Política de privacidad de LUMA AI STUDIO

1. Nuestros dos papeles

★ Respecto a los datos de los clientes finales, es el local quien decide qué se recoge y nosotros los tratamos siguiendo sus instrucciones. Los derechos se ejercen a través del local; nosotros aportamos las herramientas para atender esas solicitudes (§6).

2. Qué recogemos y para qué

Enumeramos solo lo que realmente almacenamos. Lo que no aparece aquí no se almacena.

2-1. Personal del cliente (usuarios de la consola)

2-2. Clientes finales — fidelización en quiosco

★ No almacenamos números de teléfono. Esa columna no existe en nuestra base de datos. Para localizar a un miembro usamos un valor irreversible (SHA-256 combinado con un secreto propio de cada local) y los cuatro últimos dígitos, para que la persona reconozca su registro.

2-3. Clientes finales — pedidos

• Guardamos número de pedido, mesa, artículos, importes, medio de pago y hora.
• No guardamos nombre, teléfono, dirección ni correo en un pedido.
• ★ No guardamos números de tarjeta, caducidad ni CVC: esas columnas no existen. Solo conservamos la referencia que devuelve el proveedor de pago, sin interpretarla.
• Si se emite un comprobante en efectivo, puede registrarse su número. [POR DECIDIR — conservación y enmascarado]

2-4. Cámaras en el local (solo donde están instaladas)

★ No almacenamos vídeo. Ni imágenes de rostro, ni plantillas faciales, ni identificadores que enlacen a una persona en el tiempo, ni trayectorias. No existen esas columnas, y tanto el servidor como el dispositivo rechazan el lote completo si aparece un valor con ese nombre. Los fotogramas se convierten en números en el dispositivo y se descartan allí mismo.

• Almacenamos: recuentos por franja horaria, tiempo total de permanencia por zona, recuentos agregados estimados por franja de edad y género, totales de ocupación por celda y valores de estado del equipo.
• Las celdas con pocas personas se agrupan antes de guardarse, y las menores no se muestran.
• En la entrada se coloca un cartel que indica el uso de cámaras y su finalidad.

2-5. Dispositivos y diagnóstico

• Guardamos número de serie, modelo, firmware y señales de estado.
• Podemos recoger registros del dispositivo para diagnosticar fallos. Antes de usarlos se enmascaran correos, teléfonos y credenciales.
• ★ El registro original sin enmascarar permanece almacenado durante un tiempo. [POR DECIDIR — conservación]
• Si se usa la captura de pantalla, se guarda la imagen. En un quiosco o pantalla de llamada puede incluir números de pedido. [POR DECIDIR — conservación]

2-6. Aplicación móvil de gestión

• La aplicación es una carcasa sobre nuestras pantallas web; no recoge nada por su cuenta.
• La sesión iniciada se guarda solo en el dispositivo.
• Si se activa el escaneo de QR se usa la cámara. Las imágenes captadas no salen del dispositivo ni se almacenan.
• Si se activan las notificaciones, guardamos un identificador del dispositivo para entregarlas.

3. Cuánto tiempo conservamos los datos

★ De lo anterior, lo que hoy se ejecuta automáticamente cada día es la anonimización de miembros, la conservación de cámaras y los registros de la etiqueta de precio. El resto está en definición (§9).

4. Encargados y cesiones

No vendemos datos personales. Empleamos a los siguientes encargados para operar el servicio.

★ Antes de enviar nada a un proveedor de IA enmascaramos los valores que parecen correos, teléfonos, credenciales, tarjetas o cuentas. Aun así, la entrada enviada y el resultado recibido quedan registrados en nuestra base de datos. [POR DECIDIR — conservación de esos registros]

Los datos de los clientes finales no se comunican a nadie salvo al propio local, excepto cuando lo exija la ley.

5. Transferencias internacionales

★ Nuestros servidores y base de datos están en Singapur. Se use el servicio desde donde se use, los datos se tratan en Singapur.

Si se opone a la transferencia internacional, el uso del servicio puede quedar limitado. Puede oponerse mediante el contacto del §6.

6. Sus derechos y cómo ejercerlos

Puede solicitar acceso, rectificación, supresión, limitación o retirar su consentimiento.

★ Lo decimos con claridad: todavía no existe un canal en el que la persona actúe directamente. Los clientes finales acuden al local; el personal usa el contacto siguiente. Estamos construyendo un canal directo.

Contacto: support@lumaaistudio.it

Delegado de protección de datos: [POR DECIDIR — nombre, cargo, contacto]

7. Cómo protegemos los datos

• Contraseñas, PIN, claves de API, tokens de invitación y de dispositivo se guardan solo como valores irreversibles. Los secretos de doble factor se guardan cifrados.
• Los datos de cada organización están separados a nivel de base de datos; las filas de otra organización no pueden leerse.
• Una cuenta limitada a un local solo ve los datos de ese local.
• Las acciones sensibles exigen un PIN, y los fallos repetidos lo bloquean.
• Queda un registro inalterable de quién hizo qué y cuándo.
• El acceso de nuestro personal a datos de clientes requiere una autorización con motivo y caducidad, y queda registrado.

8. Tratamiento automatizado

• Donde hay cámaras, el anuncio mostrado en pantalla puede cambiar según recuentos agregados estimados de franja de edad y género. No se identifica a nadie, no se trata a nadie de forma individual y no se adopta ninguna decisión con efectos jurídicos.
• Los locales con esta función lo indican en el cartel de entrada.

9. ★ Lo que a este borrador aún le falta

Este es un borrador pendiente de revisión jurídica. Lo siguiente no puede resolverse solo con el código y debe decidirlo una persona. Lo enumeramos en lugar de ocultarlo.

• Nombre, cargo y contacto del delegado de protección de datos
• Procedimiento y plazo para suprimir cuentas y exportar datos del personal (también hay que construir la función)
• Conservación de registros de auditoría y de acceso (mínimos legales por país)
• Conservación legal de pedidos y registros contables por país
• Región de tratamiento de Cloudflare R2 y países de los demás encargados
• Conservación de las entradas y resultados de IA registrados en nuestra base de datos
• Conservación y alcance de los registros originales del dispositivo y las capturas de pantalla
• Conservación y enmascarado de los números de comprobante en efectivo
• Menores de 14 años: se añadió una confirmación «Tengo 14 años o más» en el alta (18 sep 2026). ★ Pendiente: el umbral varía por país (13–16). Decidir si se convierte en un ajuste por país
• Si se mantiene la opción de mostrar los cuatro últimos dígitos del teléfono en la pantalla de llamada
• Quién es el responsable cuando se operan cámaras en una feria
• Procedimiento y plazo de notificación de brechas, conforme a la ley local y al RGPD

★ Aplazado (no se hace ahora) — almacenar realmente los datos en regiones separadas, como Europa o EE. UU. Hoy la «jurisdicción» elegida por organización solo fija las reglas de conservación; el almacenamiento está únicamente en Singapur. Si un cliente europeo exige almacenamiento local, construiremos entonces la separación por regiones.

10. Cambios en esta política

Publicaremos los cambios en esta página al menos 7 días antes de su entrada en vigor, y 30 días antes si son significativos.

Versión del documento: 2026-09-18-draft