Política de privacidad — Hatillo Madrid

1. Responsable del tratamiento

El Hatillo Bakery SL (nombre comercial: Hatillo Madrid), CIF B01678762, inscrita en el Registro Mercantil de Madrid, tomo 40536, folio 200, hoja M-719608. Domicilio social: Plaza Prosperidad 3, 1º B, 28002 Madrid. Establecimiento: Paseo de Ginebra 26 Local 1, 28022 Madrid (España). Teléfono: +34 919 125 433 · Correo: info@hatillomadrid.com.

2. Qué datos tratamos, con qué fin y con qué base jurídica

• Reservas (a través de Tableo): nombre, email, teléfono, nº de comensales, fecha/hora y comentarios, para gestionar y confirmar tu reserva y contactarte si hay cambios. Base: ejecución de un contrato o medidas precontractuales (art. 6.1.b RGPD). El sistema de reservas de Tableo se muestra incrustado en nuestra página de reservas y, al usarlo, puede instalar sus propias cookies necesarias para el funcionamiento del servicio de reserva. Si antes de reservar aceptaste las cookies de anuncios, usamos además el email y el teléfono de la reserva, cifrados, para la medición publicitaria del apartado 3; esa parte se basa en tu consentimiento, no en el contrato, y la reserva no depende de ella.
• Candidaturas de empleo (formulario “Trabaja con nosotros”): nombre y apellidos, teléfono, email, puesto que te interesa, disponibilidad y la experiencia que quieras contarnos; y el CV solo si decides adjuntarlo en el formulario aparte habilitado para ello, alojado en Google Drive. Base: aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD). Si además nos autorizas a guardar tu candidatura para vacantes futuras, esa conservación se basa en tu consentimiento (art. 6.1.a) y puedes retirarlo cuando quieras. No pedimos fotografía, edad, domicilio ni nacionalidad, y no tomamos decisiones automatizadas: las candidaturas las valora y decide una persona. Conservación: 6 meses desde la recepción —o desde el cierre del proceso al que te presentes— salvo que nos pidas guardarla para más adelante; el expediente de la decisión se conserva 12 meses para poder acreditar cómo se decidió. El formulario lo gestiona Google (Google Forms y Google Drive) como encargado del tratamiento.
• Atención al cliente (incluido el formulario de contacto de esta web): nombre, email y el contenido de tu consulta, para responderte por email, teléfono o redes. El formulario nos lo envía por correo a info@hatillomadrid.com y guarda una copia en nuestro servidor (en Alemania) para preparar la respuesta, con ayuda de un asistente de inteligencia artificial (Anthropic). La respuesta la revisa y la envía una persona del equipo, y esa copia se borra a los 90 días. Base: interés legítimo o consentimiento (art. 6.1.f / 6.1.a).
• WhatsApp del restaurante (+34 624 087 743): tu número de teléfono, tu nombre de perfil de WhatsApp y el contenido de los mensajes que nos escribas, para contestar tus consultas y gestionar tus reservas (crearlas, cambiarlas o cancelarlas en Tableo). Te atiende Matilda, nuestra asistente virtual, un sistema de inteligencia artificial (Anthropic) que contesta automáticamente; en cualquier momento puedes pedir hablar con una persona del equipo, y lo que ella no puede resolver lo pasa al equipo. Si nos mandas una nota de voz, la transcribimos de forma automática en nuestro servidor (en Alemania) para entenderla, sin enviarla a terceros, y el audio se borra en cuanto se ha transcrito; el texto se trata como un mensaje escrito. Si nos cuentas una alergia o intolerancia, la anotamos en tu reserva, con tu conocimiento, solo para que cocina la tenga en cuenta en tu visita. Base: ejecución de un contrato o medidas precontractuales para las reservas (art. 6.1.b RGPD), interés legítimo para atender tus consultas (art. 6.1.f) y tu consentimiento explícito para los datos de salud como las alergias (art. 9.2.a). La mensajería la presta Meta (WhatsApp Business) y los mensajes se guardan en nuestro servidor (en Alemania) durante 30 días.
• Medición publicitaria (Meta): las cookies de Meta de tu navegador, el tipo de navegador y eventos de conversión, como visitas o reservas completadas; y, si reservas desde la web, el email y el teléfono de la reserva cifrados. Sirve para saber qué anuncios de Instagram/Facebook traen reservas (detalle en el apartado 3). Base: consentimiento (art. 6.1.a), que puedes retirar cuando quieras.
• Cookies y analítica: identificadores de dispositivo/navegación, para el funcionamiento de la web y la medición de audiencia. Base: consentimiento, salvo cookies técnicas necesarias.
• Garantía con tarjeta en grupos: en las reservas que lo requieren (grupos grandes en los días de más ocupación), verificas una tarjeta como garantía a través del enlace de Tableo, que procesa el pago con su proveedor (Stripe). Nosotros no vemos ni guardamos el número de la tarjeta. Solo se cobraría el importe indicado al reservar si no vienes o cancelas fuera de plazo. Base: ejecución del contrato (art. 6.1.b).
• Tu historial como cliente: las reservas anteriores, las visitas, las ausencias sin avisar, las preferencias y las notas que nos hayas dado (por ejemplo, mesa favorita, alergias o celebraciones), guardadas en tu ficha de Tableo, para atenderte mejor cuando vuelvas y para gestionar las garantías de reserva. Las alergias, solo con tu consentimiento explícito (art. 9.2.a). Base: interés legítimo (art. 6.1.f), y puedes oponerte cuando quieras.
• Celebraciones: si nos cuentas que vienes por un cumpleaños, un aniversario u otra ocasión, lo anotamos en la reserva para prepararlo. Si además nos autorizas a guardar la fecha, podremos felicitarte en años siguientes. Base: ejecución del contrato para esa visita y consentimiento para guardar la fecha (art. 6.1.b / 6.1.a).
• Novedades y promociones: solo si nos das tu consentimiento —por ejemplo, al reservar, por WhatsApp o en la web— te enviaremos novedades, eventos y ofertas por correo electrónico, WhatsApp o SMS. Si ya eres cliente, podremos enviarte por correo electrónico información sobre productos y servicios nuestros similares a los que contrataste, como permite el art. 21.2 de la LSSI, salvo que te opongas. Cada mensaje incluirá una forma sencilla de darte de baja. Base: consentimiento (art. 6.1.a) e interés legítimo en el caso de clientes (art. 6.1.f y LSSI).
• Opinión sobre tu visita: después de venir, podremos pedirte tu valoración o una reseña, por correo electrónico o por WhatsApp. Base: interés legítimo (art. 6.1.f); puedes pedirnos que no te lo enviemos más. Por WhatsApp, solo si nos has dado permiso para escribirte por ese canal.
• Eventos y grupos (eventos@hatillomadrid.com): nombre, teléfono, correo electrónico, empresa si la hay, número de asistentes, fecha, menú, necesidades especiales y datos de facturación, para preparar el presupuesto y organizar el evento. Base: medidas precontractuales y contrato (art. 6.1.b).
• Pedidos para recoger o encargos directos: nombre, teléfono y el contenido del pedido, para prepararlo y avisarte. Base: contrato (art. 6.1.b).
• Llamadas al restaurante: si en algún momento atendemos el teléfono con ayuda de un asistente automático o grabamos o transcribimos llamadas, te lo diremos al principio de la llamada, con la opción de hablar con una persona. Base: interés legítimo para atender tu consulta y contrato para las reservas (art. 6.1.f / 6.1.b).
• Fotos y vídeos en el local: para nuestras redes sociales y la web. Solo publicamos imágenes en las que se te reconozca si nos das tu consentimiento, y si aparece un menor, el de sus padres o tutores. Base: consentimiento (art. 6.1.a); puedes retirarlo y la retiraremos de nuestras cuentas.
• Sorteos, concursos y programas para clientes: si participas, los datos que pidan sus bases (normalmente tu nombre, tu usuario en redes y un contacto para avisarte si ganas), solo para gestionarlos. Base: consentimiento o las propias bases (art. 6.1.a / 6.1.b).
• Pedidos a domicilio: los gestionan las plataformas (Glovo, Uber Eats) como responsables propios.
• Obligaciones legales: datos de facturación cuando proceda, para cumplimiento fiscal y contable. Base: obligación legal (art. 6.1.c).

3. Medición publicitaria con Meta (píxel y API de conversiones)

Si aceptas las cookies de anuncios, usamos el píxel de Meta Platforms Ireland Ltd. (Instagram y Facebook) para saber qué anuncios nuestros traen visitas y reservas. Si no las aceptas, nada de esto se activa y puedes reservar igual.

Cuando reservas desde esta web y llegas a la página de confirmación, nuestro servidor, que está en la Unión Europea, comprueba con Tableo que la reserva existe y le manda a Meta un aviso de reserva hecha (el evento «Lead») con estos datos: un código de reserva que no dice quién eres, las cookies de Meta de tu navegador (_fbp y _fbc), el tipo de navegador (user-agent) y el email y el teléfono que pusiste en la reserva, cifrados con SHA-256. No le mandamos tu nombre, tu dirección IP, el número de comensales ni los comentarios de la reserva.

Cifrado no quiere decir anónimo: Meta compara ese código con los datos de sus cuentas para saber si tienes una y si viste alguno de nuestros anuncios. Según sus condiciones para empresas, Meta usa tu email y tu teléfono solo para hacer esa comparación, por encargo nuestro, y los borra al terminar. Nosotros no los guardamos: se cifran en el momento de enviarlos.

Si tienes cuenta, Meta sí se queda con el aviso de que reservaste en Hatillo y puede usarlo, bajo su propia responsabilidad, para medir y mejorar cómo reparte los anuncios, como explica su Política de privacidad. En recoger y enviarle estos datos somos corresponsables con Meta (art. 26 RGPD); lo esencial de ese acuerdo está en sus condiciones para corresponsables. De Meta solo recibimos cifras de campaña agregadas.

Base: tu consentimiento (art. 6.1.a RGPD), el que das al pulsar «Aceptar» en el aviso de cookies o al activar «Anuncios» en «Elegir». Puedes retirarlo cuando quieras desde el enlace «Cookies» del pie de página y, desde ese momento, tu navegador deja de mandarnos nada para Meta. Si entonces quedaba pendiente el aviso de una reserva tuya porque el envío a Meta había fallado, aún puede salir, como mucho en las 24 horas siguientes a que la web confirmara tu reserva. Lo que ya se envió no podemos recuperarlo, pero puedes escribirnos (apartado 9) y ejercer también tus derechos ante Meta. Meta puede tratar datos en EE. UU. (ver apartado 6). Si cambiamos algo de esto, te volveremos a preguntar.

4. Destinatarios y encargados

No vendemos tus datos. Solo los comparten los proveedores necesarios para prestarte el servicio: Tableo (reservas y, en su caso, el envío de novedades a quien lo haya aceptado) y su proveedor de pagos Stripe (la garantía con tarjeta), Meta Platforms Ireland Ltd. (medición y publicidad —en la medición de reservas es corresponsable con nosotros, ver apartado 3— y el servicio de WhatsApp Business por el que nos escribes), Google Ireland Ltd. (analítica web y publicidad — Google Analytics, Google Ads y Google Tag Manager), Microsoft Ireland Operations Ltd. (analítica de uso — Microsoft Clarity), Zoho Mail (correo, centro de datos en la UE), Hetzner Online GmbH (nuestro servidor, en Alemania, donde funciona la medición de reservas, donde preparamos la respuesta a los mensajes del formulario de contacto y donde funciona nuestra asistente de WhatsApp), Anthropic Ireland Limited (inteligencia artificial que nos ayuda a redactar el borrador de esa respuesta y con la que contesta nuestra asistente de WhatsApp; no usa tus mensajes para entrenar sus modelos), Vercel Inc. (alojamiento de la web y envío del formulario de contacto, desde su región de Fráncfort; es una empresa de EE. UU. y cualquier acceso desde allí queda amparado por las cláusulas contractuales tipo de su contrato de encargo), plataformas de pedidos (Glovo, Uber Eats), y administraciones públicas cuando exista obligación legal. Estas herramientas de analítica y publicidad solo se activan si aceptas las cookies correspondientes.

5. Plazos de conservación

Conservamos tus datos el tiempo necesario para la finalidad que los justificó: las reservas mientras dure la relación y los plazos legales aplicables; los mensajes del formulario de contacto y del correo, el tiempo necesario para atender tu consulta (si dan lugar a una reserva, un evento o una reclamación, siguen el plazo de esa relación), y la copia del formulario en nuestro servidor, 90 días; los mensajes de WhatsApp en nuestro servidor, 30 días (Meta los conserva como máximo 30 días para entregarlos); las candidaturas de empleo, como se explica en el apartado 2; tu historial como cliente, hasta 3 años desde tu última reserva; los datos para novedades y promociones, hasta que te des de baja; la fecha de una celebración que nos autorices a guardar, hasta que nos pidas borrarla; las fotos y vídeos, mientras estén publicados o hasta que retires el consentimiento; en la medición publicitaria, el registro de cada reserva medida que guardamos en nuestro servidor (el código que no dice quién eres, la fecha y de qué anuncio o enlace llegaste), 13 meses, y en las copias de seguridad de ese servidor, como mucho 15 días más; lo que guarda cada proveedor, según sus plazos (tu email y tu teléfono no los guardamos: se cifran al enviarlos y Meta los borra después de compararlos); y los datos con obligación legal o fiscal durante los plazos exigidos por la normativa. Después los suprimimos o anonimizamos de forma segura.

6. Transferencias internacionales

Algunos proveedores son empresas de EE. UU. o de su grupo: Google (Analytics, Ads, Tag Manager y el formulario de candidaturas en Google Drive), Meta (el píxel y los datos de reserva cifrados que le enviamos desde nuestro servidor), Microsoft (Clarity), Vercel (alojamiento de la web) y Anthropic (la inteligencia artificial que nos ayuda a redactar las respuestas al formulario de contacto y con la que contesta nuestra asistente de WhatsApp). Al escribirnos por WhatsApp, el texto de tus mensajes se envía a Anthropic para preparar la respuesta, y Meta puede tratarlo en sus centros de datos para entregarlo. Cuando sus servicios suponen una transferencia de datos a EE. UU., queda amparada por el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) en el caso de las empresas adheridas, o por cláusulas contractuales tipo aprobadas por la Comisión Europea. El correo (Zoho), el envío del formulario de contacto y la copia que guardamos de él en nuestro servidor se tratan en la Unión Europea.

7. Cookies

Solo usamos cookies y almacenamiento del navegador de analítica y publicidad si las aceptas en el aviso de cookies. En «Elegir» puedes aceptar por separado las de análisis y las de anuncios; Google Ads y Microsoft Clarity solo se activan si aceptas las dos. Puedes cambiar tu elección cuando quieras desde el enlace «Cookies» del pie de página. Tu elección vale 24 meses: pasado ese tiempo la borramos y te volvemos a preguntar. Sin aceptarlas, la web funciona igual. Estas son las que se guardan en nuestro dominio (duración máxima):

• _ga, _ga_4HFL0NQ7S1, _ga_12EBZ0ZT11 — Google Analytics (Análisis). Contar visitas y distinguir visitantes. Duración: 400 días.
• _gcl_au, _gcl_ls — Google Ads (Anuncios). Medir qué anuncios traen reservas. Duración: 90 días.
• _fbp, _fbc — Meta (Facebook/Instagram) (Anuncios). Medir qué anuncios traen reservas. Duración: 90 días.
• _clck — Microsoft Clarity (Análisis). Identificar al visitante para el análisis de uso. Duración: 1 año.
• _clsk, _cltk — Microsoft Clarity (Análisis). Agrupar las páginas de una misma visita. Duración: 1 día / la sesión.
• hatillo_touch, hatillo_reserva_view — Hatillo (Anuncios). Saber de qué anuncio o enlace llegaste a reservar. Duración: Hasta cerrar la pestaña.
• hatillo_consent, hatillo_consent_v, hatillo_consent_at — Hatillo (técnica). Recordar qué aceptaste o rechazaste en el aviso de cookies, cuándo y qué versión del aviso viste. Duración: 24 meses.

Además, al aceptar, Google, Meta y Microsoft pueden usar sus propias cookies en sus dominios; se rigen por sus políticas. El sistema de reservas de Tableo, incrustado en la página de reservas, usa las cookies técnicas que necesita para funcionar.

8. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos y reducir el riesgo de acceso no autorizado, pérdida, alteración o divulgación indebida.

9. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento, escribiendo a info@hatillomadrid.com indicando “Protección de datos”.

Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es.

10. Menores

Nuestros servicios y comunicaciones se dirigen a mayores de edad. No recabamos conscientemente datos de menores sin el consentimiento de sus tutores.

11. Cambios en esta política

Podemos actualizar esta Política de Privacidad para adaptarla a cambios legales o de nuestros servicios. Publicaremos siempre la versión vigente en esta página con su fecha de última actualización.