Política de privacidad — NexlyGO, los restaurantes y sus clientes

1. Quién trata sus datos

La plataforma NexlyGO (sitios web de los restaurantes, pedidos y reservas en línea, pedidos por WhatsApp y Telegram, asistentes de chat y de voz, panel y app NexlyGO Manager) está gestionada por Nexly GO [forma jurídica, domicilio social, número de registro — pendiente de confirmar] («Nexly GO», «nosotros»).

Para cualquier pregunta sobre sus datos o para ejercer sus derechos: info@ngo.travel. [Dirección postal, delegado de protección de datos y, en su caso, representante en la Unión Europea o en Suiza — pendiente de confirmar.]

La app NGO (pedidos de platos de varios restaurantes, viajes) tiene su propia política de privacidad, en nexlygo.pro/ngo/privacy: este texto no la sustituye.

2. A quién se dirige este texto

Se refiere a tres grupos de personas:

• los restaurantes socios y las personas que trabajan en ellos (propietario, gerente, equipo) y utilizan la plataforma;
• los clientes de los restaurantes: las personas que hacen un pedido, reservan una mesa, dejan una reseña, escriben a un restaurante o lo llaman a través de la plataforma;
• los visitantes de los sitios web de los restaurantes y de nexlygo.pro.

3. Quién decide qué: Nexly GO y el restaurante

Nexly GO es responsable de los tratamientos sobre los que decide en exclusiva: las cuentas de los restaurantes, el funcionamiento y la seguridad de la plataforma, el pago en línea (cobrado en la cuenta de Stripe de Nexly GO y después abonado al restaurante), la verificación de los restaurantes, el número de WhatsApp y el bot de Telegram comunes a todos los restaurantes, los puntos de fidelidad y el perfil de cliente comunes a todos los restaurantes (sección 5), y los mensajes enviados en nombre de la plataforma.

El restaurante decide qué hace con los pedidos y las reservas que recibe: prepara su pedido, le atiende, se pone en contacto con usted si es necesario, y responde de las herramientas que él mismo añade a su sitio web (sección 6). Para los pedidos y las reservas que se hacen a un restaurante, Nexly GO actúa [como encargado del tratamiento del restaurante (artículo 28 del RGPD), con un acuerdo de tratamiento de datos anexo a las condiciones para socios, o como corresponsable del tratamiento junto con él (artículo 26) — calificación pendiente de validar].

Puede dirigirse a cualquiera de los dos: transmitimos al restaurante las solicitudes que le conciernen, y viceversa.

4. Los datos de los restaurantes socios

• La cuenta: nombre, dirección de correo electrónico, teléfono, contraseña (nunca se guarda tal cual: nuestro servicio de autenticación solo conserva una huella criptográfica, o hash, ilegible incluso para nosotros) o inicio de sesión con Google; los miembros del equipo que usted invita (correo electrónico, nombre, rol).
• El establecimiento: nombre, dirección, país, tipo de cocina, horario, carta y precios, fotos, datos de contacto públicos. Si importa su ficha de Google, tomamos su información pública (puntuación, número de reseñas, teléfono, sitio web, horario, fotos) y copiamos las fotos en nuestro almacenamiento.
• La empresa y las transferencias: razón social, número de empresa o número de identificación fiscal, titular, IBAN y BIC de la cuenta bancaria a la que se transfiere el importe de sus ventas. Para las suscripciones y los servicios de pago, Stripe recibe el correo electrónico y el nombre del establecimiento.
• El registro: el idioma de la pantalla, el país deducido de la conexión (nunca la propia dirección IP), la campaña de origen (parámetros utm), la fecha y la versión de las condiciones para socios aceptadas.
• La verificación antes de habilitar los pagos: comparamos el IBAN, el teléfono y el nombre con los de los demás restaurantes, examinamos el tipo de dirección de correo electrónico y si el país de la conexión coincide con el país declarado, y buscamos el establecimiento en Google (nombre y localidad).
• Las comunicaciones con nosotros: mensajes a nuestro servicio de asistencia, correos electrónicos y conversaciones con el asistente del panel, que, para ayudarle, ve los pedidos del día con el nombre de los clientes.
• Las notificaciones: los identificadores técnicos de sus dispositivos (Google Firebase, Apple, navegador) y su número para las llamadas automáticas que avisan de un pedido pendiente. Estas llamadas no se graban y puede desactivarlas.
• El TPV en Francia: para la declaración de conformidad del TPV, el nombre del firmante, la razón social, el SIRET, la dirección IP y el navegador en el momento de la firma.

5. Los datos de los clientes de los restaurantes

• Pedido en línea: nombre, apellidos, dirección de correo electrónico, teléfono, dirección de entrega y su ubicación en el mapa, instrucciones y observaciones, artículos, hora, código promocional, importe, idioma de la página, y si desea recibir o no el boletín informativo (newsletter). En caso de entrega a domicilio, la dirección se envía al servicio de reparto en cuanto se calcula el precio, antes del pago.
• Pago: la tarjeta se introduce en el formulario de Stripe; nunca vemos su número, solo el identificador del pago y los cuatro últimos dígitos.
• Reserva de mesa: nombre, teléfono, correo electrónico, número de personas, fecha, hora y observaciones.
• Reseñas: el nombre que se muestra, la puntuación y el texto; en el caso de las reseñas importadas de Google, el nombre, la foto y el enlace al perfil de su autor.
• Formulario de contacto: nombre, correo electrónico, teléfono y mensaje.
• WhatsApp y Telegram: su número o identificador, su nombre de perfil, sus mensajes (los mensajes de voz se transcriben a texto), su carrito y lo que el asistente guarda para sus próximos pedidos: platos favoritos, última dirección de entrega, alergias y régimen alimentario si los menciona, y un breve resumen redactado por la inteligencia artificial.
• Chat en el sitio web de un restaurante: nombre, correo electrónico y teléfono si los facilita, sus mensajes y su carrito.
• Llamadas: si llama al asistente de voz de un restaurante, su número, la transcripción y el resumen de la llamada, que se anonimizan transcurridos 90 días. Si falta un artículo de su pedido, podemos llamarle para proponerle quedarse con el resto o cancelarlo; su elección (una tecla del teclado) queda registrada.
• Puntos de fidelidad: vinculados a su número de teléfono y válidos en todos los restaurantes de la plataforma; un perfil común (número, nombre, última dirección de entrega) sirve para reconocerle de un restaurante a otro [base jurídica e información a los clientes sobre estos datos comunes a todos los restaurantes — pendiente de validar].
• Seguimiento de la entrega: el enlace de seguimiento muestra el nombre, el teléfono y la ubicación del repartidor.

Las alergias y el régimen alimentario pueden revelar información sobre su salud. Indíquelos solo si lo desea: sirven para preparar su pedido [consentimiento explícito que debe recabarse antes de guardarlos para los pedidos siguientes — pendiente de validar].

Los pedidos recibidos de plataformas de reparto a domicilio (Deliveroo y, cuando la conexión esté activa, Uber Eats) nos llegan con el nombre y el teléfono del cliente, según las normas de esas plataformas.

6. Los visitantes de los sitios web

Medición de audiencia de la plataforma: dos cookies, una para la visita (30 minutos) y otra para reconocer a un visitante que vuelve (365 días). Sirven para contabilizar las páginas vistas, la página de procedencia, la campaña, el dispositivo, el navegador, el idioma, y el país y la ciudad deducidos de la dirección IP, que no se conserva [consentimiento previo o exención para la medición de audiencia — pendiente de validar].

Si llega a través de la función «Pedir» de Google, registramos el identificador de ese clic, el navegador, el país y la página de procedencia, para que el restaurante sepa qué pedidos proceden de Google.

En su dispositivo, el sitio web también guarda su carrito, sus datos de contacto del último pedido (para rellenar el formulario la próxima vez) y el idioma elegido.

Si un restaurante ha añadido Google Analytics o el píxel de Meta a su sitio web, estas herramientas de Google y de Meta se cargan en sus páginas, bajo la responsabilidad del restaurante [obtención del consentimiento antes de que se carguen — pendiente de implantar antes de la publicación].

Algunas páginas muestran contenidos de terceros que reciben su dirección IP: mapas de Google Maps, vídeos de YouTube o Vimeo, fuentes de Google Fonts y el formulario de pago de Stripe. Vercel mide la velocidad de carga de las páginas, sin cookies.

7. Para qué utilizamos estos datos

• Recibir, cobrar, preparar y entregar su pedido, gestionar su reserva e informarle al respecto (ejecución del contrato).
• Mensajes de servicio: confirmación, estado del pedido, seguimiento de la entrega, recordatorio de pago de un pedido iniciado por mensaje, carrito abandonado en una conversación, solicitud de reseña después del pedido [interés legítimo o consentimiento, según el mensaje y el país — pendiente de validar].
• Boletín informativo y ofertas por correo electrónico: solo si ha marcado la casilla al hacer su pedido (consentimiento), con un enlace para darse de baja en cada envío.
• Mensajes promocionales por WhatsApp o Telegram (ofertas de un restaurante, mensaje de seguimiento unos días después de un primer pedido) [base jurídica pendiente de validar: estos envíos todavía no verifican el consentimiento para la prospección comercial].
• Fidelidad: acreditar y utilizar sus puntos (ejecución del programa).
• Gestionar la cuenta de los restaurantes, verificar los registros, transferir el importe de las ventas, facturar y llevar la contabilidad (contrato y obligaciones legales).
• Prevenir el fraude, proteger la plataforma, responder a las solicitudes de asistencia y mejorar el servicio (interés legítimo).
• Inteligencia artificial: responder a sus mensajes y a sus llamadas, recordar sus preferencias, importar la carta de un restaurante a partir de un PDF, una foto o su sitio web, y ayudar a nuestro servicio de asistencia [ejecución del contrato e interés legítimo — pendiente de validar]. No se toma de forma automatizada ninguna decisión que produzca efectos jurídicos para usted.

No vendemos sus datos.

8. Quién recibe sus datos

• El restaurante en el que hace su pedido o su reserva.
• Alojamiento: Supabase (base de datos, cuentas y archivos, en París, en la Unión Europea) y Vercel (servidores de la aplicación, en París, y red de distribución de las páginas).
• Pago: Stripe.
• Entrega a domicilio: el servicio de reparto elegido por el restaurante (Uber Direct o, según el restaurante, Stuart, Shipday, DoorDash, Deliveroo o Pikup) recibe su nombre, su teléfono, la dirección y las instrucciones de entrega.
• TPV y programas que un restaurante ha conectado a la plataforma (HubRise, Deliverect, RusHour, NexlyHUB, Square, SumUp): el detalle del pedido y, según el programa, su nombre, su teléfono, su correo electrónico y la dirección.
• Mensajes y llamadas: Resend (correos electrónicos), Twilio (SMS y llamadas), Telnyx (llamadas), Meta (WhatsApp), Telegram, Vapi (asistente de voz, con Deepgram para el reconocimiento del habla y Microsoft Azure para la voz).
• Boletín informativo: Brevo, cuando se le envía la lista de suscriptores de un restaurante para una campaña.
• Inteligencia artificial: Anthropic (Claude) y OpenAI (GPT, transcripción de los mensajes de voz).
• Google: notificaciones (Firebase), búsqueda y direcciones de los restaurantes, mapas, fichas de los restaurantes para la función «Pedir» de Google, y Google Analytics si un restaurante lo ha activado. Apple: notificaciones en iPhone.
• Direcciones y códigos postales: los servicios públicos de direcciones de Francia (data.gouv.fr) y de Suiza (geo.admin.ch), y Zippopotam para los códigos postales suizos.
• Importación de una carta desde un sitio web: ScraperAPI o ScrapingBee leen la página por cuenta nuestra.
• Las autoridades, cuando la ley así lo exija.

9. Datos enviados fuera de la Unión Europea y de Suiza

La base de datos está en París. Varios proveedores están establecidos en Estados Unidos o tratan datos allí, en particular Stripe, Twilio, Resend, Meta, Anthropic, OpenAI, Google, Uber y Vapi.

Estas transferencias se basan en [las cláusulas contractuales tipo de la Comisión Europea, el Data Privacy Framework u otra garantía — pendiente de verificar para cada proveedor y de enumerar aquí].

10. Cuánto tiempo conservamos sus datos

• Transcripciones y resúmenes de llamadas: 90 días; después se anonimizan.
• Pedidos y documentos contables: [10 años para los documentos contables; datos de contacto de los clientes: plazo pendiente de fijar].
• Conversaciones por WhatsApp, por Telegram y en los sitios web, y preferencias que guarda el asistente: [plazo pendiente de fijar].
• Reservas, reseñas y mensajes del formulario de contacto: [plazo pendiente de fijar].
• Medición de audiencia: cookie de visita, 30 minutos, y cookie de visitante, 365 días; datos de las visitas: [plazo pendiente de fijar].
• Cuentas de los restaurantes: mientras dure la relación y, después, [plazo pendiente de fijar, sin perjuicio de las obligaciones contables].
• Boletín informativo: hasta que se dé de baja.

[Pendiente de implantar antes de la publicación: salvo en el caso de las transcripciones de llamadas, todavía no hay ninguna eliminación automática en funcionamiento.]

11. Sus derechos

Puede solicitar el acceso a sus datos, su rectificación, su supresión, la limitación de su uso o su portabilidad, y oponerse en cualquier momento a su uso, en particular con fines de prospección comercial. Si un tratamiento se basa en su consentimiento, puede retirarlo en cualquier momento.

Escriba a info@ngo.travel: respondemos en el plazo de un mes [verificación de la identidad del solicitante — procedimiento pendiente de concretar]. Para un pedido o una reserva, también puede dirigirse al restaurante.

Para dejar de recibir el boletín informativo: el enlace para darse de baja que figura en cada correo electrónico. Para dejar de recibir mensajes promocionales por WhatsApp o Telegram: escríbanos [baja directamente en la conversación — pendiente de implantar].

Puede presentar una reclamación ante una autoridad de protección de datos: en Francia, la CNIL; en Suiza, el Encargado Federal de Protección de Datos y Transparencia (FDPIC); en Italia, el Garante per la protezione dei dati personali; en España, la Agencia Española de Protección de Datos (AEPD); en Portugal, la Comissão Nacional de Proteção de Dados (CNPD).

12. Cookies y almacenamiento en su dispositivo

• Imprescindibles: el inicio de sesión en el panel de los restaurantes (cookies de sesión de nuestro servicio de autenticación) y la elección del establecimiento activo (7 días); el pago (cookies de Stripe contra el fraude).
• Medición de audiencia de la plataforma: visita (30 minutos) y visitante (365 días); véase la sección 6.
• Almacenamiento local: carrito, datos de contacto del último pedido, idioma, identificador de visita y, mientras dura la visita, el identificador de un clic procedente de Google.
• Herramientas añadidas por un restaurante (Google Analytics, píxel de Meta) y contenidos de terceros (Google Maps, YouTube, Vimeo): sus propias cookies, según sus propias normas.

[Banner de consentimiento para las cookies que no son imprescindibles — pendiente de implantar y de describir aquí.]

13. Seguridad

Las comunicaciones están cifradas (HTTPS), el acceso a los datos está reservado a las personas que lo necesitan, las contraseñas nunca se guardan en texto claro, los datos de las tarjetas permanecen en Stripe y las credenciales de acceso a WhatsApp de los restaurantes están cifradas. Ninguna medida es infalible: en caso de una violación de datos que suponga un riesgo, avisamos a la autoridad competente y, si es necesario, a las personas afectadas.

14. Menores

La plataforma no está dirigida a niños [edad mínima para hacer pedidos o crear una cuenta — pendiente de fijar según el país].

15. Modificaciones

Cada versión de este texto está fechada. Si lo modificamos de forma importante, avisamos a los restaurantes por correo electrónico o en el panel, y actualizamos esta página.

16. Contacto

Nexly GO [forma jurídica, domicilio social, número de registro — pendiente de confirmar] — info@ngo.travel.