Política de privacidad

1. Responsable del tratamiento

• Responsable: ML Experience SL (NIF B05399142)
• Domicilio: Calle Río Segura 13, 28669 Boadilla del Monte (Madrid), España
• Contacto de privacidad: privacidad@sukyandaru.com

Esta política describe cómo tratamos los datos personales en el sitio web y en la plataforma Sukyandaru (en adelante, «la Plataforma»), un software de gestión para negocios de hostelería prestado en modalidad SaaS y dirigido a profesionales y empresas.

2. Dos papeles distintos: responsable y encargado

Según de quién sean los datos, actuamos en uno de estos dos papeles:

• Como responsables del tratamiento, respecto de los datos de las personas que se registran y usan la Plataforma (titulares de cuenta y miembros de equipo), de quienes nos contactan o abren tickets de soporte y de los datos de facturación de nuestros clientes. A estos tratamientos se dedica esta política.
• Como encargados del tratamiento, respecto de los datos que cada negocio cliente introduce en la Plataforma sobre terceros: sus propios clientes (por ejemplo, los datos fiscales de un cliente al que emite factura), su personal o sus proveedores. De esos datos el responsable es el negocio cliente, y nosotros los tratamos únicamente siguiendo sus instrucciones, conforme al anexo de encargo de tratamiento de las Condiciones del Servicio. Si eres cliente de un restaurante que usa la Plataforma y quieres ejercer tus derechos sobre esos datos, debes dirigirte al restaurante; nosotros colaboraremos con él para atenderte.

3. Qué datos tratamos

• Datos de cuenta: nombre, dirección de correo electrónico y contraseña (almacenada de forma irreversible mediante hash). Si activas la autenticación de dos factores o las llaves de acceso (passkeys), los secretos asociados se guardan cifrados.
• Datos de la empresa: denominación, NIF, domicilio, datos de contacto y de los locales que des de alta. Si eres autónomo, estos datos son también datos personales.
• Datos del equipo: correos electrónicos de las personas que invitas, su rol, los locales asignados y, en su caso, el PIN de acceso al TPV.
• Datos de uso y seguridad: dirección IP, identificador del navegador (user-agent), registros de sesión y un registro de auditoría de las acciones relevantes realizadas en la cuenta (quién hizo qué y cuándo), que incluye IP y user-agent.
• Soporte: los mensajes y archivos adjuntos que envíes a través del sistema de tickets, junto con el contexto técnico necesario para atenderte.
• Asistente de configuración (IA): las instrucciones de texto libre que escribas al asistente y las respuestas generadas.
• Facturación y pago: los pagos de la suscripción se procesan a través de Stripe. Nosotros no almacenamos los números de tu tarjeta; recibimos de Stripe un identificador de cliente y el estado de la suscripción.
• Datos fiscales: si activas el envío a la AEAT (VERI*FACTU), custodiamos tu certificado electrónico cifrado y los registros de facturación generados.

4. Finalidades y bases jurídicas

• Prestar el servicio (crear y mantener tu cuenta y tu empresa, autenticación, funcionamiento del TPV, sincronización, notificaciones operativas por correo): ejecución del contrato (art. 6.1.b RGPD).
• Gestionar la suscripción y el cobro: ejecución del contrato (art. 6.1.b RGPD) y cumplimiento de obligaciones fiscales y contables (art. 6.1.c RGPD).
• Remitir registros de facturación a la AEAT cuando el cliente opera bajo VERI*FACTU: cumplimiento de una obligación legal del cliente, actuando nosotros por su cuenta (art. 6.1.c RGPD).
• Seguridad, prevención del fraude y auditoría (registros de sesión, IP, registro de auditoría de acciones): interés legítimo en proteger el servicio y las cuentas de nuestros clientes (art. 6.1.f RGPD).
• Atender consultas y soporte, incluida la generación asistida por IA de un primer borrador de respuesta: ejecución del contrato (art. 6.1.b RGPD).
• Mejorar el servicio y elaborar estadísticas agregadas y anonimizadas (ver apartado 5): interés legítimo (art. 6.1.f RGPD) limitado al proceso de agregación y anonimización; el resultado ya no contiene datos personales.

No utilizamos tus datos para publicidad de terceros ni elaboramos perfiles individuales con efectos jurídicos. No tomamos decisiones automatizadas del artículo 22 RGPD.

5. Estadísticas agregadas y anonimizadas

Generamos estadísticas agregadas y anonimizadas a partir de la actividad de la Plataforma — por ejemplo, qué categorías de productos se venden más por zona geográfica, franjas horarias o temporadas. Estas estadísticas se elaboran de forma que no identifican ni permiten identificar a ninguna persona física ni a ningún negocio concreto (se calculan sobre conjuntos y se excluyen segmentos tan pequeños que pudieran reidentificarse). Una vez anonimizada, esa información deja de ser dato personal y podemos usarla, publicarla o comercializarla, por ejemplo en informes sectoriales sobre tendencias de consumo en hostelería. El detalle contractual de este uso figura en las Condiciones del Servicio.

6. Destinatarios y encargados

Para prestar el servicio nos apoyamos en proveedores que tratan datos por nuestra cuenta:

• Alojamiento e infraestructura: proveedor de infraestructura con centros de datos ubicados en la Unión Europea, donde se alojan la aplicación y las bases de datos.
• Stripe Payments Europe, Ltd. (Irlanda) y sus filiales: procesamiento de los pagos de la suscripción.
• Amazon Web Services (Amazon SES): envío de correos transaccionales (verificación de cuenta, invitaciones, avisos del servicio).
• Anthropic: proveedor del modelo de IA que da soporte al asistente de configuración y a la primera respuesta automática de los tickets. Se le envía el texto de tu consulta o instrucción para generar la respuesta; no se utiliza para entrenar sus modelos conforme a sus condiciones comerciales.

Además, comunicamos datos a la Agencia Estatal de Administración Tributaria (AEAT) cuando remitimos registros de facturación VERI*FACTU por cuenta del cliente, y a las administraciones públicas, jueces y tribunales cuando una norma lo exige. No vendemos datos personales ni los cedemos a terceros con fines publicitarios.

7. Transferencias internacionales

La aplicación y sus bases de datos se alojan en la Unión Europea. Algunos proveedores (Stripe, Amazon Web Services, Anthropic) pueden tratar datos desde Estados Unidos; en esos casos la transferencia se ampara en decisiones de adecuación de la Comisión Europea (Marco de Privacidad de Datos UE-EE. UU.) o en cláusulas contractuales tipo, junto con medidas complementarias.

8. Plazos de conservación

• Datos de cuenta y empresa: mientras la cuenta esté activa. Al eliminarla, se bloquean y conservan solo el tiempo necesario para atender responsabilidades legales, y después se suprimen.
• Facturas y documentación fiscal y contable (incluidas las facturas de tu suscripción y los registros VERI*FACTU): los plazos exigidos por la normativa mercantil y tributaria (con carácter general, 6 años conforme al Código de Comercio y al menos 4 a efectos tributarios). Las facturas emitidas son documentos inmutables y no pueden suprimirse durante esos plazos.
• Registros de seguridad y auditoría: como máximo 24 meses, salvo incidente que exija conservarlos más tiempo.
• Tickets de soporte: mientras la cuenta esté activa y, tras su cierre, el tiempo necesario para atender responsabilidades.

9. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a privacidad@sukyandaru.com, indicando el derecho que ejerces y acreditando tu identidad. Responderemos en el plazo máximo de un mes. Si consideras que no hemos atendido correctamente tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

10. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas: cifrado del tráfico (TLS), contraseñas con hash, cifrado de secretos sensibles (segundo factor, certificados fiscales), aislamiento estricto de los datos de cada empresa (arquitectura multi-tenant con separación por empresa), control de acceso por roles, registro de auditoría y copias de seguridad.

11. Menores de edad

La Plataforma se dirige a profesionales y empresas. No está destinada a menores de 18 años y no recogemos conscientemente datos de menores.

12. Cambios en esta política

Podremos actualizar esta política para reflejar cambios normativos o del servicio. Publicaremos la versión vigente en esta página y, si el cambio es sustancial, te lo comunicaremos por un medio visible (correo electrónico o aviso en la Plataforma).