Seguridad
Me confías el DNI de tu equipo. Así es como lo guardo.
Una ficha de empleado es un DNI, un número de la Seguridad Social, una dirección, una cuenta bancaria. Haces bien en dudar antes de meter eso en una herramienta web. Esta página dice exactamente adónde va, cómo está protegido, quién puede verlo, y lo que vale ante el RGPD. Sin jerga, y sin prometer nada que el código no haga. Última actualización: 29 de septiembre de 2026.
En una frase
Los datos sensibles se cifran antes de entrar en la base de datos, con una clave propia de tu establecimiento, nunca se muestran enteros, cada vez que alguien los revela queda escrito en un registro, y nadie de nuestro lado entra sin que tú lo pidas.
Qué se cifra, y cómo
El número de identificación (DNI, NIE o número de la Seguridad Social), la cuenta bancaria, la fecha de nacimiento y la dirección de cada empleado se cifran en reposo con AES-256-GCM, la norma que usan los bancos. La clave maestra no vive en la base de datos: está en la configuración del servidor, separada. Y cada establecimiento cifra con su propia clave derivada de la clave maestra: las fichas de un restaurante nunca se descifran con la clave de otro. En producción, me niego a escribir una ficha de empleado si falta la clave.
En pantalla solo se ve el final: “••• ••• 482”. Para ver el número completo hay que hacer clic en “Revelar”, y ese clic queda registrado con el nombre de la persona conectada, la fecha y la hora. El propietario ve ese registro en la caja negra. Las contraseñas de las cuentas de gestión están hasheadas, nunca legibles, ni siquiera por nosotros. Todo pasa por HTTPS, nada circula en claro.
Dónde están los servidores
Aquí tienes los proveedores que tocan datos, con el país. Los cinco primeros hacen funcionar el producto; los dos últimos solo ven la web de venta, y solo si aceptas las cookies. Nada se vende, se comparte ni se compara entre restaurantes.
Sí, la base de datos está en Estados Unidos. Lo decimos porque es verdad, y porque para el RGPD eso es una transferencia internacional de datos: solo es lícita con garantías adecuadas, que los proveedores ofrecen por contrato. Además protegemos los datos en sí: los campos sensibles se cifran en la aplicación antes de escribirse en la base, y la clave se guarda aparte. Lo que se almacena es texto ilegible sin ella.
Quién ve qué
El propietario lo ve todo de su establecimiento. El gerente que invita ve las fichas de empleado (él contrata), pero no los ajustes de costes, ni la suscripción, ni la caja negra, y no puede eliminar a un empleado. El equipo, con el código de equipo, ve el cuadrante, su disponibilidad y la carpeta: nunca una ficha, nunca una cifra. Desde la v160, el móvil de cada persona puede aparecer bajo su nombre en el cuadrante, para que el equipo se llame entre sí; el propietario lo desactiva en Ajustes, Módulos. Cada establecimiento está aislado de los demás por su dirección y por su clave. La cuenta de la plataforma (Pista Studio) solo entra en un establecimiento a petición escrita del propietario, para dar soporte, y eso se ve en la caja negra del restaurante.
| Propietario | Gestor | Equipo (código) | Plataforma | |
|---|---|---|---|---|
| El cuadrante, la disponibilidad, la carpeta | sí | sí | sí | bajo petición |
| Las fichas de los empleados | sí | sí, para contratar | no | bajo petición |
| El NIF y la cuenta bancaria completos | revelar, registrado | revelar, registrado, si el propietario lo autoriza | no | no |
| Los ajustes de costes, la suscripción | sí | no | no | bajo petición |
| La caja negra | sí | no | no | bajo petición |
| Eliminar a un empleado | sí | no | no | no |
«Bajo petición»: la cuenta de la plataforma (Pista Studio) solo entra en un establecimiento a petición escrita del propietario, para dar soporte, y cada entrada queda en la caja negra del restaurante.
Contra los abusos: inicios de sesión limitados (8 intentos y luego 15 minutos de pausa), códigos de equipo limitados (10 intentos), segundo factor (aplicación de autenticación) disponible en las cuentas de gestión, “cerrar sesión en todas partes” que revoca todas las sesiones de golpe, y una política de seguridad del navegador (CSP) que bloquea los scripts que no vienen de nosotros.
Cuánto tiempo, y cómo se borra
Mientras la suscripción esté activa. Un empleado archivado sigue en el expediente porque las obligaciones de un empleador duran después de su salida; el propietario puede eliminarlo del todo cuando la ley lo permita. Cuando cierras tu cuenta, tienes 30 días para exportar (CSV y JSON, todo, en un clic), y luego el establecimiento, las fichas y los registros se borran automáticamente. Cada noche se toma una copia de seguridad cifrada de cada establecimiento, guardada catorce días (la del lunes, tres meses), para que un error o una avería se pueda reparar; una cuenta borrada sale de las copias a más tardar tres meses después. Neon guarda además un historial de restauración de corta duración.
La ley en España: el RGPD
En España se aplican el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Tu restaurante es el responsable del tratamiento de los datos de su equipo; Bonjour Gus los trata por cuenta tuya, como encargado del tratamiento. Esto es lo que hacemos de nuestro lado.
Una persona de contacto: el presidente de Pista Studio, bonjour@bonjourgus.com. Una política de privacidad en lenguaje claro, publicada. Medidas de seguridad adaptadas al riesgo: cifrado de los campos sensibles, clave propia de cada establecimiento, registro de cada consulta. El consentimiento pedido antes de las cookies publicitarias y de audiencia del sitio (Meta, Google Ads, Google Analytics), y retirable en un clic (“Cookies” al pie de la página). Un registro de incidentes, y el aviso sin demora al propietario de cada establecimiento afectado, para que pueda notificar a la Agencia Española de Protección de Datos en el plazo de 72 horas que fija el RGPD. Los derechos de acceso, rectificación, supresión y portabilidad: la exportación está abierta en todo momento, y la petición de un empleado pasa por su restaurante, que guarda la ficha, con nuestra ayuda si se atasca. Si necesitas el contrato de encargado del tratamiento (artículo 28 del RGPD), escríbenos.
Lo que queda de tu lado como responsable: informar a tu equipo de qué datos guardas y para qué, recoger solo lo que necesitas (el DNI y el número de la Seguridad Social sirven para la nómina y la afiliación, no para otra cosa), llevar tu registro de actividades de tratamiento y responder a los empleados que piden ver su ficha. Gus te da la herramienta; lo que metes en ella sigue siendo decisión tuya. Ante cualquier duda, la AEPD (aepd.es) es la autoridad de control.
Lo que no pretendemos
No tenemos certificación SOC 2 ni ISO 27001: es un producto de un equipo pequeño de la ciudad de Quebec, construido sobre proveedores que sí las tienen (Vercel, Neon, Stripe). Todavía no hemos hecho auditar el código por una empresa externa. Si tu restaurante forma parte de un grupo que lo exige, dínoslo, veremos juntos lo que hace falta.
Un fallo, una pregunta
¿Has encontrado algo raro? Escribe a bonjour@bonjourgus.com con “seguridad” en el asunto: respondemos entre semana, en el día, y no perseguimos a quien nos ayuda de buena fe. Para todo lo demás, la política de privacidad y las condiciones dicen quién promete qué.
Crear mi establecimiento · Veinte minutos con una persona · Volver al inicio