Política de privacitat

1. Responsable del tractament

• Identitat: Joan Sanfeliu Vilarrasa
• NIF: 79279716G
• Domicili: Barcelona, Espanya
• Correu electrònic: hola@taula.ai

En endavant, "el Responsable". Donada la naturalesa i el volum dels tractaments realitzats, no resulta exigible la designació d'un Delegat de Protecció de Dades. No obstant això, el Responsable atendrà personalment qualsevol consulta dirigida al correu electrònic indicat.

2. Dades personals objecte de tractament

El Responsable tracta únicament les dades personals estrictament necessàries per a les finalitats descrites en la present política. En concret:

• Formulari de contacte, petició de demo i comunicacions: nom, adreça de correu electrònic, nom del restaurant (opcional) i contingut del missatge que l'usuari decideixi facilitar voluntàriament en posar-se en contacte i, si ho indica, com ha conegut taula.ai; a la petició de demo, a més, la població, el telèfon i, si ho indica, com agafa avui les reserves. Tots dos formularis del Lloc Web envien aquestes dades al sistema de gestió de clients (CRM) del Responsable, juntament amb la pàgina des d'on s'envien, la pàgina de procedència i, si l'adreça els porta, els paràmetres de campanya (apartat 2 quinquies).
• Contactes comercials: nom del negoci, nom i dades de contacte professional de la persona, origen del contacte i registre de les converses i, si el contacte arriba per un formulari web, l'adreça IP i el navegador des d'on es va enviar, al sistema de gestió de clients (CRM) del Responsable (apartat 2 quinquies).
• Registre i ús de la plataforma: dades identificatives i del compte (nom, correu electrònic, credencials d'accés gestionades de manera segura) necessàries per crear i administrar el compte d'usuari al tauler de gestió (app.taula.ai) i prestar els serveis contractats, i les dades del negoci que el restaurant hi introdueix, com el nom i la fitxa de Google que tria en fer-se la web.
• Dades de facturació i pagament: dades identificatives, fiscals i de facturació necessàries per a la contractació del servei per subscripció, i el pla, la modalitat de pagament i, al pla Bàsic, el recompte mensual de reserves en línia. Les dades de pagament —les de la targeta o, si el client tria el rebut domiciliat, el número de compte bancari (IBAN) i el mandat SEPA— són gestionades directament pel proveïdor de pagaments Stripe; el Responsable no emmagatzema als seus sistemes les dades completes de la targeta ni l'IBAN. La facturació i la comptabilitat es porten amb Stripe i amb el programari Holded (apartat 6).

El Lloc Web pot utilitzar Google Analytics 4 amb finalitat exclusivament estadística, i només si el visitant ho accepta a l'avís de galetes: fins aleshores no s'instal·la cap galeta analítica. No es fan servir galetes de seguiment amb finalitats publicitàries ni s'elaboren perfils. Per a més informació, consulteu la Política de Galetes.

2 bis. Dades tractades per compte del restaurant (encarregat del tractament)

Aquesta és la part més important d'aquesta política i val la pena llegir-la a poc a poc, perquè aquí taula.ai no actua com a responsable.

Quan un restaurant fa servir la plataforma, s'hi registren dades personals dels seus comensals: nom, telèfon, adreça electrònica, idioma, nombre de persones, dia i hora de la reserva, taula assignada, historial de visites, absències, notes internes que hi escrigui el personal del restaurant i, si escau, al·lèrgies i intoleràncies alimentàries. Quan el servei estigui disponible i el restaurant l'activi, també el recordatori de la reserva que s'envia per WhatsApp (apartat 6).

D'aquestes dades, el responsable del tractament és el restaurant, que decideix què recull i per a què. taula.ai hi actua exclusivament com a encarregat del tractament (art. 28 RGPD), i les tracta només seguint-ne les instruccions i per prestar-li el servei contractat. Les condicions d'aquest encàrrec són a l'Annex de tractament de dades, que forma part del contracte amb cada client.

Les al·lèrgies i intoleràncies poden ser dades relatives a la salut (art. 9 RGPD). taula.ai ofereix el camp com a eina de servei, però correspon al restaurant tenir una base jurídica vàlida per recollir-les —normalment el consentiment explícit del comensal—, informar-lo i no registrar més informació de la necessària.

Terminis de conservació per compte del restaurant. Les reserves i les fitxes de client es conserven fins a 24 mesos des de l'última visita del comensal i s'eliminen automàticament cada nit passat aquest termini. Si un restaurant deixa de fer servir el servei, totes les seves reserves i fitxes de client s'eliminen 30 dies després, un cop passat el termini per recuperar-les. El restaurant pot demanar en qualsevol moment la supressió anticipada d'una fitxa concreta.

Si ets comensal i vols exercir els teus drets sobre aquestes dades, adreça't al restaurant on vas reservar, que és qui hi decideix. Si ens escrius a nosaltres, traslladarem la teva sol·licitud al restaurant i t'ho farem saber.

2 ter. Funcions basades en intel·ligència artificial

La plataforma fa servir models d'intel·ligència artificial en tres punts concrets:

• Lectura i traducció de la carta: quan el restaurant puja un PDF o una fotografia de la seva carta, es processa amb un model per treure'n plats i preus, i per generar-ne les versions en els idiomes que el mateix restaurant triï.
• Generació del lloc web del restaurant: quan el restaurant ho demana des del panell, en donar-se d'alta o més endavant, els textos del lloc web es redacten amb un model a partir de les dades del negoci que el restaurant confirma a l'alta, del text de la seva web actual si la indica, de la seva carta i de les fotografies que aporta. La fitxa de Google del negoci (que es busca amb l'API de Google Places) només serveix per proposar-li aquestes dades al formulari: al model no se li envia res de Google. Només es fa per a comptes amb el servei actiu. El Responsable no revisa l'esborrany abans de mostrar-lo: el restaurant el revisa, el pot tornar a generar i l'aprova abans de publicar-lo (apartat 2 quater).

Aquest processament es fa a través d'Amazon Bedrock, dins de la infraestructura d'AWS a la Unió Europea. D'acord amb les condicions d'aquest servei, les dades enviades no s'utilitzen per entrenar models ni es comparteixen amb els proveïdors dels models amb aquesta finalitat.

No es prenen decisions basades únicament en el tractament automatitzat que produeixin efectes jurídics sobre les persones o que les afectin significativament de manera similar (art. 22 RGPD), ni s'elaboren perfils. La plataforma sí que aplica regles automàtiques que configura cada restaurant: si hi ha taula lliure segons l'aforament i l'horari que ell ha definit, la reserva queda confirmada de manera immediata; si el restaurant ha activat la confirmació manual, queda pendent que ell la validi; i si ha activat la reconfirmació, una reserva que el comensal no reconfirma dins del marge fixat pel restaurant s'allibera automàticament, cosa que sempre s'avisa al comensal abans. Són càlculs de disponibilitat sobre paràmetres fixats per una persona, no una valoració del comensal. En qualsevol cas, el comensal pot reservar per telèfon i parlar directament amb el restaurant.

2 quater. Llocs web dels restaurants en subdominis de taula.ai

Cada restaurant client pot tenir un lloc web publicat a un subdomini de taula.ai amb el nom del seu negoci (per exemple, elteunom.taula.ai) o, al pla Pro, al seu propi domini. El contingut d'aquest lloc —textos, fotografies, carta, horaris i dades de contacte— el decideix i l'aprova el restaurant, que n'és el responsable davant de qui el visita (la plantilla, el codi i el disseny del lloc són de taula.ai, en règim de lloguer, segons l'apartat 9 de les Condicions) i s'hi ha d'identificar amb el seu propi avís legal i la seva pròpia política de privacitat, amb les dades que facilita a taula.ai en donar-se d'alta. taula.ai l'allotja i el manté com a encarregat del tractament per compte del restaurant, en les condicions de l'Annex de tractament de dades.

Qui visita un d'aquests llocs no hi facilita dades personals tret que hi reservi, i aleshores s'aplica l'apartat 2 bis. Per servir la pàgina i protegir-la d'abusos, el servidor tracta de manera temporal l'adreça IP del visitant, en les mateixes condicions i pel mateix interès legítim que al Lloc Web (apartat 4).

Els fitxers d'aquests llocs es desen a AWS a la regió eu-west-3 (París) i es serveixen amb Amazon CloudFront, com s'explica a l'apartat 6.

2 quinquies. Contactes comercials i sistema de gestió de clients (CRM)

Quines dades i d'on. Quan un restaurant o un professional contacta amb el Responsable (per correu electrònic o per telèfon, o, mentre va estar disponible, amb la casella opcional de contacte de la previsualització de la web), o respon a un contacte seu, el Responsable desa al seu sistema de gestió de clients (CRM) el nom del negoci, el nom i les dades de contacte professional de la persona, el registre de les converses i l'origen del contacte: la pàgina o la campanya d'on venia. Quan el contacte arriba per un formulari web que l'envia directament al CRM (a taula.ai, el formulari de contacte i el de petició de demo i, mentre va estar disponible, la casella de la previsualització), el CRM desa a més, en tots els formularis que rep i no només en els que porten una casella marcada, l'adreça IP i el navegador (l'identificador que envia el navegador, o «user agent») des d'on es va enviar, i fa servir l'adreça IP en un comptador d'enviaments per minut. Quan hi entra un contacte nou, el CRM n'envia un avís per correu electrònic a la bústia del Responsable. El CRM és propi del Responsable i s'allotja a AWS a la regió eu-west-3 (París).

Per a què i amb quina base. Per atendre la sol·licitud, que és una mesura precontractual a petició de l'interessat (art. 6.1.b RGPD), i per fer-ne el seguiment comercial. Qui va marcar la casella de contacte hi va donar el consentiment (art. 6.1.a RGPD); era opcional i no condicionava res més (art. 7.4 RGPD), i el pot retirar quan vulgui escrivint a hola@taula.ai. En la resta de casos, el seguiment es basa en l'interès legítim del Responsable a respondre qui s'ha adreçat a ell (art. 6.1.f RGPD), i l'interessat s'hi pot oposar en qualsevol moment. Per correu electrònic, el Responsable només envia comunicacions comercials a qui les ha demanades o hi ha consentit (art. 21 LSSI). Les dades de l'origen responen a l'interès legítim de saber quins canals funcionen. L'adreça IP i el navegador dels formularis es desen per seguretat —limitar els enviaments massius, detectar els automàtics i investigar abusos— i per poder acreditar quan i des d'on es va enviar el formulari i es va donar el consentiment (art. 7.1 RGPD), per l'interès legítim del Responsable (art. 6.1.f RGPD); es conserven amb el contacte, en els terminis d'aquest apartat. El comptador per minut caduca als pocs minuts i el sistema l'esborra automàticament, normalment en pocs dies. L'adreça IP i el navegador també queden, amb l'hora i l'adreça de la petició, als registres tècnics del CRM (a AWS, a la mateixa regió), que s'esborren sols als catorze (14) dies; si un enviament es rebutja —per una clau incorrecta, per massa enviaments en un minut o perquè sembla automàtic—, aquests registres són l'únic lloc on queden.

Quant de temps. Mentre hi hagi una conversa o una proposta en curs i, si el contacte no acaba en contracte, fins a dos (2) anys des de l'últim contacte. Passat aquest termini, o abans si l'interessat retira el consentiment, s'hi oposa o en demana la supressió, les dades se suprimeixen del CRM, tret de les que s'hagin de conservar bloquejades per atendre possibles responsabilitats (art. 32 LOPDGDD). Si l'interessat es dona d'alta a taula.ai, s'apliquen els terminis de l'apartat 5.

La previsualització pública, retirada. La previsualització de la web sense compte que hi havia a la pàgina «La teva web» ja no està disponible: la web es fa des del panell, amb un compte (apartat 2 ter). Les sol·licituds de previsualització que es van fer abans, amb el telèfon, el correu i l'adreça IP que hi anaven lligats, caduquen als set (7) dies de la sol·licitud i, des d'aquell moment, no es fan servir per a res; el sistema les esborra automàticament poc després, normalment en pocs dies. El comptador diari per adreça IP caducava als dos (2) dies i s'esborra de la mateixa manera.

3. Finalitats del tractament

Les dades personals es tractaran per a les finalitats següents:

• Atendre les consultes, sol·licituds d'informació o peticions trameses per l'usuari, i fer el seguiment dels contactes comercials (apartat 2 quinquies).
• Crear i gestionar el compte d'usuari i permetre l'accés i ús de la plataforma taula.ai.
• Prestar els micro-serveis i eines contractats per subscripció i donar suport a l'usuari.
• Publicar i mantenir el lloc web del restaurant al subdomini de taula.ai que li correspon o, al pla Pro, al seu domini.
• Gestionar la facturació, el cobrament de la subscripció i el compliment de les obligacions comptables, fiscals i administratives aplicables.
• Trametre, si s'escau, comunicacions relacionades amb els serveis sol·licitats o contractats (avisos operatius, canvis en el servei, etc.).

Avui el Responsable no envia comunicacions comercials. Si en el futur n'envia als seus clients sobre serveis propis semblants als contractats, ho farà a l'empara de l'article 21.2 de la LSSI i del seu interès legítim (art. 6.1.f RGPD), i el client s'hi podrà oposar en el moment de l'alta, des del seu perfil al panell i amb l'enllaç de baixa que portarà cada missatge, de manera senzilla i gratuïta.

4. Base jurídica del tractament

Les bases legals que legitimen el tractament de les dades són les següents:

• Consentiment de l'interessat (art. 6.1.a RGPD), prestat en trametre el formulari de contacte o iniciar la comunicació amb el Responsable, o en marcar la casella opcional de contacte que tenia la previsualització de la web (apartat 2 quinquies).
• Execució d'un contracte en què l'interessat és part, o aplicació de mesures precontractuals a petició del mateix (art. 6.1.b RGPD), en particular per a la creació del compte i la prestació del servei per subscripció.
• Compliment d'obligacions legals aplicables al Responsable, en particular en matèria fiscal, mercantil i comptable (art. 6.1.c RGPD).
• Interès legítim del Responsable a mantenir la relació amb el client, donar resposta a comunicacions rebudes, fer el seguiment dels contactes comercials (apartat 2 quinquies), garantir la seguretat de la plataforma —incloent-hi el tractament temporal de l'adreça IP de qui fa una reserva o consulta una carta en un comptador que només val per a l'hora en curs, per evitar peticions massives i abusos; passada aquella hora el comptador ja no es fa servir per a res i el sistema l'esborra automàticament, normalment en pocs dies—, desar l'adreça IP i el navegador dels formularis web que arriben al CRM per a la seva seguretat i com a prova del consentiment (apartat 2 quinquies) i conservar-ne la documentació (art. 6.1.f RGPD).

5. Termini de conservació

Les dades es conservaran durant el temps estrictament necessari per complir amb les finalitats per a les quals van ser recollides i, en tot cas, durant els terminis legalment exigibles per atendre possibles responsabilitats derivades del tractament.

Les comunicacions rebudes i els contactes comercials que no derivin en una relació contractual es conservaran fins a dos anys des de l'últim contacte (apartat 2 quinquies). Les dades vinculades al compte i a la prestació de serveis es conservaran durant la vigència de la relació contractual i, posteriorment, durant els terminis de prescripció de les accions legals derivades, així com els exigits per la normativa fiscal, mercantil i comptable (amb caràcter general, fins a sis anys).

6. Destinataris i cessions

Les dades personals no es cediran a tercers, llevat d'obligació legal o quan resulti estrictament necessari per a la prestació del servei sol·licitat.

Per al desenvolupament de la seva activitat, el Responsable recorre als següents proveïdors de serveis, que actuen com a encarregats del tractament, subjectes a les corresponents obligacions contractuals i a la normativa de protecció de dades:

• Amazon Web Services EMEA SARL (AWS): infraestructura al núvol, base de dades, gestió d'identitats, enviament de correu i el CRM del Responsable. Les dades de reserves, de comptes i del CRM, i l'enviament de correu, es tracten i s'emmagatzemen a la regió eu-west-3 (París); el correu entrant al domini i el Lloc Web, amb la pàgina de reserves i la carta, a la regió eu-west-1 (Irlanda); els llocs web dels restaurants (apartat 2 quater), a la regió eu-west-3 (París); i el processament amb models d'intel·ligència artificial (Amazon Bedrock, apartat 2 ter) es fa amb perfils d'inferència que només fan servir regions d'AWS de la Unió Europea. Aquestes dades no es desen fora de la Unió Europea.
• Amazon CloudFront (AWS): la xarxa de distribució de contingut d'AWS, que serveix les pàgines públiques (el Lloc Web, la pàgina de reserves, la carta i els llocs web dels restaurants) des del punt de presència més ràpid per a qui les visita. Els visitants de la Unió Europea són atesos normalment des d'Europa, i els llocs web dels restaurants només es serveixen des de punts de presència d'Europa, Amèrica del Nord i Israel. Quan qui visita una pàgina s'hi connecta des de fora de l'Espai Econòmic Europeu, la seva adreça IP i la petició es poden tractar en un punt de presència de fora, només per servir-li la pàgina. Aquesta transferència s'empara en les decisions d'adequació de la Comissió Europea (com les del Regne Unit, Suïssa, el Canadà i Israel, i el Marc de Privadesa de Dades UE-EUA, al qual està adherida Amazon.com, Inc., amb AWS) i en les clàusules contractuals tipus de l'addenda de tractament de dades d'AWS.
• Stripe Payments Europe, Ltd. (Irlanda): processament de pagaments i facturació de les subscripcions, amb targeta o amb rebut domiciliat SEPA. Les dades de la targeta, el número de compte bancari (IBAN) i el mandat SEPA els tracta directament Stripe; taula.ai no els desa als seus sistemes. A més del pagament de la subscripció, quan el restaurant activa les bestretes de reserva, Stripe tracta les dades de pagament del comensal per compte del restaurant, que n'és el venedor. taula.ai no accedeix a les dades de la targeta ni rep aquests diners.
• Holded Technologies, S.L. (Espanya): programari de facturació i comptabilitat del Responsable. Hi arriben les dades de facturació dels clients que paguen la subscripció (nom o raó social, NIF, adreça, correu electrònic, conceptes i imports) per portar la facturació i la comptabilitat del Responsable. Les dades s'allotgen a la Unió Europea.
• Meta Platforms Ireland Ltd. (WhatsApp Business Platform): quan el servei estigui disponible i només si el restaurant activa a Avisos el recordatori de reserva per WhatsApp, per enviar-lo al comensal per compte del restaurant, com a subencarregat. Rep el telèfon del comensal, l'idioma del missatge, el nom del restaurant, el dia i l'hora de la reserva, el seu codi (o, si no en té, el nombre de persones) i l'enllaç personal de gestió de la reserva, amb què es pot canviar o anul·lar. Meta retorna a taula.ai l'estat de lliurament del missatge i, si el comensal hi respon, la resposta: no es llegeix ni es desa, i el comensal rep, un sol cop al dia, un avís automàtic que el número només envia avisos, per al qual es desa durant dos (2) dies un comptador amb el seu telèfon. Meta pot tractar aquestes dades fora de la Unió Europea a l'empara del Marc de Privadesa de Dades UE-EUA, al qual està adherida Meta Platforms, Inc., i de les clàusules contractuals tipus de les seves condicions de tractament de dades. Mentre el servei no estigui disponible, Meta no rep cap dada i els recordatoris s'envien per correu electrònic.
• Google Ireland Ltd.: l'API de Google Places, quan el restaurant busca la fitxa del seu negoci en donar-se d'alta o en fer-se la web des del panell: només rep el nom o l'enllaç del negoci que s'escriu, mai dades del comensal ni el telèfon o el correu de qui ho demana. Google Workspace, la bústia de correu del Responsable, on arriben els correus adreçats a hola@taula.ai i els avisos del CRM; Google pot tractar aquestes dades fora de la Unió Europea a l'empara del Marc de Privadesa de Dades UE-EUA i de les clàusules contractuals tipus. I Google Analytics 4 amb finalitat estadística al lloc web, i només si el visitant accepta les galetes analítiques; Google pot tractar aquestes dades fora de la Unió Europea a l'empara del Marc de Privadesa de Dades UE-EUA i, si escau, de les clàusules contractuals tipus de la Comissió Europea. El detall és a la Política de Galetes.
• Cal.com, Inc. (EUA): el calendari on es reserva la demo de trenta minuts, enllaçat des del Lloc Web a cal.com. Només tracta dades si l'usuari obre el calendari i hi reserva una trucada: el nom, el correu electrònic i el que hi escrigui. Les transferències als EUA s'emparen en el Marc de Privadesa de Dades UE-EUA i, subsidiàriament, en clàusules contractuals tipus.

Es procurarà que aquests proveïdors estiguin ubicats a l'Espai Econòmic Europeu o, en el seu defecte, disposin de garanties adequades de transferència internacional conforme als articles 44 i següents del RGPD.

7. Drets de l'interessat

L'usuari podrà exercir en qualsevol moment els drets següents:

• Accés a les seves dades personals.
• Rectificació de les dades inexactes o incompletes.
• Supressió de les dades quan, entre altres motius, ja no siguin necessàries.
• Oposició al tractament per motius relacionats amb la seva situació particular.
• Limitació del tractament en els supòsits previstos legalment.
• Portabilitat de les dades a un altre responsable, quan el tractament es basi en el consentiment o en un contracte.
• Retirada del consentiment prestat, sense que això afecti la licitud del tractament previ.
• No ser objecte de decisions individuals automatitzades, inclosa l'elaboració de perfils, amb efectes jurídics.

Per exercir aquests drets, l'usuari es podrà adreçar per escrit al Responsable mitjançant correu electrònic a hola@taula.ai, indicant clarament el dret que vol exercir i adjuntant, en cas necessari, còpia del seu document d'identitat o un altre mitjà que permeti acreditar la seva identitat.

Si en el termini d'un mes no has rebut resposta, o la resposta no et satisfà, pots reclamar davant l'Agència Espanyola de Protecció de Dades (C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es).

8. Mesures de seguretat

El Responsable ha adoptat les mesures tècniques i organitzatives necessàries per garantir la seguretat de les dades personals i evitar-ne l'alteració, pèrdua, tractament o accés no autoritzat, tenint en compte l'estat de la tecnologia, la naturalesa de les dades i els riscos als quals estan exposades.

No obstant l'anterior, l'usuari reconeix que les mesures de seguretat a internet no són inexpugnables i que l'enviament d'informació a través de la xarxa comporta determinats riscos assumits pel mateix usuari.

9. Veracitat de les dades

L'usuari garanteix que les dades personals facilitades són verídiques, exactes, completes i actualitzades, i es compromet a comunicar-ne qualsevol modificació. L'usuari serà l'únic responsable de qualsevol dany o perjudici, directe o indirecte, que pogués ocasionar al Responsable o a tercers com a conseqüència de la facilitació de dades inexactes, incompletes o no actualitzades.

10. Modificacions

El Responsable es reserva el dret a modificar la present Política de Privacitat per adaptar-la a novetats legislatives, jurisprudencials o de la seva activitat. Les modificacions tindran efecte des de la seva publicació al Lloc Web.