Privacidad

Lo que guardo, y lo que hago con ello.

Un restaurante me confía sus horarios, sus cifras y las fichas de sus empleados. Aquí tienes, sin jerga, lo que eso significa. Última actualización: 29 de septiembre de 2026.

Quién es el responsable

Bonjour Gus es un producto de Pista Studio, Quebec (Canadá). El responsable de la protección de los datos personales es el presidente de Pista Studio, localizable en bonjour@bonjourgus.com. Es él quien responde a las solicitudes de acceso, corrección y supresión, entre semana, en los días siguientes.

Lo que guardo

De la empresa cliente: el nombre del establecimiento, el correo y el nombre del propietario y de los gerentes, su contraseña (con hash, nunca legible), el estado de la suscripción. El pago en sí está en Stripe; yo nunca veo el número de tarjeta.

Del equipo, lo que el gerente introduce: nombre, puesto, teléfono, correo, tarifa por hora, horarios, disponibilidades, vacaciones, notas del gerente, y la ficha de empleado si el restaurante la usa (fecha de nacimiento, dirección, persona de contacto en caso de emergencia, número de seguro social (NAS), cuenta bancaria para la nómina, documentos firmados). Esa ficha existe porque un empleador en Quebec debe llevarla; está cifrada en reposo con una clave propia de cada establecimiento, enmascarada en pantalla, y cada revelación de un NAS o de una cuenta queda registrada con el nombre de la persona conectada.

Del restaurante: las ventas, las transacciones, las horas trabajadas, el inventario, las decisiones y la carpeta. Son los datos del cliente; yo los calculo, no los vendo a nadie y no los comparo entre restaurantes.

Técnicamente: la dirección IP y el navegador en los inicios de sesión, los registros y los formularios (para frenar los abusos), y un registro de las acciones de gestión (la “caja negra”) para que el propietario sepa quién cambió qué.

Dónde está alojado

El sitio funciona en Vercel y la base de datos en Neon (Postgres), ambos en la región de Washington, en Estados Unidos, con datos cifrados en reposo y en tránsito. Los correos salen por Resend, el pago pasa por Stripe, también en Estados Unidos. Las fichas de empleados se cifran antes de llegar allí, con una clave propia de cada establecimiento, y el alojamiento fuera de Quebec ha sido objeto de una evaluación de los factores relativos a la privacidad, como exige la ley de Quebec. Para un establecimiento en la Unión Europea, la transferencia a Estados Unidos se apoya en las garantías que prevé el RGPD, a través de los acuerdos de tratamiento de datos de estos proveedores. La página Seguridad lo detalla todo. Ningún otro tercero recibe datos de tu establecimiento. Sin reventa. Los únicos rastreadores del sitio son el píxel de Meta y la etiqueta de Google (Google Ads y Google Analytics, la medición de audiencia), solo en las páginas de venta, y solo si dices que sí (ver Cookies). En esas mismas páginas, Vercel cuenta las visitas (páginas vistas, país, dispositivo) sin cookies y sin identificarte. Nada de esto funciona en la app de tu establecimiento. “Pregúntale a Gus”, el chat del sitio y del Back Office, pasa por Anthropic (Claude): la pregunta y, en el Back Office, un resumen de cifras del restaurante (ventas, horas, veredictos, nombres de pila y puestos del equipo) se le envían para producir la respuesta; nunca el número de seguro social (NAS), los datos bancarios, las direcciones ni los expedientes disciplinarios. Anthropic no usa estos intercambios para entrenar sus modelos. De nuestro lado, el primer mensaje de una conversación del sitio queda registrado (sus 120 primeros caracteres), y se guardan hasta seis mensajes cuando dejas una solicitud de contacto en el chat, para saber de qué hablabas cuando te llamemos. Nada más se conserva más allá de tu navegador.

Quién tiene acceso

El propietario y los gerentes que él invita, según su rol (el gerente no ve ni los ajustes de costes, ni la suscripción, ni la caja negra, y no puede eliminar a un empleado). El equipo ve el cuadrante, sus disponibilidades y la carpeta con el código de equipo, nunca las cifras ni las fichas. Pista Studio solo entra en un establecimiento a petición del propietario, para dar soporte, y eso queda visible en la caja negra.

Cuánto tiempo

Mientras la suscripción esté activa, más 30 días después del cierre de la cuenta, el tiempo de exportar. Después, todo se borra: el establecimiento, las fichas, los registros. Los empleados archivados se conservan mientras el restaurante mantenga su cuenta, porque las obligaciones de un empleador duran después de la salida. La caja negra guarda dos años de acciones de gestión, y cinco años para lo que toca a los expedientes de empleados, porque es el rastro que dice quién abrió qué. Cada noche se toma una copia de seguridad cifrada de cada establecimiento, guardada catorce días (la del lunes, tres meses): una cuenta borrada desaparece también de las copias a más tardar tres meses después del borrado. El historial de restauración de la base en Neon es de corta duración (unas horas con el plan actual).

Tus derechos

Un empleado puede pedir ver lo que su empleador ha introducido sobre él, hacerlo corregir o borrar: la solicitud pasa primero por el restaurante, que lleva la ficha; si se bloquea, escríbenos y le acompañamos. Un propietario exporta todo en CSV o en JSON cuando quiere (Ajustes, Exportaciones), y cierra su cuenta él mismo (Mi cuenta). Cualquier persona puede escribirnos para saber qué tenemos sobre ella. En caso de desacuerdo: si tu establecimiento está en Quebec, la Commission d'accès à l'information du Québec; si está en España, la Agencia Española de Protección de Datos (AEPD); en otro país de la Unión Europea, la autoridad de protección de datos de tu país. Nada de lo que hay aquí te quita esos derechos.

Si pasa algo

Si un incidente afecta a datos personales, avisamos al propietario de cada establecimiento afectado, y a la autoridad competente (la Commission en Quebec, la AEPD en España) cuando la ley lo exige, diciendo qué ha pasado y qué hemos hecho. El registro de incidentes lo lleva el responsable.

Cookies

Las necesarias, puestas por mí, sin rastreador: gus_session (tu sesión de gestión, 30 días o hasta que cierres sesión), gus_team (el código de equipo en el teléfono, 6 meses), gus_lang y gus_variant (el idioma elegido y la variante del sitio, 180 días), gus_ref (el código de referido de un enlace /r, 30 días), gus_utm (de dónde llegaste: la campaña, la palabra clave y el identificador del clic en el anuncio, para saber qué campaña llevó al registro, 30 días). Tu respuesta a la pregunta de las cookies vive en el navegador (gus-consent, localStorage), que guarda también algunas preferencias locales (pestaña abierta, visita guiada vista). Cookies publicitarias, opcionales: el píxel de Meta (Facebook e Instagram) y la etiqueta de Google (Google Ads y Google Analytics), solo en las páginas del sitio de venta bonjourgus.com, nunca en el Back Office ni en el lado del equipo. Sirven para saber si nuestros anuncios te han traído hasta aquí y si te has registrado; el píxel de Meta solo se carga después de tu “De acuerdo” en la pequeña barra al pie de la página; la etiqueta de Google se carga en “modo de consentimiento denegado” (ninguna cookie, ningún dato personal, solo una señal anónima) y solo pone sus cookies después de tu “De acuerdo”, y “No, gracias” se respeta de verdad. Para cambiar de opinión en un sentido o en otro: el enlace “Cookies” al pie de cada página del sitio vuelve a abrir la pregunta. Si retiras tu consentimiento, los dos dejan de enviar y sus cookies (_fbp, _fbc, _gcl_*) se borran al instante.

Las condiciones de uso dicen el resto: lo que prometemos, lo que no prometemos, y cómo nos despedimos.