Política de privacidad

1. Responsable del tratamiento

• Identidad: Joan Sanfeliu Vilarrasa
• NIF: 79279716G
• Domicilio: Barcelona, España
• Email: hola@taula.ai

En adelante, "el Responsable". Dada la naturaleza y volumen de los tratamientos realizados, no resulta exigible la designación de un Delegado de Protección de Datos. No obstante, el Responsable atenderá personalmente cualquier consulta dirigida al email indicado.

2. Datos personales objeto de tratamiento

El Responsable trata únicamente los datos personales estrictamente necesarios para las finalidades descritas en la presente política. En concreto:

• Formulario de contacto, petición de demo y comunicaciones: nombre, dirección de correo electrónico, nombre del restaurante (opcional) y contenido del mensaje que el usuario decida facilitar voluntariamente al ponerse en contacto y, si lo indica, cómo ha conocido taula.ai; en la petición de demo, además, la población, el teléfono y, si lo indica, cómo gestiona hoy las reservas. Los dos formularios del Sitio Web envían estos datos al sistema de gestión de clientes (CRM) del Responsable, junto con la página desde la que se envían, la página de procedencia y, si la dirección los lleva, los parámetros de campaña (apartado 2 quinquies).
• Contactos comerciales: nombre del negocio, nombre y datos de contacto profesional de la persona, origen del contacto y registro de las conversaciones y, si el contacto llega por un formulario web, la dirección IP y el navegador desde los que se envió, en el sistema de gestión de clientes (CRM) del Responsable (apartado 2 quinquies).
• Registro y uso de la plataforma: datos identificativos y de la cuenta (nombre, correo electrónico, credenciales de acceso gestionadas de forma segura) necesarios para crear y administrar la cuenta de usuario en el panel de gestión (app.taula.ai) y prestar los servicios contratados, y los datos del negocio que el restaurante introduce en ella, como el nombre y la ficha de Google que elige al hacerse la web.
• Datos de facturación y pago: datos identificativos, fiscales y de facturación necesarios para la contratación del servicio por suscripción, y el plan, la modalidad de pago y, en el plan Básico, el recuento mensual de reservas online. Los datos de pago —los de la tarjeta o, si el cliente elige el recibo domiciliado, el número de cuenta bancaria (IBAN) y el mandato SEPA— son gestionados directamente por el proveedor de pagos Stripe; el Responsable no almacena en sus sistemas los datos completos de la tarjeta ni el IBAN. La facturación y la contabilidad se llevan con Stripe y con el programa Holded (apartado 6).

El Sitio Web puede utilizar Google Analytics 4 con finalidad exclusivamente estadística, y solo si el visitante lo acepta en el aviso de cookies: hasta entonces no se instala ninguna cookie analítica. No se utilizan cookies de seguimiento con fines publicitarios ni se elaboran perfiles. Para más información, consulte la Política de Cookies.

2 bis. Datos tratados por cuenta del restaurante (encargado del tratamiento)

Esta es la parte más importante de esta política y conviene leerla despacio, porque en ella taula.ai no actúa como responsable.

Cuando un restaurante utiliza la plataforma, en ella se registran datos personales de sus comensales: nombre, teléfono, correo electrónico, idioma, número de personas, fecha y hora de la reserva, mesa asignada, historial de visitas, ausencias, notas internas que escriba el personal del restaurante y, en su caso, alergias e intolerancias alimentarias. Cuando el servicio esté disponible y el restaurante lo active, también el recordatorio de la reserva que se envía por WhatsApp (apartado 6).

Respecto de estos datos, el responsable del tratamiento es el restaurante, que decide qué recaba y para qué. taula.ai actúa exclusivamente como encargado del tratamiento (art. 28 RGPD), tratándolos únicamente siguiendo sus instrucciones y para prestarle el servicio contratado. Las condiciones de ese encargo figuran en el Anexo de tratamiento de datos, que forma parte del contrato con cada cliente.

Las alergias e intolerancias pueden constituir datos relativos a la salud (art. 9 RGPD). taula.ai ofrece el campo como herramienta de servicio, pero corresponde al restaurante disponer de una base jurídica válida para recabarlas —normalmente el consentimiento explícito del comensal—, informarle y no registrar más información de la necesaria.

Plazos de conservación por cuenta del restaurante. Las reservas y las fichas de cliente se conservan hasta 24 meses desde la última visita del comensal y se eliminan automáticamente cada noche pasado ese plazo. Si un restaurante deja de usar el servicio, todas sus reservas y fichas de cliente se eliminan 30 días después, una vez pasado el plazo para recuperarlas. El restaurante puede pedir en cualquier momento la supresión anticipada de una ficha concreta.

Si eres comensal y quieres ejercer tus derechos sobre estos datos, dirígete al restaurante donde reservaste, que es quien decide sobre ellos. Si nos escribes a nosotros, trasladaremos tu solicitud al restaurante y te lo indicaremos.

2 ter. Funciones basadas en inteligencia artificial

La plataforma utiliza modelos de inteligencia artificial en tres puntos concretos:

• Lectura y traducción de la carta: cuando el restaurante sube un PDF o una fotografía de su carta, se procesa con un modelo para extraer platos y precios, y para generar las versiones en los idiomas que el propio restaurante elija.
• Generación del sitio web del restaurante: cuando el restaurante lo pide desde el panel, al darse de alta o más adelante, los textos del sitio web se redactan con un modelo a partir de los datos del negocio que el restaurante confirma en el alta, del texto de su web actual si la indica, de su carta y de las fotografías que aporta. La ficha de Google del negocio (que se busca con la API de Google Places) solo sirve para proponerle esos datos en el formulario: al modelo no se le envía nada de Google. Solo se hace para cuentas con el servicio activo. El Responsable no revisa el borrador antes de mostrarlo: el restaurante lo revisa, puede volver a generarlo y lo aprueba antes de publicarlo (apartado 2 quater).

Este procesamiento se realiza a través de Amazon Bedrock, dentro de la infraestructura de AWS en la Unión Europea. Conforme a las condiciones de dicho servicio, los datos enviados no se utilizan para entrenar modelos ni se comparten con los proveedores de los modelos para esa finalidad.

No se adoptan decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre las personas o que les afecten significativamente de modo similar (art. 22 RGPD), ni se elaboran perfiles. La plataforma sí aplica reglas automáticas que configura cada restaurante: si hay mesa libre según el aforo y el horario que él ha definido, la reserva queda confirmada de inmediato; si el restaurante ha activado la confirmación manual, queda pendiente de que él la valide; y si ha activado la reconfirmación, una reserva que el comensal no reconfirma dentro del margen fijado por el restaurante se libera automáticamente, cosa que siempre se avisa al comensal antes. Son cálculos de disponibilidad sobre parámetros fijados por una persona, no una valoración del comensal. En cualquier caso, el comensal puede reservar por teléfono y hablar directamente con el restaurante.

2 quater. Sitios web de los restaurantes en subdominios de taula.ai

Cada restaurante cliente puede tener un sitio web publicado en un subdominio de taula.ai con el nombre de su negocio (por ejemplo, tunombre.taula.ai) o, en el plan Pro, en su propio dominio. El contenido de ese sitio —textos, fotografías, carta, horarios y datos de contacto— lo decide y lo aprueba el restaurante, que es su responsable frente a quien lo visita (la plantilla, el código y el diseño del sitio son de taula.ai, en régimen de alquiler, según el apartado 9 de las Condiciones) y debe identificarse en él con su propio aviso legal y su propia política de privacidad, con los datos que facilita a taula.ai al darse de alta. taula.ai lo aloja y lo mantiene como encargado del tratamiento por cuenta del restaurante, en las condiciones del Anexo de tratamiento de datos.

Quien visita uno de estos sitios no facilita datos personales salvo que reserve, en cuyo caso se aplica el apartado 2 bis. Para servir la página y protegerla de abusos, el servidor trata de forma temporal la dirección IP del visitante, en las mismas condiciones y por el mismo interés legítimo que en el Sitio Web (apartado 4).

Los archivos de estos sitios se guardan en AWS en la región eu-west-3 (París) y se sirven con Amazon CloudFront, como se explica en el apartado 6.

2 quinquies. Contactos comerciales y sistema de gestión de clientes (CRM)

Qué datos y de dónde. Cuando un restaurante o un profesional contacta con el Responsable (por correo electrónico o por teléfono, o, mientras estuvo disponible, con la casilla opcional de contacto de la previsualización de la web), o responde a un contacto suyo, el Responsable guarda en su sistema de gestión de clientes (CRM) el nombre del negocio, el nombre y los datos de contacto profesional de la persona, el registro de las conversaciones y el origen del contacto: la página o la campaña de la que venía. Cuando el contacto llega por un formulario web que lo envía directamente al CRM (en taula.ai, el formulario de contacto y el de petición de demo y, mientras estuvo disponible, la casilla de la previsualización), el CRM guarda además, en todos los formularios que recibe y no solo en los que llevan una casilla marcada, la dirección IP y el navegador (el identificador que envía el navegador, o «user agent») desde los que se envió, y usa la dirección IP en un contador de envíos por minuto. Cuando entra un contacto nuevo, el CRM envía un aviso por correo electrónico al buzón del Responsable. El CRM es propio del Responsable y se aloja en AWS en la región eu-west-3 (París).

Para qué y con qué base. Para atender la solicitud, que es una medida precontractual a petición del interesado (art. 6.1.b RGPD), y para hacer su seguimiento comercial. Quien marcó la casilla de contacto dio su consentimiento (art. 6.1.a RGPD); era opcional y no condicionaba nada más (art. 7.4 RGPD), y puede retirarlo cuando quiera escribiendo a hola@taula.ai. En los demás casos, el seguimiento se basa en el interés legítimo del Responsable en responder a quien se ha dirigido a él (art. 6.1.f RGPD), y el interesado puede oponerse en cualquier momento. Por correo electrónico, el Responsable solo envía comunicaciones comerciales a quien las ha pedido o ha consentido (art. 21 LSSI). Los datos del origen responden al interés legítimo de saber qué canales funcionan. La dirección IP y el navegador de los formularios se guardan por seguridad —limitar los envíos masivos, detectar los automáticos e investigar abusos— y para poder acreditar cuándo y desde dónde se envió el formulario y se dio el consentimiento (art. 7.1 RGPD), por el interés legítimo del Responsable (art. 6.1.f RGPD); se conservan con el contacto, en los plazos de este apartado. El contador por minuto caduca a los pocos minutos y el sistema lo borra automáticamente, normalmente en pocos días. La dirección IP y el navegador también quedan, con la hora y la dirección de la petición, en los registros técnicos del CRM (en AWS, en la misma región), que se borran solos a los catorce (14) días; si un envío se rechaza —por una clave incorrecta, por demasiados envíos en un minuto o porque parece automático—, esos registros son el único lugar donde quedan.

Cuánto tiempo. Mientras haya una conversación o una propuesta en curso y, si el contacto no termina en contrato, hasta dos (2) años desde el último contacto. Pasado ese plazo, o antes si el interesado retira el consentimiento, se opone o pide la supresión, los datos se suprimen del CRM, salvo los que deban conservarse bloqueados para atender posibles responsabilidades (art. 32 LOPDGDD). Si el interesado se da de alta en taula.ai, se aplican los plazos del apartado 5.

La previsualización pública, retirada. La previsualización de la web sin cuenta que había en la página «Tu web» ya no está disponible: la web se hace desde el panel, con una cuenta (apartado 2 ter). Las solicitudes de previsualización que se hicieron antes, con el teléfono, el correo y la dirección IP que iban unidos a ellas, caducan a los siete (7) días de la solicitud y, desde ese momento, no se usan para nada; el sistema las borra automáticamente poco después, normalmente en pocos días. El contador diario por dirección IP caducaba a los dos (2) días y se borra de la misma manera.

3. Finalidades del tratamiento

Los datos personales serán tratados para las siguientes finalidades:

• Atender las consultas, solicitudes de información o peticiones remitidas por el usuario, y hacer el seguimiento de los contactos comerciales (apartado 2 quinquies).
• Crear y gestionar la cuenta de usuario y permitir el acceso y uso de la plataforma taula.ai.
• Prestar los micro-servicios y herramientas contratados por suscripción y dar soporte al usuario.
• Publicar y mantener el sitio web del restaurante en el subdominio de taula.ai que le corresponde o, en el plan Pro, en su dominio.
• Gestionar la facturación, el cobro de la suscripción y el cumplimiento de las obligaciones contables, fiscales y administrativas aplicables.
• Remitir, en su caso, comunicaciones relacionadas con los servicios solicitados o contratados (avisos operativos, cambios en el servicio, etc.).

Hoy el Responsable no envía comunicaciones comerciales. Si en el futuro las envía a sus clientes sobre servicios propios similares a los contratados, lo hará al amparo del artículo 21.2 de la LSSI y de su interés legítimo (art. 6.1.f RGPD), y el cliente podrá oponerse en el momento del alta, desde su perfil en el panel y con el enlace de baja que llevará cada mensaje, de forma sencilla y gratuita.

4. Base jurídica del tratamiento

Las bases legales que legitiman el tratamiento de los datos son las siguientes:

• Consentimiento del interesado (art. 6.1.a RGPD), prestado al remitir el formulario de contacto o iniciar la comunicación con el Responsable, o al marcar la casilla opcional de contacto que tenía la previsualización de la web (apartado 2 quinquies).
• Ejecución de un contrato en el que el interesado es parte, o aplicación de medidas precontractuales a petición del mismo (art. 6.1.b RGPD), en particular para la creación de la cuenta y la prestación del servicio por suscripción.
• Cumplimiento de obligaciones legales aplicables al Responsable, en particular en materia fiscal, mercantil y contable (art. 6.1.c RGPD).
• Interés legítimo del Responsable en mantener la relación con el cliente, dar respuesta a comunicaciones recibidas, hacer el seguimiento de los contactos comerciales (apartado 2 quinquies), garantizar la seguridad de la plataforma —incluido el tratamiento temporal de la dirección IP de quien hace una reserva o consulta una carta en un contador que solo vale para la hora en curso, para evitar peticiones masivas y abusos; pasada esa hora el contador ya no se usa para nada y el sistema lo borra automáticamente, normalmente en pocos días—, guardar la dirección IP y el navegador de los formularios web que llegan al CRM para su seguridad y como prueba del consentimiento (apartado 2 quinquies) y conservar la documentación relativa a las mismas (art. 6.1.f RGPD).

5. Plazo de conservación

Los datos se conservarán durante el tiempo estrictamente necesario para cumplir con las finalidades para las que fueron recabados y, en todo caso, durante los plazos legalmente exigibles para atender posibles responsabilidades derivadas del tratamiento.

Las comunicaciones recibidas y los contactos comerciales que no deriven en una relación contractual se conservarán hasta dos años desde el último contacto (apartado 2 quinquies). Los datos vinculados a la cuenta y a la prestación de servicios se conservarán durante la vigencia de la relación contractual y, posteriormente, durante los plazos de prescripción de las acciones legales derivadas, así como los exigidos por la normativa fiscal, mercantil y contable (con carácter general, hasta seis años).

6. Destinatarios y cesiones

Los datos personales no se cederán a terceros, salvo obligación legal o cuando resulte estrictamente necesario para la prestación del servicio solicitado.

Para el desarrollo de su actividad, el Responsable recurre a los siguientes proveedores de servicios, que actúan como encargados del tratamiento, sujetos a las correspondientes obligaciones contractuales y a la normativa de protección de datos:

• Amazon Web Services EMEA SARL (AWS): infraestructura en la nube, base de datos, gestión de identidades, envío de correo y el CRM del Responsable. Los datos de reservas, de cuentas y del CRM, y el envío de correo, se tratan y almacenan en la región eu-west-3 (París); el correo entrante al dominio y el Sitio Web, con la página de reservas y la carta, en la región eu-west-1 (Irlanda); los sitios web de los restaurantes (apartado 2 quater), en la región eu-west-3 (París); y el procesamiento con modelos de inteligencia artificial (Amazon Bedrock, apartado 2 ter) se hace con perfiles de inferencia que solo usan regiones de AWS de la Unión Europea. Estos datos no se guardan fuera de la Unión Europea.
• Amazon CloudFront (AWS): la red de distribución de contenido de AWS, que sirve las páginas públicas (el Sitio Web, la página de reservas, la carta y los sitios web de los restaurantes) desde el punto de presencia más rápido para quien las visita. Los visitantes de la Unión Europea se atienden normalmente desde Europa, y los sitios web de los restaurantes solo se sirven desde puntos de presencia de Europa, América del Norte e Israel. Cuando quien visita una página se conecta desde fuera del Espacio Económico Europeo, su dirección IP y la petición pueden tratarse en un punto de presencia de fuera, solo para servirle la página. Esta transferencia se ampara en las decisiones de adecuación de la Comisión Europea (como las del Reino Unido, Suiza, Canadá e Israel, y el Marco de Privacidad de Datos UE-EE. UU., al que está adherida Amazon.com, Inc., con AWS) y en las cláusulas contractuales tipo de la adenda de tratamiento de datos de AWS.
• Stripe Payments Europe, Ltd. (Irlanda): procesamiento de pagos y facturación de las suscripciones, con tarjeta o con recibo domiciliado SEPA. Los datos de la tarjeta, el número de cuenta bancaria (IBAN) y el mandato SEPA son tratados directamente por Stripe; taula.ai no los almacena en sus sistemas. Además del pago de la suscripción, cuando el restaurante activa los anticipos de reserva, Stripe trata los datos de pago del comensal por cuenta del restaurante, que es el vendedor. taula.ai no accede a los datos de la tarjeta ni recibe ese dinero.
• Holded Technologies, S.L. (España): programa de facturación y contabilidad del Responsable. Recibe los datos de facturación de los clientes que pagan la suscripción (nombre o razón social, NIF, dirección, correo electrónico, conceptos e importes) para llevar la facturación y la contabilidad del Responsable. Los datos se alojan en la Unión Europea.
• Meta Platforms Ireland Ltd. (WhatsApp Business Platform): cuando el servicio esté disponible y únicamente si el restaurante activa en Avisos el recordatorio de reserva por WhatsApp, para enviarlo al comensal por cuenta del restaurante, como subencargado. Recibe el teléfono del comensal, el idioma del mensaje, el nombre del restaurante, el día y la hora de la reserva, su código (o, si no lo tiene, el número de personas) y el enlace personal de gestión de la reserva, con el que se puede cambiar o anular. Meta devuelve a taula.ai el estado de entrega del mensaje y, si el comensal responde, la respuesta: no se lee ni se guarda, y el comensal recibe, una sola vez al día, un aviso automático de que el número solo envía avisos, para el que se guarda durante dos (2) días un contador con su teléfono. Meta puede tratar estos datos fuera de la Unión Europea al amparo del Marco de Privacidad de Datos UE-EE. UU., al que está adherida Meta Platforms, Inc., y de las cláusulas contractuales tipo de sus condiciones de tratamiento de datos. Mientras el servicio no esté disponible, Meta no recibe ningún dato y los recordatorios se envían por correo electrónico.
• Google Ireland Ltd.: la API de Google Places, cuando el restaurante busca la ficha de su negocio al darse de alta o al hacerse la web desde el panel: recibe solo el nombre o el enlace del negocio que se escribe, nunca datos del comensal ni el teléfono o el correo de quien lo pide. Google Workspace, el buzón de correo del Responsable, donde llegan los correos dirigidos a hola@taula.ai y los avisos del CRM; Google puede tratar estos datos fuera de la Unión Europea al amparo del Marco de Privacidad de Datos UE-EE. UU. y de las cláusulas contractuales tipo. Asimismo, Google Analytics 4 con finalidad estadística en el sitio web, y solo si el visitante acepta las cookies analíticas; Google puede tratar estos datos fuera de la Unión Europea al amparo del Marco de Privacidad de Datos UE-EE. UU. y, en su caso, de las cláusulas contractuales tipo de la Comisión Europea. El detalle está en la Política de Cookies.
• Cal.com, Inc. (EE. UU.): el calendario donde se reserva la demo de treinta minutos, enlazado desde el Sitio Web a cal.com. Solo trata datos si el usuario abre el calendario y reserva una llamada: el nombre, el correo electrónico y lo que escriba en él. Las transferencias a EE. UU. se amparan en el Marco de Privacidad de Datos UE-EE. UU. y, subsidiariamente, en cláusulas contractuales tipo.

Se procurará que dichos proveedores estén ubicados en el Espacio Económico Europeo o, en su defecto, dispongan de garantías adecuadas de transferencia internacional conforme a los artículos 44 y siguientes del RGPD.

7. Derechos del interesado

El usuario podrá ejercer en cualquier momento los siguientes derechos:

• Acceso a sus datos personales.
• Rectificación de los datos inexactos o incompletos.
• Supresión de los datos cuando, entre otros motivos, ya no sean necesarios.
• Oposición al tratamiento por motivos relacionados con su situación particular.
• Limitación del tratamiento en los supuestos previstos legalmente.
• Portabilidad de los datos a otro responsable, cuando el tratamiento se base en el consentimiento o en un contrato.
• Retirada del consentimiento prestado, sin que ello afecte a la licitud del tratamiento previo.
• No ser objeto de decisiones individuales automatizadas, incluida la elaboración de perfiles, con efectos jurídicos.

Para ejercer estos derechos, el usuario podrá dirigirse por escrito al Responsable mediante correo electrónico a hola@taula.ai, indicando claramente el derecho que desea ejercer y adjuntando, en caso necesario, copia de su documento de identidad u otro medio que permita acreditar su identidad.

Si en el plazo de un mes no has recibido respuesta, o la respuesta no te satisface, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es).

8. Medidas de seguridad

El Responsable ha adoptado las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales y evitar su alteración, pérdida, tratamiento o acceso no autorizado, teniendo en cuenta el estado de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos.

No obstante lo anterior, el usuario reconoce que las medidas de seguridad en internet no son inexpugnables y que el envío de información a través de la red conlleva determinados riesgos asumidos por el propio usuario.

9. Veracidad de los datos

El usuario garantiza que los datos personales facilitados son veraces, exactos, completos y actualizados, y se compromete a comunicar cualquier modificación. El usuario será el único responsable de cualquier daño o perjuicio, directo o indirecto, que pudiera ocasionar al Responsable o a terceros como consecuencia de la facilitación de datos inexactos, incompletos o no actualizados.

10. Modificaciones

El Responsable se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o de su actividad. Las modificaciones surtirán efecto desde su publicación en el Sitio Web.