Contrato de encargo de tratamiento de datos

Este Contrato de encargo de tratamiento de datos personales («Contrato de encargo») se celebra entre el negocio que contrata Cooku («el Responsable») y Cooku, marca comercial operada por Victor Leonardo Garza Martínez, persona física con actividad empresarial, con domicilio para oír y recibir notificaciones en Ciudad de México, C.P. 03400, México («Cooku» o «el Encargado»). Forma parte de los Términos y condiciones para negocios (https://usecooku.com/mx/terminos) y se acepta junto con ellos.

Cooku todavía no está constituida como sociedad. Si en el futuro se constituye una sociedad para operarla, esa sociedad asumirá todos los derechos y obligaciones descritos en este documento, incluido el carácter de responsable de los datos personales. Te lo informaremos con anticipación por correo o dentro de la plataforma, sin que tengas que volver a dar tu consentimiento para las mismas finalidades.

Su objeto es regular el tratamiento que Cooku realiza, por cuenta del Responsable, de los datos personales de sus clientes y demás personas relacionadas con su operación, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y las disposiciones que de ella deriven.

• Finalidad: prestar al Responsable los servicios de Cooku: pedidos, menú digital, reservaciones, eventos y entradas, cobros, facturación electrónica, programas de lealtad, promociones, campañas y mensajes a sus clientes.
• Titulares: clientes y comensales del Responsable, asistentes a sus eventos, receptores de sus facturas, sus proveedores y los miembros de su equipo.
• Datos: identificación y contacto (nombre, teléfono, correo), domicilio y ubicación de entrega, historial de pedidos, visitas y consumos, datos fiscales para facturación, preferencias, cumpleaños (día y mes), consentimientos de publicidad y, cuando el Responsable o el titular los registran, alergias y restricciones alimentarias, que pueden constituir datos sensibles.
• Operaciones: recabar, almacenar, consultar, organizar, transmitir a los proveedores necesarios, mostrar al Responsable y suprimir.
• Duración: mientras estén vigentes los Términos y hasta que los datos se devuelvan o supriman conforme a este Contrato de encargo.

Cooku tratará los datos únicamente conforme a las instrucciones del Responsable. Constituyen instrucciones documentadas los Términos, este Contrato de encargo y la configuración que el Responsable realiza en su panel (por ejemplo, activar campañas, mensajes de WhatsApp o integraciones). Cooku no usará los datos para fines propios distintos de prestar, asegurar y mejorar el servicio con información agregada y anonimizada.

Si Cooku considera que una instrucción infringe la ley, lo informará al Responsable y podrá abstenerse de ejecutarla.

• Contar con un aviso de privacidad propio que informe a sus clientes del tratamiento, incluido el uso de Cooku como encargado y de los píxeles o mensajes que active.
• Obtener los consentimientos que exija la ley, en particular el consentimiento expreso para datos sensibles (alergias) y para el envío de publicidad.
• Asegurar que los datos que carga son exactos y que tiene derecho a tratarlos y a compartirlos con Cooku.
• Atender las solicitudes de sus clientes para ejercer sus derechos, con el apoyo de Cooku descrito abajo.

Cooku garantiza que las personas autorizadas para tratar los datos están obligadas a guardar confidencialidad, y aplica medidas de seguridad administrativas, técnicas y físicas razonables según la naturaleza de los datos, entre ellas: cifrado de las conexiones, contraseñas cifradas con algoritmos de un solo sentido, cifrado en reposo de las credenciales de integraciones, separación lógica de la información de cada negocio, control de acceso por roles y registros de auditoría de los accesos del equipo de Cooku.

El Responsable autoriza de forma general a Cooku a recurrir a los subencargados que necesita para prestar el servicio. La lista vigente está publicada en https://usecooku.com/mx/seguridad.

• Cooku impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este Contrato de encargo y responderá frente al Responsable por su cumplimiento en los términos de la ley.
• Cooku informará los cambios relevantes de subencargados actualizando esa página y, cuando el cambio afecte datos de clientes del Responsable, por correo con al menos 15 días de anticipación.
• Si el Responsable se opone a un nuevo subencargado por motivos razonables de protección de datos, las partes buscarán una alternativa; si no existe, el Responsable podrá terminar los Términos sin penalización.
• Los servicios de terceros que el Responsable decide conectar por su cuenta (por ejemplo, su propio procesador de pagos, plataformas de entrega o su cuenta de WhatsApp Business) se rigen por la relación directa entre el Responsable y ese tercero.

El Responsable conoce y acepta que algunos subencargados tratan los datos fuera de su país, principalmente en Estados Unidos. Cooku elegirá subencargados cuyas condiciones contractuales ofrezcan un nivel de protección equivalente al que exige la ley aplicable.

Si un titular dirige a Cooku una solicitud de acceso, rectificación, cancelación, oposición u otro derecho sobre datos tratados por cuenta del Responsable, Cooku se la remitirá en un plazo máximo de 5 días hábiles y no la resolverá por su cuenta, salvo instrucción del Responsable. Cooku pondrá a disposición del Responsable las herramientas del panel y la asistencia razonable para atenderla, incluida la eliminación de los datos de un cliente.

Si Cooku confirma una vulneración de seguridad que afecte datos del Responsable, se lo notificará sin demora indebida y, en todo caso, dentro de las 72 horas siguientes a la confirmación, con la información disponible sobre su naturaleza, los datos afectados, las medidas adoptadas y las recomendaciones para los titulares. Cooku cooperará para que el Responsable cumpla sus propias obligaciones de notificación a los titulares y a la autoridad.

Al terminar los Términos, el Responsable podrá solicitar una exportación de sus datos durante 30 días. Transcurrido ese plazo, Cooku suprimirá los datos personales tratados por su cuenta dentro de los 90 días siguientes, salvo los que deba conservar por obligación legal, que se mantendrán bloqueados y solo para ese fin. Las copias de seguridad se sobrescribirán conforme a su ciclo de rotación.

Cooku pondrá a disposición del Responsable, a solicitud razonable y como máximo una vez al año, la información necesaria para demostrar el cumplimiento de este Contrato de encargo, por medio de cuestionarios, documentación o una reunión. Las revisiones presenciales solo procederán cuando las exija una autoridad competente o tras una vulneración de seguridad confirmada, con aviso previo de 30 días, a costa del Responsable y con obligación de confidencialidad. Solicitudes a hola@usecooku.com.

Cada parte responde por sus propios incumplimientos de la ley de protección de datos. La responsabilidad de Cooku derivada de este Contrato de encargo está sujeta a los límites de la sección «Limitación de responsabilidad» de los Términos, salvo en los casos en que la ley no permita limitarla. En caso de conflicto entre los Términos y este Contrato de encargo en materia de datos personales, prevalece este Contrato de encargo.