Anexo I — Acuerdo de Encargado de Tratamiento de Datos Personales

Parte integrante de los Términos y Condiciones del Servicio Bite Versión 1.1 — Vigente desde 2 de octubre de 2026

1. Partes y encuadre

Este Anexo se celebra entre:

• El Local: el comercio gastronómico identificado en la cuenta de takeabite.ar, en su carácter de Responsable de la base de datos de sus Clientes Finales.
• Bite: Santiago Goral, CUIT 20-43064971-0, domicilio en Av Argentina Rojas 3737, Corrientes, Provincia de Corrientes, en su carácter de Encargado del tratamiento, prestando servicios de tratamiento de datos personales por cuenta de un tercero en los términos del art. 25 de la Ley 25.326 y su Decreto Reglamentario 1558/2001.

2. Por qué el Local es el Responsable

El Local decide para qué se recolectan los datos (su propio programa de fidelidad), define las reglas del programa, recolecta los datos en su establecimiento mediante el QR que exhibe, entrega el premio y conserva la relación comercial con el Cliente Final.

Bite no decide la finalidad: pone la infraestructura técnica y trata los datos por cuenta del Local.

Lo que este acuerdo no cubre. Bite es Responsable —no Encargado— respecto de los datos del titular del Local y de su Personal (nombre, email, contraseña con hash, PIN, datos de facturación), que trata para su propia relación comercial. Ese tratamiento se rige por la Política de Privacidad de Bite, no por este Anexo.

3. Alcance del tratamiento

4. Instrucciones del Responsable

Bite trata los datos únicamente conforme a las instrucciones documentadas del Local. Constituyen instrucciones documentadas:

a) Este Anexo y los Términos y Condiciones. b) La configuración que el Local realiza en su Panel (cantidad de sellos, premio, datos del local que se muestran en la Tarjeta, altas y bajas de Personal, y los mensajes y promociones que redacta, programa o deja automáticos). c) Las solicitudes que el Local envíe por escrito a hola@takeabite.ar.

Si Bite entiende que una instrucción del Local infringe la Ley 25.326 o su normativa complementaria, se lo va a informar por escrito y puede suspender su ejecución hasta que se aclare.

5. Aislamiento entre Locales y prohibición de uso propio

Esta cláusula es una obligación esencial de Bite:

a) Cada Cliente Final pertenece a un solo Local. Si una misma persona se registra en dos Locales distintos, se generan dos registros separados, sin vínculo técnico ni lógico entre sí. No se unifican identidades, no se cruzan sellos, no se cruza historial y ningún Local puede ver los datos de los clientes de otro.

b) Bite no usa los datos de los Clientes Finales para fines propios. No los utiliza para marketing propio, ni para ofrecer productos, ni para construir perfiles, ni para entrenar modelos, ni los cede ni comercializa a terceros bajo ninguna forma.

c) Métricas de producto. Bite puede usar exclusivamente conteos agregados para medir y mejorar el Servicio: cantidad de cuentas creadas, tarjetas emitidas por plataforma, y sellos y canjes por semana. Estos conteos no identifican ni permiten identificar a persona alguna y constituyen datos disociados en los términos del art. 2 de la Ley 25.326. Bite se obliga a no revertir la disociación ni a intentar reidentificar a ningún Cliente Final.

d) Cualquier tratamiento distinto de los anteriores requiere una instrucción previa y por escrito del Local, o el consentimiento del propio Cliente Final cuando corresponda.

6. Ubicación

Bite no recolecta, no recibe y no almacena datos de geolocalización de los Clientes Finales.

La funcionalidad por la cual la Tarjeta aparece en la pantalla del teléfono al acercarse al Local la ejecuta el sistema operativo del dispositivo, comparando localmente la ubicación del usuario con las direcciones del Local que van incluidas en el archivo de la Tarjeta. Esa comparación ocurre dentro del teléfono. Ni Bite ni el Local reciben la ubicación del Cliente Final.

7. Confidencialidad

Bite mantiene la confidencialidad de los datos, incluso después de terminada la relación, conforme al art. 10 de la Ley 25.326.

Bite garantiza que toda persona que acceda a los datos bajo su autoridad —socios, empleados, colaboradores— está obligada a confidencialidad por escrito y accede solo en la medida necesaria para prestar el Servicio.

8. Subencargados

El Local autoriza expresamente a Bite a subcontratar los siguientes prestadores para la ejecución del Servicio:

Bite responde frente al Local por los actos de sus subencargados como si fueran propios.

Si Bite quiere incorporar, reemplazar o eliminar un subencargado, se lo notifica al Local por mail con 30 días corridos de anticipación. Si el Local se opone por motivos razonables vinculados a la protección de datos, puede dar de baja el Servicio sin costo dentro de ese plazo, con derecho a la exportación completa de la información.

9. Aclaración sobre Apple Wallet

La Tarjeta se genera en los servidores de Bite y se guarda en el dispositivo del Cliente Final.

Cuando hay que actualizar una Tarjeta (por ejemplo, al sumar un sello), Bite envía a través del servicio de notificaciones de Apple (APNs) un aviso vacío, sin contenido. Apple recibe el token del dispositivo y metadatos de entrega de esa notificación. Luego es el propio teléfono el que descarga la Tarjeta actualizada directamente desde el servidor de Bite.

En consecuencia, Apple no recibe el nombre, el apellido, el celular ni el historial de sellos del Cliente Final, pero sí procesa el token del dispositivo y metadatos de entrega. Esto se informa expresamente en la Política de Privacidad.

10. Transferencia internacional de datos

10.1 Reconocimiento

Las partes reconocen que ninguno de los países donde operan los subencargados de la cláusula 8 integra la nómina de países con nivel adecuado de protección del art. 3 de la Disposición 60-E/2016, sustituido por la Resolución AAIP 34/2019, que comprende a los Estados miembros de la Unión Europea y del Espacio Económico Europeo, el Reino Unido, Suiza, Guernsey, Jersey, Isla de Man, Islas Feroe, Canadá solo respecto de su sector privado, Andorra, Nueva Zelanda, Uruguay e Israel solo respecto de datos con tratamiento automatizado.

En consecuencia, la prestación del Servicio implica transferencias internacionales de datos personales a países que no cuentan con nivel adecuado.

10.2 Mandato del Local a Bite

El Local, en su carácter de Responsable y exportador de los datos, otorga mandato expreso a Bite para que, en su nombre y representación:

a) Celebre con cada subencargado los contratos de transferencia internacional de datos personales que correspondan, adoptando el modelo del Anexo II de la Disposición 60-E/2016 (transferencia con motivo de la prestación de servicios) o, alternativamente, las Cláusulas Contractuales Modelo de la Red Iberoamericana de Protección de Datos adoptadas por la Resolución AAIP 198/2023, o cláusulas de garantía equivalentes ofrecidas por el subencargado que satisfagan el estándar de esas normas.

b) Conserve copia fechada de esos acuerdos y la ponga a disposición del Local a simple requerimiento, así como de la AAIP si ésta lo solicitara.

c) Realice ante la AAIP las presentaciones o consultas que resulten necesarias respecto de dichas transferencias.

10.3 Garantía adicional por consentimiento

Con independencia del mandato anterior, el formulario de registro del Cliente Final informa de manera previa, clara y expresa los destinatarios de los datos y los países donde se tratan, y el Cliente Final presta consentimiento informado sobre esa base, en los términos del art. 12 de la Ley 25.326 y del art. 12 del Anexo I del Decreto 1558/2001.

10.4 Obligación de actualización

Si la AAIP modificara la nómina de países con nivel adecuado, o si cambiara el régimen de transferencias, Bite se obliga a revisar este esquema y, si fuera necesario, a adecuarlo dentro de un plazo razonable, notificando al Local.

11. Devolución o supresión de los datos

Al terminar el contrato, por cualquier causa:

1. Días 1 a 30: las Tarjetas ya emitidas siguen funcionando. El Panel queda en modo solo lectura, con posibilidad de consulta y exportación.
2. Días 1 a 180 (6 meses): Bite conserva los datos en resguardo. Dentro de ese plazo el Local debe optar por:
   • Devolución: Bite le entrega los datos en formato exportable (CSV), y luego los suprime; o
   • Supresión: Bite los suprime.
3. Si el Local no opta dentro de los 6 meses, Bite procede a la supresión.

La supresión alcanza las copias operativas y, en el plazo del ciclo de rotación de resguardos, las copias de seguridad. Bite emite constancia escrita de la supresión a pedido del Local.

Bite puede conservar, fuera de este esquema, la documentación estrictamente necesaria para cumplir obligaciones legales propias (facturación, respaldo impositivo), que no incluye datos de Clientes Finales.

12. Conservación durante la vigencia

Mientras el contrato esté vigente, los datos de un Cliente Final se conservan mientras la relación esté activa y hasta 24 meses corridos de inactividad (sin sellos ni canjes), momento en el cual Bite los suprime y se lo informa al Local en el Panel.

El Local puede solicitar en cualquier momento la supresión de un Cliente Final puntual, y debe hacerlo cuando el propio Cliente Final se lo pida.

13. Seguridad

Bite implementa, como mínimo:

• Transporte cifrado mediante HTTPS/TLS en todas las comunicaciones.
• Contraseñas almacenadas con hash mediante algoritmo de derivación de clave con sal. Bite no conserva contraseñas en texto plano ni puede recuperarlas.
• Acceso al Panel mediante email y contraseña; acceso del Personal al escáner mediante PIN individual, revocable por el Local.
• Segregación lógica de los datos de cada Local (cláusula 5.a).
• Acceso de personal de Bite limitado al mínimo necesario, sujeto a confidencialidad escrita.
• Resguardos periódicos de la base de datos.

Las partes toman como referencia las Medidas de Seguridad Recomendadas aprobadas por la Resolución AAIP 47/2018, adecuadas a la escala y al riesgo del tratamiento, que es bajo por no involucrar datos sensibles.

Bite revisa estas medidas al menos una vez por año y puede reemplazarlas por otras de nivel equivalente o superior.

14. Incidentes de seguridad

Si Bite detecta un acceso no autorizado, pérdida o divulgación indebida de datos de Clientes Finales, se obliga a:

a) Notificar al Local por mail dentro de las 72 horas de tomado conocimiento. b) Informar qué pasó, qué datos y cuántos titulares están involucrados, qué medidas tomó y qué recomienda hacer. c) Colaborar con el Local si éste decide o debe notificar a la AAIP o a los titulares afectados. d) Documentar el incidente y sus consecuencias.

La normativa vigente no impone hoy una obligación general de notificación de incidentes a la autoridad. Esta cláusula es una obligación contractual asumida voluntariamente por Bite y anticipa el estándar de los proyectos de reforma en trámite.

15. Asistencia al Local

Bite asiste al Local, sin costo adicional, para que pueda cumplir con sus obligaciones legales:

• Derechos de los titulares: si un Cliente Final ejerce acceso, rectificación, actualización o supresión directamente ante Bite, Bite no responde por sí sobre el fondo: le da curso al Local dentro de los 5 días hábiles y lo asiste técnicamente para responder en los plazos de los arts. 14 y 16 de la Ley 25.326 (10 días corridos para el acceso, 5 días hábiles para rectificación o supresión). Sin perjuicio de ello, Bite puede ejecutar directamente una supresión solicitada por el titular e informarlo al Local.
• Información: Bite le entrega al Local la información necesaria para que declare su base ante el Registro Nacional de Bases de Datos de la AAIP y para que responda requerimientos de la autoridad.
• Exportación: el Local puede exportar sus datos en cualquier momento desde el Panel.

16. Verificación

A pedido escrito y fundado del Local, y con un preaviso de 15 días corridos, Bite le entrega la información y documentación razonable que acredite el cumplimiento de este Anexo (descripción de medidas de seguridad, copia de los acuerdos con subencargados, constancias de supresión). Esta facultad puede ejercerse hasta una vez por año calendario, salvo que medie un incidente de seguridad o un requerimiento de la autoridad de control.

17. Responsabilidad

Cada parte responde por el incumplimiento de sus propias obligaciones.

El Local responde frente a sus Clientes Finales en su carácter de Responsable de la base. Bite responde frente al Local por el incumplimiento de este Anexo, con los límites de la cláusula 14 de los Términos y Condiciones, excepto en los supuestos allí exceptuados.

Si Bite trata los datos con una finalidad distinta de las instrucciones del Local, respecto de ese tratamiento pasa a ser considerado Responsable y asume la responsabilidad correspondiente.

18. Vigencia

Este Anexo entra en vigencia junto con los Términos y Condiciones y permanece vigente mientras Bite trate datos por cuenta del Local. Las cláusulas 7 (confidencialidad), 11 (devolución o supresión) y 17 (responsabilidad) sobreviven a su terminación.