Acuerdo de Encargo de Tratamiento y Política de Seguridad de TablePlay Incluye lista de subencargados, medidas técnicas y organizativas, divulgación responsable y declaración de accesibilidad

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Versión 1.0 Última actualización: 10 de julio de 2026

Nota de revisión jurídica Este documento ha sido elaborado para uso empresarial por TablePlay. Solicite que la publicación definitiva, la aplicación internacional, los proveedores actuales, la configuración técnica y las normas específicas de cada país sean revisadas jurídicamente de forma periódica.

Índice Parte A - Acuerdo de Encargo de Tratamiento Anexo 1 - Subencargados Anexo 2 - Medidas técnicas y organizativas Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades Parte C - Declaración de accesibilidad

Acuerdo de Encargo de Tratamiento y Política de Seguridad de TablePlay

Página 2 de 10

Parte A - Acuerdo de Encargo de Tratamiento Artículo 1 - Partes Este acuerdo de encargo de tratamiento aplica entre el cliente empresarial de TablePlay como Responsable del Tratamiento y Jimani B.V., que opera bajo el nombre TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, como Encargado del Tratamiento. Las partes se denominan conjuntamente las Partes.

Artículo 2 - Aplicabilidad y celebración Este acuerdo aplica en la medida en que TablePlay trate datos personales por encargo y en beneficio del Cliente, y forma parte integral del contrato principal. Se constituye mediante aceptación electrónica, firma o uso efectivo del Servicio. Para los tratamientos en los que TablePlay determina de manera independiente los fines y medios, TablePlay actúa como responsable del tratamiento y aplica el Aviso de Privacidad. En caso de contradicción respecto al tratamiento en nombre del Cliente, este Acuerdo de Encargo de Tratamiento prevalece sobre los Términos y Condiciones Generales.

Artículo 3 - Objeto, duración y naturaleza TablePlay trata datos personales para funcionalidades de juego, mesa, código QR, puntuación, tabla de clasificación, panel de control y soporte, vinculadas al restaurante. El tratamiento tiene una duración igual a la del contrato principal y un periodo limitado posterior para su eliminación, devolución, rotación de copias de seguridad, obligaciones legales y defensa jurídica. El tratamiento puede incluir la recopilación, el registro, la organización, la estructuración, el almacenamiento, la consulta, el cálculo, la combinación dentro del contexto del restaurante, la visualización, el envío, la restricción, la eliminación y la anonimización.

Artículo 4 - Finalidades • Vincular códigos QR a un restaurante y una mesa. • Iniciar y ejecutar sesiones de juego. • Tratar apodos temporales, selecciones de juego, respuestas, puntuaciones y resultados. • Facilitar juegos de mesa contra mesa y tablas de clasificación temporales. • Mostrar estadísticas vinculadas al restaurante. • Prevenir sesiones duplicadas, fraudulentas o técnicamente inválidas. • Soporte técnico, seguridad, continuidad y recuperación. • Eliminar o anonimizar los datos una vez transcurridos los plazos de conservación.

Artículo 5 - Categorías de interesados • Huéspedes y jugadores del Cliente. • Personas de contacto, usuarios, empleados y auxiliares del Cliente. • Personas mencionadas en un reporte de soporte.

Artículo 6 - Categorías de datos personales • Apodo temporal, número de mesa o ID único de mesa e ID del restaurante o ubicación. • ID de sesión de juego, juego elegido, modo de juego, respuestas, acciones, puntuación, resultado y clasificación. • Fecha, hora y configuración de idioma temporal. • Datos técnicos de sesión, IP, navegador y dispositivo, en la medida en que estén presentes en los registros de seguridad.

Acuerdo de Encargo de Tratamiento y Política de Seguridad de TablePlay

Página 3 de 10 • Nombre y dirección de correo electrónico empresarial de una persona de contacto y contenido de las consultas de soporte. • Otros datos que se introduzcan dentro de la funcionalidad acordada. TablePlay no está destinado al tratamiento de datos especiales, penales, médicos o biométricos, ni a perfiles de huéspedes directamente identificables a gran escala. El Cliente no dará instrucciones para dicho tratamiento sin un acuerdo escrito previo.

Artículo 7 - Instrucciones documentadas El contrato principal, este Acuerdo de Encargo de Tratamiento, la configuración del portal del cliente y las solicitudes de soporte legítimas constituyen instrucciones. TablePlay no trata los datos para otros fines, salvo por obligaciones legales, fines propios de seguridad y defensa jurídica, o tratamiento posterior a una anonimización adecuada. En caso de una instrucción presuntamente ilícita, TablePlay informará al Cliente, salvo que esto esté legalmente prohibido, y podrá suspender su ejecución. Las instrucciones adicionales de gran alcance podrán facturarse por separado.

Artículo 8 - Obligaciones del Cliente El Cliente garantiza la licitud, el fundamento jurídico válido, la información a los Huéspedes, las instrucciones lícitas, la minimización de datos, la seguridad interna y la protección de los datos de inicio de sesión. El Cliente es responsable de la exactitud y calidad, no exige nombres reales de los Huéspedes y no utiliza los Datos de Juego para fines de marketing individual o elaboración de perfiles sin un fundamento jurídico independiente. Los incidentes de seguridad y las instrucciones ilícitas se notificarán sin demora.

Artículo 9 - Confidencialidad Las personas bajo la autoridad de TablePlay solo tendrán acceso en la medida en que sea necesario, estarán sujetas a un deber de confidencialidad y solo tratarán los datos conforme a instrucciones. Esta obligación seguirá vigente tras la terminación. La divulgación a terceros solo tendrá lugar sobre la base del presente contrato, del contrato principal o de la ley.

Artículo 10 - Seguridad TablePlay adopta medidas técnicas y organizativas apropiadas teniendo en cuenta el estado de la técnica, los costos, la naturaleza, el alcance, el contexto, la finalidad y el riesgo. Las medidas se detallan en el Anexo 2 y podrán modificarse siempre que el nivel general de protección no disminuya de manera sustancial. Ningún sistema puede garantizar una seguridad absoluta.

Artículo 11 - Violaciones de seguridad de los datos TablePlay informará al Cliente sin dilación indebida después de tener conocimiento de una violación de la seguridad de los datos personales tratados en nombre del Cliente. En la medida de lo posible, se proporcionará información sobre la naturaleza, los sistemas, las categorías de datos e interesados, las consecuencias, las medidas adoptadas y los datos de contacto. La información podrá proporcionarse de manera escalonada. TablePlay investigará, limitará, conservará las pruebas pertinentes y llevará a cabo la recuperación. El Cliente evaluará la obligación legal de notificación y TablePlay prestará el apoyo razonable correspondiente. Una notificación no constituye un reconocimiento de responsabilidad. Los trabajos derivados de circunstancias que sean responsabilidad del Cliente podrán realizarse a un costo razonable.

Artículo 12 - Solicitudes de los interesados Las solicitudes directas relativas al rol del Cliente se remitirán, en principio, a este último. TablePlay solo responderá de manera autónoma por instrucción, en su propio rol o en caso de obligación legal. TablePlay prestará un apoyo razonable en relación con el acceso, la rectificación, la eliminación, la limitación, la portabilidad y la oposición.

Contrato de Encargado del Tratamiento y Política de Seguridad de TablePlay

Página 4 de 10

Dado que los Huéspedes no cuentan con una Cuenta, la identificación puede ser limitada. Puede ser necesario contar con datos como el restaurante, la mesa, la fecha, la hora, el apodo y el contexto del juego. Los datos no se proporcionarán si no existe suficiente certeza de que se refieren al solicitante.

Artículo 13 - Apoyo en el cumplimiento TablePlay prestará un apoyo razonable en materia de seguridad, evaluaciones de violaciones de datos, evaluaciones de impacto relativas a la protección de datos, consultas previas y documentación necesaria. El apoyo de gran envergadura que exceda el servicio estándar podrá facturarse, salvo que se derive de un incumplimiento por parte de TablePlay.

Artículo 14 - Subencargados El Cliente otorga una autorización general para los subencargados mencionados en el Anexo 1. TablePlay podrá añadir, sustituir o eliminar subencargados y mantendrá una lista electrónica actualizada. En caso de un nuevo subencargado sustancial, TablePlay informará, en principio, con treinta días de antelación. Dentro de dicho plazo, el Cliente podrá formular una objeción motivada basada en fundamentos concretos de protección de datos. Las partes buscarán garantías adicionales, una limitación o una alternativa técnica. Si no existe una solución razonable, el Cliente podrá dar por terminada la parte directamente afectada antes de la implementación. TablePlay impondrá obligaciones sustancialmente equivalentes y seguirá siendo responsable en la medida en que así lo determine el RGPD.

Artículo 15 - Transferencia internacional de datos Los datos personales se tratarán, en la medida de lo posible, en una región europea. Los subencargados o las empresas del grupo podrán estar establecidos fuera del EEE o tener acceso a los datos desde fuera de este. Cuando sea necesario, TablePlay utilizará decisiones de adecuación, cláusulas contractuales tipo, medidas adicionales u otros mecanismos válidos. Ante una solicitud razonable, se proporcionará información respetando la confidencialidad.

Artículo 16 - Solicitudes de autoridades TablePlay únicamente proporcionará datos a las autoridades competentes en caso de una obligación legal. Cuando esté permitido, se informará previamente al Cliente. TablePlay evaluará la competencia, el alcance y la validez jurídica, y limitará la divulgación en la medida de lo posible.

Artículo 17 - Auditorías e información TablePlay pone a disposición información razonable, incluyendo documentación de seguridad, auditorías, certificaciones, cuestionarios o declaraciones de garantía. Si esto resulta insuficiente, el Cliente podrá exigir una auditoría, como máximo una vez por año calendario, con treinta días de aviso previo, durante horas de oficina, por parte de un experto independiente sujeto a confidencialidad, sin perjuicio para la seguridad, confidencialidad u otros clientes. El Cliente asumirá los costos, salvo que se constate un incumplimiento sustancial imputable. TablePlay podrá restringir el acceso al código fuente, otros datos de clientes, detalles de vulnerabilidades e información comercialmente sensible cuando exista una alternativa suficiente.

Artículo 18 - Devolución y eliminación Tras la terminación, TablePlay eliminará o devolverá, a elección del Cliente y en la medida en que sea técnica y jurídicamente posible, los datos que se procesan exclusivamente en nombre del Cliente. La elección deberá comunicarse a más tardar dentro de los treinta días. En ausencia de dicha elección, TablePlay podrá eliminar o anonimizar los datos conforme a la política estándar. Las copias de seguridad podrán contener datos por un máximo de un mes y se utilizarán exclusivamente para fines de recuperación.

Acuerdo de Encargado del Tratamiento y Política de Seguridad de TablePlay

Página 5 de 10

Los datos legalmente obligatorios, necesarios para la protección jurídica y los datos anonimizados no tendrán que eliminarse.

Artículo 19 - Responsabilidad Las disposiciones de responsabilidad de las Condiciones Generales también serán aplicables. Cada parte será responsable de sus propias obligaciones en materia de privacidad. El Cliente indemnizará a TablePlay por reclamaciones derivadas de instrucciones ilícitas, ausencia de base legal, información insuficiente, uso ilícito de Datos de Juego o introducción de datos sensibles prohibidos, en la medida en que lo permita la ley.

Artículo 20 - Duración y terminación El presente Acuerdo de Encargado del Tratamiento finalizará cuando TablePlay deje de procesar datos personales en nombre del Cliente. La confidencialidad, la seguridad, la eliminación, la responsabilidad y las auditorías seguirán vigentes en la medida en que su naturaleza así lo requiera.

Artículo 21 - Derecho aplicable y controversias El presente Acuerdo de Encargado del Tratamiento se rige por el derecho neerlandés. Las controversias se resolverán conforme a las Condiciones Generales.

Anexo 1 - Subencargados del tratamiento Proveedor

Servicio

Posibles datos

Región / función

Supabase

Base de datos, autenticación, almacenamiento y backend Cuentas, datos de mesa, apodos, sesiones, puntuaciones Principal y registros Región de la UE en la medida configurada; subencargado del tratamiento principal

Vercel

Alojamiento, entorno de ejecución, distribución de contenido y dirección IP, registro datos de solicitud, navegador, dispositivo y aplicación EEE y posiblemente EE. UU.; subencargado del tratamiento de alojamiento

Twilio SendGrid

Correo electrónico transaccional y operativo Nombre, dirección de correo electrónico, información de cuenta, contenido y Internacional; estado de entrega del correosubencargado del tratamiento de correo electrónico

OpenAI / otro proveedor de IA Solo si se activan funciones de IA

Datos limitados que sean necesarios para la función Depende de la configuración; posible subencargado del tratamiento

Stripe

Datos empresariales, facturas, transacciones y estado de pago Internacional; función varía según el procesamiento

Pagos, facturación y prevención de fraude

Google / Meta / LinkedIn Analítica y marketing tras el consentimiento Datos del sitio web, del dispositivo, publicitarios y de conversión Internacional; generalmente no es subencargado del tratamiento para

La lista actualizada se pone a disposición a través del sitio web o el portal del cliente. En caso de un nuevo subencargado del tratamiento sustancial, se aplicará el procedimiento de notificación y objeción del artículo 14. TablePlay no proporcionará datos de invitados identificables a un proveedor de IA para el entrenamiento general de modelos, salvo que en el futuro se disponga expresamente, de forma lícita y transparente, lo contrario.

Anexo 2 - Medidas técnicas y organizativas 1. Seguridad de acceso • Cuentas de usuario únicas y autenticación segura. • Contraseñas cifradas mediante hash y limitación de los derechos de administración. • Acceso basado en roles y necesidad. • Revocación del acceso cuando ya no sea necesario. • Medidas de autenticación adicionales cuando corresponda.

2. Separación lógica de datos • Separación entre Cuentas empresariales y la autorización vinculada al tenant.

Acuerdo de Encargado del Tratamiento y Política de Seguridad de TablePlay

Página 6 de 10 • Seguridad a nivel de fila (Row Level Security) de Supabase donde sea técnicamente aplicable. • Restricción del acceso a los datos de otros Clientes. • Identificadores únicos de mesa.

3. Transporte y almacenamiento • Conexiones seguras mediante HTTPS y TLS. • Comunicación segura entre el navegador, la aplicación, el backend y las API. • Almacenamiento en proveedores de nube seleccionados. • Acceso limitado del personal y confidencialidad contractual. • Sin almacenamiento de contraseñas en forma directamente legible.

4. Disponibilidad, registro y recuperación • Copias de seguridad y previsiones de recuperación cuando corresponda. • Monitoreo de errores técnicos e intentos de inicio de sesión relevantes. • Detección e investigación de uso anómalo. • Copias de seguridad, en principio, por un máximo de un mes. • Registros, en principio, por un máximo de un año, salvo que se requiera un período más largo por incidente o controversia.

# Documento traducido

5. Desarrollo seguro y gestión de proveedores • Control de versiones, revisión de código e implementación controlada donde sea pertinente. • Restricción de secretos y claves en el código fuente. • Actualizaciones oportunas de los componentes relevantes. • Evaluación y corrección de vulnerabilidades reportadas. • Selección de proveedores profesionales, acuerdos contractuales y mecanismos de transferencia.

6. Minimización de datos y gestión de incidentes • No se exige nombre real, correo electrónico ni número de teléfono para Invitados. • Apodos temporales y visibilidad limitada en el tablero de clasificación. • Eliminación o anonimización tras los plazos correspondientes. • Proceso interno de escalamiento, investigación, registro, evaluación de la obligación de notificación y medidas correctivas.

Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades 1. Finalidad y dirección de notificación TablePlay concede importancia a la seguridad del sitio web, la Plataforma, la infraestructura y los datos. Las posibles vulnerabilidades técnicas pueden reportarse de manera confidencial a través de support@tableplay.online con el asunto Reporte de Seguridad - confidencial.

2. Contenido de un reporte • Descripción clara de la vulnerabilidad. • Dominio, endpoint, pantalla o sistema involucrado.

Contrato de Encargado del Tratamiento y Política de Seguridad TablePlay

Página 7 de 10 • Pasos reproducibles e impacto posible. • Capturas de pantalla limitadas o datos técnicos probatorios. • Navegador, dispositivo o entorno utilizado. • Datos de contacto y, en su caso, propuesta de comunicación segura.

3. Actos permitidos • Únicamente actos necesarios para determinar la existencia de la vulnerabilidad. • Mantener el impacto y el acceso a datos lo más limitado posible. • No modificar, eliminar ni descargar datos de terceros. • No afectar la disponibilidad y detener la actividad en cuanto exista prueba suficiente. • Investigar únicamente sistemas que se encuentren demostrablemente bajo la gestión de TablePlay.

4. Actos no permitidos • Ingeniería social, phishing, ataques físicos, fuerza bruta y credential stuffing. • Toma de control de cuentas, denegación de servicio, malware o acceso persistente. • Modificar, borrar, copiar o divulgar datos. • Manipulación real de pagos, facturas, cupones o puntuaciones. • Investigación de proveedores externos sin su consentimiento. • Escaneos automatizados que generen carga excesiva. • Divulgación antes de que se haya ofrecido un plazo razonable de investigación y corrección. • Extorsión o exigencia de pago mediante amenazas.

5. Respuesta y divulgación TablePlay se esfuerza por confirmar la recepción dentro de los cinco días laborables, evaluar el reporte, formular preguntas cuando sea necesario, informar al notificante sobre los aspectos generales y mitigar una vulnerabilidad verificada lo antes que razonablemente sea posible. El plazo de corrección depende de la gravedad, la complejidad, los proveedores y las pruebas necesarias. TablePlay no garantiza un plazo fijo. Los detalles no se divulgarán antes de que TablePlay dé su consentimiento, se haya acordado una fecha razonable o hayan transcurrido al menos noventa días sin una respuesta sustantiva razonable o intento de corrección. Los datos personales, los datos de autenticación y el código de explotación no se publicarán.

6. Ausencia de programa general de recompensas por errores y enfoque jurídico TablePlay no mantiene un programa general de recompensas por errores (bug bounty) y un reporte no otorga derecho a pago, encargo o publicidad. TablePlay puede, a su entera discreción, otorgar un reconocimiento. En principio, TablePlay no emprenderá acciones legales contra un investigador que actúe de buena fe, dentro de esta política, sin causar daños, de manera confidencial y sin extorsión. Este compromiso no se aplica en casos de actos evidentemente delictivos, dañinos, fraudulentos o desproporcionados, y no vincula a terceros ni a autoridades.

Contrato de Encargado del Tratamiento y Política de Seguridad TablePlay

Página 8 de 10

7. security.txt TablePlay puede publicar en /.well-known/security.txt un archivo técnico con la dirección de notificación, enlace a la política, idiomas, fecha de caducidad y, en su caso, una clave de cifrado. Este archivo debe revisarse y renovarse periódicamente.

Parte C - Declaración de Accesibilidad 1. Ambición y marco de referencia TablePlay se esfuerza por hacer que el sitio web, el registro, el portal de clientes y los juegos para invitados sean utilizables por un amplio grupo de usuarios, incluidas las personas con discapacidades visuales, auditivas, motoras o cognitivas. Donde razonablemente sea posible, se utilizan los principios de las WCAG 2.2 nivel AA como marco de referencia técnico y de contenido. Esto no constituye garantía de que cada componente cumpla plenamente en todas las circunstancias.

2. Estado actual El entorno completo aún no ha sido auditado de forma independiente e integral. Por ello, TablePlay no reclama en este momento una conformidad formal completa con las WCAG 2.2 AA. Las posibles limitaciones se refieren a componentes de juego en tiempo real, presión de tiempo, arrastrar y soltar (drag-and-drop), animaciones, páginas externas de pago o autenticación, traducciones, representaciones de color más antiguas y funciones orientadas al tacto.

3. Medidas • HTML semántico y etiquetas utilizables donde sea pertinente. • Control mediante teclado de las funciones esenciales y foco visible. • Contraste suficiente y texto escalable. • Textos alternativos para imágenes informativas. • Ninguna información esencial transmitida únicamente mediante color. • Mensajes de error comprensibles y navegación consistente. • Botones y enlaces claros. • Compatibilidad con navegadores y tamaños de pantalla habituales. • Limitación de animaciones innecesarias. • Lenguaje comprensible en el entorno del huésped. • Pruebas automatizadas y manuales cuando sea posible.

4. Juegos y presión de tiempo Algunos juegos son, por su naturaleza, dependientes del tiempo. Cuando sea técnica y funcionalmente posible, TablePlay puede ofrecer modos de juego alternativos, límites de tiempo ampliados, menos movimiento, alternativas visuales al sonido y texto o símbolos además de color. No todos los modos de juego son igualmente adecuados para todos los usuarios. Se anima a los restaurantes a ofrecer varios tipos de juego.

Acuerdo de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 9 de 10

5. Responsabilidad del cliente comercial El Cliente sigue siendo responsable de la accesibilidad física y operativa del Local, incluida la colocación de códigos QR, la legibilidad del material impreso, la ayuda alternativa, la accesibilidad de las pantallas, el apoyo del personal y el contenido propio. Los códigos QR se colocan de forma accesible y visible, y cuando razonablemente sea posible se ofrece una alternativa a los Huéspedes que no puedan escanear por sí mismos.

6. Notificación y acceso alternativo Los problemas de accesibilidad pueden notificarse a support@tableplay.online indicando la página o el juego, el dispositivo, el navegador, la tecnología de asistencia, una descripción y la solución deseada. TablePlay procura enviar un acuse de recibo dentro de cinco días hábiles y una respuesta sustantiva dentro de un plazo razonable. Cuando sea posible, se puede ofrecer información por correo electrónico, soporte, una instrucción alternativa, procesamiento manual u otra opción de juego.

7. Carga desproporcionada y mejora Una adaptación puede posponerse cuando no sea técnicamente viable, afecte sustancialmente la seguridad, altere la naturaleza fundamental de un juego, dependa de un proveedor externo o constituya una carga organizativa o financiera desproporcionada. TablePlay evaluará entonces una alternativa. TablePlay puede tener en cuenta la accesibilidad en el diseño, las pruebas, la priorización, la retroalimentación de los usuarios y las auditorías externas, y actualizar esta declaración.

8. Contacto TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Países Bajos - KvK 91644453 - IVA NL865722729B01 - support@tableplay.online.

Acuerdo de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 10 de 10

Lista adicional de subencargados Esta lista de subencargados forma parte del Acuerdo de Encargado de Tratamiento y de la Política de Seguridad de TablePlay. La lista vigente puede cambiar cuando cambien los proveedores, las regiones o las funciones.

Proveedor: Supabase Servicio: base de datos, autenticación, almacenamiento y backend. Posibles datos: cuentas, datos de mesa, apodos, sesiones, puntuaciones y registros. Región / función: región de la UE de forma primaria en la medida en que esté configurada; subencargado principal.

Proveedor: Vercel Servicio: alojamiento, entorno de ejecución, distribución de contenido y registro. Posibles datos: dirección IP, datos de solicitud, navegador, dispositivo y aplicación. Región / función: EEE y posiblemente EE. UU.; subencargado de alojamiento.

Proveedor: Twilio SendGrid Servicio: correo electrónico transaccional y operativo. Posibles datos: nombre, dirección de correo electrónico, información de cuenta, contenido y estado de entrega. Región / función: internacional; subencargado de correo electrónico.

Proveedor: OpenAI / otro proveedor de IA Servicio: únicamente cuando se activan funciones de IA. Posibles datos: datos limitados necesarios para la función. Región / función: depende de la configuración; subencargado potencial. TablePlay no proporciona datos de huéspedes identificables a ningún proveedor de IA para el entrenamiento general de modelos, a menos que en el futuro se disponga expresa, lícita y transparentemente lo contrario.

Proveedor: Stripe Servicio: pagos, facturación y prevención de fraude. Posibles datos: datos comerciales, facturas, transacciones y estado de pago. Región / función: internacional; la función varía según el tratamiento.

Proveedor: Google / Meta / LinkedIn Servicio: analítica y marketing tras obtener consentimiento. Posibles datos: datos de sitio web, dispositivo, publicidad y conversión. Región / función: internacional; generalmente no es subencargado respecto de los datos de juego del restaurante.