Política de privacidad

1. Responsable del tratamiento

Etemenanki Technology SL, NIF B87266987, con domicilio en Calle Vallandes 12, 2, Madrid. Correo: [email protected].

Delegado de Protección de Datos / contacto de privacidad: [EMAIL DEL DPD, o indicar «no designado» y mantener el correo de contacto].

2. Dos papeles: cuándo somos responsables y cuándo encargados

Somos responsables del tratamiento de los datos de las personas que visitan la web, se dan de alta como administradoras de un restaurante, se registran como proveedores de El Mercado o se comunican con nosotros (soporte, comercial).

Somos encargados del tratamiento de los datos que cada restaurante recoge a través de la plataforma de sus propios clientes y empleados: pedidos, reservas, club de clientes, sellos, reseñas y registro de jornada (fichaje). En esos casos el responsable es el restaurante; nosotros tratamos los datos siguiendo sus instrucciones y el Contrato de encargado del tratamiento.

Si eres cliente de un restaurante (has pedido, reservado o dejado una reseña por su carta) y quieres ejercer tus derechos, dirígete al restaurante. Si nos escribes, le trasladaremos tu solicitud.

3. Qué datos tratamos

• Cuenta del restaurante: nombre y apellidos, correo, contraseña (cifrada), teléfono, nombre y datos del local (dirección, logotipo, subdominio) y datos fiscales de facturación.
• Pago: Stripe recoge y custodia los datos de la tarjeta. Nosotros recibimos un identificador de cliente, los últimos cuatro dígitos, el estado de la suscripción y las facturas.
• Uso de la plataforma: registros técnicos (dirección IP, fecha y hora, navegador, páginas visitadas, errores), acciones en el panel y estadísticas agregadas de la carta (vistas de platos).
• Comunicaciones: correos de soporte, formularios y, con tu consentimiento o como cliente, comunicaciones comerciales.
• Proveedores de El Mercado: datos de la empresa y de la persona de contacto, catálogo y pedidos recibidos.
• Como encargados, por cuenta del restaurante: nombre, teléfono y correo de quien pide o reserva, mesa, contenido e importe del pedido, valoración y comentario de la reseña, datos del club (nombre, móvil, sellos) y datos identificativos y de registro horario de empleados (fichaje).

4. Finalidades y bases jurídicas

• Prestar el servicio contratado y gestionar la cuenta, la suscripción, la facturación y el soporte: ejecución del contrato (art. 6.1.b RGPD).
• Cumplir obligaciones legales: facturación y conservación contable y fiscal, atención de derechos y requerimientos de autoridades (art. 6.1.c RGPD).
• Seguridad de la plataforma, prevención del fraude y del abuso del periodo de prueba, registros técnicos: interés legítimo (art. 6.1.f RGPD).
• Avisos sobre el servicio a los clientes (cambios, cobros fallidos, novedades relevantes del producto): ejecución del contrato e interés legítimo.
• Comunicaciones comerciales sobre productos similares a quienes ya son clientes (art. 21.2 LSSI), con posibilidad de oponerse en cada envío; a quienes no lo son, solo con consentimiento (art. 6.1.a RGPD).
• Contacto comercial con restaurantes y proveedores a partir de datos de contacto profesionales obtenidos de fuentes públicas (su web, directorios): interés legítimo (art. 19 LOPDGDD). Puedes oponerte en cualquier momento.
• Estadísticas agregadas y mejora del producto: interés legítimo, con datos agregados o seudonimizados siempre que sea posible.

5. Destinatarios y encargados

• Stripe Payments Europe, Ltd. (Irlanda) y Stripe, Inc. (EE. UU.): pagos, suscripciones y facturación. Para el procesamiento de pagos Stripe actúa además como responsable independiente.
• OVH SAS (OVHcloud, Francia): alojamiento de la plataforma y de las bases de datos en centros de datos situados en Francia (Unión Europea).
• A2 Hosting, Inc. (servidor SMTP): envío de correos transaccionales (alta, avisos de pedido, cobros) y comunicaciones.
• Google (Google Ireland Ltd.): al pulsar el enlace de reseñas o de mapas sales a los servicios de Google, con su propia política de privacidad. No compartimos con Google datos de tu cuenta.
• Asesores (contabilidad, jurídico) y autoridades públicas cuando la ley lo exija.

No vendemos datos personales ni los cedemos a terceros con fines publicitarios.

6. Transferencias internacionales

Nuestros servidores están en la Unión Europea. Stripe puede transferir datos a Estados Unidos amparándose en las cláusulas contractuales tipo de la Comisión Europea y, cuando aplique, en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework). [Revisar el proveedor de email: si trata datos fuera del EEE, indicar la garantía aplicable.]

7. Conservación

• Datos de la cuenta: mientras esté activa y, tras la baja, 30 días para permitir la exportación. Después se eliminan o anonimizan, salvo lo indicado a continuación.
• Facturas y datos fiscales: 4 años por obligaciones tributarias y 6 años por el Código de Comercio, desde la última anotación.
• Registros técnicos y de seguridad: hasta 12 meses.
• Datos tratados por cuenta del restaurante: mientras dure el contrato con el restaurante y según sus instrucciones. El registro de jornada se conserva 4 años por obligación del restaurante (art. 34.9 del Estatuto de los Trabajadores). Al terminar el servicio se devuelven o suprimen conforme al Contrato de encargado del tratamiento.
• Comunicaciones comerciales: hasta que te opongas o retires el consentimiento.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y a no ser objeto de decisiones automatizadas. Puedes retirar el consentimiento en cualquier momento, sin efectos retroactivos.

Cómo: escribiendo a [email protected] o a Calle Vallandes 12, 2, Madrid, indicando el derecho que ejerces y, si hay dudas razonables, acreditando tu identidad. Respondemos en el plazo de un mes, ampliable dos meses más en casos complejos.

Si consideras que el tratamiento no es conforme, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Comunicaciones cifradas (HTTPS), contraseñas con hash, control de acceso por roles, separación de datos por cliente, copias de seguridad periódicas, registro de accesos, servidores en la UE y personal sujeto a confidencialidad. El detalle figura en el Contrato de encargado del tratamiento.

10. Menores

El servicio se dirige a profesionales. No recogemos conscientemente datos de menores de 14 años. Si un restaurante admite pedidos o reservas de menores, es su responsabilidad como responsable del tratamiento.

11. Cambios

Publicaremos aquí las modificaciones con su fecha de versión y avisaremos a los clientes de los cambios relevantes.