El control de presencia
Es la pieza que responde una pregunta que ningún otro sistema de carta por código se hace: ¿quien está mandando este pedido a cocina está de verdad en el local?
El problema real
Sección titulada «El problema real»Un código impreso en la mesa es una fotografía. Alguien lo escanea, ve la dirección en el navegador y la reenvía por mensaje. A partir de ese momento, el enlace funciona desde cualquier lado: desde la mesa de al lado, desde la acera, desde una casa a diez kilómetros.
Lo que eso habilita no es hipotético:
- La comanda falsa. La cocina prepara tres casados que nadie va a retirar ni pagar. El costo es real y el local lo absorbe.
- La ráfaga. Veinte pedidos en dos minutos desde el mismo origen. No hace falta mala fe organizada; basta con alguien aburrido y un código compartido en un grupo.
- El llamado fantasma. El salonero cruza el salón hacia una mesa que no llamó a nadie.
Los sistemas de carta por código que se venden en el mercado, en general, simplemente no tratan este problema. Asumen que quien escanea está sentado.
Qué se valida y qué no
Sección titulada «Qué se valida y qué no»La distinción es la mitad del diseño:
| Acción | ¿Requiere validación? |
|---|---|
| Ver la carta | No. Nunca. |
| Preguntarle al mesero virtual | No. Nunca. |
| Filtrar por dieta, ver alérgenos, ver precios | No. Nunca. |
| Solicitar una reserva | No. |
| Enviar el pedido a cocina | Sí |
| Llamar al salonero | Sí |
| Pedir la cuenta | Sí |
Informar es abierto; actuar es controlado. Bloquear la carta a quien no puede probar dónde está sería absurdo: la carta pública es además la vitrina del local. Lo que se controla es lo que le cuesta plata o tiempo al negocio.
Los tres modos
Sección titulada «Los tres modos»Cada local elige el suyo desde su panel. No es una decisión técnica: es cuánta fricción está dispuesto a poner y cuánto riesgo está dispuesto a asumir.
Verificado — el salonero valida con un PIN
Sección titulada «Verificado — el salonero valida con un PIN»La acción no se ejecuta sola: el comensal ve “esta acción la confirma el salonero”, y el salonero la autoriza con su PIN. Es una persona del local poniendo la firma, que es la prueba de presencia más fuerte que existe y no necesita ningún equipo adicional.
El PIN se genera desde la pantalla de cocina y se muestra una sola vez: el sistema no lo guarda en claro, guarda una versión cifrada. Si se pierde, se genera otro. Rota con la frecuencia que el local elija —diaria, semanal o manual—, típicamente al cambio de turno.
Si el PIN es incorrecto o falta, la acción no se ejecuta pero tampoco se descarta en silencio: se le avisa igual a una persona del local. El comensal nunca queda mirando un botón que no hizo nada.
Respaldo humano — se avisa al salón
Sección titulada «Respaldo humano — se avisa al salón»No hay validación automática: toda acción de mesa se convierte en un aviso al personal. Es el modo de menor fricción para el comensal y el de mayor carga para el salón, y es también el estado al que el sistema cae por defecto cuando algo falla.
Solo código, sin verificación
Sección titulada «Solo código, sin verificación»El flujo más fluido: la acción se ejecuta directo. Está pensado para locales que prefieren cero fricción y aceptan el riesgo — pero no se enciende con un interruptor. Requiere dos cosas a la vez:
- Que el restaurante acepte de forma explícita el descargo de responsabilidad por las comandas falsas. Lo acepta el local, porque es el local quien asume ese riesgo.
- Que la plataforma lo habilite técnicamente.
Ambas firmas quedan registradas. Y aun en este modo hay barandas:
- Un tope de monto. Por encima de la cifra que el local configure, el pedido no se manda solo: pasa a validación humana. Un pedido de ₡8.000 sin verificar es un riesgo asumible; uno de ₡200.000, no.
- Un límite de frecuencia por sesión y por origen, que corta la ráfaga.
La lista de confianza
Sección titulada «La lista de confianza»Un local puede tener clientes conocidos —el vecino de siempre, la oficina que pide todos los jueves— y no querer ponerles fricción. Para eso hay una lista de excepciones que el propio dueño mantiene desde su panel.
Por defecto está vacía. Es una excepción que alguien decide y firma, no un comportamiento heredado.
Lo que pasa cuando algo falla
Sección titulada «Lo que pasa cuando algo falla»El principio es explícito: una acción crítica nunca se queda sin salida.
Si la política no se puede resolver, si el modo configurado no se reconoce, si el tope se excede, si el PIN no coincide o si simplemente algo se rompe, el sistema no rechaza en silencio ni devuelve un error. Degrada a avisarle a una persona del local, y deja tres rastros: el registro de auditoría, el aviso en vivo en la pantalla de cocina, y la notificación al personal.
El peor resultado posible de este control es que un salonero camine hasta una mesa. Nunca es que un comensal se quede esperando.
Por qué el código impreso no basta por sí solo
Sección titulada «Por qué el código impreso no basta por sí solo»Conviene decirlo sin adornos, porque es la parte que otros venden como si fuera seguridad: un código estático identifica la mesa, no prueba la presencia. Es una dirección fija; quien la tenga, la tiene.
Este sistema lo trata como lo que es —una forma de saber en qué mesa está sentado alguien— y pone la validación de la acción en otra capa: una persona, un tope de monto o un aviso al salón. Esa honestidad es la razón por la que el control funciona.