Política de privacidad

1. Quiénes somos y cómo contactarnos

No estamos obligados a nombrar un delegado de protección de datos. Para cualquier cuestión de privacidad escríbenos a info@restial.es; te contestará una persona.

Aplicamos el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y la Ley 34/2002 de servicios de la sociedad de la información (LSSI-CE).

2. Nuestros dos papeles: responsable y encargado

En resumen: de los datos de nuestros clientes y de las personas que usan Restial decidimos nosotros; de los datos de los comensales decide cada restaurante y nosotros solo seguimos sus instrucciones.

Somos responsables del tratamiento de los datos de las personas de contacto de los restaurantes clientes, de los usuarios del equipo que entran en el panel o en la app, y de quienes visitan restial.es o nos escriben. Esta política se ocupa sobre todo de esos datos.

Somos encargados del tratamiento de los datos de los comensales (reservas, fichas de cliente, preferencias, conversaciones, reseñas, pagos) que cada restaurante gestiona con Restial. Ahí el responsable es el restaurante: decide para qué se usan y cuánto tiempo se guardan, y nosotros los tratamos por su cuenta según el contrato de encargo del tratamiento. No los usamos para fines propios ni los compartimos entre restaurantes distintos.

Un ejemplo. Laura reserva mesa por WhatsApp en un restaurante que usa Restial. Su nombre, su teléfono y su alergia a los frutos secos son datos del restaurante, que es su responsable; nosotros los guardamos y procesamos para que el restaurante pueda atenderla. Marcos, camarero de ese restaurante, consulta la reserva en la app «Restial»: los datos de la cuenta de Marcos (su correo, su sesión, su dispositivo) los tratamos nosotros como responsables, para darle acceso y mantener el servicio seguro. Lo que el restaurante haga con los datos de Marcos como empleador (horarios, nómina) es asunto suyo y queda fuera de Restial.

Con los datos de uso del servicio podemos elaborar estadísticas agregadas y anónimas (por ejemplo, cuántas reservas se gestionan al mes en total) que no permiten identificar a ninguna persona ni a ningún restaurante.

3. Si eres cliente de un restaurante (comensal)

En resumen: tus datos son del restaurante. Él es el responsable y su política de privacidad es la que manda; Restial es la herramienta que usa.

Cuando reservas en la web de un restaurante, le escribes por WhatsApp o Instagram, te apuntas a su lista de espera o pagas una señal, el restaurante trata tus datos con Restial. Encontrarás su identidad y su política de privacidad en su web o en el propio formulario de reserva.

Por cuenta del restaurante tratamos, según lo que tú o el personal facilitéis: nombre, teléfono, correo e idioma; los datos de tus reservas y tus peticiones; preferencias, alergias e intolerancias; notas del personal; las conversaciones de WhatsApp o Instagram; los documentos que se adjunten a una reserva; los datos de pago necesarios (nunca el número completo de tu tarjeta) y, si el restaurante lo conecta, tus reseñas públicas en Google.

• Un restaurante con varios locales te reconoce en todos ellos. Tu ficha es de la organización (por ejemplo, un grupo con tres locales), no de un solo local. Restaurantes de organizaciones distintas nunca comparten tu ficha, aunque usen Restial.
• Las alergias e intolerancias se comparten en todos los locales del restaurante, para que cualquier equipo pueda atenderte con seguridad. Son datos de salud y el restaurante debe pedirte permiso expreso antes de guardarlas para próximas visitas.
• El asistente de WhatsApp e Instagram es una inteligencia artificial, y se presenta como tal. Puede consultar disponibilidad y gestionar tu reserva con las reglas del restaurante, pero no decide nada por su cuenta. Puedes pedir en cualquier momento hablar con una persona del restaurante.
• Los pagos (señales, prepagos y garantías con tarjeta) los procesa Stripe en la cuenta del propio restaurante. Tu tarjeta va directamente de tu navegador a Stripe; Restial solo guarda una referencia, el tipo y las últimas cifras (por ejemplo, «Visa ···· 4242») y los importes. Stripe trata tus datos según su política de privacidad.
• Si reservas desde Google (Reservar con Google), Google nos pasa un identificador temporal para informarle de que la reserva se completó; lo borramos en un máximo de 30 días.

Tus derechos los ejerces ante el restaurante. Si nos escribes a info@restial.es, trasladaremos tu petición al restaurante sin demora y le ayudaremos a responderte. El restaurante dispone en Restial de herramientas para exportar o borrar tu ficha.

4. Si eres cliente de Restial o usuario de un equipo

Este apartado se aplica a las personas de contacto de los restaurantes que contratan Restial, a los miembros de sus equipos que usan el panel o la app y a quienes visitan restial.es o nos escriben.

5. La app «Restial»

En resumen: la app solo usa lo necesario para funcionar. Sin publicidad, sin seguimiento y sin herramientas de analítica de terceros.

• Notificaciones: si las permites, tu dispositivo genera un identificador push que guardamos junto con la plataforma (iOS o Android), el idioma, la versión de la app y la fecha de la última conexión, para enviarte avisos del servicio a través de Apple (APNs) o Google (Firebase Cloud Messaging). Los avisos no incluyen nombres ni teléfonos de comensales.
• Cámara: solo se usa cuando tú decides hacer una foto, por ejemplo para adjuntar un documento a una reserva o cambiar tu foto de perfil.
• Fotos: las eliges con el selector del sistema; la app no accede al resto de tu galería.
• No usamos tu ubicación, tu micrófono ni tus contactos.
• Sesión: se guarda cifrada en el llavero (iOS) o en el almacén seguro (Android) del dispositivo. La app no guarda en el móvil copias de los datos de los comensales: los carga del servidor cada vez que los necesitas.
• Sin publicidad ni seguimiento: no usamos identificadores publicitarios ni combinamos tus datos con los de otras empresas, y la app no integra herramientas de analítica de terceros. El servidor anota de forma agregada qué días se usa cada cuenta, como en el panel (ver el apartado 6).
• Diagnóstico de fallos: si la app falla, podemos recibir un informe técnico (tipo de error, versión, sistema) que no está vinculado a ti: sin tu identidad, sin tu IP y sin capturas de pantalla.
• Actualizaciones: la app descarga sus actualizaciones a través de Expo, que recibe los datos técnicos imprescindibles de la petición (plataforma y versión).

Lo que ves y escribes en la app sobre reservas y comensales son datos del restaurante, que tratamos como encargados (ver el apartado 3). Esta descripción coincide con las etiquetas de privacidad que publicamos en App Store y Google Play.

6. Medición y analítica

• Métricas propias de uso. Contamos en nuestros servidores, en la UE, qué pantallas se usan, de forma agregada y sin identificar a la persona. Además anotamos los días en que cada cuenta usa Restial en cada organización y plataforma, para saber si el servicio se usa de verdad; ese dato se borra a los 25 meses y nunca se muestra a tu organización. No usamos herramientas de analítica de terceros. Puedes desactivar la medición de uso de la interfaz desde tu perfil, y la respetamos también si tu navegador envía la señal Global Privacy Control (GPC).
• Grabación de sesión (no activa hoy). Si algún día la activamos, será solo en el panel web, solo si tu organización la habilita y tú das tu consentimiento, con todos los textos y datos enmascarados, con un proveedor en la UE y con grabaciones borradas a los 30 días. Podrás retirar el consentimiento en cualquier momento.
• Cartas y webs públicas de los restaurantes. Por cuenta de cada restaurante contamos, de forma anónima y agregada, las visitas a la carta, los escaneos de QR y algunas interacciones. No usamos cookies, no guardamos la IP ni ningún identificador de visita y no relacionamos esos datos con reservas. Si tu navegador envía GPC no medimos nada, y en cada web puedes pulsar «No medir mi visita».

7. Inteligencia artificial

Restial usa modelos de inteligencia artificial en estas funciones, solo en los restaurantes que las tienen activas:

• Proveedor: Anthropic PBC (EE. UU.), modelos Claude, que actúa como subencargado con contrato de encargo y las garantías de transferencia del apartado 10. Según sus condiciones comerciales, Anthropic no usa los datos que le enviamos para entrenar sus modelos. Nosotros tampoco los usamos para entrenar modelos.
• Sin decisiones solo automatizadas con efectos jurídicos o igualmente significativos sobre nadie. El asistente no decide la disponibilidad ni cobra nada: las reservas pasan por el sistema de reservas con las reglas que configura el restaurante, y cualquier cargo por no presentarse lo hace siempre una persona.
• Las respuestas a reseñas son siempre borradores. Solo se publican cuando una persona del restaurante las revisa y pulsa publicar; ningún ajuste ni proceso automático puede publicarlas.
• Transparencia: el asistente se presenta como inteligencia artificial y puedes pedir hablar con una persona.

8. Datos de Google

Cuando un restaurante conecta su Perfil de Empresa de Google (Google Business Profile) a Restial, con la autorización de una persona con acceso a ese perfil, leemos: la lista de fichas y sus datos públicos (nombre, dirección, horario), las reseñas (nombre y foto pública de quien la escribe, puntuación, texto y fecha) y las respuestas y publicaciones existentes. Con esos datos mostramos las reseñas en el panel, preparamos borradores de respuesta y publicamos las respuestas y publicaciones solo cuando una persona del restaurante lo pide.

El uso que hace Restial de la información recibida de las API de Google cumple la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado: no la usamos para publicidad, no la vendemos, no la usamos para entrenar modelos de IA generales y solo la compartimos con los proveedores necesarios para prestar estas funciones.

Si el restaurante desconecta Google o desvincula un local, borramos el texto de las reseñas y los nombres y fotos de sus autores en un máximo de 30 días. Puedes revocar el acceso en cualquier momento desde la sección de integraciones de Restial o en myaccount.google.com/permissions.

9. Con quién compartimos los datos

No vendemos datos personales ni los cedemos con fines publicitarios. Los compartimos solo con:

• Proveedores que tratan datos por nuestra cuenta (encargados y subencargados): alojamiento y base de datos, almacenamiento de imágenes, correo transaccional, notificaciones push, inteligencia artificial, transporte de WhatsApp e Instagram, diagnóstico de errores, actualizaciones de la app y correo corporativo. Todos firman un contrato de encargo y les exigimos una protección de los datos equivalente a la de esta política. La lista completa, con su ubicación y garantías, está en Subencargados.
• Autoridades y tribunales, cuando una ley nos obligue.
• Un comprador o sucesor, si Restial se fusiona o se vende, que quedaría sujeto a esta política.

Algunos servicios que el restaurante conecta son terceros independientes que tratan los datos bajo sus propias condiciones y políticas:

• Stripe, para los pagos en la cuenta del restaurante: política de privacidad de Stripe.
• Google, para el Perfil de Empresa y Reservar con Google: política de privacidad de Google.
• Meta (WhatsApp e Instagram): política de privacidad de WhatsApp y política de privacidad de Meta.
• Square, para leer las ventas del TPV del restaurante (no guardamos datos de sus compradores): política de privacidad de Square.

10. Transferencias internacionales

Por defecto alojamos los datos en la Unión Europea: la base de datos y los archivos privados en Irlanda, las funciones del servidor en Dublín y las imágenes en la jurisdicción UE de nuestro proveedor de almacenamiento. Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo; en ese caso aplicamos estas garantías:

Puedes pedirnos una copia de las garantías aplicables escribiendo a info@restial.es.

11. Cuánto tiempo conservamos los datos

Los datos de los comensales los conservamos según las instrucciones de cada restaurante. Por defecto aplicamos, entre otros, estos plazos: conversaciones de WhatsApp e Instagram, 24 meses desde el último mensaje; menciones de Instagram, 90 días; avisos enviados a clientes, 90 días; entradas cerradas de la lista de espera, anonimizadas a los 30 días; estadísticas anónimas de la carta, 25 meses.

Si una organización deja Restial, puede exportar sus datos según lo previsto en los términos. Después borramos sus datos y los de sus comensales, salvo los que la ley nos obligue a conservar, que quedan bloqueados (art. 32 LOPDGDD) y solo a disposición de jueces y autoridades durante el plazo de prescripción. Las copias de seguridad desaparecen con su rotación.

12. Tus derechos y cómo ejercerlos

Respecto de los datos que tratamos como responsables, puedes ejercer en cualquier momento estos derechos:

• Acceso: saber si tratamos datos tuyos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos (muchos los puedes cambiar tú en tu perfil).
• Supresión: pedir que borremos tus datos (ver el apartado 13).
• Oposición: a tratamientos basados en el interés legítimo, como la medición de uso.
• Limitación: que conservemos los datos sin usarlos mientras se resuelve una reclamación.
• Portabilidad: recibir los datos que nos diste en un formato estructurado y de uso común.
• No ser objeto de decisiones solo automatizadas con efectos jurídicos o significativos (no tomamos ninguna).
• Retirar tu consentimiento cuando el tratamiento se base en él, sin que afecte a lo hecho antes.

Cómo: escríbenos a info@restial.es o por correo postal a Domicilio social, indicando el derecho que ejerces. Si no podemos confirmar que eres tú (por ejemplo, porque escribes desde un correo distinto al de tu cuenta), te pediremos lo mínimo para comprobarlo. Es gratuito y te responderemos en un mes, ampliable en dos meses más si la solicitud es compleja; si es así, te avisaremos dentro del primer mes.

Si eres comensal, tus derechos los atiende el restaurante (ver el apartado 3).

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos en aepd.es. Te agradeceremos que antes nos escribas para intentar resolverlo.

13. Eliminar tu cuenta

Puedes pedir que eliminemos tu cuenta desde la app «Restial» (Más → Cuenta → «Eliminar la cuenta») o por correo, aunque ya no tengas acceso. La borramos en un máximo de 30 días y te avisamos cuando esté hecho. Los datos de los comensales son del restaurante y no se borran con tu cuenta. Todos los detalles, en Eliminar tu cuenta de Restial.

14. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado de las comunicaciones (HTTPS) y de los datos almacenados; las credenciales de las integraciones se guardan cifradas aparte.
• Acceso por roles y por local: cada persona ve solo lo que su rol y sus locales permiten, y los datos de cada organización están separados de los de las demás.
• Archivos privados (como los adjuntos de reservas) en almacenamiento no público.
• Verificación en dos pasos para el personal de Restial con acceso a la plataforma, y registro de sus accesos.
• Registros de auditoría y registros técnicos sin datos personales de comensales.
• Copias de seguridad y proveedores con contrato de encargo y garantías de seguridad.

Si se produce una brecha de seguridad que afecte a datos personales, la notificaremos a la AEPD en un máximo de 72 horas cuando proceda y a las personas afectadas si existe un riesgo alto. Si afecta a datos de comensales, avisaremos al restaurante sin dilación para que pueda actuar.

15. Menores

Restial es un servicio profesional para restaurantes y no está dirigido a menores de 14 años. Los usuarios de los equipos deben tener la edad mínima para trabajar según la ley aplicable; el empleador responde de las cuentas que crea para su personal. Si crees que tenemos datos de un menor de 14 años sin autorización, escríbenos y los borraremos.

16. Cookies

En restial.es y en el panel solo usamos cookies y almacenamiento local técnicos o de preferencias (por ejemplo, para mantener tu sesión iniciada), que no necesitan consentimiento. No usamos cookies publicitarias ni de analítica de terceros. La app no usa cookies. Detalle completo en la Política de cookies.

17. Cambios en esta política

Podemos actualizar esta política cuando cambie el servicio o la ley. Si el cambio es relevante (por ejemplo, una nueva finalidad o un nuevo tipo de datos), te avisaremos por correo o en el panel y la app antes de que se aplique. Los cambios menores solo actualizan la fecha y el historial de versiones que aparece en esta página.