1. Compromiso con la Privacidad y la LGPD
En Cardapage, la privacidad y la seguridad de la información son pilares fundamentales de nuestra arquitectura tecnológica. Esta Política de Privacidad describe de manera clara y transparente cómo tratamos los datos personales en total conformidad con la Ley General de Protección de Datos de Brasil (Ley Federal n.º 13.709/2018 - LGPD) y con el Marco Civil de Internet (Ley n.º 12.965/2014).
Aplicamos el principio de Privacy by Design and by Default: nuestra arquitectura recopila estrictamente el volumen de datos necesario para cumplir el pedido y prestar el servicio hotelero o gastronómico.
2. Roles en el Tratamiento (Controlador vs. Operador)
Según las definiciones de la LGPD, la actuación de Cardapage se divide en dos roles distintos:
Cardapage como Controlador
Somos controladores de los datos de registro de los establecimientos asociados, administradores, operadores y personas de contacto comercial y de soporte técnico.
Cardapage como Operador
Al procesar pedidos realizados por huéspedes y clientes finales mediante los códigos QR de mesas, habitaciones o cabañas, actuamos como Operador (encargado del tratamiento) en nombre del establecimiento asociado, que actúa como Controlador principal del servicio de consumo u hospedaje.
3. Qué Datos Recopilamos y Por Qué
Recopilamos los datos según el perfil de uso de la plataforma:
A. Datos de Gerentes y Usuarios del Equipo (Panel Web)
- Nombre completo, correo electrónico institucional y teléfono;
- Razón social, nombre comercial, CNPJ (identificación fiscal) y dirección del establecimiento;
- Credenciales de acceso cifradas (contraseña protegida mediante hash);
- Datos de facturación de la suscripción SaaS (procesados mediante una pasarela segura).
B. Datos de Clientes y Huéspedes (Progressive Profiling en el Menú)
- Identificación del punto: Número de la habitación, mesa, cabaña o tumbona escaneada;
- Datos de contacto: Nombre y número de teléfono (con prefijo internacional/de área) para enviar el estado del pedido y la confirmación de entrega;
- Documento opcional (cuando lo exija la posada u hotel): CPF, RG o pasaporte internacional, para conciliar con el PMS del hotel;
- Detalles del pedido: Ítems seleccionados, observaciones de preparación y hora de la solicitud.
C. Datos Técnicos de Navegación
- Dirección IP y registros de fecha/hora de acceso (Art. 15 del Marco Civil);
- Tipo de navegador, idioma preferido y resolución de pantalla.
4. Huéspedes y Turistas Internacionales
Cardapage fue desarrollado para atender a establecimientos que reciben turistas internacionales. Ofrecemos soporte multilingüe (portugués, inglés y español), soporte para el formato telefónico internacional (E.164) y aceptación de pasaporte o DNI.
El tratamiento de datos de ciudadanos extranjeros (como residentes de la Unión Europea bajo el RGPD) sigue los mismos criterios de minimización de datos, finalidad legítima y seguridad establecidos en la LGPD.
5. Bases Legales para el Tratamiento
Todo tratamiento de datos personales en Cardapage se ampara en una de las hipótesis legales previstas en el Artículo 7 de la LGPD:
- Ejecución de un contrato o de procedimientos preliminares (Art. 7, V): Para hacer posible la transmisión y entrega de los pedidos solicitados por el cliente al establecimiento y gestionar la suscripción SaaS;
- Cumplimiento de una obligación legal o regulatoria (Art. 7, II): Conservación de los registros de conexión exigida por el Marco Civil de Internet y emisión de documentos fiscales;
- Interés legítimo (Art. 7, IX): Para la prevención del fraude, la garantía de estabilidad y la mejora del rendimiento del sistema.
6. Compartición de Datos con Terceros
Cardapage no comercializa ni monetiza los datos personales de usuarios o huéspedes. Los datos se comparten única y exclusivamente en las siguientes circunstancias:
- Con el establecimiento al que se hizo el pedido: Transmisión de los datos del pedido (nombre, habitación/mesa, ítems) a la pantalla KDS de la cocina/barra y al PMS del establecimiento asociado;
- Proveedores de infraestructura en la nube: Servidores y bases de datos con altos niveles de seguridad física y lógica (como AWS, Vercel y Cloudflare);
- Procesadores de pago: Pasarelas financieras certificadas PCI-DSS para el procesamiento seguro de los cobros;
- Orden judicial o autoridad competente: En estricto cumplimiento de la ley o de una resolución judicial formal.
7. Seguridad de la Información y Conservación
Adoptamos medidas técnicas y administrativas rigurosas para resguardar los datos personales contra accesos no autorizados, pérdidas o alteraciones ilícitas:
- Cifrado en tránsito (HTTPS / TLS 1.3);
- Cifrado de datos sensibles en reposo (AES-256);
- Control riguroso de accesos basado en roles (RBAC);
- Registros de auditoría y monitoreo activo contra amenazas;
- Plazo de conservación: Los datos de las sesiones de pedidos en mesas/habitaciones se conservan durante el período necesario para prestar el servicio y para la rendición de cuentas fiscal y operativa, y después se archivan o anonimizan.
8. Tus Derechos como Titular (Art. 18 LGPD)
De conformidad con el Artículo 18 de la LGPD, tienes los siguientes derechos mediante solicitud formal:
10. Transferencia Internacional de Datos
Nuestros servicios de computación en la nube operan con centros de datos en Brasil y en el exterior, bajo cláusulas contractuales de estándar internacional que aseguran niveles de protección compatibles con la LGPD y el RGPD.