This Data Processing Agreement (DPA) is part of the Kitchfly Terms of Service. You accept it when you create your account.
Your restaurant decides what personal data goes into Kitchfly and why. Kitchfly processes it only to provide the Service, following your instructions.
We never sell or share your data, and we don't use it for our own purposes.
We protect it with the measures in Annex 2, use only the subprocessors in Annex 3, and tell you about a security incident within 72 hours of confirming it.
This summary is for convenience only. The full DPA below is what applies.
1. Parties and scope
This Data Processing Agreement ("DPA") is entered into between the restaurant or business that creates a Kitchfly account ("Customer", "you") and Kitchfly ("Kitchfly", "we", "us"). It forms part of and supplements the Terms of Service (the "Terms").
You accept this DPA by checking the acceptance box when you create your account. We keep a record of that acceptance, including the version, date and time, and the IP address from which it was accepted. The person accepting confirms that they are authorized to bind the Customer.
This DPA applies whenever Kitchfly processes Customer Personal Data while providing the Service.
2. Definitions
Customer Personal Data: personal information that Customer, its users or its guests enter into or generate through the Service, such as information about Customer's employees, guests and supplier contacts.
Data Protection Laws: privacy and data-protection laws that apply to the processing of Customer Personal Data under this DPA, including the California Consumer Privacy Act as amended by the CPRA ("CCPA"), the Texas Data Privacy and Security Act and other U.S. state privacy laws, as applicable.
Subprocessor: a third party that Kitchfly engages to process Customer Personal Data on its behalf.
Security Incident: a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to, Customer Personal Data.
Terms such as "business", "controller", "service provider", "processor", "sell", "share" and "consumer" have the meanings given in the Data Protection Laws.
3. Roles of the parties
Customer is the business or controller: it decides which personal data is processed and why. Kitchfly is Customer's service provider or processor and processes Customer Personal Data only on Customer's behalf.
Customer is responsible for having a lawful basis and any notices or consents required to collect Customer Personal Data and to have it processed through the Service (for example, consent to marketing emails or to collect a guest's phone number for loyalty).
This DPA does not cover information Kitchfly processes as its own business, such as the account and billing information of Customer's administrators; that information is covered by our Privacy Policy.
4. Processing on your instructions
Kitchfly will process Customer Personal Data only to provide, secure, support and maintain the Service, and only according to Customer's documented instructions. The Terms, this DPA and the way Customer configures and uses the Service (for example, sending a campaign, connecting an integration or scanning an invoice) are Customer's complete instructions. Details of the processing are in Annex 1.
We will tell you if we believe an instruction violates Data Protection Laws, and we may decline to follow it. We may also process Customer Personal Data when required by law; if so, we will tell you first unless the law prohibits it.
5. Service provider commitments
With respect to Customer Personal Data, Kitchfly will not:
sell or share it (including for cross-context behavioral advertising);
retain, use or disclose it for any purpose other than the business purposes described in this DPA, including any commercial purpose of our own;
retain, use or disclose it outside the direct business relationship between Customer and Kitchfly;
combine it with personal information we receive from or on behalf of others, or collect from our own interactions with individuals, except as permitted by the Data Protection Laws.
We will comply with the obligations that apply to service providers and processors under the Data Protection Laws and provide the same level of privacy protection they require. We will notify you if we determine we can no longer meet these obligations. Customer may take reasonable and appropriate steps to stop and remediate unauthorized use of Customer Personal Data. We may use aggregated or de-identified information that no longer identifies anyone to operate and improve the Service, and we will not try to re-identify it. Kitchfly certifies that it understands and will comply with the restrictions in this section.
6. Confidentiality
Kitchfly will ensure that anyone it authorizes to process Customer Personal Data is bound by an obligation of confidentiality and accesses it only as needed to provide, support or secure the Service, for example when you ask for help or to investigate an error.
7. Security
Kitchfly will implement and maintain reasonable technical and organizational measures to protect Customer Personal Data, appropriate to the nature of the data and the risks, including the measures in Annex 2. We may update these measures over time as long as the overall level of protection is not reduced.
Customer is responsible for using the Service securely: protecting passwords and employee codes, assigning appropriate roles, removing access for people who leave, and not entering data the Service does not need, such as Social Security numbers, full card numbers or health information other than allergy notes on orders.
8. Subprocessors
Authorization. Customer authorizes Kitchfly to use the Subprocessors listed in Annex 3.
Our obligations. We will have a written agreement with each Subprocessor with data-protection obligations that protect Customer Personal Data at least as much as this DPA, and we remain responsible for their performance.
Changes. We will update Annex 3 and notify administrators by email at least 30 days before a new Subprocessor begins processing Customer Personal Data, except in an emergency needed to keep the Service running securely, in which case we will notify you as soon as possible.
Objections. You may object on reasonable data-protection grounds by writing to [email protected] within that period. We will try in good faith to resolve the objection, for example by not using the new Subprocessor for your data. If we can't, you may cancel your subscription, effective at the end of the current billing period, and that will be your sole remedy.
Services you connect. Third-party services that you choose to connect or use (for example, QuickBooks Online, Square, delivery or ordering platforms, Zapier or your own webhooks) are not our Subprocessors. Data goes to them on your instruction and is governed by your agreement with them.
9. AI features
When Customer uses Scan invoice, the photo or PDF of the supplier invoice is sent to Anthropic (Annex 3) only to read it and return its data to the Service. Anthropic processes it under commercial terms that do not allow it to use that content to train its models. The original file is stored in Kitchfly with the purchase. Scanning is optional; purchases can always be entered by hand. Supplier invoices usually contain business information, and Customer should not upload documents containing other personal data.
10. Requests from individuals
Customer is responsible for responding to requests from its employees, guests or other individuals who want to access, correct, delete or export their information, or opt out. The Service lets Customer find, edit, export and delete the data it manages. If we receive a request about Customer Personal Data, we will forward it to you without undue delay and will not respond directly unless you instruct us to or the law requires it. Taking into account the nature of the processing, we will provide reasonable help when you can't fulfill a request on your own.
11. Security incidents
Kitchfly will notify Customer's administrator by email without undue delay, and in any case within 72 hours after confirming a Security Incident affecting Customer Personal Data. The notice will describe, as far as we know at the time, what happened, the data and individuals affected, the steps we are taking and contact details for more information; we will send updates as we learn more. We will take reasonable steps to contain and remediate the incident and cooperate with Customer's reasonable requests, including to meet its own notification obligations. Notifying a Security Incident is not an admission of fault or liability.
When an administrator uses the AI assistant, the question and the data the assistant needs to answer it (for example sales, costs, inventory and prices and, for tips and labor questions, employee names with their hours and tips) are sent to Anthropic (Annex 3) only to generate the answer. Anthropic processes them under commercial terms that do not allow it to use that content to train its models. Kitchfly does not store the conversation; it keeps only the number of questions, which data was consulted and the cost, for billing and support. The assistant reads only Customer's own data and can only propose changes: a change (such as new prices, a draft purchase order, a draft email campaign or sold-out items) is applied only when an administrator confirms it, and it is recorded in the activity log. Using the assistant is optional.
Unsuccessful attempts that do not compromise the security of Customer Personal Data, such as blocked login attempts, pings or port scans, are not Security Incidents.
12. Assessments and records
Taking into account the nature of the processing and the information available to us, Kitchfly will provide reasonable information Customer needs to carry out data-protection or risk assessments that Data Protection Laws require of it in connection with the Service.
13. Where data is processed
Kitchfly's servers are located in Germany (European Union). Some Subprocessors process data in the United States or globally, as shown in Annex 3. Customer authorizes these transfers. Kitchfly is designed for businesses in the United States; if Customer is subject to the GDPR, the UK GDPR or other laws that restrict international transfers, it should contact us before entering personal data so the parties can agree on appropriate transfer terms.
14. Return and deletion
Customer can export its data from the Service at any time while the account is active. After the account ends, Customer can request an export within 30 days. We will delete Customer Personal Data 90 days after the account ends, unless the law requires us to keep it longer, in which case it remains protected by this DPA. Copies in backups are overwritten over time and are not restored except to recover the Service. On request, we will confirm the deletion in writing.
15. Information and audits
On written request, and no more than once every 12 months unless required after a Security Incident or by a regulator, Kitchfly will provide information reasonably necessary to demonstrate compliance with this DPA, such as answers to a reasonable security questionnaire and descriptions of our measures. Information we share is confidential. If the Data Protection Laws require an audit that this information cannot satisfy, the parties will agree in advance on its scope, timing and duration; it will be performed at Customer's cost, with at least 30 days' notice, during business hours and without access to other customers' data.
16. Liability
Each party's liability under or related to this DPA is subject to the exclusions and limitations of liability in the Terms.
17. Term and order of precedence
This DPA remains in effect as long as Kitchfly processes Customer Personal Data. If there is a conflict between this DPA and the Terms regarding the processing of Customer Personal Data, this DPA controls.
18. Changes to this DPA
We may update this DPA to reflect changes in the law, the Service or our Subprocessors. If a change is material, we will notify administrators by email or in the app at least 30 days before it takes effect. The effective date at the top shows the current version. Changes will not reduce the protection of Customer Personal Data below what Data Protection Laws require.
19. Governing law
This DPA is governed by the same law and dispute terms as the Terms (laws of the State of Texas), except where the Data Protection Laws require otherwise.
The Spanish version of this DPA is provided for convenience. If there is any conflict, the English version controls.
Annex 1 — Details of the processing
Subject matter and duration
Providing the Service under the Terms, for as long as Customer uses the Service plus the deletion period in Section 14.
Nature of the processing
Hosting, storage, backup, computation and display of data; sending emails Customer triggers (receipts, notices, campaigns); processing card payments through Stripe when Customer uses Kitchfly Pay; reading supplier invoices with AI when Customer uses Scan invoice; support and security.
Purpose
To provide, secure, support and maintain the Service for Customer.
Individuals
Customer's administrators, staff and employees; Customer's guests and customers (for example, people who order, book a table, join the loyalty program, buy gift cards or tickets, answer surveys, have a house account or receive marketing emails); delivery drivers; contacts at Customer's suppliers.
Types of personal data
Names, emails, phone numbers and delivery addresses; employee roles, sign-in codes, work schedules, clock-in records, pay rates and tips; orders, reservations and purchase history, including notes such as allergies when entered; loyalty, gift card and house account balances; marketing preferences and consent; survey answers; references to card payments (card brand and last four digits, never full card numbers); photos and PDFs of supplier invoices; technical data such as IP address and device type.
Sensitive data
Not required by the Service. Customer should not enter Social Security numbers, government ID numbers, full card numbers or health information other than allergy notes on orders.
Annex 2 — Security measures
Encrypted connections (HTTPS/TLS) for the app, website and API.
Passwords stored only as salted hashes (bcrypt); sign-in attempt limits and lockouts; optional two-step verification by email for administrators.
Role-based access within each restaurant, and separation of each customer's data in the application.
Access tokens for connected services stored encrypted.
Card data collected and processed directly by Stripe; Kitchfly does not see or store full card numbers.
Scanned invoices stored privately and served only to the restaurant's authenticated administrators.
Activity log of important changes in each account and of administrative actions.
Production access limited to authorized Kitchfly personnel; secrets kept out of source code.
Regular backups, error monitoring and security updates of the software and servers.
A process to investigate, contain and notify Security Incidents (Section 11).
Annex 3 — Subprocessors
Subprocessor
Purpose
Location
Contabo GmbH
Server hosting and storage
Germany (EU)
Cloudflare, Inc.
DNS, encrypted connections, network security and content delivery
Delivery of service emails and the marketing emails Customer sends
United States
Anthropic, PBC
AI features: reading supplier invoices (Scan invoice) and answering administrators' questions (AI assistant), only when Customer uses them
United States
Last updated November 8, 2026. We will notify you before adding a Subprocessor, as described in Section 8.
Acuerdo de Tratamiento de Datos (DPA)
Fecha de vigencia: 12 de noviembre de 2026
En resumen
Este Acuerdo de Tratamiento de Datos (DPA) forma parte de los Términos de servicio de Kitchfly. Lo aceptas al crear tu cuenta.
Tu restaurante decide qué datos personales se capturan en Kitchfly y para qué. Kitchfly los procesa solo para darte el Servicio, siguiendo tus instrucciones.
Nunca vendemos ni compartimos tus datos, ni los usamos para fines propios.
Los protegemos con las medidas del Anexo 2, usamos solo los subencargados del Anexo 3 y te avisamos de un incidente de seguridad dentro de las 72 horas siguientes a confirmarlo.
Este resumen es solo para tu comodidad. Lo que aplica es el DPA completo de abajo.
1. Partes y alcance
Este Acuerdo de Tratamiento de Datos ("DPA", por sus siglas en inglés) se celebra entre el restaurante o negocio que crea una cuenta de Kitchfly ("Cliente", "tú") y Kitchfly ("Kitchfly", "nosotros"). Forma parte de los Términos de servicio (los "Términos") y los complementa.
Aceptas este DPA al marcar la casilla de aceptación cuando creas tu cuenta. Guardamos un registro de esa aceptación con la versión, la fecha y hora y la dirección IP desde la que se aceptó. Quien acepta confirma que tiene autoridad para obligar al Cliente.
Este DPA aplica siempre que Kitchfly procesa Datos Personales del Cliente al prestar el Servicio.
2. Definiciones
Datos Personales del Cliente: información personal que el Cliente, sus usuarios o sus comensales capturan o generan en el Servicio, como datos de los empleados, comensales y contactos de proveedores del Cliente.
Leyes de Protección de Datos: leyes de privacidad y protección de datos aplicables al tratamiento de Datos Personales del Cliente bajo este DPA, incluidas la Ley de Privacidad del Consumidor de California modificada por la CPRA ("CCPA"), la Ley de Privacidad y Seguridad de Datos de Texas y otras leyes estatales de privacidad de EE. UU., según correspondan.
Subencargado: un tercero que Kitchfly contrata para procesar Datos Personales del Cliente en su nombre.
Incidente de Seguridad: una violación de seguridad que provoque la destrucción, pérdida, alteración, divulgación no autorizada o el acceso accidental o ilícito a Datos Personales del Cliente.
Términos como "negocio", "responsable", "proveedor de servicios", "encargado", "vender", "compartir" y "consumidor" tienen el significado que les dan las Leyes de Protección de Datos.
3. Funciones de las partes
El Cliente es el negocio o responsable: decide qué datos personales se procesan y para qué. Kitchfly es el proveedor de servicios o encargado del Cliente y procesa los Datos Personales del Cliente solo en su nombre.
El Cliente es responsable de tener una base legal y los avisos o consentimientos necesarios para recopilar los Datos Personales del Cliente y procesarlos con el Servicio (por ejemplo, el consentimiento para correos de marketing o para pedir el teléfono de un comensal para el programa de lealtad).
Este DPA no cubre la información que Kitchfly procesa como negocio propio, como los datos de cuenta y facturación de los administradores del Cliente; esa información está cubierta por nuestra Política de privacidad.
4. Tratamiento según tus instrucciones
Kitchfly procesará los Datos Personales del Cliente solo para prestar, proteger, dar soporte y mantener el Servicio, y solo según las instrucciones documentadas del Cliente. Los Términos, este DPA y la forma en que el Cliente configura y usa el Servicio (por ejemplo, al enviar una campaña, conectar una integración o escanear una factura) son las instrucciones completas del Cliente. Los detalles del tratamiento están en el Anexo 1.
Te avisaremos si creemos que una instrucción viola las Leyes de Protección de Datos, y podemos negarnos a seguirla. También podemos procesar Datos Personales del Cliente cuando la ley lo exija; en ese caso te avisaremos antes, salvo que la ley lo prohíba.
5. Compromisos como proveedor de servicios
Respecto de los Datos Personales del Cliente, Kitchfly no:
los venderá ni los compartirá (incluso para publicidad basada en el comportamiento entre contextos);
los conservará, usará ni divulgará para ningún fin distinto de los fines comerciales descritos en este DPA, incluido cualquier fin comercial propio;
los conservará, usará ni divulgará fuera de la relación comercial directa entre el Cliente y Kitchfly;
los combinará con información personal que recibamos de otros o en su nombre, o que recopilemos de nuestras propias interacciones con personas, salvo que lo permitan las Leyes de Protección de Datos.
Cumpliremos las obligaciones que las Leyes de Protección de Datos imponen a los proveedores de servicios y encargados, y daremos el mismo nivel de protección de la privacidad que exigen. Te avisaremos si determinamos que ya no podemos cumplir estas obligaciones. El Cliente puede tomar medidas razonables y apropiadas para detener y remediar el uso no autorizado de los Datos Personales del Cliente. Podemos usar información agregada o anonimizada que ya no identifique a nadie para operar y mejorar el Servicio, y no intentaremos volver a identificarla. Kitchfly certifica que entiende y cumplirá las restricciones de esta sección.
6. Confidencialidad
Kitchfly se asegurará de que toda persona que autorice para procesar Datos Personales del Cliente esté obligada a mantener confidencialidad y acceda a ellos solo cuando sea necesario para prestar, dar soporte o proteger el Servicio, por ejemplo cuando pides ayuda o para investigar un error.
7. Seguridad
Kitchfly implementará y mantendrá medidas técnicas y organizativas razonables para proteger los Datos Personales del Cliente, adecuadas a la naturaleza de los datos y a los riesgos, incluidas las medidas del Anexo 2. Podemos actualizar estas medidas con el tiempo siempre que no se reduzca el nivel general de protección.
El Cliente es responsable de usar el Servicio de forma segura: proteger contraseñas y códigos de empleado, asignar los roles adecuados, quitar el acceso a quien deje de trabajar con él y no capturar datos que el Servicio no necesita, como números de Seguro Social, números completos de tarjeta o información de salud distinta de las notas de alergia en las órdenes.
8. Subencargados
Autorización. El Cliente autoriza a Kitchfly a usar los Subencargados del Anexo 3.
Nuestras obligaciones. Tendremos un contrato por escrito con cada Subencargado con obligaciones de protección de datos que protejan los Datos Personales del Cliente al menos tanto como este DPA, y seguimos siendo responsables de su cumplimiento.
Cambios. Actualizaremos el Anexo 3 y avisaremos a los administradores por email con al menos 30 días de anticipación antes de que un Subencargado nuevo empiece a procesar Datos Personales del Cliente, salvo en una emergencia necesaria para mantener el Servicio funcionando de forma segura; en ese caso te avisaremos lo antes posible.
Objeciones. Puedes oponerte por motivos razonables de protección de datos escribiendo a [email protected] dentro de ese plazo. Intentaremos de buena fe resolver la objeción, por ejemplo no usando el Subencargado nuevo para tus datos. Si no es posible, puedes cancelar tu suscripción, con efecto al final del periodo de facturación en curso, y ese será tu único recurso.
Servicios que conectas. Los servicios de terceros que decides conectar o usar (por ejemplo, QuickBooks Online, Square, plataformas de delivery o pedidos, Zapier o tus propios webhooks) no son nuestros Subencargados. Los datos les llegan por instrucción tuya y se rigen por tu acuerdo con ellos.
9. Funciones con inteligencia artificial
Cuando el Cliente usa Escanear factura, la foto o el PDF de la factura del proveedor se envía a Anthropic (Anexo 3) solo para leerla y devolver sus datos al Servicio. Anthropic la procesa bajo términos comerciales que no le permiten usar ese contenido para entrenar sus modelos. El archivo original se guarda en Kitchfly junto con la compra. El escaneo es opcional; las compras siempre se pueden registrar a mano. Las facturas de proveedores suelen contener información del negocio, y el Cliente no debe subir documentos que contengan otros datos personales.
10. Solicitudes de personas
El Cliente es responsable de responder las solicitudes de sus empleados, comensales u otras personas que quieran acceder, corregir, borrar o exportar su información, o darse de baja. El Servicio permite al Cliente buscar, editar, exportar y borrar los datos que administra. Si recibimos una solicitud sobre Datos Personales del Cliente, te la enviaremos sin demora indebida y no la responderemos directamente salvo que nos lo indiques o la ley lo exija. Tomando en cuenta la naturaleza del tratamiento, te ayudaremos de forma razonable cuando no puedas atender una solicitud por tu cuenta.
11. Incidentes de seguridad
Kitchfly avisará por email al administrador del Cliente sin demora indebida y, en cualquier caso, dentro de las 72 horas siguientes a confirmar un Incidente de Seguridad que afecte Datos Personales del Cliente. El aviso describirá, en la medida en que lo sepamos en ese momento, qué pasó, los datos y las personas afectadas, las medidas que estamos tomando y un contacto para más información; enviaremos actualizaciones conforme sepamos más. Tomaremos medidas razonables para contener y remediar el incidente y colaboraremos con las solicitudes razonables del Cliente, incluso para cumplir sus propias obligaciones de notificación. Notificar un Incidente de Seguridad no implica admitir culpa ni responsabilidad.
Cuando un administrador usa el asistente con IA, la pregunta y los datos que el asistente necesita para contestarla (por ejemplo ventas, costos, inventario y precios y, en preguntas de propinas y mano de obra, nombres de empleados con sus horas y propinas) se envían a Anthropic (Anexo 3) solo para generar la respuesta. Anthropic los procesa bajo términos comerciales que no le permiten usar ese contenido para entrenar sus modelos. Kitchfly no guarda la conversación; solo conserva el número de preguntas, qué datos se consultaron y el costo, para la facturación y el soporte. El asistente solo lee los datos del propio Cliente y solo puede proponer cambios: un cambio (como precios nuevos, un pedido en borrador, una campaña de correo en borrador o platillos agotados) se aplica únicamente cuando un administrador lo confirma, y queda en el registro de actividad. Usar el asistente es opcional.
Los intentos fallidos que no comprometen la seguridad de los Datos Personales del Cliente, como intentos de inicio de sesión bloqueados, pings o escaneos de puertos, no son Incidentes de Seguridad.
12. Evaluaciones y registros
Tomando en cuenta la naturaleza del tratamiento y la información que tenemos, Kitchfly dará la información razonable que el Cliente necesite para hacer las evaluaciones de protección de datos o de riesgo que las Leyes de Protección de Datos le exijan en relación con el Servicio.
13. Dónde se procesan los datos
Los servidores de Kitchfly están en Alemania (Unión Europea). Algunos Subencargados procesan datos en Estados Unidos o a nivel global, como indica el Anexo 3. El Cliente autoriza estas transferencias. Kitchfly está pensado para negocios en Estados Unidos; si el Cliente está sujeto al RGPD, al RGPD del Reino Unido u otras leyes que restringen las transferencias internacionales, debe contactarnos antes de capturar datos personales para acordar las condiciones de transferencia adecuadas.
14. Devolución y borrado
El Cliente puede exportar sus datos del Servicio en cualquier momento mientras la cuenta esté activa. Después de que termine la cuenta, puede pedir una exportación dentro de los 30 días siguientes. Borraremos los Datos Personales del Cliente 90 días después de que termine la cuenta, salvo que la ley nos obligue a conservarlos más tiempo; en ese caso siguen protegidos por este DPA. Las copias en respaldos se sobrescriben con el tiempo y solo se restauran para recuperar el Servicio. Si lo pides, te confirmaremos el borrado por escrito.
15. Información y auditorías
Previa solicitud por escrito, y no más de una vez cada 12 meses salvo que sea necesario tras un Incidente de Seguridad o lo pida una autoridad, Kitchfly dará la información razonablemente necesaria para demostrar el cumplimiento de este DPA, como respuestas a un cuestionario de seguridad razonable y descripciones de nuestras medidas. La información que compartamos es confidencial. Si las Leyes de Protección de Datos exigen una auditoría que esta información no pueda satisfacer, las partes acordarán por adelantado su alcance, fecha y duración; se hará a costa del Cliente, con al menos 30 días de aviso, en horario de oficina y sin acceso a datos de otros clientes.
16. Responsabilidad
La responsabilidad de cada parte derivada de este DPA o relacionada con él está sujeta a las exclusiones y limitaciones de responsabilidad de los Términos.
17. Vigencia y prelación
Este DPA sigue vigente mientras Kitchfly procese Datos Personales del Cliente. Si hay un conflicto entre este DPA y los Términos sobre el tratamiento de Datos Personales del Cliente, prevalece este DPA.
18. Cambios a este DPA
Podemos actualizar este DPA para reflejar cambios en la ley, el Servicio o nuestros Subencargados. Si el cambio es importante, avisaremos a los administradores por email o en la app con al menos 30 días de anticipación. La fecha de vigencia de arriba indica la versión actual. Los cambios no reducirán la protección de los Datos Personales del Cliente por debajo de lo que exigen las Leyes de Protección de Datos.
19. Ley aplicable
Este DPA se rige por la misma ley y condiciones de disputa que los Términos (leyes del Estado de Texas), salvo que las Leyes de Protección de Datos exijan otra cosa.
Esta versión en español se ofrece por conveniencia. Si hay alguna diferencia, prevalece la versión en inglés.
Anexo 1 — Detalles del tratamiento
Objeto y duración
Prestar el Servicio según los Términos, mientras el Cliente use el Servicio más el plazo de borrado de la Sección 14.
Naturaleza del tratamiento
Alojamiento, almacenamiento, respaldo, cálculo y presentación de datos; envío de los correos que el Cliente genera (recibos, avisos, campañas); procesamiento de pagos con tarjeta por Stripe cuando el Cliente usa Kitchfly Pay; lectura de facturas de proveedores con IA cuando el Cliente usa Escanear factura; soporte y seguridad.
Finalidad
Prestar, proteger, dar soporte y mantener el Servicio para el Cliente.
Personas
Administradores, personal y empleados del Cliente; comensales y clientes del Cliente (por ejemplo, quienes hacen pedidos, reservan mesa, se unen al programa de lealtad, compran tarjetas de regalo o boletos, responden encuestas, tienen una cuenta de crédito o reciben correos de marketing); repartidores; contactos de los proveedores del Cliente.
Tipos de datos personales
Nombres, emails, teléfonos y direcciones de entrega; roles, códigos de acceso, horarios, registros de entrada y salida, pago por hora y propinas de los empleados; órdenes, reservaciones e historial de compras, incluidas notas como alergias cuando se capturan; saldos de lealtad, tarjetas de regalo y cuentas de crédito; preferencias y consentimiento de marketing; respuestas a encuestas; referencias de pagos con tarjeta (marca y últimos cuatro dígitos, nunca el número completo); fotos y PDF de facturas de proveedores; datos técnicos como dirección IP y tipo de dispositivo.
Datos sensibles
El Servicio no los necesita. El Cliente no debe capturar números de Seguro Social, números de identificación oficial, números completos de tarjeta ni información de salud distinta de las notas de alergia en las órdenes.
Anexo 2 — Medidas de seguridad
Conexiones cifradas (HTTPS/TLS) en la app, el sitio y la API.
Contraseñas guardadas solo como hash con sal (bcrypt); límite de intentos de inicio de sesión y bloqueos; verificación en dos pasos por email opcional para administradores.
Acceso por roles dentro de cada restaurante y separación de los datos de cada cliente en la aplicación.
Tokens de acceso de servicios conectados guardados cifrados.
Los datos de tarjeta los recibe y procesa directamente Stripe; Kitchfly no ve ni guarda números de tarjeta completos.
Facturas escaneadas guardadas de forma privada y mostradas solo a los administradores del restaurante con sesión iniciada.
Bitácora de cambios importantes en cada cuenta y de las acciones administrativas.
Acceso a producción limitado al personal autorizado de Kitchfly; claves y secretos fuera del código fuente.
Respaldos periódicos, monitoreo de errores y actualizaciones de seguridad del software y los servidores.
Un proceso para investigar, contener y notificar Incidentes de Seguridad (Sección 11).
Anexo 3 — Subencargados
Subencargado
Finalidad
Ubicación
Contabo GmbH
Alojamiento de servidores y almacenamiento
Alemania (UE)
Cloudflare, Inc.
DNS, conexiones cifradas, seguridad de red y entrega de contenido
Global
Stripe, Inc. y afiliadas
Cobro de suscripciones y, cuando el Cliente usa Kitchfly Pay, procesamiento de pagos con tarjeta
Estados Unidos / global
Amazon Web Services, Inc. (Amazon SES)
Envío de correos del servicio y de los correos de marketing que envía el Cliente
Estados Unidos
Anthropic, PBC
Funciones con IA: lectura de facturas de proveedores (Escanear factura) y respuestas a las preguntas de los administradores (asistente con IA), solo cuando el Cliente las usa
Estados Unidos
Última actualización: 8 de noviembre de 2026. Te avisaremos antes de agregar un Subencargado, como indica la Sección 8.
Kitchfly