Política de privacidad

1. Quién es el responsable

El responsable del tratamiento es Mattia Mellone, empresario individual, N.º de IVA IT07993850721, Via Martin Luther King 19 int. 10, 70124 Bari (BA), Italia. Para cualquier pregunta o solicitud sobre tus datos, escribe a privacy@menudetto.com.

2. Si visitas la web

Contamos las visitas con Cloudflare Web Analytics: páginas vistas, página de la que llegas, país, tipo de navegador y de dispositivo, tiempos de carga. La herramienta no usa cookies, no guarda nada en tu dispositivo y no te reconoce de una visita a otra: solo vemos totales. No funciona en las cartas publicadas por los locales ni en las páginas que se abren desde un correo con un código en la dirección (preferencias de los correos, nueva contraseña, invitación al equipo). Base jurídica: nuestro interés legítimo en saber qué páginas sirven (art. 6.1.f RGPD).

Las herramientas gratuitas —tabla de alérgenos, cálculo del escandallo, generador de códigos QR— funcionan en tu navegador: lo que escribes se queda en tu dispositivo y no nos llega. La herramienta «Descripciones de platos», en cambio, envía a nuestro servidor el nombre y la descripción del plato para redactar las propuestas con inteligencia artificial: no los guardamos en un archivo, y el resultado se queda como máximo 30 días en una memoria temporal que evita repetir la misma petición.

Formulario «Primeros 20 fundadores»: si dejas tu correo registramos la dirección, el idioma de la página, la fecha y tu consentimiento. Los necesitamos para guardarte la plaza, para enviarte el correo sobre el año de Pro (o el que te avisa de que las plazas se han agotado) y para reconocerte cuando crees la cuenta con el mismo correo, de modo que el año de Pro se active solo. Guardarte la plaza es un paso que nos pides antes del contrato (art. 6.1.b RGPD); el correo te lo enviamos solo con tu consentimiento (art. 6.1.a RGPD y art. 130 del Código italiano de privacidad), que puedes retirar cuando quieras desde el enlace al final del correo o escribiendo a privacy@menudetto.com.

3. Si creas una cuenta y usas la app

• Cuenta: correo, nombre (opcional), contraseña (guardada solo cifrada, como hash), idioma, la fecha en que aceptaste las condiciones y tus elecciones sobre los correos, con sus fechas. Si entras con Google o con Apple, el proveedor nos comunica el identificador de tu cuenta en su servicio y tu correo; tu contraseña no la vemos nunca.
• El local y las cartas: nombre y ciudad del local, la información pública que introduces (dirección, horarios, contactos), cartas, platos, precios, descripciones, alérgenos, fotos y logotipo, estilo, versiones publicadas y códigos QR.
• Asistente, chat y voz: los mensajes que escribes al asistente y los cambios que propone se quedan en la conversación, que se borra sola a los 30 días sin mensajes; los cambios que confirmas se quedan en la carta y en su historial. El audio que dictas solo sirve para transcribirlo: lo enviamos al servicio de transcripción y no lo conservamos.
• Facturas electrónicas (plan Pro): si subes el XML de una factura guardamos la razón social y el número de IVA del proveedor y las líneas de productos con sus precios. No leemos el IBAN, el teléfono ni la dirección del proveedor, y no conservamos el archivo. Una subida que no confirmas se borra sola a los 30 días.
• Equipo: el correo de las personas que invitas y el rol que les das. Una invitación caduca a los 7 días.
• Suscripción Pro: el pago lo gestiona Stripe. Nosotros no vemos ni guardamos los datos de la tarjeta: guardamos el identificador de cliente de Stripe y el estado de la suscripción (plan, renovación, cancelación).

Estos datos sirven para prestarte el servicio que has pedido (art. 6.1.b RGPD); los de los pagos, también para cumplir las obligaciones fiscales (art. 6.1.c).

De dónde llegas: cuando creas la cuenta registramos de dónde has llegado —el código de la invitación, si has seguido un enlace de invitación, o la campaña indicada en la dirección (parámetros utm) o el nombre del sitio por el que has pasado, si aparecieron en la misma visita. Nos sirve para entender qué canales traen a los hosteleros, por nuestro interés legítimo (art. 6.1.f); puedes oponerte escribiendo a privacy@menudetto.com. El código de invitación sirve también para darte el mes de Pro a ti y a quien te invitó.

Seguridad: para proteger el servicio registramos datos técnicos de las peticiones (fecha y hora, dirección llamada, resultado, errores, identificador de la cuenta) y usamos la dirección IP para los límites contra abusos (art. 6.1.f).

4. Los correos que te enviamos

Siempre activos: bienvenida, seguridad y contraseña, accesos vinculados, confirmación de cuenta eliminada, invitaciones al equipo, suscripción y pagos, fundadores, y los archivos de la carta que pides al publicar. Sirven al servicio y al contrato (art. 6.1.b) y no se pueden desactivar.

Avisos de la carta y Recordatorios: las consecuencias de algo que has hecho (los PDF tras una importación, los alérgenos aún por verificar, el resumen del mes de una carta publicada) y los recordatorios de un trabajo empezado. Están activados hasta que los desactivas, por nuestro interés legítimo en que aproveches bien el servicio que has elegido (art. 6.1.f): los desactivas con un toque desde el perfil o desde el enlace al final de cada correo.

Novedades del blog: un correo con los artículos nuevos, solo si lo has pedido (consentimiento, art. 6.1.a RGPD y art. 130 del Código italiano de privacidad). Está desactivado hasta que lo activas, y lo desactivas cuando quieras, desde el perfil o desde el enlace al final del correo.

Recordatorios y Novedades del blog llegan solo entre las 9 y las 19 (hora de Italia), nunca en domingo, y como máximo dos por semana en total.

5. Si lees una carta publicada

Quien escanea el QR de un local no se registra y no nos da datos que lo identifiquen. Contamos de forma anónima las aperturas de la carta y de los platos, los corazones y las listas preparadas en la mesa: solo totales por plato, que el local ve en la app. La lista y los corazones viven en la memoria de la pestaña del navegador y desaparecen al cerrarla. En las cartas publicadas no hay cookies ni herramientas de medición de terceros.

Si nos escribes a segnalazioni@menudetto.com para denunciar un contenido de una carta, usamos tu nombre, tu correo y lo que nos cuentas solo para examinar la notificación, responderte y decidir; al local le decimos qué se ha denunciado, y tu nombre solo si es estrictamente necesario. Lo hacemos para cumplir una obligación legal (art. 6.1.c RGPD y Reglamento (UE) 2022/2065) y conservamos la correspondencia el tiempo necesario para gestionar la notificación y una posible reclamación.

6. Los datos del personal y de los proveedores del local

Cuando un local usa Menudetto con datos de otras personas —los correos del personal que invita al equipo, los proveedores que aparecen en las facturas que sube—, el responsable de esos datos es el local. Menudetto los trata por su cuenta, como encargado del tratamiento (art. 28 RGPD), en las condiciones escritas en los Términos del servicio. Si eres una de esas personas puedes dirigirte al local; si nos escribes a nosotros, le trasladamos la solicitud.

7. Cookies y memoria del navegador

La web no usa cookies de perfilado ni cookies de terceros: por eso no te pedimos el consentimiento con un banner. Las cookies que puede haber son técnicas:

• md_src — solo la escribimos si llegas desde un enlace de invitación: contiene el código de la invitación y dura 90 días, para que la invitación valga aunque crees la cuenta otro día. En ningún otro caso la escribimos, y un md_src anterior al 25 de septiembre de 2026 con otro contenido se borra en la primera visita. Es una cookie técnica: sirve al programa de invitación que elegiste al abrir el enlace, así que no necesita consentimiento (art. 5.3 de la Directiva ePrivacy y art. 122 del Código italiano de privacidad); el código nos sirve para darte el mes de Pro de la invitación (art. 6.1.b RGPD).
• NEXT_LOCALE — recuerda el idioma de la web que has elegido, cuando es distinto del de tu navegador; se borra al cerrar el navegador.

En la memoria del navegador, que no es una cookie, guardamos: la sesión de la app, para seguir dentro hasta 7 días sin volver a entrar (se borra con «Salir»); las preferencias de la app, como la carta elegida; la conversación abierta con el asistente, en la pestaña; lo que escribes en las herramientas gratuitas; para quien lee una carta, la lista y los corazones de la pestaña. Cloudflare Web Analytics no usa ni cookies ni la memoria del navegador.

8. Los proveedores que tratan los datos por nuestra cuenta

• Microsoft Azure: servidores, base de datos, archivo de fotos y logotipos, registros, envío de correos (Azure Communication Services) e inteligencia artificial (Azure OpenAI Service: interpretación de las órdenes, propuestas de alérgenos, traducciones, transcripción de la voz, descripciones, lectura de las fotos de la carta). Los datos se conservan en la Unión Europea; las peticiones a la inteligencia artificial pueden ser procesadas por Microsoft también en otros países, y Microsoft no usa estos contenidos para entrenar los modelos.
• Stripe: el pago de la suscripción Pro.
• Cloudflare: el DNS de la web, el enrutamiento del correo que nos escribes y el recuento de visitas (Web Analytics).
• Google: el acceso con Google, si lo eliges, y el buzón (Gmail) en el que leemos los correos que nos escribes.
• Apple: el acceso con Apple, si lo eliges.

Para el acceso con Google o con Apple, lo que ocurre en su servicio se rige por sus propias políticas. No vendemos los datos ni los usamos para publicidad.

9. Datos fuera de la Unión Europea

Microsoft, Stripe, Cloudflare, Google y Apple pertenecen a grupos con sede en Estados Unidos, y la inteligencia artificial de Azure puede procesar las peticiones en otros países. Cuando los datos salen de la Unión Europea, la transferencia se basa en la decisión de adecuación de la Comisión Europea para las empresas adheridas al EU-U.S. Data Privacy Framework o en las cláusulas contractuales tipo aprobadas por la Comisión (arts. 45 y 46 RGPD).

10. Durante cuánto tiempo

La cuenta y los contenidos se conservan mientras la cuenta está activa. Cuando la eliminas (Ajustes → Eliminar mi cuenta) borramos de inmediato de la app la cuenta, los locales, las cartas, las versiones, los códigos QR, las fotos y las conversaciones, y las cartas publicadas dejan de funcionar. Si un local tiene otros miembros en el equipo, pasa a uno de ellos en lugar de borrarse.

Las copias de seguridad técnicas desaparecen solas: las de la base de datos en 35 días, las de fotos y archivos en 14 días. Los registros técnicos se borran a los 90 días. Las facturas de los pagos se quedan en Stripe para cumplir las obligaciones fiscales.

El correo dejado en el formulario de fundadores se conserva mientras lo necesite el programa, o hasta que nos pidas borrarlo. Los correos que nos escribes se conservan el tiempo necesario para responderte.

11. Tus derechos

Puedes pedirnos en cualquier momento acceder a tus datos, corregirlos, borrarlos, limitar su tratamiento, recibirlos en un formato legible por máquina y oponerte a los tratamientos basados en el interés legítimo (arts. 15–22 RGPD). Cuando el tratamiento se basa en el consentimiento puedes retirarlo cuando quieras, sin efectos sobre lo hecho antes.

Desde la app exportas tus datos (Ajustes → Exportar mis datos), eliminas la cuenta y eliges los correos. Para todo lo demás escribe a privacy@menudetto.com: respondemos en un plazo de un mes. También puedes presentar una reclamación ante la autoridad italiana de protección de datos (garanteprivacy.it) o ante la de tu país.

Menudetto no toma decisiones automatizadas con efectos jurídicos sobre ti: lo que propone la inteligencia artificial solo entra en la carta cuando lo confirmas.

12. Cambios

Si cambiamos esta política actualizamos la fecha al principio de la página. La versión italiana es la que da fe; los demás idiomas son traducciones de cortesía.