RGPD y pedido por QR: qué datos se generan y qué debe regular el negocio
En un pedido por QR se generan bastantes menos datos personales de lo que suele suponerse: el cliente pide sin cuenta, sin aplicación y sin datos de pago guardados; en esencia se tratan el contenido del pedido y el número de mesa. El negocio sigue siendo el responsable del tratamiento y firma con el proveedor un contrato de encargo conforme al artículo 28 del RGPD. A ello se suma una política de privacidad propia que mencione el pedido por QR.
Qué datos se generan en el pedido por QR
| Dato | Cuándo se genera | Carácter personal |
|---|---|---|
| Contenido del pedido y número de mesa | en cada pedido | ninguno por sí mismo: una mesa no identifica a una persona |
| Nombre o número de habitación | solo si el negocio lo pide, por ejemplo en un hotel | sí: usarlo con moderación |
| Datos técnicos de acceso (dirección IP) | al abrir la página, como en cualquier web | sí: de corta duración, para funcionamiento y seguridad |
| Cuenta, perfil de movimientos o datos de pago del cliente | no se generan: no hay cuenta de cliente | — |
Lo más importante está en la última fila: un sistema de pedidos sin registro de clientes es, por diseño, respetuoso con la minimización de datos. No hay perfil que crear, mantener ni borrar: el pedido pertenece a la mesa, no a la persona.
Los papeles: negocio y proveedor
- El negocio es el responsable del tratamiento según el RGPD: decide qué datos recoge de los clientes, por ejemplo si en un hotel se pide el número de habitación.
- El proveedor del sistema es el encargado del tratamiento: trata los datos únicamente siguiendo instrucciones. La base es un contrato de encargo conforme al artículo 28 del RGPD; en MenuMonkeys está listo para firmar.
- La política de privacidad del negocio debe mencionar el pedido por QR: qué se trata, con qué base (ejecución de un contrato, artículo 6.1.b del RGPD) y quién es el proveedor.
- Las solicitudes de acceso y supresión siguen siendo obligación del negocio, y con un sistema sin cuentas de cliente se responden en pocas líneas.
En qué fijarse al elegir un sistema
- ¿Hay contrato de encargo y se puede firmar sin rondas de negociación?
- ¿Se guardan cifrados los datos sensibles?
- ¿Funciona el sistema sin registro de clientes y sin cuenta de seguimiento?
- ¿Hay plazos de conservación definidos, de modo que los pedidos antiguos no se guarden para siempre?
¿Tienen los clientes que crear una cuenta para pedir por QR?
No. El cliente escanea, pide y listo: sin registro, sin aplicación y sin datos de pago guardados. Precisamente por eso el pedido por QR es menos complicado en materia de protección de datos que casi cualquier aplicación de pedidos.
¿Necesita mi negocio un contrato de encargo del tratamiento?
Sí. En cuanto un proveedor trata datos que se generan en el ámbito de responsabilidad del negocio, el artículo 28 del RGPD exige un contrato de encargo. Los proveedores serios lo tienen preparado; en MenuMonkeys forma parte de la contratación.
¿Tengo que adaptar mi política de privacidad?
Sí, en una medida asumible: se menciona el pedido por QR como tratamiento, con su finalidad, su base jurídica y el proveedor como encargado. La plantilla del proveedor o el propio delegado de protección de datos ayudan con la redacción.