Política de privacidad

Kimchi es una plataforma de formación, conocimiento y comunicación interna para equipos de hostelería, creada por Kimchi BV («Kimchi», «nosotros»). Esta política explica qué datos personales recogemos cuando usas la aplicación web de Kimchi (app.usekimchi.com), la aplicación móvil de Kimchi para iOS y Android, y este sitio web; por qué los recogemos; con quién los compartimos; y cuáles son tus derechos.

En resumen

• Kimchi es una herramienta de trabajo. Tu empresa (o el negocio que te invitó) configura el espacio de trabajo y decide qué se incluye en él. Para esos datos, tu empresa es el «responsable del tratamiento» según el RGPD, y nosotros los tratamos por cuenta suya.
• No vendemos tus datos ni los usamos para publicidad. Las apps de Kimchi no contienen herramientas de analítica ni rastreadores publicitarios de terceros.
• Las funciones de IA envían contenido a proveedores de modelos de IA. Cuando usas el asistente o una función generada por IA, los textos, archivos, fotos o vídeos correspondientes se envían, a través del servicio europeo de OpenRouter, a modelos de IA alojados en centros de datos europeos para producir el resultado. Los proveedores tratan tu contenido con condiciones de retención cero de datos (zero data retention): no pueden almacenarlo ni usarlo para entrenar modelos.
• Los datos de Google solo se usan para las funciones para las que se conectaron. Si tu empresa conecta Google Drive o Google Business Profile, solo leemos lo que esas funciones necesitan, nunca cambiamos nada en Google y cumplimos las normas de uso limitado (Limited Use) de Google — consulta Datos de usuario de Google.
• Dónde se almacenan y procesan tus datos. Nuestros servidores, bases de datos y archivos subidos están en centros de datos de la UE, y las funciones de IA que ejecuta Kimchi se procesan en Europa; el dictado por voz usa el reconocimiento de voz de tu propio teléfono (Apple o Google). Algunos proveedores de servicios son empresas estadounidenses, entre ellos nuestro enrutador de IA, varios proveedores que alojan modelos de IA y nuestros proveedores de correo electrónico y de copias de seguridad; algunos guardan datos o metadatos en EE. UU. Para esas transferencias aplicamos garantías reconocidas.
• Tú tienes el control. Puedes solicitar el acceso, la rectificación o la supresión en cualquier momento — consulta tus derechos.

1. Quiénes somos

La empresa responsable de Kimchi es:

Kimchi BV in oprichting (sociedad belga en constitución)
Bélgica
Correo electrónico: privacy@usekimchi.com

2. Quién es responsable de tus datos

Hay dos situaciones, y es importante saber cuál se aplica.

El espacio de trabajo de tu empresa. Cuando usas Kimchi como miembro de una organización — por ejemplo, el grupo de restauración para el que trabajas —, esa organización decide qué datos se introducen en Kimchi, quién puede verlos y cuánto tiempo se conservan. Según el RGPD, es el responsable del tratamiento, y nosotros somos el encargado del tratamiento que actúa siguiendo sus instrucciones en virtud de un contrato de encargo del tratamiento. Esto incluye tu perfil, tus formaciones, tus mensajes, checklists, datos de turnos y todo lo demás dentro del espacio de trabajo.

Nuestros propios tratamientos. Somos el responsable del tratamiento de lo que hacemos en nombre propio: crear cuentas y proteger los inicios de sesión; mantener el servicio en funcionamiento, seguro y fiable (registros del servidor, informes de errores); responder a solicitudes de soporte y de demo; comunicarnos con las empresas que compran Kimchi; y los visitantes de este sitio web.

Si tienes alguna pregunta sobre cómo usa Kimchi tu empresa — por ejemplo, por qué se rellenó un campo concreto o quién de tu equipo puede ver tus resultados de formación —, ponte primero en contacto con ella. Le ayudaremos a responderte.

3. Qué datos recogemos

3.1 Datos que proporcionas tú o tu empresa

3.2 Datos generados al usar Kimchi

3.3 Datos de integraciones que conecta tu empresa (opcional)

Tu empresa decide si conecta alguna de ellas. Si lo hace, recibimos:

3.4 Permisos del dispositivo (aplicación móvil)

La app de Kimchi solicita estos permisos, cada uno solo cuando usas por primera vez la función correspondiente:

• Cámara y fototeca — para hacer o adjuntar fotos y vídeos a mensajes, checklists y tu perfil.
• Micrófono y reconocimiento de voz — para dictar preguntas al asistente de IA.
• Notificaciones — para enviarte notificaciones push.

Puedes rechazar o revocar cualquiera de ellos en los ajustes de tu dispositivo; el resto de la app sigue funcionando. La app no solicita acceso a tu ubicación, tus contactos ni tu calendario.

4. Datos de usuario de Google

Un administrador del espacio de trabajo de tu empresa puede conectar dos servicios de Google a Kimchi: Google Drive y Google Business Profile. No se conecta nada hasta que un administrador inicia sesión con Google y aprueba el acceso. Esta sección explica qué hacemos con los datos que recibimos de Google de esta forma («datos de usuario de Google»).

4.1 A qué accedemos y por qué

Usamos los archivos de Drive como fuentes de conocimiento: para que se puedan buscar en Kimchi, para redactar SOP y formaciones a partir de ellos y para que el asistente de IA pueda responder preguntas basándose en ellos. Usamos las reseñas para detectar problemas recurrentes en un local y sugerir formaciones o actualizaciones de SOP.

4.2 Cómo los usamos

• Solo para las funciones para las que se conectaron, en el espacio de trabajo que los conectó, y para mantener esas funciones seguras y operativas.
• Nunca para publicidad, nunca se venden y nunca se usan para elaborar perfiles de personas ni para tomar decisiones sobre créditos o préstamos.
• Nunca para entrenar IA. No usamos los datos de usuario de Google para desarrollar, mejorar o entrenar modelos generales de IA o de aprendizaje automático, y nuestros proveedores de IA no pueden usarlos para entrenar los suyos.
• Tratamiento con IA. Para leer, resumir y buscar en los archivos de Drive y para analizar las reseñas, su contenido se envía a los modelos de IA descritos en Funciones de IA, únicamente para producir ese resultado.

4.3 Cómo los almacenamos y protegemos, y cuánto tiempo los conservamos

• Dónde. Las copias de los archivos de Drive sincronizados se guardan en nuestro almacenamiento de archivos; su texto extraído, su índice de búsqueda y sus resúmenes, así como las reseñas, se guardan en nuestra base de datos. Ambos están en centros de datos de la UE.
• Tokens de acceso. Las claves que Google nos da para acceder a la cuenta conectada se almacenan cifradas en nuestra base de datos y solo las usan los servidores de Kimchi para comunicarse con Google. Nunca se muestran en la app ni se envían a ningún otro sitio.
• Protección. Las mismas medidas que para todos los datos de tu espacio de trabajo — consulta cómo protegemos tus datos: cifrado en tránsito, almacenamiento en nuestros propios servidores en Alemania, separación por organización y acceso limitado de los ingenieros.
• Cuánto tiempo. Una copia de Drive se conserva mientras se pueda llegar al archivo desde una carpeta conectada, directamente o a través de un acceso directo dentro de ella, y se sustituye cuando la lista de cambios de Kimchi indica una nueva versión. Una copia que se mueve dentro de las carpetas conectadas también se mueve en Kimchi. Cuando un archivo se elimina en Drive o ya no se puede llegar a él desde las carpetas conectadas (se ha sacado de ellas, o su último acceso directo allí se ha eliminado o sacado de ellas), Kimchi elimina su copia en la siguiente sincronización, o en la primera posterior para la que Google Drive pueda confirmarlo. Quitar una carpeta de la sincronización elimina sus archivos del espacio de trabajo, salvo aquellos a los que todavía llega un acceso directo de otra carpeta conectada, que pasan a esa carpeta; desconectar Google Drive los elimina todos. Siempre que se elimina una copia, también se eliminan su texto, su índice de búsqueda, sus vistas previas y el propio archivo almacenado; a partir de entonces solo permanecen en las copias de seguridad, como se describe en cuánto tiempo conservamos tus datos. Las reseñas se conservan mientras exista el espacio de trabajo. El contenido que tu equipo haya creado a partir de estas fuentes, como un SOP o una formación, es del propio equipo y se mantiene. Todo lo demás sigue lo indicado en cuánto tiempo conservamos tus datos.

4.4 Con quién los compartimos

• Las personas del espacio de trabajo de tu empresa, según los permisos que establezcan sus administradores.
• Nuestros subencargados del tratamiento, únicamente para que funcionen estas funciones: los proveedores de alojamiento, base de datos y almacenamiento de archivos que los almacenan, y los proveedores de enrutamiento y modelos de IA que los tratan (consulta con quién compartimos los datos). Cada uno está obligado por un contrato que limita lo que puede hacer con los datos.
• Las autoridades, cuando la ley lo exija.

No transferimos los datos de usuario de Google a nadie más. Si Kimchi BV participa en una fusión, adquisición o venta de activos, los datos de usuario de Google solo pasan al nuevo propietario después de que la organización que los conectó lo haya aceptado expresamente.

4.5 Quién puede leerlos en Kimchi

Nadie en Kimchi lee tus datos de usuario de Google, salvo cuando el espacio de trabajo nos ha dado permiso expreso para hacerlo en una solicitud de soporte concreta, cuando es necesario por motivos de seguridad, como investigar un abuso, o cuando la ley lo exige.

4.6 Cómo retirar el acceso y solicitar la supresión

• Google Drive. Un administrador puede quitar una sola carpeta de la sincronización o hacer clic en Desconectar en el panel de Google Drive de la página Integraciones de la aplicación web de Kimchi. Kimchi deja entonces de sincronizar y elimina los archivos sincronizados como se describe arriba. Al desconectar también se eliminan los tokens de acceso almacenados y se pide a Google que revoque el acceso de Kimchi a la cuenta, salvo que ese inicio de sesión de Google pueda seguir usándose para Google Business Profile en el mismo espacio de trabajo, o para Google Drive en otro espacio de trabajo; revocarlo también cortaría esos accesos.
• Google Business Profile. Un administrador puede hacer clic en Desconectar junto a una ficha en la página Integraciones. Kimchi elimina entonces los tokens de acceso almacenados para esa ficha, deja de obtener sus reseñas y pide a Google que revoque el acceso de Kimchi, salvo que otras fichas o Google Drive en el mismo espacio de trabajo puedan seguir dependiendo de ese inicio de sesión de Google.
• En Google. La persona cuya cuenta de Google se conectó puede retirar el acceso de Kimchi en cualquier momento en myaccount.google.com/permissions. A partir de entonces, Kimchi ya no puede acceder a esa cuenta.
• Supresión. Para que se supriman los datos de usuario de Google que Kimchi todavía conserve, escríbenos (consulta contacto). Los suprimimos en un plazo de 30 días.

4.7 Uso limitado (Limited Use)

El uso que haga Kimchi de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajustará a la Google API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use).

5. Funciones de IA

Kimchi incluye un asistente de IA y varias funciones generadas por IA: creación de formaciones a partir de documentos, resúmenes, traducciones, evaluación de fotos de checklists, transcripción de vídeos, planificación de proyectos y Opportunities (análisis operativos). Así se tratan tus datos:

• Qué se envía. Cuando usas una función de IA, el contenido que necesita — tu pregunta, los SOP, archivos o mensajes que usa como contexto, y cualquier documento, foto o vídeo adjunto — se envía a un modelo de lenguaje de gran tamaño para producir el resultado. Si tu empresa usa Opportunities, un análisis nocturno también envía a modelos de IA datos de trabajo, como nombres y funciones, turnos y ausencias, resultados de formación, checklists completadas y reseñas de clientes, para detectar problemas operativos recurrentes.
• Quién lo trata. Las solicitudes se envían a OpenRouter, Inc., una empresa estadounidense, a través de su servicio europeo: solo las procesa en Europa y rechaza una solicitud antes que enviarla a otro lugar. OpenRouter pasa cada solicitud al proveedor que hemos elegido para ese modelo, en sus centros de datos europeos: Google Cloud, Amazon Web Services o Microsoft Azure (empresas estadounidenses, en sus regiones de la UE), o Inceptron (Suecia). Estos proveedores tratan tu contenido únicamente para generar la respuesta, con condiciones de retención cero de datos (zero data retention): no pueden almacenarlo ni usarlo para entrenar modelos. OpenRouter guarda datos de cuenta y facturación sobre Kimchi, que pueden almacenarse en Estados Unidos.
• Páginas web. Si tu empresa activa «Permitir que Kimchi lea páginas web» (desactivado por defecto), el asistente puede leer una página web pública cuyo enlace des en un chat, o a la que remitan los SOP y archivos de tu organización, y citarla. Los servidores de Kimchi obtienen la página directamente del sitio web; no interviene ningún servicio de búsqueda. El asistente no busca en la web: la búsqueda web en directo se ha retirado mientras la trasladamos a un servicio de búsqueda europeo, e indicaremos aquí ese proveedor antes de que vuelva.
• Dictado. Si dictas una pregunta en la aplicación móvil, el audio lo transcribe el servicio de reconocimiento de voz de tu propio teléfono (Apple en iOS, Google en Android), que puede procesarlo en los servidores de esa empresa, conforme a sus condiciones de privacidad. Solo se envía a Kimchi el texto resultante.
• Imágenes de stock. Las imágenes sugeridas para las formaciones proceden de Unsplash. Solo se envían las palabras clave de búsqueda, nunca tus datos personales.
• Qué conservamos. Tus preguntas y las respuestas de la IA se guardan en tu espacio de trabajo para que puedas volver a ellas y tu empresa pueda revisar cómo se usa el asistente.
• Una nota sobre la exactitud. Los resultados de la IA pueden ser erróneos o incompletos. Trátalos como un borrador que hay que revisar — sobre todo en cuestiones de seguridad alimentaria.

6. Por qué usamos tus datos y con qué base jurídica

No usamos tus datos para tomar decisiones automatizadas que produzcan efectos jurídicos sobre ti o te afecten de forma similarmente significativa.

7. Con quién compartimos los datos

Nunca vendemos datos personales. Solo los compartimos con:

Las personas de tu espacio de trabajo. Tus compañeros pueden ver tu nombre, foto y puesto, y lo que publicas o les envías; los responsables y administradores pueden ver más — consulta quién puede ver qué en tu espacio de trabajo.

Proveedores de servicios (subencargados del tratamiento) que nos ayudan a prestar Kimchi. Cada uno está obligado por un contrato que limita lo que puede hacer con los datos. Se dividen en estas categorías:

• proveedores de alojamiento e infraestructura que gestionan nuestros servidores, bases de datos y este sitio web, en centros de datos de la UE;
• almacenamiento de archivos, fotos y vídeos subidos, en centros de datos de la UE;
• los proveedores de enrutamiento y modelos de IA descritos en Funciones de IA;
• proveedores de envío de nuestros correos electrónicos, SMS y notificaciones push;
• un servicio de programación para las llamadas de demo reservadas a través de este sitio web;
• un servicio que recopila las reseñas públicas de los locales conectados;
• servicios de teselas de mapas y de vídeos insertados en la aplicación web — tu navegador se comunica directamente con ellos, lo que les revela tu dirección IP;
• y las herramientas de terceros que tu empresa decida conectar (consulta integraciones).

La lista completa y actualizada de nuestros subencargados del tratamiento — quiénes son, qué hace cada uno y dónde trata los datos — forma parte del contrato de encargo del tratamiento que celebramos con cada cliente empresarial, y los clientes pueden solicitarla en cualquier momento en privacy@usekimchi.com.

Las autoridades y otros terceros cuando la ley lo exija, por ejemplo para cumplir una obligación legal o una orden judicial, o para proteger los derechos, los bienes o la seguridad de nuestros usuarios o de terceros.

Un comprador o sucesor si Kimchi BV participa en una fusión, adquisición o venta de activos. Te avisaremos antes de que tus datos queden sujetos a una política de privacidad distinta.

8. Dónde se almacenan tus datos y transferencias internacionales

Los servidores, la base de datos y los archivos subidos de Kimchi están en centros de datos de la UE, y las funciones de IA que ejecuta Kimchi se procesan en Europa; el dictado por voz usa el reconocimiento de voz de tu propio teléfono (Apple o Google). Algunos de nuestros proveedores de servicios, entre ellos nuestro enrutador de IA y varios proveedores que alojan modelos de IA, son empresas estadounidenses; algunos almacenan datos en Estados Unidos o pueden acceder a ellos desde allí. Para esas transferencias nos basamos en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) cuando el proveedor está certificado y, en caso contrario, en las cláusulas contractuales tipo de la Comisión Europea con garantías adicionales. Puedes pedirnos una copia de las garantías correspondientes.

9. Quién puede ver qué en tu espacio de trabajo

• Tus compañeros pueden ver tu nombre, foto de perfil, puesto y locales; los mensajes que les envías; tus publicaciones, comentarios y reacciones; tus votos en las encuestas (las encuestas no son anónimas); y, en los chats de grupo, si has leído un mensaje.
• Los responsables y administradores de tu organización pueden ver además tu perfil completo (incluidos los campos opcionales que haya rellenado tu empresa), tu progreso y tus puntuaciones de formación, los checklists que has enviado, cuándo estuviste activo por última vez, los datos de turnos de una herramienta de planificación conectada y las notas de evaluación que hayan escrito.
• Los mensajes directos solo pueden abrirlos las personas de la conversación. Los administradores no pueden leer tus mensajes directos a través de Kimchi.
• Nuestro equipo. Un pequeño número de nuestros ingenieros puede acceder a los datos almacenados — incluidos los mensajes — cuando sea estrictamente necesario por motivos de soporte, seguridad o legales. No leemos tus mensajes con ningún otro fin.

Los mensajes y archivos están cifrados en su camino hacia y desde Kimchi y se almacenan en nuestros propios servidores en Alemania, pero no están cifrados de extremo a extremo.

10. Cuánto tiempo conservamos tus datos

11. Cómo protegemos tus datos

• Todo el tráfico está cifrado con TLS (HTTPS/WSS). Tus datos se almacenan en servidores que gestionamos nosotros mismos en Hetzner, en Falkenstein (Alemania), y nuestras copias de seguridad se guardan en la UE, en la región de Ámsterdam de Backblaze (una empresa estadounidense).
• Las contraseñas se cifran con hash mediante Argon2. Nunca almacenamos ni vemos tu contraseña en texto plano.
• En el móvil, tu token de inicio de sesión se guarda en el almacenamiento seguro del sistema operativo (iOS Keychain / Android Keystore).
• Cada registro está vinculado a una organización; los permisos basados en roles controlan quién puede ver y cambiar qué.
• El acceso a los sistemas de producción está limitado a un pequeño número de ingenieros y protegido con autenticación robusta.
• No ejecutamos scripts de analítica ni de publicidad de terceros en las apps, así que ningún dato de seguimiento sale de Kimchi.

Ningún sistema es perfectamente seguro. Si tenemos conocimiento de una brecha que afecte a tus datos, lo notificaremos a tu empresa y, cuando sea obligatorio, a ti y a la autoridad de control.

12. Tus derechos

Según el RGPD, tienes derecho a:

• acceder a los datos personales que tenemos sobre ti y recibir una copia;
• rectificar los datos inexactos o incompletos;
• suprimir tus datos («derecho al olvido»);
• limitar cómo tratamos tus datos;
• recibir tus datos en un formato portátil y legible por máquina;
• oponerte al tratamiento basado en nuestros intereses legítimos;
• retirar tu consentimiento en cualquier momento (por ejemplo, un permiso del dispositivo), sin que ello afecte al tratamiento realizado con anterioridad;
• presentar una reclamación ante una autoridad de control.

Cómo ejercerlos. Para los datos dentro del espacio de trabajo de tu empresa, la responsable del tratamiento es tu empresa — pídeselo al administrador de tu espacio de trabajo, que puede actualizar tu perfil o eliminar tu cuenta directamente en Kimchi. Para cualquier otra cuestión, o si prefieres dirigirte a nosotros, escribe a privacy@usekimchi.com. Responderemos en el plazo de un mes (que puede ampliarse dos meses más en solicitudes complejas; si es así, te lo diremos). Es posible que primero te pidamos que verifiques tu identidad.

Eliminar tu cuenta. Pide al administrador de tu espacio de trabajo que te elimine, o escríbenos a privacy@usekimchi.com desde la dirección vinculada a tu cuenta. Eliminamos tu cuenta y tus datos personales en un plazo de 30 días, salvo cuando tu empresa esté legalmente obligada a conservar determinados registros.

Autoridad de control. Nuestra autoridad de control es la Autoridad belga de Protección de Datos: Gegevensbeschermingsautoriteit / Autorité de protection des données, Drukpersstraat 35, 1000 Brussels, Belgium — www.gegevensbeschermingsautoriteit.be. También puedes presentar una reclamación ante la autoridad de protección de datos del país de la UE en el que vivas o trabajes.

13. Cookies y almacenamiento local

Este sitio web. Estas páginas se sirven como archivos estáticos y solo instalan una sola cookie: kimchi_lang, una cookie estrictamente necesaria que recuerda el idioma que has elegido, para que el sitio se abra en ese idioma en tu próxima visita. Solo contiene un código de idioma (por ejemplo, «es») y nunca se usa para hacer seguimiento. El aviso de cookies que quizá hayas respondido guarda tu elección en el almacenamiento local de tu navegador, solo en tu dispositivo. Si aceptas, el sitio carga también nuestra analítica de páginas: Plausible, un software de código abierto que ejecutamos en nuestros propios servidores en la UE, de modo que nada se envía a terceros. Plausible no instala cookies ni guarda nada en tu dispositivo. Por cada página que visitas registra la dirección de la página, el sitio que te llevó a ella, tu navegador, sistema operativo y tipo de dispositivo, y tu país. Tu dirección IP solo se usa para determinar el país y, junto con tu navegador, un código de visitante que cambia cada día; la dirección en sí nunca se guarda. Si lo rechazas, la analítica nunca se carga. Para cambiar tu respuesta, borra los datos de este sitio en tu navegador y el aviso volverá a preguntarte. Una excepción que eliges al usarla: reservar una demo carga el widget de programación de Cal.com, que instala sus propias cookies conforme a la política de privacidad de Cal.com. No se carga hasta que abres la reserva.

Aplicación web (app.usekimchi.com). Solo usamos cookies propias estrictamente necesarias; por eso no verás allí un banner de cookies:

No hay cookies de analítica, de publicidad ni de redes sociales. Las formaciones que insertan un vídeo de YouTube cargan ese vídeo desde YouTube, que puede instalar sus propias cookies cuando lo reproduces.

Aplicación móvil. La app guarda tu token de inicio de sesión y tus preferencias en tu dispositivo; no usa cookies ni identificadores publicitarios.

14. Menores

Kimchi es una herramienta de trabajo pensada para personas con edad suficiente para trabajar. No está dirigida a menores de 16 años y no recogemos conscientemente datos de ellos. Si crees que se ha dado una cuenta de Kimchi a un menor, avísanos y la eliminaremos.

15. Cambios en esta política

Podemos actualizar esta política a medida que Kimchi evolucione. Publicaremos la nueva versión aquí con una nueva fecha de entrada en vigor y, en el caso de cambios importantes, te avisaremos en la app o por correo electrónico antes de que entren en vigor.

16. Contacto

Preguntas, solicitudes o inquietudes sobre privacidad: privacy@usekimchi.com, o por correo postal a Kimchi BV, Bélgica.