El RGPD y los datos de restaurante: lo que necesita saber un operador multi-local

Los grupos de restauración en la UE gestionan más datos personales de los que suelen imaginar — expedientes de personal, reseñas de clientes con el nombre de quien opina, datos de contacto. Cualquier software que toque esos datos trae consigo obligaciones del RGPD. Esto es lo que un operador multi-local debería entender antes de firmar.

Responsable frente a encargado del tratamiento

Según el RGPD, el responsable del tratamiento decide por qué y cómo se procesan los datos personales; el encargado del tratamiento actúa siguiendo las instrucciones del responsable. Cuando usa una plataforma de operaciones, normalmente usted es el responsable de sus datos operativos, y el proveedor es el encargado del tratamiento. La relación debe regirse por un Acuerdo de Tratamiento de Datos (DPA).

Qué preguntar a un proveedor de software

• ¿Existe un DPA firmado, y qué cubre?
• ¿Dónde se alojan los datos — con qué proveedor, en qué región?
• ¿Quiénes son los subencargados del tratamiento, y dónde están ubicados?
• ¿Los datos están cifrados en tránsito y en reposo?
• ¿Puede exportar o eliminar todo, y con qué rapidez?
• ¿Sus datos se usan alguna vez para entrenar modelos de otros clientes? (La respuesta debería ser no.)

Un proveedor que dice 'cumple con el RGPD' pero no puede presentar una lista de subencargados y una declaración de alojamiento le está dando un eslogan, no una respuesta.

Propiedad de los datos

El principio que hay que retener es simple: sus datos operativos son suyos. Un encargado del tratamiento los usa para prestar el servicio y nada más. La portabilidad y la supresión son derechos suyos, no favores — debería poder llevarse sus datos o solicitar que se eliminen.

Para los grupos que hacen compras y contrataciones, la postura de un proveedor ante el RGPD no es papeleo — es un filtro de entrada. Cuanto más rápido pueda un proveedor responder a las preguntas anteriores con detalles concretos, menos riesgo añade a su operación.