1. Responsable y contacto
El responsable es Egor Prokofev, profesional autónomo, NIF Z2347472M, con domicilio en Avenida Sinforiano Madroñero 29, 9A, 06011 Badajoz, España, titular de Hola Carta (holacarta.es).
Contacto y ejercicio de derechos: support@holacarta.es.
2. Datos, finalidades y bases jurídicas
- Cuenta y servicio: nombre del establecimiento, email, contraseña almacenada mediante hash, idioma, fechas de cuenta y constancia de aceptación de condiciones. Se utilizan para crear y proteger la cuenta, publicar la carta y enviar la verificación y recuperación de acceso. Base: ejecución del contrato (art. 6.1.b RGPD); si actúas como representante de una empresa, interés legítimo en gestionar esa relación (art. 6.1.f).
- Contenido: textos, imágenes y traducciones que publicas. La carta es pública. No subas datos personales innecesarios ni imágenes de personas sin una base válida para publicarlas.
- Soporte: email y contenido de tu consulta, para atenderla y gestionar la relación de servicio. Base: contrato o interés legítimo, según el caso.
- Seguridad y diagnóstico: direcciones IP y datos técnicos de las peticiones, cuando se registren en nuestros sistemas, para proteger el servicio e investigar fallos y accesos abusivos. Base: interés legítimo en la seguridad (art. 6.1.f).
- Obligaciones legales: la información necesaria para atender requerimientos y obligaciones aplicables (art. 6.1.c).
Los visitantes de las cartas no necesitan cuenta. Su navegación implica peticiones técnicas al servidor; no afirmamos que navegar sea anónimo por el mero hecho de no registrarse. Los datos de cuenta obligatorios son necesarios para prestar el servicio.
Los mensajes de verificación y recuperación son comunicaciones del servicio. No implican una suscripción a publicidad.
3. Proveedores y transferencias
El alojamiento y almacenamiento se prestan mediante Datalix, con servidor en Equinix FR5, Frankfurt am Main (Alemania). Utilizamos Amazon Web Services (SES) para el envío de emails de servicio. Pueden tratar los datos necesarios como encargados bajo las condiciones y garantías aplicables. También pueden recibir datos las autoridades cuando exista una obligación legal.
Importación de cartas mediante inteligencia artificial
Si eliges «Analizar e importar», enviamos las fotografías seleccionadas y las instrucciones de reconocimiento a Anthropic mediante su API comercial para extraer categorías, platos y precios. Esta función es opcional: también puedes crear y editar la carta manualmente.
Utilizamos el contenido para realizar la importación que solicitas como parte del servicio. Evita incluir personas o datos personales innecesarios en las fotos. Los datos de tu cuenta, como el email y la contraseña, no se añaden por separado a la solicitud de reconocimiento; cualquier información visible en la propia foto sí puede ser recibida por Anthropic.
Anthropic trata el contenido conforme a sus condiciones comerciales y su acuerdo de tratamiento de datos, que incorpora cláusulas contractuales tipo. Sus condiciones comerciales establecen que el contenido de la API no se utiliza para entrenar modelos.
Según la política de conservación de Anthropic, las entradas y respuestas de la API se eliminan normalmente dentro de los 30 días desde su recepción o generación. Pueden aplicarse plazos distintos por obligaciones legales, investigación de posibles incumplimientos de sus políticas o las condiciones del modelo o acuerdo utilizado.
Las fotografías del trabajo se eliminan de nuestra base de datos al completarse o marcarse como fallida la importación. Los datos ya incluidos en copias de seguridad siguen el ciclo y las medidas descritos en el apartado de conservación; la eliminación en nuestro sistema no elimina por sí sola las copias que Anthropic conserve conforme a sus condiciones.
La importación añade o sustituye contenido de tu carta pública. La IA puede cometer errores: revisa los platos y precios importados y corrige cualquier error.
Para proteger los formularios de registro y de recuperación de contraseña frente a envíos automatizados utilizamos Cloudflare Turnstile. Al cargar esos formularios, Cloudflare recibe datos técnicos del navegador y del dispositivo, como la dirección IP, para comprobar que la solicitud no es automatizada. Base: interés legítimo en la seguridad del servicio (art. 6.1.f RGPD). Cloudflare trata estos datos conforme a su política de privacidad de Turnstile.
Solo con tu consentimiento (art. 6.1.a RGPD) utilizamos PostHog Cloud, de PostHog Inc., en su región europea (Frankfurt), como encargado del tratamiento para medir el uso de la web y del panel: páginas visitadas, clics, origen de la visita, datos técnicos del dispositivo, ubicación aproximada por IP, errores y grabaciones de sesión con los campos de formularios ocultos. En el panel puede asociarse al identificador interno de la cuenta; no enviamos contraseñas ni el email. PostHog Inc. tiene sede en EE. UU. y puede tratar datos fuera del EEE a través de sus subencargados; estas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU., en el que participa, y en cláusulas contractuales tipo incluidas en su acuerdo de tratamiento de datos. Los eventos se conservan 12 meses y las grabaciones, un máximo de 30 días. Detalle en la Política de cookies.
Una región europea no excluye por sí sola accesos o transferencias internacionales. Cuando existan transferencias fuera del Espacio Económico Europeo deben estar amparadas por una decisión de adecuación aplicable o garantías apropiadas, como cláusulas contractuales tipo y las medidas necesarias. Puedes solicitar información sobre los destinatarios y una copia de las garantías en el email de contacto.
4. Conservación y baja
Conservamos los datos de cuenta mientras exista la relación de servicio. Puedes eliminar tu cuenta desde Configuración o solicitarlo por email. La eliminación retira los registros activos de cuenta y carta y programa la limpieza de los archivos asociados, que se realiza en segundo plano con reintentos si falla el almacenamiento.
Los datos necesarios para atender obligaciones legales o responsabilidades pendientes se conservarán con acceso restringido durante el plazo aplicable. Los registros técnicos y las consultas se conservarán mientras sean necesarios para resolver la incidencia o la solicitud y atender las responsabilidades derivadas.
Para prevenir abusos de los límites del servicio, mantenemos contadores mínimos de intentos de reconocimiento —identificador de cuenta, fecha y número de intentos, sin email ni fotografías— con un ciclo de eliminación de siete días. Pueden conservarse después de la baja durante ese ciclo para evitar que borrar una cuenta reinicie los límites de protección. Base: interés legítimo en proteger el servicio frente a usos abusivos.
La supresión también debe alcanzar las copias de seguridad conforme a su ciclo de renovación. Hasta su eliminación, se restringe su uso a recuperación; una restauración debe respetar las solicitudes de supresión anteriores. Puedes solicitar confirmación del estado de una eliminación.
5. Derechos
Puedes solicitar acceso, rectificación, supresión, limitación, oposición y portabilidad, cuando procedan. Si un tratamiento se basa en consentimiento, puedes retirarlo sin afectar a la licitud del tratamiento anterior. Responderemos normalmente en un mes; si corresponde una ampliación legal, te informaremos dentro de ese primer mes. Solo pediremos información adicional de identidad cuando sea necesaria.
Escribe a support@holacarta.es. También puedes reclamar ante la Agencia Española de Protección de Datos.
No utilizamos tus datos para decisiones con efectos jurídicos o similares basadas exclusivamente en un tratamiento automatizado.
6. Analítica y almacenamiento del navegador
El almacenamiento necesario para la sesión y las preferencias solicitadas se explica en la Política de cookies. Rechazar la analítica no impide usar el servicio.
7. Seguridad y cambios
Aplicamos medidas técnicas y organizativas según los riesgos. Las contraseñas se guardan mediante hash, no en texto claro. Comunicaremos los cambios relevantes en esta política por los canales de servicio; si se requiere un nuevo consentimiento, se solicitará antes de iniciar ese tratamiento.