Política de privacidad

1. Responsable del tratamiento

Sirvely es un nombre comercial de una empresa neerlandesa. Esa empresa es la responsable del tratamiento de los datos que se describen en esta política y decide, dentro de los límites que aquí se explican, para qué se utilizan.

Para ejercer cualquiera de los derechos que se explican más abajo, o simplemente para preguntarnos algo sobre esta política, escribid a info@sirvely.com o llamadnos al +31 85 060 4404. No hemos designado un delegado de protección de datos, así que todo lo relacionado con vuestros datos pasa por esa dirección de correo. Los datos de identificación de la empresa están también en el aviso legal.

2. A quién se dirige esta política

Alrededor de Sirvely hay tres grupos de personas y no todos están en la misma situación, de modo que conviene distinguirlos desde el principio.

Vosotros, como titulares del restaurante, sois nuestro cliente. De vuestra empresa y de la persona que firma el alta tratamos los datos que hacen falta para daros el servicio y para cobrarlo. En esa parte somos nosotros el responsable del tratamiento.

Vuestro personal utiliza la aplicación para trabajar. Sus datos los introducís vosotros y se tratan para que cada persona entre con su PIN, vea lo que le corresponde y pueda fichar la entrada y la salida.

Los clientes que se sientan en vuestras mesas escanean el QR y piden desde su propio teléfono, sin instalar ninguna aplicación y sin registrarse. No les pedimos nombre, teléfono ni ninguna otra cosa para poder pedir. Solo si reservan una mesa desde la carta nos dan su nombre, su correo y su teléfono; lo explicamos en el apartado 5.

Para los datos de vuestro personal y de los clientes de vuestras mesas, el responsable del tratamiento sois vosotros: es vuestro negocio el que decide qué carta se publica, qué empleados existen y qué se hace con los pedidos. Nosotros actuamos como encargado del tratamiento por cuenta vuestra, tratamos esos datos únicamente para prestaros el servicio y siguiendo vuestras instrucciones, y no los usamos para ninguna finalidad propia. Sois vosotros quienes debéis informar a vuestro equipo y a vuestros clientes de que trabajáis con un sistema de pedidos digital. Las obligaciones que asumimos como encargado, y que exige el artículo 28 del Reglamento General de Protección de Datos, están recogidas en el apartado 11 de las condiciones generales, que forman parte del contrato entre vuestro restaurante y nosotros.

3. Datos del restaurante y de su titular

Del negocio guardamos el nombre comercial, la dirección, el teléfono y el correo electrónico. De la persona titular guardamos su nombre y su correo electrónico, que es además el que se usa para entrar en el panel. Vuestro número de IVA no está en la aplicación: lo usamos únicamente en la factura y en nuestra contabilidad.

La cuota se paga con una tarjeta de crédito que vinculáis vosotros mismos desde el panel. Esa vinculación se tramita a través de Pay.nl y queda una autorización de cobro recurrente sobre la tarjeta. A Pay.nl no le enviamos vuestro nombre ni vuestro correo electrónico: solo le pasamos el importe, nuestras propias referencias internas y la dirección del servicio. Los cobros realizados y el estado de la suscripción los podéis consultar en cualquier momento en el panel, en https://app.sirvely.com. Si dais de baja la suscripción, la autorización sobre la tarjeta se desvincula y deja de haber cobros.

Para facturar necesitamos vuestro número de IVA. Si estáis establecidos en España y el número es válido, la operación va sin IVA neerlandés y el impuesto se liquida en España por inversión del sujeto pasivo; si estáis establecidos en los Países Bajos, la factura lleva el IVA neerlandés. Ese dato se trata para la facturación y para la contabilidad, y no para ninguna otra cosa. Las condiciones económicas están en las condiciones generales.

4. Datos del personal

De cada persona de vuestro equipo se guardan el nombre, el papel que tiene, los permisos que le habéis dado, el local en el que trabaja, los momentos en que entra en la aplicación y las horas de entrada y de salida que ficha. Esos datos existen porque sin ellos no se puede repartir el trabajo en sala ni saber quién ha atendido cada mesa.

Sobre el PIN queremos ser claros, porque afecta a vuestro equipo. El PIN con el que cada persona entra en la tablet se guarda cifrado y no como un resumen irreversible, y esto es así a propósito: el encargado tiene que poder volver a enseñarle el PIN a quien lo ha olvidado, y eso no sería posible con un resumen. Significa que el PIN puede volver a leerse dentro del sistema por quien tiene permiso para hacerlo. Por eso os pedimos que nadie de vuestro equipo utilice como PIN un número que también use para el banco, para el teléfono o para cualquier otra cosa de su vida privada.

5. Datos de los clientes del restaurante

Un cliente puede pedir sin darnos ningún dato: no hay registro, no hay cuenta y no hay ningún formulario con su nombre. Aun así, del uso normal de la carta nacen tres cosas que conviene que conozcáis.

La primera es un identificador del dispositivo. Cuando alguien abre la carta, su navegador guarda un código aleatorio que no dice nada de la persona y que sirve para que vosotros veáis cuántos teléfonos están pidiendo en la misma mesa y quién ha pedido qué dentro de esa mesa. Ese código no está conectado con ningún nombre, ningún teléfono y ninguna cuenta.

La segunda es la nota que el cliente puede escribir junto a un plato. Es un campo libre, pensado para cosas como «sin cebolla» o «poco hecho», y lo que se escriba ahí llega a la cocina y se queda guardado con el pedido. No hace falta escribir en esa nota datos de salud ni ningún dato personal, y os recomendamos que vuestro personal tampoco los pida por ahí: si un cliente escribe una alergia, ese texto se guarda igual que el resto del pedido y lo ve quien tenga acceso a la comanda.

La tercera es el correo electrónico, y solo aparece si el propio cliente pide que le mandemos el ticket. Esa dirección se utiliza únicamente para enviar ese ticket concreto, no se guarda en la base de datos, no se usa para escribirle nunca más y no se comparte con vosotros ni con nadie. De cada visita se guarda solamente cuántos tickets se han enviado, con un máximo de tres, para que nadie pueda usar esa función para mandar correo a terceros.

Hay una cuarta situación, y es la única en la que un cliente nos da su nombre: la reserva. Quien mira vuestra carta desde el enlace para compartir, sin estar sentado en una mesa, puede reservar mesa desde ahí. Para eso escribe su nombre, su correo electrónico y su teléfono, el día, la hora, cuántas personas son y cuánto tiempo piensan quedarse, y si quiere una observación. Esos datos se guardan con la reserva para que vosotros la veáis en el panel y podáis confirmarla o cancelarla, y el cliente recibe la confirmación por correo, en el idioma de su teléfono. Son datos de vuestro restaurante y los tratamos por cuenta vuestra, igual que el resto.

Si vinculáis vuestra propia cuenta de Mollie o de SumUp para que el cliente pueda pagar en línea desde la carta, el pago se hace en la página de ese proveedor y el dinero va directamente a vuestra cuenta con él. Nosotros no vemos los datos de la tarjeta del cliente ni recibimos el dinero; solo sabemos si el pago ha terminado bien. En esa relación Mollie o SumUp es vuestro proveedor, no el nuestro, y son sus condiciones y su política de privacidad las que se aplican al cliente.

6. Datos técnicos

Cada vez que alguien inicia sesión, junto a esa sesión se guardan la dirección IP desde la que ha entrado y los datos del navegador que utiliza. Sirven para reconocer un acceso extraño y para poder cerrar una sesión concreta, y desaparecen cuando la sesión caduca o se cierra. La dirección IP se utiliza además durante unos instantes en la memoria del servidor para limitar el número de peticiones y frenar los intentos de abuso, y es muy probable que quede registrada en los registros técnicos del servidor, como ocurre en cualquier servicio de internet.

En el panel de administración se guarda un registro de las acciones importantes, como crear un usuario o restablecer una contraseña, y en ese registro figura la dirección de correo de la persona afectada. Es lo que nos permite reconstruir después quién hizo qué.

Esta web informativa, https://www.sirvely.com, no instala ninguna cookie propia ni de terceros, no mide visitas, no lleva ningún píxel de publicidad y no carga tipografías, vídeos ni mapas de fuera. En vuestro navegador solo guarda que habéis leído el aviso informativo del pie, el idioma que habéis elegido y, si habéis llegado por el enlace de un partner, su código; ese código es lo único que llega a nuestra API desde esta web, una sola vez, para contar la visita. Las sesiones que sí existen son las de la aplicación y son estrictamente necesarias para manteneros dentro. Lo tenéis explicado con detalle en la página de cookies.

7. Con qué fines y con qué base legal

No tratamos ningún dato «por si acaso». Cada finalidad tiene su base legal y esta es la lista completa.

8. Quién más trata estos datos

Para prestar el servicio nos apoyamos en unos pocos proveedores. Todos ellos actúan como encargados del tratamiento, es decir, tratan los datos por cuenta nuestra, solo para lo que aquí se indica y sin poder usarlos para nada suyo. No vendemos datos, no los cedemos a terceros con fines publicitarios y no hay ninguna otra empresa mirando lo que ocurre en vuestras mesas.

Resend, Anthropic y Higgsfield son empresas de Estados Unidos, así que parte de estos tratamientos supone una transferencia de datos fuera del Espacio Económico Europeo. Esas transferencias se amparan en las cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando el proveedor está adherido al Marco de Privacidad de Datos UE-EE. UU., en esa decisión de adecuación. Pay.nl es una empresa neerlandesa. Si necesitáis saber con detalle dónde se trata un dato concreto, pedídnoslo por escrito a info@sirvely.com y os lo contamos.

9. Cuánto tiempo se conservan

Preferimos deciros lo que hay antes que prometer un plazo que hoy no se cumple. Los pedidos, las visitas de las mesas, las reservas, el registro de pedidos y los fichajes del personal no se borran solos: se conservan mientras seáis clientes de Sirvely, porque forman el historial de vuestro negocio y sois vosotros quienes lo consultáis. Cuando la relación termina, esos datos se eliminan a petición vuestra, y para eso basta con escribirnos a info@sirvely.com.

Los fichajes de entrada y salida se mantienen a propósito, incluso cuando una persona ya no trabaja con vosotros, porque son el registro de horas de vuestro restaurante y os pertenece a vosotros. Solo los borramos si nos lo pedís vosotros.

Las sesiones caducan solas y con ellas desaparecen la dirección IP y los datos del navegador que llevaban asociados. La dirección de correo a la que se envía un ticket no se guarda en ningún momento: de la visita queda solamente el número de tickets enviados. Los datos de facturación se conservan siete años, el plazo que la normativa fiscal neerlandesa, el artículo 52 de la Algemene wet inzake rijksbelastingen, impone a la empresa, aunque hayáis dejado de ser clientes.

10. Vuestros derechos

Cualquier persona cuyos datos tratemos puede pedirnos acceder a ellos, rectificarlos si son incorrectos, suprimirlos, limitar su tratamiento, oponerse a un tratamiento que se base en nuestro interés legítimo y recibir sus datos en un formato que pueda llevarse a otro sistema. Si un tratamiento se basa en un consentimiento, ese consentimiento se puede retirar en cualquier momento, sin que eso afecte a lo que se hizo antes.

Para ejercerlos, escribid a info@sirvely.com indicando qué queréis y desde qué restaurante escribís. Si la petición viene de un empleado o de un cliente de la mesa, el responsable de esos datos es el restaurante y por eso la petición se dirige a él; nosotros, como encargado, le damos el apoyo técnico que necesite para atenderla y le trasladamos cualquier solicitud que nos llegue a nosotros por error.

Si creéis que no hemos atendido bien vuestra solicitud, podéis presentar una reclamación ante la autoridad de control. En España es la Agencia Española de Protección de Datos, en www.aepd.es. En los Países Bajos, donde está establecida la empresa, es la Autoriteit Persoonsgegevens, en www.autoriteitpersoonsgegevens.nl. Agradecemos que antes nos escribáis a nosotros: casi siempre se resuelve sin necesidad de llegar hasta ahí.

11. Seguridad

Todo el tráfico entre los teléfonos, las tablets y nuestros servidores va por una conexión cifrada, y las cookies de sesión solo viajan por esa conexión, no son legibles desde el código de la página y no contienen ningún dato: son un código aleatorio del que no se puede deducir nada. Las sesiones tienen una validez limitada, de doce horas en el panel de administración y en la tablet del personal y de siete días en el panel del restaurante, y después hay que volver a entrar.

Dentro del restaurante, cada persona tiene los permisos que vosotros le habéis dado y ve solamente lo que le corresponde por su papel y por su local. Para montar vuestra carta o para ayudaros con una incidencia, nuestro equipo puede entrar en vuestra cuenta desde el panel de administración. Esa sesión dura como máximo cuatro horas y queda registrada, de modo que siempre se puede comprobar quién entró y cuándo.

12. Cambios en esta política

El servicio cambia, y esta política cambiará con él. La versión que se aplica es siempre la que esté publicada en https://www.sirvely.com/es/privacidad/, y la fecha de la última actualización aparece arriba del todo, justo debajo del título, para que podáis ver de un vistazo si algo se ha movido desde la última vez que la leísteis. Si un cambio afecta de verdad a cómo tratamos vuestros datos, lo veréis reflejado en esa fecha y en el texto de la sección correspondiente. Ante cualquier duda, escribidnos a info@sirvely.com.