Política de privacidad

1. Quién es responsable de sus datos

KuKA está operado por [LEGAL ENTITY NAME], con número de identificación fiscal (NIPC) [NIPC] y domicilio social en [REGISTERED ADDRESS], Portugal ("KuKA", "nosotros").

Contacto para cualquier cuestión de privacidad: support@getkuka.com. Delegado de protección de datos: [DPO CONTACT - IF APPOINTED].

Nuestro papel depende de la situación:

• Responsable del tratamiento de los datos de los visitantes de nuestros sitios web, de las personas que solicitan la demo, de los clientes empresariales y sus administradores, de los datos de facturación, de los registros de seguridad y operativos y de las estadísticas de la página de inicio.
• Encargado del tratamiento de los datos que un restaurante o franquicia (nuestro cliente empresarial) introduce en KuKA o genera a través de KuKA sobre sus comensales, pedidos y personal. En ese caso, el restaurante es el responsable del tratamiento y nosotros actuamos siguiendo sus instrucciones documentadas, tal como se establece en las condiciones de tratamiento de datos de la sección 10 de los Términos del servicio para socios.

Si es usted comensal y tiene alguna pregunta sobre su pedido o su cuenta, consulte primero al restaurante.

2. Ámbito de esta política

Esta política abarca los sitios web de KuKA (getkuka.com, www.getkuka.com) y la aplicación KuKA (app.getkuka.com), incluidas las páginas de registro y de demo, el backoffice, las pantallas del personal y las páginas para comensales que se abren desde un código QR en una mesa. KuKA está disponible en inglés, portugués europeo, portugués de Brasil, francés, español, neerlandés, alemán, italiano, chino simplificado y japonés. Las distintas versiones pretenden tener el mismo significado.

No abarca los sitios web ni los servicios gestionados por terceros a los que enlazamos o a los que usted accede desde KuKA, como Stripe Checkout. En ellos se aplican sus propias políticas.

3. Qué datos recogemos

Visitantes de nuestros sitios web

• Datos técnicos que envía su navegador al cargar una página: dirección IP, tipo de navegador y de dispositivo (user agent), dirección solicitada, fecha y hora. Nuestros servidores y componentes de red los registran en los registros operativos.
• Estadísticas de la página de inicio: un identificador aleatorio de visitante (almacenado en una cookie), la variante de prueba que se le ha mostrado (A o B), la ruta de la página, el sitio de procedencia, las etiquetas de campaña (utm_source, utm_medium, utm_campaign), los clics en nuestros principales botones de llamada a la acción y si se ha enviado una solicitud de demo o se ha creado una demo. Las solicitudes que se identifican como bots o vistas previas de enlaces no se registran como visitas.
• Su preferencia de idioma y una indicación aproximada del país facilitada por el borde de nuestra red (cabecera CF-IPCountry), que se utiliza únicamente para elegir un idioma predeterminado.

Personas que solicitan una demo

• Nombre completo, dirección de correo electrónico, nombre del local y una contraseña (almacenada solo como hash).
• La fecha y la versión de los Términos para socios que aceptó, y su casilla opcional "Quiero seguir el crecimiento de KuKA".
• Datos sobre la propia demo: cuándo se creó y cuándo caduca, su estado, los eventos de datos de ejemplo y su progreso en la visita guiada del producto.

Clientes empresariales y sus administradores

• Datos de la cuenta: nombre, dirección de correo electrónico, hash de la contraseña, zona horaria, rol y acceso a franquicias y restaurantes, estado de la cuenta, fecha de aceptación de los Términos para socios y estado de confirmación del correo electrónico.
• Datos empresariales: nombres de franquicias y restaurantes, menús, precios, imágenes, mesas, turnos y configuraciones que usted introduce. En el registro puede facilitarse opcionalmente un número de identificación fiscal portugués (NIF).
• Datos de facturación: referencias de cliente y de suscripción de Stripe, estado y fechas de la suscripción, nombre, dirección, número de identificación fiscal y correo electrónico de facturación introducidos en Stripe Checkout, número de factura, importes, líneas de IVA y estado de emisión y envío de la factura fiscal.
• Comunicaciones: correos electrónicos transaccionales (véase la sección 6) y mensajes que usted envía al soporte.

Personal del restaurante

• Datos de la cuenta creados por su empleador o por el administrador de la franquicia: nombre, dirección de correo electrónico, hash de la contraseña, rol y restaurantes a los que puede acceder.
• Registros operativos: acciones que realiza en la aplicación y que se registran asociadas a su usuario, por ejemplo, quién cerró la cuenta de una mesa.
• Registros de seguridad: un registro de auditoría de accesos con los eventos administrativos (como accesos concedidos o revocados, creación de SuperAdmin, tokens de recuperación y apertura de la consola de observabilidad), que incluye los identificadores y correos electrónicos del usuario que actúa y del usuario afectado, la franquicia o el restaurante en cuestión y la hora.

Comensales en una mesa

• KuKA no solicita nombre, correo electrónico, número de teléfono ni datos de la tarjeta de pago.
• Un identificador aleatorio de comensal (cookie), la mesa en la que se registró y cuándo, los artículos de su carrito, sus pedidos (artículos, cantidades, estado, hora, pagado o no pagado) y la cuenta resultante, así como el menú o la opción de precio fijo que se aplique.
• Los datos del navegador y de la red descritos en "Visitantes".

4. Para qué utilizamos los datos y con qué base jurídica

Cuando nos basamos en el interés legítimo, lo hemos ponderado frente a sus derechos. Puede oponerse (véase la sección 11).

No tomamos decisiones sobre usted basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o le afecten significativamente de modo similar. La prueba A/B solo cambia la versión de nuestra página de inicio que usted ve.

5. De dónde proceden los datos

• De usted, cuando rellena un formulario, utiliza la aplicación o se pone en contacto con nosotros.
• De su empleador o del administrador de la franquicia, que crea las cuentas del personal o invita a sus miembros.
• De su dispositivo y su navegador, de forma automática, a través de cookies y solicitudes al servidor.
• De Stripe, que nos informa del estado de una suscripción, de los pagos y de los datos de facturación introducidos en el proceso de pago.
• Del restaurante, en el caso de datos operativos como menús, precios y configuración de mesas relacionados con los comensales.

6. Quién recibe los datos

No vendemos datos personales. Solo los compartimos en la medida necesaria, con los siguientes destinatarios.

Nuestros propios administradores de la plataforma (SuperAdmins) pueden acceder a la plataforma para prestar soporte y garantizar la seguridad. Ese acceso está limitado por rol y las acciones administrativas quedan registradas.

7. Transferencias internacionales

Algunos de los destinatarios anteriores, en concreto Stripe, Resend, Google y Cloudflare, están o pueden estar ubicados en Estados Unidos, o pueden acceder a los datos desde allí. Cuando los datos personales salen del Espacio Económico Europeo, nos basamos en una decisión de adecuación de la Comisión Europea (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU. para destinatarios certificados) o en las cláusulas contractuales tipo adoptadas por la Comisión, junto con medidas complementarias cuando sea necesario. La ubicación de nuestro alojamiento se indica en la sección 6.

Puede solicitar una copia de las garantías aplicables escribiéndonos (sección 14).

8. Durante cuánto tiempo conservamos los datos

Conservamos los datos personales solo durante el tiempo necesario para la finalidad para la que se recogieron. A continuación figuran los plazos que podemos indicar con precisión. Para los demás, indicamos los criterios que aplicamos.

Una vez transcurrido el plazo de conservación, los datos se suprimen o se anonimizan de forma irreversible. Los datos necesarios para formular, ejercer o defender reclamaciones pueden conservarse hasta que se resuelva la reclamación.

9. Cómo protegemos los datos

Aplicamos medidas técnicas y organizativas adecuadas al riesgo. Entre las medidas que ya existen hoy en el producto se incluyen:

• Transporte cifrado: el sitio de producción se sirve mediante HTTPS y envía una cabecera HTTP Strict Transport Security.
• Las contraseñas se convierten en hash con el hasher de contraseñas de ASP.NET Core Identity y nunca se almacenan ni se devuelven en texto plano. Los tokens de acceso a la demo solo se almacenan como hashes. Los enlaces de restablecimiento de contraseña caducan al cabo de 1 hora.
• La cookie de inicio de sesión es HttpOnly y SameSite=Lax. Los formularios están protegidos frente a la falsificación de solicitudes entre sitios mediante tokens antifalsificación.
• Las claves utilizadas para proteger las cookies y los tokens (ASP.NET Core Data Protection) se almacenan en el servidor, separadas de la base de datos.
• El acceso se basa en roles y se limita a las franquicias y los restaurantes a los que se ha concedido acceso al usuario. Los cambios en los accesos administrativos se anotan en un registro de auditoría.
• Nuestra configuración de trazas elimina las sentencias de base de datos de los datos de las trazas. La consola de supervisión solo está disponible para administradores de la plataforma autenticados.
• Los datos de la tarjeta se introducen en las páginas alojadas por Stripe, no en KuKA.

Ningún sistema es completamente seguro. Si es probable que una violación de la seguridad de los datos personales suponga un riesgo para sus derechos, lo notificaremos a la CNPD en un plazo de 72 horas desde que tengamos conocimiento de ella e informaremos a las personas afectadas cuando la ley lo exija (arts. 33 y 34 del RGPD).

10. Cookies y tecnologías similares

Las cookies son pequeños archivos que se almacenan en su navegador. Solo utilizamos cookies y almacenamiento del navegador tal como se indica a continuación. No utilizamos cookies publicitarias ni cookies de seguimiento de terceros.

Cookies

Almacenamiento del navegador

Recursos de terceros

Nuestras páginas cargan fuentes y estilos de iconos desde Google Fonts y jsDelivr, y el script de SignalR desde cdnjs. Estos proveedores reciben su dirección IP y su user agent cuando su navegador solicita los archivos. No los utilizamos con fines publicitarios ni de seguimiento.

Sus opciones

Las cookies estrictamente necesarias no pueden desactivarse sin que el servicio deje de funcionar. Puede bloquear o eliminar las cookies en la configuración de su navegador; si lo hace, las dos cookies no esenciales no se utilizarán para estadísticas, y es posible que la aplicación le pida que vuelva a iniciar sesión o que pierda su carrito. Las cookies no esenciales indicadas anteriormente se limitan a estadísticas anónimas propias y pruebas A/B.

11. Sus derechos

En virtud del RGPD, usted tiene derecho a:

• Acceder a los datos personales que tenemos sobre usted y recibir una copia.
• La rectificación de los datos inexactos o incompletos.
• La supresión ("derecho al olvido") cuando ya no exista motivo para conservar los datos.
• La limitación del tratamiento en determinados casos.
• La portabilidad: recibir los datos que nos facilitó en un formato estructurado, de uso común y de lectura mecánica, cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados.
• Oponerse al tratamiento basado en el interés legítimo, por motivos relacionados con su situación particular.
• Retirar el consentimiento en cualquier momento, sin que ello afecte al tratamiento anterior (por ejemplo, la casilla opcional de novedades).
• No ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente de modo similar. No tomamos ese tipo de decisiones.

Para ejercer un derecho, escriba a support@getkuka.com. Es posible que le pidamos que confirme su identidad. Respondemos en el plazo de un mes; en casos complejos, el plazo puede prorrogarse otros dos meses como máximo y le indicaremos el motivo. El ejercicio de sus derechos es gratuito, salvo que una solicitud sea manifiestamente infundada o excesiva.

Si es usted comensal o miembro del personal, su solicitud sobre los datos que tratamos por cuenta de un restaurante podrá remitirse a ese restaurante, que es el responsable del tratamiento.

Reclamaciones. Tiene derecho a presentar una reclamación ante la autoridad de control: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, Portugal, www.cnpd.pt. También puede reclamar ante la autoridad del país de la UE en el que viva o trabaje. Si se encuentra en Brasil, también pueden aplicarse los derechos previstos en la Ley n.º 13.709/2018 (LGPD), que puede ejercer a través del mismo contacto.

12. Menores

KuKA es una herramienta empresarial y no está dirigida a menores de 16 años. No recogemos a sabiendas datos personales de menores. A los comensales no se les pregunta su edad ni su identidad; si hay un menor en la mesa, el restaurante es responsable de quién hace el pedido. Si cree que un menor nos ha facilitado datos, póngase en contacto con nosotros y los suprimiremos.

13. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el producto, en nuestros proveedores o en la ley. El número de versión y la fecha figuran al principio de esta página. Cuando un cambio sea sustancial, lo anunciaremos de forma destacada en el producto o en nuestro sitio web antes de que entre en vigor. Las versiones anteriores están disponibles previa solicitud.

14. Contacto

[LEGAL ENTITY NAME], [REGISTERED ADDRESS], Portugal. NIPC [NIPC].

Correo electrónico: support@getkuka.com. Delegado de protección de datos: [DPO CONTACT - IF APPOINTED].

Documentos relacionados: Términos del servicio para socios, Términos del servicio para comensales.