Política de privacidad

1. Quién es responsable de qué

Si eres comensal: el responsable es el restaurante cuya carta estás consultando. Es quien decide qué datos pide, para qué los usa y cuánto los guarda. Sus datos de contacto aparecen en la propia carta. Comandia actúa como encargado del tratamiento: trata esos datos únicamente siguiendo las instrucciones del restaurante y nunca para fines propios. Si quieres ejercer tus derechos, tu interlocutor es el restaurante.

Si eres restaurador: el responsable de los datos de tu cuenta, tu suscripción y tu soporte es:

• Denominación social: Bohemios Investment Group, S.L.
• Marca comercial: Comandia
• CIF: B19403617
• Domicilio social: Comunitat Valenciana, España
• Sitio web: comandia.es · Aplicación: app.comandia.es
• Contacto general: [email protected]
• Protección de datos: [email protected]

No se ha designado delegado de protección de datos por no concurrir los supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD. Esta valoración se revisa anualmente.

2. Datos del comensal

Consultar la carta no requiere registro. No se pide nombre, email ni teléfono, y no se crea ninguna ficha. Tu navegador guarda en tu propio dispositivo el idioma, tu decisión sobre cookies y, si lo usas, el filtro de alérgenos y dieta.

Reservar mesa: nombre (obligatorio), teléfono o email (al menos uno), fecha, hora, turno y número de comensales, preferencia de zona, idioma de los avisos y un campo libre de observaciones.

Pedir o avisar desde la mesa: identificador de la mesa, platos y cantidades, momento del aviso y la nota libre que escribas en cada plato. No se pide identificación, pero esa información queda asociada a tu mesa y a la hora.

Usar el asistente de recomendación: la ocasión, las restricciones alimentarias, un presupuesto o antojo y un texto libre.

3. Cómo funciona el asistente de recomendación

Merece explicarse con detalle, porque afecta a datos sensibles:

• La seguridad no la decide la inteligencia artificial. El servidor filtra primero, con reglas deterministas escritas en código, los platos que contienen los alérgenos que has marcado. Al modelo solo le llega el conjunto ya filtrado.
• Al modelo no se le envía ningún dato que te identifique. No recibe tu nombre, ni tu email, ni tu teléfono. Recibe la carta del restaurante y tu petición.
• Tus consultas no se guardan. Ni la pregunta ni la respuesta se almacenan. Solo se conserva un contador agregado de consultas por restaurante, para facturación, que no contiene el contenido de ninguna.
• El proveedor del modelo es Google (Gemini API), lo que implica una transferencia internacional. Ver el apartado 7.

4. Alergias y restricciones: datos de salud

Una alergia, una intolerancia o la celiaquía son condiciones de salud. El artículo 9 del RGPD las considera una categoría especial de datos y les da protección reforzada. Declarar «sin gluten» o «alergia al marisco» revela información sobre tu salud, aunque lo escribas en el contexto ordinario de pedir la comida. Marcar «vegetariano» o «vegano» puede revelar convicciones personales, protegidas por el mismo artículo, y recibe el mismo trato.

No todas las situaciones son iguales:

Cuando hay dato de salud, el tratamiento se basa en tu consentimiento explícito (artículos 6.1.a y 9.2.a del RGPD), que das al escribir voluntariamente esa información en un campo que te advierte de lo que va a ocurrir con ella. Puedes retirarlo en cualquier momento. El tratamiento es además necesario para que el restaurante cumpla su obligación de informarte sobre alérgenos (Reglamento (UE) 1169/2011).

5. Datos del restaurador

Comandia no almacena números de tarjeta. Los datos de pago los trata directamente Stripe, que cumple el estándar PCI-DSS.

6. Bases jurídicas del tratamiento del comensal

7. Destinatarios y transferencias internacionales

Los datos no se venden ni se ceden a terceros para fines propios. Los tratan, como encargados o subencargados, los proveedores que hacen funcionar el servicio:

Esas transferencias se amparan en:

• las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914;
• para los proveedores adheridos, el Marco de Privacidad de Datos UE-EE. UU. (Decisión de adecuación de 10 de julio de 2023);
• medidas técnicas adicionales de cifrado en tránsito y minimización — en particular, al modelo de IA no se le transmite ningún dato identificativo.

Puedes solicitar copia de las garantías en [email protected].

8. Plazos de conservación

Vencido el plazo, los datos se suprimen o se anonimizan de forma irreversible. Mientras tanto pueden quedar bloqueados a disposición de las administraciones competentes, conforme al artículo 32 de la LOPDGDD.

9. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento en cualquier momento.

Si eres comensal, dirígete al restaurante, que es el responsable. Si no localizas su contacto, escribe a [email protected] y trasladaremos tu solicitud al restaurante que corresponda en un plazo máximo de 5 días hábiles.

Si eres restaurador, escribe a la misma dirección. Responderemos en el plazo de un mes, prorrogable por dos meses más si la solicitud es compleja, en cuyo caso te lo comunicaremos.

Cómo te identificamos si nunca te registraste. Como no se crea ninguna cuenta, normalmente no conservamos información suficiente para saber quién eres. El artículo 11 del RGPD permite al responsable no atender la solicitud si no puede identificarte, salvo que aportes datos adicionales. Para localizar tu registro, indícanos el localizador de la reserva o el email o teléfono que usaste, o bien la fecha, la hora y la mesa del servicio. No te pediremos copia del DNI de entrada: solo lo mínimo necesario.

Si consideras que el tratamiento no se ajusta a la normativa, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid), www.aepd.es, sin perjuicio de acudir a los tribunales.

10. Decisiones automatizadas

No se toman decisiones automatizadas que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar (art. 22 del RGPD). El asistente sugiere platos: no decide nada sobre ti, no te clasifica ni elabora un perfil. El filtro de alérgenos es una regla determinista que oculta platos, no una valoración de tu persona.

11. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo: cifrado en tránsito, contraseñas almacenadas con funciones de derivación de clave, control de acceso por roles, aislamiento entre organizaciones mediante seguridad a nivel de fila en la base de datos, infraestructura sin puertos públicos expuestos, registro de eventos y copias de seguridad.

Si se produjera una violación de seguridad que suponga un riesgo para tus derechos, lo comunicaremos sin dilación indebida y lo notificaremos a la autoridad de control en el plazo de 72 horas cuando proceda.

12. Menores

El servicio se dirige a personas mayores de 14 años. Si un menor de esa edad necesita hacer una reserva, debe hacerlo su madre, padre o tutor.

13. Información relacionada

Consulta también el Aviso legal, la Política de cookies y, si eres restaurador, el Contrato de encargo del tratamiento.