Política de privacidad de Ospitera

1. Quiénes somos

Ospitera («Ospitera», «nosotros») decide cómo y para qué se usan los datos personales descritos aquí: somos su responsable. Versión 2026-11-05.

Preguntas y solicitudes sobre privacidad: support@ospitera.com.

No hemos designado un delegado de protección de datos según el RGPD, ya que no lo exige para nuestras actividades; la dirección anterior llega a la persona responsable de privacidad en Ospitera. Donde la ley de un país exige una persona designada (por ejemplo un oficial de protección de datos en Filipinas, un privacy officer en Nueva Zelanda o la persona responsable en Quebec), esa persona asume el papel. Donde un país exige un representante local, la parte 2 explica cómo lo cumplimos.

2. Qué cubre esta política

A quienes visitan ospitera.com y sus sitios de país; a quienes solicitan abrir un local o nos envían una pregunta; a los titulares de locales, su personal y sus personas de contacto, como usuarios del panel y de la pantalla de cocina y como nuestros clientes; a las personas que contactamos para ofrecer nuestro servicio (prospección comercial); y a cualquiera que nos escriba.

No cubre: a los clientes que piden en la tienda de un local. El local es responsable de esos datos y los explica en su propio aviso de privacidad, enlazado desde su tienda; nosotros los tratamos para el local según nuestro acuerdo de tratamiento de datos.

3.1 Visitar nuestro sitio

Datos: dirección IP, tipo de navegador y dispositivo, páginas solicitadas y hora; el país al que pertenece su dirección IP; el idioma elegido.

Para qué: para mostrar el sitio y mantenerlo seguro; para mostrarle el sitio de su propio país, sin bloquear nunca otro: fuera de la UE/EEE, ospitera.com lo abre en su primera visita, y dentro de ella una barra lo sugiere (leemos su país a partir de su dirección IP en cada visita y no guardamos esa consulta como perfil; el sitio correspondiente se guarda en una cookie para que otros sitios puedan sugerirlo); y para recordar el sitio y el idioma elegidos (cookies, sección 11).

Base: nuestro interés legítimo en un sitio seguro y en mostrar a los visitantes el sitio de su país (RGPD art. 6(1)(f)). Las cookies del sitio son necesarias para funciones que usted utiliza.

Conservación: los registros del servidor de nuestro proveedor de alojamiento hasta 30 días; los registros de limitación de peticiones solo guardan un hash con clave de la dirección IP y caducan en menos de 24 horas; las cookies del sitio, 1 año. No usamos cookies publicitarias, ni análisis o seguimiento de terceros, ni píxeles de redes sociales.

3.2 Solicitar abrir un local

Datos: nombre, dirección y país del local; nombre, correo y teléfono de la persona de contacto; teléfono y correo públicos del local; idioma preferido, color de marca, notas, y fotos o un logotipo que suba; el nombre de usuario que elija. La contraseña y el PIN del personal elegidos nunca se guardan de forma legible, solo como hash de un solo sentido.

Para qué: para revisar su solicitud, configurar su sitio de pedidos y contactarle al respecto. Base: medidas precontractuales que usted solicitó cuando la pide para sí mismo (art. 6(1)(b)); cuando la pide para una empresa, nuestro interés legítimo en establecer la relación comercial (art. 6(1)(f)).

Conservación: un enlace de alta que nunca se envía deja de funcionar a los 30 días y se elimina 30 días después; una solicitud que no da lugar a un local se elimina 12 meses después de enviarse; si su local abre, los datos pasan a ser datos de cuenta (3.4).

3.3 Hacernos una pregunta

Datos: su nombre, su correo (o número de teléfono en WhatsApp), su mensaje y el idioma de la página.

Para qué: para responderle. Las preguntas se envían por correo a nuestro equipo de soporte y pueden guardarse en nuestro buzón de soporte, donde un servicio de IA puede redactar una respuesta que uno de nosotros lee, edita y decide si envía; nada se envía automáticamente. Base: nuestro interés legítimo en responder preguntas sobre nuestro servicio, o medidas precontractuales (art. 6(1)(f) o (b)).

Conservación: 24 meses tras el último mensaje, salvo que la conversación pase a formar parte de una relación con el cliente. WhatsApp lo gestiona Meta según sus propias condiciones y política de privacidad; use el correo si prefiere no usarlo.

3.4 Cuentas de locales: titulares y personal

Datos: nombres de usuario; hashes de contraseñas y PIN; sesiones de inicio y cookies de dispositivo conocido; contadores de inicio de sesión de corta duración ligados a un hash de la dirección IP; el historial de cambios de estado de los pedidos; y su aceptación de nuestras condiciones (versión, usuario, hora, hash con clave de la dirección IP).

Para qué: para darle acceso a usted y a su personal, proteger las cuentas (límites de peticiones, verificación de dispositivos nuevos), mostrar qué pasó con cada pedido y probar qué condiciones se aceptaron. Base: la ejecución de nuestro contrato cuando usted contrata con nosotros directamente (art. 6(1)(b)); cuando actúa por una empresa o trabaja para el local, nuestro interés legítimo en gestionar y proteger la relación comercial (art. 6(1)(f)); y nuestro interés legítimo en la seguridad y en la prueba del contrato (art. 6(1)(f)).

Conservación: mientras el local use Ospitera. Tras el final, los datos de cuenta y el historial de pedidos se eliminan el día 30, como dicen las condiciones (7.4); las aceptaciones de las condiciones pueden conservarse hasta 5 años como prueba ante un litigio.

3.5 Facturación

Datos: nombre, dirección, país y número de IVA o de identificación fiscal de la empresa; correo de facturación y persona de contacto; plan, precio, facturas y estado de pago. Los datos de tarjeta y bancarios los guarda Stripe; nosotros solo vemos el tipo, los últimos dígitos y la caducidad.

Para qué: para facturar y cobrar nuestra cuota, aplicar el impuesto correcto y llevar la contabilidad. Base: nuestro contrato (art. 6(1)(b)) o, para una persona de contacto que actúa por una empresa, nuestro interés legítimo en gestionar la relación (art. 6(1)(f)); y nuestras obligaciones legales contables y fiscales (art. 6(1)(c)).

Conservación: facturas, facturas rectificativas y sus justificantes durante 10 años desde el 1 de enero siguiente al año de emisión de cada documento, como exige la normativa contable y del IVA belga, o más si hay una conservación legal; otros datos de facturación mientras el local use Ospitera.

3.6 Funcionamiento del servicio

Datos: mensajes que intercambiamos con usted, solicitudes de soporte y correos del servicio (enlaces de inicio de sesión, facturas, avisos de cambios). Para qué: para prestar y dar soporte al servicio e informarle de los cambios, como exigen las condiciones. Base: nuestro contrato (art. 6(1)(b)). Conservación: mientras el local use Ospitera, y las preguntas como en 3.3.

3.7 Prospección comercial

Datos: el nombre, la dirección, el teléfono público y el sitio web de un local, y una dirección de correo profesional que el local publica (por ejemplo info@… o la dirección de su sitio web o ficha), incluido un nombre solo cuando forma parte de esa dirección publicada.

Fuentes: fuentes públicas — el propio sitio web del local, directorios y mapas públicos de empresas, y registros mercantiles públicos. No compramos listas de personas.

Para qué: para enviar al local un breve correo ofreciendo nuestro servicio, y para no volver a contactarle si dice que no. Base: nuestro interés legítimo en ofrecer un servicio relacionado con la actividad de la empresa (art. 6(1)(f)). Solo enviamos un correo promocional con un consentimiento documentado o una excepción verificada según las normas de marketing por correo aplicables a ese mensaje; que una dirección sea pública no permite por sí solo el marketing. Antes de cada campaña registramos la fuente, el tipo de destinatario y la autorización en que nos basamos (parte 2).

Cada correo de prospección dice quiénes somos, dónde encontramos la dirección y cómo dejar de recibir correos en un solo paso; puede oponerse en cualquier momento y paramos. Conservación: 12 meses tras nuestro último correo si no responde. Si nos pide parar, solo guardamos la dirección de correo, o su hash, en una lista de exclusión para no volver a escribirle nunca.

3.8 Seguridad, errores y reclamaciones legales

Los informes técnicos de errores (Sentry) están configurados para no recoger datos de contacto, cookies ni el contenido de formularios, y se conservan 90 días. Los límites de peticiones y los registros guardan hashes con clave de las direcciones IP. Base: nuestro interés legítimo en un servicio seguro y que funcione (art. 6(1)(f)).

Cuando sea necesario, usamos los datos anteriores para formular, ejercer o defender reclamaciones y para responder a solicitudes legales de las autoridades (art. 6(1)(c) o (f)), durante el tiempo que el asunto lo requiera.

4. Lo que no hacemos

No vendemos datos personales, no los compartimos para la publicidad de otras empresas ni elaboramos perfiles suyos.

No tomamos decisiones sobre usted por medios automatizados con efectos jurídicos o similares (los límites de peticiones pueden bloquear brevemente intentos de inicio de sesión repetidos; contáctenos si le afecta).

Nuestras herramientas para leer y traducir cartas envían los textos e imágenes que usted envía a un proveedor de IA con ese fin. Una carta o foto puede contener datos de contacto profesionales u otros datos personales, así que no envíe datos de clientes ni datos personales innecesarios. El proveedor figura en /legal/subprocessors.

5. Con quién compartimos datos

Proveedores de servicios que los tratan por nuestra cuenta según contratos que los obligan a seguir nuestras instrucciones y a la confidencialidad (Stripe actúa también como responsable independiente para sus propias obligaciones legales, como la prevención del fraude y del blanqueo de capitales, al igual que Meta para WhatsApp): Netlify (alojamiento, EE. UU.), Neon (base de datos, región UE), Stripe (facturación, Irlanda y EE. UU.), Resend (envío de correos, EE. UU.), Anthropic (redacción de respuestas a los correos que nos envían, y lectura y traducción de cartas; EE. UU.), Sentry (supervisión de errores, región UE), la OpenStreetMap Foundation (mosaicos de mapa en el panel, que recibe su dirección IP; Reino Unido) y Meta solo si nos contacta por WhatsApp. La lista para los datos de los locales está en /legal/subprocessors.

Asesores profesionales (contables, abogados) sujetos a confidencialidad; autoridades y tribunales cuando la ley lo exige o para proteger nuestros derechos; y un comprador o sucesor de nuestro negocio, que continuaría según esta política, después de informarle.

6. Transferencias fuera de su país

Estamos en Bélgica (UE). Algunos proveedores tratan datos en otros países, sobre todo en Estados Unidos. Para datos de la UE/EEE, estas transferencias se basan en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE–EE. UU. para proveedores certificados) o en las cláusulas contractuales tipo de la Comisión Europea con garantías adicionales cuando hace falta; para el Reino Unido y Suiza, en sus equivalentes. Puede pedirnos una copia de las garantías. Donde la ley de su país tenga sus propias normas para enviar datos al extranjero, la parte 2 explica cómo las cumplimos.

7. Cuánto tiempo conservamos los datos

Su país según su dirección IP: se consulta en cada visita y no se guarda; el sitio de su país se guarda en una cookie (1 año). Cookie de sitio e idioma: 1 año. Registros del servidor: hasta 30 días. Enlace de alta no enviado: se cierra a los 30 días y se elimina 30 días después. Solicitud sin local: 12 meses. Preguntas: 24 meses tras el último mensaje. Datos de cuenta e historial de pedidos: mientras el local use Ospitera, eliminados el día 30 tras el final. Aceptaciones de las condiciones: hasta 5 años tras el final. Facturas y registros contables: hasta 10 años. Prospección sin respuesta: 12 meses tras el último correo. Lista de exclusión: mientras hagamos prospección (solo la dirección o su hash). Informes de errores: 90 días. Al terminar un plazo, eliminamos o anonimizamos los datos.

8. Sus derechos

Según la ley de su país (ver parte 2), puede pedir el acceso a sus datos y una copia; su rectificación; su supresión; la limitación; oponerse a su uso basado en el interés legítimo (siempre puede oponerse a la prospección, y paramos); recibir los datos que nos dio en un formato portable; y retirar el consentimiento cuando nos basemos en él, sin que afecte a lo hecho antes.

Escriba a support@ospitera.com. Podemos pedirle que confirme su identidad. Respondemos en un mes (o en el plazo más corto que fije su ley), y podemos ampliarlo para solicitudes complejas donde la ley lo permita, explicándole por qué. Las solicitudes son gratuitas salvo que sean manifiestamente infundadas o excesivas.

Puede reclamar ante la autoridad de protección de datos de su país. Nuestra autoridad principal en la UE es la Autorité de protection des données / Gegevensbeschermingsautoriteit belga (dataprotectionauthority.be); la parte 2 cita otras. Nos gustaría tener antes la oportunidad de resolver su inquietud.

9. Seguridad

Protegemos los datos con cifrado en tránsito, cifrado en reposo de los datos sensibles, hashes de un solo sentido para contraseñas, PIN y direcciones IP, separación estricta entre locales, límites de peticiones, registro de acciones sensibles, eliminación automática y copias de seguridad. Si una brecha pone en riesgo sus derechos, se lo comunicamos a usted y a la autoridad como exige la ley.

10. Edad

Nuestro servicio es para empresas y no está pensado para menores de 16 años, o de la mayoría de edad cuando su ley la fije más alta. No recogemos a sabiendas datos de menores.

11. Cookies y tecnologías similares

Solo usamos lo necesario para que funcionen nuestro sitio y nuestro panel, por lo que no pedimos consentimiento; si algún día añadimos cookies de análisis u otras cookies opcionales, lo pediremos antes.

os_site: recuerda el sitio de país y el idioma que eligió en el selector o en la barra de sugerencia (1 año). os_home: el sitio de país que corresponde a su ubicación, para que otros sitios puedan sugerirlo (1 año). os_suggest_off: cerró esa sugerencia (1 año). Cookies de sesión del titular y del personal (por local): mantienen la sesión iniciada hasta que la cierra o caduca. Cookie de dispositivo conocido: reconoce un dispositivo en el que ya inició sesión, por seguridad (90 días). Cookies de sesión de la plataforma y de franquicias: inicio de sesión de nuestro equipo y de las consolas de franquicia. Almacenamiento del navegador (por ejemplo la guía de inicio del panel, los ajustes de sonido e impresión de la pantalla de cocina, el idioma elegido): ajustes guardados en su dispositivo que nunca se nos envían, hasta que los borre.

La lista completa también está en /legal/cookies.

12. Cambios

Podemos actualizar esta política cuando cambien nuestros servicios o la ley; la fecha de la versión figura arriba. Cuando un cambio le afecte de forma importante, se lo decimos antes en su panel o por correo.

Parte 2. Lo que añaden determinados países

En cada sección, «la ley» es la ley de protección de datos que se cita en ella. Si le da más derechos que la parte 1, usted tiene esos derechos.

Argentina

Ley 25.326. Puede acceder a sus datos de forma gratuita cada seis meses, salvo que acredite un interés legítimo para hacerlo con más frecuencia (artículo 14, inciso 3). La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley N.º 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

Prospección comercial por país

Solo escribimos a una empresa con un consentimiento documentado o una excepción verificada según las normas aplicables al mensaje, comprobadas país por país antes de cada campaña. Cuando nos basamos en una excepción: Bélgica (direcciones impersonales de empresas, no la de un empleado con nombre), Francia (una dirección relacionada con la función del destinatario, con información y forma de oponerse), Irlanda y el Reino Unido (solo abonados que son personas jurídicas, no empresarios individuales ni sociedades de personas), EE. UU. (CAN-SPAM) y Canadá (CASL, direcciones que la propia empresa publicó). Cada correo nos identifica, dice dónde encontramos la dirección y tiene una baja en un solo paso.

No se envía sin consentimiento previo: Alemania, Austria, Polonia, Suiza, Italia, Países Bajos, España, Dinamarca y Sudáfrica, ni a ningún otro país en el que no hayamos verificado una excepción.

Australia (Spam Act 2003) y Nueva Zelanda (Unsolicited Electronic Messages Act 2007): nos basamos en el consentimiento inferido solo cuando la empresa publicó la dirección ella misma, no indicó que no desea mensajes comerciales y el correo guarda relación con su negocio.

Singapur (Spam Control Act 2007): el asunto empieza por <ADV> y atendemos una baja en un plazo de 10 días hábiles. Brasil (LGPD) y Filipinas (Data Privacy Act 2012): nos basamos en nuestro interés legítimo tras una evaluación documentada, solo para direcciones que la empresa publicó ella misma. México (LFPDPPP): nuestro aviso de privacidad va enlazado en el primer correo y paramos en cuanto usted se oponga. Argentina (Ley 25.326): solo direcciones de fuentes de acceso público; cada correo se identifica como publicidad y explica cómo pedir el retiro o bloqueo de sus datos.