Este texto es una traducción de la versión en neerlandés. En caso de discrepancia entre la traducción y el original en neerlandés, prevalece la versión en neerlandés. Este acuerdo se rige por la legislación neerlandesa.
Para los datos de clientes y restaurantes, TablePlay actúa generalmente como encargado del tratamiento en nombre del cliente comercial. Para su propia administración y seguridad, TablePlay puede ser responsable del tratamiento de forma independiente.
Utilizamos medidas técnicas y organizativas como control de acceso, seguridad de sesión, registro de actividad y acceso de clientes separado.
TablePlay puede utilizar proveedores como hosting, bases de datos, correo electrónico y proveedores de pago. Estos proveedores se emplean para la prestación del servicio.
Cuando un cliente recibe una solicitud de privacidad que afecta a datos de TablePlay, ayudamos razonablemente con la exportación, corrección o eliminación.
TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online
Versión 1.0 Última actualización: 10 de julio de 2026
Nota de control jurídico Este documento ha sido elaborado para uso comercial por parte de TablePlay. La publicación definitiva, la aplicación internacional, los proveedores actuales, la configuración técnica y las normas específicas de cada país deben someterse periódicamente a control jurídico.
Índice de contenidos Parte A - Acuerdo de Encargado de Tratamiento Anexo 1 - Subencargados Anexo 2 - Medidas técnicas y organizativas Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades Parte C - Declaración de accesibilidad
Acuerdo de Encargado de Tratamiento y Política de Seguridad TablePlay
Página 2 de 10
Parte A - Acuerdo de Encargado de Tratamiento Artículo 1 - Partes Este acuerdo de encargado de tratamiento es de aplicación entre el cliente comercial de TablePlay, en calidad de Responsable del Tratamiento, y Jimani B.V., que opera bajo el nombre TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, en calidad de Encargado del Tratamiento. Las partes se denominan conjuntamente las Partes.
Artículo 2 - Aplicabilidad y celebración Este acuerdo se aplica en la medida en que TablePlay trate datos personales por encargo y en beneficio del Cliente y forma parte integral del contrato principal. Se celebra mediante aceptación electrónica, firma o uso efectivo del Servicio. Para los tratamientos respecto de los cuales TablePlay determina de forma autónoma los fines y medios, TablePlay actúa como responsable del tratamiento y se aplica la Declaración de Privacidad. En caso de contradicción relativa al tratamiento en nombre del Cliente, prevalece este Acuerdo de Encargado de Tratamiento sobre las Condiciones Generales.
Artículo 3 - Objeto, duración y naturaleza TablePlay trata datos personales para funcionalidades de juego, mesa, código QR, puntuación, tabla de clasificación, panel de control y soporte vinculadas al restaurante. El tratamiento tiene una duración equivalente a la del contrato principal y un período limitado posterior para la eliminación, devolución, rotación de copias de seguridad, obligaciones legales y protección jurídica. El tratamiento puede comprender la recopilación, registro, organización, estructuración, almacenamiento, consulta, cálculo, combinación dentro del contexto del restaurante, visualización, transmisión, limitación, eliminación y anonimización.
Artículo 4 - Finalidades • Vincular códigos QR al restaurante y a la mesa. • Iniciar y ejecutar sesiones de juego. • Tratar apodos temporales, elecciones de juego, respuestas, puntuaciones y resultados. • Facilitar juegos entre mesas y tablas de clasificación temporales. • Mostrar estadísticas vinculadas al restaurante. • Prevenir sesiones duplicadas, fraudulentas o técnicamente inválidas. • Soporte técnico, seguridad, continuidad y recuperación. • Eliminar o anonimizar tras los plazos de conservación.
Artículo 5 - Categorías de interesados • Huéspedes y jugadores del Cliente. • Personas de contacto, usuarios, empleados y auxiliares del Cliente. • Personas que figuren en una notificación de soporte.
Artículo 6 - Categorías de datos personales • Apodo temporal, número de mesa o ID de mesa único e ID de restaurante o ubicación. • ID de sesión de juego, juego seleccionado, modo de juego, respuestas, acciones, puntuación, resultado y clasificación. • Fecha, hora y configuración de idioma temporal. • Datos técnicos de sesión, IP, navegador y dispositivo, en la medida en que figuren en los registros de seguridad.
Acuerdo de Encargado de Tratamiento y Política de Seguridad TablePlay
Página 3 de 10 • Nombre y dirección de correo electrónico comercial de una persona de contacto y contenido de las consultas de soporte. • Demás datos que se introduzcan dentro de la funcionalidad acordada. TablePlay no está destinado a datos especiales, penales, médicos o biométricos, ni a perfiles de huéspedes directamente identificables a gran escala. El Cliente no dará instrucciones para dicho tratamiento sin un acuerdo escrito previo.
Artículo 7 - Instrucciones documentadas El contrato principal, este Acuerdo de Encargado de Tratamiento, la configuración del portal del cliente y las solicitudes de soporte legítimas constituyen instrucciones. TablePlay no trata los datos para otros fines, salvo obligaciones legales, fines propios de seguridad y de protección jurídica, o tratamiento tras una anonimización adecuada. En caso de una instrucción presuntamente ilícita, TablePlay informará al Cliente, salvo que ello esté legalmente prohibido, y podrá suspender su ejecución. Las instrucciones adicionales de gran envergadura podrán facturarse por separado.
Artículo 8 - Obligaciones del Cliente El Cliente garantiza la licitud, el fundamento válido, la información a los Huéspedes, las instrucciones lícitas, la minimización de datos, la seguridad interna y la protección de los datos de acceso. El Cliente es responsable de la exactitud y la calidad, no exige nombres reales de los Huéspedes y no utiliza los Datos de Juego para marketing individual o elaboración de perfiles sin un fundamento independiente. Los incidentes de seguridad y las instrucciones ilícitas se notificarán sin demora.
Artículo 9 - Confidencialidad Las personas bajo la autoridad de TablePlay solo tienen acceso en la medida necesaria, están sujetas a la obligación de confidencialidad y únicamente tratan datos según las instrucciones. Esta obligación sigue vigente tras la finalización. La divulgación a terceros únicamente tiene lugar sobre la base del presente contrato, del contrato principal o de la ley.
Artículo 10 - Seguridad TablePlay adopta medidas técnicas y organizativas apropiadas, teniendo en cuenta el estado de la técnica, los costos, la naturaleza, el alcance, el contexto, la finalidad y el riesgo. Las medidas se detallan en el Anexo 2 y pueden modificarse siempre que el nivel general de protección no disminuya sustancialmente. Ningún sistema puede garantizar una seguridad absoluta.
Artículo 11 - Filtraciones de datos TablePlay informa al Cliente sin demora injustificada después de haber tomado conocimiento de una violación de datos personales tratados en nombre del Cliente. En la medida de lo posible, se proporcionará información sobre la naturaleza, los sistemas, las categorías de datos y de interesados, las consecuencias, las medidas y los datos de contacto. La información podrá proporcionarse por fases. TablePlay investiga, limita, conserva las pruebas pertinentes y ejecuta la reparación. El Cliente evalúa la obligación legal de notificación y TablePlay presta un apoyo razonable. Una notificación no constituye un reconocimiento de responsabilidad. Los trabajos derivados de circunstancias que sean responsabilidad del Cliente podrán ejecutarse a un costo razonable.
Artículo 12 - Solicitudes de los interesados Las solicitudes directas que afecten al rol del Cliente se remitirán en principio a este. TablePlay solo responde de forma autónoma por instrucción, en su propio rol o por obligación legal. TablePlay presta un apoyo razonable en relación con el acceso, la rectificación, la supresión, la limitación, la portabilidad y la oposición.
Contrato de Encargado de Tratamiento y Política de Seguridad de TablePlay
Página 4 de 10
Dado que los Huéspedes no tienen una Cuenta, la identificación puede ser limitada. Puede ser necesario disponer del restaurante, la mesa, la fecha, la hora, el apodo y el contexto del juego. Los datos no se proporcionarán si no consta suficientemente que se refieren al solicitante.
Artículo 13 - Apoyo en el cumplimiento TablePlay presta un apoyo razonable en materia de seguridad, evaluaciones de filtraciones de datos, evaluaciones de impacto relativas a la protección de datos, consulta previa y documentación necesaria. El apoyo de gran envergadura que exceda del servicio estándar podrá facturarse, salvo que derive de un incumplimiento por parte de TablePlay.
Artículo 14 - Subencargados El Cliente otorga autorización general para los subencargados mencionados en el Anexo 1. TablePlay puede añadir, sustituir o eliminar dichos subencargados y mantiene una lista electrónica actualizada. En caso de incorporación de un nuevo subencargado sustancial, TablePlay informará en principio con treinta días de antelación. Dentro de dicho plazo, el Cliente podrá presentar objeciones motivadas basadas en razones concretas de protección de datos. Las partes buscarán garantías adicionales, una limitación o una alternativa técnica. Si no existe una solución razonable, el Cliente podrá dar por finalizada la parte directamente afectada antes de su implementación. TablePlay impone obligaciones sustancialmente equivalentes y sigue siendo responsable en la medida en que así lo disponga el RGPD.
Artículo 15 - Transferencia internacional Los datos personales se tratan, en la medida de lo posible, en una región europea. Los subencargados o las empresas del grupo pueden estar establecidos fuera del EEE o tener acceso desde fuera de este. Cuando sea necesario, TablePlay utiliza decisiones de adecuación, cláusulas contractuales tipo, medidas adicionales u otros mecanismos válidos. A solicitud razonable, se proporcionará información, respetando la confidencialidad.
Artículo 16 - Solicitudes de autoridades TablePlay únicamente proporciona datos a autoridades competentes en caso de una obligación legítima. Cuando esté permitido, se informará previamente al Cliente. TablePlay evalúa la competencia, el alcance y la validez jurídica, y limita la divulgación en la medida de lo posible.
Artículo 17 - Auditorías e información TablePlay pone a disposición información razonable, incluyendo documentación de seguridad, auditorías, certificaciones, cuestionarios o declaraciones de garantía. Si esto resulta insuficiente, el Cliente podrá exigir una auditoría como máximo una vez por año calendario con treinta días de antelación, durante horario de oficina, por un experto independiente sujeto a confidencialidad, sin perjuicio para la seguridad, la confidencialidad u otros clientes. El Cliente asume los costos, salvo que se constate una infracción sustancial imputable. TablePlay podrá proteger el código fuente, otros datos de clientes, detalles de vulnerabilidades e información comercialmente sensible cuando exista una alternativa suficiente.
Artículo 18 - Devolución y eliminación Tras la finalización, TablePlay elimina o devuelve, a elección del Cliente y en la medida técnica y jurídicamente posible, los datos que se procesan exclusivamente en nombre del Cliente. La elección deberá comunicarse a más tardar dentro de treinta días. En caso de no manifestarse elección alguna, TablePlay podrá eliminar o anonimizar conforme a la política estándar. Las copias de seguridad pueden contener datos durante un máximo de un mes y se utilizan exclusivamente para la recuperación.
Acuerdo de Encargado del Tratamiento y Política de Seguridad de TablePlay
Página 5 de 10
No es necesario eliminar los datos legalmente obligatorios, necesarios para la protección jurídica y los datos anonimizados.
Artículo 19 - Responsabilidad Las disposiciones sobre responsabilidad de las Condiciones Generales también son aplicables. Cada parte es responsable de sus propias obligaciones en materia de privacidad. El Cliente indemniza a TablePlay por reclamaciones derivadas de instrucciones ilícitas, ausencia de base jurídica, información insuficiente, uso ilícito de Datos de Juego o introducción de datos sensibles prohibidos, en la medida en que lo permita la ley.
Artículo 20 - Duración y finalización Este Acuerdo de Encargado del Tratamiento finaliza cuando TablePlay deje de procesar datos personales en nombre del Cliente. La confidencialidad, la seguridad, la eliminación, la responsabilidad y las auditorías siguen vigentes en la medida en que su naturaleza así lo exija.
Artículo 21 - Derecho aplicable y controversias Este Acuerdo de Encargado del Tratamiento se rige por el derecho neerlandés. Las controversias se tramitarán conforme a las Condiciones Generales.
Anexo 1 - Subencargados Proveedor
Servicio
Datos posibles
Región / función
Supabase
Base de datos, autenticación, almacenamiento y backend Cuentas, datos de mesa, apodos, sesiones, puntuaciones Primario y registros Región de la UE en la medida en que esté configurada; subencargado principal
Vercel
Alojamiento, entorno de ejecución, distribución de contenido y Dirección IP, registro de solicitudes, navegador, dispositivo y datos de la aplicación EEE y posiblemente EE. UU.; subencargado de alojamiento
Twilio SendGrid
Correo electrónico transaccional y operativo Nombre, dirección de correo electrónico, información de cuenta, contenido y Internacional; estado de entrega del correo electrónico-subencargado de correo electrónico
OpenAI / otro proveedor de IA Solo en caso de funciones de IA activadas
Datos limitados necesarios para la función Dependiente de la configuración; potencial subencargado
Stripe
Datos empresariales, facturas, transacciones y estado de pago Internacional; el rol varía según el procesamiento
Pagos, facturación y prevención de fraude
Google / Meta / LinkedIn Analítica y marketing tras consentimiento Datos de sitio web, dispositivo, publicidad y conversión Internacional; por lo general no es subencargado para re
La lista actualizada se pone a disposición a través del sitio web o del portal del cliente. En caso de un nuevo subencargado sustancial, se aplica el procedimiento de notificación y oposición del artículo 14. TablePlay no proporciona datos de huéspedes identificables a un proveedor de IA para el entrenamiento general de modelos, salvo que esto se organice posteriormente de manera expresa, lícita y transparente de otro modo.
Anexo 2 - Medidas técnicas y organizativas 1. Seguridad de acceso • Cuentas de usuario únicas y autenticación segura. • Contraseñas cifradas (hash) y limitación de los derechos de administración. • Acceso basado en función y necesidad. • Revocación del acceso cuando ya no sea necesario. • Medidas de autenticación adicionales cuando corresponda.
Acuerdo de Encargado del Tratamiento y Política de Seguridad de TablePlay
Página 6 de 10 • Supabase Row Level Security en la medida técnicamente aplicable. • Limitación del acceso a los datos de otros Clientes. • Identificadores de mesa únicos.
3. Transporte y almacenamiento • Conexiones seguras mediante HTTPS y TLS. • Comunicación segura entre el navegador, la aplicación, el backend y las API. • Almacenamiento en proveedores de nube seleccionados. • Acceso limitado del personal y confidencialidad contractual. • Sin almacenamiento de contraseñas en forma directamente legible.
4. Disponibilidad, registro y recuperación • Copias de seguridad y medios de recuperación cuando corresponda. • Monitoreo de errores técnicos e intentos de inicio de sesión relevantes. • Detección e investigación de uso anómalo. • Copias de seguridad, en principio, de un máximo de un mes. • Registros, en principio, de un máximo de un año, salvo que se necesite un plazo mayor por incidente o controversia.
5. Desarrollo seguro y gestión de proveedores • Control de versiones, revisión de código e implementación controlada según proceda. • Limitación de secretos y claves en el código fuente. • Actualizaciones oportunas de los componentes relevantes. • Evaluación y corrección de las vulnerabilidades notificadas. • Selección de proveedores profesionales, acuerdos contractuales y mecanismos de transferencia.
6. Minimización de datos y gestión de incidentes • No se exigen nombres reales, correo electrónico ni número de teléfono para los Invitados. • Apodos temporales y visibilidad limitada en la tabla de clasificación. • Eliminación o anonimización tras determinados plazos. • Proceso interno de escalamiento, investigación, registro, evaluación de la obligación de notificación y medidas de corrección.
Parte B - Seguridad y Divulgación Coordinada de Vulnerabilidades 1. Finalidad y dirección de notificación TablePlay concede importancia a la seguridad del sitio web, la Plataforma, la infraestructura y los datos. Las posibles vulnerabilidades técnicas pueden notificarse de forma confidencial a través de support@tableplay.online con el asunto Securitymelding - vertrouwelijk.
2. Contenido de una notificación • Descripción clara de la vulnerabilidad. • Dominio, endpoint, pantalla o sistema involucrado.
Página 7 de 10 • Pasos reproducibles e impacto posible. • Capturas de pantalla limitadas o datos técnicos probatorios. • Navegador, dispositivo o entorno utilizado. • Datos de contacto y, en su caso, propuesta de comunicación segura.
3. Actuaciones permitidas • Únicamente las actuaciones necesarias para constatar la existencia de la vulnerabilidad. • Mantener el impacto y el acceso a los datos lo más limitado posible. • No modificar, eliminar ni descargar datos de terceros. • No afectar la disponibilidad y detenerse en cuanto exista prueba suficiente. • Investigar únicamente sistemas que estén comprobadamente bajo el control de TablePlay.
4. Actuaciones no permitidas • Ingeniería social, phishing, ataques físicos, fuerza bruta y credential stuffing. • Toma de control de cuentas, denegación de servicio, malware o acceso persistente. • Modificar, borrar, copiar o divulgar datos. • Manipulación real de pagos, facturas, cupones o puntuaciones. • Investigación de proveedores externos sin su consentimiento. • Escaneos automatizados perjudiciales. • Divulgación antes de que se haya ofrecido un plazo razonable de investigación y corrección. • Extorsión o exigencia de pago mediante amenazas.
5. Respuesta y divulgación TablePlay procura confirmar la recepción dentro de los cinco días laborables, evaluar la notificación, formular preguntas cuando sea necesario, informar al notificante en líneas generales y mitigar lo antes razonablemente posible una vulnerabilidad verificada. El plazo de corrección depende de la gravedad, la complejidad, los proveedores y las pruebas necesarias. TablePlay no garantiza un plazo fijo. Los detalles no se divulgarán antes de que TablePlay dé su consentimiento, se haya acordado una fecha razonable o hayan transcurrido al menos noventa días sin una respuesta sustantiva razonable o un intento de corrección. No se publicarán datos personales, datos de autenticación ni código de explotación.
6. Ausencia de programa general de recompensas y enfoque jurídico TablePlay no aplica un programa general de recompensas por vulnerabilidades (bug bounty) y una notificación no otorga derecho a pago, encargo ni publicidad. TablePlay podrá, a su entera discreción, otorgar un reconocimiento. TablePlay, en principio, no emprenderá acciones legales contra un investigador que actúe de buena fe, dentro de esta política, sin causar daños, de forma confidencial y sin extorsión. Este compromiso no se aplica en caso de actuaciones evidentemente punibles, dañinas, fraudulentas o desproporcionadas, y no vincula a terceros ni a autoridades.
Página 8 de 10
7. security.txt TablePlay podrá publicar en /.well-known/security.txt un archivo técnico con la dirección de notificación, el enlace a la política, los idiomas, la fecha de caducidad y, en su caso, una clave de cifrado. Este archivo debe revisarse y actualizarse periódicamente.
Parte C - Declaración de Accesibilidad 1. Ambición y marco de referencia TablePlay se esfuerza por que el sitio web, el registro, el portal de clientes y los juegos para Invitados sean utilizables para un amplio grupo de usuarios, incluidas las personas con discapacidades visuales, auditivas, motrices o cognitivas. En la medida en que sea razonablemente posible, se utilizan los principios de las WCAG 2.2 nivel AA como marco técnico y de contenido de referencia. Esto no constituye una garantía de que cada componente cumpla plenamente dichos principios en todas las circunstancias.
2. Estado actual El entorno completo aún no ha sido auditado de forma independiente e integral. Por ello, TablePlay no reclama en este momento una conformidad formal completa con las WCAG 2.2 AA. Las posibles limitaciones se refieren a los componentes de juego en tiempo real, la presión de tiempo, el arrastrar y soltar (drag-and-drop), las animaciones, las páginas externas de pago o autenticación, las traducciones, las representaciones de color más antiguas y las funciones táctiles.
3. Medidas • HTML semántico y etiquetas utilizables cuando proceda. • Manejo mediante teclado de las funciones esenciales y foco visible. • Contraste suficiente y texto escalable. • Textos alternativos para imágenes informativas. • Ninguna información esencial transmitida únicamente por color. • Mensajes de error comprensibles y navegación coherente. • Botones y enlaces claros. • Compatibilidad con navegadores y tamaños de pantalla habituales. • Limitación de animaciones innecesarias. • Lenguaje comprensible en el entorno de huéspedes. • Pruebas automatizadas y manuales cuando sea posible.
4. Juegos y presión de tiempo Algunos juegos son, por su naturaleza, dependientes del tiempo. Cuando sea técnicamente posible y compatible con el contenido del juego, TablePlay puede ofrecer modos de juego alternativos, límites de tiempo ampliados, menos movimiento, alternativas visuales al sonido, y texto o símbolos además de color. No todos los modos de juego son igualmente adecuados para todos los usuarios. Se anima a los restaurantes a ofrecer varios tipos de juego.
Acuerdo de Encargado de Tratamiento y Política de Seguridad TablePlay
Página 9 de 10
5. Responsabilidad del cliente comercial El Cliente sigue siendo responsable de la accesibilidad física y operativa del Local, incluyendo la colocación de códigos QR, la legibilidad del material impreso, la ayuda alternativa, la accesibilidad de las pantallas, el apoyo por parte del personal y el contenido propio. Los códigos QR se colocarán de manera accesible y visible, y, cuando sea razonablemente posible, se ofrecerá una alternativa a los Huéspedes que no puedan escanear por sí mismos.
6. Notificación y acceso alternativo Los problemas de accesibilidad pueden notificarse a través de support@tableplay.online, indicando la página o el juego, el dispositivo, el navegador, la tecnología de apoyo, la descripción y la solución deseada. TablePlay procura enviar un acuse de recibo dentro de los cinco días laborables y una respuesta sustantiva dentro de un plazo razonable. Cuando sea posible, se puede ofrecer información por correo electrónico, apoyo, una instrucción alternativa, procesamiento manual u otra posibilidad de juego.
7. Carga desproporcionada y mejora Una adaptación puede posponerse cuando no sea técnicamente viable, afecte sustancialmente la seguridad, cambie la naturaleza fundamental de un juego, dependa de un proveedor externo o constituya una carga organizativa o financiera desproporcionada. En tal caso, TablePlay evaluará una alternativa. TablePlay puede tener en cuenta la accesibilidad en el diseño, las pruebas, la priorización, los comentarios de los usuarios y las auditorías externas, y actualizar esta declaración.
Acuerdo de Encargado de Tratamiento y Política de Seguridad TablePlay
Página 10 de 10
Lista adicional de subencargados Esta lista de subencargados forma parte del Acuerdo de Encargado de Tratamiento y de la Política de Seguridad de TablePlay. La lista vigente puede modificarse cuando cambien los proveedores, las regiones o las funciones.
Proveedor: Supabase Servicio: base de datos, autenticación, almacenamiento y backend. Datos posibles: cuentas, datos de mesas, apodos, sesiones, puntuaciones y registros (logs). Región / función: principalmente región de la UE en la medida en que esté configurada; subencargado principal.
Proveedor: Vercel Servicio: hosting, entorno de ejecución, entrega de contenido y registro (logging). Datos posibles: dirección IP, datos de solicitud, navegador, dispositivo y aplicación. Región / función: EEE y posiblemente EE. UU.; subencargado de hosting.
Proveedor: Twilio SendGrid Servicio: correo electrónico transaccional y operativo. Datos posibles: nombre, dirección de correo electrónico, información de la cuenta, contenido y estado de entrega. Región / función: internacional; subencargado de correo electrónico.
Proveedor: OpenAI / otro proveedor de IA Servicio: únicamente cuando las funciones de IA estén activadas. Datos posibles: datos limitados necesarios para la función. Región / función: según configuración; subencargado potencial. TablePlay no proporciona datos de huéspedes identificables a un proveedor de IA para el entrenamiento general de modelos, salvo que en el futuro se disponga expresamente, lícitamente y de forma transparente lo contrario.
Proveedor: Stripe Servicio: pagos, facturación y prevención de fraude. Datos posibles: datos comerciales, facturas, transacciones y estado de pago. Región / función: internacional; la función varía según el tratamiento.
Proveedor: Google / Meta / LinkedIn Servicio: analítica y marketing tras obtener el consentimiento. Datos posibles: datos del sitio web, del dispositivo, publicitarios y de conversión. Región / función: internacional; por lo general no es subencargado respecto de los datos de juego de los restaurantes.