1.1. Matías Agustín Rivas, persona humana, CUIT número 20-45320803-7, con domicilio legal en Pergamino 145, Ciudad Autónoma de Buenos Aires, República Argentina, reviste la calidad de responsable del tratamiento de los datos personales recolectados a través de la plataforma stir (en adelante, la "Plataforma").

1.2. Canal de contacto para toda cuestión relativa a datos personales, incluido el ejercicio de derechos: rivasmati11@gmail.com. Para consultas generales sobre la Plataforma que no impliquen el ejercicio de derechos sobre datos personales, también puede escribirse a stirapp.bartender@gmail.com.

1.3. El Titular no ha designado Delegado de Protección de Datos por no encontrarse alcanzado por los supuestos de designación obligatoria del artículo 37 del Reglamento (UE) 2016/679. La casilla indicada en el apartado 1.2 cumple la función de punto de contacto único.

2.1. El presente tratamiento se rige de manera principal por la Ley número 25.326 de Protección de los Datos Personales de la República Argentina, su Decreto Reglamentario número 1558/2001 y las resoluciones de la Agencia de Acceso a la Información Pública.

2.2. El Titular asume adicionalmente, respecto de los Usuarios alcanzados, las obligaciones emergentes de:

a) El Reglamento (UE) 2016/679, General de Protección de Datos, respecto de Usuarios que se encuentren en el Espacio Económico Europeo.

b) La California Consumer Privacy Act, en su texto modificado por la California Privacy Rights Act, respecto de residentes del Estado de California, y en la medida en que los umbrales de aplicación se verifiquen.

c) Las normas de protección de datos de los Estados de Latinoamérica de residencia de los Usuarios, en particular la Ley General de Protección de Datos Personales de la República Federativa del Brasil, la Ley número 1581 de 2012 de la República de Colombia y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de los Estados Unidos Mexicanos.

2.3. El Titular deja constancia de que la República Argentina cuenta con decisión de adecuación de la Comisión Europea, lo que habilita el flujo de datos desde el Espacio Económico Europeo sin necesidad de garantías adicionales.

El Titular declara tratar exclusivamente las categorías que se detallan. No se recolecta ninguna categoría no enunciada.

3.1. Datos de identificación provistos por autenticación federada

Al iniciar sesión mediante el protocolo OAuth 2.0 de Google, el Titular recibe y almacena:

El Titular no recibe ni almacena la contraseña de la cuenta de Google del Usuario, ni sus contactos, ni el contenido de su correo, ni ningún otro dato de dicha cuenta.

3.2. Datos generados por el uso de la Plataforma

Nota de estado: el historial de movimientos de inventario se encuentra operativo desde el 31 de agosto de 2026 (tabla bar_inventory_events, pantalla /mi-bar/historial).

3.2.1. Datos de uso de la Plataforma (analítica de producto)

El Titular mide el uso de la Plataforma mediante un proveedor de analítica de producto (identificado en el apartado 5.1). Se registran los siguientes eventos:

Para el Usuario con sesión iniciada, estos eventos se asocian al identificador interno de la cuenta (un identificador técnico aleatorio, nunca el correo electrónico ni el nombre). El Usuario sin sesión iniciada no genera un perfil de persona identificable ante el proveedor de analítica: sus eventos se registran de manera anónima y no se vinculan entre sesiones distintas.

El Titular no transmite deliberadamente, como propiedad de un evento propio, el contenido de una receta, la descripción libre que el Usuario escribe para la IA, ni el texto de una búsqueda. Advertencia: la pantalla de búsqueda (/buscar) refleja el filtro de texto libre activo en su propia dirección (parámetro q); dado que la herramienta de analítica registra automáticamente esa dirección en cada vista de página, el texto buscado puede quedar incluido igual en ese registro, aunque el Titular no lo transmita como un dato independiente. Algo similar puede ocurrir con el texto visible de un elemento capturado por la interacción automática de la fila anterior. El Titular no desactivó estos dos mecanismos automáticos de la herramienta de analítica al momento de esta redacción — queda señalado en las notas para el profesional (apartado 12).

El navegador del Usuario que tenga activada la señal "No rastrear" ("Do Not Track") no genera ninguno de estos eventos, por configuración del proveedor de analítica.

3.3. Datos almacenados exclusivamente en el dispositivo del Usuario

Los siguientes datos se conservan en el almacenamiento local del navegador del Usuario y no se transmiten al Titular ni a terceros:

La supresión de los datos del sitio desde el navegador elimina esta información de manera definitiva.

3.3.1. Identificador de analítica almacenado en el navegador

A diferencia de los datos del apartado 3.3, el siguiente dato sí se transmite a un tercero: el proveedor de analítica de producto identificado en el apartado 5.1 puede almacenar en el navegador del Usuario, mediante una cookie propia, almacenamiento local (localStorage), o ambos, un identificador técnico utilizado para distinguir sesiones y, en el caso de Usuarios con sesión iniciada, para asociar los eventos descriptos en el apartado 3.2.1 al identificador interno de la cuenta. El Titular no verificó de manera independiente en un navegador real, a la fecha de esta redacción, cuál de los dos mecanismos de almacenamiento usa la configuración vigente; se declara ambos por ser el comportamiento documentado del proveedor para una instalación sin configuración de persistencia explícita.

3.4. Datos técnicos procesados por la infraestructura

3.4.1. La prestación del servicio se apoya en proveedores de infraestructura que, por la naturaleza del protocolo de internet, procesan de manera necesaria la dirección IP del Usuario, la identificación del navegador y del sistema operativo, la fecha y la hora de la petición y la ruta solicitada. Dicho procesamiento se produce en los registros técnicos de esos proveedores y responde a finalidades de enrutamiento, de seguridad y de diagnóstico de fallas. El proveedor de analítica de producto identificado en el apartado 5.1 también recibe la dirección IP de la petición al registrar cada evento: el Titular no tiene configurado ningún mecanismo que la descarte antes del envío.

3.4.2. El Titular declara que almacena, con la finalidad exclusiva de limitar peticiones abusivas, un dato derivado de la dirección IP del Usuario. Concretamente, un identificador compuesto por el nombre de la acción solicitada y la dirección IP (formato acción:ip) junto con un contador de peticiones dentro de una ventana de tiempo fija, en una tabla de propósito específico con limpieza automática de las ventanas de más de una (1) hora de antigüedad. Este dato no se utiliza para construir perfiles, para segmentar audiencias ni para publicidad.

3.4.3. El mecanismo descripto en el apartado precedente se encuentra en producción desde el 16 de agosto de 2026, con la finalidad de seguridad y de contención de costos de infraestructura ahí declarada. El tratamiento correspondiente se funda en el interés legítimo del responsable, conforme el artículo 6.1.f del Reglamento (UE) 2016/679 y el artículo 5.2.b de la Ley número 25.326.

3.5. Categorías especiales de datos

El Titular no recolecta, no trata y no solicita datos sensibles en los términos del artículo 2 de la Ley número 25.326 ni del artículo 9 del Reglamento (UE) 2016/679. En particular, no se recolectan datos relativos a origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos, datos relativos a la salud, a la vida sexual o a la orientación sexual.

Advertencia dirigida al Usuario: el contenido que el Usuario cargue de manera voluntaria en campos de texto libre puede contener información que él mismo califique como sensible. El Titular no solicita dicha información y recomienda expresamente abstenerse de incorporarla.

3.6. Datos de personas menores de edad

La Plataforma no se dirige a personas menores de dieciocho (18) años y su acceso se encuentra restringido mediante verificación de edad. El Titular no recolecta de manera consciente datos de personas menores de edad. Constatada dicha circunstancia, se procederá a la supresión inmediata de la cuenta y de los datos asociados. Toda denuncia al respecto debe cursarse a rivasmati11@gmail.com.

El Titular no trata datos personales con finalidad publicitaria, de elaboración de perfiles comerciales, de venta a terceros ni de comercialización directa.

4.1. Respecto de la finalidad de medición de uso, el proveedor de analítica respeta la señal del navegador "No rastrear" (respect_dnt): un Usuario con esa señal activada no genera los eventos descriptos en el apartado 3.2.1. El Usuario que prefiera no activar esa señal del navegador puede ejercer el derecho de oposición del apartado 8.1.d por el canal de contacto del apartado 1.2.

5.1. El Titular recurre a los siguientes encargados del tratamiento, los cuales acceden a datos personales exclusivamente por cuenta y siguiendo instrucciones del responsable, en el marco de los acuerdos de tratamiento de datos que dichos proveedores ofrecen de manera estándar.

5.2. El Titular deja constancia de que, verificado contra el manifiesto de dependencias del proyecto (package.json) al 8 de octubre de 2026, usa un proveedor de analítica de producto (PostHog) y un proveedor de modelos de lenguaje (OpenAI, apartado 5.3), y no utiliza pixeles de seguimiento de terceros con fines publicitarios, ni redes publicitarias, ni proveedores de correo masivo, ni pasarelas de pago.

5.3. El Titular utiliza, desde el 30 de agosto de 2026, un proveedor de modelos de lenguaje (OpenAI) para (i) la generación de representaciones vectoriales de las consultas de búsqueda por lenguaje natural y de las recetas del catálogo, y (ii) la generación de texto en la creación de recetas asistida por IA y en el autocompletado del perfil de sabor de una receta propia. El detalle de qué dato se transmite en cada caso está descripto en la tabla del apartado 5.1. Las consultas y los textos transmitidos no son utilizados por el Titular para el entrenamiento de modelos ni cedidos a terceros con dicha finalidad.

5.4. El Titular podrá comunicar datos personales a autoridades judiciales o administrativas competentes, cuando medie requerimiento fundado en norma legal. En tal supuesto, el Titular notificará al Usuario afectado salvo prohibición legal expresa.

5.5. El Titular no vende, no alquila, no permuta ni cede a título oneroso datos personales a terceros, ni los comparte con finalidad de publicidad conductual. Esta declaración se formula de manera expresa a los efectos del artículo 1798.120 de la California Consumer Privacy Act.

6.1. La infraestructura del Titular implica el alojamiento y el tránsito de datos personales fuera de la República Argentina, en particular en jurisdicciones de los Estados Unidos de América y de la Unión Europea.

6.2. Dichas transferencias se amparan en las siguientes garantías:

a) Respecto de los flujos hacia y desde el Espacio Económico Europeo, en la decisión de adecuación de la Comisión Europea respecto de la República Argentina.

b) Respecto de los flujos hacia los Estados Unidos de América, incluidos los dirigidos a PostHog y a OpenAI, en las cláusulas contractuales tipo adoptadas por los proveedores y en sus compromisos contractuales de tratamiento. El Titular no invoca ninguna certificación específica de estos dos proveedores más allá de lo que surja de su propia documentación pública — punto que se deja para ratificación profesional.

c) Respecto de la Ley número 25.326, en la prestación del consentimiento informado del Usuario y en la necesidad de la transferencia para la ejecución del contrato, conforme el artículo 12 de dicha norma.

8.1. El Usuario tiene derecho a:

a) Acceso. Obtener confirmación sobre la existencia de tratamiento y copia de sus datos.

b) Rectificación. Obtener la corrección de datos inexactos o incompletos.

c) Supresión. Obtener la eliminación de sus datos. Este derecho se encuentra implementado de manera directa y autogestiva en la Plataforma, en la sección de eliminación de cuenta, y opera de modo irreversible.

d) Oposición. Oponerse al tratamiento fundado en interés legítimo.

e) Limitación del tratamiento.

f) Portabilidad. Recibir sus datos en formato estructurado, de uso común y lectura mecánica.

g) Retiro del consentimiento, sin efecto retroactivo sobre el tratamiento previo.

h) No ser objeto de decisiones automatizadas con efectos jurídicos. El Titular declara no adoptar decisiones de esa naturaleza.

8.2. Derechos adicionales para residentes de California. El Usuario residente en dicho Estado tiene derecho a conocer las categorías de datos recolectadas, las finalidades y las categorías de terceros destinatarios; a solicitar la supresión y la corrección; a excluirse de la venta o del compartir con finalidad publicitaria, extremos que el Titular declara no realizar; a limitar el uso de información personal sensible, la cual el Titular declara no recolectar; y a no ser objeto de discriminación por el ejercicio de estos derechos.

8.3. Procedimiento. Los derechos se ejercen de manera gratuita mediante comunicación a rivasmati11@gmail.com. El Titular responderá en el plazo de diez (10) días corridos para las solicitudes de acceso y de cinco (5) días hábiles para las de rectificación o supresión, conforme los artículos 14 y 16 de la Ley número 25.326, y dentro del plazo de un (1) mes prorrogable conforme el artículo 12 del Reglamento (UE) 2016/679, aplicándose en cada caso el plazo más favorable al Usuario.

8.4. Reclamo ante la autoridad de control. El Usuario tiene derecho a interponer reclamo ante la Agencia de Acceso a la Información Pública de la República Argentina, órgano de control de la Ley número 25.326, así como ante la autoridad de control de su lugar de residencia habitual cuando corresponda.

9.1. La Plataforma utiliza cookies estrictamente necesarias para el funcionamiento del servicio, a saber, las cookies de sesión emitidas por el proveedor de autenticación que permiten mantener al Usuario identificado entre peticiones sucesivas. Dichas cookies no requieren consentimiento previo conforme la normativa aplicable.

9.2. La Plataforma utiliza, además, la cookie o el almacenamiento local de analítica descripto en el apartado 3.3.1, con la finalidad de medición de uso descripta en el apartado 3.2.1. No se utilizan cookies publicitarias, de personalización, ni de terceros con finalidad de seguimiento publicitario. El Usuario con la señal "No rastrear" activada en su navegador no genera estos eventos (apartado 3.2.1).

9.3. El almacenamiento local del navegador se utiliza conforme el detalle del apartado 3.3 y de manera exclusiva en el dispositivo del Usuario.

10.1. El Titular aplica medidas técnicas y organizativas apropiadas, entre ellas: cifrado del tránsito mediante protocolo TLS, políticas de seguridad a nivel de fila en la base de datos con evaluación explícita por cada tabla expuesta, validación de la totalidad de las entradas del Usuario con carácter previo a su persistencia, cabeceras de seguridad del navegador incluida una política de seguridad de contenidos, y segregación de credenciales de servidor respecto del código que se ejecuta en el dispositivo del Usuario.

10.2. Ninguna medida de seguridad es infalible. El Titular no garantiza la inviolabilidad absoluta de los sistemas.

10.3. Constatada una violación de la seguridad de los datos personales que entrañe riesgo para los derechos del Usuario, el Titular la notificará a la autoridad de control competente dentro de las setenta y dos (72) horas de tomar conocimiento, y al Usuario afectado sin dilación indebida cuando el riesgo sea elevado.

11.1. La presente política podrá ser modificada. Las modificaciones sustanciales serán notificadas con una antelación no inferior a treinta (30) días corridos mediante aviso en la Plataforma y comunicación al correo electrónico registrado.

11.2. Se conservará constancia de la fecha de última actualización y del registro histórico de versiones.

Esta sección resume, para quien revise este instrumento, los puntos de la actualización del 8 de octubre de 2026 que dependen de una decisión legal y no de una verificación de código:

a) Base de licitud de la analítica de producto. Esta versión la funda en interés legítimo (artículo 6.1.f del Reglamento (UE) 2016/679 y artículo 5.2.b de la Ley número 25.326), con respect_dnt activado y sin creación de perfil de persona para usuarios anónimos. Corresponde al profesional confirmar si eso alcanza o si hace falta un banner de consentimiento para Usuarios del Espacio Económico Europeo.

b) Transferencia internacional hacia PostHog y OpenAI. El apartado 6.2.b los incluye bajo la misma lógica que Supabase y Vercel, sin invocar una certificación puntual de ninguno de los dos. Corresponde confirmar contra la documentación contractual vigente de cada proveedor.

c) Retención de los datos de analítica. El apartado 7 no pudo completarse con un plazo propio porque la configuración del proyecto de PostHog no está en este repositorio.

d) Localización de servidores de OpenAI. El apartado 5.1 la declara "a confirmar" — no se encontró en este repositorio una fuente que permita sustentarla con la misma certeza que el host de PostHog (confirmado contra NEXT_PUBLIC_POSTHOG_HOST).

e) Captura automática de la herramienta de analítica. Por configuración por defecto de la versión instalada, la herramienta registra automáticamente una vista por cada pantalla (incluida la dirección completa, que en la pantalla de búsqueda puede contener el texto buscado) y clics sobre elementos interactivos, pudiendo estos últimos incluir el texto visible del elemento tocado. El Titular no desactivó ni acotó estos dos mecanismos a la fecha de esta redacción — ver apartado 3.2.1. Corresponde evaluar si conviene reconfigurar la herramienta (por ejemplo, enmascarando texto o excluyendo el parámetro de búsqueda de la URL capturada) antes de publicar esta versión, o si la redacción actual del apartado 3.2.1 es jurídicamente suficiente tal como está.

f) Esta actualización no reemplaza la revisión profesional íntegra que el aviso legal previo, al inicio de este instrumento, ya exige antes de su publicación.

Lo mismo que dice arriba, sin jerga. No lo reemplaza.

Qué guardamos de vos

• Tu correo, tu nombre y tu foto de Google. Nada más de esa cuenta: ni la contraseña, ni tus contactos, ni tu mail.
• Las recetas que guardás, cloná o creás en Mi Libreta.
• El estado de tus insumos en Mi Bar y el historial de esos cambios.
• Un código secreto por cada receta que compartís, que es lo que hace funcionar el link.
• Tu preferencia de unidades.
• Las imágenes que subas a tus recetas.
• Datos de uso: qué pantallas visitás y acciones como guardar o crear una receta, asociadas a tu identificador de cuenta (nunca a tu mail). Más detalle en "Con quién compartimos".

Qué queda solo en tu celular y nunca nos llega

• Que ya confirmaste ser mayor de edad.
• Las unidades, si no tenés cuenta.
• La copia de Mi Libreta para que funcione sin señal.

Sobre tu dirección IP

Para frenar pedidos abusivos, guardamos temporalmente un dato derivado de tu IP: qué acción pediste y desde qué dirección, junto con un contador. Esa fila se borra sola después de una hora. No la usamos para armar tu perfil, para publicidad ni para nada que no sea frenar abusos.

Con quién compartimos

Con cinco proveedores: Supabase, que guarda la base y los archivos; Vercel, donde corre la app; Google, para el inicio de sesión; PostHog, que mide cómo se usa la app (con tu identificador de cuenta, nunca con tu mail); y OpenAI, que procesa el texto de tus búsquedas y de las recetas que pedís crear con IA para poder generarlas. No usamos pixeles de seguimiento publicitario, ni redes de publicidad, ni pasarelas de pago. No vendemos tus datos a nadie.

Cookies

La de sesión, que es la que te mantiene logueado, y una de analítica que usa PostHog para medir el uso. Ninguna de publicidad ni de rastreo de terceros. Si tu navegador tiene activado "No rastrear", no generamos esos datos de uso.

Qué podés hacer

Ver lo que tenemos, corregirlo, llevártelo, o borrar todo. El borrado está en tu perfil, lo hacés vos y no vuelve atrás. También podés escribirnos a la casilla de privacidad y reclamar ante la Agencia de Acceso a la Información Pública si creés que hicimos algo mal.

Menores de 18

La app no es para menores. Si detectamos una cuenta de un menor, la borramos.