Esta política explica cómo tratamos los datos personales en noddal.com y en el servicio Noddal, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
1. Quién trata tus datos
- Responsable: Noddal SL
- NIF: C-5737378
- Domicilio: Calle Franco 56, 28770 Colmenar Viejo (Madrid)
- Contacto para protección de datos: hola@noddal.com
No hemos designado delegado de protección de datos; cualquier consulta se atiende en esa dirección.
2. Cuándo somos responsables y cuándo encargados
Somos responsables de los datos de quienes visitan nuestra web, piden información, contratan Noddal o lo usan (cuenta, facturación, soporte, seguridad y comunicaciones).
Somos encargados de los datos que cada empresa cliente introduce o genera en Noddal sobre otras personas: sus empleados, sus comensales y sus proveedores. En ese caso, el responsable es la empresa cliente, que decide para qué y cómo se usan, debe informar a esas personas y atiende sus derechos. Nosotros solo los tratamos para prestarle el servicio y siguiendo sus instrucciones, como recoge el Contrato de encargo del tratamiento. Si eres empleado o cliente de un restaurante que usa Noddal, dirígete primero a esa empresa; si nos escribes a nosotros, le haremos llegar tu petición.
3. Qué datos tratamos
Clientes y usuarios de Noddal
- Identificación y contacto: nombre, apellidos, correo, teléfono, dirección y foto (opcionales), empresa y cargo.
- Cuenta: credenciales (la contraseña se guarda cifrada), rol y permisos, empresas a las que perteneces y preferencias de la aplicación. Si entras con Google, recibimos de Google tu nombre, tu correo y tu foto de perfil.
- Facturación: razón social, NIF, dirección fiscal, plan contratado, historial de pagos y facturas. Los datos de tarjeta o de cuenta bancaria los recoge Stripe; nosotros solo vemos datos parciales (por ejemplo, los últimos dígitos).
- Contratación por enlace de pago: el texto aceptado, la fecha, la dirección IP y el navegador desde los que se aceptó.
- Uso y seguridad: registros de acceso, dirección IP, dispositivo y navegador, acciones relevantes (registros de auditoría), errores técnicos y el uso que se hace de la aplicación (ver apartado 9).
- Soporte: los mensajes, correos, capturas y archivos que nos envías, y tus valoraciones.
- Noddal IA: las preguntas que haces al asistente y sus respuestas. El historial de conversaciones se guarda en tu navegador durante siete días.
Personas que piden información o una demostración
- Los datos de los formularios de la web (nombre, negocio, teléfono, correo, mensaje). Se guardan según los escribes, para no perder la solicitud si se interrumpe; si no la terminas, puedes pedirnos que los borremos.
- Si hablas con nuestro agente de voz: tu voz, la grabación y la transcripción de la conversación, y un resumen hecho con inteligencia artificial. Si lo pides, una persona del equipo puede unirse a la llamada.
- Las citas que concertamos contigo (fecha, invitación a la videollamada) y los mensajes que intercambiamos por correo, SMS o WhatsApp.
- De dónde llegas: la campaña o el enlace que te trajo, los identificadores de clic de las plataformas de anuncios y un identificador de visitante (ver la Política de cookies).
- Si recibes nuestros correos comerciales: si los abres y en qué enlaces pulsas.
Empleados de nuestros clientes (por cuenta de la empresa cliente)
- Identificación y contacto: nombre, DNI o NIE, correo, teléfono y foto.
- Datos laborales: puesto, centro, jornada, fechas de alta y baja, contratos (incluido el salario bruto anual) y documentos laborales como las nóminas.
- Registro de jornada: entradas, salidas y pausas con su fecha y hora, la dirección IP y el dispositivo desde los que se ficha, las correcciones y quién las aprueba.
- Ubicación en el fichaje: solo si la empresa la activa y el trabajador da su autorización, que queda registrada con el texto que vio y puede retirar desde Fichajes.
- Ausencias y vacaciones, con sus justificantes. Un justificante médico es un dato de salud (categoría especial, artículo 9 del RGPD): la empresa cliente debe limitarse a lo imprescindible.
- Formación y carné de manipulador, tareas, avisos leídos, consumos del personal e informes de jornada.
Comensales de los restaurantes (por cuenta del restaurante)
- Reservas: nombre, correo, teléfono, fecha, número de personas, observaciones que escribas (si indicas alergias o intolerancias, es un dato de salud) y si aceptas recibir comunicaciones del restaurante.
- Mesa con código QR: no pedimos tu identidad. Solo registramos los avisos que envías desde la mesa (por ejemplo, llamar al camarero) y datos técnicos de la visita. La dirección IP se usa solo para evitar abusos y no se guarda en claro, sino como una huella (HMAC).
- En las páginas del restaurante (mesa, reservas) no registramos tus visitas para las campañas de Noddal.
Proveedores de nuestros clientes
Los datos de contacto que aparecen en albaranes, facturas y fichas de proveedor, y los pedidos que el cliente les envía.
4. Para qué los usamos y con qué base
| Finalidad | Base jurídica (art. 6 RGPD) |
|---|---|
| Prestar el servicio, gestionar la cuenta y dar soporte | Ejecución del contrato (6.1.b) |
| Facturar y cumplir obligaciones contables y fiscales | Obligación legal (6.1.c) |
| Seguridad, prevención del fraude y registros de auditoría | Interés legítimo (6.1.f) |
| Analítica de uso y detección de errores para mejorar el producto | Web pública: consentimiento (6.1.a). Dentro de la aplicación: interés legítimo en mejorar y mantener el servicio (6.1.f) |
| Atender solicitudes de información, llamadas del agente de voz y demostraciones | Medidas precontractuales a petición tuya (6.1.b) |
| Medir la eficacia de nuestros anuncios (envío a las plataformas de anuncios de datos seudonimizados) | Interés legítimo (6.1.f); puedes oponerte |
| Enviar novedades de productos similares a clientes | Interés legítimo (6.1.f), con la excepción del art. 21.2 LSSI-CE para clientes, y posibilidad de oposición en cada envío |
| Enviar comunicaciones comerciales a quien no es cliente | Consentimiento (6.1.a) |
| Prestar el servicio a la empresa cliente con los datos de sus empleados, comensales y proveedores | La que tenga la empresa cliente como responsable; nosotros actuamos por su encargo (art. 28 RGPD) |
5. Cuánto tiempo los conservamos
| Datos | Plazo |
|---|---|
| Cuenta y uso del servicio | Mientras la cuenta esté activa y, tras la baja, 60 días para poder exportar los datos |
| Facturación y contratos | 6 años (Código de Comercio) y lo que exija la normativa fiscal |
| Registros de seguridad y auditoría | El tiempo necesario para su finalidad y, como máximo, los plazos legales de prescripción |
| Solicitudes de información que no llegan a contratación | Hasta 2 años desde el último contacto |
| Grabaciones y transcripciones del agente de voz | Hasta 12 meses |
| Analítica de uso (PostHog) | Hasta 24 meses; las grabaciones de sesión, hasta 3 meses |
| Comunicaciones comerciales | Hasta que te des de baja o te opongas |
| Datos tratados por cuenta de una empresa cliente | Lo que decida la empresa cliente. Al terminar el servicio, se devuelven o se suprimen; solo quedan bloqueados los que la empresa nos pida conservar a su disposición o mientras puedan derivarse responsabilidades (art. 33.3 LOPDGDD) |
6. A quién se los comunicamos
No vendemos datos ni los cedemos con fines publicitarios. Para prestar el servicio usamos estos proveedores, que tratan datos por nuestra cuenta como encargados del tratamiento (artículo 28 del RGPD):
| Proveedor | Para qué | Ubicación y garantías |
|---|---|---|
| Supabase | Base de datos, autenticación y almacenamiento de archivos | Servidores en la UE (Irlanda) |
| Vercel | Alojamiento de la web y de la aplicación | EE. UU. y otras regiones: Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo |
| Google (Gemini API) | Lectura de albaranes y facturas, carta desde fotos, sugerencias del TPV, asistente Noddal IA y resúmenes de llamadas | Google Ireland / Google LLC: cláusulas contractuales tipo y Marco de Privacidad |
| Resend | Envío de correos (acceso, avisos, reservas, pedidos, soporte y novedades) | EE. UU.: Marco de Privacidad o cláusulas contractuales tipo |
| Stripe | Cobro de las suscripciones | Stripe Payments Europe (Irlanda) |
| PostHog | Analítica de uso y errores (ver apartado 9) | Servidores en la UE |
| ElevenLabs y LiveKit | Agente de voz y llamadas en directo con el equipo | EE. UU. y UE: cláusulas contractuales tipo |
| EasySendSMS | SMS a quien pide información y avisos del servicio | Fuera del EEE: cláusulas contractuales tipo |
| Render | Alojamiento de nuestro servicio de mensajería de WhatsApp | EE. UU.: cláusulas contractuales tipo |
| Google (Calendar y Meet) | Citas y videollamadas de demostración | Cláusulas contractuales tipo y Marco de Privacidad |
| OpenStreetMap (Nominatim) | Situar en el mapa la dirección de un centro de trabajo | Fundación OpenStreetMap (Reino Unido, con decisión de adecuación) |
WhatsApp. Cuando te escribimos por WhatsApp, el mensaje pasa por los servidores de WhatsApp (Meta), que lo trata como responsable según sus propias condiciones y su política de privacidad.
Plataformas de anuncios. Para saber qué anuncios funcionan, enviamos a Meta Platforms Ireland, Google Ireland y TikTok Technology (Irlanda) un aviso cuando alguien que llegó por un anuncio pide información o contrata. Va con el identificador del clic y con el correo y el teléfono seudonimizados (convertidos en una huella SHA-256), nunca en claro. Esas plataformas actúan como responsables según sus propias políticas.
Integraciones que elige el cliente. Si una empresa conecta su TPV u otra herramienta, los datos se intercambian con ese proveedor por decisión e instrucción de la empresa.
Dentro de cada empresa, el acceso depende de los roles y permisos que configure su propietario: cada persona ve lo suyo, quien supervisa un centro ve el de su centro y el propietario lo ve todo. Si el propietario invita a su gestoría, esta accede a lo que él permita.
También comunicaremos datos a autoridades, jueces y tribunales cuando la ley nos obligue.
7. Transferencias internacionales
Algunos proveedores tratan datos fuera del Espacio Económico Europeo, sobre todo en EE. UU. En esos casos nos apoyamos en una decisión de adecuación de la Comisión Europea (como el Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor está adherido) o en cláusulas contractuales tipo aprobadas por la Comisión, con medidas adicionales cuando hacen falta.
8. Tus derechos
Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar el consentimiento que hayas dado sin que afecte a lo anterior. También tienes derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados que te afecten de forma significativa.
Escríbenos a hola@noddal.com indicando qué derecho quieres ejercer. Si tenemos dudas razonables sobre tu identidad, te pediremos lo necesario para confirmarla. En Perfil → Privacidad puedes descargar una copia de los datos de tu cuenta y eliminarla, y puedes darte de baja de las comunicaciones comerciales con el enlace de cada envío.
Los datos marcados como obligatorios en cada formulario son necesarios para prestar el servicio o atender tu solicitud: sin ellos no podremos hacerlo.
Si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es).
9. Analítica, cookies y medición
Usamos PostHog para entender cómo se usa Noddal y detectar errores: páginas vistas, clics y, en algunos casos, grabaciones de la sesión. En las grabaciones se oculta lo que escribes en los campos, pero puede verse el resto de la pantalla. En la web pública solo se activa si aceptas las cookies analíticas; si has iniciado sesión en la aplicación, se activa al entrar y sigue activa si vuelves a la web. Dentro de la aplicación los datos se asocian a tu cuenta. Puedes oponerte escribiendo a hola@noddal.com. Tienes el detalle de cookies y almacenamiento en la Política de cookies.
10. Inteligencia artificial y decisiones automatizadas
Usamos inteligencia artificial para leer documentos, sugerir relaciones entre productos, crear borradores de la carta, responder en el asistente Noddal IA y resumir llamadas. Los datos se envían al proveedor solo para obtener ese resultado. No tomamos con ellos decisiones automatizadas con efectos jurídicos o significativos sobre las personas: cualquier consecuencia laboral, contable o sanitaria requiere la revisión de una persona de la empresa cliente.
11. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas: cifrado en tránsito, separación estricta entre empresas en la base de datos (seguridad a nivel de fila), roles y permisos, archivos en almacenamiento privado con enlaces temporales, registros de jornada que no se pueden borrar, registros de auditoría, límites de intentos de acceso y revisión automática de secretos en el código. Ninguna medida es infalible: mantén tus credenciales a salvo y revisa los permisos de tu equipo.
12. Menores
Noddal no está dirigido a menores de 14 años y no recogemos sus datos a sabiendas. Si una empresa cliente registra a trabajadores menores de edad legalmente contratados, le corresponde cumplir los requisitos adicionales que procedan.
13. Brechas de seguridad
Si se produce una violación de la seguridad de los datos personales, actuaremos para contenerla y la notificaremos a la Agencia Española de Protección de Datos y, cuando proceda, a las personas afectadas. Si afecta a datos que tratamos por cuenta de una empresa cliente, se lo comunicaremos sin dilación indebida para que pueda cumplir sus propias obligaciones.
14. Cambios en esta política
Podemos actualizar esta política para adaptarla a cambios legales o del servicio. Si los cambios son importantes, te avisaremos por correo electrónico o dentro de la aplicación. La fecha de la última actualización figura al principio.