Versión 1.8 · Última actualización: 29 de septiembre de 2026

Política de Privacidad

Esta política explica cómo se tratan los datos personales en el sitio MenuXS, en las cuentas profesionales y durante el uso de los menús y el sistema de pedidos.

1. Responsable del tratamiento y contactos

El responsable del tratamiento para los tratamientos propios de la plataforma es 3SIGMA SOCIETÀ A RESPONSABILITÀ LIMITATA SEMPLIFICATA, en forma abreviada 3Sigma s.r.l.s. a socio unico, gestor del servicio MenuXS, con domicilio social en Via Antonio Viri 16, 00124 Roma (RM), Italia; C.F., número de Registro de Empresas y P.IVA 12847171001; Registro de Empresas de Roma; REA RM-1404631; capital social €500,00 íntegramente suscrito y desembolsado.

Contacto: 3Sigma s.r.l.s. – Oficina de Privacidad; correo electrónico privacy@menuxs.io; PEC 3sigma@pec.it. La Oficina de Privacidad es un referente organizativo y no está cualificada como Responsable de la Protección de Datos (DPO/RPD).

2. Cuándo el restaurante es responsable del tratamiento

Cuando consultas el menú de un restaurante, realizas un pedido, guardas una dirección o comunicas preferencias al local, el restaurante indicado en el menú o en la confirmación del pedido determina las finalidades del tratamiento y es el referente principal. MenuXS trata dichos datos para proporcionar la plataforma según las instrucciones del restaurante.

Para ejercer derechos relativos a un pedido o a la relación con el local, puedes contactar directamente al restaurante. Si escribes a MenuXS, transmitiremos la solicitud al restaurante competente y proporcionaremos la asistencia prevista por la ley.

3. Datos tratados

• Datos de navegación y seguridad: dirección IP, fecha y hora, URL, user agent, eventos técnicos, identificadores de sesión, intentos de acceso y logs antifraude.
• Análisis, previo consentimiento: hostname, ruta sin parámetros de búsqueda, referrer, idioma, dimensiones de pantalla y eventos categóricos del embudo de registro y activación de comercios. No se envían a Umami nombres, correos electrónicos ni identificadores de usuario, local, menú o pedido.
• GA4, con consentimiento de Análisis: páginas vistas y eventos categóricos sin parámetros, correos, nombres ni identificadores de la aplicación. Google Signals, datos proporcionados por usuarios y personalización publicitaria permanecen desactivados.
• Vercel Web Analytics: estadísticas agregadas sin cookies; se depuran las URL y se excluyen menús, checkout, pedidos y rutas con identificadores.
• Atribución publicitaria, previo consentimiento: páginas visitadas del embudo de comercios, registro, inicio del checkout, activación de la suscripción, parámetros oppref/obref e identificadores de evento seudónimos.
• Cuenta de comerciante y personal: correo electrónico, nombre, teléfono, avatar, rol, tiendas asociadas, preferencias, accesos y aceptaciones contractuales.
• Datos de la tienda: razón social/nombre comercial, contactos, dirección, dominio, menú, imágenes, configuraciones, datos fiscales y de suscripción.
• Clientes y pedidos: nombre, correo electrónico, teléfono, direcciones y coordenadas proporcionadas, productos, importes, notas, estado e historial del pedido.
• Pagos: identificadores y estado de la transacción. Los datos completos de la tarjeta son recogidos directamente por el proveedor de pago y no son almacenados por MenuXS.
• Asistencia y comunicaciones: solicitudes, mensajes, adjuntos e información necesaria para la resolución.
• Boletín/lista de espera: correo electrónico, consentimiento, fecha y fuente de suscripción.
• Notificaciones: endpoint y claves técnicas de la suscripción push, o el canal de entrega elegido por el comerciante.

Evita introducir en las notas datos innecesarios o categorías particulares de datos. Si comunicas alergias o información sanitaria, hazlo solo cuando sea indispensable para la preparación del pedido y sabiendo que serán recibidas por el restaurante.

4. Finalidades y bases jurídicas

5. Modalidades y decisiones automatizadas

El tratamiento se realiza con herramientas electrónicas y medidas destinadas a garantizar la confidencialidad, integridad y disponibilidad. MenuXS no adopta, actualmente, decisiones exclusivamente automatizadas que produzcan efectos jurídicos significativos sobre los usuarios. Las posibles funcionalidades de IA para importar menús producirán borradores sujetos a verificación humana.

6. Destinatarios y proveedores

Los datos pueden ser tratados por personal autorizado y por los proveedores necesarios para hosting, bases de datos, almacenamiento/CDN, envío de correos electrónicos y SMS, pagos, notificaciones, asistencia, seguridad, boletines y funciones de IA. La lista pública de subencargados y proveedores indica servicios, ubicaciones declaradas, garantías de transferencia y configuraciones aplicables.

El restaurante y sus usuarios autorizados reciben los datos relativos a sus clientes y pedidos. Los datos también pueden ser comunicados a autoridades o profesionales cuando lo exija la ley o sea necesario para tutelar derechos.

7. Transferencias fuera del Espacio Económico Europeo

Algunos proveedores pueden tratar datos en países fuera del EEE. En tales casos, MenuXS aplica los instrumentos previstos en los artículos 44 y siguientes del GDPR, como decisiones de adecuación o Cláusulas Contractuales Tipo, y evalúa las medidas adicionales necesarias. Los detalles dependen del proveedor y están disponibles bajo solicitud.

8. Conservación

• Cuentas y contenidos operativos: durante la duración del servicio; tras la expiración, modo suspendido o solo lectura durante 30 días para permitir la exportación, luego eliminación o anonimización de los sistemas activos dentro de otros 30 días.
• Datos fiscales y de facturación: durante el período requerido por la normativa aplicable, normalmente 10 años.
• Pedidos y perfiles de cliente: según las instrucciones y la política del restaurante; el valor por defecto de la aplicación se documentará en la configuración.
• OTP: 15 minutos o hasta el primer uso.
• Logs de seguridad: máximo ordinario 12 meses, salvo incidente o necesidad de defensa.
• Leads/boletín: hasta la revocación o, indicativamente, 24 meses de inactividad.
• Tickets de asistencia: normalmente 24 meses desde el cierre, salvo necesidad adicional documentada.
• Archivos originales e intermedios de importación de IA: eliminados al completar o al expirar el trabajo, con un ciclo de vida técnico máximo configurado a 24 horas. Cada solicitud OpenRouter impone el enrutamiento Zero Data Retention; el modelo, el proveedor real, la región declarada y el analizador de PDF se registran en la auditoría técnica sin conservar prompts ni contenidos extraídos en el registro.
• Copias de seguridad: eliminación mediante rotación normal dentro de los 90 días posteriores a la eliminación de los sistemas activos; en caso de restauración de emergencia, se reaplican las eliminaciones.

Se aplican excepciones para obligaciones legales, litigios, seguridad o instrucciones documentadas del restaurante, limitadas a los datos necesarios. Las solicitudes de eliminación no se consideran concluidas hasta que las acciones previstas en los sistemas activos y en los proveedores afectados no se hayan registrado.

9. Derechos

En los casos previstos, puedes solicitar acceso, rectificación, supresión, limitación, portabilidad, oposición y revocar el consentimiento sin perjuicio de los tratamientos anteriores. También puedes presentar una reclamación ante el Garante para la protección de datos personales.

Envía la solicitud a privacy@menuxs.io o vía PEC a 3sigma@pec.it. Podríamos solicitar información razonable para verificar la identidad y el alcance de la solicitud. Cuando el responsable del tratamiento sea el restaurante, colaboraremos con este último.

10. Cookies y almacenamiento del navegador

El sitio y la app utilizan cookies o herramientas análogas para funciones técnicas y, solo con consentimiento cuando sea requerido, para análisis y marketing. Los tokens de sesión, el carrito de la compra y las preferencias pueden guardarse en el navegador. Los detalles y los controles están disponibles en la Política de Cookies y a través de “Preferencias de cookies” en el pie de página.

11. Menores

El servicio SaaS está destinado a operadores profesionales. Los pedidos deben ser realizados por personas con capacidad para concluir el contrato con el restaurante o bajo la responsabilidad de quien ejerza la responsabilidad parental. MenuXS no recopila conscientemente datos de menores con fines de marketing.

12. Modificaciones

Podemos actualizar esta política para reflejar la evolución del servicio o de la normativa. Indicaremos la versión y la fecha y, para modificaciones sustanciales, utilizaremos un aviso adecuado.

Medición de Google Ads

Solo con consentimiento de Marketing, usamos Google Ads para atribuir los registros de nuevos establecimientos a campañas publicitarias. La etiqueta se carga en el sitio web y en el proceso de registro de comerciantes, no en los menús públicos ni en el pago de clientes de restaurantes. Google puede tratar identificadores publicitarios y de cookies, dirección IP, datos del navegador y una referencia seudónima del registro. No enviamos correos electrónicos, nombres ni datos de pedidos; las conversiones mejoradas y la personalización de anuncios no están habilitadas. Antes del consentimiento no cargamos la etiqueta ni enviamos pings a Google. Puedes retirar el consentimiento en las preferencias de cookies.

Cookies de atribución _gcl_*, normalmente hasta 90 días; la duración real depende de la cookie y la configuración de Google. La elección de consentimiento se guarda por separado durante 180 días.

Proveedor publicitario para campañas de MenuXS, no subencargado de los datos de pedidos de los comerciantes. Los roles y las transferencias internacionales se rigen por los términos de Google aplicables al servicio, incluidas las garantías DPF/SCC cuando corresponda. Google Privacy · Google Ads terms · DPF / SCC