Política de privacidad

1. Introducción

Esta política explica cómo SC DIGITAL BOMORE MARKETING COMPANY, SL (titular de la marca comercial Stay Foodie) trata los datos personales de quienes usan el servicio de reservas y la web stayfoodie.com. La versión vigente es la publicada en esta página con fecha 28 de abril de 2026 — si introducimos cambios sustanciales avisaremos por email antes de que entren en vigor.

Responsable del tratamiento

• Razón social: SC DIGITAL BOMORE MARKETING COMPANY, SL
• CIF: B75259804
• Domicilio social: Carrer Xaloc, 8 baixos, 07470 Port de Pollença (Illes Balears)
• Marca comercial: Stay Foodie
• Contacto general: hola@stayfoodie.com
• Contacto en materia de protección de datos: privacidad@stayfoodie.com

Datos que recopilamos

Recopilamos los datos imprescindibles para que el servicio funcione. Datos de identificación y contacto de la persona que registra el restaurante (nombre y apellidos, email, teléfono) y de los miembros del equipo que invita a la cuenta. Datos de los comensales cuando reservan a través del widget o de la página propia del restaurante: nombre, email, teléfono, número de personas, fecha y franja horaria, alergias y notas que dejen al restaurante. Datos de uso de la aplicación, como reservas creadas, modificadas o canceladas, preferencias de configuración y registros de actividad del panel. Datos técnicos generados automáticamente: dirección IP, identificador de navegador y cookies, descritos en detalle en la política de cookies.

Finalidades del tratamiento

Usamos los datos para crear y gestionar la cuenta del restaurante, prestar el servicio de reservas (procesar reservas, enviar confirmaciones y recordatorios al comensal, gestionar el CRM del restaurante), enviar comunicaciones esenciales sobre el servicio (avisos de facturación, cambios contractuales, alertas técnicas), cumplir nuestras obligaciones legales (emitir y conservar facturas, atender requerimientos de autoridades competentes) y mejorar el producto a partir de métricas agregadas. No usamos los datos de los comensales para enviarles marketing nuestro: esa relación es del restaurante y solo se activan comunicaciones de marketing si tú nos das consentimiento explícito.

Base legal

Cada finalidad descansa en una base jurídica concreta del Reglamento (UE) 2016/679. La ejecución del contrato de prestación del servicio (art. 6.1.b RGPD) cubre el alta de la cuenta, la gestión de reservas y los avisos técnicos imprescindibles. El consentimiento explícito (art. 6.1.a RGPD) ampara las cookies analíticas y las comunicaciones comerciales, y puede retirarse en cualquier momento. La obligación legal (art. 6.1.c RGPD) justifica la conservación de la facturación y de los datos exigidos por la normativa fiscal y mercantil. El interés legítimo (art. 6.1.f RGPD) ampara los registros mínimos de seguridad, prevención de fraude y auditoría del servicio.

Conservación de los datos

Mantenemos los datos de la cuenta del restaurante mientras esté activa. Tras la baja conservamos la información estrictamente necesaria durante seis años, plazo exigido por el artículo 30 del Código de Comercio para la documentación contable y mercantil, y los plazos equivalentes en materia tributaria. Los datos vinculados al consentimiento de marketing se conservan hasta que retires ese consentimiento, momento en el que se eliminan o anonimizan. Las cookies se conservan según la política específica publicada en la página de cookies. Las copias de seguridad rotan con un ciclo máximo de noventa días antes de sobrescribirse.

Destinatarios y encargados de tratamiento

No vendemos ni cedemos los datos a terceros con fines comerciales. Sí trabajamos con proveedores que actúan como encargados de tratamiento bajo contrato: Stripe para el procesamiento de pagos y garantías con tarjeta, Twilio para el envío de SMS de recordatorio cuando el restaurante activa esa función, proveedores de email transaccional para las confirmaciones de reserva y los avisos de cuenta, infraestructura cloud con servidores localizados en la Unión Europea y Google Analytics únicamente si has aceptado las cookies analíticas. Con todos firmamos el correspondiente acuerdo de tratamiento de datos (DPA) o aplicamos las cláusulas contractuales tipo aprobadas por la Comisión Europea.

Transferencias internacionales

Algunos de nuestros proveedores tecnológicos (por ejemplo Google o ciertos servicios de Stripe) pueden tratar datos fuera del Espacio Económico Europeo. En esos casos exigimos las garantías previstas en el Capítulo V del RGPD: cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando corresponde, certificación bajo el EU-U.S. Data Privacy Framework. Puedes solicitar copia de las garantías aplicables a un tratamiento concreto escribiendo a privacidad@stayfoodie.com.

Tus derechos

Tienes derecho a acceder a tus datos, rectificarlos, suprimirlos, oponerte al tratamiento, solicitar la limitación, recibir tus datos en formato portátil y a no ser objeto de decisiones individuales automatizadas con efectos significativos. Para ejercerlos envía un email a privacidad@stayfoodie.com indicando el derecho que ejerces y adjuntando copia del DNI o documento equivalente que acredite tu identidad. Responderemos en el plazo máximo de un mes desde la recepción, ampliable a dos cuando la solicitud sea especialmente compleja, comunicándote la prórroga.

Reclamación ante la Autoridad

Si consideras que tus derechos en materia de protección de datos no han sido atendidos correctamente puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), con sede en C/ Jorge Juan 6, 28001 Madrid, y sede electrónica en www.aepd.es. Te agradeceremos que antes nos des la oportunidad de resolver la incidencia directamente escribiendo a privacidad@stayfoodie.com — pero no es un requisito previo para acudir a la autoridad de control.

Seguridad

Aplicamos las medidas técnicas y organizativas adecuadas al riesgo del tratamiento, en línea con el artículo 32 del RGPD. Toda la comunicación entre cliente y servidor viaja cifrada por TLS. Las contraseñas se almacenan con funciones hash robustas y las claves API y datos sensibles se cifran en reposo. El acceso al panel de administración está sujeto a control por roles, y los datos de tarjeta no se almacenan en nuestros servidores — los procesa directamente Stripe. Realizamos copias de seguridad cifradas y auditorías regulares del estado del sistema, y mantenemos un procedimiento documentado de notificación de brechas en el plazo de 72 horas previsto por la normativa.

Cambios en esta política

La versión vigente de esta política es siempre la publicada en esta página, con la fecha de actualización visible al inicio. Si introducimos cambios sustanciales — por ejemplo, nuevas finalidades de tratamiento, cambios de encargados relevantes o ajustes en la base legal — avisaremos por email a los usuarios registrados con un mínimo de quince días de antelación antes de que entren en vigor. Los cambios menores o de redacción se publican directamente sin notificación específica.