隐私政策
本政策说明 La Quisquillosa Playa 如何处理访问本网站或与餐厅联系的人员的个人数据，依据欧盟《通用数据保护条例》（GDPR，2016/679）及西班牙《个人数据保护与数字权利保障组织法》（第3/2018号，LOPDGDD）。
数据控制者
通过本网站收集的个人数据的处理控制者，为法律声明中所列的餐厅负责人。
- 控制者
- Jorge Cabezas Catalán（自雇）
- 西班牙税号（NIF）
- 44651787R
- 商业名称
- La Quisquillosa Playa
- 地址
- Calle San Millán 5, 6.º C，29013 Málaga，Málaga，西班牙
- 电子邮件
- laquisquillosaplaya@gmail.com
- 电话
- +34614441588
我们处理的数据类别
根据用户与网站和餐厅的交互方式，我们可能处理以下类别的数据：
- 浏览数据
- IP 地址、浏览器标识符（user-agent）、访问的日期与时间、所访问的页面、浏览器语言和大致国家。由托管服务商作为数据处理方进行处理。
- 语言偏好
- 用户手动选择的语言，存储在 Cookie 政策中所述的技术性 cookie lq-lang 中。
- 预订数据（未来服务）
- 在启用预订表单时：姓名、电话或电子邮件、希望的日期与时间、用餐人数以及用户的特殊要求（过敏、不耐受、庆祝活动）。
- 通信数据
- 用户通过电子邮件、WhatsApp 或电话向我们发送的消息中包含的数据：姓名、联系方式及消息内容。
处理目的
我们出于以下目的处理数据，绝不将其用于与收集时所告知目的不相容的用途（目的限制原则，GDPR 第5.1.b 条）：
- 保障网站的技术运行、安全以及防止欺诈或滥用行为。
- 在不同访问之间记忆用户的语言偏好。
- 处理用户提交的预订请求，与用户沟通确认、变更或取消预订，并提供所预订的服务。
- 回复用户向我们发出的咨询、建议或投诉。
- 履行控制者的法定义务，特别是税务和会计方面的义务。
处理的法律依据
每项处理活动均依托 GDPR 第6条规定的具体法律依据：
- 浏览数据
- 控制者出于保障网络与信息安全的合法利益（GDPR 第6.1.f 条），并经过相应的利益衡量分析。
- 语言 cookie
- 提供用户明确请求的服务（GDPR 第6.1.b 条）；该 cookie 依据 AEPD《Cookie 使用指南》（2023年7月）第4.1.b 节豁免同意义务。
- 预订管理
- 应数据主体请求采取的合同前措施，以及在适用时履行餐饮服务合同（GDPR 第6.1.b 条）。
- 健康相关数据（过敏与不耐受）
- 数据主体对特殊类别数据处理的明示同意（GDPR 第6.1.a 与 9.2.a 条）。
- 通过电子邮件或其他渠道的通信
- 数据主体在开始通信时的同意（GDPR 第6.1.a 条）。
- 法定义务
- 履行控制者所应承担的法定义务（GDPR 第6.1.c 条）。
保留期限
我们将个人数据保存至实现收集目的所需的时间，并应对由此可能产生的责任：
- 浏览数据
- 自访问之日起最多保留 12 个月，除非有需要保留以调查安全事件。
- 语言 cookie
- 自最近一次访问起最多 1 年；用户可随时通过浏览器删除。
- 预订数据
- 自服务日期起 1 年，若属于会计或税务文件的一部分，则按法律要求保存（4 年，依据西班牙《一般税法》第58/2003 号第66 条）。
- 通信
- 直至咨询处理完毕，并在此之后再保留 1 年，除非为证明履行法定义务有必要继续保存。
接收方与受托处理方
我们不会出于商业目的向第三方转让个人数据。只有为网站运行和业务管理严格必要的服务提供商才会访问数据，且我们与其依据 GDPR 第28条签订相应的数据处理委托合同：
- Vercel Inc.（美国）
- 网站托管。数据处理方。已加入 EU-US Data Privacy Framework（欧盟委员会2023年7月10日充分性决议），并由欧盟委员会2021/914号决议批准的标准合同条款（SCC）作为补充保障。
- Google Ireland Ltd. / Google LLC（美国）— Google Maps
- 仅当用户同意加载互动地图时。此时将与 Google 建立连接，Google 作为独立的数据控制者，依据其自身隐私政策处理数据。未经事先同意，不会向 Google 传输任何数据。
- Meta Platforms Ireland Ltd.（爱尔兰）/ WhatsApp
- 仅当用户点击 WhatsApp 预订按钮时；此时用户已离开本网站，适用 WhatsApp/Meta 的隐私政策。
- 电信运营商
- 当用户拨打公布的电话号码时，适用相关行业法规。
- 税务与会计顾问
- 为履行有关开具发票、税务和会计方面的法定义务，在数据构成相关文件一部分的范围内访问数据。
数据的国际传输
网站托管可能涉及在欧洲经济区以外的服务器上存储或处理数据，特别是通过 Vercel Inc. 在美国。此外，如用户同意加载互动地图，其连接数据（包括 IP 地址）将被传送至位于美国的 Google LLC。两家实体均已加入 EU-US Data Privacy Framework；作为补充保障，相关传输亦受欧盟委员会标准合同条款（SCC）的保护。不进行其他任何国际数据传输。
数据主体的权利
作为数据主体，数据保护法赋予您以下权利，您可随时免费行使：
- 访问权
- 获取我们是否处理与您有关的个人数据的确认，并在适用时获取其副本（GDPR 第15条）。
- 更正权
- 要求更正不准确或不完整的数据（GDPR 第16条）。
- 删除权（"被遗忘权"）
- 在数据不再为收集目的所需、您撤回同意或属于 GDPR 第17条所列其他情形时要求删除数据。
- 限制处理权
- 在 GDPR 第18条所列情形中要求限制处理。
- 可携权
- 以结构化、常用且机器可读的格式接收您的数据，并将其传输给其他控制者（GDPR 第20条）。
- 反对权
- 基于与您具体情况相关的理由反对对您数据的处理（GDPR 第21条）。
- 自动化决策
- 不受仅基于自动化处理（包括用户画像）的决定的约束（GDPR 第22条）。我们不进行此类处理。
- 撤回同意权
- 当处理基于您的同意时，可在任何时候撤回同意，但不影响撤回前处理活动的合法性。
如何行使您的权利
您可通过向 laquisquillosaplaya@gmail.com 发送邮件，或寄信至 Calle San Millán 5, 6.º C，29013 Málaga，行使上述任何权利，注明您希望行使的权利，并附身份证件或可证明身份的同等文件的复印件。我们将自收到请求之日起一个月内答复，若情况特别复杂或请求数量众多，可延长两个月，并事先通知数据主体（GDPR 第12.3 条）。
若您认为您数据的处理不符合规定，您有权向西班牙数据保护局（Agencia Española de Protección de Datos，C/ Jorge Juan 6, 28001 Madrid；www.aepd.es；电子总部 sedeagpd.gob.es）提出申诉，同时不影响您通过其他行政或司法途径寻求救济。
未成年人
本网站并非面向14岁以下的未成年人，亦不会在未取得监护人或法定代理人同意的情况下有意收集此年龄段未成年人的数据（LOPDGDD 第7条）。如发现存在未获得必要同意而无意中处理的14岁以下未成年人数据，我们将立即删除。
自动化决策与用户画像
我们不进行任何对数据主体产生法律效力且仅基于自动化决策的处理，也不进行用户画像。我们亦不将数据传输给任何第三方用于广告目的。
安全措施
我们采取适当的技术与组织措施，以保证与处理风险相适应的安全水平（GDPR 第32条），包括通信的 TLS 加密、系统访问控制以及对接触个人数据人员的培训。一旦发生可能危及自然人权利与自由的安全事件，我们将依据 GDPR 第33与34条通知西班牙数据保护局，并在必要时通知受影响的当事人。
本政策的修改
本政策可能因法规变更、网站新功能或控制者组织变化而更新。最新版本的日期载于本文件开头。如发生重大变更，我们将在网站上显著公告。