Política de privacidad

1. Responsable del tratamiento

• Identidad: Joan Sanfeliu Vilarrasa
• NIF: 79279716G
• Domicilio: Barcelona, España
• Email: hola@taula.ai

En adelante, "el Responsable". Dada la naturaleza y volumen de los tratamientos realizados, no resulta exigible la designación de un Delegado de Protección de Datos. No obstante, el Responsable atenderá personalmente cualquier consulta dirigida al email indicado.

2. Datos personales objeto de tratamiento

El Responsable trata únicamente los datos personales estrictamente necesarios para las finalidades descritas en la presente política. En concreto:

• Formulario de contacto y comunicaciones: nombre, dirección de correo electrónico, tipo de negocio (opcional) y contenido del mensaje que el usuario decida facilitar voluntariamente al ponerse en contacto.
• Registro y uso de la plataforma: datos identificativos y de la cuenta (nombre, correo electrónico, credenciales de acceso gestionadas de forma segura) necesarios para crear y administrar la cuenta de usuario en el panel de gestión (app.taula.ai) y prestar los servicios contratados.
• Datos de facturación y pago: datos identificativos, fiscales y de facturación necesarios para la contratación del servicio por suscripción. Los datos de pago —los de la tarjeta o, si el cliente elige el recibo domiciliado, el número de cuenta bancaria (IBAN) y el mandato SEPA— son gestionados directamente por el proveedor de pagos Stripe; el Responsable no almacena en sus sistemas los datos completos de la tarjeta ni el IBAN.

El Sitio Web puede utilizar Google Analytics 4 con finalidad exclusivamente estadística, y solo si el visitante lo acepta en el aviso de cookies: hasta entonces no se instala ninguna cookie analítica. No se utilizan cookies de seguimiento con fines publicitarios ni se elaboran perfiles. Para más información, consulte la Política de Cookies.

2 bis. Datos tratados por cuenta del restaurante (encargado del tratamiento)

Esta es la parte más importante de esta política y conviene leerla despacio, porque en ella taula.ai no actúa como responsable.

Cuando un restaurante utiliza la plataforma, en ella se registran datos personales de sus comensales: nombre, teléfono, correo electrónico, idioma, número de personas, fecha y hora de la reserva, mesa asignada, historial de visitas, ausencias, notas internas que escriba el personal del restaurante y, en su caso, alergias e intolerancias alimentarias. También los mensajes intercambiados a través del agente de mensajería, cuando esta función esté activada.

Respecto de estos datos, el responsable del tratamiento es el restaurante, que decide qué recaba y para qué. taula.ai actúa exclusivamente como encargado del tratamiento (art. 28 RGPD), tratándolos únicamente siguiendo sus instrucciones y para prestarle el servicio contratado. Las condiciones de ese encargo figuran en el Anexo de tratamiento de datos, que forma parte del contrato con cada cliente.

Las alergias e intolerancias pueden constituir datos relativos a la salud (art. 9 RGPD). taula.ai ofrece el campo como herramienta de servicio, pero corresponde al restaurante disponer de una base jurídica válida para recabarlas —normalmente el consentimiento explícito del comensal—, informarle y no registrar más información de la necesaria.

Plazos de conservación por cuenta del restaurante. Las reservas y las fichas de cliente se conservan hasta 24 meses desde la última visita del comensal y se eliminan automáticamente cada noche pasado ese plazo. Si un restaurante deja de usar el servicio, todas sus reservas y fichas de cliente se eliminan 30 días después, una vez pasado el plazo para recuperarlas. Las conversaciones del agente de mensajería se borran automáticamente al terminar su vigencia técnica. El restaurante puede pedir en cualquier momento la supresión anticipada de una ficha concreta.

Si eres comensal y quieres ejercer tus derechos sobre estos datos, dirígete al restaurante donde reservaste, que es quien decide sobre ellos. Si nos escribes a nosotros, trasladaremos tu solicitud al restaurante y te lo indicaremos.

2 ter. Funciones basadas en inteligencia artificial

La plataforma utiliza modelos de inteligencia artificial en tres puntos concretos:

• Lectura y traducción de la carta: cuando el restaurante sube un PDF o una fotografía de su carta, se procesa con un modelo para extraer platos y precios, y para generar las versiones en los idiomas que el propio restaurante elija.
• Generación del sitio web del restaurante: los textos del sitio web se redactan con un modelo a partir de la información pública de la ficha de Google del negocio, de su carta y de las fotografías que aporta; el Responsable revisa el resultado y el restaurante lo aprueba antes de publicarlo (apartado 2 quater).
• Agente de mensajería: cuando esta función está activada, se procesan los mensajes recibidos para responder sobre la agenda real del negocio.

Este procesamiento se realiza a través de Amazon Bedrock, dentro de la infraestructura de AWS en la Unión Europea. Conforme a las condiciones de dicho servicio, los datos enviados no se utilizan para entrenar modelos ni se comparten con los proveedores de los modelos para esa finalidad.

No se adoptan decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre las personas o que les afecten significativamente de modo similar (art. 22 RGPD), ni se elaboran perfiles. La plataforma sí aplica reglas automáticas que configura cada restaurante: si hay mesa libre según el aforo y el horario que él ha definido, la reserva queda confirmada de inmediato; si el restaurante ha activado la confirmación manual, queda pendiente de que él la valide; y si ha activado la reconfirmación, una reserva que el comensal no reconfirma dentro del margen fijado por el restaurante se libera automáticamente, cosa que siempre se avisa al comensal antes. Son cálculos de disponibilidad sobre parámetros fijados por una persona, no una valoración del comensal. En cualquier caso, el comensal puede reservar por teléfono y hablar directamente con el restaurante.

2 quater. Sitios web de los restaurantes en subdominios de taula.ai

Cada restaurante cliente puede tener un sitio web publicado en un subdominio de taula.ai con el nombre de su negocio (por ejemplo, tunombre.taula.ai) o, en el plan Pro, en su propio dominio. El contenido de ese sitio —textos, fotografías, carta, horarios y datos de contacto— lo decide y lo aprueba el restaurante, que es su responsable frente a quien lo visita (la plantilla, el código y el diseño del sitio son de taula.ai, en régimen de alquiler, según el apartado 9 de las Condiciones) y debe identificarse en él con su propio aviso legal y su propia política de privacidad, con los datos que facilita a taula.ai al darse de alta. taula.ai lo aloja y lo mantiene como encargado del tratamiento por cuenta del restaurante, en las condiciones del Anexo de tratamiento de datos.

Quien visita uno de estos sitios no facilita datos personales salvo que reserve, en cuyo caso se aplica el apartado 2 bis. Para servir la página y protegerla de abusos, el servidor trata de forma temporal la dirección IP del visitante, en las mismas condiciones y por el mismo interés legítimo que en el Sitio Web (apartado 4).

3. Finalidades del tratamiento

Los datos personales serán tratados para las siguientes finalidades:

• Atender las consultas, solicitudes de información o peticiones remitidas por el usuario.
• Crear y gestionar la cuenta de usuario y permitir el acceso y uso de la plataforma taula.ai.
• Prestar los micro-servicios y herramientas contratados por suscripción y dar soporte al usuario.
• Publicar y mantener el sitio web del restaurante en el subdominio de taula.ai que le corresponde o, en el plan Pro, en su dominio.
• Gestionar la facturación, el cobro de la suscripción y el cumplimiento de las obligaciones contables, fiscales y administrativas aplicables.
• Remitir, en su caso, comunicaciones relacionadas con los servicios solicitados o contratados (avisos operativos, cambios en el servicio, etc.).

Hoy el Responsable no envía comunicaciones comerciales. Si en el futuro las envía a sus clientes sobre servicios propios similares a los contratados, lo hará al amparo del artículo 21.2 de la LSSI y de su interés legítimo (art. 6.1.f RGPD), y el cliente podrá oponerse en el momento del alta, desde su perfil en el panel y con el enlace de baja que llevará cada mensaje, de forma sencilla y gratuita.

4. Base jurídica del tratamiento

Las bases legales que legitiman el tratamiento de los datos son las siguientes:

• Consentimiento del interesado (art. 6.1.a RGPD), prestado al remitir el formulario de contacto o iniciar la comunicación con el Responsable.
• Ejecución de un contrato en el que el interesado es parte, o aplicación de medidas precontractuales a petición del mismo (art. 6.1.b RGPD), en particular para la creación de la cuenta y la prestación del servicio por suscripción.
• Cumplimiento de obligaciones legales aplicables al Responsable, en particular en materia fiscal, mercantil y contable (art. 6.1.c RGPD).
• Interés legítimo del Responsable en mantener la relación con el cliente, dar respuesta a comunicaciones recibidas, garantizar la seguridad de la plataforma —incluido el tratamiento temporal de la dirección IP de quien hace una reserva o consulta una carta, durante un máximo de una hora, para evitar peticiones masivas y abusos— y conservar la documentación relativa a las mismas (art. 6.1.f RGPD).

5. Plazo de conservación

Los datos se conservarán durante el tiempo estrictamente necesario para cumplir con las finalidades para las que fueron recabados y, en todo caso, durante los plazos legalmente exigibles para atender posibles responsabilidades derivadas del tratamiento.

Las comunicaciones recibidas que no deriven en una relación contractual se conservarán como máximo durante el periodo necesario para atender la consulta y, una vez finalizada, durante el plazo legal aplicable. Los datos vinculados a la cuenta y a la prestación de servicios se conservarán durante la vigencia de la relación contractual y, posteriormente, durante los plazos de prescripción de las acciones legales derivadas, así como los exigidos por la normativa fiscal, mercantil y contable (con carácter general, hasta seis años).

6. Destinatarios y cesiones

Los datos personales no se cederán a terceros, salvo obligación legal o cuando resulte estrictamente necesario para la prestación del servicio solicitado.

Para el desarrollo de su actividad, el Responsable recurre a los siguientes proveedores de servicios, que actúan como encargados del tratamiento, sujetos a las correspondientes obligaciones contractuales y a la normativa de protección de datos:

• Amazon Web Services (AWS): infraestructura en la nube, base de datos, gestión de identidades y envío de correo. El tratamiento se realiza en servidores situados en la Unión Europea: los datos de reservas y cuentas, y el envío de correo, se tratan y almacenan en la región eu-west-3 (París); el correo entrante al dominio se trata en la región eu-west-1 (Irlanda); los sitios web de los restaurantes (apartado 2 quater) se alojan en la región eu-west-3 (París) y se distribuyen con Amazon CloudFront, la red de distribución de contenido de AWS, que sirve su contenido público desde puntos de presencia cercanos al visitante (en Europa, para los visitantes europeos); y el procesamiento con modelos de inteligencia artificial (Amazon Bedrock, apartado 2 ter) puede ejecutarse en cualquier región de AWS dentro de la Unión Europea, según la capacidad disponible. Los datos de reservas y de cuentas no salen de la Unión Europea. El contenido público de los sitios web de los restaurantes puede servirse desde puntos de presencia de CloudFront fuera de la Unión, y la dirección IP del visitante que accede la trata AWS como encargado, amparado en sus Cláusulas Contractuales Tipo (REVISAR ADVOCAT); el otro caso es el de Google Analytics descrito en la Política de Cookies. Cuando algún subencargado implique transferencia internacional, se ampara en una decisión de adecuación o en Cláusulas Contractuales Tipo.
• Stripe Payments Europe, Ltd. (Irlanda): procesamiento de pagos y facturación de las suscripciones, con tarjeta o con recibo domiciliado SEPA. Los datos de la tarjeta, el número de cuenta bancaria (IBAN) y el mandato SEPA son tratados directamente por Stripe; taula.ai no los almacena en sus sistemas. Además del pago de la suscripción, cuando el restaurante activa los anticipos de reserva, Stripe trata los datos de pago del comensal por cuenta del restaurante, que es el vendedor. taula.ai no accede a los datos de la tarjeta ni recibe ese dinero.
• Meta Platforms Ireland Ltd.: únicamente cuando el restaurante activa el agente de mensajería o los recordatorios de reserva por WhatsApp, para enviar y recibir mensajes de WhatsApp con el comensal.
• Google Ireland Ltd.: únicamente cuando el restaurante activa la reserva desde Google, para publicar su disponibilidad y recibir las reservas hechas desde Google. Asimismo, Google Analytics 4 con finalidad estadística en el sitio web, y solo si el visitante acepta las cookies analíticas; Google puede tratar estos datos fuera de la Unión Europea al amparo del Marco de Privacidad de Datos UE-EE. UU. y, en su caso, de las cláusulas contractuales tipo de la Comisión Europea. El detalle está en la Política de Cookies.

Se procurará que dichos proveedores estén ubicados en el Espacio Económico Europeo o, en su defecto, dispongan de garantías adecuadas de transferencia internacional conforme a los artículos 44 y siguientes del RGPD.

7. Derechos del interesado

El usuario podrá ejercer en cualquier momento los siguientes derechos:

• Acceso a sus datos personales.
• Rectificación de los datos inexactos o incompletos.
• Supresión de los datos cuando, entre otros motivos, ya no sean necesarios.
• Oposición al tratamiento por motivos relacionados con su situación particular.
• Limitación del tratamiento en los supuestos previstos legalmente.
• Portabilidad de los datos a otro responsable, cuando el tratamiento se base en el consentimiento o en un contrato.
• Retirada del consentimiento prestado, sin que ello afecte a la licitud del tratamiento previo.
• No ser objeto de decisiones individuales automatizadas, incluida la elaboración de perfiles, con efectos jurídicos.

Para ejercer estos derechos, el usuario podrá dirigirse por escrito al Responsable mediante correo electrónico a hola@taula.ai, indicando claramente el derecho que desea ejercer y adjuntando, en caso necesario, copia de su documento de identidad u otro medio que permita acreditar su identidad.

Si en el plazo de un mes no has recibido respuesta, o la respuesta no te satisface, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es).

8. Medidas de seguridad

El Responsable ha adoptado las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales y evitar su alteración, pérdida, tratamiento o acceso no autorizado, teniendo en cuenta el estado de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos.

No obstante lo anterior, el usuario reconoce que las medidas de seguridad en internet no son inexpugnables y que el envío de información a través de la red conlleva determinados riesgos asumidos por el propio usuario.

9. Veracidad de los datos

El usuario garantiza que los datos personales facilitados son veraces, exactos, completos y actualizados, y se compromete a comunicar cualquier modificación. El usuario será el único responsable de cualquier daño o perjuicio, directo o indirecto, que pudiera ocasionar al Responsable o a terceros como consecuencia de la facilitación de datos inexactos, incompletos o no actualizados.

10. Modificaciones

El Responsable se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o de su actividad. Las modificaciones surtirán efecto desde su publicación en el Sitio Web.