Política de Privacidad

En MesaCarta nos comprometemos a proteger su privacidad y a tratar sus datos personales de forma transparente, segura y conforme a la normativa europea vigente.

La presente Política de Privacidad regula el tratamiento de los datos personales que MesaCarta recaba a través de la plataforma accesible en www.mesacarta.com y sus subdominios. Le rogamos que la lea detenidamente antes de registrarse o utilizar el servicio. Al crear una cuenta usted reconoce haber leído y aceptado esta política.

Nota: Este documento ha sido redactado con intención de claridad e integridad, pero no sustituye el asesoramiento jurídico especializado. Si tiene dudas sobre su aplicación concreta, consulte a un profesional.

1. Responsable del tratamiento

En cumplimiento del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), el responsable del tratamiento de sus datos personales es:

Santiago Martín Villaverde opera el sitio web y la plataforma bajo la marca comercial «MesaCarta», en su condición de persona física. La información identificativa completa se encuentra en el Aviso Legal.

No se ha designado Delegado de Protección de Datos (DPD), al no concurrir las circunstancias del artículo 37 RGPD que exigen su designación: la actividad no corresponde a autoridad u organismo público, no consiste en operaciones de tratamiento que requieran observación habitual y sistemática a gran escala de los interesados, ni en tratamiento a gran escala de categorías especiales de datos o datos relativos a condenas penales.

2. Doble rol: responsable y encargado del tratamiento

En el contexto de la prestación del servicio, MesaCarta interviene en dos calidades distintas en función del tipo de datos personales tratados:

Como RESPONSABLE del tratamiento. Cuando trata los datos personales del titular del establecimiento suscrito al servicio (nombre del responsable del local, DNI/NIE/CIF, datos de contacto, datos de facturación, identificadores de Stripe, dirección postal, etc.), MesaCarta determina los fines y los medios del tratamiento.

Como ENCARGADO del tratamiento. Cuando trata datos personales de los clientes finales del establecimiento (comensales que escanean el QR, hacen reservas, dejan reseñas o realizan pedidos por mesa), MesaCarta actúa por cuenta del establecimiento, que es el responsable del tratamiento. El establecimiento determina los fines (gestionar su clientela y ofrecerle el servicio) y MesaCarta proporciona la infraestructura técnica para hacerlo, en los términos del correspondiente Acuerdo de Encargo del Tratamiento.

Esta distinción es relevante para determinar a quién deben dirigirse los interesados según el tipo de dato:

• Para datos del titular del establecimiento (gestión de la cuenta de MesaCarta, facturación, etc.): el responsable es MesaCarta. Los interesados pueden dirigirse directamente a privacidad@mesacarta.com.
• Para datos de comensales o clientes del establecimiento (reservas, reseñas, pedidos): el responsable es el propio establecimiento. MesaCarta actúa como proveedor técnico y asistirá al establecimiento, conforme al acuerdo de encargo, en la atención de las solicitudes de los interesados. Las solicitudes deben dirigirse al establecimiento titular de los datos.

3. Datos que recopilamos

MesaCarta recopila únicamente los datos estrictamente necesarios para la prestación del servicio. Nunca vendemos ni compartimos datos personales con fines publicitarios.

Los clientes finales que consultan la carta pública no necesitan registrarse ni facilitar datos personales para ver el menú. Las visitas se contabilizan mediante un hash irreversible de la IP, sin posibilidad de identificación individual.

4. Finalidad y base jurídica del tratamiento

Tratamos sus datos personales para las siguientes finalidades:

5. Conservación de los datos

Los datos personales se conservan durante el tiempo estrictamente necesario para las finalidades indicadas:

6. Encargados del tratamiento

MesaCarta no cede, vende ni alquila datos personales a terceros con fines comerciales o publicitarios. Únicamente los comparte con los siguientes encargados del tratamiento, vinculados contractualmente por Acuerdos de Encargo del Tratamiento (DPA) con las garantías que se detallan en la sección 7:

Notas:

• Los datos de tarjeta de crédito son procesados íntegramente por Stripe, que cumple con el estándar PCI-DSS Nivel 1. MesaCarta no almacena ni puede acceder a los datos de tarjeta.
• Vercel Analytics y Speed Insights utilizan métodos de medición agregada sin cookies de usuario.
• Upstash almacena exclusivamente hashes irreversibles de direcciones IP a efectos de limitación de intentos, sin datos personales directamente identificables.

7. Transferencias internacionales de datos

Los encargados del tratamiento listados en la sección anterior tienen su matriz en Estados Unidos. Aunque sus servidores se ubican mayoritariamente en la Unión Europea, la legislación estadounidense, en particular la Clarifying Lawful Overseas Use of Data Act (CLOUD Act) y la sección 702 de la Foreign Intelligence Surveillance Act (FISA), permite a las autoridades de Estados Unidos requerir a estos proveedores el acceso a datos que procesan globalmente.

En consecuencia, el tratamiento de sus datos personales por estos encargados puede implicar una transferencia internacional de datos en el sentido del Capítulo V del RGPD. Para garantizar un nivel adecuado de protección, MesaCarta aplica las siguientes garantías, conforme a la doctrina del Tribunal de Justicia de la Unión Europea (sentencia C-311/18, conocida como Schrems II):

Cláusulas Contractuales Tipo (SCC). Todos los Acuerdos de Encargo del Tratamiento (DPA) firmados por MesaCarta con los proveedores anteriores incorporan las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea mediante la Decisión (UE) 2021/914.

EU-US Data Privacy Framework (DPF). Determinados proveedores se encuentran adheridos al Marco de Privacidad de Datos UE-EE.UU., al que la Comisión Europea reconoce un nivel adecuado de protección mediante la Decisión de adecuación de 10 de julio de 2023. A 13 de mayo de 2026, Resend Inc. está certificada bajo este marco.

Medidas técnicas adicionales. Los datos se almacenan cifrados en reposo y se transmiten cifrados en tránsito mediante TLS 1.2 o superior. Los datos especialmente sensibles del perfil del titular del establecimiento (DNI/CIF, teléfono, email de contacto, nombre completo, notas internas) se cifran con AES-256-GCM a nivel de aplicación antes de su almacenamiento en la base de datos.

Puede solicitar copia de los DPAs y de las garantías aplicables en privacidad@mesacarta.com.

8. Cookies y almacenamiento local

MesaCarta utiliza exclusivamente cookies técnicas esenciales y almacenamiento local (localStorage) para el funcionamiento correcto de la plataforma. No se utilizan cookies publicitarias, de rastreo ni de terceros.

9. Derechos del interesado (RGPD)

Como titular de sus datos personales, dispone de los siguientes derechos:

• Acceso: obtener confirmación de si tratamos sus datos y, en caso afirmativo, acceder a una copia.
• Rectificación: solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Supresión («derecho al olvido»): solicitar la eliminación de sus datos cuando ya no sean necesarios para la finalidad con que fueron recabados.
• Limitación: solicitar que suspendamos el tratamiento mientras se resuelve una solicitud.
• Portabilidad: recibir sus datos en formato estructurado (JSON o CSV) para trasladarlos a otro responsable.
• Oposición: oponerse al tratamiento basado en interés legítimo, incluida la elaboración de perfiles.
• No ser objeto de decisiones automatizadas: ver sección 10.
• Retirada del consentimiento: cuando el tratamiento se base en el consentimiento, retirarlo en cualquier momento sin afectar a la licitud del tratamiento previo.

10. Decisiones automatizadas

Conforme al artículo 22 del RGPD, MesaCarta no toma decisiones individuales basadas únicamente en tratamiento automatizado de datos personales, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre el interesado o le afecten significativamente de modo similar.

Los mecanismos automatizados aplicados en la plataforma —límites de uso por plan, protección anti-bot, detección de comportamientos anómalos o limitación de intentos de acceso— tienen naturaleza puramente técnica y operan únicamente para garantizar la seguridad y disponibilidad del servicio, sin sustituir decisiones humanas en aspectos significativos para el usuario.

11. Menores

El servicio MesaCarta no está dirigido a menores de 14 años. No recabamos conscientemente datos personales de menores de esa edad.

Si un menor de 14 años hubiera utilizado el servicio para registrar una cuenta o efectuar una reserva, sus padres o tutores legales pueden ponerse en contacto con MesaCarta a través de privacidad@mesacarta.com para solicitar la eliminación inmediata de los datos personales recogidos.

Para edades comprendidas entre 14 y 17 años, conforme al artículo 7 de la LOPDGDD, podrá considerarse válido el consentimiento del menor para los servicios de la sociedad de la información ofrecidos directamente, salvo en aquellos casos en que la ley exija la asistencia de los titulares de la patria potestad o tutela.

12. Notificación de brechas de seguridad

En el caso de detectarse una brecha de seguridad que afecte a datos personales y suponga un riesgo para los derechos y libertades de los interesados, MesaCarta:

• a)Notificará la brecha a la Agencia Española de Protección de Datos (AEPD) en el plazo máximo de 72 horas desde su detección, conforme al artículo 33 del RGPD.
• b)Comunicará la brecha sin dilación indebida a los interesados afectados cuando suponga un alto riesgo para sus derechos y libertades, conforme al artículo 34 del RGPD.
• c)En su rol de encargado del tratamiento, notificará al responsable del tratamiento (el establecimiento) sin dilación indebida tras tener conocimiento de la brecha, conforme al artículo 33.2 del RGPD.

Si usted detecta o sospecha un posible incidente de seguridad que pueda afectar a sus datos personales, le rogamos lo notifique de inmediato a privacidad@mesacarta.com.

13. Medidas de seguridad

MesaCarta aplica medidas técnicas y organizativas apropiadas para proteger los datos personales, conforme al artículo 32 del RGPD:

• Las contraseñas se almacenan mediante hash bcrypt con factor de coste elevado — nunca en texto plano.
• Los campos especialmente sensibles del perfil del establecimiento (DNI/CIF, teléfono móvil, email de contacto, nombre completo del responsable y notas internas) se cifran con AES-256-GCM a nivel de aplicación antes de almacenarse en la base de datos.
• Todas las comunicaciones se realizan mediante protocolo HTTPS (TLS 1.2 o superior).
• El panel de administración requiere autenticación y está protegido contra ataques de fuerza bruta mediante limitación de intentos (rate limiting).
• Los formularios públicos incluyen protección anti-bot mediante campo honeypot y límite de tiempo mínimo de envío.
• Los datos de tarjeta de crédito son procesados íntegramente por Stripe, que cumple con el estándar PCI-DSS. MesaCarta no almacena datos de tarjeta.
• El acceso a los datos está basado en roles: solo el administrador de la plataforma y el propio establecimiento pueden acceder a sus datos.
• Se aplica aislamiento estricto entre cuentas (multi-tenancy): ningún establecimiento puede acceder a los datos de otro.
• Los tokens de verificación de correo electrónico caducan en 24 horas.
• Se realizan copias de seguridad periódicas de la base de datos.

Ningún sistema de transmisión por internet o almacenamiento electrónico es 100 % seguro. Si detecta un posible incidente de seguridad, notifíquenoslo a privacidad@mesacarta.com.

14. Modificaciones de esta política

Nos reservamos el derecho de actualizar esta Política de Privacidad para adaptarla a cambios legislativos, jurisprudenciales o del servicio. Las modificaciones relevantes se comunicarán por correo electrónico a los usuarios registrados con al menos 15 días de antelación a su entrada en vigor, y se publicará la nueva versión en esta página con la fecha de actualización. Si continúa usando el servicio tras la entrada en vigor de los cambios, se entenderá que los acepta.