Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recabados a través de reservamesas.com es:

• Titular: Ruben Lopez Angos (JDG, autónomo polaco)
• NIP: 8943275393
• Domicilio fiscal: ul. Na Ostatnim Groszu 3, 54-207 Wrocław, Polonia
• Contacto en materia de protección de datos: info@rubenloan.com

2. Doble rol del titular: responsable y encargado

ReservaMesas opera con dos roles distintos según la categoría de datos:

• Como responsable del tratamiento: respecto a los datos de los usuarios del panel de gestión (titulares y empleados de restaurantes que se dan de alta para usar la plataforma): email, nombre, rol, dispositivos y logs técnicos asociados a su cuenta.
• Como encargado del tratamiento: respecto a los datos de los clientes finales que un restaurante introduce o recibe a través de la plataforma (nombres y teléfonos de personas que reservan mesa, emails de contacto, alergias o preferencias). En estos casos, el responsable del tratamiento es el propio restaurante; ReservaMesas trata estos datos exclusivamente conforme a las instrucciones del restaurante y a lo previsto en el contrato de encargo de tratamiento incluido en los términos de servicio.

3. Datos que recabamos

Recabamos las siguientes categorías de datos personales:

• De los usuarios del panel: dirección de correo electrónico, nombre, rol asignado dentro del restaurante, datos técnicos de uso (logs de acceso, IP, navegador), cookie de sesión.
• De los clientes finales que reservan (introducidos por el restaurante o vía formulario público): nombre, teléfono, correo electrónico, fecha y hora de reserva, número de comensales, preferencia de zona, observaciones y, en su caso, alergias o intolerancias.
• De las llamadas con el asistente de IA (cuando esté activado): número entrante, transcripción de la llamada, grabación cuando proceda y resultado de la interacción.
• Datos de facturación: nombre fiscal, NIF/CIF, dirección, importe y método de pago de los planes contratados por el restaurante.

4. Bases jurídicas y finalidades

• Ejecución de un contrato (art. 6.1.b RGPD): alta y gestión de la cuenta, prestación del servicio, gestión de reservas, facturación y cobro.
• Obligaciones legales (art. 6.1.c RGPD): conservación de facturas y registros contables, cumplimiento fiscal.
• Interés legítimo (art. 6.1.f RGPD): seguridad de la plataforma, prevención de fraude, mantenimiento técnico, mejora del servicio.
• Consentimiento del interesado (art. 6.1.a RGPD): únicamente para envíos comerciales no esenciales y para cualquier finalidad que se solicite de forma específica.

5. Plazos de conservación

• Datos de la cuenta: mientras la cuenta permanezca activa y hasta 12 meses después de la baja, salvo que la ley imponga un plazo mayor.
• Datos de reservas: 4 años desde la fecha de la reserva, en cumplimiento de obligaciones contables y fiscales (Ley 58/2003 General Tributaria y normativa polaca equivalente).
• Logs técnicos y de seguridad: 12 meses.
• Grabaciones y transcripciones de llamadas con el asistente de IA: 90 días desde la llamada, salvo que el restaurante haya configurado un plazo inferior.
• Datos de facturación: 5 años desde la última operación, conforme a la legislación fiscal.

6. Destinatarios y encargados de tratamiento

Para prestar el servicio utilizamos proveedores que actúan como encargados de tratamiento. Todos ellos están vinculados por contratos de encargo y aplican medidas de seguridad equivalentes:

• Hetzner Online GmbH (Alemania) — infraestructura de servidores.
• Turso (ChiselStrike, Inc.) — base de datos (servidores en la UE, AWS eu-west-1).
• Cloudflare, Inc. — DNS, CDN y almacenamiento de archivos (R2). Existe un acuerdo de transferencia internacional basado en cláusulas contractuales tipo de la Comisión Europea.
• Resend Inc. — envío de correos transaccionales.
• Vapi Labs, Inc. — asistente telefónico de IA (cuando el restaurante lo active).

Salvo obligación legal, no cedemos datos a otros terceros sin el consentimiento expreso del interesado.

7. Derechos del interesado

Toda persona cuyos datos sean tratados por ReservaMesas tiene derecho a:

• acceder a sus datos personales;
• solicitar su rectificación cuando sean inexactos o incompletos;
• solicitar su supresión cuando ya no sean necesarios;
• solicitar la limitación del tratamiento;
• oponerse al tratamiento basado en interés legítimo;
• solicitar la portabilidad de sus datos;
• retirar el consentimiento prestado, sin efectos retroactivos.

Para ejercitar estos derechos, envía una solicitud a info@rubenloan.com acreditando tu identidad. Cuando los datos sean tratados por encargo de un restaurante (clientes finales), redirigiremos la solicitud al responsable correspondiente.

Si consideras que tus derechos no han sido respetados, puedes presentar una reclamación ante la autoridad de control polaca (Urząd Ochrony Danych Osobowych — www.uodo.gov.pl) o, en su caso, ante la autoridad equivalente de tu país de residencia (en España, la Agencia Española de Protección de Datos — www.aepd.es).

8. Seguridad

ReservaMesas aplica medidas técnicas y organizativas apropiadas para proteger los datos personales contra el acceso no autorizado, la pérdida o la alteración. Entre ellas: cifrado TLS en todas las comunicaciones, autenticación por código de un solo uso (OTP), tokens de sesión firmados, separación lógica de datos por restaurante (multi-tenancy con guardas a nivel de aplicación), copias de seguridad periódicas, firewall, anti-DDoS y monitorización continua.

9. Cookies

ReservaMesas utiliza exclusivamente una cookie técnica esencial (de sesión, identificada como reservamesas_session) que es necesaria para mantener la autenticación del usuario. No se utilizan cookies de seguimiento, analítica ni publicidad. Por este motivo, conforme al artículo 22.2 de la LSSI y a la guía de cookies de la AEPD, no se requiere consentimiento previo para su instalación. Más detalle en la política de cookies.

10. Cambios en esta política

Esta política podrá actualizarse para reflejar cambios legales, técnicos u operativos. Cualquier modificación sustancial será comunicada a los usuarios registrados con al menos 15 días de antelación a su entrada en vigor.