Política de privacidad

1.Responsable del tratamiento

El responsable del tratamiento en el sentido del art. 4.7 RGPD es: DBBC Ventures GmbH Platanenstr. 45, 13156 Berlin, Alemania Teléfono: +49 30 9798 2686 Correo electrónico: hello@getsuperkitchen.com Inscrita en el Registro Mercantil del Juzgado de Primera Instancia (Amtsgericht) de Berlín (Charlottenburg) con el número HRB 256898.

2.Delegado de protección de datos

No hemos designado un delegado de protección de datos, ya que actualmente no se cumplen los requisitos legales para ello (§ 38 BDSG, Ley Federal alemana de Protección de Datos). Si tiene preguntas sobre protección de datos, puede escribirnos a hello@getsuperkitchen.com.

3.Roles según el RGPD

En el caso de los datos personales que usted, como familia, introduce al utilizar el Servicio (p. ej., nombres de los miembros de la familia, cumpleaños, recetas, planes semanales, despensa, antojos, fotos), la familia correspondiente actúa como responsable del tratamiento y nosotros como encargado del tratamiento.

En el tratamiento de sus datos de cuenta, datos de autenticación y registros técnicos, así como en la medición publicitaria (7h.), somos nosotros mismos el responsable del tratamiento. Esta política se refiere a ambos tratamientos.

4.Categorías de datos tratados

Datos de cuenta y perfil: dirección de correo electrónico, nombre, avatar, ajuste de idioma.

Perfil familiar: nombre de la familia, miembros con nombre, foto, fecha de nacimiento, sexo, tipo de alimentación y rol en la familia (Propietario, Chef, Sous chef, Niño).

Datos de autenticación: hash del correo electrónico, ID de proveedores OAuth (Google, Apple), tokens de sesión, tokens de código de un solo uso.

Token del dispositivo: un token push técnico de su dispositivo, si activa las notificaciones push.

Datos de uso: recetas, planes semanales, despensa, listas de la compra (con el número de compras por artículo para los favoritos), antojos, valoraciones, comentarios y fotos creados por usted, y marcas de tiempo.

Fuentes de recetas: en las recetas que importe mediante un enlace, el enlace a la publicación o página original, así como el nombre o el usuario (handle) del autor (por ejemplo, “@maxxpane”), asociados a la receta correspondiente; además, la imagen de portada de la publicación como foto privada de su familia.

Plan de comidas público y planes suscritos: si el plan de comidas de su cocina está publicado, con qué código, si se muestran los ingredientes y los pasos, quién activó la publicación y cuándo; para los planes de otras cocinas a los que se suscriba, el código, los días de la semana elegidos, quién se suscribió al plan y cuándo.

Registros de confirmación: versión del documento, marca de tiempo y asociación con la cuenta y la familia, como prueba de la aceptación de las Condiciones de uso, la Política de privacidad y el consentimiento parental.

Registros técnicos: dirección IP, código de estado HTTP, ruta solicitada, marca de tiempo, user agent, para el análisis de errores y la prevención de abusos.

Datos de diagnóstico: informes de bloqueos y cuelgues que iOS pone a disposición de la app (MetricKit), así como mensajes de error de las apps y de la versión para navegador, en la app de iPhone con versión de la app, versión de iOS y tipo de dispositivo, asociados en cada caso a su cuenta y a su familia; sin contenidos, nombres ni direcciones de correo electrónico. Sobre los informes de bloqueos a través de Google Play, véase 6d.

Estadísticas de uso: los días en que ha abierto la app o la versión para navegador, con marca de tiempo y asociados a su cuenta; sin identificador del dispositivo, ubicación ni contenidos.

Ubicación aproximada: solo si activa el tiempo en la vista del día, el nombre del lugar (por ejemplo, “Berlin, DE”) y una coordenada redondeada a unos diez kilómetros, asociados a su familia; sin ubicación exacta ni historial de ubicaciones.

Datos de comunicación: contenidos que nos envíe por correo electrónico o por un canal de soporte.

Datos de compra y suscripción: estado de la suscripción y tarifa de su familia, identificadores de transacción y de renovación del App Store (por ejemplo, el ID de transacción original), inicio y fin del periodo de facturación, así como el estado del cupo de IA. Apple no nos facilita datos de medios de pago ni de tarjetas de crédito.

Modo voz: solo si lo utiliza (véase 7f.). Su voz como flujo de audio durante las fases activas, que no almacenamos; por cada fase activa, inicio, duración, fin, unidades de procesamiento consumidas (tokens) y contadores técnicos; su confirmación del aviso sobre el modo voz con versión, fecha y hora y confirmación de edad.

Medición publicitaria: solo con su consentimiento (véase 7h.). En nuestros sistemas, para su cocina, la campaña, el grupo de anuncios y el ID de palabra clave de Apple Ads, si la instalación procede de un anuncio de Apple; en Google, el identificador de publicidad (IDFA), un ID de instancia de la app, datos del dispositivo y los eventos primer inicio de la app, cocina creada y primer día planificado.

5.Finalidades y bases jurídicas

Prestación del Servicio y gestión de la cuenta: art. 6.1.b) RGPD (contrato).

Prestación y gestión de la suscripción de pago de IA y asignación del cupo a su familia: art. 6.1.b) RGPD (contrato).

Autenticación (OAuth, código de un solo uso): art. 6.1.b) RGPD.

Seguridad, prevención de abusos, archivos de registro: art. 6.1.f) RGPD (interés legítimo).

Estabilidad y análisis de errores (datos de diagnóstico): art. 6.1.f) RGPD (interés legítimo en una app que funcione).

Comprensión del uso y desarrollo del Servicio (estadísticas de uso): art. 6.1.f) RGPD (interés legítimo).

Importación de recetas mediante enlace (sitios web, Instagram, TikTok): art. 6.1.b) RGPD (función solicitada por usted); almacenamiento del enlace y del nombre o identificador (handle) del autor como indicación de la fuente: art. 6.1.f) RGPD (interés en la trazabilidad de la fuente e interés del autor en ser mencionado).

Plan de comidas público (publicación e inserción en otros sitios web) y suscripción a planes de otras cocinas: art. 6.1.b) RGPD (función solicitada por usted).

Indicación del tiempo en la vista del día: art. 6.1.b) RGPD (función solicitada por usted), con la cesión de la ubicación aproximada mediante el permiso de iOS; análisis de las regiones desde las que se utiliza el Servicio (ubicación aproximada por familia): art. 6.1.f) RGPD (interés legítimo).

Modo voz: art. 6.1.b) RGPD (función solicitada por usted); facturación del tiempo de voz y control de costes, así como la transmisión inevitable de las voces de otras personas presentes en la sala: art. 6.1.f) RGPD (interés legítimo, véase 7f.).

Verificación de la edad para el modo voz y las funciones de IA (cumpleaños del perfil; en el iPhone, la clasificación por edad de su cuenta de Apple): art. 6.1.f) RGPD (interés legítimo en la protección de los menores y en el cumplimiento de las condiciones de nuestros proveedores de IA).

Medición publicitaria (si nuestros anuncios en Apple Ads y Google Ads generan instalaciones y nuevas cocinas, optimización de las campañas de Google): art. 6.1.a) RGPD y § 25, apdo. 1, TDDDG (consentimiento).

Acreditación de la aceptación de las Condiciones de uso y de la Política de privacidad: art. 6.1.f) RGPD (documentación y defensa jurídica); art. 6.1.c) RGPD, en la medida en que existan obligaciones legales de conservación.

Comunicación de soporte: art. 6.1.b) y f) RGPD.

Obligaciones legales de conservación (p. ej., facturas): art. 6.1.c) RGPD, § 257 HGB (Código de Comercio alemán), § 147 AO (Código Tributario alemán).

6.Alojamiento (Supabase)

La base de datos de la aplicación, la autenticación y el almacenamiento de archivos (p. ej., para las fotos de recetas) los gestiona Supabase en la UE (región de AWS eu-central-1, Frankfurt). Con Supabase existe un contrato de encargo del tratamiento conforme al art. 28 RGPD.

6a.Correos

Enviamos correos electrónicos a través del servicio Resend (Resend, Inc., EE. UU.), que actúa por encargo nuestro: códigos de inicio de sesión para acceder con un código de un solo uso y mensajes personales nuestros dirigidos a usted, por ejemplo, una bienvenida tras su registro o una pregunta sobre la app. El remitente es una dirección de post.getsuperkitchen.com; las respuestas nos llegan a hello@getsuperkitchen.com. Se tratan su dirección de correo electrónico, el contenido del mensaje y los datos de entrega (enviado, entregado, retrasado, devuelto o denunciado como spam).

Guardamos los datos de entrega junto con la dirección del destinatario, el asunto y la fecha y hora y, en el caso de los mensajes personales, también el texto, para poder detectar problemas de entrega y saber qué le hemos escrito. No guardamos los códigos de inicio de sesión. No medimos si usted abre un correo electrónico o hace clic en un enlace. La base jurídica es el art. 6.1.b) RGPD para los códigos de inicio de sesión y el art. 6.1.f) RGPD para los mensajes personales y los datos de entrega (interés legítimo en la comunicación con nuestros usuarios y en una entrega fiable). Eliminamos estos datos junto con su cuenta. Puede oponerse a los mensajes personales en cualquier momento; basta con una breve respuesta.

El envío se realiza a través de una infraestructura de la UE (región de Irlanda). Con Resend existe un contrato de encargo del tratamiento conforme al art. 28 RGPD; cualquier posible transferencia a EE. UU. se basa en las cláusulas contractuales tipo de la UE y, cuando proceda, en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework).

Las invitaciones a la familia y a familias amigas funcionan mediante un enlace o un código de invitación, no por correo electrónico. Las notificaciones del producto (p. ej., una votación solicitada) le llegan como notificaciones push (véase 7b.), no por correo electrónico.

6b.Versión para navegador (Vercel)

La versión para navegador en app.getsuperkitchen.com la sirve, por encargo nuestro, el servicio Vercel (Vercel Inc., EE. UU.). Al acceder a ella, Vercel trata los datos de conexión técnicamente necesarios (dirección IP, momento del acceso, dirección solicitada, identificador del navegador) para servir la página y protegerla frente a abusos. La base jurídica es el art. 6.1.f) RGPD (interés legítimo en una prestación segura). La versión para navegador carga los contenidos de su familia directamente desde nuestra base de datos en Supabase (véase 6.), no a través de Vercel. Con Vercel existe un contrato de encargo del tratamiento conforme al art. 28 RGPD; cualquier posible transferencia a EE. UU. se realiza sobre la base de las cláusulas contractuales tipo de la UE y, cuando proceda, del Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework).

6c.Consejos y novedades por correo

Le enviamos ocasionalmente correos electrónicos con consejos sobre el uso de Superkitchen e información sobre nuevas funciones, como máximo dos al mes. Para ello utilizamos su dirección de correo electrónico, su idioma y datos sencillos sobre el uso de su cocina, por ejemplo cuándo abrió la app por última vez y si ya ha guardado recetas propias, planificado comidas o usado la lista de la compra. Así solo recibe consejos que encajan con usted. Para ello no utilizamos el contenido de las recetas, datos sobre niños ni datos sobre alimentación o salud.

La base jurídica es el art. 6.1.f) RGPD (interés legítimo en informar a nuestros usuarios sobre nuestra propia oferta) en relación con el § 7.3 de la UWG (Ley alemana contra la competencia desleal). Puede oponerse en cualquier momento sin incurrir en más costes que los de transmisión según las tarifas básicas: a través del enlace de baja incluido en cada correo electrónico, en la app en Ajustes › Notificaciones o con un breve mensaje a hello@getsuperkitchen.com. Seguirá recibiendo los códigos de inicio de sesión con independencia de ello.

Para comprobar si los consejos ayudan, comparamos si los destinatarios vuelven a la app con más frecuencia que un grupo de comparación seleccionado al azar que no recibe el correo. No medimos si abre un correo electrónico o hace clic en un enlace. El envío y los datos de entrega se gestionan a través de Resend, tal como se describe en 6a. Eliminamos estos datos junto con su cuenta; conservamos su oposición mientras exista su cuenta, para que no reciba más consejos.

6d.App para Android (Google Play)

La app para Android se descarga a través de Google Play, un servicio de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda). El propio Google es responsable de la descarga, la instalación y las actualizaciones, así como de su cuenta de Google; se aplica la política de privacidad de Google (policies.google.com/privacy).

Si en los ajustes de su dispositivo Android ha permitido enviar datos de uso y diagnóstico a Google, Android transmite a Google informes de fallos y bloqueos, así como métricas técnicas de la app (por ejemplo, el tiempo de inicio y el consumo de batería). Nosotros vemos estos informes de forma agregada en Google Play Console, sin nombres, direcciones de correo electrónico ni contenidos. La base jurídica es el art. 6.1.f) RGPD (interés legítimo en una app que funcione); puede desactivar esta cesión en cualquier momento en los ajustes de Android.

La app para Android no contiene publicidad ni servicios de análisis o publicitarios. Al igual que la app para iPhone, carga los contenidos de su familia directamente desde nuestra base de datos en Supabase (véase 6.). Las notificaciones las entrega a través de Firebase Cloud Messaging de Google (véase 7b.).

7.Inicio de sesión OAuth (Google, Apple)

Si inicia sesión con un proveedor OAuth, se intercambian entre el proveedor y nosotros los datos necesarios para la autenticación (dirección de correo electrónico, en su caso nombre, ID del proveedor). La base jurídica es el art. 6.1.b) RGPD. Encontrará más detalles sobre el tratamiento de datos por parte de los proveedores en sus respectivas políticas de privacidad.

7a.Función de IA (Google)

Si utiliza las funciones opcionales de IA, por ejemplo para crear una sugerencia de receta a partir de la foto de un plato, para reconocer los alimentos que aparecen en fotos de su nevera o despensa, o para generar o editar una foto de receta, las imágenes que usted elija (hasta cinco en el escaneo de la despensa), junto con una nota opcional o sus indicaciones, se transmiten a Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda) y allí se procesan con modelos Gemini para generar la sugerencia, el reconocimiento o la imagen. Es posible que en estas fotos aparezcan personas, también niños, o partes de su vivienda. Por ello, elija las fotos de forma consciente.

Con Google existe una adenda de tratamiento de datos (Data Processing Addendum) que garantiza que Google trata los datos únicamente siguiendo nuestras instrucciones y no los utiliza para fines propios, como el entrenamiento de sus propios modelos de IA. Cualquier posible transferencia a terceros países (por ejemplo, EE. UU.) está protegida mediante cláusulas contractuales tipo de la UE.

Si Google no responde temporalmente, una solicitud puede transmitirse como alternativa a Anthropic PBC (EE. UU.) para que la función siga disponible; esto no se aplica a la generación ni a la edición de fotos. La transferencia a EE. UU. se basa en cláusulas contractuales tipo de la UE y, en la medida en que sea aplicable, en el EU-U.S. Data Privacy Framework. Según Anthropic, los contenidos enviados a través de la API no se utilizan para entrenar modelos y solo se conservan durante un tiempo limitado para prevenir abusos.

La base jurídica es el art. 6.1.b) RGPD (prestación de la función que usted ha solicitado). La función de IA es voluntaria. Si no la utiliza, no se transmite ningún contenido a estos proveedores.

Las funciones de IA solo están disponibles para adultos: los perfiles infantiles no tienen acceso y, si la fecha de nacimiento de su perfil indica una edad inferior a 18 años, nuestro servidor las bloquea.

7b.Notificaciones push (Apple, Google)

Si activa las notificaciones push (por ejemplo, para saber que alguien de la familia solicita una votación sobre un plato), la app registra un token push vinculado al dispositivo. Almacenamos este token y lo utilizamos a través del Apple Push Notification service (APNs) de Apple Inc. para hacerle llegar la notificación. En la app de Android, la entrega se realiza a través de Firebase Cloud Messaging (FCM) de Google Ireland Limited; para ello, Google trata el token push, un identificador de la instalación de la app y el contenido de la notificación como encargado del tratamiento por cuenta nuestra. Es posible que Google LLC realice un tratamiento en EE. UU.; este se basa en el EU-U.S. Data Privacy Framework y en cláusulas contractuales tipo de la UE.

Durante los primeros diez días tras la creación de una familia, la persona que la ha creado recibe además como máximo cuatro consejos de uso, y solo sobre pasos que aún estén pendientes (por ejemplo, si todavía no tiene ninguna receta propia). Para ello comprobamos el estado de la familia (recetas propias, días planificados, despensa, lista de la compra) y si la app ya se ha abierto ese mismo día, y guardamos qué consejo se envió y cuándo, así como la zona horaria del dispositivo, para que los consejos lleguen a una hora adecuada. Los consejos pueden desactivarse en los ajustes de notificaciones de la app.

La base jurídica es el art. 6.1.a) RGPD (su consentimiento otorgado a través del aviso del sistema), así como la letra b) para la prestación de la función. Si respondió a la pregunta sobre las notificaciones con “Más tarde”, iOS entrega las notificaciones solo de forma discreta en el centro de notificaciones y pregunta la primera vez si desea mantenerlas; en ese caso, la base jurídica es el art. 6.1.f) RGPD (nuestro interés en facilitarle los primeros pasos en la app). Android no entrega notificaciones sin su permiso. Puede revocar las notificaciones push en cualquier momento en los ajustes del dispositivo o de la app; el token deja entonces de utilizarse y se elimina.

7c.Compra y suscripción (Apple App Store)

Si contrata una suscripción de IA de pago, Apple nos transmite información técnica sobre la compra y su estado (en particular, identificadores de transacción y de renovación, el plan elegido y el inicio y el fin del periodo de facturación). Tratamos esta información en nuestro servidor para asignar a su familia el cupo de IA contratado y mantener el estado de la suscripción (entre otras cosas, mediante App Store Server Notifications que Apple envía a nuestro servidor).

La gestión del pago corresponde exclusivamente a Apple; no recibimos datos de medios de pago ni de tarjetas de crédito. La base jurídica es el art. 6.1.b) RGPD (ejecución de la suscripción); Apple es responsable de su propio tratamiento en el marco de la compra.

7d.Tiempo y ubicación aproximada (Apple WeatherKit)

Si toca “Mostrar el tiempo” en la vista del día, iOS le pide permiso para usar su ubicación aproximada (reducida a entre 1 y 20 kilómetros aproximadamente). La app no solicita una ubicación exacta. Los datos meteorológicos los proporciona Apple (WeatherKit, Apple Inc. y Apple Distribution International Ltd.); para ello, su dispositivo transmite la ubicación aproximada a Apple y se aplica la política de privacidad de Apple (apple.com/legal/privacy). El nombre del lugar se obtiene a partir de la coordenada mediante Apple Mapas.

Nosotros almacenamos, por familia, el nombre del lugar (por ejemplo, “Berlin, DE”) y la coordenada redondeada, como máximo una vez por semana y dispositivo, para saber desde qué regiones se usa Superkitchen (art. 6.1.f) RGPD). Sin datos de movimiento, sin historial de ubicaciones, sin acceso para otros usuarios. Puede retirar el permiso en cualquier momento en los ajustes de iOS; a partir de entonces, la app ya no muestra el tiempo ni comunica ninguna ubicación.

7e.Importación de recetas por enlace (webs, Instagram, TikTok)

Puede crear una receta a partir de un enlace, en la app o mediante el menú Compartir de Instagram, TikTok, Safari o (en Android) Chrome y otras apps. En el caso de una publicación de Instagram o TikTok, su dispositivo obtiene la publicación pública directamente de la plataforma (Meta Platforms Ireland Ltd. o TikTok Technology Ltd.), sin inicio de sesión y sin cookies; la plataforma ve la dirección IP de su dispositivo, igual que al abrir el enlace en el navegador. Solo se leen la descripción pública, el nombre de usuario (handle) del autor y la imagen de portada; el vídeo no se descarga. Nuestro servidor no accede a Instagram ni a TikTok. En la versión de navegador, en el caso de Instagram y TikTok solo se conserva el enlace en la receta y la publicación no se lee.

Las páginas de recetas en la web (por ejemplo, Chefkoch o un blog de cocina) las obtiene nuestro servidor; no se envía ningún dato suyo a la página.

A continuación, la descripción o el contenido de la página y la imagen de portada se transmiten a Google, tal como se describe en el apartado 7a, para crear a partir de ellos los ingredientes y unos pasos propios. Se almacenan el enlace y el nombre o handle del autor como indicación de la fuente en la receta (art. 6.1.f) RGPD, véase el apartado 5), así como la imagen de portada como foto privada de su familia. Esta imagen no se comparte con sus amigos ni se muestra en la comunidad ni en la página web de una comida; solo si invita a amigos a una comida con esta receta, los invitados la verán en su invitación. La importación solo se ejecuta cuando usted la inicia (art. 6.1.b) RGPD).

7f.Modo voz (Google Gemini)

Si utiliza el modo voz opcional (solo para adultos; durante un periodo de prueba, con una suscripción o tras su activación), la app transmite su voz como flujo de audio directamente desde su dispositivo a Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda) mientras el modo voz está activo. Allí, un modelo Gemini la procesa para entenderle y responderle de viva voz. El modo voz es un sistema de IA: el modelo genera automáticamente las respuestas y las acciones en la app. Para su solicitud transmitimos los datos necesarios de su cocina, como recetas, despensa, lista de la compra, plan de comidas, la vista que se muestra en ese momento y su nombre de pila para el saludo. La clave de acceso de un solo uso para la conexión la emite nuestro servidor (Supabase, véase 6.).

Si la fecha de nacimiento de su perfil indica una edad inferior a 18 años, el modo voz queda bloqueado. En el iPhone, antes del primer inicio, la app consulta además a Apple si su cuenta de Apple está clasificada como menor de 18 años o como de 18 años o más (Declared Age Range). Solo conocemos esta clasificación; permanece en el dispositivo y no se almacena.

Mientras el modo voz está en reposo, su iPhone analiza el micrófono exclusivamente en el dispositivo para reconocer la palabra de activación “Superkitchen”; durante ese tiempo no se transmite audio. Cuando reconoce la palabra, la app vuelve a transmitir su voz junto con los últimos segundos anteriores a la palabra de activación, para que una frase dicha justo a continuación llegue completa. Al pausarlo o finalizarlo, el micrófono se apaga. Puede retirar el acceso al micrófono en cualquier momento en los ajustes de iOS.

Si hay otras personas cerca, también niños, sus voces pueden transmitirse mientras el modo voz está activo. Por eso, póngalo en reposo o finalícelo cuando no lo necesite.

No almacenamos grabaciones ni transcripciones de sus conversaciones. De cada fase activa almacenamos el inicio, la duración, el final, el número de unidades de procesamiento consumidas (tokens) y contadores técnicos (por ejemplo, tiempos de conexión, tipo de activación, número y resultado de las acciones ejecutadas en la app), asociados a su cuenta y a su familia, así como su confirmación del aviso sobre el modo voz con la versión, el momento y la confirmación de edad. Con ello facturamos el tiempo de voz, controlamos los costes y corregimos errores.

Google trata los contenidos como encargado del tratamiento por cuenta nuestra (adenda de tratamiento de datos como en 7a.), según sus propias indicaciones no los utiliza para entrenar sus modelos y conserva las solicitudes y respuestas hasta 55 días para detectar y prevenir abusos. Para que una conversación pueda continuar después de una pausa, Google conserva el estado de la conversación hasta dos horas después del final de la última fase activa. Es posible que se realice un tratamiento fuera de la UE, en particular en EE. UU.; este se basa en cláusulas contractuales tipo de la UE y en el EU-U.S. Data Privacy Framework.

La base jurídica es el art. 6.1.b) RGPD (prestación de la función que usted ha solicitado). Los datos sobre las fases activas los almacenamos además sobre la base del art. 6.1.f) RGPD (interés legítimo en la facturación y el control de costes). La transmisión inevitable de las voces de otras personas presentes en la sala se basa en el art. 6.1.f) RGPD (interés legítimo en ofrecerle la función); no almacenamos esas voces. El modo voz es voluntario; sin él no se transmite audio.

7g.Pedir en Knuspr

Si utiliza la función opcional “Pedir en Knuspr” (solo para adultos, en las zonas de reparto de Knuspr), inicia sesión con su cuenta de Knuspr en la página de inicio de sesión de Knuspr. El proveedor de Knuspr es Großer Kern GmbH, Tal 30, 80331 München (“Knuspr”). Su contraseña solo la introduce en Knuspr; nosotros no la recibimos. La app recibe una clave de acceso que se guarda únicamente en el llavero de su dispositivo y no en nuestros servidores.

Con este acceso, la app envía directamente desde su dispositivo a Knuspr los nombres de los artículos de su lista de la compra como términos de búsqueda, lee sus pedidos anteriores en Knuspr para sugerirle productos adecuados y añade a su carrito de Knuspr los productos que usted confirma, con sus cantidades. A cambio, la app recibe de Knuspr datos de productos como nombres, fotos, precios, ingredientes e información nutricional. La app analiza su historial de pedidos únicamente en el dispositivo.

En nuestra base de datos solo guardamos, para su cocina, qué producto de Knuspr ha elegido para un artículo (número de producto, nombre, envase, ruta de la imagen), para que esa elección se aplique la próxima vez a todos los miembros de su cocina. El código postal con el que la app comprueba la zona de reparto permanece en su dispositivo.

El pedido, la franja de entrega, el pago y la entrega se gestionan exclusivamente en Knuspr. Knuspr es la única responsable de ello y se aplica su política de privacidad. El botón “Ir a pagar” es un enlace de afiliado: le lleva a Knuspr a través del servicio CJ Affiliate (Epsilon International UK Ltd, Reino Unido), para que podamos recibir una comisión por los pedidos. En ese proceso, CJ y Knuspr reciben los datos habituales de una visita a una página, como la dirección IP y la hora, así como un identificador que indica que la visita procede de Superkitchen. No sabemos nada de su pedido, salvo la comisión.

La base jurídica es la ejecución del contrato de uso de la app (art. 6.1.b) RGPD) y, para el enlace de afiliado, nuestro interés legítimo en financiar la app (art. 6.1.f) RGPD). Puede desconectar el acceso en cualquier momento en Ajustes › Servicios a domicilio; la clave de acceso se elimina entonces del dispositivo.

7h.Medición publicitaria (Google Analytics for Firebase, Apple Ads)

Promocionamos Superkitchen con anuncios en Apple y Google. Para saber qué anuncios dan lugar a instalaciones y a cocinas nuevas, tras una nueva instalación la app para iPhone pregunta a los miembros adultos (roles Propietario, Chef y Sous chef), al final de la configuración o en la pantalla de inicio, si podemos medirlo. La app nunca pregunta a los perfiles de niños y para ellos no se mide nada. Si responde “No, gracias” o no responde, no se realiza ninguna medición publicitaria. Su respuesta solo se aplica a usted: si cierra sesión, la medición termina en el dispositivo. La app para Android y la versión para navegador no realizan ninguna medición publicitaria.

Apple Ads: si usted acepta, la app obtiene de iOS, a través de la interfaz AdServices de Apple, un token de atribución y lo envía a nuestro servidor (Supabase, Fráncfort, véase el apartado 6). Con este token, el servidor consulta a Apple si la instalación se produjo a través de un anuncio en Apple Ads. En caso afirmativo, guardamos para su cocina la campaña, el grupo de anuncios y el identificador del término de búsqueda (ID de palabra clave). Apple responde a la consulta bajo su propia responsabilidad. Para ello no es necesaria la solicitud de rastreo de Apple.

Google Analytics for Firebase: tras su consentimiento, iOS le pregunta si Superkitchen puede rastrear su actividad (App Tracking Transparency). Solo si también lo permite ahí, la app activa Google Analytics for Firebase, un servicio de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda) y de Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, EE. UU.). En ese caso se transmiten el identificador publicitario de su dispositivo (IDFA), un identificador aleatorio de la instalación de la app (ID de instancia de la app), datos del dispositivo como el tipo de dispositivo, la versión de iOS, la versión de la app y el idioma, así como datos de uso: los eventos primer inicio de la app, cocina creada y primer día planificado, y los datos que Google Analytics recoge automáticamente, como el inicio y la duración del uso. Por motivos técnicos, Google también recibe la dirección IP de su dispositivo. No transmitimos recetas, nombres, direcciones de correo electrónico ni otros contenidos. Google analiza los datos y los transmite a nuestra cuenta de Google Ads. Así vemos si un anuncio de Google (Google Ads, campañas de apps) ha dado lugar a una instalación o a una cocina nueva, y Google puede orientar nuestras campañas en consecuencia. Para ello, Google trata los datos como encargado del tratamiento nuestro, sobre la base de las Condiciones de Tratamiento de Datos de Google Ads (art. 28 RGPD). Hemos desactivado la cesión de los datos a Google para sus propios fines, Google Signals y la publicidad personalizada. Si lo rechaza en la solicitud de iOS, Google Analytics permanece desactivado; la atribución de Apple Ads se realiza igualmente. Hasta que usted dé su consentimiento, Google Analytics está desactivado en la app y no transmite nada.

Google Analytics elimina los datos al cabo de dos meses. Es posible que se realice un tratamiento fuera de la UE, en particular por parte de Google LLC en EE. UU.; dicho tratamiento se basa en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), en virtud del cual Google LLC está certificada, y en las cláusulas contractuales tipo de la UE.

La base jurídica es su consentimiento (art. 6.1.a) RGPD; para el acceso a su dispositivo, § 25.1 TDDDG). La medición publicitaria es voluntaria. Puede retirar su consentimiento en cualquier momento, con efectos para el futuro, en la app, en Ajustes › Medición publicitaria; la app desactiva entonces Google Analytics y comunica la retirada a Google, y nosotros eliminamos la atribución de Apple Ads guardada. Registramos el consentimiento y su retirada con la fecha y hora y la versión del texto de la solicitud para poder acreditarlos (art. 7.1 RGPD, véase el apartado 11). Además, puede retirar el permiso de rastreo en los Ajustes de iOS, en Privacidad y seguridad › Rastreo.

8.Niños

Superkitchen puede utilizarse junto con menores de 16 años. Tratamos los datos de los menores (nombre, foto, fecha de nacimiento, sexo, tipo de alimentación, valoraciones de recetas, antojos) exclusivamente sobre la base del consentimiento del progenitor o tutor legal que creó la familia. La app nunca pregunta a los perfiles infantiles por la medición publicitaria y no se mide nada para ellos (véase 7h.). Solo los adultos pueden usar el modo voz y las funciones de IA; los perfiles infantiles no tienen acceso (véanse 7a. y 7f.).

La responsabilidad jurídica de los contenidos relativos a menores corresponde a los progenitores o tutores legales de la familia correspondiente. Si se solicita, eliminamos los datos de los menores de inmediato y de forma irrevocable.

9.Visibilidad: amigos y comunidad

El contenido de la familia es privado por defecto. Para cada receta, usted elige uno de tres niveles: “Solo nosotros” (solo su familia), “Amigos” (las familias conectadas con usted ven la receta con sus fotos) o “Comunidad”.

Con “Comunidad”, el título, la descripción, los ingredientes, los pasos, la duración, las categorías, los valores Power, la foto de portada y el nombre de su cocina son visibles para todos los usuarios del servicio en la versión enviada. La base jurídica es su consentimiento para cada receta (art. 6.1.a) RGPD), que puede retirar en cualquier momento a través de la visibilidad de la receta; en ese caso, la publicación finaliza. Para la revisión previa a la publicación, transmitimos la foto de portada y el texto a Google (Gemini, encargado del tratamiento según se describe en el apartado 7a).

Contabilizamos las copias y los eventos de cocinado por receta y versión, con marca de tiempo y la familia que copia la receta (art. 6.1.f) RGPD, interés en una comunidad que funcione); el número de copias es público y el número de eventos de cocinado solo lo ve la familia que publica. Almacenamos las denuncias con la familia denunciante, el motivo y el momento, y recibimos un correo electrónico al respecto (art. 6.1.f) RGPD, protección frente a abusos). Si usted oculta una familia, almacenamos este bloqueo para su familia (art. 6.1.f) RGPD).

9a.Página de la comida (enlace para compartir)

Puede compartir un día planificado como página web (getsuperkitchen.com/…, un código aleatorio). Quien tenga el enlace verá, sin app y sin cuenta, la fecha, los platos con sus fotos y sus acompañamientos, quién cocina, los nombres de pila de los miembros de su familia (también de quienes no participan ese día) y los nombres de las familias invitadas con su respuesta. La página no muestra fotos de personas y los buscadores no pueden indexarla. Si deja de compartirla, la página desaparece de inmediato; una semana después de la comida se desconecta automáticamente. La base jurídica es el art. 6.1.b) RGPD (función solicitada por usted).

Los visitantes de la página pueden indicar, hasta el día de la comida, lo que van a traer. En ese caso almacenamos el nombre indicado y la entrada en el día de la familia anfitriona. Ambos datos los ven todas las personas que tengan el enlace, y la familia anfitriona y las familias invitadas también en la app; la familia anfitriona y los invitados que han aceptado reciben una notificación push. La base jurídica es el art. 6.1.f) RGPD (interés de anfitriones e invitados en planificar juntos una comida). Para que un visitante pueda volver a eliminar su entrada, la página guarda en su navegador una cookie con el identificador de la entrada y un valor de verificación (técnicamente necesaria conforme al § 25, apdo. 2, n.º 2, de la TDDDG alemana, 21 días). Las entradas permanecen en el plan de la familia anfitriona hasta que esta las elimine o elimine el día; los visitantes pueden eliminar su entrada en el mismo navegador o ponerse en contacto con nosotros.

9b.Plan de comidas público y suscripción a planes

Los propietarios y chefs pueden publicar el plan de comidas de su cocina como página semanal (getsuperkitchen.com/plan/…, con un código aleatorio) e insertarla en otras páginas web, por ejemplo, en la web de un colegio o en un blog. Quien abra el enlace o la página en la que está insertada ve, sin app y sin cuenta, el nombre de su cocina y, para cada día, los platos planificados con título, foto, tipo de comida y categorías; según su configuración, también los ingredientes sin cantidades y, en las recetas propias, los pasos, o en las recetas importadas, en lugar de los pasos, el enlace a la fuente. La página no muestra nombres de miembros, quién cocina, invitados ni extras; los restaurantes solo aparecen como “Fuera de casa” o “A domicilio”, y los platos de recetas de otras familias, solo con su título; las fotos importadas y las fotos de pasos concretos siguen siendo privadas. Los buscadores no pueden indexar la página, y esta no utiliza cookies ni almacenamiento local. El navegador de los visitantes carga las fotos mediante enlaces de duración limitada directamente desde nuestro almacenamiento en Supabase (véase 6.). Si desactiva la publicación, la página deja de estar disponible de inmediato, también allí donde esté insertada; si vuelve a activarla, se genera un código nuevo. La base jurídica es el art. 6.1.b) RGPD (función solicitada por usted).

Puede suscribirse en su plan de comidas a planes publicados por otras cocinas, por ejemplo, el de un colegio, una escuela infantil o creadores de contenido gastronómico. Para ello guardamos para su cocina el código del plan y los días de la semana elegidos (véase 4.). La cocina que publica no sabe quién se suscribe a su plan. La app carga los platos desde la página semanal al abrir el plan de comidas y solo los muestra en su cocina. Con “A mis recetas” crea en sus recetas una copia propia de un plato con título, categorías, ingredientes, pasos o fuente y foto; como origen guardamos el nombre de la cocina que publica y el identificador de la receta original. La base jurídica es el art. 6.1.b) RGPD.

10.Cookies y almacenamiento local

En la app utilizamos almacenamiento local técnicamente necesario (token de sesión, idioma seleccionado, contenido guardado en caché en el dispositivo para el uso sin conexión). En la versión para navegador, su navegador guarda datos comparables en el almacenamiento local (inicio de sesión, cambios aún no enviados, archivos de la app y fotos en caché para un inicio rápido); la versión para navegador no instala cookies. Este almacenamiento está exento de consentimiento conforme al § 25, apdo. 2, n.º 2 de la TDDDG (Ley alemana de protección de datos en las telecomunicaciones y los servicios digitales). Solo si usted acepta la medición publicitaria, la app obtiene además el token de atribución de Apple. Si además permite el seguimiento en el aviso de iOS, la app lee el identificador de publicidad y guarda un ID de instancia de la app para Google Analytics. En cada caso, la base es su consentimiento (§ 25, apdo. 1 TDDDG, véase 7h.). Aparte de esto, no utilizamos cookies de marketing ni de análisis.

11.Plazos de conservación

Datos de cuenta: hasta que el propietario elimine la cuenta familiar.

Datos de uso (recetas, plan, ingredientes, antojos, fotos): hasta que los elimine un miembro con un rol suficiente o hasta que se elimine la cuenta.

Fuentes de recetas (enlace, nombre o usuario del autor, imagen de portada): hasta que se elimine la receta.

Registros técnicos: máx. 30 días; después, eliminación o agregación.

Datos de diagnóstico: 30 días; después, eliminación automática.

Estadísticas de uso: hasta que se elimine su cuenta.

Ubicación aproximada: hasta que se elimine su familia; cada nuevo dato sustituye al anterior.

Datos de la comunidad (versiones publicadas, registros de recetas guardadas y cocinadas, denuncias, bloqueos): hasta que se elimine su familia; las versiones retiradas dejan de ser públicas de inmediato.

Plan de comidas público: hasta que desactive la publicación o se elimine su cocina. Planes suscritos: hasta que cancele la suscripción al plan o se elimine su cocina.

Productos de Knuspr elegidos: hasta que los elimine en Ajustes › Servicios a domicilio o se elimine la cocina.

Modo voz: no almacenamos audio. Datos sobre las fases activas y su confirmación del aviso: hasta que se elimine su cuenta.

Medición publicitaria: la atribución de Apple Ads (campaña, grupo de anuncios, ID de palabra clave), hasta que revoque su consentimiento o se elimine su cocina, como máximo 24 meses; en Google Analytics, dos meses. El consentimiento y la revocación de la medición publicitaria constan en los registros de confirmación.

Registros de confirmación: mientras dure la relación comercial + 3 años (prueba).

Datos de compra y suscripción: mientras existan la suscripción y su familia; justificantes de transacciones con relevancia fiscal, 10 años (§ 147 AO, Código Tributario alemán).

Facturas y datos con relevancia fiscal: 10 años (§ 147 AO).

12.Destinatarios y transferencias a terceros países

Solo comunicamos datos personales a los encargados del tratamiento y destinatarios mencionados anteriormente, así como a autoridades públicas cuando estemos legalmente obligados a ello. En algunos servicios pueden producirse transferencias a terceros países (por ejemplo, a Anthropic en EE. UU. cuando la función de IA recurre a este proveedor como alternativa, véase 7a.; también Google puede tratar datos fuera de la UE, véase 7a.; sobre el envío de correos electrónicos a través de Resend, véase 6a.; sobre la entrega de la versión para navegador a través de Vercel, véase 6b.; sobre la distribución de la app de Android a través de Google Play (responsable independiente), véase 6d.; sobre la entrega de notificaciones en Android a través de Firebase Cloud Messaging, véase 7b.; sobre la información del tiempo a través de Apple, véase 7d.; sobre la consulta de publicaciones públicas de Instagram y TikTok por parte de su dispositivo, véase 7e.; sobre el modo voz a través de Google, véase 7f.; sobre los pedidos en Knuspr (responsable independiente) y el enlace de afiliado a través de CJ Affiliate en el Reino Unido (decisión de adecuación de la Comisión Europea), véase 7g.; sobre la medición publicitaria a través de Apple y Google (Google Analytics for Firebase, Google Ads), véase 7h.); estas se basan en cláusulas contractuales tipo de la UE y, en la medida en que sea aplicable, en el EU-U.S. Data Privacy Framework.

13.Decisiones automatizadas

No se toman decisiones automatizadas, incluida la elaboración de perfiles, en el sentido del art. 22 RGPD.

14.Sus derechos

Derecho de acceso (art. 15 RGPD) Derecho de rectificación (art. 16 RGPD) Derecho de supresión (art. 17 RGPD) Derecho a la limitación del tratamiento (art. 18 RGPD) Derecho a la portabilidad de los datos (art. 20 RGPD) Derecho de oposición (art. 21 RGPD) Derecho a retirar el consentimiento otorgado con efectos para el futuro, cuando el tratamiento se base en el consentimiento (art. 7.3 RGPD) Para ejercer estos derechos basta con un mensaje informal a hello@getsuperkitchen.com.

15.Derecho a presentar una reclamación ante una autoridad de control

Sin perjuicio de cualquier otro recurso, usted tiene derecho a presentar una reclamación ante una autoridad de control. La autoridad competente para nosotros es: Berliner Beauftragte für Datenschutz und Informationsfreiheit (Comisionada de Protección de Datos y Libertad de Información de Berlín) Alt-Moabit 59 bis 61 10555 Berlin, Alemania www.datenschutz-berlin.de

16.Seguridad

Aplicamos medidas técnicas y organizativas para proteger sus datos frente a accesos no autorizados, pérdidas o alteraciones. Entre ellas se encuentran, en particular: cifrado TLS, Row-Level Security a nivel de base de datos (visibilidad separada por cliente para cada familia), almacenamiento cifrado de los datos de autenticación, restricciones de acceso según el principio de necesidad de conocer (need-to-know) y revisiones periódicas.

17.Cambios en esta política de privacidad

Adaptamos esta política de privacidad cuando cambian las funciones, la situación jurídica o los servicios que utilizamos. La versión vigente en cada momento puede consultarse en la app. En caso de cambios importantes, informamos además a los usuarios activos por correo electrónico o en la app.