Política de privacidad

Resumen

Responsable: Chun-Feng Pai, que opera como Cuenta & Cocina.
Para qué: darte el servicio, cobrarlo, darte soporte y proteger el servicio frente a abusos.
Legitimación:
- el contrato contigo;
- las obligaciones fiscales;
- nuestro interés legítimo en la seguridad y en evitar abusos de la prueba gratuita.
Destinatarios: los proveedores tecnológicos que se citan en esta política.
- Para leer facturas y cartas, el texto y, para redactar el análisis, los nombres y las cifras de tus platos y de sus ingredientes (el detalle, en la sección 5) se envían a OpenAI, que los procesa en Estados Unidos con cláusulas contractuales tipo.
Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad, escribiendo a info@cuentaycocina.co.
- También puedes reclamar ante la Agencia Española de Protección de Datos.
Sin publicidad: no vendemos tus datos, no hacemos publicidad y no usamos herramientas de análisis.

1. Quién es el responsable

Responsable: Chun-Feng Pai, trabajador autónomo, que opera con el nombre comercial Cuenta & Cocina.
NIF: Y3566474Q.
Domicilio: Girona (Girona), España.
Contacto: info@cuentaycocina.co o el formulario de la página de Contacto.

No hemos designado delegado de protección de datos: la ley no lo exige para esta actividad. Para cualquier cuestión sobre tus datos, escribe a info@cuentaycocina.co.

2. Dos papeles distintos

A. Cuando decidimos nosotros (responsables). Tratamos como responsables:

los datos de tu cuenta;
la facturación;
el soporte;
la seguridad;
las visitas a la web.

Las secciones 3 a 12 se refieren a estos tratamientos.

B. Cuando tratamos datos por cuenta de tu restaurante (encargados).

Qué datos: los que introduces o escaneas en la aplicación. Por ejemplo, los proveedores y las líneas de tus facturas, tus recetas, tus precios, tus ventas, tu stock y tus mermas.
Quién decide: tu restaurante es el responsable de esos datos. Nosotros los tratamos solo para prestarte el servicio, según el Anexo de encargo del tratamiento, que forma parte de las Condiciones del servicio.
Lo que nunca hacemos: usarlos para fines propios, como estadísticas entre restaurantes, ni para entrenar modelos de IA.
Si una persona nos pide algo sobre esos datos (por ejemplo, un proveedor tuyo), se lo remitimos a tu restaurante.
Más detalle en la sección 13.

3. Qué datos tratamos, para qué, con qué base y durante cuánto tiempo

Qué hacemos	Datos	Base legal	Cuánto tiempo
Crear y gestionar tu cuenta, y prestarte el servicio	email, contraseña (cifrada por nuestro proveedor), idioma, nombre del restaurante, país, región, IVA por defecto, objetivo de food cost, plan y uso (escaneos, créditos)	el contrato (art. 6.1.b RGPD)	mientras tengas cuenta. Si la eliminas o termina tu suscripción, 30 días más; después se borran
Las sesiones de acceso	dirección IP, tipo de dispositivo y navegador, fecha de inicio de cada sesión	el contrato (art. 6.1.b) y la seguridad (art. 6.1.f)	mientras la sesión esté abierta. Puedes ver las que has usado en los últimos 30 días en Ajustes → Cuenta → Sesiones activas, y aparecen en la exportación de tus datos
Cobrar la suscripción y emitir facturas	nombre o razón social, dirección de facturación, NIF, plan, importes, facturas emitidas. Los datos de la tarjeta los trata Stripe; nosotros nunca los vemos	el contrato (art. 6.1.b) y la obligación legal de facturar y conservar las facturas (art. 6.1.c)	las facturas y los registros contables, 6 años (art. 30 del Código de Comercio), bloqueados: solo se usan si lo exige la ley
Correos del servicio (avisos de la prueba, de pagos, de precios, de stock, informes semanales)	email, idioma, plan y el contenido de cada aviso	el contrato (art. 6.1.b)	nuestro proveedor de correo, Resend, conserva un registro de cada envío 30 días
Soporte (emails a info@ y mensajes desde la app)	email, nombre si nos lo das, el mensaje y lo que adjuntes	el contrato si eres cliente (art. 6.1.b); si no, nuestro interés legítimo en responder (art. 6.1.f)	hasta 12 meses, salvo que el mensaje forme parte de un asunto de facturación (entonces, el plazo de las facturas)
El formulario de contacto de la web	email, nombre del restaurante (opcional), mensaje	tu solicitud antes de contratar (art. 6.1.b); si no, nuestro interés legítimo en responder (art. 6.1.f)	hasta 12 meses en nuestro buzón. El servidor no guarda nada: solo reenvía el mensaje
Evitar que la prueba gratuita se repita	una huella cifrada de tu email (un código que no permite recuperarlo)	nuestro interés legítimo en evitar abusos de la prueba (art. 6.1.f)	2 años desde la última vez que se usó la prueba o se eliminó la cuenta
Seguridad y registros técnicos	dirección IP, fecha y hora, página o función solicitada, errores	nuestro interés legítimo en proteger el servicio (art. 6.1.f)	lo que conservan nuestros proveedores: Render, 7 días; Vercel, 1 día; Supabase, 1 día

Datos obligatorios. Para crear la cuenta necesitamos tu email. Para contratar un plan necesitamos tus datos de facturación y tu NIF. Sin ellos no podemos prestarte el servicio ni emitir la factura. En el formulario de contacto, el nombre del restaurante es opcional.

4. Nuestro interés legítimo y tu derecho a oponerte

Usamos el interés legítimo en tres casos:

Seguridad del servicio: guardar durante pocos días los registros técnicos sirve para detectar ataques y fallos.
Evitar abusos de la prueba gratuita: la huella cifrada de tu email impide que la misma dirección empiece otra prueba. No permite saber cuál era tu email.
Responder a quien nos escribe sin ser cliente: usamos tus datos solo para contestarte.

Hemos valorado en cada caso que el tratamiento es necesario y que no pesa más que tus derechos. Si quieres ver esa valoración, pídenosla.

Tu derecho de oposición. Puedes oponerte en cualquier momento a cualquiera de estos tres tratamientos, por motivos relacionados con tu situación particular, escribiendo a info@cuentaycocina.co. Dejaremos de tratar tus datos salvo que haya motivos legítimos imperiosos o los necesitemos para defender una reclamación.

5. Inteligencia artificial y decisiones automatizadas

OpenAI lee tus facturas y tu carta para extraer sus datos, propone recetas a partir del nombre de un plato y redacta los textos del análisis: el informe de tu carta, la explicación de cada plato, las respuestas a las preguntas de seguimiento y el porqué de los cambios de cada semana. No clasifica tus platos: eso lo hace la app.

Para leer una factura o una carta:

Lectura de la imagen: Google Cloud Vision lee la imagen en la Unión Europea. La imagen no se guarda en sus sistemas.
Extracción: el texto que resulta se envía a OpenAI. Su modelo extrae el proveedor, los productos, las cantidades y los precios.
Qué incluye ese texto: todo lo que aparece impreso en la factura, también el nombre y el NIF del proveedor y los datos de tu restaurante como comprador. Le indicamos además el nombre de tu restaurante, para que no lo confunda con el proveedor.

Para proponer una receta: solo el nombre del plato y el idioma de la app.

Para el análisis, de cada plato:

su nombre y sus cifras: precio, coste, beneficio, margen y porcentaje de coste; en Profesional, las ventas; y cuánto se aleja de tu margen objetivo y de la media de la carta, que también se envían, con el coste que necesitaría para alcanzar el objetivo, y si su coste está incompleto;
el grupo que le asigna la app;
el ingrediente que más pesa en su coste, con su coste y su parte del coste del plato;
para explicar cómo ha evolucionado su coste: cuánto ha variado, en %, y hasta cinco de sus ingredientes, por nombre, con la variación de su precio en %.

Además: tu plan (Básico o Profesional), para que el informe explique con qué criterio clasifica la app tus platos; y, para explicar los cambios de cada semana, cuánto han variado el margen, el coste de los ingredientes y los ingresos.

Lo que hace OpenAI con esos datos:

No los usa para entrenar sus modelos.
Puede conservarlos hasta 30 días para vigilar abusos, y después los borra.
No guardamos esas conversaciones en OpenAI.

Las decisiones son tuyas. Revisas los datos extraídos antes de guardarlos, y las clasificaciones y los informes son sugerencias. No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti.

Una excepción que debes conocer: si tu email ya usó la prueba, la app no te deja empezar otra. Si crees que es un error, escríbenos y lo revisará una persona.

6. A quién se comunican tus datos

Proveedores que tratan datos por nuestra cuenta (encargados del tratamiento):

Proveedor	Para qué	Dónde se tratan los datos	Garantía para salir del EEE
Supabase (Supabase Pte. Ltd., Singapur)	base de datos y acceso a la cuenta	Fráncfort (UE); el soporte y la telemetría de la cuenta pueden acceder desde fuera del EEE	cláusulas contractuales tipo
Render (Render Services, Inc., EE. UU.)	servidor de la aplicación	Fráncfort (UE); Render opera el servicio desde EE. UU.	Marco de Privacidad de Datos UE-EE. UU. y, si dejara de aplicarse, cláusulas contractuales tipo
Vercel (Vercel Inc., EE. UU.)	web y aplicación	Fráncfort (UE), con una red de distribución global; datos de uso en EE. UU.	cláusulas contractuales tipo
Google Cloud Vision (Google Cloud EMEA Limited, Irlanda)	lectura de imágenes (OCR)	Unión Europea	Marco de Privacidad de Datos y cláusulas contractuales tipo, para cualquier acceso desde EE. UU.
OpenAI (OpenAI Ireland Ltd., Irlanda)	lectura de facturas y cartas, propuesta de recetas y redacción de los textos del análisis (no clasifica los platos)	Estados Unidos y otros países	cláusulas contractuales tipo
Resend (Plus Five Five, Inc., EE. UU.)	envío de los correos del servicio	Estados Unidos (el contenido, los datos de envío y los registros)	cláusulas contractuales tipo y Marco de Privacidad de Datos
Google Workspace (Google Cloud EMEA Limited, Irlanda)	nuestro buzón info@	donde opera Google	Marco de Privacidad de Datos y cláusulas contractuales tipo
Nuestra asesoría fiscal	contabilidad e impuestos	España	—

Destinatarios que deciden por su cuenta (responsables independientes):

Stripe gestiona los pagos y las facturas.
- Para el cobro, actúa por nuestra cuenta, a través de Stripe Payments Europe, Limited (Irlanda), con quien contratamos.
- Por su cuenta, decide sobre la prevención del fraude, el cumplimiento de la normativa contra el blanqueo y la mejora de sus productos. Para esas decisiones, el responsable es Stripe Technology Company, Limited, según su política de privacidad.
- Transferencias: puede tratar datos en EE. UU., India y otros países donde opera. Para EE. UU. usa el Marco de Privacidad de Datos y, si dejara de aplicarse, cláusulas contractuales tipo.
- Su política de privacidad: stripe.com/es/privacy.
Las autoridades: Hacienda, los juzgados o la policía, solo cuando la ley nos obligue.

No vendemos tus datos ni los cedemos con fines publicitarios.

7. Transferencias fuera del Espacio Económico Europeo

Tus datos se guardan en la Unión Europea (Fráncfort), pero varios de nuestros proveedores tienen su sede o su soporte fuera del Espacio Económico Europeo, y algunos tratan los datos allí (sección 6).

Cómo están protegidas: con las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión 2021/914) o, cuando el proveedor está certificado, con el Marco de Privacidad de Datos UE-EE. UU. (Decisión 2023/1795).
Si quieres una copia de esas garantías, escríbenos a info@cuentaycocina.co y te la enviamos.

8. Tus derechos

Puedes pedirnos, gratis:

acceso: saber qué datos tuyos tratamos y recibir una copia;
rectificación: corregir los que sean inexactos. Casi todo se puede cambiar en Ajustes; para cambiar tu email, escríbenos;
supresión: que borremos tus datos. Puedes hacerlo tú mismo desde Ajustes → Cuenta;
oposición: a los tratamientos basados en interés legítimo (sección 4);
limitación: que dejemos de usar tus datos mientras resolvemos una reclamación;
portabilidad: recibir tus datos en un formato estructurado. En Ajustes → Cuenta, «Descargar mis datos» te da un archivo JSON.

Cómo ejercerlos:

Por email: escribe a info@cuentaycocina.co, desde el email de tu cuenta si es posible.
Identidad: solo te pediremos que la acredites si tenemos dudas razonables de quién eres.
Plazo: contestamos en un mes como máximo. Si la petición es compleja, puede ampliarse dos meses; en ese caso te lo diremos dentro del primer mes.
Representante: puede pedirlo otra persona en tu nombre, si acredita que te representa.

Si no estás de acuerdo con nuestra respuesta, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es; sede.aepd.es), o ante la autoridad del país de la UE donde vivas o trabajes.

9. Cuánto tiempo conservamos los datos y qué pasa al eliminarlos

Los plazos de cada tratamiento están en la tabla de la sección 3.

Cuando un plazo termina, borramos los datos. Algunos se conservan solo para cumplir la ley o defendernos de una reclamación, como las facturas. Esos quedan bloqueados: no se usan para nada más y se destruyen cuando la obligación termina.

Al eliminar tu cuenta:

Programación: la eliminación se programa para 30 días después. Hasta entonces puedes exportar tus datos o cancelar la eliminación; si tenías un plan o una prueba activos cuando la pediste, también puedes seguir usando la app.
El borrado: pasados los 30 días, borramos de forma permanente:
- tu cuenta;
- tus restaurantes;
- todo lo que introdujiste;
- tu ficha de cliente en Stripe.
Lo que se conserva:
- las facturas que te emitimos, el tiempo que exige la ley;
- si usaste la prueba, la huella cifrada de tu email (sección 3);
- durante unos días, los registros técnicos de nuestros proveedores.

Al cancelar tu suscripción (Ajustes → Facturación), también puedes elegir «Borrar mis datos ya»: el borrado se hace en el momento, sin esperar los 30 días. Al terminar cualquier borrado de tu cuenta, te enviamos por email un certificado de borrado.

Cuentas sin uso:

Si te registras y no confirmas tu email en 30 días, borramos la cuenta.
Si la confirmas, pero nunca empiezas la prueba ni contratas un plan, y no entras durante 12 meses, la borramos. Te avisamos por email 30 días antes; si vuelves a entrar, no se borra.

Hoy no hacemos copias de seguridad de la base de datos, así que lo que se borra no se puede recuperar.

10. Seguridad

Aplicamos medidas proporcionadas a los datos que tratamos:

conexiones cifradas;
acceso a los datos de cada cuenta limitado a esa cuenta;
inicio de sesión con contraseña;
registros técnicos de corta duración;
proveedores con contratos de tratamiento de datos.

Ningún sistema es infalible. Si sufriéramos una brecha de seguridad que afecte a tus datos, te avisaríamos y, cuando corresponda, a la Agencia Española de Protección de Datos, en los plazos que marca la ley.

11. Para quién es el servicio

Cuenta & Cocina es un servicio para empresas y profesionales de la restauración. Quien crea la cuenta debe tener 18 años o más y actuar en nombre de su negocio.

12. Cookies y almacenamiento en tu navegador

Lo explicamos en la Política de cookies y almacenamiento.

13. Los datos de tu restaurante (cuando somos encargados)

Qué datos son. Todo lo que tú o tu equipo introducís o escaneáis en la app:

ingredientes y precios;
recetas, platos y combos;
compras y facturas escaneadas;
ventas, stock, mermas y alertas.

De cada factura guardamos:

el proveedor, el número y la fecha;
por cada línea, el producto, la marca, la unidad, la cantidad, el precio y el IVA;
el nombre del archivo y una huella del archivo, que no permite reconstruirlo.

No guardamos el archivo ni su imagen.

Datos personales que pueden aparecer: el nombre y el NIF de un proveedor que sea persona física, o el nombre de una persona de contacto impreso en una factura.

Qué hacemos con ellos: solo lo necesario para prestarte el servicio, siguiendo tus instrucciones. Esto incluye:

leerlos con Google Cloud Vision y OpenAI (sección 5);
guardarlos en nuestra base de datos;
calcular costes y márgenes;
mostrártelos;
exportarlos;
borrarlos.

Cuánto tiempo:

Historial: se conservan los dos últimos años de compras, escaneos, historial de precios, ventas y resúmenes semanales. Lo que tiene más de dos años se borra automáticamente. Los movimientos de inventario se conservan mientras tengas cuenta, porque tu stock actual se calcula a partir de ellos.
Lo que borras tú (un plato, un restaurante): se elimina de forma permanente 30 días después.
Al eliminar tu cuenta: todo se borra como explica la sección 9.

Quién más los trata: los proveedores de la sección 6, que actúan como subencargados. La lista y sus garantías están en el Anexo de encargo del tratamiento.

14. Cambios en esta política

Fecha y versión: cada versión lleva su fecha y su número, y guardamos el historial al final de esta página.
Cambios importantes: si cambiamos algo importante, como un nuevo proveedor fuera de la UE o un nuevo uso de tus datos, te avisaremos por email con antelación, aparte de cualquier otra comunicación.

15. Idiomas

Esta política está en español, catalán e inglés, con el mismo contenido y la misma fecha.

Historial:

Versiones anteriores: Versión 1 (PDF).
2.0, : nueva redacción completa, que incluye:
- los proveedores reales y dónde tratan los datos;
- los plazos de conservación;
- los dos papeles (responsable y encargado);
- la IA;
- el formulario de contacto.

Versió 2.0 · · Descarregar en PDF

Resum

Responsable: Chun-Feng Pai, que opera com a Cuenta & Cocina.
Per a què: donar-te el servei, cobrar-lo, donar-te suport i protegir el servei d'abusos.
Legitimació:
- el contracte amb tu;
- les obligacions fiscals;
- el nostre interès legítim en la seguretat i en evitar abusos de la prova gratuïta.
Destinataris: els proveïdors tecnològics que s'esmenten en aquesta política.
- Per llegir factures i cartes, el text i, per redactar l'anàlisi, els noms i les xifres dels teus plats i dels seus ingredients (el detall, a la secció 5) s'envien a OpenAI, que els tracta als Estats Units amb clàusules contractuals tipus.
Drets: accés, rectificació, supressió, oposició, limitació i portabilitat, escrivint a info@cuentaycocina.co.
- També pots reclamar davant de l'Agència Espanyola de Protecció de Dades.
Sense publicitat: no venem les teves dades, no fem publicitat i no fem servir eines d'anàlisi.

1. Qui és el responsable

Responsable: Chun-Feng Pai, treballador autònom, que opera amb el nom comercial Cuenta & Cocina.
NIF: Y3566474Q.
Domicili: Girona (Girona), Espanya.
Contacte: info@cuentaycocina.co o el formulari de la pàgina de Contacte.

No hem designat delegat de protecció de dades: la llei no ho exigeix per a aquesta activitat. Per a qualsevol qüestió sobre les teves dades, escriu a info@cuentaycocina.co.

2. Dos papers diferents

A. Quan decidim nosaltres (responsables). Tractem com a responsables:

les dades del teu compte;
la facturació;
el suport;
la seguretat;
les visites al web.

Les seccions 3 a 12 es refereixen a aquests tractaments.

B. Quan tractem dades per compte del teu restaurant (encarregats).

Quines dades: les que introdueixes o escanejes a l'aplicació. Per exemple, els proveïdors i les línies de les teves factures, les teves receptes, els teus preus, les teves vendes, el teu estoc i les teves minves.
Qui decideix: el teu restaurant és el responsable d'aquestes dades. Nosaltres les tractem només per prestar-te el servei, segons l'Annex d'encàrrec del tractament, que forma part de les Condicions del servei.
El que no fem mai: fer-les servir per a finalitats pròpies, com ara estadístiques entre restaurants, ni per entrenar models d'IA.
Si una persona ens demana alguna cosa sobre aquestes dades (per exemple, un proveïdor teu), la remetem al teu restaurant.
Més detall a la secció 13.

3. Quines dades tractem, per a què, amb quina base i durant quant de temps

Què fem	Dades	Base legal	Quant de temps
Crear i gestionar el teu compte, i prestar-te el servei	correu electrònic, contrasenya (xifrada pel nostre proveïdor), idioma, nom del restaurant, país, regió, IVA per defecte, objectiu de food cost, pla i ús (escanejos, crèdits)	el contracte (art. 6.1.b RGPD)	mentre tinguis compte. Si l'elimines o s'acaba la teva subscripció, 30 dies més; després s'esborren
Les sessions d'accés	adreça IP, tipus de dispositiu i de navegador, data d'inici de cada sessió	el contracte (art. 6.1.b) i la seguretat (art. 6.1.f)	mentre la sessió estigui oberta. Pots veure les que has fet servir els últims 30 dies a Configuració → Compte → Sessions actives, i apareixen a l'exportació de les teves dades
Cobrar la subscripció i emetre factures	nom o raó social, adreça de facturació, NIF, pla, imports, factures emeses. Les dades de la targeta les tracta Stripe; nosaltres no les veiem mai	el contracte (art. 6.1.b) i l'obligació legal de facturar i conservar les factures (art. 6.1.c)	les factures i els registres comptables, 6 anys (art. 30 del Codi de Comerç), bloquejats: només es fan servir si ho exigeix la llei
Correus del servei (avisos de la prova, de pagaments, de preus, d'estoc, informes setmanals)	correu electrònic, idioma, pla i el contingut de cada avís	el contracte (art. 6.1.b)	el nostre proveïdor de correu, Resend, conserva un registre de cada enviament 30 dies
Suport (correus a info@ i missatges des de l'app)	correu electrònic, nom si ens el dones, el missatge i el que hi adjuntis	el contracte si ets client (art. 6.1.b); si no, el nostre interès legítim a respondre (art. 6.1.f)	fins a 12 mesos, llevat que el missatge formi part d'un assumpte de facturació (aleshores, el termini de les factures)
El formulari de contacte del web	correu electrònic, nom del restaurant (opcional), missatge	la teva sol·licitud abans de contractar (art. 6.1.b); si no, el nostre interès legítim a respondre (art. 6.1.f)	fins a 12 mesos a la nostra bústia. El servidor no desa res: només reenvia el missatge
Evitar que la prova gratuïta es repeteixi	una empremta xifrada del teu correu electrònic (un codi que no permet recuperar-lo)	el nostre interès legítim a evitar abusos de la prova (art. 6.1.f)	2 anys des de l'última vegada que es va fer servir la prova o es va eliminar el compte
Seguretat i registres tècnics	adreça IP, data i hora, pàgina o funció sol·licitada, errors	el nostre interès legítim a protegir el servei (art. 6.1.f)	el que conserven els nostres proveïdors: Render, 7 dies; Vercel, 1 dia; Supabase, 1 dia

Dades obligatòries. Per crear el compte necessitem el teu correu electrònic. Per contractar un pla necessitem les teves dades de facturació i el teu NIF. Sense aquestes dades no et podem prestar el servei ni emetre la factura. Al formulari de contacte, el nom del restaurant és opcional.

4. El nostre interès legítim i el teu dret a oposar-t'hi

Fem servir l'interès legítim en tres casos:

Seguretat del servei: desar durant pocs dies els registres tècnics serveix per detectar atacs i errors.
Evitar abusos de la prova gratuïta: l'empremta xifrada del teu correu electrònic impedeix que la mateixa adreça comenci una altra prova. No permet saber quin era el teu correu electrònic.
Respondre a qui ens escriu sense ser client: fem servir les teves dades només per contestar-te.

Hem valorat en cada cas que el tractament és necessari i que no pesa més que els teus drets. Si vols veure aquesta valoració, demana-la'ns.

El teu dret d'oposició. Et pots oposar en qualsevol moment a qualsevol d'aquests tres tractaments, per motius relacionats amb la teva situació particular, escrivint a info@cuentaycocina.co. Deixarem de tractar les teves dades llevat que hi hagi motius legítims imperiosos o les necessitem per defensar-nos d'una reclamació.

5. Intel·ligència artificial i decisions automatitzades

OpenAI llegeix les teves factures i la teva carta per extreure'n les dades, proposa receptes a partir del nom d'un plat i redacta els textos de l'anàlisi: l'informe de la teva carta, l'explicació de cada plat, les respostes a les preguntes de seguiment i el perquè dels canvis de cada setmana. No classifica els teus plats: això ho fa l'app.

Per llegir una factura o una carta:

Lectura de la imatge: Google Cloud Vision llegeix la imatge a la Unió Europea. La imatge no es desa als seus sistemes.
Extracció: el text que en resulta s'envia a OpenAI. El seu model n'extreu el proveïdor, els productes, les quantitats i els preus.
Què inclou aquest text: tot el que apareix imprès a la factura, també el nom i el NIF del proveïdor i les dades del teu restaurant com a comprador. A més, li indiquem el nom del teu restaurant, perquè no el confongui amb el proveïdor.

Per proposar una recepta: només el nom del plat i l'idioma de l'app.

Per a l'anàlisi, de cada plat:

el seu nom i les seves xifres: preu, cost, benefici, marge i percentatge de cost; a Professional, les vendes; i quant s'allunya del teu marge objectiu i de la mitjana de la carta, que també s'envien, amb el cost que necessitaria per assolir l'objectiu, i si el seu cost està incomplet;
el grup que li assigna l'app;
l'ingredient que més pesa en el seu cost, amb el seu cost i la seva part del cost del plat;
per explicar com ha evolucionat el seu cost: quant ha variat, en %, i fins a cinc dels seus ingredients, pel nom, amb la variació del seu preu en %.

A més: el teu pla (Bàsic o Professional), perquè l'informe expliqui amb quin criteri classifica l'app els teus plats; i, per explicar els canvis de cada setmana, quant han variat el marge, el cost dels ingredients i els ingressos.

El que fa OpenAI amb aquestes dades:

No les fa servir per entrenar els seus models.
Les pot conservar fins a 30 dies per vigilar abusos, i després les esborra.
No desem aquestes converses a OpenAI.

Les decisions són teves. Revises les dades extretes abans de desar-les, i les classificacions i els informes són suggeriments. No prenem decisions automatitzades que produeixin efectes jurídics sobre tu.

Una excepció que has de conèixer: si el teu correu electrònic ja ha fet servir la prova, l'app no et deixa començar-ne una altra. Si creus que és un error, escriu-nos i ho revisarà una persona.

6. A qui es comuniquen les teves dades

Proveïdors que tracten dades per compte nostre (encarregats del tractament):

Proveïdor	Per a què	On es tracten les dades	Garantia per sortir de l'EEE
Supabase (Supabase Pte. Ltd., Singapur)	base de dades i accés al compte	Frankfurt (UE); el suport i la telemetria del compte hi poden accedir des de fora de l'EEE	clàusules contractuals tipus
Render (Render Services, Inc., EUA)	servidor de l'aplicació	Frankfurt (UE); Render opera el servei des dels EUA	Marc de Privadesa de Dades UE-EUA i, si deixés d'aplicar-se, clàusules contractuals tipus
Vercel (Vercel Inc., EUA)	web i aplicació	Frankfurt (UE), amb una xarxa de distribució global; dades d'ús als EUA	clàusules contractuals tipus
Google Cloud Vision (Google Cloud EMEA Limited, Irlanda)	lectura d'imatges (OCR)	Unió Europea	Marc de Privadesa de Dades i clàusules contractuals tipus, per a qualsevol accés des dels EUA
OpenAI (OpenAI Ireland Ltd., Irlanda)	lectura de factures i cartes, proposta de receptes i redacció dels textos de l'anàlisi (no classifica els plats)	Estats Units i altres països	clàusules contractuals tipus
Resend (Plus Five Five, Inc., EUA)	enviament dels correus del servei	Estats Units (el contingut, les dades d'enviament i els registres)	clàusules contractuals tipus i Marc de Privadesa de Dades
Google Workspace (Google Cloud EMEA Limited, Irlanda)	la nostra bústia info@	on opera Google	Marc de Privadesa de Dades i clàusules contractuals tipus
La nostra assessoria fiscal	comptabilitat i impostos	Espanya	—

Destinataris que decideixen pel seu compte (responsables independents):

Stripe gestiona els pagaments i les factures.
- Per al cobrament, actua per compte nostre, a través de Stripe Payments Europe, Limited (Irlanda), amb qui contractem.
- Pel seu compte, decideix sobre la prevenció del frau, el compliment de la normativa contra el blanqueig i la millora dels seus productes. Per a aquestes decisions, el responsable és Stripe Technology Company, Limited, segons la seva política de privadesa.
- Transferències: pot tractar dades als EUA, l'Índia i altres països on opera. Per als EUA fa servir el Marc de Privadesa de Dades i, si deixés d'aplicar-se, clàusules contractuals tipus.
- La seva política de privadesa: stripe.com/es/privacy.
Les autoritats: Hisenda, els jutjats o la policia, només quan la llei ens hi obligui.

No venem les teves dades ni les cedim amb finalitats publicitàries.

7. Transferències fora de l'Espai Econòmic Europeu

Les teves dades es desen a la Unió Europea (Frankfurt), però diversos dels nostres proveïdors tenen la seu o el suport fora de l'Espai Econòmic Europeu, i alguns hi tracten les dades (secció 6).

Com estan protegides: amb les clàusules contractuals tipus aprovades per la Comissió Europea (Decisió 2021/914) o, quan el proveïdor està certificat, amb el Marc de Privadesa de Dades UE-EUA (Decisió 2023/1795).
Si vols una còpia d'aquestes garanties, escriu-nos a info@cuentaycocina.co i te l'enviarem.

8. Els teus drets

Ens pots demanar, gratuïtament:

accés: saber quines dades teves tractem i rebre'n una còpia;
rectificació: corregir les que siguin inexactes. Gairebé tot es pot canviar a Configuració; per canviar el teu correu electrònic, escriu-nos;
supressió: que esborrem les teves dades. Ho pots fer tu mateix des de Configuració → Compte;
oposició: als tractaments basats en l'interès legítim (secció 4);
limitació: que deixem de fer servir les teves dades mentre resolem una reclamació;
portabilitat: rebre les teves dades en un format estructurat. A Configuració → Compte, «Descarregar les meves dades» et dona un fitxer JSON.

Com exercir-los:

Per correu electrònic: escriu a info@cuentaycocina.co, des del correu del teu compte si és possible.
Identitat: només et demanarem que l'acreditis si tenim dubtes raonables sobre qui ets.
Termini: contestem en un mes com a màxim. Si la petició és complexa, es pot ampliar dos mesos; en aquest cas t'ho direm dins del primer mes.
Representant: ho pot demanar una altra persona en nom teu, si acredita que et representa.

Si no estàs d'acord amb la nostra resposta, pots reclamar davant de l'Agència Espanyola de Protecció de Dades (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es; sede.aepd.es), o davant de l'autoritat del país de la UE on visquis o treballis.

9. Quant de temps conservem les dades i què passa quan s'eliminen

Els terminis de cada tractament són a la taula de la secció 3.

Quan un termini s'acaba, esborrem les dades. Algunes es conserven només per complir la llei o defensar-nos d'una reclamació, com les factures. Aquestes queden bloquejades: no es fan servir per a res més i es destrueixen quan s'acaba l'obligació.

Quan elimines el teu compte:

Programació: l'eliminació es programa per a 30 dies després. Fins aleshores pots exportar les teves dades o cancel·lar l'eliminació; si tenies un pla o una prova actius quan la vas demanar, també pots continuar fent servir l'app.
L'esborrament: passats els 30 dies, esborrem de manera permanent:
- el teu compte;
- els teus restaurants;
- tot el que hi vas introduir;
- la teva fitxa de client a Stripe.
El que es conserva:
- les factures que et vam emetre, el temps que exigeix la llei;
- si vas fer servir la prova, l'empremta xifrada del teu correu electrònic (secció 3);
- durant uns dies, els registres tècnics dels nostres proveïdors.

Quan cancel·les la teva subscripció (Configuració → Facturació), també pots triar «Esborrar les meves dades ara»: l'esborrat es fa en el moment, sense esperar els 30 dies. En acabar qualsevol esborrat del teu compte, t'enviem per correu un certificat d'esborrat.

Comptes sense ús:

Si et registres i no confirmes el teu correu en 30 dies, esborrem el compte.
Si el confirmes, però no comences mai la prova ni contractes cap pla, i no hi entres durant 12 mesos, l'esborrem. T'avisem per correu 30 dies abans; si hi tornes a entrar, no s'esborra.

Avui no fem còpies de seguretat de la base de dades, de manera que el que s'esborra no es pot recuperar.

10. Seguretat

Apliquem mesures proporcionades a les dades que tractem:

connexions xifrades;
accés a les dades de cada compte limitat a aquest compte;
inici de sessió amb contrasenya;
registres tècnics de curta durada;
proveïdors amb contractes de tractament de dades.

Cap sistema no és infal·lible. Si patíssim una bretxa de seguretat que afectés les teves dades, t'avisaríem i, quan correspongui, també l'Agència Espanyola de Protecció de Dades, en els terminis que marca la llei.

11. Per a qui és el servei

Cuenta & Cocina és un servei per a empreses i professionals de la restauració. Qui crea el compte ha de tenir 18 anys o més i actuar en nom del seu negoci.

12. Galetes i emmagatzematge al teu navegador

Ho expliquem a la Política de galetes i emmagatzematge.

13. Les dades del teu restaurant (quan som encarregats)

Quines dades són. Tot el que tu o el teu equip introduïu o escanegeu a l'app:

ingredients i preus;
receptes, plats i combos;
compres i factures escanejades;
vendes, estoc, minves i alertes.

De cada factura desem:

el proveïdor, el número i la data;
per cada línia, el producte, la marca, la unitat, la quantitat, el preu i l'IVA;
el nom del fitxer i una empremta del fitxer, que no permet reconstruir-lo.

No desem el fitxer ni la seva imatge.

Dades personals que hi poden aparèixer: el nom i el NIF d'un proveïdor que sigui persona física, o el nom d'una persona de contacte imprès en una factura.

Què en fem: només el que cal per prestar-te el servei, seguint les teves instruccions. Això inclou:

llegir-les amb Google Cloud Vision i OpenAI (secció 5);
desar-les a la nostra base de dades;
calcular costos i marges;
mostrar-te-les;
exportar-les;
esborrar-les.

Quant de temps:

Historial: es conserven els dos últims anys de compres, escanejos, historial de preus, vendes i resums setmanals. El que té més de dos anys s'esborra automàticament. Els moviments d'inventari es conserven mentre tinguis compte, perquè el teu estoc actual es calcula a partir d'ells.
El que esborres tu (un plat, un restaurant): s'elimina de manera permanent 30 dies després.
Quan elimines el teu compte: tot s'esborra com explica la secció 9.

Qui més les tracta: els proveïdors de la secció 6, que actuen com a subencarregats. La llista i les seves garanties són a l'Annex d'encàrrec del tractament.

14. Canvis en aquesta política

Data i versió: cada versió porta la seva data i el seu número, i desem l'historial al final d'aquesta pàgina.
Canvis importants: si canviem alguna cosa important, com ara un proveïdor nou fora de la UE o un ús nou de les teves dades, t'avisarem per correu electrònic amb antelació, a banda de qualsevol altra comunicació.

15. Idiomes

Aquesta política està en castellà, català i anglès, amb el mateix contingut i la mateixa data.

Historial:

Versions anteriors: Versió 1 (PDF).
2.0, : nova redacció completa, que inclou:
- els proveïdors reals i on tracten les dades;
- els terminis de conservació;
- els dos papers (responsable i encarregat);
- la IA;
- el formulari de contacte.

Version 2.0 · · Download as PDF

Summary

Controller: Chun-Feng Pai, operating as Cuenta & Cocina.
What for: to provide the service, to charge for it, to give you support and to protect the service against abuse.
Legal basis:
- the contract with you;
- our tax obligations;
- our legitimate interest in security and in preventing abuse of the free trial.
Recipients: the technology providers named in this policy.
- To read invoices and menus, the text and, to write the analysis, the names and figures of your dishes and their ingredients (details in section 5) are sent to OpenAI, which processes them in the United States under standard contractual clauses.
Rights: access, rectification, erasure, objection, restriction and portability, by writing to info@cuentaycocina.co.
- You can also complain to the Spanish Data Protection Agency (AEPD).
No advertising: we don't sell your data, we don't advertise and we don't use analytics tools.

1. Who the controller is

Controller: Chun-Feng Pai, self-employed, operating under the trade name Cuenta & Cocina.
Tax ID (NIF): Y3566474Q.
Address: Girona (Girona), Spain.
Contact: info@cuentaycocina.co or the form on the Contact page.

We have not appointed a data protection officer: the law does not require one for this activity. For any question about your data, write to info@cuentaycocina.co.

2. Two different roles

A. When we decide (as controller). We act as controller for:

your account data;
billing;
support;
security;
visits to the website.

Sections 3 to 12 refer to this processing.

B. When we process data on behalf of your restaurant (as processor).

Which data: what you enter or scan in the application. For example, the suppliers and lines of your invoices, your recipes, your prices, your sales, your stock and your waste.
Who decides: your restaurant is the controller of that data. We process it only to provide the service to you, under the Data Processing Annex, which is part of the Terms of Service.
What we never do: use it for our own purposes, such as statistics across restaurants, or to train AI models.
If someone asks us about that data (for example, one of your suppliers), we refer them to your restaurant.
More detail in section 13.

3. What data we process, what for, on what basis and for how long

What we do	Data	Legal basis	How long
Creating and managing your account, and providing the service	email, password (encrypted by our provider), language, restaurant name, country, region, default VAT, food cost target, plan and usage (scans, credits)	the contract (art. 6.1.b GDPR)	while you have an account. If you delete it or your subscription ends, 30 days more; then it is erased
Sign-in sessions	IP address, type of device and browser, the start date of each session	the contract (art. 6.1.b) and security (art. 6.1.f)	while the session is open. You can see the ones you've used in the last 30 days in Settings → Account → Active sessions, and they appear in your data export
Charging the subscription and issuing invoices	name or company name, billing address, tax ID, plan, amounts, invoices issued. Card data is handled by Stripe; we never see it	the contract (art. 6.1.b) and the legal obligation to invoice and keep invoices (art. 6.1.c)	invoices and accounting records, 6 years (art. 30 of the Spanish Commercial Code), blocked: used only if the law requires it
Service emails (trial, payment, price and stock notices, weekly reports)	email, language, plan and the content of each notice	the contract (art. 6.1.b)	our email provider, Resend, keeps a log of each sending for 30 days
Support (emails to info@ and messages from the app)	email, name if you give it, the message and anything you attach	the contract if you are a customer (art. 6.1.b); if not, our legitimate interest in replying (art. 6.1.f)	up to 12 months, unless the message is part of a billing matter (then, the invoices' period)
The website's contact form	email, restaurant name (optional), message	your request before contracting (art. 6.1.b); if not, our legitimate interest in replying (art. 6.1.f)	up to 12 months in our mailbox. The server keeps nothing: it only forwards the message
Preventing the free trial from being repeated	an encrypted fingerprint of your email (a code from which it cannot be recovered)	our legitimate interest in preventing abuse of the trial (art. 6.1.f)	2 years from the last time the trial was used or the account was deleted
Security and technical logs	IP address, date and time, page or function requested, errors	our legitimate interest in protecting the service (art. 6.1.f)	what our providers keep: Render, 7 days; Vercel, 1 day; Supabase, 1 day

Required data. To create the account we need your email. To take out a plan we need your billing details and your tax ID. Without them we cannot provide the service or issue the invoice. In the contact form, the restaurant name is optional.

4. Our legitimate interest and your right to object

We rely on legitimate interest in three cases:

Security of the service: keeping technical logs for a few days helps us detect attacks and faults.
Preventing abuse of the free trial: the encrypted fingerprint of your email stops the same address from starting another trial. It does not reveal what your email was.
Replying to people who write to us without being customers: we use your data only to answer you.

In each case we have assessed that the processing is necessary and does not outweigh your rights. If you would like to see that assessment, ask us for it.

Your right to object. You can object at any time to any of these three kinds of processing, on grounds relating to your particular situation, by writing to info@cuentaycocina.co. We will stop processing your data unless there are compelling legitimate grounds or we need it to defend a claim.

5. Artificial intelligence and automated decisions

OpenAI reads your invoices and your menu to extract their data, suggests recipes from a dish's name, and writes the analysis texts: your menu report, each dish's explanation, the answers to follow-up questions and why things changed each week. It doesn't classify your dishes: the app does that.

To read an invoice or a menu:

Reading the image: Google Cloud Vision reads the image in the European Union. The image is not stored in its systems.
Extraction: the resulting text is sent to OpenAI. Its model extracts the supplier, the products, the quantities and the prices.
What that text includes: everything printed on the invoice, including the supplier's name and tax ID and your restaurant's details as the buyer. We also give it your restaurant's name, so that it does not mistake it for the supplier.

To suggest a recipe: only the dish's name and the app's language.

For the analysis, for each dish:

its name and figures: price, cost, profit, margin and cost percentage; on Professional, sales; and how far it is from your target margin and the menu average, which are sent too, with the cost it would need to reach the target, and whether its cost is incomplete;
the group the app assigns it;
the ingredient that weighs most in its cost, with its cost and its share of the dish's cost;
to explain how its cost has changed: the change in %, and up to five of its ingredients, by name, with each one's price change in %.

Also: your plan (Basic or Professional), so the report can explain how the app classifies your dishes; and, to explain each week's changes, how much the margin, ingredient costs and revenue changed.

What OpenAI does with that data:

It does not use it to train its models.
It may keep it for up to 30 days to monitor abuse, and then deletes it.
We do not store those conversations at OpenAI.

The decisions are yours. You review the extracted data before saving it, and the classifications and reports are suggestions. We do not take automated decisions that produce legal effects on you.

One exception you should know about: if your email has already used the trial, the app does not let you start another. If you think that is a mistake, write to us and a person will review it.

6. Who your data is shared with

Providers that process data on our behalf (processors):

Provider	What for	Where the data is processed	Safeguard for leaving the EEA
Supabase (Supabase Pte. Ltd., Singapore)	database and account access	Frankfurt (EU); account support and telemetry may access it from outside the EEA	standard contractual clauses
Render (Render Services, Inc., USA)	application server	Frankfurt (EU); Render runs the service from the USA	EU-U.S. Data Privacy Framework and, should it cease to apply, standard contractual clauses
Vercel (Vercel Inc., USA)	website and application	Frankfurt (EU), with a global delivery network; usage data in the USA	standard contractual clauses
Google Cloud Vision (Google Cloud EMEA Limited, Ireland)	image reading (OCR)	European Union	Data Privacy Framework and standard contractual clauses, for any access from the USA
OpenAI (OpenAI Ireland Ltd., Ireland)	reading invoices and menus, suggesting recipes and writing the analysis texts (it doesn't classify dishes)	United States and other countries	standard contractual clauses
Resend (Plus Five Five, Inc., USA)	sending the service emails	United States (the content, the sending data and the logs)	standard contractual clauses and Data Privacy Framework
Google Workspace (Google Cloud EMEA Limited, Ireland)	our info@ mailbox	wherever Google operates	Data Privacy Framework and standard contractual clauses
Our tax adviser	accounting and taxes	Spain	—

Recipients who decide for themselves (independent controllers):

Stripe handles payments and invoices.
- For collecting payments, it acts on our behalf, through Stripe Payments Europe, Limited (Ireland), which we contract with.
- For its own purposes, it decides on fraud prevention, anti-money-laundering compliance and the improvement of its products. For those decisions, the controller is Stripe Technology Company, Limited, according to its privacy policy.
- Transfers: it may process data in the USA, India and other countries where it operates. For the USA it uses the Data Privacy Framework and, should it cease to apply, standard contractual clauses.
- Its privacy policy: stripe.com/privacy.
The authorities: the tax authority, the courts or the police, only when the law requires us to.

We do not sell your data or share it for advertising.

7. Transfers outside the European Economic Area

Your data is stored in the European Union (Frankfurt), but several of our providers have their headquarters or their support outside the European Economic Area, and some process the data there (section 6).

How the transfers are protected: with the standard contractual clauses approved by the European Commission (Decision 2021/914) or, where the provider is certified, with the EU-U.S. Data Privacy Framework (Decision 2023/1795).
If you would like a copy of those safeguards, write to us at info@cuentaycocina.co and we will send it to you.

8. Your rights

You can ask us, free of charge, for:

access: to know what data of yours we process and to receive a copy;
rectification: to correct any that is inaccurate. Almost everything can be changed in Settings; to change your email, write to us;
erasure: for us to delete your data. You can do it yourself from Settings → Account;
objection: to processing based on legitimate interest (section 4);
restriction: for us to stop using your data while we resolve a complaint;
portability: to receive your data in a structured format. In Settings → Account, "Download my data" gives you a JSON file.

How to exercise them:

By email: write to info@cuentaycocina.co, from your account's email if possible.
Identity: we will only ask you to prove it if we have reasonable doubts about who you are.
Deadline: we reply within one month at most. If the request is complex, this can be extended by two months; if so, we will tell you within the first month.
Representative: another person can ask on your behalf, if they prove they represent you.

If you disagree with our reply, you can complain to the Spanish Data Protection Agency (AEPD) (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es; sede.aepd.es), or to the authority of the EU country where you live or work.

9. How long we keep data and what happens when it is deleted

The periods for each kind of processing are in the table in section 3.

When a period ends, we delete the data. Some is kept only to comply with the law or to defend ourselves against a claim, such as invoices. That data is blocked: it is not used for anything else and is destroyed when the obligation ends.

When you delete your account:

Scheduling: the deletion is scheduled for 30 days later. Until then you can export your data or cancel the deletion; if you had an active plan or trial when you asked, you can also keep using the app.
The erasure: after the 30 days, we permanently delete:
- your account;
- your restaurants;
- everything you entered;
- your customer record at Stripe.
What is kept:
- the invoices we issued to you, for as long as the law requires;
- if you used the trial, the encrypted fingerprint of your email (section 3);
- for a few days, our providers' technical logs.

When you cancel your subscription (Settings → Billing), you can also choose 'Delete my data now': the deletion happens straight away, without the 30 days. When any deletion of your account is complete, we email you a deletion certificate.

Unused accounts:

If you sign up and don't confirm your email within 30 days, we delete the account.
If you confirm it but never start the trial or choose a plan, and don't sign in for 12 months, we delete it. We email you 30 days before; if you sign in again, it isn't deleted.

We do not make database backups today, so what is deleted cannot be recovered.

10. Security

We apply measures proportionate to the data we process:

encrypted connections;
access to each account's data limited to that account;
password sign-in;
short-lived technical logs;
providers with data processing contracts.

No system is infallible. If we suffered a security breach affecting your data, we would notify you and, where appropriate, the Spanish Data Protection Agency (AEPD), within the deadlines set by law.

11. Who the service is for

Cuenta & Cocina is a service for hospitality businesses and professionals. Whoever creates the account must be 18 or over and act on behalf of their business.

12. Cookies and storage in your browser

We explain this in the Cookie and Storage Policy.

13. Your restaurant's data (when we are a processor)

What data it is. Everything you or your team enter or scan in the app:

ingredients and prices;
recipes, dishes and combos;
purchases and scanned invoices;
sales, stock, waste and alerts.

From each invoice we keep:

the supplier, the number and the date;
for each line, the product, the brand, the unit, the quantity, the price and the VAT;
the file name and a fingerprint of the file, from which it cannot be rebuilt.

We do not keep the file or its image.

Personal data that may appear: the name and tax ID of a supplier who is a natural person, or the name of a contact person printed on an invoice.

What we do with it: only what is needed to provide the service, following your instructions. This includes:

reading it with Google Cloud Vision and OpenAI (section 5);
storing it in our database;
calculating costs and margins;
showing it to you;
exporting it;
deleting it.

How long:

History: we keep the last two years of purchases, scans, price history, sales and weekly summaries. Anything older than two years is deleted automatically. Stock movements are kept while you have an account, because your current stock is calculated from them.
What you delete (a dish, a restaurant): it is permanently removed 30 days later.
When you delete your account: everything is deleted as explained in section 9.

Who else processes it: the providers in section 6, acting as sub-processors. The list and their safeguards are in the Data Processing Annex.

14. Changes to this policy

Date and version: each version carries its date and its number, and we keep the history at the end of this page.
Important changes: if we change something important, such as a new provider outside the EU or a new use of your data, we will tell you by email in advance, in addition to any other communication.

15. Languages

This policy is in Spanish, Catalan and English, with the same content and the same date.

History:

Earlier versions: Version 1 (PDF).
2.0, : a complete rewrite, including:
- the real providers and where they process data;
- the retention periods;
- the two roles (controller and processor);
- AI;
- the contact form.