Política de privacidad

1. Dos roles, dichos claramente

Para la cuenta del profesional (el salón, el organizador) somos el responsable: decidimos cómo se tratan los datos de la cuenta. Para los datos de los eventos (los clientes del profesional y sus invitados), el responsable es el profesional y nosotros somos el encargado: alojamos y tratamos los datos solo según sus instrucciones, para organizar el evento.

2. Qué datos tratamos y por qué

La cuenta del profesional: correo, contraseña (guardada criptográficamente), perfil del negocio (nombre, teléfono, ubicaciones, menús, planos), historial de créditos y pagos (sin datos de tarjeta; quedan en Stripe), los datos de la empresa usados en la verificación (país, número fiscal, denominación que consta en el registro público). Base: la ejecución del contrato.

Los eventos: nombres de los clientes finales, fecha, lugar, contactos, invitación y programa, introducidos por el profesional o sus clientes. Base: las instrucciones del responsable (el profesional).

Los invitados: nombre de la familia, composición (con edades de los niños), elecciones de menú y, solo si las declaran, restricciones alimentarias y alergias. Las alergias pueden ser datos de salud: se recogen solo con el consentimiento marcado en el formulario, se muestran exclusivamente a los anfitriones y a la cocina y nunca aparecen en público.

Nunca vendemos ni alquilamos datos personales, a nadie, y no los «compartimos» en el sentido de la ley californiana. No usamos los datos para publicidad.

3. Enlaces, no cuentas

Clientes finales e invitados acceden mediante enlaces con tokens únicos y aleatorios, sin cuentas. Los tokens no contienen nombres, sus páginas no son indexables y ningún dato personal aparece jamás en las direcciones. Los archivos de los menús (imágenes, PDF) subidos por el profesional se alojan en direcciones con nombres aleatorios, accesibles para cualquiera que tenga el enlace, para que los invitados puedan abrirlos sin cuenta; no subas en ellos datos personales.

4. Dónde viven los datos y transferencias internacionales

Los datos se alojan en la Unión Europea (base de datos Supabase, región de Fráncfort) y la plataforma corre en la red global de Cloudflare. Los pagos pasan exclusivamente por Stripe. Para el tiempo enviamos a Open-Meteo solo la localidad o la dirección del salón, ningún dato personal. Los correos de la cuenta (confirmación, restablecimiento de la contraseña) salen a través del proveedor Resend. Desde fuera de la UE, los datos viajan cifrados entre tú y nuestros servidores; nuestros proveedores operan con garantías contractuales (incluidas cláusulas contractuales tipo, cuando proceda).

5. Cuánto los conservamos

Datos de la cuenta: mientras exista la cuenta. Los datos de la empresa (número fiscal, país, denominación que consta en el registro público) se conservan mientras exista la cuenta: los usamos para confirmar una sola vez que eres un organizador real y para la facturación. La verificación se hace en los registros públicos oficiales (ANAF para Rumanía, VIES para la Unión Europea); la base legal es nuestro interés legítimo en evitar cuentas duplicadas. No pedimos ni guardamos datos de tarjeta: los pagos se realizan íntegramente en Stripe. Los eventos se archivan 30 días después de su fecha y quedan a disposición del profesional; puede borrarlos cuando quiera, y cerrar la cuenta borra todos los datos de sus eventos. Los detalles personales de los invitados (nombres de las personas, alergias, restricciones, mensajes) se anonimizan automáticamente 12 meses después de la fecha del evento; quedan solo las cifras (cuántas personas, cuántos menús de cada tipo), sin nombres. Tras el cierre de la cuenta conservamos un registro mínimo con el país y el número fiscal verificado (sin nombre, sin correo), para que la misma empresa no pueda obtener de nuevo el evento gratuito con una cuenta nueva; la base legal es el interés legítimo en prevenir el abuso, y el registro no se usa para ningún otro fin. Los documentos contables se conservan los plazos legales.

6. Sin rastreo

Sin cookies de rastreo, píxeles de marketing ni analytics de terceros. En el navegador guardamos localmente solo preferencias (idioma) y, para los invitados, el token de su propia página. Nada más. Stripe puede instalar cookies propias en su página de pago, según la política de Stripe.

7. Tus derechos, estés donde estés

Vivas donde vivas, honramos los mismos derechos: acceso, rectificación, supresión, limitación, portabilidad, oposición y retirada del consentimiento. Escríbenos al correo de contacto y respondemos en un máximo de 30 días, gratis y sin discriminación.

UE/EEE y Reino Unido (RGPD/UK GDPR): puedes acudir también a tu autoridad de control; en Rumanía, la ANSPDCP (dataprotection.ro). California (CCPA/CPRA): no vendemos ni compartimos información personal; tienes derecho a saber, corregir y suprimir. Brasil (LGPD), Canadá (PIPEDA), Australia y otras jurisdicciones: los mismos derechos, por el mismo canal. Invitados y clientes finales pueden ejercerlos también directamente ante el organizador del evento (responsable de sus datos). Le ayudamos a responder.

8. Los niños

El servicio no se dirige a niños: las cuentas exigen 18 años, y los datos de los niños invitados (edad, menú) los introducen los adultos de su familia, solo para los sitios y la cocina. No recogemos a sabiendas datos directamente de niños.

9. Seguridad

Reglas de acceso a nivel de fila en la base de datos, tokens criptográficos, conexiones cifradas (HTTPS/HSTS), políticas de contenido estrictas y límites antiabuso. Las contraseñas nunca se guardan en claro. Si un incidente afecta a datos personales, notificamos a autoridades y afectados según las leyes aplicables. Los archivos y la base de datos se alojan en la UE; el acceso administrativo se limita a las personas autorizadas de ANSO SOFT TECH S.R.L.

10. Cambios

Revisamos esta política al menos una vez al año; la versión vigente es la publicada aquí y los cambios importantes se anuncian en la plataforma. La política se publica en varios idiomas; en caso de discrepancias prevalece la versión rumana.