Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay Incluye lista de subencargados, medidas técnicas y organizativas, divulgación responsable y declaración de accesibilidad

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Versión 1.0 Última actualización: 10 julio 2026

Nota de control jurídico Este documento ha sido elaborado para uso empresarial por parte de TablePlay. La publicación definitiva, la aplicación internacional, los proveedores actuales, la configuración técnica y las normas específicas de cada país deben ser revisadas jurídicamente de forma periódica.

Índice de contenidos Parte A - Contrato de Encargado de Tratamiento Anexo 1 - Subencargados Anexo 2 - Medidas técnicas y organizativas Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades Parte C - Declaración de Accesibilidad

Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 2 de 10

Parte A - Contrato de Encargado de Tratamiento Artículo 1 - Partes El presente contrato de encargado de tratamiento se aplica entre el cliente empresarial de TablePlay como Responsable del Tratamiento y Jimani B.V., que opera bajo el nombre de TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, como Encargado del Tratamiento. Las partes se denominan conjuntamente las Partes.

Artículo 2 - Aplicabilidad y celebración Este contrato se aplica en la medida en que TablePlay trate datos personales por encargo y en beneficio del Cliente, y forma parte integral del contrato principal. Se celebra mediante aceptación electrónica, firma o uso efectivo del Servicio. Para los tratamientos en los que TablePlay determina de forma independiente los fines y los medios, TablePlay actúa como responsable del tratamiento y se aplica la Declaración de Privacidad. En caso de contradicción sobre el tratamiento en nombre del Cliente, este Contrato de Encargado de Tratamiento prevalece sobre las Condiciones Generales.

Artículo 3 - Objeto, duración y naturaleza TablePlay trata datos personales para las funcionalidades de juego, mesa, código QR, puntuación, tabla de clasificación, panel de control y soporte vinculadas al restaurante. El tratamiento se extiende durante la vigencia del contrato principal y un período limitado posterior a este para la eliminación, la devolución, la rotación de copias de seguridad, las obligaciones legales y la protección jurídica. El tratamiento puede comprender la recopilación, el registro, la organización, la estructuración, el almacenamiento, la consulta, el cálculo, la combinación dentro del contexto del restaurante, la visualización, el envío, la limitación, la eliminación y la anonimización.

Artículo 4 - Finalidades • Vincular códigos QR al restaurante y a la mesa. • Iniciar y ejecutar sesiones de juego. • Tratar apodos temporales, elecciones de juego, respuestas, puntuaciones y resultados. • Facilitar juegos de mesa contra mesa y tablas de clasificación temporales. • Mostrar estadísticas vinculadas al restaurante. • Prevenir sesiones duplicadas, fraudulentas o técnicamente inválidas. • Soporte técnico, seguridad, continuidad y recuperación. • Eliminar o anonimizar después de los plazos de conservación.

Artículo 5 - Categorías de interesados • Invitados y jugadores del Cliente. • Personas de contacto, usuarios, empleados y auxiliares del Cliente. • Personas que figuran en una notificación de soporte.

Artículo 6 - Categorías de datos personales • Apodo temporal, número de mesa o ID de mesa único e ID de restaurante o ubicación. • ID de sesión de juego, juego elegido, modo de juego, respuestas, acciones, puntuación, resultado y clasificación. • Fecha, hora y configuración de idioma temporal. • Datos técnicos de sesión, IP, navegador y dispositivo en la medida en que estén presentes en los registros de seguridad.

Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 3 de 10 • Nombre y dirección de correo electrónico empresarial de una persona de contacto y contenido de las consultas de soporte. • Otros datos que se introduzcan dentro de la funcionalidad acordada. TablePlay no está destinado a datos especiales, penales, médicos o biométricos, ni a perfiles de invitados extensos y directamente identificables. El Cliente no dará instrucciones para dicho tratamiento sin un acuerdo escrito previo.

Artículo 7 - Instrucciones documentadas El contrato principal, este Contrato de Encargado de Tratamiento, la configuración del portal del cliente y las solicitudes de soporte legítimas se consideran instrucciones. TablePlay no trata los datos para otros fines, salvo por obligaciones legales, fines propios de seguridad y protección jurídica, o el tratamiento tras una anonimización adecuada. En caso de una presunta instrucción ilícita, TablePlay informará al Cliente, salvo que esto esté legalmente prohibido, y podrá suspender la ejecución. Las instrucciones adicionales de gran envergadura podrán facturarse por separado.

Artículo 8 - Obligaciones del Cliente El Cliente responde por la licitud, el fundamento jurídico válido, la información a los Huéspedes, las instrucciones lícitas, la minimización de datos, la seguridad interna y la protección de las credenciales de acceso. El Cliente es responsable de la exactitud y calidad, no exige nombres reales de los Huéspedes y no utiliza los Datos de Juego para mercadeo individual o elaboración de perfiles sin un fundamento jurídico independiente. Los incidentes de seguridad y las instrucciones ilícitas se notificarán sin demora.

Artículo 9 - Confidencialidad Las personas bajo la autoridad de TablePlay únicamente tendrán acceso en la medida en que sea necesario, están sujetas a la obligación de confidencialidad y solo tratan los datos conforme a instrucciones. Esta obligación permanece vigente tras la terminación. La comunicación a terceros únicamente se realizará con base en este contrato, el contrato principal o la ley.

Artículo 10 - Seguridad TablePlay adopta medidas técnicas y organizativas adecuadas, teniendo en cuenta el estado de la técnica, los costes, la naturaleza, el alcance, el contexto, la finalidad y el riesgo. Las medidas se detallan en el Anexo 2 y podrán ser modificadas siempre que el nivel general de protección no disminuya de forma sustancial. Ningún sistema puede garantizar seguridad absoluta.

Artículo 11 - Filtraciones de datos TablePlay informará al Cliente sin dilación injustificada después de haber tomado conocimiento de una violación de datos personales tratados en nombre del Cliente. En la medida de lo posible, se proporcionará información sobre la naturaleza, los sistemas, las categorías de datos y de interesados, las consecuencias, las medidas y los datos de contacto. La información podrá facilitarse de forma escalonada. TablePlay investigará, limitará, conservará las pruebas pertinentes y ejecutará medidas de recuperación. El Cliente evaluará la obligación legal de notificación y TablePlay prestará apoyo razonable. Una notificación no constituye un reconocimiento de responsabilidad. Los trabajos derivados de circunstancias bajo la responsabilidad del Cliente podrán realizarse a un costo razonable.

Artículo 12 - Solicitudes de los interesados Las solicitudes directas relacionadas con el rol del Cliente se remitirán, en principio, a este. TablePlay únicamente responderá de forma autónoma por instrucción, en su propio rol o en caso de obligación legal. TablePlay prestará apoyo razonable en materia de acceso, rectificación, supresión, limitación, portabilidad y oposición.

Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 4 de 10

Debido a que los Huéspedes no tienen una Cuenta, la identificación puede ser limitada. Puede ser necesario contar con el restaurante, la mesa, la fecha, la hora, el apodo y el contexto del juego. Los datos no se proporcionarán si no está suficientemente establecido que correspondan al solicitante.

Artículo 13 - Apoyo en materia de cumplimiento TablePlay prestará apoyo razonable en materia de seguridad, evaluaciones de filtraciones de datos, evaluaciones de impacto relativas a la protección de datos, consulta previa y documentación necesaria. El apoyo de gran envergadura que exceda el servicio estándar podrá facturarse, salvo que se derive de un incumplimiento por parte de TablePlay.

Artículo 14 - Subencargados El Cliente otorga autorización general para los subencargados mencionados en el Anexo 1. TablePlay podrá agregar, sustituir o eliminar dichos subencargados y mantendrá una lista electrónica actualizada. En caso de incorporación de un nuevo subencargado sustancial, TablePlay informará, en principio, con treinta días de antelación. El Cliente podrá, dentro de dicho plazo, presentar objeciones motivadas basadas en fundamentos concretos de protección de datos. Las partes buscarán salvaguardas adicionales, limitación o una alternativa técnica. Si no existe una solución razonable, el Cliente podrá rescindir la parte directamente afectada antes de la implementación. TablePlay impondrá obligaciones sustancialmente equivalentes y seguirá siendo responsable en la medida en que el RGPD así lo establezca.

Artículo 15 - Transferencia internacional En la medida de lo posible, los datos personales se tratarán en una región europea. Los subencargados o las empresas del grupo podrán estar establecidos fuera del EEE o tener acceso desde fuera de este. Cuando sea requerido, TablePlay utilizará decisiones de adecuación, cláusulas contractuales tipo, medidas adicionales u otros mecanismos válidos. A solicitud razonable, se proporcionará información respetando la confidencialidad.

Artículo 16 - Solicitudes de autoridades TablePlay únicamente proporcionará datos a autoridades competentes en caso de una obligación legal. Cuando esté permitido, se informará previamente al Cliente. TablePlay evaluará la competencia, el alcance y la validez jurídica, y limitará la comunicación en la medida de lo posible.

Artículo 17 - Auditorías e información TablePlay pone a disposición información razonable, incluidos documentación de seguridad, auditorías, certificaciones, cuestionarios o declaraciones de garantía. Si esto resulta insuficiente, el Cliente podrá exigir como máximo una vez por año calendario una auditoría con treinta días de aviso previo, durante horario laboral, realizada por un experto independiente sujeto a confidencialidad, sin perjuicio para la seguridad, la confidencialidad u otros clientes. El Cliente asumirá los costos, salvo que se constate una infracción sustancial imputable. TablePlay podrá proteger el código fuente, otros datos de clientes, detalles de vulnerabilidades e información comercialmente sensible cuando exista una alternativa suficiente.

Artículo 18 - Devolución y eliminación Tras la finalización, TablePlay eliminará o devolverá, a elección del Cliente y en la medida técnica y jurídicamente posible, los datos que se procesen exclusivamente en nombre del Cliente. La elección deberá comunicarse a más tardar dentro de treinta días. En caso de no manifestarse elección, TablePlay podrá eliminar o anonimizar conforme a la política estándar. Las copias de seguridad podrán contener datos por un máximo de un mes y se utilizarán exclusivamente para recuperación.

Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 5 de 10

Los datos legalmente obligatorios, los necesarios para la protección jurídica y los datos anonimizados no necesitan ser eliminados.

Artículo 19 - Responsabilidad Las disposiciones de responsabilidad de las Condiciones Generales aplican también. Cada parte es responsable de sus propias obligaciones en materia de privacidad. El Cliente indemnizará a TablePlay frente a reclamaciones derivadas de instrucciones ilícitas, ausencia de base jurídica, información insuficiente, uso ilícito de Datos de Juego o introducción de datos sensibles prohibidos, en la medida en que lo permita la ley.

Artículo 20 - Duración y terminación Este Contrato de Encargado de Tratamiento finaliza cuando TablePlay deje de procesar datos personales en nombre del Cliente. La confidencialidad, la seguridad, la eliminación, la responsabilidad y las auditorías seguirán vigentes en la medida en que su naturaleza así lo requiera.

Artículo 21 - Derecho aplicable y controversias Este Contrato de Encargado de Tratamiento se rige por el derecho neerlandés. Las controversias se tramitarán conforme a las Condiciones Generales.

Anexo 1 - Subencargados Proveedor

Servicio

Datos posibles

Región / función

Supabase

Base de datos, autenticación, almacenamiento y backend Cuentas, datos de mesa, apodos, sesiones, puntuaciones Principal y registros Región UE en la medida configurada; subencargado

Vercel

Alojamiento, entorno de ejecución, entrega de Dirección contenido IP, datos de solicitud, navegador, dispositivo y aplicación y registros EEE y posiblemente EE. UU.; subencargado de alojamien

Twilio SendGrid

Correo electrónico transaccional y operativo Nombre, dirección de correo electrónico, información de cuenta, contenido y Internacional; estado de entrega del correosubencargado de correo elec

OpenAI / otro proveedor de IA Solo con funciones de IA activadas

Datos limitados necesarios para la función Depende de la configuración; subencargado potenc

Stripe

Pagos, facturación y prevención de fraude Datos comerciales, facturas, transacciones y estado de pago Internacional; la función varía según el tratamiento

Google / Meta / LinkedIn Analítica y marketing tras consentimiento Datos de sitio web, dispositivo, publicidad y conversión Internacional; en general no es subencargado para

La lista actualizada se pondrá a disposición a través del sitio web o del portal del cliente. En caso de un nuevo subencargado sustancial, se aplicará el procedimiento de notificación y objeción del artículo 14. TablePlay no proporcionará datos de invitados identificables a un proveedor de IA para el entrenamiento general de modelos, salvo que posteriormente se disponga expresamente, lícitamente y de forma transparente lo contrario.

Anexo 2 - Medidas técnicas y organizativas 1. Seguridad de acceso • Cuentas de usuario únicas y autenticación segura. • Contraseñas cifradas mediante hash y limitación de los derechos de administración. • Acceso basado en función y necesidad. • Revocación del acceso cuando ya no sea necesario. • Medidas de autenticación adicionales donde sea pertinente.

2. Separación lógica de datos • Separación entre Cuentas comerciales y autorización vinculada al arrendatario (tenant).

Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 6 de 10 • Row Level Security de Supabase donde sea técnicamente aplicable. • Limitación del acceso a los datos de otros Clientes. • Identificadores de mesa únicos.

3. Transporte y almacenamiento • Conexiones protegidas mediante HTTPS y TLS. • Comunicación segura entre navegador, aplicación, backend y API. • Almacenamiento en proveedores de nube seleccionados. • Acceso limitado del personal y confidencialidad contractual. • No almacenamiento de contraseñas en forma directamente legible.

4. Disponibilidad, registro y recuperación • Copias de seguridad y previsiones de recuperación donde sea pertinente. • Monitoreo de errores técnicos e intentos de inicio de sesión relevantes. • Detección e investigación de uso anómalo. • Copias de seguridad, en principio, por un máximo de un mes. • Registros, en principio, por un máximo de un año, salvo que se necesite más tiempo por incidente o controversia.

5. Beveiligde ontwikkeling en leveranciersbeheer • Control de versiones, revisión de código e implementación controlada donde corresponda. • Limitación de secretos y claves en el código fuente. • Actualizaciones oportunas de los componentes relevantes. • Evaluación y corrección de vulnerabilidades reportadas. • Selección de proveedores profesionales, acuerdos contractuales y mecanismos de transferencia.

6. Minimización de datos y gestión de incidentes • Sin obligación de nombres reales, correo electrónico o número de teléfono para los Invitados. • Apodos temporales y visibilidad limitada de la tabla de clasificación. • Eliminación o anonimización después de los plazos. • Proceso interno de escalamiento, investigación, registro, evaluación de la obligación de notificación y medidas correctivas.

Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades 1. Finalidad y dirección de notificación TablePlay concede importancia a la seguridad del sitio web, la Plataforma, la infraestructura y los datos. Las posibles vulnerabilidades técnicas pueden reportarse de manera confidencial a través de support@tableplay.online con el asunto Securitymelding - vertrouwelijk.

2. Contenido de una notificación • Descripción clara de la vulnerabilidad. • Dominio, endpoint, pantalla o sistema afectado.

Página 7 de 10 • Pasos reproducibles y posible impacto. • Capturas de pantalla limitadas o datos técnicos probatorios. • Navegador, dispositivo o entorno utilizado. • Datos de contacto y, en su caso, propuesta de comunicación segura.

3. Actuaciones permitidas • Únicamente actuaciones necesarias para determinar la existencia de la vulnerabilidad. • Mantener el impacto y el acceso a los datos lo más limitado posible. • No modificar, eliminar ni descargar datos de terceros. • No afectar la disponibilidad y detenerse en cuanto exista suficiente evidencia. • Investigar únicamente sistemas que estén demostrablemente bajo la gestión de TablePlay.

4. Actuaciones no permitidas • Ingeniería social, phishing, ataques físicos, fuerza bruta y credential stuffing. • Toma de control de cuentas, denial-of-service, malware o acceso permanente. • Modificar, borrar, copiar o divulgar datos. • Manipulación real de pagos, facturas, cupones o puntuaciones. • Investigación de proveedores externos sin su consentimiento. • Escaneos automatizados gravosos. • Divulgación antes de que se haya ofrecido un plazo razonable de investigación y corrección. • Extorsión o exigencia de pago mediante amenazas.

5. Respuesta y divulgación TablePlay se esfuerza por confirmar la recepción dentro de los cinco días laborables, evaluar la notificación, formular preguntas cuando sea necesario, informar al notificante en líneas generales y mitigar una vulnerabilidad verificada tan pronto como sea razonablemente posible. El plazo de corrección depende de la gravedad, la complejidad, los proveedores y las pruebas necesarias. TablePlay no garantiza un plazo fijo. Los detalles no se divulgarán antes de que TablePlay lo consienta, se haya acordado una fecha razonable o hayan transcurrido al menos noventa días sin una respuesta o intento de corrección razonable en cuanto al fondo. No se publicarán datos personales, datos de autenticación ni código de explotación.

6. Ausencia de programa general de recompensas por errores y enfoque jurídico TablePlay no aplica un programa general de recompensas por errores (bugbounty) y una notificación no otorga derecho a pago, encargo o publicidad. TablePlay podrá otorgar una muestra de reconocimiento a su entera discreción. TablePlay, en principio, no emprenderá acciones legales contra un investigador que actúe de buena fe, dentro de este política, sin causar daños, de manera confidencial y sin extorsión. Este compromiso no se aplica en caso de actuaciones evidentemente delictivas, dañinas, fraudulentas o desproporcionadas, y no vincula a terceros ni a las autoridades.

Página 8 de 10

7. security.txt TablePlay puede publicar en /.well-known/security.txt un archivo técnico con la dirección de notificación, el enlace a la política, los idiomas, la fecha de vencimiento y, en su caso, una clave de cifrado. Este archivo debe revisarse y actualizarse periódicamente.

Parte C - Declaración de Accesibilidad 1. Ambición y marco de referencia TablePlay se esfuerza por hacer que el sitio web, el registro, el portal de clientes y los juegos de invitados sean utilizables para un amplio grupo de usuarios, incluidas las personas con discapacidades visuales, auditivas, motoras o cognitivas. En la medida en que sea razonablemente posible, se utilizan los principios de las WCAG 2.2 nivel AA como marco de referencia técnico y de contenido. Esto no constituye garantía de que cada componente sea, en todas las circunstancias, plenamente conforme.

2. Estado actual El entorno completo aún no ha sido auditado de manera independiente e integral. Por lo tanto, TablePlay no reclama en este momento una conformidad formal completa con las WCAG 2.2 AA. Las posibles limitaciones se refieren a componentes de juego en tiempo real, presión de tiempo, arrastrar y soltar (drag-and-drop), animaciones, páginas externas de pago o autenticación, traducciones, representaciones de color más antiguas y funciones orientadas al tacto.

3. Medidas • HTML semántico y etiquetas utilizables donde corresponda. • Control mediante teclado de las funciones esenciales y enfoque (focus) visible. • Contraste suficiente y texto escalable. • Textos alternativos para imágenes informativas. • Ninguna información esencial exclusivamente mediante color. • Mensajes de error comprensibles y navegación consistente. • Botones y enlaces claros. • Compatibilidad con navegadores y tamaños de pantalla habituales. • Limitación de animaciones innecesarias. • Lenguaje comprensible en el entorno del huésped. • Pruebas automatizadas y manuales en la medida de lo posible.

4. Juegos y presión de tiempo Algunos juegos son, por su naturaleza, dependientes del tiempo. Cuando sea técnicamente posible y compatible con el contenido del juego, TablePlay puede ofrecer modalidades de juego alternativas, límites de tiempo ampliados, menos movimiento, alternativas visuales para el sonido y texto o símbolos además del color. No toda modalidad de juego es igualmente adecuada para todos los usuarios. Se anima a los restaurantes a ofrecer varios tipos de juego.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 9 de 10

5. Responsabilidad del cliente comercial El Cliente sigue siendo responsable de la accesibilidad física y operativa del Local, incluida la colocación de los códigos QR, la legibilidad del material impreso, la ayuda alternativa, la accesibilidad de las pantallas, el apoyo por parte del personal y el contenido propio. Los códigos QR se colocan de forma accesible y visible, y, en la medida en que sea razonablemente posible, se ofrece una alternativa a los Huéspedes que no puedan escanear de forma autónoma.

6. Notificación y acceso alternativo Los problemas de accesibilidad pueden notificarse a través de support@tableplay.online indicando la página o el juego, el dispositivo, el navegador, la tecnología de asistencia, la descripción y la solución deseada. TablePlay se esfuerza por confirmar la recepción dentro de un plazo de cinco días laborables y dar una respuesta sustantiva dentro de un plazo razonable. Cuando sea posible, se puede ofrecer información por correo electrónico, asistencia, una instrucción alternativa, procesamiento manual u otra posibilidad de juego.

7. Carga desproporcionada y mejora Una adaptación puede posponerse cuando no sea técnicamente viable, afecte sustancialmente a la seguridad, altere la naturaleza fundamental de un juego, dependa de un proveedor externo o constituya una carga organizativa o financiera desproporcionada. TablePlay evaluará entonces una alternativa. TablePlay puede tener en cuenta la accesibilidad en el diseño, las pruebas, la priorización, los comentarios de los usuarios y las auditorías externas, y actualizar esta declaración.

8. Contacto TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Países Bajos - KvK 91644453 - Btw NL865722729B01 - support@tableplay.online.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 10 de 10

Lista adicional de subencargados Esta lista de subencargados forma parte del Acuerdo de Encargado de Tratamiento y de la Política de Seguridad de TablePlay. La lista actual puede modificarse cuando cambien los proveedores, las regiones o las funciones.

Proveedor: Supabase Servicio: base de datos, autenticación, almacenamiento y backend. Posibles datos: cuentas, datos de mesas, apodos, sesiones, puntuaciones y registros (logs). Región / función: región de la UE de forma primaria en la medida en que esté configurada; subencargado principal.

Proveedor: Vercel Servicio: alojamiento (hosting), tiempo de ejecución (runtime), distribución de contenidos y registro (logging). Posibles datos: dirección IP, datos de solicitud, navegador, dispositivo y datos de la aplicación. Región / función: EEE y posiblemente EE. UU.; subencargado de alojamiento.

Proveedor: Twilio SendGrid Servicio: correo electrónico transaccional y operativo. Posibles datos: nombre, dirección de correo electrónico, información de cuenta, contenido y estado de entrega. Región / función: internacional; subencargado de correo electrónico.

Proveedor: OpenAI / otro proveedor de IA Servicio: únicamente en caso de funciones de IA activadas. Posibles datos: datos limitados que sean necesarios para la función. Región / función: dependiendo de la configuración; subencargado potencial. TablePlay no proporciona datos identificables de huéspedes a un proveedor de IA para el entrenamiento general de modelos, salvo que esto se disponga posteriormente de forma expresa, lícita y transparente de otro modo.

Proveedor: Stripe Servicio: pagos, facturación y fraude. Posibles datos: datos comerciales, facturas, transacciones y estado de pago. Región / función: internacional; la función varía según el tratamiento.

Proveedor: Google / Meta / LinkedIn Servicio: analítica y marketing tras consentimiento. Posibles datos: datos de sitio web, dispositivo, publicidad y conversión. Región / función: internacional; por lo general no es subencargado de los datos de juego de los restaurantes.