuerdo de Encargado del Tratamiento y Política de Seguridad de TablePlay

Página 5 de 10

Los datos legalmente obligatorios, necesarios para la protección jurídica y los datos anonimizados no tienen que eliminarse.

Artículo 19 - Responsabilidad Las disposiciones sobre responsabilidad de los Términos y Condiciones Generales también son aplicables. Cada parte es responsable de sus propias obligaciones en materia de privacidad. El Cliente mantendrá indemne a TablePlay frente a reclamaciones derivadas de instrucciones ilícitas, ausencia de base jurídica, información insuficiente, uso ilícito de los Datos de Juego o introducción de datos sensibles prohibidos, en la medida en que lo permita la ley.

Artículo 20 - Duración y terminación El presente Acuerdo de Encargado del Tratamiento finaliza cuando TablePlay deje de procesar datos personales por cuenta del Cliente. La confidencialidad, la seguridad, la eliminación, la responsabilidad y las auditorías seguirán vigentes en la medida en que su naturaleza así lo exija.

Artículo 21 - Derecho aplicable y controversias El presente Acuerdo de Encargado del Tratamiento se rige por el derecho neerlandés. Las controversias se tratarán conforme a los Términos y Condiciones Generales.

Anexo 1 - Subencargados Proveedor

Servicio

Posibles datos

Región / función

Supabase

Base de datos, autenticación, almacenamiento y backend Cuentas, datos de mesa, apodos, sesiones, puntuaciones Principal y registros Región UE en la medida configurada; subencargado principal

Vercel

Alojamiento, entorno de ejecución, entrega de contenido y Dirección IP, registro de solicitudes, navegador, dispositivo y datos de aplicación EEE y posiblemente EE. UU.; subencargado de alojamiento

Twilio SendGrid

Correo electrónico transaccional y operativo Nombre, dirección de correo electrónico, información de cuenta, contenido y Internacional; estado de entregasubencargado de correo electrónico

OpenAI / otro proveedor de IA Solo en caso de funciones de IA activadas

Datos limitados necesarios para la función Depende de la configuración; posible subencargado

Stripe

Datos comerciales, facturas, transacciones y estado de pago Internacional; la función varía según el tratamiento

Pagos, facturación y prevención de fraude

Google / Meta / LinkedIn Analítica y marketing tras consentimiento Datos del sitio web, del dispositivo, publicitarios y de conversión Internacional; generalmente no es subencargado para

La lista actualizada se pone a disposición a través del sitio web o el portal del cliente. En caso de un nuevo subencargado sustancial, se aplicará el procedimiento de notificación y objeción del artículo 14. TablePlay no proporcionará datos identificables de huéspedes a un proveedor de IA para el entrenamiento general de modelos, salvo que posteriormente se disponga expresa, lícita y transparentemente lo contrario.

Anexo 2 - Medidas técnicas y organizativas 1. Seguridad de acceso • Cuentas de usuario únicas y autenticación segura. • Contraseñas cifradas (hash) y limitación de los derechos de administración. • Acceso basado en función y necesidad. • Revocación del acceso cuando este ya no sea necesario. • Medidas de autenticación adicionales cuando corresponda.

2. Separación lógica de datos • Separación entre las Cuentas comerciales y la autorización vinculada al inquilino (tenant).

Acuerdo de Encargado del Tratamiento y Política de Seguridad de TablePlay

Página 6 de 10 • Supabase Row Level Security en la medida técnicamente aplicable. • Limitación del acceso a los datos de otros Clientes. • Identificadores únicos de mesa.

3. Transporte y almacenamiento • Conexiones protegidas mediante HTTPS y TLS. • Comunicación segura entre el navegador, la aplicación, el backend y las API. • Almacenamiento en proveedores de nube seleccionados. • Acceso limitado del personal y confidencialidad contractual. • Sin almacenamiento de contraseñas en forma directamente legible.

4. Disponibilidad, registro y recuperación • Copias de seguridad y disposiciones de recuperación cuando corresponda. • Monitoreo de errores técnicos e intentos de inicio de sesión relevantes. • Detección e investigación de uso anómalo. • Copias de seguridad, en principio, por un máximo de un mes. • Registros, en principio, por un máximo de un año, salvo que se requiera un período más prolongado por incidente o controversia.

5. Desarrollo seguro y gestión de proveedores • Control de versiones, revisión de código e implementación controlada donde corresponda. • Limitación de secretos y claves en el código fuente. • Actualizaciones oportunas de los componentes pertinentes. • Evaluación y corrección de vulnerabilidades reportadas. • Selección de proveedores profesionales, acuerdos contractuales y mecanismos de transferencia.

6. Minimización de datos y gestión de incidentes • No se exigen nombres reales, correo electrónico ni número de teléfono para los Invitados. • Apodos temporales y visibilidad limitada en la tabla de clasificación. • Eliminación o anonimización tras los plazos correspondientes. • Proceso interno de escalamiento, investigación, registro, evaluación de la obligación de notificación y medidas de corrección.

Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades 1. Finalidad y dirección de notificación TablePlay concede importancia a la seguridad del sitio web, la Plataforma, la infraestructura y los datos. Las posibles vulnerabilidades técnicas pueden reportarse de forma confidencial a través de support@tableplay.online con el asunto Securitymelding - vertrouwelijk.

2. Contenido de una notificación • Descripción clara de la vulnerabilidad. • Dominio, endpoint, pantalla o sistema afectado.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 7 de 10 • Pasos reproducibles y posible impacto. • Capturas de pantalla limitadas o datos de prueba técnicos. • Navegador, dispositivo o entorno utilizado. • Datos de contacto y, eventualmente, propuesta de comunicación segura.

3. Actuaciones permitidas • Únicamente actuaciones necesarias para determinar la existencia de la vulnerabilidad. • Mantener el impacto y el acceso a datos lo más limitado posible. • No modificar, eliminar ni descargar datos de terceros. • No afectar la disponibilidad y detenerse en cuanto exista prueba suficiente. • Investigar exclusivamente sistemas que estén demostrablemente bajo la gestión de TablePlay.

4. Actuaciones no permitidas • Ingeniería social, phishing, ataques físicos, fuerza bruta y credential stuffing. • Toma de control de cuentas, denegación de servicio, malware o acceso persistente. • Modificar, borrar, copiar o divulgar datos. • Manipulación real de pagos, facturas, cupones o puntuaciones. • Investigación de proveedores externos sin su consentimiento. • Escaneos automatizados que generen carga excesiva. • Divulgación antes de que se haya ofrecido un plazo razonable de investigación y corrección. • Extorsión o exigencia de pago mediante amenazas.

5. Respuesta y divulgación TablePlay se esfuerza por confirmar la recepción dentro de un plazo de cinco días hábiles, evaluar la notificación, formular preguntas cuando sea necesario, informar al notificante sobre los aspectos principales y mitigar una vulnerabilidad verificada tan pronto como sea razonablemente posible. El plazo de corrección depende de la gravedad, la complejidad, los proveedores y las pruebas necesarias. TablePlay no garantiza un plazo fijo. Los detalles no se divulgarán antes de que TablePlay lo acepte, se haya acordado una fecha razonable o hayan transcurrido al menos noventa días sin una respuesta de fondo razonable o un intento de corrección. No se publicarán datos personales, datos de autenticación ni código de explotación (exploit).

6. Ausencia de programa general de recompensas y enfoque jurídico TablePlay no aplica un programa general de recompensas por vulnerabilidades (bugbounty) y una notificación no da derecho a pago, encargo ni publicidad. TablePlay podrá otorgar reconocimiento a su entera discreción. TablePlay, en principio, no emprenderá acciones legales contra un investigador que actúe de buena fe, dentro de esta política, sin causar daños, de forma confidencial y sin extorsión. Este compromiso no se aplica en casos de actuaciones evidentemente punibles, dañinas, fraudulentas o desproporcionadas, y no vincula a terceros ni a las autoridades.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 8 de 10

7. security.txt TablePlay podrá publicar en /.well-known/security.txt un archivo técnico con la dirección de notificación, el enlace a la política, los idiomas, la fecha de vencimiento y, eventualmente, una clave de cifrado. Este archivo debe revisarse y actualizarse periódicamente.

Parte C - Declaración de Accesibilidad 1. Ambición y marco de referencia TablePlay se esfuerza por hacer que el sitio web, el registro, el portal de clientes y los juegos para invitados sean utilizables para un grupo amplio de usuarios, incluidas las personas con discapacidades visuales, auditivas, motoras o cognitivas. En la medida en que sea razonablemente posible, se utilizan los principios de las WCAG 2.2 nivel AA como marco de referencia técnico y de contenido. Esto no constituye ninguna garantía de que cada elemento cumpla plenamente en todas las circunstancias.

2. Situación actual El entorno completo aún no ha sido auditado de forma independiente e integral. Por ello, TablePlay no reclama en este momento una conformidad formal completa con WCAG 2.2 AA. Las posibles limitaciones se refieren a los elementos de juego en tiempo real, la presión de tiempo, el arrastrar y soltar (drag-and-drop), las animaciones, las páginas externas de pago o autenticación, las traducciones, las representaciones de color más antiguas y las funciones orientadas al tacto.

3. Medidas • HTML semántico y etiquetas utilizables donde corresponda. • Control mediante teclado de las funciones esenciales y enfoque (focus) visible. • ●

Contraste suficiente y texto escalable. • Textos alternativos para imágenes informativas. • Ninguna información esencial exclusivamente mediante color. • Mensajes de error comprensibles y navegación consistente. • Botones y enlaces claros. • Soporte de navegadores y tamaños de pantalla comunes. • Limitación de animación innecesaria. • Lenguaje comprensible en el entorno de huéspedes. • Pruebas automatizadas y manuales donde sea posible.

4. Juegos y presión de tiempo Algunos juegos son, por su naturaleza, dependientes del tiempo. Donde sea técnicamente y en cuanto al contenido del juego posible, TablePlay puede ofrecer modos de juego alternativos, límites de tiempo ampliados, menos movimiento, alternativas visuales para el sonido y texto o símbolos además del color. No todos los modos de juego son igualmente adecuados para todos los usuarios. Se anima a los restaurantes a ofrecer múltiples tipos de juego.

Acuerdo de Encargado del Tratamiento y Política de Seguridad TablePlay

Página 9 de 10

5. Responsabilidad del cliente empresarial El Cliente sigue siendo responsable de la accesibilidad física y operativa del Local, incluyendo la colocación de códigos QR, la legibilidad del material impreso, la ayuda alternativa, la accesibilidad de las pantallas, el apoyo por parte del personal y el contenido propio. Los códigos QR se colocan de manera accesible y visible, y donde sea razonablemente posible se ofrece una alternativa a los Huéspedes que no puedan escanear de forma independiente.

6. Notificación y acceso alternativo Los problemas de accesibilidad pueden notificarse a través de support@tableplay.online indicando la página o el juego, el dispositivo, el navegador, la tecnología de apoyo, una descripción y la solución deseada. TablePlay se esfuerza por confirmar la recepción dentro de cinco días laborables y por dar una respuesta sustantiva dentro de un plazo razonable. Donde sea posible, se puede ofrecer información por correo electrónico, soporte, una instrucción alternativa, procesamiento manual u otra posibilidad de juego.

7. Carga desproporcionada y mejora Una adaptación puede posponerse cuando técnicamente no sea viable, afecte sustancialmente la seguridad, cambie la naturaleza fundamental de un juego, dependa de un proveedor externo o constituya una carga organizativa o financiera desproporcionada. En ese caso, TablePlay evalúa una alternativa. TablePlay puede tener en cuenta la accesibilidad en el diseño, las pruebas, la priorización, los comentarios de los usuarios y las auditorías externas, y actualizar esta declaración.

8. Contacto TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Países Bajos - RM 91644453 - IVA NL865722729B01 - support@tableplay.online.

Acuerdo de Encargado del Tratamiento y Política de Seguridad TablePlay

Página 10 de 10

Lista adicional de subencargados Esta lista de subencargados forma parte del Acuerdo de Encargado del Tratamiento y de la Política de Seguridad de TablePlay. La lista actual puede modificarse cuando cambien los proveedores, las regiones o las funciones.

Proveedor: Supabase Servicio: base de datos, autenticación, almacenamiento y backend. Datos posibles: cuentas, datos de mesa, apodos, sesiones, puntuaciones y registros. Región / rol: principalmente región de la UE en la medida en que esté configurado; subencargado principal.

Proveedor: Vercel Servicio: hospedaje, tiempo de ejecución, distribución de contenido y registro. Datos posibles: dirección IP, datos de solicitud, navegador, dispositivo y aplicación. Región / rol: EEE y posiblemente EE. UU.; subencargado de hospedaje.

Proveedor: Twilio SendGrid Servicio: correo electrónico transaccional y operativo. Datos posibles: nombre, dirección de correo electrónico, información de cuenta, contenido y estado de entrega. Región / rol: internacional; subencargado de correo electrónico.

Proveedor: OpenAI / otro proveedor de IA Servicio: solo en caso de funciones de IA activadas. Datos posibles: datos limitados que sean necesarios para la función. Región / rol: depende de la configuración; subencargado potencial. TablePlay no proporciona datos identificables de huéspedes a un proveedor de IA para el entrenamiento general de modelos, a menos que esto se organice posteriormente de manera expresa, lícita y transparente de otro modo.

Proveedor: Stripe Servicio: pagos, facturación y fraude. Datos posibles: datos empresariales, facturas, transacciones y estado de pago. Región / rol: internacional; el rol difiere según el procesamiento.

Proveedor: Google / Meta / LinkedIn Servicio: analítica y marketing tras el consentimiento. Datos posibles: datos de sitio web, dispositivo, publicidad y conversión. Región / rol: internacional; generalmente no es subencargado para los datos de juego del restaurante.