Política de privacidad

La empresa indicada arriba es la responsable del tratamiento de tus datos en este sitio web, en nuestros pedidos online y en los servicios aquí descritos. Para cualquier cuestión sobre protección de datos, puedes contactarnos en esos datos de contacto.

Tratamos datos personales solo en la medida en que los necesitamos para la finalidad correspondiente. Para cada finalidad, los apartados siguientes indican qué datos tratamos, con qué base jurídica, quién los recibe y durante cuánto tiempo los conservamos. Al final encontrarás un resumen de todos los plazos de conservación y de todos los destinatarios fuera de la UE.

Para un pedido, una reserva o una candidatura necesitamos los campos marcados como obligatorios; sin ellos no podemos celebrar el contrato ni tramitar la solicitud. Todo lo demás es voluntario. No tomamos decisiones basadas únicamente en el tratamiento automatizado en el sentido del art. 22 RGPD.

Este sitio web se sirve a través de Firebase Hosting de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda. Con cada solicitud, el proveedor trata los datos técnicamente necesarios: dirección IP, fecha y hora, la dirección solicitada, cantidad de datos transferidos, página de referencia e identificador del navegador (user agent). La finalidad es servir el sitio de forma segura y fiable; la base jurídica es el art. 6(1)(f) RGPD. Google también puede transferir datos a Google LLC en EE. UU. (véase «Destinatarios fuera de la UE»).

Conservación de los registros del servidor: 30 días.

Los pedidos, cuentas de cliente, reservas, consultas y todos los demás datos que nos envías a través del sitio web se almacenan y tratan en Supabase Inc. (EE. UU.) como nuestro encargado del tratamiento (art. 28 RGPD). Supabase proporciona la base de datos, el inicio de sesión, el almacenamiento de archivos y las funciones de servidor; allí también se generan registros técnicos con direcciones IP. Ubicación del servidor de nuestra instancia: Fráncfort del Meno, Alemania (región de AWS eu-central-1). Las transferencias a EE. UU. están cubiertas por las cláusulas contractuales tipo de la UE incluidas en el acuerdo de encargo del tratamiento de Supabase.

Para que el sitio funcione, guardamos cierta información en tu navegador (cookies, almacenamiento local, almacenamiento de sesión): tu idioma, tu elección sobre cookies, tu carrito y tus datos de entrega a domicilio o recogida, el identificador de un pedido en curso con su clave de acceso, el identificador de un chat, los filtros de alérgenos que hayas configurado y, solo con tu consentimiento a «Preferencias», tu esquema de colores. Esta información se queda en tu navegador; solo se envía cuando usas la función correspondiente.

El almacenamiento estrictamente necesario se realiza sin consentimiento (art. 25(2) n.º 2 TDDDG, art. 6(1)(b) y (f) RGPD). Todo lo demás, en particular Google Analytics, solo se realiza con tu consentimiento a través del banner de cookies (art. 25(1) TDDDG, art. 6(1)(a) RGPD). Puedes cambiar o retirar tu elección en cualquier momento con efectos para el futuro:

Si permites «Analítica» en el banner de cookies, utilizamos Google Analytics 4 de Google Ireland Limited (dirección arriba). Google Analytics instala cookies (_ga, _ga_*) que contienen un identificador generado aleatoriamente para tu navegador (client ID) y comunica a Google las páginas vistas y los eventos: las páginas que abres (sin parámetros de consulta ni claves de acceso), la hora, la página de referencia, el idioma configurado, el tamaño de pantalla, el tipo de dispositivo y de navegador, y la ubicación aproximada que Google deduce de tu dirección IP. Los datos son seudónimos, no anónimos: el client ID permite vincular tus visitas entre sí.

La finalidad es entender cómo se usan nuestras páginas y mejorarlas. La base jurídica es tu consentimiento (art. 25(1) TDDDG, art. 6(1)(a) RGPD). El destinatario es Google; los datos pueden transferirse a Google LLC en EE. UU., que está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework). Las cookies caducan al cabo de hasta 2 años; Google conserva los datos de eventos durante 2 meses.

Retirada del consentimiento: abre los ajustes de cookies (botón más arriba, en «Cookies y almacenamiento del navegador», o en el pie de página) y desactiva «Analítica». A partir de ese momento no se envía nada más a Google y se eliminan las cookies de Analytics. Más información sobre el tratamiento de Google: policies.google.com/privacy.

Al margen de Google Analytics, contamos las páginas vistas en nuestras propias estadísticas sin cookies. Por cada visita guardamos la página, el tipo de dispositivo, un país deducido de la zona horaria, el idioma, la página de referencia y un valor de control (hash) de tu dirección IP y del identificador del navegador, que cambia a diario y se genera con una clave secreta. El valor de control solo sirve para no contar dos veces las visitas de un mismo día; se elimina al cabo de 2 días. Después solo quedan cifras agregadas sin ninguna referencia personal. La base jurídica es nuestro interés legítimo en una medición sencilla de la audiencia (art. 6(1)(f) RGPD). Los datos se almacenan en Supabase.

Cuando abres uno de nuestros códigos QR o enlaces cortos, guardamos la hora, el identificador del navegador, la página de referencia y un valor de control de tu dirección IP que cambia a diario (nunca la propia dirección IP), y eliminamos estas entradas al cabo de 90 días.

Cuando nos haces un pedido, tratamos los datos del formulario de pedido: nombre, número de teléfono, dirección de correo electrónico (obligatoria para el pago online), para la entrega a domicilio la dirección, para la recogida en tu coche la matrícula, el color y el modelo, tus notas, los platos pedidos, las opciones elegidas, la propina y la hora deseada. La finalidad es ejecutar el contrato: preparar, entregar o servir el pedido, facturarlo y mantenerte informado de su progreso (art. 6(1)(b) RGPD). Un enlace secreto te permite seguir tu pedido en directo.

Pago: Los pagos online los gestiona Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlanda. Introduces los datos de tu tarjeta directamente en Stripe; nosotros nunca los recibimos. Stripe también trata datos del dispositivo y de la conexión para prevenir el fraude y puede transferir datos a Stripe, Inc. en EE. UU. (Data Privacy Framework). Cuando Stripe verifica pagos bajo su propia responsabilidad (por ejemplo, para prevenir el fraude), se aplica la política de privacidad de Stripe.

Ticket de caja: Cada pedido se firma como transacción de caja con un dispositivo técnico de seguridad (TSE). Para ello enviamos los datos de la transacción (importes, artículos, horas, sin datos de contacto) a nuestro proveedor de TSE fiskaly (con sede en la UE). La base jurídica es nuestra obligación legal (art. 146a del Código Tributario alemán (AO), art. 6(1)(c) RGPD).

Conservación: Anonimizamos el nombre, el teléfono, el correo electrónico, la dirección, las notas y los datos del vehículo de un pedido de invitado 12 meses después del pedido, salvo que tengas una cuenta de cliente o una tarjeta de sellos confirmada. Conservamos importes, artículos, tickets y facturas hasta 10 años por la normativa fiscal y mercantil (art. 147 AO, art. 257 HGB, art. 14b UStG).

Si pides a través de una plataforma como Wolt o Lieferando, la propia plataforma es responsable de tus datos en el proceso de pedido. El pedido (platos, hora y, en la medida en que la plataforma los transmita, nombre, teléfono y dirección de entrega) nos llega a través del servicio de interfaz Mergeport (con sede en la UE). Lo usamos solo para preparar y entregar el pedido (art. 6(1)(b) RGPD). Eliminamos los datos de contacto de los datos brutos almacenados 30 días después de su recepción; los importes y artículos se conservan como en cualquier pedido.

Después de un pedido puedes elegir recibir notificaciones push sobre su progreso. Si lo permites en tu navegador, guardamos junto con el pedido la dirección push y las claves que tu navegador genera para ello. Los mensajes pasan por el servicio push del fabricante de tu navegador (p. ej., Google, Apple, Mozilla o Microsoft), que puede estar ubicado fuera de la UE. La base jurídica es tu consentimiento (art. 6(1)(a) RGPD, art. 25(1) TDDDG); lo retiras desactivando las notificaciones en tu navegador. Eliminamos la dirección push en cuanto el servicio push la declara no válida; en cualquier caso, la eliminamos tras 12 meses sin uso.

Si creas una cuenta de cliente, guardamos tu dirección de correo electrónico, nombre, número de teléfono, direcciones guardadas y tus pedidos, para que puedas pedir más rápido y encontrar pedidos anteriores (art. 6(1)(b) RGPD). El inicio de sesión funciona a través de Supabase. Si inicias sesión con Google o Facebook, el proveedor (Google Ireland Limited o Meta Platforms Ireland Limited) nos facilita tu nombre, tu dirección de correo electrónico y un identificador; lo que trate el propio proveedor se rige por su propia política de privacidad. La cuenta existe hasta que la eliminas o nos pides que la eliminemos; después conservamos los datos de pedidos y tickets solo dentro de los plazos legales.

Solo si marcas la casilla de la tarjeta de sellos al hacer un pedido creamos una tarjeta de sellos con tu dirección de correo electrónico y te enviamos un email para confirmarla. Guardamos la dirección de correo electrónico, los sellos acumulados con referencia a cada pedido, la hora de confirmación y los vales emitidos. La finalidad es gestionar el programa de sellos según nuestras condiciones de participación (art. 6(1)(b) RGPD). La tarjeta de sellos existe hasta que nos pidas eliminarla; una tarjeta que no ha recibido ningún sello durante 24 meses se elimina automáticamente.

Para la newsletter necesitamos tu dirección de correo electrónico. Tras suscribirte te enviamos un email con un enlace de confirmación (doble opt-in); solo entonces empiezas a recibir correos. Guardamos tu dirección de correo electrónico, el idioma, los temas elegidos, las horas de suscripción y de confirmación, así como el identificador de tu navegador y un valor de control (hash) de tu dirección IP, para poder acreditar tu consentimiento. El envío se realiza a través de Amazon SES (Amazon Web Services, Fráncfort, véase más abajo).

Segmentación: Para que no todos los mensajes lleguen a todo el mundo, también seleccionamos a los destinatarios por idioma, por los temas elegidos, por si se han hecho pedidos con tu dirección de correo electrónico y con qué frecuencia (periodo, número, tipo de pedido), por cuántos sellos tiene tu tarjeta de sellos y por si perteneces a uno de nuestros clientes de empresa.

Seguimiento de aperturas y clics: Nuestras newsletters contienen un píxel de seguimiento invisible y enlaces que se redirigen a través de Amazon SES. Así sabemos, por cada destinatario, si se abrió un mensaje y cuándo, y en qué enlace se hizo clic. De este modo vemos qué contenidos funcionan.

La base jurídica de la newsletter, la segmentación y el seguimiento es tu consentimiento (art. 6(1)(a) RGPD, art. 7(2) n.º 2 UWG, art. 25(1) TDDDG). Puedes retirarlo en cualquier momento mediante el enlace de baja que incluye cada email. Después de darte de baja no te enviamos nada más y eliminamos tu dirección al cabo de 30 días. Para que no vuelvas a recibir correos por error, por ejemplo a través de una nueva importación, solo conservamos un valor de control de tu dirección en una lista de bloqueo. Se genera con una clave secreta (HMAC) y no puede vincularse a la dirección sin esa clave; la base jurídica es nuestro interés legítimo en respetar tu negativa (art. 6(1)(f) RGPD). Lo mismo se aplica si nos pides que suprimamos tus datos. Solo una nueva suscripción con el enlace de confirmación levanta el bloqueo. Conservamos la prueba de tu consentimiento (momentos de la suscripción y de la confirmación) durante 3 años después de que te des de baja, para poder acreditar el consentimiento (art. 6(1)(c) y (f) RGPD).

Para una reserva tratamos tu nombre, número de teléfono, dirección de correo electrónico, fecha, hora, número de personas y tu nota, para reservar la mesa y poder contactarte si tenemos alguna pregunta (art. 6(1)(b) RGPD). Enviamos la confirmación por email a través de Amazon SES. 12 meses después de la visita anonimizamos el nombre, los datos de contacto y las notas.

Para una solicitud de catering tratamos tu nombre, dirección de correo electrónico, número de teléfono, la ocasión, la fecha, el número de invitados, los deseos de comida y de dieta y tu mensaje, para hacerte un presupuesto y realizar el encargo (art. 6(1)(b) RGPD). Para evitar abusos guardamos un valor de control (hash) de la dirección IP. Conservación: presupuestos y encargos dentro de los plazos legales de conservación; las solicitudes que no dan lugar a un encargo se eliminan a los 6 meses.

Si nos escribes a través del formulario de contacto o por email, tratamos tu nombre, dirección de correo electrónico y mensaje para responderte (art. 6(1)(b) RGPD; para consultas generales, (f)). El mensaje nos llega a través de Amazon SES; para evitar abusos solo guardamos un valor de control (hash) de la dirección de correo electrónico.

Puedes dejar tu opinión sin nombre ni dirección de correo electrónico. Si nos los das, los usamos para responder a tu opinión (art. 6(1)(f) RGPD). Eliminamos las opiniones a los 12 meses.

En el chat del sitio web tratamos tu nombre, tu dirección de correo electrónico (si la indicas), tus mensajes, el idioma y el identificador del navegador, para responder a tus preguntas (art. 6(1)(b) RGPD; para preguntas generales, (f)).

Los mensajes de voz son voluntarios. Te informamos sobre ellos antes de la primera grabación; al iniciar la grabación, consientes que almacenemos y escuchemos la grabación, es decir, tu voz (art. 6(1)(a) RGPD). Puedes retirar tu consentimiento en cualquier momento; basta con decírnoslo en el chat o por email.

Eliminamos el historial del chat y los mensajes de voz 90 días después del último mensaje. Los datos se almacenan en Supabase.

Si te presentas a un puesto con nosotros, tratamos los datos del formulario (nombre, correo electrónico, teléfono, mensaje, área y horario preferidos) y los documentos que subas, para decidir sobre tu candidatura (art. 26 BDSG, art. 6(1)(b) y art. 88 RGPD). Para evitar abusos guardamos el identificador de tu navegador y un valor de control (hash) de la dirección IP. Solo tienen acceso las personas que deciden sobre la contratación. Eliminamos la candidatura y los documentos 6 meses después de nuestra decisión (oferta o rechazo) o, si no llegamos a decidir, 6 meses después de su recepción, para poder defendernos frente a posibles reclamaciones conforme a la Ley General alemana de Igualdad de Trato (AGG). Si te contratamos, trasladamos los datos necesarios a tu expediente personal.

No necesitamos tu consentimiento para la candidatura. Solo si marcas en el formulario la casilla opcional «bolsa de talento» tendremos en cuenta también tu candidatura, con tu consentimiento (art. 6(1)(a) RGPD), para otros puestos o puestos futuros. Puedes retirar ese consentimiento en cualquier momento con efectos para el futuro; basta con un breve mensaje. Con este consentimiento conservamos tu candidatura hasta 2 años después de su recepción; sin él, se aplica el plazo de 6 meses.

Clientes de empresa: Para una cuenta de empresa tratamos los datos de la empresa y el nombre, el correo electrónico y el teléfono de las personas de contacto, para ejecutar y facturar el contrato (art. 6(1)(b) RGPD).

Empleados: Para que los empleados de un cliente de empresa puedan pedir a cargo de la empresa o con una aportación de la empresa, recibimos de su empleador o de ellos mismos su nombre, dirección de correo electrónico y, en su caso, número de teléfono, número de empleado y departamento. Usamos estos datos para asignar los pedidos, para imprimir el número de empleado en las comandas de cocina y en los tickets de caja, y para facilitar al empleador los pedidos y los extractos (art. 6(1)(b) y (f) RGPD). El cliente de empresa y nosotros somos responsables independientes. Encontrarás todos los detalles en el aviso de privacidad para empleados de clientes de empresa.

En el sitio web mostramos reseñas que los clientes han publicado en Google: nombre o nombre visible, estrellas, texto y fecha. Las obtenemos a través de la interfaz de Google y las almacenamos para presentar nuestro restaurante con voces reales (art. 6(1)(f) RGPD). Si no quieres que tu reseña siga apareciendo aquí, escríbenos; la reseña en sí la gestionas en Google, desde tu cuenta de Google.

Enviamos las confirmaciones de pedido, los emails de reservas y de la tarjeta de sellos, las newsletters y las respuestas a formularios a través de Amazon Simple Email Service (Amazon SES) de Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburgo, como nuestro encargado del tratamiento (art. 28 RGPD). AWS trata la dirección de correo electrónico, el contenido y la información de entrega, incluido si se abrió una newsletter y en qué enlace se hizo clic. Ubicación de los servidores: Fráncfort del Meno, Alemania (región de AWS eu-central-1). No se pueden descartar transferencias a Amazon Web Services, Inc. en EE. UU.; están amparadas por el EU-U.S. Data Privacy Framework, en el que Amazon Web Services, Inc. está certificada, y por las cláusulas contractuales tipo de la UE del anexo de tratamiento de datos de AWS. Las fuentes de nuestros emails se cargan desde nuestro propio servidor, no desde Google.

Servimos todas las fuentes de este sitio web y de nuestros emails desde nuestro propio servidor. No se establece ninguna conexión con Google Fonts ni con ningún otro proveedor de fuentes.

No incrustamos ningún mapa; enlazamos a Google Maps. Solo cuando haces clic en uno de esos enlaces sales de nuestro sitio, y entonces Google trata tus datos bajo su propia responsabilidad: policies.google.com/privacy.

Si eliminas algo antes o nos pides que lo hagamos, lo eliminamos antes, salvo que lo impida una obligación legal de conservación.

Algunos de nuestros proveedores de servicios tienen su sede en EE. UU. o pueden transferir datos allí. Esto solo ocurre sobre una de las siguientes bases: la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU. (DPF) para empresas certificadas, o las cláusulas contractuales tipo de la UE (art. 46(2)(c) RGPD).

fiskaly (TSE) trata los datos en la UE.

Tienes derecho de acceso (art. 15 RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18) y portabilidad de los datos (art. 20). Puedes retirar un consentimiento en cualquier momento con efectos para el futuro (art. 7(3)); el tratamiento realizado hasta la retirada sigue siendo lícito.

Derecho de oposición (art. 21 RGPD): Cuando tratamos datos sobre la base de nuestro interés legítimo (art. 6(1)(f)), puedes oponerte en cualquier momento por motivos relacionados con tu situación particular. Puedes oponerte a la publicidad por email en cualquier momento sin indicar motivos.

Basta con escribir a info@alsafi-heidelberg.de. También puedes presentar una reclamación ante una autoridad de control de protección de datos (art. 77 RGPD), por ejemplo la competente para nosotros: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Comisionado Estatal para la Protección de Datos y la Libertad de Información de Baden-Wurtemberg), Lautenschlagerstraße 20, 70173 Stuttgart, Alemania.