Política de privacidad

Última actualización: 7 de octubre de 2026

En esta política te explicamos qué datos personales tratamos en BuenaCarta, para qué, con qué base legal, durante cuánto tiempo, con quién los compartimos y cómo puedes ejercer tus derechos. Se aplica al panel de gestión (app.buenacarta.com), a las aplicaciones móviles, a las cartas digitales que publican nuestros clientes y a esta web.

1. Responsable del tratamiento

• Titular: Gormaz Informática, S.L. (BuenaCarta; NiceMenu en algunos países)
• NIF: B42194142
• Domicilio: C/ Soria, 2, Bajo, 42300 El Burgo de Osma (Soria), España
• Correo electrónico: correo@gormatica.com
• Teléfono: +34 910 053 838

2. Clientes: titulares de cuentas y usuarios del panel

Cuenta y prestación del servicio

Tratamos tu nombre, tu correo electrónico, tu contraseña (guardada cifrada, nunca en claro), el idioma, los datos de tus establecimientos (nombre, dirección, teléfono, WhatsApp, correo, redes sociales y enlaces), los contenidos de tus cartas, los datos de acceso (fechas de conexión, dirección IP y dispositivo) y la prueba de tu aceptación de las Condiciones de uso (versión, fecha, IP y dispositivo).

Finalidad: crear y mantener tu cuenta, publicar tus cartas, darte soporte, mantener la seguridad del servicio (por ejemplo, limitar los intentos de acceso) y enviarte los avisos necesarios sobre el servicio. Base legal: la ejecución del contrato (art. 6.1.b RGPD) y, para la seguridad, nuestro interés legítimo (art. 6.1.f). Conservación: mientras tu cuenta exista. Si la eliminas, la retiramos al momento del público y borramos definitivamente los datos pasados 14 días; conservamos bloqueada la prueba de aceptación de las condiciones durante el plazo de prescripción de las acciones derivadas del contrato.

Facturación y pagos

Si contratas un plan de pago tratamos tus datos fiscales (razón social, NIF, dirección), tus facturas y el historial de pagos. Los datos de tu tarjeta los trata directamente nuestro proveedor de pagos (Stripe); nosotros solo guardamos la marca, los últimos dígitos y la caducidad. Base legal: la ejecución del contrato y el cumplimiento de obligaciones legales (art. 6.1.c). Conservación: los plazos que exigen las normas mercantiles y tributarias (seis años para la documentación contable), aunque elimines tu cuenta.

Tu carta y tu establecimiento son públicos

Lo que publicas en tu carta (nombre del local, dirección, teléfono, enlaces, platos, precios, fotos) es accesible para cualquiera con el enlace o el código QR, y puede ser indexado por buscadores. Si eres autónomo y usas tu nombre o tu teléfono personal como datos del negocio, ten en cuenta que serán públicos. Base legal: la ejecución del contrato.

Recomendaciones y listados en buenacarta.com

Salvo que lo desactives (al crear el establecimiento o en Ajustes → Establecimiento), tu establecimiento puede aparecer en las páginas de recomendaciones y listados de buenacarta.com, por ejemplo por localidad, por menú del día o por opciones para dietas. Se muestran el nombre comercial, la localidad, la ubicación, el enlace a tu carta y datos de ella; nunca los datos personales de tu cuenta (tu nombre, tu correo o tu contraseña). Base legal: la ejecución del contrato (cláusula 6.4 de las Condiciones de uso) y nuestro interés legítimo en dar a conocer el servicio y a los establecimientos que lo usan. Puedes oponerte en cualquier momento desactivando la opción o escribiéndonos.

Ubicación del establecimiento

Para situar tu establecimiento en el mapa calculamos sus coordenadas a partir de la dirección del local que nos indicas, con servicios de geolocalización: CartoCiudad, del Instituto Geográfico Nacional, para los locales de España, y el de OpenStreetMap (Nominatim, de la Fundación OpenStreetMap). Solo se envía la dirección del negocio. Puedes revisarla y corregirla en el panel; el mapa del panel se carga desde los servidores de OpenStreetMap, que reciben la dirección IP de tu dispositivo, como cualquier web. Base legal: la ejecución del contrato y nuestro interés legítimo.

Estadísticas agregadas y anónimas

Con los datos de las cartas y de su uso elaboramos estadísticas agregadas (por ejemplo, el precio medio del menú del día en una provincia) para mostrarlas en el panel o publicarlas. Solo usamos agrupaciones suficientemente grandes para que no se pueda identificar a ningún establecimiento ni a ninguna persona, por lo que el resultado no contiene datos personales. Base legal: nuestro interés legítimo.

Comunicaciones comerciales

Como cliente podemos enviarte por correo electrónico información sobre productos y servicios nuestros similares a los que usas (art. 21.2 de la Ley 34/2002, LSSI). Puedes oponerte al darte de alta (marcando la casilla correspondiente), con el enlace que incluye cada envío o escribiéndonos. Los avisos necesarios sobre el servicio (seguridad, facturación, cambios en las condiciones) no son comunicaciones comerciales y los seguirás recibiendo mientras tengas cuenta.

Aplicación móvil

• Acceso con huella o reconocimiento facial: si activas esta opción, tu correo y tu contraseña se guardan cifrados únicamente en tu dispositivo. La comprobación biométrica la realiza el sistema operativo del teléfono; la aplicación no accede a tus datos biométricos, no los almacena y no los envía a nuestros servidores. Puedes desactivar esta opción en cualquier momento.
• Notificaciones: si das permiso para recibirlas, se genera un identificador de notificaciones del dispositivo que se asocia a tu cuenta, junto con el sistema operativo (Android o iOS) y la versión de la aplicación. Se usa exclusivamente para enviarte avisos sobre tu carta, tus reservas y tu suscripción. Puedes retirar el permiso desde los ajustes de tu teléfono.

La aplicación no contiene publicidad, no utiliza el identificador de publicidad del dispositivo, no accede a tu ubicación, contactos ni archivos, y no comparte tus datos con terceros con fines comerciales.

3. Comensales: personas que consultan una carta o reservan

• Visitas a la carta: al abrir una carta registramos la dirección IP, la fecha y hora y el establecimiento, para elaborar las estadísticas de visitas del local y por seguridad. El registro con la IP se borra a los 7 días; después solo se conservan contadores sin datos personales. Base legal: interés legítimo.
• Preferencias en la carta: la respuesta a la pregunta de edad (en las cartas con bebidas alcohólicas) y los platos de «Mi selección» se guardan en tu propio navegador. Más información en la Política de cookies.
• Publicidad: las cartas del plan gratuito pueden mostrar anuncios de redes publicitarias de terceros (Google), que pueden usar cookies según lo indicado en la Política de cookies.
• Reservas: si reservas mesa a través de una carta, el responsable de tus datos (nombre, teléfono, correo, número de personas, notas e IP) es el establecimiento; BuenaCarta los trata por su cuenta como encargado del tratamiento. Se anonimizan a los 12 meses de la fecha de la reserva. Para ejercer tus derechos dirígete al establecimiento o a nosotros, y se lo trasladaremos.
• Denuncias de contenido: si nos comunicas un contenido inadecuado desde una carta, tratamos el motivo, el texto que escribas y tu IP para tramitarla y evitar abusos. Base legal: interés legítimo y cumplimiento de obligaciones legales. Se conservan el tiempo necesario para tramitarla y, después, un año.

4. Visitantes de esta web y personas que nos contactan

• Formularios de contacto y «Te llamamos»: tratamos tu nombre, correo, teléfono y mensaje para responderte y, si lo pides, darte información comercial. Base legal: tu consentimiento y la aplicación de medidas precontractuales. Se conservan mientras dure la gestión y, después, un año, salvo que pases a ser cliente.
• WhatsApp y teléfono: si nos escribes por WhatsApp o nos llamas, tratamos tu número y la conversación para atenderte. WhatsApp es un servicio de Meta, con su propia política de privacidad.
• Cookies y analítica: esta web usa cookies propias y de terceros (Google Analytics, Google Ads, Meta) solo si las aceptas. Más información en la Política de cookies.

5. Destinatarios y encargados del tratamiento

No vendemos tus datos ni los cedemos a terceros, salvo obligación legal (por ejemplo, a la Administración tributaria o a jueces y tribunales). Para prestar el servicio contamos con proveedores que tratan datos por nuestra cuenta (encargados del tratamiento), con contrato y las garantías del art. 28 RGPD:

• Alojamiento, infraestructura y copias de seguridad: nuestros servidores están en España.
• Envío de correo electrónico: Amazon Web Services (Amazon SES).
• Pagos: Stripe.
• Traducción automática de los textos de las cartas: Anthropic (solo recibe los textos de los platos, no datos de la cuenta).
• Notificaciones de la aplicación móvil: Expo, Google (Firebase Cloud Messaging) y Apple (Apple Push Notification service).
• Protección contra el uso automatizado de los formularios: Google reCAPTCHA.
• Agentes comerciales que colaboran con nosotros, cuando te dan de alta o te atienden, con obligación de confidencialidad.

6. Transferencias internacionales

Nuestros servidores, donde se guardan tu cuenta y tus cartas, están en España. Algunos de estos proveedores (Stripe, Anthropic, Expo, Google, Apple, Amazon y Meta) pueden tratar datos fuera del Espacio Económico Europeo, principalmente en Estados Unidos. Se hace con las garantías del capítulo V del RGPD: la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo aprobadas por la Comisión Europea.

7. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar los consentimientos que hayas dado, escribiendo a correo@gormatica.com e indicando qué derecho ejerces. Si es necesario para identificarte te pediremos información adicional. Muchos datos puedes cambiarlos tú mismo desde el panel, y puedes eliminar tu cuenta desde Mi cuenta (ver Eliminar tu cuenta de BuenaCarta).

Si consideras que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

8. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo: comunicaciones cifradas (HTTPS), contraseñas guardadas con cifrado irreversible, control de acceso por establecimiento, límites de intentos de acceso, copias de seguridad y acceso restringido del personal a los datos.

9. Menores

El servicio está dirigido a profesionales mayores de edad. No tratamos conscientemente datos de menores en el panel.

10. Cambios en esta política

Podemos actualizar esta política cuando cambien los tratamientos o la normativa. Indicaremos la fecha de la última actualización y, si el cambio es relevante, te avisaremos por correo electrónico o en el panel.