Política de privacidad

Última actualización: 21 de julio de 2026.

Esta política describe cómo se tratan los datos personales en el sitio web y el servicio Menzavo (https://menzavo.com), de conformidad con el Reglamento (UE) 2016/679, General de Protección de Datos («RGPD»), y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»).

1. Responsable del tratamiento

Responsable: Menzavo (Madrid, España). Los datos identificativos completos del responsable se facilitan a solicitud a través del correo de contacto.
Correo electrónico de contacto: menzavoapp@gmail.com

2. Datos que tratamos

Menzavo es un servicio dirigido a empresas y profesionales de la hostelería (B2B). Los datos tratados son, según el caso:

Datos de clientes (restaurantes): datos identificativos y de contacto del titular del negocio o de su representante, y datos necesarios para la facturación (denominación, NIF, dirección, correo electrónico).
Datos de cuenta: correo electrónico y contraseña de acceso al panel (la contraseña se almacena siempre cifrada), gestionados a través del sistema de autenticación de Supabase.
Contenido de la carta: denominación del restaurante, categorías, platos, descripciones, precios, alérgenos, fotografías y vídeos. Esta información se publica en la carta digital pública del restaurante por indicación del propio cliente.
Material remitido para digitalización: fotografías de la carta impresa y de los platos que el restaurante envía para que se elabore su carta digital. Con carácter general, este material no contiene datos personales.
Comandas desde la mesa: número de mesa, platos solicitados y, en su caso, notas del pedido. No se solicita ni se recoge ningún dato personal del comensal (ni nombre, ni teléfono, ni datos de pago). Se ruega no incluir datos personales en el campo de notas.
Datos técnicos: dirección IP y datos de conexión, utilizados con fines de seguridad y de limitación de peticiones abusivas (rate limiting), así como registros técnicos (logs).

3. Finalidades y bases jurídicas

Prestación del servicio y gestión de la cuenta del cliente (alta, panel, publicación de la carta, comandas, soporte): ejecución de un contrato o aplicación de medidas precontractuales (art. 6.1.b RGPD).
Facturación y cumplimiento de obligaciones fiscales, contables y mercantiles: cumplimiento de una obligación legal (art. 6.1.c RGPD).
Seguridad del servicio, prevención del fraude y del abuso (control de accesos, rate limiting, registros técnicos): interés legítimo del responsable (art. 6.1.f RGPD) en proteger su infraestructura y los datos de sus clientes.
Comunicaciones operativas relacionadas con el servicio contratado (avisos de uso, cambios, incidencias, cobros): ejecución del contrato (art. 6.1.b RGPD) y, en su caso, interés legítimo (art. 6.1.f RGPD).
Atención de consultas recibidas por correo electrónico u otros canales: interés legítimo (art. 6.1.f RGPD) o medidas precontractuales (art. 6.1.b RGPD).
Comunicaciones del servicio (avisos de cobro, vencimientos, cambios y notificaciones operativas): ejecución del contrato (art. 6.1.b RGPD).
Envío de novedades y promociones de Menzavo por correo electrónico: consentimiento del interesado (art. 6.1.a RGPD), otorgado al registrarse. Puede retirarlo en cualquier momento escribiendo a menzavoapp@gmail.com o desde el propio email, sin que ello afecte a las comunicaciones necesarias del servicio.

No se adoptan decisiones automatizadas con efectos jurídicos sobre las personas ni se elaboran perfiles con esos fines.

4. Plazos de conservación

Datos de cuenta y contenido de la carta: mientras la relación contractual esté vigente. Tras la baja, los datos se conservarán bloqueados durante los plazos de prescripción de las responsabilidades legales aplicables y después se suprimirán.
Facturas y datos con relevancia fiscal: un mínimo de 4 años conforme a la normativa tributaria y de 6 años conforme al artículo 30 del Código de Comercio.
Registros técnicos y datos de conexión: un máximo de 12 meses, salvo que sean necesarios para investigar incidentes de seguridad.
Comandas de mesa: se conservan asociadas al restaurante para su operativa y estadísticas; no contienen datos personales de los comensales.

5. Destinatarios y encargados del tratamiento

No se ceden datos personales a terceros, salvo obligación legal (administraciones públicas, jueces y tribunales) y salvo las entidades financieras en la medida imprescindible para la gestión de los cobros (Bizum, transferencia bancaria). Para prestar el servicio se recurre a los siguientes proveedores, que actúan como encargados del tratamiento (art. 28 RGPD) con los correspondientes contratos de encargo:

Vercel Inc.: alojamiento y despliegue de la aplicación web. El servicio se ejecuta en la región de Fráncfort (Alemania, Unión Europea).
Supabase, Inc.: base de datos, autenticación y almacenamiento de archivos. El proyecto está alojado en Fráncfort (región eu-central-1, Unión Europea).
Anthropic, PBC (Estados Unidos): digitalización mediante inteligencia artificial de las cartas remitidas por los restaurantes (ver apartado 6).

6. Transferencias internacionales

Con carácter general, los datos se almacenan y tratan en la Unión Europea (Fráncfort). El uso de Anthropic, PBC para la digitalización de cartas puede implicar una transferencia internacional de datos a Estados Unidos. Dicha transferencia se ampara en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea y, cuando resulte de aplicación, en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework). El material remitido para digitalización (fotografías de cartas y platos) no contiene, con carácter general, datos personales.

7. Derechos de las personas interesadas

Cualquier persona puede ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento, así como a no ser objeto de decisiones individuales automatizadas, dirigiéndose por escrito a menzavoapp@gmail.com, indicando el derecho que desea ejercer y acompañando, si existieran dudas sobre su identidad, copia de un documento identificativo. La solicitud se atenderá en el plazo máximo de un mes.

Asimismo, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es, si considera que el tratamiento de sus datos no se ajusta a la normativa.

8. Medidas de seguridad

Se aplican medidas técnicas y organizativas apropiadas al riesgo, entre otras: cifrado de las comunicaciones (TLS/HTTPS), almacenamiento cifrado de contraseñas, control de acceso por cuenta con aislamiento entre clientes (cada restaurante accede únicamente a sus propios datos), limitación de peticiones abusivas, copias de seguridad y principio de minimización de datos.

9. Datos publicados en las cartas y datos de comensales

Las cartas digitales públicas muestran datos del negocio del restaurante cliente (denominación, platos, precios), publicados por encargo y bajo la responsabilidad de dicho cliente.
Las comandas realizadas desde la mesa registran únicamente el número de mesa y los platos solicitados, sin datos personales del comensal.
El historial de la comanda que ve el comensal se guarda de forma local en su propio dispositivo (localStorage) y se elimina automáticamente pasadas unas horas; véase la Política de cookies.

10. Cambios en esta política

Esta política podrá actualizarse para reflejar cambios normativos o del servicio. La versión vigente, con su fecha de actualización, estará siempre publicada en esta página.