Política de Privacidad

Responsable: Romero y Coquedan SpA, nombre de fantasía Tectum SpA, RUT 78.490.025-8
Contacto para datos personales y ejercicio de derechos: [email protected]

En Coqoro creemos que la mejor forma de proteger los datos es no recolectarlos. Esta política explica, en lenguaje claro, qué datos tratamos, para qué, con qué respaldo legal y cómo puede ejercer sus derechos. Está redactada conforme a la Ley N° 19.628 sobre protección de la vida privada y su reforma por la Ley N° 21.719.

1. Quién es el responsable

El servicio Coqoro es operado y comercializado por Romero y Coquedan SpA, nombre de fantasía Tectum SpA, RUT 78.490.025-8 ("Tectum", "nosotros").

Contacto para cualquier materia de datos personales: [email protected].

2. Dos roles distintos: responsable y encargado

Coqoro es una plataforma que los restaurantes usan para operar su negocio. Eso significa que tratamos datos en dos calidades distintas, y conviene distinguirlas:

• Tectum como responsable del tratamiento: respecto de los datos que necesitamos para nuestra propia relación con el restaurant que contrata el servicio (datos de la empresa, de su representante y de las cuentas de acceso, facturación de la suscripción, soporte, seguridad de la plataforma).
• Tectum como encargado (mandatario) del tratamiento: respecto de los datos que cada restaurant gestiona dentro de Coqoro para operar su local: sus ventas, sus mesas, la actividad de su personal, los pedidos de sus comensales y los datos de sus clientes con factura. Sobre esos datos, el responsable es el restaurant; Tectum los trata únicamente por cuenta de él, siguiendo sus instrucciones y las reglas de esta política, y no los usa para fines propios.

Si usted es comensal de un restaurant que usa Coqoro y quiere ejercer derechos sobre datos de su visita, puede dirigirse al restaurant o escribirnos directamente; en ambos casos coordinaremos la respuesta.

3. A quiénes aplica esta política

• Restaurantes que contratan Coqoro (la empresa y su representante).
• Personal de los restaurantes (administradores, cajeros, meseros, cocina) que usa el sistema con una cuenta.
• Comensales que escanean el código QR de una mesa para ver la carta y pedir.
• Clientes de los restaurantes que solicitan factura, respecto de los datos que el restaurant registra para emitirla.
• Visitantes del sitio coqoro.com.

4. Qué datos tratamos

4.1 De los comensales: mínimo posible, por diseño

Aplicamos el principio de minimización de datos en su forma más estricta: pedir desde el QR no requiere crear una cuenta, descargar una aplicación ni entregar ningún dato identificable.

Lo único que se trata durante una visita es:

• Un identificador técnico de sesión, anónimo y ligado exclusivamente a esa visita de esa mesa. No es un perfil: no permite reconocer a la misma persona en una visita futura.
• El contenido de los pedidos (productos, cantidades, opciones y notas escritas por el comensal).
• Un apodo opcional ("Coque", "Tío Juan") que el comensal puede escribir para que su mesa distinga qué pidió cada uno. Es libre, no se verifica y se puede omitir.
• Una evaluación de satisfacción opcional y anónima al final de la visita.

Al cerrarse la sesión de la mesa, el identificador de sesión y el apodo se eliminan o anonimizan. Lo que se conserva es el detalle comercial de la venta (qué se vendió, cuándo y por cuánto), que el restaurant necesita para su contabilidad y estadísticas, sin vínculo con ninguna persona identificable.

Las notas de pedido y los comentarios de satisfacción son campos de texto libre: recomendamos no escribir en ellos datos personales, porque no los necesitamos para nada.

4.2 Del personal del restaurant

• Nombre y correo electrónico de la cuenta.
• Contraseña, almacenada siempre cifrada de forma irreversible (nunca en texto plano). Los meseros usan además un PIN de identificación, tratado con el mismo cuidado.
• Rol asignado dentro del restaurant.
• Registro de auditoría de acciones operativas relevantes (por ejemplo, quién abrió una mesa, quién cerró una cuenta, quién aplicó una cortesía) y de eventos de seguridad (intentos fallidos de acceso), con fines de trazabilidad, estadísticas del propio restaurant y prevención de fraude.

4.3 Del restaurant contratante

• Datos de la empresa: razón social, RUT, giro y dirección, y datos de contacto de su representante.
• Datos de facturación de la suscripción.
• Si el restaurant activa la emisión de boletas electrónicas: su certificado digital tributario y la clave de éste, almacenados cifrados con cifrado robusto, usados exclusivamente para emitir por su cuenta los documentos tributarios que exige el Servicio de Impuestos Internos (SII), y accesibles únicamente para ese restaurant.

4.4 De los visitantes del sitio

El sitio coqoro.com usa únicamente cookies técnicas necesarias para funcionar (por ejemplo, mantener una sesión iniciada). No usamos cookies publicitarias ni rastreadores de terceros con fines de marketing.

4.5 De los clientes del restaurant que solicitan factura

Cuando un cliente del restaurant pide factura en vez de boleta, el restaurant puede guardar en Coqoro los datos tributarios de ese cliente para no tener que digitarlos de nuevo en cada visita. Los campos son exactamente los que exige el documento tributario:

• Razón social.
• RUT.
• Giro.
• Dirección.

Son datos de los clientes del restaurant, no de Coqoro: el restaurant decide a quién registra, los usa para emitir sus propias facturas y puede corregirlos o eliminarlos cuando quiera. Guardamos solo lo necesario para el documento tributario y nada más: ni teléfono, ni correo, ni notas, ni historial de compras.

5. Para qué usamos los datos (finalidades)

• Prestar el servicio: mostrar la carta, procesar pedidos, gestionar mesas, comandas y cobros.
• Emitir documentos tributarios electrónicos cuando el restaurant activa esa función (cumplimiento de una obligación legal del restaurant ante el SII).
• Registrar los datos tributarios de los clientes del restaurant que solicitan factura (razón social, RUT, giro y dirección), para facilitar su emisión. Lo hacemos por cuenta del restaurant y bajo sus instrucciones.
• Generar estadísticas de operación para cada restaurant (ventas, tiempos, productos, satisfacción), siempre sobre datos agregados o no identificables de comensales.
• Seguridad de la plataforma, auditoría y prevención de fraude.
• Gestionar la relación contractual con el restaurant: cuenta, suscripción, cobranza, soporte y avisos del servicio.

No usamos los datos para publicidad, no elaboramos perfiles de comensales y no vendemos ni cedemos datos a terceros. Tampoco tomamos decisiones automatizadas que produzcan efectos legales sobre las personas.

6. Base de licitud de cada tratamiento

• Restaurant y su personal: ejecución del contrato de servicio y las medidas precontractuales solicitadas por el restaurant; para los registros de auditoría y seguridad, además, nuestro interés legítimo en la integridad de la plataforma.
• Comensales: interés legítimo en prestar el servicio de pedido que el propio comensal está usando en ese momento, con la minimización descrita en la sección 4.1; el impacto sobre su privacidad es mínimo porque no se recolectan datos identificables.
• Evaluación de satisfacción y apodo: consentimiento, manifestado en el acto voluntario de escribirlos; se pueden omitir sin ninguna consecuencia.
• Emisión de documentos tributarios: cumplimiento de obligaciones legales.
• Clientes del restaurant que solicitan factura: el responsable es el restaurant, y la base es la misma obligación legal de emitir la factura con los datos que exige el SII; conservarlos entre una visita y otra responde al interés legítimo del restaurant y de su cliente en no tener que entregarlos cada vez. Tectum los trata únicamente como encargado, por cuenta del restaurant.

7. Con quién compartimos datos

No compartimos datos con terceros para sus fines propios. Para operar el servicio usamos proveedores de infraestructura que tratan datos por cuenta nuestra, bajo acuerdos de encargo de tratamiento:

• Supabase: base de datos, autenticación y almacenamiento de archivos. Infraestructura alojada en la región de São Paulo, Brasil.
• Vercel: alojamiento de la aplicación web.
• DigitalOcean: servidor donde opera nuestro componente de facturación electrónica (software LibreDTE administrado por nosotros).
• Servicio de Impuestos Internos (SII): receptor de los documentos tributarios electrónicos, por obligación legal, cuando el restaurant activa la facturación.

Algunos de estos proveedores operan con infraestructura fuera de Chile. Esas transferencias internacionales se realizan hacia proveedores que ofrecen garantías adecuadas de protección, conforme a lo que exige la ley chilena, y están limitadas a lo necesario para prestar el servicio.

También podríamos comunicar datos cuando una ley o una autoridad competente lo exija.

8. Plazos de conservación

• Sesión del comensal (identificador y apodo): se eliminan o anonimizan al cerrarse la sesión de la mesa.
• Detalle de ventas y estadísticas: se conservan para el restaurant mientras su cuenta esté activa, sin vínculo con comensales identificables, y por los plazos adicionales que exija la normativa contable y tributaria.
• Cuentas del personal: mientras la cuenta exista; los registros de auditoría, por el tiempo necesario para los fines de trazabilidad y seguridad descritos.
• Documentos tributarios: por los plazos de conservación que exige la normativa del SII.
• Clientes del restaurant que solicitan factura: mientras el restaurant mantenga al cliente en su lista. El restaurant puede eliminarlo en cualquier momento, con lo que queda atendido de inmediato el derecho de supresión. Al terminar el contrato se eliminan junto con los demás datos del restaurant, sin perjuicio de la conservación de las facturas ya emitidas según la normativa del SII.
• Datos del restaurant contratante: durante la vigencia del contrato y los plazos legales posteriores (contables, tributarios y de prescripción).

Al terminar el contrato, el restaurant puede exportar sus datos (ver Términos y Condiciones); cumplidos los plazos legales, los datos se eliminan o anonimizan.

9. Cómo protegemos los datos

• Cifrado de las comunicaciones (HTTPS/TLS) y cifrado de la información más sensible almacenada, incluido el certificado tributario y su clave.
• Contraseñas almacenadas con cifrado irreversible.
• Aislamiento estricto entre restaurantes: cada restaurant y cada usuario solo puede acceder a los datos que le corresponden, con controles aplicados en la propia base de datos, no solo en la aplicación.
• Control de acceso por roles y verificación adicional de identidad (reingreso de contraseña) para las acciones más sensibles; autenticación reforzada para el personal de administración de la plataforma.
• Bloqueo progresivo ante intentos reiterados de acceso fallidos y registro de auditoría de esos eventos.
• Revisiones periódicas de seguridad sobre la plataforma.

10. Sus derechos

De acuerdo con la Ley N° 19.628, reformada por la Ley N° 21.719, usted tiene derecho a solicitar el acceso a sus datos, su rectificación, su supresión, la oposición al tratamiento, la portabilidad de sus datos y el bloqueo del tratamiento cuando corresponda.

Para ejercerlos, escriba a [email protected] indicando qué derecho quiere ejercer y, si es comensal, el restaurant y la fecha aproximada de su visita. Responderemos dentro del plazo legal. El ejercicio de estos derechos es gratuito.

Tenga presente que, en el caso de los comensales, normalmente no conservamos datos que permitan identificarlo después de cerrada su visita, lo que en la práctica significa que el derecho de supresión suele estar cumplido por diseño.

Si considera que no hemos respondido adecuadamente, puede reclamar ante la Agencia de Protección de Datos Personales.

11. Menores de edad

La contratación del servicio y las cuentas de personal están reservadas a mayores de edad. El uso de la carta por QR no recolecta datos identificables de ninguna persona, incluidos menores.

12. Notificación de brechas de seguridad

Si ocurriera una vulneración de seguridad que afecte datos personales, la notificaremos a la Agencia de Protección de Datos Personales y, cuando la ley lo exija, a las personas afectadas y a los restaurantes responsables de los datos comprometidos, dentro de los plazos legales y con información sobre las medidas adoptadas.

13. Cambios a esta política

Podemos actualizar esta política para reflejar cambios del servicio o de la ley. Publicaremos siempre la versión vigente en esta página, con su fecha de actualización, y avisaremos a los restaurantes contratantes cuando el cambio sea relevante.