Política de privacidad

1. Responsable del tratamiento

• Responsable: PENDIENTE DE COMPLETAR
• NIF: PENDIENTE DE COMPLETAR
• Domicilio: PENDIENTE DE COMPLETAR
• Contacto en materia de protección de datos: privacidad@gastronomyhub.es

No se ha designado delegado de protección de datos, al no concurrir ninguno de los supuestos previstos en el artículo 37 del Reglamento (UE) 2016/679 (en adelante, RGPD) ni en el artículo 34 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD).

2. Doble condición del titular: responsable y encargado del tratamiento

GastronomyHub interviene en dos tratamientos de naturaleza distinta, cuya delimitación determina a quién corresponde atender el ejercicio de los derechos:

• En condición de responsable del tratamiento, respecto de los datos de los visitantes de este sitio y de quienes contratan el Servicio: el establecimiento cliente, su personal y sus datos de facturación. Este es el tratamiento que regula la presente política.
• En condición de encargado del tratamiento, respecto de los datos de los comensales que el establecimiento recaba mediante el Servicio —pedidos, reservas, datos de contacto para el aviso de mesa, valoraciones o programas de fidelización—. En este supuesto, el responsable es el establecimiento, a quien corresponde determinar los datos recabados y las finalidades perseguidas, limitándose GastronomyHub a tratarlos conforme a sus instrucciones documentadas, en los términos del contrato de encargo previsto en el artículo 28 del RGPD. El comensal que desee ejercer sus derechos deberá dirigirse al establecimiento; las solicitudes recibidas por el titular se trasladarán a aquel sin dilación.

3. Finalidades, bases de legitimación y plazos de conservación

Tratamiento	Datos	Base de legitimación	Conservación
Alta y gestión de la cuenta del cliente	Nombre, correo electrónico, teléfono, empresa, credenciales de acceso y registro de actividad	Ejecución del contrato (art. 6.1.b RGPD)	Vigencia de la relación contractual y 30 días posteriores, salvo obligación legal
Facturación y obligaciones contables	Denominación social, NIF, domicilio fiscal, importes y facturas expedidas	Cumplimiento de obligación legal (art. 6.1.c RGPD)	6 años (art. 30 del Código de Comercio) y 4 años a efectos tributarios desde la finalización del plazo de declaración
Atención de consultas y comunicaciones del servicio	Datos de contacto y contenido de la solicitud	Ejecución del contrato e interés legítimo (arts. 6.1.b y 6.1.f RGPD)	3 años desde la última interacción
Seguridad de la plataforma y prevención del fraude	Direcciones IP, marcas temporales de acceso y trazas técnicas	Interés legítimo en la protección del servicio (art. 6.1.f RGPD)	12 meses
Comunicaciones comerciales a clientes	Correo electrónico	Interés legítimo sobre productos o servicios análogos (art. 21.2 LSSI) o consentimiento del interesado cuando no medie relación contractual previa	Hasta la revocación, disponible en cada comunicación

No se adoptan decisiones individuales automatizadas que produzcan efectos jurídicos o afecten significativamente al interesado, ni se elaboran perfiles. No se tratan categorías especiales de datos de las previstas en el artículo 9 del RGPD: el Servicio no está concebido para la recogida de información relativa a la salud, y las preferencias alimentarias o alérgenos que el comensal consigne en un pedido se tratan bajo la responsabilidad del establecimiento, a quien incumbe observar el principio de minimización.

4. Procedencia de los datos

Los datos proceden del propio interesado, salvo los correspondientes al personal del establecimiento, que son facilitados por su empleador en su condición de responsable. El personal que desee conocer los datos que le conciernen deberá dirigirse, con carácter preferente, a la entidad que tramitó su alta.

5. Destinatarios y encargados del tratamiento

No se comunican datos a terceros, salvo obligación legal. Intervienen como encargados del tratamiento, todos ellos vinculados por el correspondiente contrato conforme al artículo 28 del RGPD, los siguientes proveedores:

Proveedor	Finalidad	Ubicación
Google Cloud / Firebase (Google Cloud EMEA Ltd.)	Alojamiento de la aplicación, base de datos, almacenamiento de imágenes y autenticación	Madrid, España (región europe-southwest1)
Stripe Payments Europe, Ltd.	Tramitación del cobro de las suscripciones y pasarela de pago del comensal	Irlanda (UE)
Holded	Expedición de las facturas de las suscripciones	España (UE)
IONOS	Registro de dominio y correo electrónico saliente del servicio	UE
LiveKit	Pasarela de acceso a los modelos de lenguaje del asistente y del agente	EE. UU., con cláusulas contractuales tipo
Meta Platforms Ireland Ltd.	Canal de WhatsApp, únicamente cuando el cliente lo habilita	Irlanda (UE), con transferencias amparadas en el marco UE-EE. UU.

Ubicación de los datos. La aplicación y su base de datos se ejecutan en Madrid. Las transferencias internacionales que puedan producirse con los proveedores indicados se amparan en decisiones de adecuación de la Comisión Europea o en cláusulas contractuales tipo aprobadas por esta, con las garantías adicionales que en cada caso procedan.

Funciones asistidas por inteligencia artificial

Determinadas funcionalidades —el asistente del panel, el agente de atención y la importación de la carta a partir de una fotografía— remiten a un modelo de lenguaje, por conducto de LiveKit, el texto o la imagen necesarios para atender la solicitud. La remisión se limita a los datos imprescindibles y los contenidos no se destinan al entrenamiento de modelos. Dichas funcionalidades son de activación voluntaria; su no habilitación no afecta al resto del Servicio.

6. Derechos del interesado

El interesado puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como revocar el consentimiento prestado, mediante comunicación dirigida a privacidad@gastronomyhub.es, acreditando su identidad. La solicitud se atenderá en el plazo de un mes, prorrogable por dos meses adicionales atendiendo a la complejidad y al número de solicitudes.

Asimismo, el interesado tiene derecho a presentar reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid), sin perjuicio de la posibilidad de dirigirse previamente al responsable para la resolución de la incidencia.

7. Medidas de seguridad

Se aplican las medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD: cifrado en tránsito mediante TLS, cifrado en reposo de la base de datos y del almacenamiento, control de acceso basado en roles, aislamiento lógico de los datos de cada organización, almacenamiento de contraseñas mediante funciones de derivación de clave, copias de seguridad y registro de actividad. Ninguna medida elimina por completo el riesgo; en el supuesto de producirse una violación de la seguridad que entrañe un alto riesgo para los derechos y libertades del interesado, se le comunicará conforme al artículo 34 del RGPD.

8. Datos de menores

El Servicio se contrata por empresas y profesionales y no está dirigido a menores de edad. No se recaban conscientemente datos de menores.

9. Modificaciones

La presente política puede ser objeto de actualización. Las modificaciones sustanciales se comunicarán por correo electrónico o a través de la aplicación con anterioridad a su entrada en vigor. La versión vigente es la publicada en esta dirección, con la fecha de actualización que consta al pie.