Política de privacidad

Quiénes somos

MiBA lo gestionan dos personas físicas, corresponsables del tratamiento de tus datos según la normativa de la UE (artículo 26 del RGPD): Doron Zavelevsky, que reside en Portugal, y Asaf Shachaf, que reside en Israel. Todavía no hay ninguna empresa detrás de MiBA; si se crea, esta sección la nombrará. Para cualquier cuestión de esta política, escribe a privacy@miba.my, una dirección que leemos los dos.

Quién se encarga de qué

Como somos corresponsables, la ley nos pide acordar entre nosotros quién hace qué y contarte lo esencial de ese acuerdo (artículo 26(2) del RGPD). Es esto:

• Los dos. Decidimos juntos qué pregunta MiBA, qué guarda y qué proveedores utiliza. Ninguno de los dos actúa siguiendo instrucciones del otro; por eso somos corresponsables del tratamiento y no un responsable y un encargado.
• Doron Zavelevsky. Gestiona el servicio y sus subencargados, lleva el registro de qué se recoge y durante cuánto tiempo, responde en el plazo de un mes a lo que llega a la dirección de contacto, ejecuta las supresiones y exportaciones, y es el punto de contacto con la autoridad de control portuguesa (CNPD) y para notificar una violación de datos personales.
• Asaf Shachaf. Decide conjuntamente qué pregunta y qué muestra el producto, y lee respuestas a través del panel de operaciones solo para hacer funcionar el servicio y depurarlo. Cualquier solicitud que le llegue personalmente se envía el mismo día a la dirección de contacto, para que todas se respondan desde un solo lugar.
• Los dos. Diga lo que diga el reparto anterior, puedes ejercer todos tus derechos frente a cualquiera de los dos. Es tu derecho según el artículo 26(3), y ningún acuerdo entre nosotros puede limitarlo.

Qué recogemos

• Tus respuestas. Lo que eliges en el cuestionario de una reunión: disponibilidad, preferencias y requisitos firmes como las necesidades alimentarias. Cada pregunta es una elección cerrada entre opciones que ofrece MiBA. El cuestionario no tiene ningún campo de texto libre, así que no hay notas escritas que recoger.
• Datos de la cuenta (necesitas una cuenta para crear una reunión o votar): tu dirección de correo, el nombre visible que elijas y las necesidades alimentarias que indiques. Estas dos últimas nos las cuentas una vez para que ninguna reunión tenga que volver a preguntarlas.
• Tu número de WhatsApp, solo si nos lo das. Puedes elegir recibir los mensajes de una reunión por WhatsApp en lugar de por correo: las preguntas que te esperan, la votación, los recordatorios, la reserva y cualquier cambio en el plan, y, si organizas, las novedades de tu reunión. Cuatro cosas siguen llegando por correo: los códigos de inicio de sesión, la invitación a la próxima reunión de un grupo, la invitación de calendario y la pregunta de opinión que se describe abajo. Lo conectas enviando un mensaje a MiBA desde WhatsApp, y el número sale de ese mensaje. MiBA guarda entonces tu número, cuándo lo conectaste y cuál de las dos opciones elegiste. Se usa para esos mensajes y para nada más: nunca sirve para iniciar sesión, nunca se muestra a tu grupo, y si respondes STOP vuelves al correo. Puedes quitarlo desde tu página de cuenta cuando quieras.
• La opinión que nos des después. MiBA puede escribirte una vez, un día después de la comida, para preguntarte qué tal fue: la decisión y el restaurante. Eso es todo: un correo por reunión, y nunca más. Cada pregunta es una elección cerrada y responder es totalmente opcional; lo que elijas se guarda junto a tu participación en esa reunión y se trata exactamente igual que tus demás respuestas.
• Registros operativos: las reuniones que creas o a las que te unes, un registro de eventos de lo que pasó en cada una (necesario para hacerla funcionar y depurarla), un registro de los correos que MiBA envió para no enviar nunca el mismo dos veces, y la medición de nuestro propio gasto en IA (número de tokens y coste, nunca el contenido).
• Contadores de uso anónimos.Para ver dónde abandona la gente, MiBA cuenta pasos: “se mostró una pantalla de inicio de sesión”, “se respondió una pantalla del cuestionario”. Cada fila de contador guarda el nombre del paso, un rol (quien organiza o quien vota) y una marca de tiempo. Sin identificador de usuario, sin cookie, sin dirección IP; puede decir cuántos, y nunca puede decir quién.

MiBA no te perfila ni deduce preferencias observándote: guarda solo lo que introduces tú, y no hay rastreadores publicitarios ni de analítica en ninguna parte del producto.

Quién puede ver tus respuestas

En una reunión creada a partir de octubre de 2026, una vez que has respondido, quienes ya han respondido ven lo que te encantaría: tu nombre, las fechas que te van bien y hasta tres cosas que elegiste (tipos de comida, el ambiente, el nivel de ruido, el tipo de lugar), o que todo te parece bien. El resultado llega con una frase que explica por qué encaja, y puede nombrar quién quería qué. Nadie ve tus rechazos (lo que marcaste como “mejor no”), tus necesidades alimentarias, tu presupuesto ni las fechas que no te van bien. No ves nada de lo que le gusta al grupo hasta que has respondido.

En una reunión creada antes de esa fecha, tus respuestas individuales siguen siendo privadas: el resto de participantes nunca las ve, y con el grupo solo se comparte el resultado, con una breve explicación de por qué le va bien al grupo.

Para ser completos: los dos que gestionamos MiBA podemos leer respuestas a través de un panel de operaciones, y lo hacemos solo para hacer funcionar el servicio y depurarlo (por ejemplo, para entender por qué una reunión dio una mala sugerencia). Ese acceso está limitado a los dos corresponsables nombrados arriba mediante una lista de permitidos deliberada, que por defecto lo deniega. Nadie más lo tiene.

Por qué podemos tratar tus datos (bases jurídicas)

• Hacer funcionar tu reunión (contrato). Recoger respuestas, calcular la mejor opción para el grupo y enviar los mensajes que forman parte de una reunión: el resultado, y si la mesa está reservada.
• Nuestro interés legítimo. El recordatorio del día y los dos correos de opinión (cada reunión tiene un interruptor que los detiene), mantener el servicio seguro y depurarlo, y medir el embudo con los contadores anónimos descritos arriba.
• Consentimiento: no lo usamos como base. MiBA no deduce nada ni rastrea nada, así que aquí no hay nada que necesite un banner de consentimiento. Si eso cambia algún día, te lo preguntaremos antes.

Tratamiento con IA

MiBA usa un modelo de IA (Claude, de Anthropic) para una sola cosa en una reunión en curso: cuando la puntuación determinista no encuentra ningún restaurante que funcione lo bastante bien para todos, se pide al modelo que elija una estrategia, por ejemplo qué preferencias flexibles pedir a algunas personas que reconsideren. Recibe un resumen compacto y estructurado: los horarios posibles, los locales que casi encajaban y qué tipos de preferencia bloquean. Las personas aparecen en él solo como identificadores internos, nunca como nombres ni direcciones de correo, y como el cuestionario no tiene texto libre, no existe ningún texto tuyo que enviar. Nunca usamos tus datos para entrenar modelos, y según nuestro acuerdo con Anthropic, ellos tampoco. Ninguna llamada a la IA se hace mientras respondes las pantallas.

Correos, y cómo detenerlos

MiBA te envía por correo el enlace de inicio de sesión que pediste, las preguntas que una reunión de la que formas parte necesita de ti, su resultado, un recordatorio el día y una pregunta de opinión después. El interruptor “no me envíes nada sobre esta reunión” en la página de una reunión los detiene todos para esa reunión, por correo y por WhatsApp. “Solo lo importante”, en tu página de cuenta, hace lo mismo para todas las reuniones a las que te unes, salvo las preguntas que tienes que responder, la votación y el aviso de que la mesa está reservada. Los correos de una reunión que organizas son la forma de llevarla, así que ninguno de los dos interruptores los detiene. No hay ninguna lista de marketing.

Cookies y almacenamiento en tu dispositivo

MiBA usa cuatro cookies, todas propias. Ninguna te rastrea, y ningún tercero las lee:

• miba_session mantiene tu sesión iniciada (30 días). Estrictamente necesaria.
• miba_pt_<reunión> recuerda que eres tú dentro de una reunión, para que puedas volver a ella (30 días). Estrictamente necesaria.
• miba_next recuerda, mientras inicias sesión, a qué página devolverte (30 minutos). Estrictamente necesaria.
• miba_lang recuerda el idioma que elegiste expresamente (1 año).

Además de las cookies, MiBA guarda un indicador en el almacenamiento de sesión de tu navegador (que ya viste la animación de apertura de una reunión; desaparece al cerrar la pestaña). MiBA no ejecuta ningún script de analítica, ninguna grabación de sesiones ni ningún JavaScript de terceros, y por eso no hay banner de cookies: todo lo anterior es estrictamente necesario o una elección que hiciste tú.

Proveedores de servicios (subencargados)

MiBA funciona con un pequeño grupo de proveedores, y cada uno recibe solo lo que su función necesita:

• Supabase (UE, Irlanda): la base de datos, y la comprobación de que la dirección de correo es tuya al iniciar sesión.
• Resend (envía desde la UE): entrega los correos de MiBA.
• Meta (WhatsApp) (la plataforma WhatsApp Business): entrega los mensajes de WhatsApp de quien los haya elegido; recibe tu número y cada mensaje: el título de la reunión, el nombre visible de quien organiza y, cuando hay un plan, el restaurante y la hora. Nunca recibe tus respuestas.
• Vercel (proveedor estadounidense): aloja y sirve la aplicación.
• Anthropic (EE. UU.): la llamada al modelo de IA descrita arriba; ve identificadores internos, nunca nombres ni correos.
• Google Maps Platform (EE. UU.): búsqueda de restaurantes y geocodificación; recibe zonas de búsqueda y consultas sobre locales, nunca tu nombre ni tu correo.
• Overpass API (un servicio comunitario de OpenStreetMap): datos de mapas; recibe un recuadro geográfico y ningún dato personal.
• Inngest (EE. UU.): programa tareas en segundo plano; recibe solo identificadores internos.
• Sentry (proveedor estadounidense, región de datos en la UE): supervisión de errores en el servidor; no hay ningún script de Sentry en tu navegador.

No vendemos tus datos, ni a estos proveedores ni a nadie.

Dónde están tus datos (transferencias internacionales)

Tus datos se almacenan en la Unión Europea: la base de datos en Irlanda, y la supervisión de errores en la región de la UE de Sentry. Los proveedores estadounidenses de arriba tratan lo que les llega con sus propias garantías de transferencia de la UE (el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo). Uno de los dos corresponsables trabaja desde Israel, que la Comisión Europea reconoce como país con un nivel de protección de datos adecuado, así que ese acceso no necesita garantías adicionales.

Cuánto tiempo guardamos las cosas (conservación)

• Tu cuenta (correo, nombre visible, necesidades alimentarias y un número de WhatsApp si nos lo diste): hasta que la eliminas.
• Reuniones y respuestas: se guardan mientras el servicio funcione, para que la página de un grupo y su resultado sigan funcionando para todos los que forman parte de él. Cuando eliminas tu cuenta, tus respuestas se desvinculan de tu identidad y tu nombre se quita de ellas (ver más abajo).
• Contadores anónimos y registros operativos: se guardan para depurar y como historial del servicio; no identifican a nadie o, en el caso del registro de correos, dejan de identificarte cuando se elimina tu cuenta.

Tus derechos y controles

• Ver y cambiar lo que MiBA sabe. Tu nombre y tus necesidades alimentarias se pueden editar en cualquier momento en tu página de cuenta.
• Exportar tus datos como archivo JSON desde tu cuenta: los campos de tu cuenta, tus preferencias guardadas y cada reunión con tus respuestas y tu opinión.
• Eliminar tu cuenta.La eliminación es inmediata: se borran tu dirección de correo, tu nombre visible, tus necesidades alimentarias y tus preferencias guardadas, se elimina tu registro de inicio de sesión en nuestro proveedor de autenticación, tus respuestas se desvinculan de tu identidad, y tu nombre en reuniones pasadas se sustituye por “Antiguo participante”.
• Todo lo demás que te da el RGPD (acceso, rectificación, supresión, limitación, oposición, portabilidad): escribe a privacy@miba.my y te responderemos en el plazo de un mes.
• Reclamar. Si crees que hemos tratado mal tus datos, puedes presentar una reclamación ante la autoridad de control portuguesa, la CNPD (cnpd.pt). Si estás en Israel, también puedes acudir a la Autoridad de Protección de la Privacidad de allí. Agradeceríamos la oportunidad de arreglarlo antes.

Menores

MiBA no está dirigido a menores y no está pensado para menores de 16 años. No recogemos datos de menores a sabiendas; si crees que un menor tiene una cuenta, escríbenos y la eliminaremos.

Cambios en esta política

Cuando esta política cambia, actualizamos la fecha de arriba. Si un cambio es importante (un dato nuevo que se recoge, un uso nuevo, un proveedor nuevo que ve datos personales), te lo diremos en el producto antes de que se te aplique.