Política de privacidad

1. Responsable del tratamiento

[RAZÓN SOCIAL O NOMBRE DEL TITULAR], NIF [NIF], con domicilio en Martín de los Heros, 11 · Madrid. Email para cualquier cuestión de privacidad: [email protected].

2. Encargado del tratamiento

La carta digital, los pedidos y el resto de funciones funcionan sobre la plataforma de Etemenanki Technology SL («The Food Please»), NIF B87266987, con domicilio en Calle Vallandes 12, 2, Madrid, que trata los datos por cuenta de Ocho y Medio · Café y siguiendo sus instrucciones, con un contrato de encargado del tratamiento (art. 28 RGPD). The Food Please no usa tus datos para fines propios ni los vende.

3. Qué datos tratamos

• Pedidos: lo que pides, notas y opciones, mesa o hora de recogida, importe y, si los das, tu nombre, móvil y email. Para evitar abusos en los pedidos desde la mesa guardamos un identificador técnico seudonimizado del móvil (no permite saber quién eres).
• Pagos por la app: importe, propina y referencia del pago. Los datos de la tarjeta los recoge y trata Stripe; ni el local ni The Food Please los ven.
• Reservas: nombre, móvil, email, fecha, hora, número de personas y comentarios.
• Club de clientes: nombre, móvil y/o email, visitas, pedidos, gasto, sellos y premios canjeados, y el texto que aceptaste, con fecha y canal.
• Opiniones: la nota, el comentario y, si lo das, tu nombre y contacto.
• Avisos: si activas los avisos en el navegador o en la app, el identificador técnico del avisador de tu móvil y los pedidos que sigues (se borra solo a los 30 días).
• Datos técnicos: dirección IP y navegador en los registros de seguridad del servidor, y estadísticas de visitas a la carta sin identificar a nadie.

4. Para qué y con qué base legal

• Gestionar tu pedido o encargo, servirlo o tenerlo listo, avisarte de su estado y atender incidencias: ejecución del contrato (art. 6.1.b RGPD).
• Evitar pedidos falsos o abusivos desde las mesas (límite de pedidos sin pagar por móvil): interés legítimo del local en proteger su negocio (art. 6.1.f RGPD).
• Cobrarte por la app y darte el justificante del pago: ejecución del contrato (art. 6.1.b RGPD) y obligaciones legales contables y fiscales (art. 6.1.c RGPD).
• Gestionar tu reserva y avisarte de cambios: ejecución del contrato o aplicación de medidas precontractuales a tu petición (art. 6.1.b RGPD).
• Darte de alta en el club, llevar tu tarjeta de sellos y reconocerte en tus próximas visitas: tu consentimiento al unirte (art. 6.1.a RGPD), que puedes retirar cuando quieras.
• Enviarte ofertas y novedades del local por email o SMS, SOLO si marcas la casilla aparte (con email, además, confirmas desde el enlace que te enviamos): tu consentimiento (art. 6.1.a RGPD y art. 21 LSSI). Cada envío lleva un enlace para darte de baja al momento.
• Leer tu opinión privada para mejorar y, si dejas contacto, responderte: tu consentimiento al enviarla (art. 6.1.a RGPD). Si eliges publicar la reseña en Google, sales a Google y se aplica su política.
• Cumplir obligaciones legales (contabilidad, fiscalidad, requerimientos de autoridades): art. 6.1.c RGPD.
• Seguridad de la carta y de la plataforma, y estadísticas agregadas sin identificarte: interés legítimo (art. 6.1.f RGPD).

5. Cuánto tiempo los guardamos

• Pedidos y cobros: el tiempo necesario para gestionarlos y, después, bloqueados durante los plazos legales (hasta 6 años por el Código de Comercio y 4 por la normativa tributaria).
• Reservas: hasta 12 meses después de la fecha reservada.
• Club: mientras seas miembro. Si te das de baja, se suprimen tus datos salvo los que haya que conservar bloqueados por obligación legal.
• Ofertas: hasta que te des de baja (guardamos la prueba del consentimiento y de la baja).
• Opiniones privadas: hasta 24 meses.
• Registros técnicos y de seguridad: hasta 12 meses.

6. A quién se comunican

No cedemos tus datos a terceros salvo obligación legal. Para prestar el servicio intervienen como encargados The Food Please y sus subencargados:

• OVH SAS (OVHcloud) (Francia (UE)): alojamiento de la plataforma, servidores y bases de datos.
• A2 Hosting, Inc. (EE. UU.): envío de correos (confirmaciones de pedido, reservas, avisos y, si el cliente lo acepta, ofertas).
• 650 Industries, Inc. (Expo) (EE. UU.): avisos push de la app The Food Please (identificador del móvil y texto del aviso).
• Apple Inc. (APNs), Google LLC (Firebase Cloud Messaging) y los servicios push de los navegadores (EE. UU. / UE): entrega de los avisos push al móvil o al navegador.
• Stripe Payments Europe, Ltd. (Irlanda (UE); Stripe, Inc. en EE. UU.): cobros con tarjeta por la app cuando el local los activa (Stripe actúa además como responsable independiente del pago).
• Google Ireland Ltd. (Irlanda (UE); Google LLC en EE. UU.): solo si se usa: acceso al club con Google y enlace para dejar la reseña en Google.

7. Transferencias internacionales

Los datos se alojan en la Unión Europea. Algunos proveedores (correo, avisos push, pagos) pueden tratar datos en Estados Unidos: se hace con las garantías del RGPD, como las cláusulas contractuales tipo de la Comisión Europea o el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido.

8. Tus derechos

Puedes acceder a tus datos, rectificarlos, suprimirlos, oponerte o limitar su tratamiento, pedir su portabilidad y retirar tu consentimiento en cualquier momento (sin que afecte a lo anterior a la retirada), escribiendo a [email protected] o por correo postal a Martín de los Heros, 11 · Madrid. Te respondemos en un mes como máximo.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid).

9. Menores

Los menores de 14 años necesitan el consentimiento de sus padres o tutores para unirse al club o dar sus datos.

10. Cambios

Si cambia algo importante lo verás aquí, con la fecha de la versión.