Política de Privacidad

Última actualización: [FECHA DE PUBLICACIÓN] Versión: 2.0

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recopilados a través del Servicio ALaCarte.Direct es:

DGK Group, SASU con un capital social de 10.000 euros RCS París 901 219 352 Domicilio social: 25 rue de Ponthieu, 75008 París, Francia N.º de IVA: FR 57 901 219 352

Delegado de Protección de Datos (DPO): Damien GOSSARD Contacto: [email protected]

2. Datos recopilados y finalidades

2.1 — Datos de los Clientes (restauradores)

Datos recopilados	Finalidad	Base jurídica
Identidad (apellidos, nombre, razón social, SIRET)	Creación y gestión de la cuenta, facturación	Ejecución del contrato
Datos de contacto (correo electrónico, teléfono, dirección)	Comunicación, soporte, facturación	Ejecución del contrato
Datos bancarios (IBAN, información de tarjeta a través de Stripe/GoCardless)	Cobro de las suscripciones y comisiones	Ejecución del contrato
Datos de conexión (credenciales, registros de acceso, dirección IP)	Seguridad del Servicio, trazabilidad	Interés legítimo
Datos de uso (funcionalidades activadas, estadísticas de uso)	Mejora del Servicio, soporte	Interés legítimo
Datos de facturación (historial de facturas, importes)	Obligaciones contables y fiscales	Obligación legal

2.2 — Datos de los Clientes Finales (consumidores)

Los datos de los Clientes Finales se recopilan cuando interactúan con las funcionalidades del Servicio activadas por el Cliente (restaurante):

Datos recopilados	Funcionalidad afectada	Finalidad	Base jurídica
Nombre, correo electrónico, teléfono	Tarjetas regalo, Click & Collect, Fidelidad, Ventajas para grupos	Ejecución del pedido/servicio	Ejecución del contrato (con el restaurante)
Historial de pedidos	Click & Collect, Pedido en mesa	Seguimiento del pedido, reclamaciones	Ejecución del contrato
Puntos / sellos de fidelidad	Fidelidad	Gestión del programa de fidelidad	Ejecución del contrato
Datos de pago (tratados exclusivamente por Stripe)	Pago en mesa, Click & Collect, Tarjetas regalo	Procesamiento del pago	Ejecución del contrato
Correo electrónico profesional	Ventajas para grupos	Verificación de la elegibilidad	Ejecución del contrato

ALCD trata estos datos en calidad de encargado del tratamiento en el sentido del RGPD, por cuenta del Cliente (restaurante), que sigue siendo el responsable del tratamiento frente a sus Clientes Finales. ALCD pone a disposición del Cliente las herramientas necesarias para cumplir con sus obligaciones en materia de datos personales (acceso, rectificación, supresión).

2.3 — Datos de navegación

Datos recopilados	Finalidad	Base jurídica
Cookies esenciales (sesión, autenticación, CSRF)	Funcionamiento del Servicio	Interés legítimo
Cookies analíticas (Google Analytics 4)	Medición de audiencia, mejora del Servicio	Consentimiento
Dirección IP, tipo de navegador, sistema operativo	Seguridad, compatibilidad técnica	Interés legítimo

3. Encargados del tratamiento

ALCD recurre a los siguientes encargados del tratamiento para el tratamiento de datos personales:

Encargado	Sede	Función	Datos tratados	Transferencia fuera de la UE	Garantías
OVH SAS	Roubaix, Francia	Alojamiento de los servidores y los datos	Todos los datos	No	—
Stripe Payments Europe Ltd	Dublín, Irlanda	Procesamiento de los pagos (Stripe Connect)	Datos de pago, identidad	Sí (EE. UU.)	EU-US Data Privacy Framework
GoCardless Ltd	Londres, Reino Unido	Domiciliaciones SEPA	IBAN, identidad del Cliente	No	Decisión de adecuación UK
Brevo (Sendinblue SAS)	París, Francia	Envío de correos electrónicos transaccionales y de marketing	Correo electrónico, apellidos, nombre	No	—
HubSpot Inc.	Cambridge, EE. UU.	CRM — gestión de la relación comercial	Identidad, datos de contacto, historial comercial	Sí (EE. UU.)	EU-US Data Privacy Framework
Google Ireland Ltd	Dublín, Irlanda	Analítica (Google Analytics 4)	Datos de navegación anonimizados, dirección IP truncada	Sí (EE. UU.)	EU-US Data Privacy Framework
Anthropic PBC	San Francisco, EE. UU.	Inteligencia artificial — asistencia y automatización	Datos contextuales de tratamiento	Sí (EE. UU.)	Cláusulas contractuales tipo

ALCD se asegura de que cada encargado del tratamiento presente garantías suficientes en cuanto a la aplicación de medidas técnicas y organizativas adecuadas, de conformidad con el artículo 28 del RGPD.

4. Transferencias de datos fuera de la Unión Europea

Algunos datos pueden transferirse a los Estados Unidos en el marco de los servicios prestados por Stripe, HubSpot, Google y Anthropic. Estas transferencias están reguladas por:

• el EU-US Data Privacy Framework (decisión de adecuación de la Comisión Europea del 10 de julio de 2023) para Stripe, Google y HubSpot, que están certificados en virtud de este marco
• las cláusulas contractuales tipo adoptadas por la Comisión Europea (decisión del 4 de junio de 2021) para Anthropic

ALCD verifica periódicamente la validez de estos mecanismos de transferencia y tomará las medidas necesarias en caso de invalidación.

5. Plazos de conservación

Categoría de datos	Plazo de conservación	Justificación
Datos de la cuenta del Cliente (restaurador) activa	Duración del contrato	Ejecución del contrato
Datos de la cuenta del Cliente tras la resolución	3 años	Prescripción civil (artículo 2224 del Código Civil francés)
Datos de facturación	10 años	Obligación contable (artículo L.123-22 del Código de Comercio francés)
Datos de los Clientes Finales (fidelidad)	24 meses tras la última actividad	Proporcionalidad
Datos de los Clientes Finales (pedidos)	5 años tras el último pedido	Prescripción contractual
Datos de los Clientes Finales (tarjetas regalo)	Validez de la tarjeta + 12 meses	Gestión de reclamaciones
Datos de aceptación de los documentos jurídicos	Ilimitado	Prueba de aceptación contractual
Registros de conexión	12 meses	Obligación legal (LCEN)
Cookies de sesión	Duración de la sesión	Funcionamiento técnico
Cookies analíticas	13 meses máximo	Recomendación de la CNIL
Datos de prospección comercial (HubSpot)	3 años tras el último contacto	Recomendación de la CNIL

Al expirar estos plazos, los datos se suprimen o anonimizan de forma irreversible.

6. Derechos de las personas afectadas

De conformidad con el RGPD (artículos 15 a 22), toda persona cuyos datos sean tratados dispone de los siguientes derechos:

• Derecho de acceso (artículo 15): obtener la confirmación de que los datos son tratados y recibir una copia
• Derecho de rectificación (artículo 16): corregir datos inexactos o incompletos
• Derecho de supresión (artículo 17): solicitar la supresión de los datos, sin perjuicio de las obligaciones legales de conservación
• Derecho a la limitación del tratamiento (artículo 18): restringir temporalmente el tratamiento
• Derecho a la portabilidad (artículo 20): recibir sus datos en un formato estructurado, de uso común y legible por máquina
• Derecho de oposición (artículo 21): oponerse al tratamiento basado en el interés legítimo, en particular con fines de prospección comercial
• Derecho a retirar el consentimiento en cualquier momento, cuando el tratamiento se base en el consentimiento

Cómo ejercer sus derechos

Para ejercer cualquiera de estos derechos, dirija su solicitud a:

• Correo electrónico: [email protected]
• Correo postal: DGK Group — DPO, 25 rue de Ponthieu, 75008 París, Francia

ALCD se compromete a responder en un plazo de treinta (30) días a contar desde la recepción de la solicitud. Este plazo podrá prolongarse dos meses en caso de complejidad o de un número elevado de solicitudes, en cuyo caso se informará al solicitante de dicha prolongación dentro del plazo inicial de 30 días.

Podrá solicitarse un documento de identidad en caso de duda razonable sobre la identidad del solicitante.

Clientes Finales (consumidores)

Los Clientes Finales cuyos datos se traten a través del Servicio deberán dirigirse en primer lugar al restaurante correspondiente (responsable del tratamiento). ALCD podrá tramitar directamente las solicitudes cuando el restaurante ya no esté en activo o no responda en un plazo razonable.

Reclamación ante la CNIL

En caso de desacuerdo persistente respecto al tratamiento de sus datos, dispone del derecho a presentar una reclamación ante la Commission Nationale de l'Informatique et des Libertés (CNIL — autoridad francesa de protección de datos):

• En línea: https://www.cnil.fr/fr/plaintes
• Por correo postal: CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia

7. Cookies y trazadores

7.1 — Cookies esenciales (sin consentimiento)

Estas cookies son estrictamente necesarias para el funcionamiento del Servicio. No pueden ser desactivadas:

Cookie	Finalidad	Duración
Sesión Laravel	Mantenimiento de la sesión del usuario	Duración de la sesión
XSRF-TOKEN	Protección contra ataques CSRF	Duración de la sesión
Cookie de preferencia de cookies	Memorización de su elección de cookies	13 meses

7.2 — Cookies analíticas (con consentimiento)

Estas cookies solo se depositan con su consentimiento previo:

Cookie	Proveedor	Finalidad	Duración
_ga, ga*	Google Analytics 4	Medición de audiencia anonimizada	13 meses

Google Analytics 4 está configurado con la anonimización de las direcciones IP activada. Los datos se alojan en la Unión Europea por defecto. El parámetro de consentimiento (Google Consent Mode v2) se utiliza para recopilar datos únicamente tras un consentimiento explícito.

7.3 — Gestión de sus preferencias

En su primera visita, un banner le propone aceptar o rechazar las cookies no esenciales. Puede modificar su elección en cualquier momento haciendo clic en el enlace «Gestionar cookies» presente en el pie de página del sitio.

El rechazo de las cookies analíticas no tiene ninguna incidencia en el uso del Servicio.

8. Seguridad de los datos

ALCD implementa las siguientes medidas técnicas y organizativas para proteger los datos personales:

• Cifrado en tránsito: todas las comunicaciones entre el navegador y nuestros servidores están cifradas mediante TLS/SSL (HTTPS)
• Cifrado en reposo: los datos sensibles (credenciales, datos bancarios) están cifrados en la base de datos
• Control de acceso: acceso a los datos restringido al personal autorizado, con autenticación reforzada
• Copias de seguridad: copias de seguridad diarias cifradas con una conservación de 7 días
• Actualizaciones de seguridad: aplicación regular de parches de seguridad en toda la infraestructura
• Pruebas de seguridad: revisiones de código y pruebas periódicas

9. Violación de datos

En caso de violación de datos personales en el sentido del artículo 33 del RGPD, ALCD se compromete a:

• Notificar a la CNIL en un plazo de 72 horas tras tener conocimiento, si la violación puede suponer un riesgo para los derechos y libertades de las personas afectadas
• Informar a las personas afectadas lo antes posible si la violación puede suponer un riesgo elevado para sus derechos y libertades
• Documentar toda violación en un registro interno, de conformidad con el artículo 33.5 del RGPD
• Informar al Cliente (restaurante) afectado, para que pueda cumplir con sus propias obligaciones de notificación como responsable del tratamiento

10. Modificaciones de la presente política

ALCD puede modificar la presente Política de Privacidad en cualquier momento. Las modificaciones sustanciales se comunicarán por correo electrónico o mediante notificación en el Servicio al menos treinta (30) días antes de su entrada en vigor.

La fecha de la última actualización figura en el encabezado del presente documento. La versión más reciente siempre está disponible en https://alacarte.direct/es/legals/confidentialite.

11. Contacto

Para cualquier pregunta relativa a la protección de sus datos personales:

• Correo electrónico: [email protected]
• Correo postal: DGK Group — DPO, 25 rue de Ponthieu, 75008 París, Francia
• Teléfono: +33 (0)7 82 82 00 27