En MenúdeHoy nos tomamos en serio tu privacidad. Esta política explica, de forma clara y sin rodeos, qué datos personales recogemos cuando usas nuestra app o nuestra web, para qué los usamos, durante cuánto tiempo los conservamos y qué derechos tienes sobre ellos.

A qué se aplica. Esta política cubre la app MenúdeHoy y la web menudehoy.app (el «Sitio»), que incluye la página de inicio, los menús compartidos (menudehoy.app/m/…), las encuestas «¿Dónde vamos?» (menudehoy.app/vota/…) y los boletines (menudehoy.app/boletin/…). La app incorpora además su propia copia de esta política, que es la que aceptas al registrarte y puedes consultar en Perfil → Legal; si alguna vez difirieran sobre el uso de la app, prevalece la versión aceptada en la app.

En caso de discrepancia entre las versiones lingüísticas de esta política (español, catalán e inglés), prevalecerá la versión en español.

1Responsable del tratamiento

El responsable del tratamiento de tus datos personales es:

• Titular: Miguel Titos Ramis, actuando como persona física.
• Localidad: Palma de Mallorca (Illes Balears, España).
• Correo de contacto: hola@menudehoy.app

Cualquier cambio en la forma jurídica del proyecto se actualizará en esta política.

2Datos que tratamos

Según cómo uses MenúdeHoy, podemos tratar las siguientes categorías de datos:

No tratamos datos especialmente protegidos (salud, ideología, etc.). Si en una reseña pública mencionas tus alergias o intolerancias, ten en cuenta que ese contenido será visible para otras personas usuarias.

3Para qué los usamos

• Prestar el servicio: mostrarte los menús del día cerca de ti, gestionar tu cuenta y permitirte publicar como restaurador.
• Reconocer el menú (OCR): procesar la foto de la pizarra para extraer platos, precios y alérgenos que tú revisas antes de publicar.
• Personalizar tu experiencia: filtrar resultados por tus preferencias, recordar tus favoritos y enviarte las notificaciones que tú actives.
• Mejorar la app: analizar de forma agregada qué funciones se usan y dónde hay errores.
• Comunicaciones operativas: responder a tus consultas y avisarte de cambios importantes en el servicio o en esta política.
• Cumplimiento legal: atender requerimientos legítimos de autoridades.
• Autopublicar tu menú en tus redes (solo restauradores que conecten Instagram o Facebook): publicar en tu nombre la imagen y el texto del menú del día como publicación o historia, cuando tú lo indiques o a la hora programada.
• Encuestas para decidir dónde comer: contar los votos de cada encuesta, evitar que el mismo navegador vote dos veces y mostrar al grupo quién ha votado, solo si has escrito tu nombre.
• Boletín: si tienes cuenta, enviarte de vez en cuando novedades de Menú de Hoy (nunca publicidad de terceros) y saber cuántas personas lo leen, sin saber quién.
• Estadísticas para los restaurantes: decir a cada local cuánta gente consulta y comparte su menú y cuánta le enviamos a su web, a sus reservas o a sus redes, siempre en totales y sin decir quién.

No usaremos tus datos para perfilarte con fines publicitarios ni para tomar decisiones automatizadas con efectos jurídicos sobre ti.

4Base jurídica

• Ejecución de un contrato (art. 6.1.b RGPD): cuando los datos son necesarios para prestarte el servicio que has solicitado al usar la app.
• Consentimiento (art. 6.1.a RGPD): para la ubicación y las notificaciones push. Puedes retirarlo en cualquier momento.
• Interés legítimo (art. 6.1.f RGPD): para mantener la seguridad de la plataforma, prevenir el fraude, mejorar el servicio de forma agregada y ofrecer a los restaurantes estadísticas agregadas del tráfico que les enviamos.
• Cumplimiento de obligaciones legales (art. 6.1.c RGPD): atención a requerimientos de autoridades competentes.
• Consentimiento (art. 6.1.a RGPD): para conectar tus redes sociales y publicar en ellas en tu nombre. Puedes retirarlo desconectando la cuenta en cualquier momento.
• Ejecución del servicio que pides (art. 6.1.b RGPD): el identificador que tu navegador guarda al votar, imprescindible para contar un voto por persona y dejarte cambiarlo.
• Consentimiento (art. 6.1.a RGPD): el nombre con el que firmas tu voto —opcional y visible para quien tenga el enlace—. Puedes retirarlo escribiéndonos.
• Interés legítimo (art. 6.1.f RGPD) y art. 21.2 de la LSSI: el boletín, solo a quien ya tiene cuenta, solo sobre Menú de Hoy y con un enlace para darte de baja de un toque en cada envío. También puedes darte de baja en la app (Perfil → Recibir el boletín) y seguir leyéndolos en menudehoy.app/boletines.

5Plazos de conservación

• Datos de cuenta: mientras tengas la cuenta activa. Si solicitas el borrado, los eliminaremos en un plazo máximo de 30 días.
• Menús publicados por restauradores: mientras la cuenta esté activa; se eliminan al cerrar la cuenta.
• Foto de la pizarra para OCR: además de usarla para extraer el texto, guardamos una copia de la foto y del resultado de la lectura para comprobar la calidad del reconocimiento cuando un menú se publica mal (solo puede verla el administrador de MenúdeHoy). Se borra automáticamente 14 días después de publicar el menú, o de la lectura si no se llega a publicar.
• Datos de uso técnico (consultas y compartidos de menús, salidas hacia los locales, errores de la app): los registros con el identificador de la instalación o de tu cuenta se borran a los 90 días. Después solo guardamos, por local y día, cuántas consultas, compartidos y visitas hubo y cuántas personas distintas, sin ningún identificador.
• Encuestas y votos: la encuesta caduca sola (esa misma noche si es sobre el menú del día; a los 14 días si es de grupo). Conservamos la encuesta, sus opciones y el recuento de votos de forma anónima; el nombre con el que firma quien vota se borra automáticamente 60 días después de caducar.
• Solicitudes de presupuesto para grupos: conservamos tus datos de contacto mientras el restaurante gestiona la solicitud y, como máximo, 12 meses desde que la envías. Después se anonimizan automáticamente: se borran nombre, teléfono, correo y comentario, y solo quedan el número de personas, la fecha, el estado y el importe, que ya no permiten identificarte.
• Favoritos sin cuenta: si no llegas a guardar ningún favorito, el usuario anónimo se borra a los 7 días; si guardas alguno, se borra con todo lo asociado tras 90 días sin que la app dé señales en ese dispositivo (ni se abra ni renueve su token de notificaciones). Si pasas tus favoritos a una cuenta, el anónimo se borra al día siguiente.
• Boletín: la lista de a quién se envió cada boletín, mientras mantengas tu cuenta; si te das de baja, la fecha en que lo pediste, para respetarla. Los contadores de aperturas, clics y lecturas en la web no están ligados a ninguna persona.

6A quién los cedemos

No compartimos tus datos personales con terceros con fines comerciales. Para prestar el servicio intervienen los siguientes proveedores como encargados o subencargados del tratamiento, mediante contrato y con las garantías exigidas por el RGPD:

• Supabase — base de datos, autenticación y almacenamiento de archivos. Región: AWS eu-west-1 (Irlanda).
• Apple Inc. y Google LLC — proveedores de identidad (OAuth) si eliges ese inicio de sesión, distribución de la app y envío de notificaciones push.
• Servicio de OCR — proveedor de reconocimiento de texto que procesa la foto del menú para extraer platos, precios y alérgenos.
• Proveedor de correo (Resend) — para los correos del servicio y el boletín.
• Expo (650 Industries, Inc.) — envío de las notificaciones push, que entrega mediante los servicios de Apple y Google.
• Cloudflare Turnstile — verificación automática contra abusos en el uso sin cuenta (guardar favoritos, pedir presupuesto o escribirnos desde la página para restaurantes); recibe datos técnicos de tu dispositivo, como la dirección IP.
• Autoridades competentes cuando exista una obligación legal.
• Meta Platforms Ireland Ltd. — solo si conectas tu Instagram o tu página de Facebook, para publicar tu menú en esas redes en tu nombre. No compartimos con Meta ningún otro dato de la app.
• Telegram Messenger LLP — solo si el restaurante conecta su Telegram: por ahí le llega el aviso de las solicitudes de presupuesto, con el nombre, el teléfono y, si lo has indicado, el correo de quien la envía, y puede publicar su menú por foto.

Además de esos encargados, hay una cesión que se produce porque tú la pides: al enviar una solicitud de presupuesto para un grupo, entregamos tu nombre, tu teléfono y, si lo has indicado, tu correo al restaurante al que la diriges, para que pueda responderte. Te pedimos aceptarlo expresamente en el formulario. A partir de ahí ese restaurante trata tus datos como responsable independiente, con sus propias obligaciones: si quieres que los borre, has de pedírselo directamente a él.

7Transferencias internacionales

• Datos de cuenta y app (Supabase): almacenados en la Unión Europea (AWS, región eu-west-1 — Irlanda). Sin transferencia internacional.
• Inicio de sesión con Apple o Google, notificaciones push (también a través de Expo) y verificación de Cloudflare Turnstile: pueden procesarse en Estados Unidos bajo el marco EU-US Data Privacy Framework o cláusulas contractuales tipo.
• Servicio de OCR: si el proveedor procesa la imagen fuera del EEE, la transferencia se ampara en el EU-US Data Privacy Framework o en cláusulas contractuales tipo aprobadas por la Comisión Europea.
• Publicación en Instagram o Facebook: si conectas esas cuentas, los datos necesarios para publicar pueden procesarse en Estados Unidos bajo el marco EU-US Data Privacy Framework o cláusulas contractuales tipo.

8Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos escribiéndonos a hola@menudehoy.app:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: pedir que los borremos cuando ya no sean necesarios. Además, puedes eliminar tú mismo tu cuenta y todos los datos asociados en cualquier momento desde la app, en Perfil → Eliminar cuenta; la eliminación es inmediata e irreversible. También puedes solicitárnoslo por correo.
• Oposición y limitación: oponerte al tratamiento o pedir que lo limitemos en determinados supuestos.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Retirar el consentimiento cuando el tratamiento se base en él, sin que ello afecte a la licitud previa.

Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).

9Menores de edad

MenúdeHoy está dirigida a personas mayores de 14 años, conforme al artículo 7 de la LOPDGDD. Si detectamos una cuenta de un menor sin el consentimiento de quien ostente la patria potestad o tutela, procederemos a su eliminación.

10Seguridad

• Todas las comunicaciones entre la app y los servidores se realizan mediante conexiones cifradas (TLS/SSL).
• El acceso a los datos está restringido por Row Level Security (RLS): cada usuario solo puede acceder a sus propios datos.
• Las contraseñas se almacenan cifradas mediante los mecanismos de Supabase Auth; no tenemos acceso directo a ellas.
• El token de sesión se guarda en el almacén seguro del dispositivo (Keychain en iOS, Keystore en Android).
• No almacenamos datos de tarjetas bancarias ni información de pago de ningún tipo.

11Política de cookies

La app móvil no utiliza cookies. La web (menudehoy.app) no utiliza cookies publicitarias ni de seguimiento de terceros.

Para recordar tu idioma, la web guarda esa preferencia en el almacenamiento local de tu navegador (localStorage), que no se comparte con terceros ni se utiliza para seguirte. Puedes borrarlo en cualquier momento desde los ajustes de tu navegador.

Si votas en una encuesta, la web guarda también en el localStorage un identificador aleatorio, el nombre que hayas escrito y la opción que has votado, para que no cuentes dos veces y puedas cambiar tu voto. Son datos técnicos necesarios para el servicio que has pedido —no son cookies publicitarias ni permiten seguirte por otras webs— y desaparecen si borras los datos del navegador.

Si abres un menú compartido (menudehoy.app/m/…), la web guarda en el localStorage un identificador aleatorio de tu navegador para contar cuántas veces se consulta cada menú; no va unido a tu nombre ni a ninguna cuenta, y desaparece igualmente si borras los datos del navegador.

Si en el futuro incorporamos herramientas de analítica web, solo se activarían con tu consentimiento previo y se actualizaría esta política para detallarlas.

12Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o mejoras del servicio. Si los cambios son sustanciales, te avisaremos por la propia app o por correo electrónico antes de que entren en vigor. La versión vigente estará siempre disponible en esta misma dirección.

13Contacto

Si tienes cualquier duda sobre tus datos, escríbenos sin compromiso a hola@menudehoy.app. Intentamos contestar en un plazo máximo de 5 días laborables.

A MenúdeHoy ens prenem seriosament la teva privacitat. Aquesta política explica, de manera clara i sense embuts, quines dades personals recollim quan fas servir la nostra app o el nostre web, per a què les fem servir, durant quant de temps les conservem i quins drets hi tens.

A què s’aplica. Aquesta política cobreix l’app MenúdeHoy i el web menudehoy.app (el «Lloc»), que inclou la pàgina d’inici, els menús compartits (menudehoy.app/m/…), les enquestes «On anem?» (menudehoy.app/vota/…) i els butlletins (menudehoy.app/boletin/…). L’app incorpora a més la seva pròpia còpia d’aquesta política, que és la que acceptes en registrar-t’hi i pots consultar a Perfil → Legal; si mai diferissin sobre l’ús de l’app, preval la versió acceptada a l’app.

En cas de discrepància entre les versions lingüístiques d’aquesta política (espanyol, català i anglès), prevaldrà la versió en espanyol.

1Responsable del tractament

El responsable del tractament de les teves dades personals és:

• Titular: Miguel Titos Ramis, actuant com a persona física.
• Localitat: Palma (Illes Balears, Espanya).
• Correu de contacte: hola@menudehoy.app

Qualsevol canvi en la forma jurídica del projecte s’actualitzarà en aquesta política.

2Dades que tractem

Segons com facis servir MenúdeHoy, podem tractar les categories de dades següents:

No tractem dades especialment protegides (salut, ideologia, etc.). Si en una ressenya pública esmentes les teves al·lèrgies o intoleràncies, tingues en compte que aquest contingut serà visible per a altres persones usuàries.

3Per a què les fem servir

• Prestar el servei: mostrar-te els menús del dia a prop teu, gestionar el teu compte i permetre’t publicar com a restaurador.
• Reconèixer el menú (OCR): processar la foto de la pissarra per extreure plats, preus i al·lèrgens que tu revises abans de publicar.
• Personalitzar la teva experiència: filtrar resultats per les teves preferències, recordar els teus preferits i enviar-te les notificacions que tu activis.
• Millorar l’app: analitzar de manera agregada quines funcions es fan servir i on hi ha errors.
• Comunicacions operatives: respondre a les teves consultes i avisar-te de canvis importants en el servei o en aquesta política.
• Compliment legal: atendre requeriments legítims d’autoritats.
• Autopublicar el teu menú a les teves xarxes (només restauradors que connectin Instagram o Facebook): publicar en el teu nom la imatge i el text del menú del dia com a publicació o història, quan tu ho indiquis o a l’hora programada.
• Enquestes per decidir on menjar: comptar els vots de cada enquesta, evitar que el mateix navegador voti dues vegades i mostrar al grup qui ha votat, només si hi has escrit el teu nom.
• Butlletí: si tens compte, enviar-te de tant en tant novetats de Menú de Hoy (mai publicitat de tercers) i saber quantes persones el llegeixen, sense saber qui.
• Estadístiques per als restaurants: dir a cada local quanta gent consulta i comparteix el seu menú i quanta li enviem al seu web, a les seves reserves o a les seves xarxes, sempre en totals i sense dir qui.

No farem servir les teves dades per perfilar-te amb finalitats publicitàries ni per prendre decisions automatitzades amb efectes jurídics sobre tu.

4Base jurídica

• Execució d’un contracte (art. 6.1.b RGPD): quan les dades són necessàries per prestar-te el servei que has sol·licitat en fer servir l’app.
• Consentiment (art. 6.1.a RGPD): per a la ubicació i les notificacions push. Pots retirar-lo en qualsevol moment.
• Interès legítim (art. 6.1.f RGPD): per mantenir la seguretat de la plataforma, prevenir el frau, millorar el servei de manera agregada i oferir als restaurants estadístiques agregades del trànsit que els enviem.
• Compliment d’obligacions legals (art. 6.1.c RGPD): atenció a requeriments d’autoritats competents.
• Consentiment (art. 6.1.a RGPD): per connectar les teves xarxes socials i publicar-hi en el teu nom. Pots retirar-lo desconnectant el compte en qualsevol moment.
• Execució del servei que demanes (art. 6.1.b RGPD): l’identificador que el teu navegador desa en votar, imprescindible per comptar un vot per persona i deixar-te canviar-lo.
• Consentiment (art. 6.1.a RGPD): el nom amb què signes el vot —opcional i visible per a qui tingui l’enllaç—. El pots retirar escrivint-nos.
• Interès legítim (art. 6.1.f RGPD) i art. 21.2 de la LSSI: el butlletí, només a qui ja té compte, només sobre Menú de Hoy i amb un enllaç per donar-te de baixa d’un toc a cada enviament. També et pots donar de baixa a l’app (Perfil → Rebre el butlletí) i continuar llegint-los a menudehoy.app/boletines.

5Terminis de conservació

• Dades de compte: mentre tinguis el compte actiu. Si en sol·licites l’esborrat, les eliminarem en un termini màxim de 30 dies.
• Menús publicats per restauradors: mentre el compte estigui actiu; s’eliminen en tancar el compte.
• Foto de la pissarra per a OCR: a més de fer-la servir per extreure’n el text, guardem una còpia de la foto i del resultat de la lectura per comprovar la qualitat del reconeixement quan un menú es publica malament (només la pot veure l’administrador de MenúdeHoy). S’esborra automàticament 14 dies després de publicar el menú, o de la lectura si no s’arriba a publicar.
• Dades d’ús tècnic (consultes i comparticions de menús, sortides cap als locals, errors de l’app): els registres amb l’identificador de la instal·lació o del teu compte s’esborren als 90 dies. Després només desem, per local i dia, quantes consultes, comparticions i visites hi ha hagut i quantes persones diferents, sense cap identificador.
• Enquestes i vots: l’enquesta caduca sola (aquella mateixa nit si és sobre el menú del dia; als 14 dies si és de grup). Conservem l’enquesta, les seves opcions i el recompte de vots de forma anònima; el nom amb què signa qui vota s’esborra automàticament 60 dies després de caducar.
• Sol·licituds de pressupost per a grups: conservem les teves dades de contacte mentre el restaurant gestiona la sol·licitud i, com a màxim, 12 mesos des que l’envies. Després s’anonimitzen automàticament: s’esborren nom, telèfon, correu i comentari, i només queden el nombre de persones, la data, l’estat i l’import, que ja no permeten identificar-te.
• Preferits sense compte: si no arribes a desar cap preferit, l’usuari anònim s’esborra als 7 dies; si en deses algun, s’esborra amb tot el que hi està associat després de 90 dies sense que l’app doni senyals en aquell dispositiu (ni s’obri ni renovi el seu token de notificacions). Si passes els teus preferits a un compte, l’anònim s’esborra l’endemà.
• Butlletí: la llista de a qui s’ha enviat cada butlletí, mentre mantenguis el compte; si et dones de baixa, la data en què ho vas demanar, per respectar-la. Els comptadors d’obertures, clics i lectures al web no estan lligats a cap persona.

6A qui les cedim

No compartim les teves dades personals amb tercers amb finalitats comercials. Per prestar el servei intervenen els proveïdors següents com a encarregats o subencarregats del tractament, mitjançant contracte i amb les garanties exigides pel RGPD:

• Supabase — base de dades, autenticació i emmagatzematge d’arxius. Regió: AWS eu-west-1 (Irlanda).
• Apple Inc. i Google LLC — proveïdors d’identitat (OAuth) si tries aquest inici de sessió, distribució de l’app i enviament de notificacions push.
• Servei d’OCR — proveïdor de reconeixement de text que processa la foto del menú per extreure plats, preus i al·lèrgens.
• Proveïdor de correu (Resend) — per als correus del servei i el butlletí.
• Expo (650 Industries, Inc.) — enviament de les notificacions push, que lliura mitjançant els serveis d’Apple i Google.
• Cloudflare Turnstile — verificació automàtica contra abusos en l’ús sense compte (desar preferits, demanar pressupost o escriure’ns des de la pàgina per a restaurants); rep dades tècniques del teu dispositiu, com l’adreça IP.
• Autoritats competents quan hi hagi una obligació legal.
• Meta Platforms Ireland Ltd. — només si connectes el teu Instagram o la teva pàgina de Facebook, per publicar el teu menú en aquestes xarxes en el teu nom. No compartim amb Meta cap altra dada de l’app.
• Telegram Messenger LLP — només si el restaurant connecta el seu Telegram: per aquí li arriba l’avís de les sol·licituds de pressupost, amb el nom, el telèfon i, si l’has indicat, el correu de qui l’envia, i pot publicar el seu menú per foto.

A més d’aquests encarregats, hi ha una cessió que es produeix perquè tu la demanes: en enviar una sol·licitud de pressupost per a un grup, lliurem el teu nom, el teu telèfon i, si l’has indicat, el teu correu al restaurant a qui l’adreces, perquè pugui respondre’t. Et demanem acceptar-ho expressament al formulari. A partir d’aquí aquest restaurant tracta les teves dades com a responsable independent, amb les seves pròpies obligacions: si vols que les esborri, li ho has de demanar directament a ell.

7Transferències internacionals

• Dades de compte i app (Supabase): emmagatzemades a la Unió Europea (AWS, regió eu-west-1 — Irlanda). Sense transferència internacional.
• Inici de sessió amb Apple o Google, notificacions push (també a través d’Expo) i verificació de Cloudflare Turnstile: es poden processar als Estats Units sota el marc EU-US Data Privacy Framework o clàusules contractuals tipus.
• Servei d’OCR: si el proveïdor processa la imatge fora de l’EEE, la transferència s’empara en el marc EU-US Data Privacy Framework o en clàusules contractuals tipus aprovades per la Comissió Europea.
• Publicació a Instagram o Facebook: si connectes aquests comptes, les dades necessàries per publicar es poden processar als Estats Units sota el marc EU-US Data Privacy Framework o clàusules contractuals tipus.

8Els teus drets

Pots exercir en qualsevol moment els drets següents escrivint-nos a hola@menudehoy.app:

• Accés: saber quines dades teves tractem.
• Rectificació: corregir dades inexactes o incompletes.
• Supressió: demanar que les esborrem quan ja no siguin necessàries. A més, pots eliminar tu mateix el teu compte i totes les dades associades en qualsevol moment des de l’app, a Perfil → Eliminar compte; l’eliminació és immediata i irreversible. També ens ho pots sol·licitar per correu.
• Oposició i limitació: oposar-te al tractament o demanar que el limitem en determinats supòsits.
• Portabilitat: rebre les teves dades en un format estructurat i d’ús comú.
• Retirar el consentiment quan el tractament s’hi basi, sense que això afecti la licitud prèvia.

Si consideres que no hem atès correctament la teva sol·licitud, pots presentar una reclamació davant l’Agència Espanyola de Protecció de Dades (aepd.es).

9Menors d’edat

MenúdeHoy s’adreça a persones majors de 14 anys, conforme a l’article 7 de la LOPDGDD. Si detectem un compte d’un menor sense el consentiment de qui n’ostenti la pàtria potestat o tutela, en procedirem a l’eliminació.

10Seguretat

• Totes les comunicacions entre l’app i els servidors es fan mitjançant connexions xifrades (TLS/SSL).
• L’accés a les dades està restringit per Row Level Security (RLS): cada usuari només pot accedir a les seves pròpies dades.
• Les contrasenyes s’emmagatzemen xifrades mitjançant els mecanismes de Supabase Auth; no hi tenim accés directe.
• El token de sessió es desa al magatzem segur del dispositiu (Keychain a iOS, Keystore a Android).
• No emmagatzemem dades de targetes bancàries ni informació de pagament de cap tipus.

11Política de cookies

L’app mòbil no utilitza cookies. El web (menudehoy.app) no utilitza cookies publicitàries ni de seguiment de tercers.

Per recordar el teu idioma, el web desa aquesta preferència a l’emmagatzematge local del teu navegador (localStorage), que no es comparteix amb tercers ni es fa servir per seguir-te. Pots esborrar-lo en qualsevol moment des dels ajustos del navegador.

Si votes en una enquesta, el web desa també al localStorage un identificador aleatori, el nom que hi hagis escrit i l’opció que has votat, perquè no comptis dues vegades i puguis canviar el vot. Són dades tècniques necessàries per al servei que has demanat —no són galetes publicitàries ni permeten seguir-te per altres webs— i desapareixen si esborres les dades del navegador.

Si obres un menú compartit (menudehoy.app/m/…), el web desa al localStorage un identificador aleatori del teu navegador per comptar quantes vegades es consulta cada menú; no va lligat al teu nom ni a cap compte, i desapareix igualment si esborres les dades del navegador.

Si en el futur incorporem eines d’analítica web, només s’activarien amb el teu consentiment previ i s’actualitzaria aquesta política per detallar-les.

12Canvis en aquesta política

Podem actualitzar aquesta política per reflectir canvis legals o millores del servei. Si els canvis són substancials, t’avisarem per la mateixa app o per correu electrònic abans que entrin en vigor. La versió vigent estarà sempre disponible en aquesta mateixa adreça.

13Contacte

Si tens qualsevol dubte sobre les teves dades, escriu-nos sense compromís a hola@menudehoy.app. Intentem contestar en un termini màxim de 5 dies laborables.

At MenúdeHoy we take your privacy seriously. This policy explains, clearly and plainly, what personal data we collect when you use our app or our website, what we use it for, how long we keep it and what rights you have over it.

What this covers. This policy covers the MenúdeHoy app and the menudehoy.app website (the “Site”), which includes the home page, shared menus (menudehoy.app/m/…), the “Where shall we eat?” polls (menudehoy.app/vota/…), and the newsletters (menudehoy.app/boletin/…). The app also ships its own copy of this policy — the one you accept when you register, available under Profile → Legal; should they ever differ regarding use of the app, the version accepted in the app prevails.

In the event of any discrepancy between the language versions of this policy (Spanish, Catalan and English), the Spanish version shall prevail.

1Data controller

The controller of your personal data is:

• Owner: Miguel Titos Ramis, acting as a natural person.
• Location: Palma de Mallorca (Balearic Islands, Spain).
• Contact email: hola@menudehoy.app

Any change in the legal form of the project will be updated in this policy.

2Data we process

Depending on how you use MenúdeHoy, we may process the following categories of data:

We do not process special categories of data (health, beliefs, etc.). If you mention your allergies or intolerances in a public review, please note that this content will be visible to other users.

3What we use it for

• Providing the service: showing you today’s set menus near you, managing your account and letting you publish as a restaurateur.
• Recognising the menu (OCR): processing the chalkboard photo to extract dishes, prices and allergens, which you review before publishing.
• Personalising your experience: filtering results by your preferences, remembering your favourites and sending the notifications you enable.
• Improving the app: analysing in aggregate which features are used and where errors occur.
• Operational communications: answering your queries and notifying you of important changes to the service or this policy.
• Legal compliance: responding to legitimate requests from authorities.
• Auto-publish your menu to your networks (only restaurateurs who connect Instagram or Facebook): publishing on your behalf the image and text of the daily menu as a post or story, when you request it or at the scheduled time.
• Polls to decide where to eat: counting each poll’s votes, preventing the same browser from voting twice, and showing the group who voted — only if you typed your name.
• Newsletter: if you have an account, sending you Menú de Hoy news every now and then (never third-party advertising) and knowing how many people read it, without knowing who.
• Statistics for restaurants: telling each venue how many people view and share its menu and how many we send to its website, bookings or social media, always as totals and without saying who.

We will not use your data to profile you for advertising purposes or to make automated decisions with legal effects on you.

4Legal basis

• Performance of a contract (art. 6(1)(b) GDPR): when the data is necessary to provide the service you have requested by using the app.
• Consent (art. 6(1)(a) GDPR): for location and push notifications. You can withdraw it at any time.
• Legitimate interest (art. 6(1)(f) GDPR): to keep the platform secure, prevent fraud, improve the service in aggregate and offer restaurants aggregated statistics on the traffic we send them.
• Compliance with legal obligations (art. 6(1)(c) GDPR): responding to requests from competent authorities.
• Consent (art. 6(1)(a) GDPR): to connect your social networks and publish to them on your behalf. You can withdraw it by disconnecting the account at any time.
• Performance of the service you request (Art. 6(1)(b) GDPR): the identifier your browser stores when voting, essential to count one vote per person and let you change it.
• Consent (Art. 6(1)(a) GDPR): the name you sign your vote with — optional and visible to anyone holding the link. You can withdraw it by writing to us.
• Legitimate interest (art. 6.1.f GDPR) and art. 21.2 of the Spanish LSSI: the newsletter, only to people who already have an account, only about Menú de Hoy, and with a one-tap unsubscribe link in every email. You can also unsubscribe in the app (Profile → Get the newsletter) and keep reading them at menudehoy.app/boletines.

5Retention periods

• Account data: for as long as your account is active. If you request deletion, we will erase it within a maximum of 30 days.
• Menus published by restaurateurs: while the account is active; deleted when the account is closed.
• Chalkboard photo for OCR: besides using it to extract the text, we keep a copy of the photo and of the reading result to check the quality of the recognition when a menu is published wrongly (only the MenúdeHoy administrator can view it). It is deleted automatically 14 days after the menu is published, or after the reading if it is never published.
• Technical usage data (menu views and shares, visits to venues, app errors): records linked to the app installation identifier or to your account are deleted after 90 days. After that we only keep, per venue and day, how many views, shares and visits there were and how many different people, with no identifier at all.
• Polls and votes: the poll expires on its own (that same night for menu-of-the-day polls; after 14 days for group polls). We keep the poll, its options and the vote tally anonymously; the name a voter signs with is erased automatically 60 days after expiry.
• Group quote requests: we keep your contact details while the restaurant handles the request and for no longer than 12 months from the moment you send it. They are then anonymised automatically: name, phone number, email and comment are deleted, leaving only the party size, date, status and amount, which no longer identify you.
• Favourites without an account: if you never save a favourite, the anonymous user is deleted after 7 days; if you save any, it is deleted with everything linked to it after 90 days without any sign of the app on that device (neither opened nor renewing its notification token). If you move your favourites to an account, the anonymous user is deleted the next day.
• Newsletter: the list of who each newsletter was sent to, while you keep your account; if you unsubscribe, the date you asked, so we can respect it. The open, click and web-read counters are not linked to anyone.

6Who we share it with

We do not share your personal data with third parties for commercial purposes. To provide the service, the following providers act as data processors or sub-processors, under contract and with the safeguards required by the GDPR:

• Supabase — database, authentication and file storage. Region: AWS eu-west-1 (Ireland).
• Apple Inc. and Google LLC — identity providers (OAuth) if you choose that sign-in, app distribution and push notification delivery.
• OCR service — a text-recognition provider that processes the menu photo to extract dishes, prices and allergens.
• Email provider (Resend) — for service emails and the newsletter.
• Expo (650 Industries, Inc.) — push notification delivery, through Apple’s and Google’s services.
• Cloudflare Turnstile — automatic anti-abuse check for use without an account (saving favourites, requesting a group quote or writing to us from the page for restaurants); it receives technical data from your device, such as its IP address.
• Competent authorities where there is a legal obligation.
• Meta Platforms Ireland Ltd. — only if you connect your Instagram or your Facebook page, to publish your menu on those networks on your behalf. We do not share any other app data with Meta.
• Telegram Messenger LLP — only if the restaurant connects its Telegram: that is how it receives group quote requests, including the name, phone number and, if you provided it, the email of whoever sends them, and how it can publish its menu by photo.

Besides those processors, there is one disclosure that happens because you ask for it: when you send a group quote request, we pass your name, your phone number and, if you provided it, your email to the restaurant you address it to, so that it can reply to you. We ask you to accept this explicitly in the form. From then on that restaurant processes your data as an independent controller, with its own obligations: if you want it erased, you must ask them directly.

7International transfers

• Account and app data (Supabase): stored in the European Union (AWS, eu-west-1 region — Ireland). No international transfer.
• Apple/Google sign-in, push notifications (also through Expo) and the Cloudflare Turnstile check: may be processed in the United States under the EU-US Data Privacy Framework or standard contractual clauses.
• OCR service: if the provider processes the image outside the EEA, the transfer relies on the EU-US Data Privacy Framework or standard contractual clauses approved by the European Commission.
• Publishing to Instagram or Facebook: if you connect those accounts, the data needed to publish may be processed in the United States under the EU-US Data Privacy Framework or standard contractual clauses.

8Your rights

You can exercise the following rights at any time by writing to hola@menudehoy.app:

• Access: find out what data of yours we process.
• Rectification: correct inaccurate or incomplete data.
• Erasure: ask us to delete it when it is no longer necessary. You can also delete your account and all associated data yourself at any time from the app, under Profile → Delete account; deletion is immediate and irreversible. You may also request it by email.
• Objection and restriction: object to the processing or ask us to restrict it in certain cases.
• Portability: receive your data in a structured, commonly used format.
• Withdraw consent where the processing is based on it, without affecting prior lawfulness.

If you believe we have not handled your request properly, you can lodge a complaint with the Spanish Data Protection Agency (AEPD) (aepd.es).

9Minors

MenúdeHoy is intended for people over 14 years of age, in accordance with article 7 of the Spanish LOPDGDD. If we detect an account belonging to a minor without the consent of a parent or guardian, we will delete it.

10Security

• All communications between the app and the servers are made over encrypted connections (TLS/SSL).
• Access to data is restricted by Row Level Security (RLS): each user can only access their own data.
• Passwords are stored encrypted through Supabase Auth mechanisms; we have no direct access to them.
• The session token is stored in the device’s secure storage (Keychain on iOS, Keystore on Android).
• We do not store bank card details or payment information of any kind.

11Cookie policy

The mobile app does not use cookies. The website (menudehoy.app) does not use advertising or third-party tracking cookies.

To remember your language, the website stores that preference in your browser’s local storage (localStorage), which is not shared with third parties or used to track you. You can clear it at any time from your browser settings.

If you vote in a poll, the website also stores in localStorage a random identifier, the name you typed and the option you voted for, so that you don’t count twice and can change your vote. These are technical data necessary for the service you requested — they are not advertising cookies and cannot track you across other websites — and they disappear if you clear your browser data.

If you open a shared menu (menudehoy.app/m/…), the website stores in localStorage a random identifier for your browser to count how many times each menu is viewed; it is not linked to your name or any account, and it likewise disappears if you clear your browser data.

If we add web analytics tools in the future, they would only be enabled with your prior consent and this policy would be updated to describe them.

12Changes to this policy

We may update this policy to reflect legal changes or service improvements. If the changes are substantial, we will notify you through the app or by email before they take effect. The current version will always be available at this same address.

13Contact

If you have any question about your data, write to us with no obligation at hola@menudehoy.app. We aim to reply within a maximum of 5 working days.