Política de privacidad
Última actualización: [FECHA]
Aquí explicamos qué datos personales tratamos, para qué, cuánto tiempo y qué derechos tienes, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
2.1 Los dos papeles de Tavolly.
- Como responsable del tratamiento tratamos los datos de nuestros clientes (restaurantes y las personas de su equipo que usan Tavolly), de quienes visitan tavolly.com o tavolly.app y de quienes nos piden información. Esta política trata sobre todo de este caso.
- Como encargado del tratamiento tratamos los datos de los comensales que reservan en un restaurante que usa Tavolly: nombre, email, teléfono, idioma, fecha y hora, número de personas, notas (que pueden incluir alergias o intolerancias), historial de visitas, mensajes de WhatsApp y, si el restaurante pide garantía, la referencia de la tarjeta guardada en Stripe. Aquí el responsable es el restaurante: decide para qué se usan esos datos y Tavolly solo los trata siguiendo sus instrucciones, según el Acuerdo de encargo del tratamiento (sección 6). Si has reservado en un restaurante y quieres ejercer tus derechos, dirígete al restaurante; si nos escribes a nosotros, le trasladaremos tu solicitud sin demora.
2.2 Quién es el responsable. [TITULAR], NIF [NIF], domicilio en [DOMICILIO PROFESIONAL]. Email de privacidad: privacy@tavolly.com. No hemos designado Delegado de Protección de Datos. [REVISAR: confirmar que no es obligatorio (art. 37 RGPD y art. 34 LOPDGDD) teniendo en cuenta que, como encargado, Tavolly trata notas con alergias de muchos comensales]
2.3 Qué datos tratamos como responsable.
- Cuenta y contacto: nombre, email, teléfono, cargo, nombre y dirección del restaurante.
- Facturación: razón social, NIF o NIF-IVA, dirección fiscal, plan contratado e historial de pagos. Los datos de la tarjeta los gestiona Stripe; Tavolly no ve ni guarda el número.
- Uso del servicio: configuración, actividad en la plataforma y registros técnicos (IP, navegador, fechas y horas de acceso).
- Comunicaciones: lo que nos escribes por email o WhatsApp.
- Navegación: estadísticas agregadas sin cookies y sin identificarte (ver Política de cookies).
- Contactos comerciales: nombre, cargo, restaurante y email o teléfono profesional, que nos das tú o que obtenemos de fuentes públicas profesionales (web o redes del restaurante). [REVISAR]
2.4 Para qué los usamos y con qué base legal.
| Finalidad | Base legal |
|---|---|
| Darte de alta, prestarte el servicio, darte soporte y gestionar la prueba y la suscripción | Ejecución del contrato (art. 6.1.b RGPD) |
| Facturar y cumplir obligaciones fiscales y contables | Obligación legal (art. 6.1.c RGPD) |
| Mantener la plataforma segura, prevenir fraudes y mejorar el servicio con estadísticas | Interés legítimo (art. 6.1.f RGPD) |
| Enviarte novedades sobre Tavolly si ya eres cliente; puedes darte de baja en cada envío | Interés legítimo y art. 21.2 LSSI-CE |
| Presentar Tavolly a restaurantes que aún no son clientes: por teléfono, si no se han opuesto; por email o mensajería, solo con su consentimiento previo | Interés legítimo (teléfono) y consentimiento (email y mensajería), art. 21 LSSI-CE y art. 23 LOPDGDD [REVISAR] |
| Responder a tus consultas | Medidas precontractuales o consentimiento (art. 6.1.a y b RGPD) |
No tomamos decisiones automatizadas con efectos jurídicos sobre ti.
2.5 Cuánto tiempo guardamos los datos.
- Clientes: mientras dure la suscripción y, después, bloqueados durante los plazos legales: 6 años para la documentación mercantil (art. 30 del Código de Comercio) y 4 años a efectos fiscales.
- Cuentas de prueba que no contratan: 30 días desde el fin de la prueba.
- Contactos comerciales que no llegan a ser clientes: 12 meses desde el último contacto, o hasta que nos pidas que paremos.
- Registros técnicos y de seguridad: 12 meses.
- Datos de comensales (como encargado): lo que decida el restaurante; al terminar el contrato, 30 días para exportarlos y después se borran, según el Acuerdo de encargo.
2.6 A quién se los comunicamos. No vendemos datos. Solo los compartimos con proveedores que nos ayudan a prestar el servicio, con contrato y garantías:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Railway Corporation | Alojamiento de la aplicación y la base de datos | Servidores en la UE; empresa de EE. UU. [REVISAR] |
| Stripe Payments Europe, Limited | Cobro de las suscripciones de Tavolly y garantías con tarjeta en la cuenta de cada restaurante | UE (Irlanda), con transferencias a Stripe, Inc. (EE. UU.) |
| Meta Platforms Ireland Limited | Envío y recepción de mensajes de WhatsApp | UE, con posibles transferencias a EE. UU. |
| Anthropic [REVISAR: entidad contratante en la UE] | Modelo de IA (Claude) que redacta las respuestas del asistente de WhatsApp y de la ayuda escrita del panel | EE. UU. No usa los datos para entrenar sus modelos |
| Plus Five Five, Inc. (Resend) | Emails de confirmación, recordatorios y avisos de cuenta | EE. UU. [REVISAR] |
| Functional Software, Inc. (Sentry) | Registro de errores técnicos | Región UE [REVISAR] |
| Plausible Insights OÜ | Estadísticas de visitas sin cookies ni datos personales | UE (Estonia) |
También podemos comunicar datos a nuestra asesoría fiscal y contable y a las autoridades cuando la ley lo exija.
2.7 Transferencias fuera del Espacio Económico Europeo. Cuando un proveedor trata datos en Estados Unidos, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está certificado, o en las Cláusulas Contractuales Tipo de la Comisión Europea. Puedes pedir una copia de estas garantías en privacy@tavolly.com. [REVISAR: confirmar la certificación de cada proveedor]
2.8 Tus derechos. Puedes pedirnos acceso a tus datos, su rectificación o supresión, oponerte a su tratamiento, limitarlo, pedir su portabilidad y retirar tu consentimiento en cualquier momento, sin que afecte a lo anterior. Escríbenos a privacy@tavolly.com indicando qué derecho quieres ejercer; responderemos en un mes como máximo y, si hace falta, te pediremos información para comprobar tu identidad.
2.9 Reclamaciones. Puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es), C/ Jorge Juan 6, 28001 Madrid, o ante la autoridad de control de tu país de la UE. Te agradeceremos que antes nos escribas para intentar resolverlo.
2.10 Seguridad. Aplicamos medidas técnicas y organizativas adecuadas: conexiones cifradas, separación estricta de los datos de cada restaurante en la base de datos, control de accesos por roles, copias de seguridad diarias y proveedores con garantías de seguridad. Si una brecha de seguridad te afecta, te lo notificaremos como exige la ley. [REVISAR tras la auditoría de seguridad]
2.11 Menores. Tavolly es un servicio para empresas y no está dirigido a menores de 14 años (art. 7 LOPDGDD).
2.12 Cambios. Si cambiamos algo importante, lo publicaremos aquí con la nueva fecha y, si eres cliente, te avisaremos por email.