Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay Incluye lista de subencargados, medidas técnicas y organizativas, divulgación responsable y declaración de accesibilidad

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Versión 1.0 Última actualización: 10 de julio de 2026

Nota de control jurídico Este documento ha sido elaborado para uso comercial por parte de TablePlay. La publicación definitiva, la aplicación internacional, los proveedores actuales, la configuración técnica y las normas específicas de cada país deben someterse a control jurídico periódico.

Índice de contenidos Parte A - Contrato de Encargado de Tratamiento Anexo 1 - Subencargados Anexo 2 - Medidas técnicas y organizativas Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades Parte C - Declaración de accesibilidad

Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 2 de 10

Parte A - Contrato de Encargado de Tratamiento Artículo 1 - Partes Este contrato de encargado de tratamiento rige entre el cliente comercial de TablePlay como Responsable del Tratamiento y Jimani B.V., que opera bajo el nombre comercial TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, como Encargado del Tratamiento. Las partes se denominan conjuntamente las Partes.

Artículo 2 - Aplicabilidad y celebración Este contrato rige en la medida en que TablePlay trate datos personales por encargo y en beneficio del Cliente y forma parte integral del contrato principal. Se perfecciona mediante aceptación electrónica, firma o uso efectivo del Servicio. Para los tratamientos respecto de los cuales TablePlay determina de forma autónoma los fines y los medios, TablePlay actúa como responsable del tratamiento y rige la Declaración de Privacidad. En caso de contradicción sobre el tratamiento realizado en nombre del Cliente, este Contrato de Encargado de Tratamiento prevalece sobre las Condiciones Generales.

Artículo 3 - Objeto, duración y naturaleza TablePlay trata datos personales para funcionalidades de juego, mesa, código QR, puntuación, tabla de clasificación, panel de control y soporte, vinculadas al restaurante. El tratamiento tiene lugar durante la vigencia del contrato principal y un período limitado posterior a este, para efectos de eliminación, devolución, rotación de copias de seguridad, obligaciones legales y protección jurídica. El tratamiento puede comprender la recopilación, el registro, la organización, la estructuración, el almacenamiento, la consulta, el cálculo, la combinación dentro del contexto del restaurante, la exhibición, el envío, la limitación, la eliminación y la anonimización.

Artículo 4 - Finalidades • Vincular códigos QR con el restaurante y la mesa. • Iniciar y ejecutar sesiones de juego. • Tratar apodos temporales, elecciones de juego, respuestas, puntuaciones y resultados. • Facilitar juegos de mesa contra mesa y tablas de clasificación temporales. • Mostrar estadísticas vinculadas al restaurante. • Prevenir sesiones duplicadas, fraudulentas o técnicamente inválidas. • Soporte técnico, seguridad, continuidad y recuperación. • Eliminar o anonimizar datos tras los plazos de conservación.

Artículo 5 - Categorías de interesados • Huéspedes y jugadores del Cliente. • Personas de contacto, usuarios, empleados y auxiliares del Cliente. • Personas que figuren en una solicitud de soporte.

Artículo 6 - Categorías de datos personales • Apodo temporal, número de mesa o ID único de mesa e ID de restaurante o de local. • ID de sesión de juego, juego elegido, modo de juego, respuestas, acciones, puntuación, resultado y clasificación. • Fecha, hora y configuración de idioma temporal. • Datos técnicos de sesión, IP, navegador y dispositivo, en la medida en que consten en los registros de seguridad.

Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 3 de 10 • Nombre y dirección de correo electrónico comercial de una persona de contacto y contenido de las consultas de soporte. • Otros datos que se introduzcan dentro de la funcionalidad acordada. TablePlay no está destinado al tratamiento de datos especialmente protegidos, penales, médicos o biométricos, ni a perfiles de huéspedes directamente identificables a gran escala. El Cliente no dará instrucciones para dicho tratamiento sin un acuerdo previo por escrito.

Artículo 7 - Instrucciones documentadas El contrato principal, este Contrato de Encargado de Tratamiento, la configuración del portal del cliente y las solicitudes de soporte lícitas constituyen instrucciones. TablePlay no tratará los datos para otros fines, salvo en cumplimiento de obligaciones legales, para fines autónomos de seguridad y protección jurídica, o mediante tratamiento tras una anonimización adecuada. En caso de una instrucción presuntamente ilícita, TablePlay informará al Cliente, salvo que ello esté legalmente prohibido, y podrá suspender su ejecución. Las instrucciones adicionales de gran alcance podrán facturarse por separado.

Artículo 8 - Obligaciones del Cliente El Cliente responde por la licitud, el fundamento válido, la información a los Huéspedes, las instrucciones lícitas, la minimización de datos, la seguridad interna y la protección de los datos de acceso. El Cliente es responsable de la exactitud y calidad, no exige nombres reales de los Huéspedes y no utiliza los Datos de Juego para fines de mercadeo individual o elaboración de perfiles sin fundamento propio. Los incidentes de seguridad y las instrucciones ilícitas se notificarán sin demora.

Artículo 9 - Confidencialidad Las personas bajo la autoridad de TablePlay únicamente tienen acceso en la medida necesaria, están sujetas a confidencialidad y solo tratan los datos conforme a instrucciones. Esta obligación permanece vigente tras la terminación. La entrega a terceros únicamente se efectúa con fundamento en este contrato, el contrato principal o la ley.

Artículo 10 - Seguridad TablePlay adopta medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, los costos, la naturaleza, el alcance, el contexto, la finalidad y el riesgo. Las medidas se detallan en el Anexo 2 y podrán modificarse siempre que el nivel general de protección no disminuya sustancialmente. Ningún sistema puede garantizar seguridad absoluta.

Artículo 11 - Filtraciones de datos TablePlay informa al Cliente sin dilación indebida después de tener conocimiento de una violación de la seguridad de los datos personales que se tratan en nombre del Cliente. En la medida de lo posible, se proporcionará información sobre la naturaleza, los sistemas, las categorías de datos e interesados, las consecuencias, las medidas adoptadas y los datos de contacto. La información podrá proporcionarse por etapas. TablePlay investiga, limita, conserva las pruebas pertinentes y ejecuta la recuperación. El Cliente evalúa la obligación legal de notificación y TablePlay presta apoyo razonable. Una notificación no constituye un reconocimiento de responsabilidad. Los trabajos derivados de circunstancias bajo responsabilidad del Cliente podrán ejecutarse contra costos razonables.

Artículo 12 - Solicitudes de los interesados Las solicitudes directas que conciernan al rol del Cliente se remitirán en principio a este. TablePlay solo responde de manera independiente por instrucción, en su propio rol o por obligación legal. TablePlay brinda apoyo razonable en materia de acceso, rectificación, supresión, limitación, portabilidad y oposición.

Contrato de Encargado de Tratamiento y Política de Seguridad TablePlay

Página 4 de 10

Dado que los Huéspedes no tienen una Cuenta, la identificación puede ser limitada. Pueden ser necesarios el restaurante, la mesa, la fecha, la hora, el apodo y el contexto del juego. Los datos no se entregarán si no está suficientemente establecido que se refieren al solicitante.

Artículo 13 - Apoyo en el cumplimiento TablePlay presta apoyo razonable en materia de seguridad, evaluaciones de filtraciones de datos, evaluaciones de impacto relativas a la protección de datos, consulta previa y documentación necesaria. El apoyo de gran envergadura que exceda el servicio estándar podrá facturarse, salvo que derive de un incumplimiento de TablePlay.

Artículo 14 - Subencargados El Cliente otorga autorización general para los subencargados mencionados en el Anexo 1. TablePlay podrá añadir, sustituir o eliminar subencargados y mantiene una lista electrónica actualizada. En caso de un nuevo subencargado sustancial, TablePlay informará en principio con treinta días de anticipación. El Cliente podrá presentar objeciones motivadas dentro de dicho plazo, basadas en motivos concretos de protección de datos. Las Partes buscarán garantías adicionales, limitaciones o una alternativa técnica. Si no existe una solución razonable, el Cliente podrá dar por terminada la parte directamente afectada antes de su implementación. TablePlay impone obligaciones sustancialmente equivalentes y sigue siendo responsable en la medida en que lo determine el RGPD.

Artículo 15 - Transferencia internacional Los datos personales se tratan, en la medida de lo posible, en una región europea. Los subencargados o las empresas del grupo podrán estar establecidos fuera del EEE o tener acceso desde allí. Cuando sea necesario, TablePlay utiliza decisiones de adecuación, cláusulas contractuales tipo, medidas adicionales u otros mecanismos válidos. A solicitud razonable, se proporcionará información respetando la confidencialidad.

Artículo 16 - Solicitudes de autoridades TablePlay únicamente entrega datos a autoridades competentes en caso de una obligación legítima. En la medida en que esté permitido, se informará previamente al Cliente. TablePlay evalúa la competencia, el alcance y la validez jurídica, y limita la entrega en la medida de lo posible.

Artículo 17 - Auditorías e información TablePlay pone a disposición información razonable, incluyendo documentación de seguridad, auditorías, certificaciones, cuestionarios o declaraciones de aseguramiento. Si esto resulta insuficiente, el Cliente podrá exigir una auditoría como máximo una vez por año calendario, con un preaviso de treinta días, durante horario de oficina, realizada por un experto independiente sujeto a confidencialidad, sin perjuicio para la seguridad, la confidencialidad u otros clientes. El Cliente asume los costos, salvo que se constate una infracción sustancial imputable. TablePlay podrá restringir el acceso al código fuente, otros datos de clientes, detalles de vulnerabilidades e información comercialmente sensible cuando exista una alternativa suficiente.

Artículo 18 - Devolución y eliminación Tras la terminación, TablePlay eliminará o devolverá, a elección del Cliente y en la medida en que sea técnica y legalmente posible, los datos que se procesen exclusivamente en nombre del Cliente. La elección deberá comunicarse en un plazo máximo de treinta días. En ausencia de tal elección, TablePlay podrá eliminar o anonimizar los datos conforme a la política estándar. Las copias de seguridad podrán contener datos por un máximo de un mes y se utilizarán exclusivamente para fines de recuperación.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 5 de 10

Los datos que sean legalmente obligatorios, necesarios para la protección jurídica y los datos anonimizados no deberán eliminarse.

Artículo 19 - Responsabilidad Las disposiciones sobre responsabilidad de las Condiciones Generales se aplican asimismo. Cada parte es responsable de sus propias obligaciones en materia de privacidad. El Cliente indemnizará a TablePlay frente a reclamaciones derivadas de instrucciones ilícitas, ausencia de base legal, información insuficiente, uso ilícito de Datos del Juego o introducción de datos sensibles prohibidos, en la medida en que lo permita la ley.

Artículo 20 - Duración y terminación El presente Acuerdo de Encargado de Tratamiento finaliza cuando TablePlay deje de procesar datos personales en nombre del Cliente. La confidencialidad, la seguridad, la eliminación, la responsabilidad y las auditorías seguirán vigentes en la medida en que su naturaleza así lo exija.

Artículo 21 - Derecho y controversias El presente Acuerdo de Encargado de Tratamiento se rige por el derecho neerlandés. Las controversias se tramitarán de conformidad con las Condiciones Generales.

Anexo 1 - Subencargados Proveedor

Servicio

Posibles datos

Región / función

Supabase

Base de datos, autenticación, almacenamiento y backend Cuentas, datos de mesa, apodos, sesiones, puntuaciones Primario y registros Región UE en la medida en que esté configurada; subencargado principal

Vercel

Alojamiento, tiempo de ejecución, distribución de contenido y registro Dirección IP, datos de solicitud, navegador, dispositivo EEE y posiblemente EE. UU.; subencargado de alojamiento y aplicación

Twilio SendGrid

Correo electrónico transaccional y operativo Nombre, dirección de correo electrónico, información de cuenta, contenido y Internacional; estado de entregasubencargado de correo electrónico

OpenAI / otro proveedor de IA Solo cuando estén activadas las funciones de IA

Datos limitados que sean necesarios para la función Según la configuración; subencargado potencial

Stripe

Datos comerciales, facturas, transacciones y estado de pago Internacional; la función varía según el tratamiento

Pagos, facturación y prevención de fraude

Google / Meta / LinkedIn Analítica y marketing tras el consentimiento Datos de sitio web, dispositivo, publicidad y conversión Internacional; por lo general no es subencargado para r

La lista actualizada se pone a disposición a través del sitio web o del portal del cliente. En caso de un nuevo subencargado sustancial, se aplicará el procedimiento de notificación y objeción previsto en el artículo 14. TablePlay no proporcionará datos identificables de invitados a un proveedor de IA para el entrenamiento general de modelos, salvo que posteriormente se disponga expresamente, lícitamente y de forma transparente lo contrario.

Anexo 2 - Medidas técnicas y organizativas 1. Seguridad de acceso • Cuentas de usuario únicas y autenticación segura. • Contraseñas cifradas mediante hash y restricción de derechos de administración. • Acceso basado en función y necesidad. • Revocación del acceso cuando ya no sea necesario. • Medidas de autenticación adicionales cuando sea pertinente.

2. Separación lógica de datos • Separación entre Cuentas comerciales y autorización vinculada al tenant.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 6 de 10 • Supabase Row Level Security en la medida en que sea técnicamente aplicable. • Restricción del acceso a los datos de otros Clientes. • Identificadores de mesa únicos.

3. Transporte y almacenamiento • Conexiones seguras mediante HTTPS y TLS. • Comunicación segura entre el navegador, la aplicación, el backend y las API. • Almacenamiento en proveedores de nube seleccionados. • Acceso limitado de los colaboradores y confidencialidad contractual. • No se almacenan contraseñas en forma directamente legible.

4. Disponibilidad, registro y recuperación • Copias de seguridad y disposiciones de recuperación cuando sea pertinente. • Monitoreo de errores técnicos e intentos de inicio de sesión relevantes. • Detección e investigación de uso anómalo. • Copias de seguridad, en principio, por un máximo de un mes. • Registros, en principio, por un máximo de un año, salvo que se requiera un período más prolongado para un incidente o controversia.

5. Desarrollo seguro y gestión de proveedores • Control de versiones, revisión de código e implementación controlada donde sea apropiado. • Restricción de secretos y claves en el código fuente. • Actualizaciones oportunas de los componentes relevantes. • Evaluación y corrección de las vulnerabilidades reportadas. • Selección de proveedores profesionales, acuerdos contractuales y mecanismos de transferencia.

6. Minimización de datos y gestión de incidentes • No se requieren nombres reales, correo electrónico o número de teléfono obligatorios para los Invitados. • Apodos temporales y visibilidad limitada en la tabla de clasificación. • Eliminación o anonimización después de plazos determinados. • Proceso interno de escalamiento, investigación, registro, evaluación de la obligación de notificación y medidas de corrección.

Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades 1. Finalidad y dirección de notificación TablePlay concede importancia a la seguridad del sitio web, la Plataforma, la infraestructura y los datos. Las posibles vulnerabilidades técnicas pueden reportarse de forma confidencial a través de support@tableplay.online con el asunto Notificación de seguridad - confidencial.

2. Contenido de una notificación • Descripción clara de la vulnerabilidad. • Dominio, endpoint, pantalla o sistema afectado.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 7 de 10 • Pasos reproducibles e impacto posible. • Capturas de pantalla limitadas o datos técnicos de evidencia. • Navegador, dispositivo o entorno utilizado. • Datos de contacto y, en su caso, propuesta de comunicación segura.

3. Actuaciones permitidas • Únicamente las actuaciones necesarias para constatar la existencia de la vulnerabilidad. • Mantener el impacto y el acceso a los datos lo más limitado posible. • No modificar, eliminar o descargar datos de terceros. • No afectar la disponibilidad y detenerse en cuanto exista evidencia suficiente. • Investigar exclusivamente los sistemas que de manera demostrable están bajo la gestión de TablePlay.

4. Actuaciones no permitidas • Ingeniería social, phishing, ataques físicos, fuerza bruta y credential stuffing. • Toma de control de cuentas, denial-of-service, malware o acceso persistente. • Modificar, borrar, copiar o divulgar datos. • Manipulación real de pagos, facturas, cupones o puntuaciones. • Investigación de proveedores externos sin su autorización. • Escaneos automatizados perjudiciales. • Divulgación antes de que se haya ofrecido un tiempo razonable de investigación y corrección. • Extorsión o exigencia de pago mediante amenazas.

5. Respuesta y divulgación TablePlay procura confirmar la recepción dentro de los cinco días hábiles, evaluar la notificación, formular preguntas cuando sea necesario, informar al notificante sobre los aspectos generales y mitigar una vulnerabilidad verificada tan pronto como sea razonablemente posible. El plazo de corrección depende de la gravedad, la complejidad, los proveedores y las pruebas necesarias. TablePlay no garantiza un plazo fijo. Los detalles no se divulgarán antes de que TablePlay lo consienta, se haya acordado una fecha razonable o hayan transcurrido al menos noventa días sin una respuesta sustantiva razonable o intento de corrección. No se publicarán datos personales, datos de autenticación ni código de explotación.

6. Ausencia de programa general de recompensas por errores y enfoque jurídico TablePlay no mantiene un programa general de recompensas por errores (bug bounty) y una notificación no genera derecho a pago, encargo o publicidad. TablePlay podrá otorgar reconocimiento a su propia discreción. TablePlay, en principio, no emprenderá acciones legales contra un investigador que actúe de buena fe, dentro de esta política, sin causar daños, de manera confidencial y sin extorsión. Este compromiso no se aplica en caso de actuaciones evidentemente punibles, dañinas, fraudulentas o desproporcionadas y no vincula a terceros ni a autoridades.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 8 de 10

7. security.txt TablePlay podrá publicar en /.well-known/security.txt un archivo técnico con la dirección de notificación, el enlace a la política, los idiomas, la fecha de vencimiento y, en su caso, una clave de cifrado. Este archivo debe revisarse y actualizarse periódicamente.

Parte C - Declaración de Accesibilidad 1. Ambición y marco de referencia TablePlay se esfuerza por hacer que el sitio web, el registro, el portal de clientes y los juegos para invitados sean utilizables para un amplio grupo de usuarios, incluidas las personas con discapacidades visuales, auditivas, motrices o cognitivas. En la medida en que sea razonablemente posible, se utilizan los principios de las WCAG 2.2 nivel AA como marco de referencia técnico y de contenido. Esto no constituye una garantía de que cada componente cumpla plenamente en todas las circunstancias.

2. Estado actual El entorno completo aún no ha sido auditado de manera independiente e integral. Por lo tanto, TablePlay no reclama en este momento el cumplimiento formal completo de las WCAG 2.2 AA. Las posibles limitaciones afectan a los componentes de juego en tiempo real, la presión de tiempo, el arrastrar-y-soltar (drag-and-drop), las animaciones, las páginas externas de pago o autenticación, las traducciones, las representaciones de color más antiguas y las funciones orientadas al tacto.

3. Medidas • HTML semántico y etiquetas utilizables donde sea apropiado. • Control mediante teclado de las funciones esenciales y enfoque (focus) visible. • Contraste suficiente y texto escalable. • Textos alternativos para imágenes informativas. • Ninguna información esencial transmitida únicamente por color. • Mensajes de error comprensibles y navegación consistente. • Botones y enlaces claros. • Soporte de navegadores y tamaños de pantalla habituales. • Limitación de animaciones innecesarias. • Lenguaje comprensible en el entorno de invitado. • Pruebas automatizadas y manuales donde sea posible.

4. Juegos y presión de tiempo Algunos juegos son, por su naturaleza, dependientes del tiempo. Donde sea técnica y conceptualmente posible, TablePlay puede ofrecer modos de juego alternativos, límites de tiempo ampliados, menos movimiento, alternativas visuales para el sonido y texto o símbolos además del color. No todos los modos de juego son igualmente adecuados para todos los usuarios. Se anima a los restaurantes a ofrecer varios tipos de juego.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 9 de 10

5. Responsabilidad del cliente comercial El Cliente sigue siendo responsable de la accesibilidad física y operativa del Local, incluyendo la colocación de códigos QR, la legibilidad del material impreso, la ayuda alternativa, la accesibilidad de las pantallas, el apoyo del personal y su propio contenido. Los códigos QR se colocarán de manera accesible y visible, y donde sea razonablemente posible se ofrecerá una alternativa a los Invitados que no puedan escanear de forma independiente.

6. Notificación y acceso alternativo Los problemas de accesibilidad pueden notificarse a través de support@tableplay.online indicando la página o el juego, el dispositivo, el navegador, la tecnología de apoyo, la descripción y la solución deseada. TablePlay procura enviar una confirmación de recepción dentro de cinco días hábiles y una respuesta sustantiva dentro de un plazo razonable. Donde sea posible, se puede ofrecer información por correo electrónico, apoyo, una instrucción alternativa, procesamiento manual u otra posibilidad de juego.

7. Carga desproporcionada y mejora Una adaptación puede posponerse cuando no sea técnicamente viable, afecte sustancialmente la seguridad, altere la naturaleza fundamental de un juego, dependa de un proveedor externo o constituya una carga organizativa o financiera desproporcionada. En ese caso, TablePlay evaluará una alternativa. TablePlay puede considerar la accesibilidad en el diseño, las pruebas, la priorización, la retroalimentación de los usuarios y las auditorías externas, y actualizar esta declaración.

8. Contacto TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Países Bajos - Registro Mercantil (KvK) 91644453 - NIF NL865722729B01 - support@tableplay.online.

Acuerdo de Encargado de Tratamiento y Política de Seguridad de TablePlay

Página 10 de 10

Lista adicional de subencargados Esta lista de subencargados forma parte del Acuerdo de Encargado de Tratamiento y de la Política de Seguridad de TablePlay. La lista vigente puede modificarse cuando cambien los proveedores, las regiones o las funciones.

Proveedor: Supabase Servicio: base de datos, autenticación, almacenamiento y backend. Posibles datos: cuentas, datos de mesas, apodos, sesiones, puntuaciones y registros. Región / rol: región de la UE de manera primaria en la medida en que esté configurada; subencargado principal.

Proveedor: Vercel Servicio: alojamiento, tiempo de ejecución, entrega de contenido y registro. Posibles datos: dirección IP, datos de solicitud, navegador, dispositivo y aplicación. Región / rol: EEE y posiblemente EE. UU.; subencargado de alojamiento.

Proveedor: Twilio SendGrid Servicio: correo electrónico transaccional y operativo. Posibles datos: nombre, dirección de correo electrónico, información de la cuenta, contenido y estado de entrega. Región / rol: internacional; subencargado de correo electrónico.

Proveedor: OpenAI / otro proveedor de IA Servicio: solo en caso de funciones de IA activadas. Posibles datos: datos limitados necesarios para la función. Región / rol: según la configuración; subencargado potencial. TablePlay no proporciona datos identificables de invitados a ningún proveedor de IA para el entrenamiento general de modelos, salvo que posteriormente se disponga expresa, lícita y transparentemente lo contrario.

Proveedor: Stripe Servicio: pagos, facturación y prevención de fraude. Posibles datos: datos comerciales, facturas, transacciones y estado de pago. Región / rol: internacional; el rol varía según el tratamiento.

Proveedor: Google / Meta / LinkedIn Servicio: analítica y marketing tras el consentimiento. Posibles datos: datos del sitio web, del dispositivo, publicitarios y de conversión. Región / rol: internacional; generalmente no es subencargado respecto de los datos de juego del restaurante.