Quiénes somos

Responsable del tratamiento: MZKK LLC, 8541 105th St, East Elmhurst, NY 11418, EE. UU. MZKK LLC opera MZPoS únicamente en España.

Contacto para asuntos de privacidad: partner@mzpos.app.

MZPoS es una aplicación web de punto de venta (TPV) para negocios de hostelería en España: mesas, cocina, caja, pedidos online, cartas con código QR, pagos con tarjeta MZPay a través de Stripe, facturación VERI*FACTU e integraciones con plataformas de reparto como Uber Eats.

Tratamos datos en dos papeles distintos:

• Como responsable, los datos de quienes usan MZPoS como cliente (propietarios, administradores, personal, gestores, repartidores y socios), de quienes compran una suscripción y de quienes visitan esta web o nos escriben.
• Como encargado del tratamiento, los datos de los clientes de cada restaurante (pedidos, reservas, fichas de clientes, fidelización y opiniones). Es el restaurante quien decide para qué se usan; MZPoS los trata por su cuenta y siguiendo sus instrucciones. El restaurante es quien informa a sus clientes y atiende, en primer lugar, sus solicitudes. Este encargo se rige por el art. 28 RGPD y forma parte de las condiciones del servicio que acepta cada restaurante.

Para cualquier cuestión de protección de datos, escríbenos a partner@mzpos.app. MZPoS no está obligada a designar un delegado de protección de datos (art. 37 RGPD y art. 34 LOPDGDD) y no lo ha designado.

Qué datos tratamos

Para qué usamos los datos y con qué base jurídica

Cuando MZPoS actúa como encargado del tratamiento de los clientes de un restaurante, la base jurídica la determina el restaurante como responsable. No tomamos decisiones automatizadas con efectos jurídicos sobre las personas.

Pedidos de plataformas de reparto (Uber Eats y otras)

Los datos que llegan de una plataforma de reparto se usan únicamente para cumplir ese pedido en el TPV del restaurante: la cocina lo prepara, se entrega o se recoge y la caja lo registra.

• De Uber Eats recibimos el nombre de pila del cliente, los productos, las notas del pedido y los importes. La dirección de entrega solo se guarda si el reparto lo hace el propio restaurante. No guardamos el teléfono ni los apellidos.
• Otras plataformas, si un restaurante las conecta, pueden enviar nombre, teléfono, dirección de entrega y notas.
• A Uber Eats solo enviamos el estado del pedido (aceptado, rechazado, listo, cancelado o entregado), sin datos personales del cliente.
• El registro técnico de la integración con Uber Eats oculta credenciales y datos personales (teléfono, email, direcciones, apellidos, ubicación) y se borra a los 30 días.
• Del restaurante en Uber Eats (datos del comercio): el restaurante vincula su tienda iniciando sesión en Uber. Guardamos el identificador de la tienda, el nombre que le da el restaurante, cómo reparte y las fechas de alta y del último envío de la carta. A Uber enviamos la carta (productos, precios, fotos y disponibilidad) y si la tienda está abierta o en pausa. Las credenciales que Uber nos da se guardan solo en el servidor y nunca se muestran.
• Informes de Uber Eats: a petición del restaurante, MZPoS puede pedir a Uber informes de sus propias tiendas (por ejemplo, el historial de pedidos). Uber los prepara y avisa cuando están listos; MZPoS no descarga ni guarda esos archivos. El aviso queda en el registro técnico, que se borra a los 30 días.
• El pedido, ya creado en el TPV, se conserva como cualquier otro pedido del restaurante (véase «Cuánto tiempo conservamos los datos»).

Programa de Partners

Si te registras como Marketing Partner (personas que recomiendan MZPoS a restaurantes a cambio de una comisión), tratamos estos datos:

• Al registrarte: nombre y apellidos, email, teléfono o WhatsApp, ciudad, cómo nos vas a recomendar y, si lo indicas, tu perfil de Instagram o TikTok. Guardamos también cuándo aceptaste las condiciones, qué versión aceptaste y si aceptaste recibir novedades (casilla separada y sin marcar).
• Para evitar abusos guardamos, junto a la solicitud, una huella (hash) de la conexión desde la que se envió, no la dirección IP en claro, y se borra a los 30 días.
• Cuando tengas una comisión: nombre fiscal, NIF/NIE o CIF, dirección fiscal e IBAN. Se guardan cifrados y solo los ve el personal de MZPoS que hace los pagos. Nunca te los pedimos en el formulario de registro.
• De los restaurantes que recomiendas, en tu panel solo ves el nombre del negocio y en qué punto está; nunca los datos personales de sus dueños.

Para qué: gestionar el programa, saber qué restaurante viene de cada partner, pagar las comisiones y cumplir obligaciones legales y fiscales. Base jurídica: ejecución del acuerdo del programa (art. 6.1.b) y obligación legal (art. 6.1.c) para los datos fiscales; las novedades, solo con tu consentimiento (art. 6.1.a), que puedes retirar en cualquier momento.

Cuánto tiempo: mientras participes en el programa; después, los datos de pagos y las liquidaciones se conservan 6 años (art. 30 del Código de Comercio), que incluyen los 4 años de prescripción fiscal (art. 66 de la Ley General Tributaria); el resto se borra al terminar tu participación. Una solicitud rechazada se borra a los 90 días.

Tus derechos: puedes pedir acceso, rectificación, supresión, oposición, limitación y portabilidad, o retirar el consentimiento de novedades, escribiendo a partner@mzpos.app.

El enlace de un partner (www.mzpos.app/r/CÓDIGO) pregunta a quien lo abre si quiere guardar el código del partner en su dispositivo. Solo si lo acepta, se guarda durante 90 días en una cookie propia y en el almacenamiento del navegador (art. 22.2 LSSI). Solo contiene el código, y solo se envía a MZPoS si el restaurante inicia una compra o nos escribe. Si no lo acepta, no se guarda nada y el código puede escribirse al contratar.

Con quién compartimos los datos

Usamos proveedores que tratan datos por nuestra cuenta (encargados del tratamiento) y, en un caso, una autoridad pública:

Además, los datos de los clientes de un restaurante los ve ese restaurante y su personal. El repartidor puede abrir la dirección de entrega en Google Maps desde su móvil. No vendemos ni cedemos datos personales con fines comerciales. Solo los comunicaremos a autoridades cuando una ley nos obligue.

Transferencias internacionales

MZKK LLC tiene su sede en Estados Unidos. La base de datos está en la Unión Europea, pero MZKK LLC puede acceder a ella desde Estados Unidos, y algunos de los proveedores de la tabla anterior pueden tratar datos fuera del Espacio Económico Europeo.

Estas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado y, en los demás casos, en las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD).

Cuánto tiempo conservamos los datos

Hoy MZPoS no borra automáticamente los pedidos, reservas, fichas de clientes, opiniones, mensajes de reparto ni registros de personal: se conservan mientras el negocio use el servicio. Cuando un negocio deja el servicio y lo solicita, los borramos, salvo los que la ley obliga a conservar.

Lo que sí caduca:

• El registro técnico de la integración con Uber Eats: 30 días.
• Los enlaces para dejar una opinión: 120 días.
• La página de seguimiento de una entrega se cierra 24 horas después de entregarla.
• La lista de «pedidos de este teléfono» se guarda 24 horas en tu propio dispositivo, con un máximo de 10.
• Los puntos de fidelización caducan según lo que configure cada restaurante.
• Los emails comerciales se envían mientras no retires tu consentimiento.

Los registros fiscales (facturas y registros VERI*FACTU) no se pueden borrar y se conservan 4 años, el plazo de prescripción fiscal (arts. 66 y 70 de la Ley General Tributaria), y los libros y justificantes contables 6 años (art. 30 del Código de Comercio).

Tus derechos y cómo ejercerlos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento en cualquier momento (la retirada no afecta a lo ya tratado).

• Escribe a partner@mzpos.app indicando qué derecho quieres ejercer y datos suficientes para identificarte (y, si se trata de un pedido o una reserva, el restaurante afectado). Contestamos en el plazo de un mes, ampliable según el RGPD.
• Si tus datos son los de un cliente de un restaurante, trasladaremos tu solicitud al restaurante, que es el responsable, y le ayudaremos a atenderla.
• Por ahora estas solicitudes se gestionan a mano, por email.
• Para dejar de recibir emails comerciales, usa el enlace de baja que incluye cada uno.
• La supresión tiene límites cuando la ley obliga a conservar los datos, como ocurre con las facturas.

Reclamaciones

Si crees que tratamos tus datos de forma incorrecta, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es.

Cookies y tecnologías similares

• Esta web no usa cookies, salvo una, y solo si la aceptas: al abrir el enlace de un partner (www.mzpos.app/r/CÓDIGO) te preguntamos si quieres guardar su código durante 90 días (véase «Programa de Partners»). Tampoco usa analítica, publicidad, píxeles de seguimiento, fuentes ni scripts de terceros.
• Guarda en tu navegador, sin cookies, solo tu idioma, tu preferencia de modo claro u oscuro y un control interno de navegación. No contienen datos personales y no se envían a ningún servidor.
• La aplicación MZPoS (TPV, tienda online y pedido por QR) usa el almacenamiento del dispositivo estrictamente necesario para funcionar: tu sesión, los ajustes, el carrito, un identificador aleatorio para reconocer tu pedido y la copia que permite trabajar sin conexión. No se usa para publicidad.
• Las páginas de pago de Stripe pueden usar sus propias cookies; se rigen por la política de cookies de Stripe.

Por eso no mostramos un aviso general de cookies. La única cookie que no es estrictamente necesaria, la del enlace de un partner, solo se guarda si la aceptas en el aviso que aparece al abrir ese enlace (art. 22.2 LSSI).

Seguridad

• Las contraseñas las gestiona el servicio de autenticación; el PIN de fichaje se guarda solo cifrado.
• Los datos de la tarjeta nunca pasan por MZPoS.
• Cada negocio accede únicamente a sus propios datos y cada usuario, a lo que permite su rol.
• Las conexiones están cifradas.

Menores y cambios en esta política

MZPoS es un servicio para negocios y no está dirigido a menores de edad.

Publicaremos aquí cualquier cambio y actualizaremos la fecha que aparece al principio.

Who we are

Data controller: MZKK LLC, 8541 105th St, East Elmhurst, NY 11418, USA. MZKK LLC operates MZPoS in Spain only.

Contact for privacy matters: partner@mzpos.app.

MZPoS is a web point-of-sale (POS) application for hospitality businesses in Spain: tables, kitchen, cashier, online ordering, QR menus, MZPay card payments through Stripe, VERI*FACTU invoicing and integrations with delivery platforms such as Uber Eats.

We handle data in two different roles:

• As controller, the data of people who use MZPoS as a customer (owners, administrators, staff, advisers, drivers and partners), of people who buy a subscription, and of people who visit this website or write to us.
• As processor, the data of each restaurant's customers (orders, bookings, guest records, loyalty and feedback). The restaurant decides what the data is used for; MZPoS processes it on its behalf and on its instructions. The restaurant informs its customers and is the first to answer their requests. This processing is governed by art. 28 GDPR and forms part of the service terms each restaurant accepts.

For any data protection question, write to partner@mzpos.app. MZPoS is not required to appoint a data protection officer (art. 37 GDPR and art. 34 LOPDGDD) and has not appointed one.

What data we process

Why we use the data, and the legal basis

When MZPoS acts as processor for a restaurant's customers, the legal basis is set by the restaurant as controller. We make no automated decisions with legal effects on people.

Orders from delivery platforms (Uber Eats and others)

Data that arrives from a delivery platform is used only to fulfil that order in the restaurant's POS: the kitchen prepares it, it is delivered or collected, and the till records it.

• From Uber Eats we receive the customer's first name, the items, the order notes and the amounts. The delivery address is kept only when the restaurant delivers the order itself. We do not keep the phone number or the surname.
• Other platforms, if a restaurant connects them, may send a name, phone number, delivery address and notes.
• To Uber Eats we send only the order status (accepted, rejected, ready, cancelled or delivered), with no personal data about the customer.
• The technical log of the Uber Eats integration hides credentials and personal data (phone, email, addresses, surnames, location) and is deleted after 30 days.
• About the restaurant on Uber Eats (merchant data): the restaurant links its store by signing in to Uber. We keep the store identifier, the name the restaurant gives it, how it delivers, and the dates it was linked and its menu last sent. To Uber we send the menu (items, prices, photos and availability) and whether the store is open or paused. The credentials Uber gives us are kept only on the server and are never shown.
• Uber Eats reports: at the restaurant's request, MZPoS can ask Uber for reports on the restaurant's own stores (for example its order history). Uber prepares them and sends a notice when they are ready; MZPoS does not download or keep those files. The notice stays in the technical log, which is deleted after 30 days.
• Once created in the POS, the order is kept like any other order of the restaurant (see "How long we keep data").

Partner Programme

If you sign up as a Marketing Partner (people who recommend MZPoS to restaurants in exchange for a commission), we process this data:

• When you sign up: full name, email, phone or WhatsApp, city, how you will recommend us and, if you give it, your Instagram or TikTok profile. We also keep when you accepted the terms, which version you accepted and whether you agreed to receive news (a separate, unticked box).
• To prevent abuse we keep, with the application, a fingerprint (hash) of the connection it was sent from, not the IP address in clear, and it is deleted after 30 days.
• Once you have a commission: legal name, NIF/NIE or CIF, tax address and IBAN. They are stored encrypted and only the MZPoS staff who make payments can see them. We never ask for them on the sign-up form.
• About the restaurants you refer, your dashboard shows only the business name and where it is in the process; never their owners' personal data.

Why: to run the programme, know which restaurant came from which partner, pay commissions and meet legal and tax obligations. Legal basis: performance of the programme agreement (art. 6.1.b) and legal obligation (art. 6.1.c) for tax data; news only with your consent (art. 6.1.a), which you can withdraw at any time.

How long: while you take part in the programme; afterwards, payment records and statements are kept for 6 years (art. 30 of the Spanish Commercial Code), which covers the 4-year tax limitation period (art. 66 of the General Tax Law); everything else is deleted when you leave the programme. A refused application is deleted after 90 days.

Your rights: you can ask for access, rectification, erasure, objection, restriction and portability, or withdraw consent to news, by writing to partner@mzpos.app.

A partner's link (www.mzpos.app/r/CODE) asks whoever opens it whether to keep the partner's code on their device. Only if they accept is it kept for 90 days in a first-party cookie and in browser storage (art. 22.2 LSSI). It holds only the code, and is only sent to MZPoS if the restaurant starts a purchase or writes to us. If they decline, nothing is stored and the code can be typed in at checkout.

Who we share data with

We use providers that process data on our behalf (processors) and, in one case, a public authority:

In addition, a restaurant's customer data is seen by that restaurant and its staff. A driver can open the delivery address in Google Maps on their phone. We do not sell or share personal data for commercial purposes. We disclose it to authorities only when a law requires it.

International transfers

MZKK LLC is based in the United States. The database is in the European Union, but MZKK LLC can access it from the United States, and some of the providers in the table above may process data outside the European Economic Area.

These transfers rely on the EU-US Data Privacy Framework where the provider is certified and, otherwise, on the standard contractual clauses approved by the European Commission (art. 46 GDPR).

How long we keep data

MZPoS does not currently delete orders, bookings, guest records, feedback, delivery messages or staff records automatically: they are kept while the business uses the service. When a business leaves the service and asks us to, we delete them, except what the law requires us to keep.

What does expire:

• The technical log of the Uber Eats integration: 30 days.
• The links for leaving feedback: 120 days.
• A delivery tracking page closes 24 hours after delivery.
• The "orders from this phone" list is kept for 24 hours on your own device, up to 10.
• Loyalty points expire according to what each restaurant configures.
• Marketing emails are sent for as long as you do not withdraw your consent.

Tax records (invoices and VERI*FACTU records) cannot be deleted and are kept for 4 years, the tax limitation period (arts. 66 and 70 of the General Tax Law), and accounting books and records for 6 years (art. 30 of the Commercial Code).

Your rights and how to exercise them

You may exercise your rights of access, rectification, erasure, objection, restriction of processing and portability, and withdraw your consent at any time (withdrawal does not affect processing already carried out).

• Write to partner@mzpos.app saying which right you want to exercise, with enough detail to identify you (and, for an order or booking, the restaurant concerned). We reply within one month, extendable under the GDPR.
• If the data is that of a restaurant's customer, we will pass your request to the restaurant, which is the controller, and help it deal with it.
• For now these requests are handled by hand, by email.
• To stop receiving marketing emails, use the unsubscribe link in each one.
• Erasure has limits where the law requires data to be kept, as with invoices.

Complaints

If you believe we are handling your data incorrectly, you have the right to lodge a complaint with the Spanish Data Protection Agency (AEPD): www.aepd.es.

Cookies and similar technologies

• This website does not use cookies, except one, and only if you accept it: when you open a partner's link (www.mzpos.app/r/CODE) we ask whether to keep that partner's code for 90 days (see "Partner Programme"). It also uses no analytics, advertising, tracking pixels, third-party fonts or third-party scripts.
• It keeps in your browser, without cookies, only your language, your light or dark mode preference and an internal navigation control. They contain no personal data and are not sent to any server.
• The MZPoS application (POS, online shop and QR ordering) uses the device storage strictly necessary to work: your session, settings, basket, a random identifier to recognise your order and the copy that lets it work offline. It is not used for advertising.
• Stripe's payment pages may use their own cookies; they are governed by Stripe's cookie policy.

For that reason we do not show a general cookie banner. The only cookie that is not strictly necessary, the partner-link cookie, is only stored if you accept it in the notice shown when that link is opened (art. 22.2 LSSI).

Security

• Passwords are managed by the authentication service; the clock-in PIN is stored only in encrypted form.
• Card data never passes through MZPoS.
• Each business can reach only its own data, and each user only what their role allows.
• Connections are encrypted.

Children, and changes to this policy

MZPoS is a service for businesses and is not aimed at children.

We will publish any change here and update the date at the top.