¿Cumplen los pedidos por QR con el RGPD? Checklist para locales del Reino Unido
¿Cumplen los pedidos por QR con el RGPD del Reino Unido?
Sí, los pedidos en mesa por QR pueden funcionar cumpliendo la normativa británica de protección de datos, pero el cumplimiento depende de cómo los use el local, no solo del software. La norma aplicable es el UK GDPR (la versión británica del RGPD), junto con la Data Protection Act 2018. Las cookies y tecnologías similares se rigen aparte por las Privacy and Electronic Communications Regulations 2003 (PECR).
Lo bueno para un pub o un bar es que, bien planteado, el pedido por QR recoge muy pocos datos personales. Con DrinksQR el cliente no crea cuenta ni inicia sesión. Un pedido guarda la mesa, los productos, las notas que escriba el cliente y, si quiere, su nombre de pila para que el personal lo pueda llamar.
Esta página es una orientación general para locales del Reino Unido, no asesoramiento jurídico. Si tienes una duda concreta sobre tus obligaciones, consulta las guías del ICO o a un asesor cualificado.
¿Quién es el responsable y quién el encargado del tratamiento?
El local es el responsable del tratamiento y DrinksQR es el encargado. El responsable decide para qué y cómo se usan los datos: tú eliges tomar pedidos por QR, decides qué hacer con ellos y el cliente es tu cliente. El encargado trata los datos por cuenta tuya y siguiendo tus instrucciones, que es justo lo que hace el sistema cuando lleva un pedido de la mesa a la pantalla de barra.
Esta división importa porque determina quién responde de qué:
- El local (responsable) debe tener una base jurídica, informar a los clientes, atender sus solicitudes y decidir cuánto tiempo se conservan los registros.
- DrinksQR (encargado) trata los datos del pedido solo para prestar el servicio, los mantiene seguros y te ayuda a cumplir tus obligaciones.
Según el artículo 28 del UK GDPR, el responsable debe tener un contrato por escrito con cada encargado, lo que se suele llamar contrato de encargo del tratamiento (DPA, por sus siglas en inglés). En él se fija qué datos se tratan, con qué fin, qué medidas de seguridad se aplican y qué pasa al terminar el contrato. Asegúrate de tenerlo antes de empezar. Si tienes dudas sobre las condiciones, escríbenos desde la página de contacto.
¿Qué datos personales recoge realmente un pedido por QR?
Muy pocos, y es a propósito. La minimización de datos, uno de los principios básicos del UK GDPR, consiste en recoger solo lo necesario para la finalidad. Para tomar un pedido de bebidas en mesa, eso significa:
| Dato | Para qué se necesita | ¿Obligatorio? |
|---|---|---|
| Mesa | Para que el personal sepa adónde llevar el pedido | Sí (viene del código QR) |
| Productos, tamaños y opciones | Para preparar y cobrar el pedido | Sí |
| Notas | Peticiones como «sin hielo» o «dos pajitas» | Opcional |
| Nombre de pila | Para encontrar a la persona correcta en una mesa llena | Opcional |
Para pedir no hace falta correo electrónico, teléfono, contraseña ni cuenta. El pago se hace en la mesa con tu datáfono, así que los datos de la tarjeta no se introducen en la página de pedidos.
Ojo con el campo de notas. Si un cliente escribe algo como «alergia a los frutos secos», eso puede considerarse información sobre su salud, que el UK GDPR trata como categoría especial de datos. Forma al personal para que la tenga en cuenta en ese pedido y no la copie en ningún otro sitio. La información sobre alérgenos debe estar en la carta; nuestra guía de alérgenos explica cómo configurarla.
¿Qué base jurídica ampara un pedido en mesa?
Para la mayoría de los locales, la base natural es que el tratamiento es necesario para ejecutar un contrato: el cliente te pide que le sirvas unas bebidas y necesitas los datos del pedido para hacerlo. El nombre de pila lo da el cliente de forma voluntaria para facilitar el servicio. Normalmente no hace falta un consentimiento aparte para tomar un pedido.
El consentimiento entra en juego si quieres hacer algo más, como enviar publicidad. DrinksQR no recoge datos de contacto, así que cualquier lista de marketing que tengas sería independiente, con su propia base jurídica y, si es marketing electrónico, cumpliendo también las PECR.
¿Cuánto tiempo hay que conservar los datos de los pedidos?
Solo el tiempo que de verdad los necesites. El UK GDPR no fija un plazo concreto, así que lo decide el responsable, que debe poder justificarlo. Para un pedido en mesa, pregúntate para qué sirve el registro una vez servidas las bebidas:
- Revisar un pedido discutido o un reembolso esa misma semana
- Cuadrar las ventas con el datáfono y la caja
- Saber qué se vende, algo que normalmente se puede hacer con cifras que no identifican a nadie
Anota el plazo en tus registros y en tu aviso de privacidad. Los nombres y las notas de texto libre son lo que identifica a las personas, así que son lo que menos tiempo conviene guardar.
¿Qué hay que contar a los clientes?
Los clientes tienen derecho a ser informados, así que tu aviso de privacidad debe mencionar los pedidos por QR. No necesitas un documento nuevo y extenso. Normalmente bastan unas líneas en el aviso que ya tienes, que expliquen:
- Que los pedidos por QR registran la mesa, los productos, las notas y, de forma opcional, el nombre de pila
- Para qué se usan los datos (tomar y servir el pedido) y con qué base jurídica
- Que un proveedor de servicios trata el pedido por cuenta del local
- Cuánto tiempo se conservan los registros
- Cómo ponerse en contacto contigo para ejercer sus derechos
Haz que el aviso sea fácil de encontrar, por ejemplo con un enlace en tu web y una línea breve en la tarjeta de mesa o en la carta. Nuestra guía para imprimir códigos QR de mesa explica qué poner en la tarjeta.
¿Qué derechos tienen los clientes sobre los datos de su pedido?
Los clientes tienen los derechos habituales del UK GDPR: acceso, rectificación, supresión, limitación, oposición y, en algunos casos, portabilidad. En la práctica, las solicitudes sobre un pedido de bebidas son raras, pero conviene saber qué hacer si llega una:
- Registra la solicitud y la fecha. Normalmente tienes un mes para responder.
- Comprueba quién la hace. Con solo un nombre de pila y una mesa, quizá tengas que pedir la fecha, la hora y lo que se pidió para localizar el pedido.
- Busca el registro y valora si la solicitud procede.
- Si necesitas ayuda para recuperar o borrar datos del sistema, pídesela a DrinksQR como encargado.
- Responde con un lenguaje claro y guarda nota de lo que hiciste.
¿Tiene mi local que registrarse en el ICO?
La mayoría de las organizaciones que tratan datos personales deben pagar la tasa de protección de datos a la Information Commissioner's Office (ICO), en virtud de las Data Protection (Charges and Information) Regulations 2018, salvo que se aplique alguna exención. En lugar de suponerlo, haz la autoevaluación de la web del ICO, que te dice si tienes que pagar y en qué tramo estás.
¿Y las cookies y la analítica?
Según las PECR, las cookies no esenciales, como la mayoría de las de analítica y publicidad, por lo general necesitan el consentimiento del usuario antes de instalarse. Las estrictamente necesarias, como las que hacen que funcione un pedido, no. La guía del ICO explica dónde está el límite, y conviene consultar la versión actual porque las normas se han ido actualizando.
En la web de DrinksQR, la analítica solo se carga después del consentimiento, con Google Consent Mode v2, y rechazar es tan fácil como aceptar. Si la web de tu local usa analítica o píxeles de marketing, se te aplica el mismo criterio: un aviso claro, sin casillas premarcadas y con la opción de rechazar tan visible como la de aceptar.
Checklist de RGPD para pedidos por QR en locales del Reino Unido
| Punto | Cómo debería estar |
|---|---|
| Funciones claras | El local es responsable y DrinksQR, encargado |
| Contrato de encargo | Firmado o aceptado antes de empezar |
| Datos mínimos | Sin cuentas; nombre opcional; notas solo para el pedido |
| Base jurídica documentada | Ejecución de contrato para tomar pedidos, anotada en tus registros |
| Plazo de conservación | Un plazo definido, el más corto para nombres y notas |
| Aviso de privacidad al día | Menciona los pedidos por QR y se enlaza desde la tarjeta de mesa o la web |
| Gestión de derechos | El personal sabe quién atiende las solicitudes y el plazo de un mes |
| Tasa del ICO revisada | Autoevaluación hecha y tasa pagada si corresponde |
| Consentimiento de cookies | Analítica solo con consentimiento; rechazar tan fácil como aceptar |
| Personal informado | Las notas sobre alergias se atienden, no se copian ni se comparten |
Para ver cómo viaja un pedido de la mesa a la barra, lee cómo funcionan los pedidos por QR, y consulta la página de funciones para ver todo lo que hace el sistema.
Datos clave
- El UK GDPR y la Data Protection Act 2018 regulan los datos de pedidos; las PECR, las cookies.
- El local es el responsable del tratamiento; DrinksQR, el encargado.
- El artículo 28 del UK GDPR exige un contrato de encargo por escrito.
- Un pedido de DrinksQR guarda la mesa, los productos, las notas y un nombre opcional. Sin cuentas.
- Las solicitudes de derechos se responden normalmente en un mes.
- La mayoría de las organizaciones pagan la tasa del ICO: haz su autoevaluación.
- Orientación general, no asesoramiento jurídico.
Preguntas
¿Es legal pedir por QR según el RGPD del Reino Unido?
Sí, los pedidos por QR pueden usarse legalmente con el UK GDPR y la Data Protection Act 2018, siempre que el local tenga una base jurídica, informe a los clientes, proteja los datos y no los guarde más de lo necesario. Es una orientación general, no asesoramiento jurídico.
¿El cliente tiene que crearse una cuenta para pedir?
No. Con DrinksQR el cliente escanea el código de la mesa con la cámara del móvil y pide sin app, sin cuenta y sin contraseña. El pedido registra la mesa, los productos, las notas y, si quiere, su nombre de pila.
¿Quién es el responsable del tratamiento de los pedidos por QR?
El local es el responsable y DrinksQR es el encargado. El local decide cómo se usan los datos de los pedidos y responde ante los clientes; DrinksQR los trata siguiendo sus instrucciones, con un contrato de encargo del tratamiento.
¿Necesito un contrato de encargo del tratamiento con el proveedor de pedidos por QR?
Sí. El artículo 28 del UK GDPR exige un contrato por escrito entre el responsable y su encargado. Asegúrate de tenerlo antes de empezar a tomar pedidos.
¿Tengo que pagar la tasa de protección de datos del ICO?
Probablemente sí, pero compruébalo. La mayoría de las organizaciones que tratan datos personales deben pagarla salvo exención. La autoevaluación en la web del ICO te dice si tienes que pagar y cuánto.
¿Una carta con pedido por QR necesita aviso de cookies?
Solo si instala cookies no esenciales, como las de analítica. Según las PECR, las cookies estrictamente necesarias no requieren consentimiento, pero las de analítica y publicidad, por lo general, sí. La web de DrinksQR solo carga la analítica tras el consentimiento.