Política de privacidad

Última actualización: 2026-05-20

1. Responsable del tratamiento

Razón social: ChefPro Technologies SL
CIF: B12345678
Domicilio: Madrid, España
Email DPO: dpo@chefpro.es
Email contacto: soporte@chefpro.es

2. Datos que recogemos

Tratamos los siguientes datos personales necesarios para prestar el servicio:

Identificativos: nombre, apellidos, email, teléfono opcional.
Profesionales: cargo, restaurante al que perteneces, rol asignado.
Fiscales del cliente: razón social, CIF, dirección fiscal (necesarios para emitir factura y SII/Verifactu).
Operativos: pedidos, ventas, escandallos, fichajes, ratios financieros del restaurante (cliente del servicio).
Técnicos: IP, navegador, sistema operativo, cookies estrictamente necesarias.
Pago: NUNCA almacenamos números de tarjeta. Se procesan vía Stripe (PCI-DSS Level 1).

No recogemos categorías especiales de datos (salud, ideología, orientación sexual…).

3. Finalidades y base legal

Finalidad	Base legal (RGPD art. 6)
Prestación del servicio SaaS contratado	Ejecución del contrato (6.1.b)
Facturación y cumplimiento fiscal	Obligación legal (6.1.c)
Soporte técnico y comunicaciones transaccionales	Ejecución del contrato (6.1.b)
Análisis de uso interno (product analytics)	Interés legítimo (6.1.f) · puedes oponerte
Marketing por email a clientes activos	Interés legítimo (6.1.f) · siempre con opt-out
Newsletter a no-clientes	Consentimiento expreso (6.1.a)

4. Plazos de conservación

Datos de cuenta activa · mientras dure la relación contractual.
Datos fiscales · 6 años (Art. 30 Código de Comercio + LGT 66).
Logs de seguridad y auditoría · 2 años (RGPD art. 32 · obligación de demostrar cumplimiento).
Datos tras baja · borrado físico (rollback) en 30 días salvo obligación legal.
Backups · ciclo de retención 30 días, posteriormente borrado seguro.

5. Destinatarios y encargados del tratamiento

Para prestar el servicio, compartimos datos con los siguientes encargados, todos sujetos a contrato DPA y cumpliendo garantías RGPD:

Supabase Inc. (PostgreSQL, autenticación) · región eu-west-2 (Irlanda) · sin transferencia internacional.
Vercel Inc. (hosting frontend) · transferencia EEUU bajo cláusulas contractuales tipo (CCT) UE.
Anthropic PBC (procesamiento IA · solo prompts no-PII anonimizados) · transferencia EEUU bajo CCT.
Stripe Payments Europe Ltd. (pagos) · Irlanda.
Resend Inc. (emails transaccionales) · solo cuando el usuario activa el servicio.
Cloudflare Inc. (DNS + email forwarding) · CCT UE.
Sentry (Functional Software Inc.) (error tracking · datos técnicos no PII) · CCT UE.

Lista completa actualizada y DPA modelo disponibles en /legal/dpa.

6. Derechos del interesado

Puedes ejercer en cualquier momento y de forma gratuita los siguientes derechos (RGPD art. 15-22):

Acceso: obtener copia de tus datos.
Rectificación: corregir datos inexactos.
Supresión ("derecho al olvido") · ver portabilidad.
Oposición: oponerte al tratamiento basado en interés legítimo.
Limitación: pausar tratamiento mientras se resuelve una reclamación.
Portabilidad: descargar tus datos en formato estructurado (JSON) desde tu cuenta en /cuenta → "Exportar mis datos".

Cómo ejercerlos

Tres vías equivalentes (te recomendamos la primera por inmediatez):

Auto-servicio: /cuenta → "Privacidad y datos". Export inmediato + delete con confirmación.
Email: dpo@chefpro.es · respuesta en 30 días.
Reclamación AEPD: si no quedas satisfecho, puedes reclamar en www.aepd.es.

7. Transferencias internacionales

Cuando algún encargado opera fuera del Espacio Económico Europeo (EEUU principalmente), las transferencias se amparan en:

Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea (Decisión 2021/914).
Evaluaciones de impacto realizadas conforme a la sentencia Schrems II (C-311/18).
Medidas técnicas suplementarias: cifrado AES-256 en tránsito y reposo, anonimización antes de envío a Anthropic.

8. Medidas de seguridad

Aplicamos medidas técnicas y organizativas conforme al RGPD art. 32:

Cifrado TLS 1.3 en tránsito · AES-256 en reposo.
Row-Level Security (RLS) multi-tenant a nivel base de datos · 4 capas de aislamiento.
Log de auditoría inmutable con cadena criptográfica SHA-256.
Backups cifrados diarios con retención 30 días.
Acceso staff sujeto a registro auditable y revisado mensualmente.
Auditoría de seguridad automática diaria (audit.security_health()).
Plan de respuesta a incidentes · notificación a AEPD <72h conforme art. 33.

9. Decisiones automatizadas e IA

ChefPro utiliza inteligencia artificial (Anthropic Claude) para generar sugerencias operativas (precios, escandallos, comandas óptimas). Estas son recomendaciones: ninguna decisión produce efectos jurídicos automáticos sin intervención humana (RGPD art. 22). El propietario del restaurante mantiene siempre la decisión final.

10. Menores

El servicio está dirigido exclusivamente a profesionales mayores de edad. No tratamos datos de menores conscientemente.

11. Modificaciones

Notificaremos cualquier cambio sustancial con al menos 30 días de antelación por email y aviso destacado en la aplicación. Esta política se versiona y publicamos su histórico bajo demanda al DPO.