Aviso de Privacidad Integral — MesaYa

ESTADO: BORRADOR v3 (07-ago-2026) — pendiente de autorización final por abogado antes de publicar como definitivo, mismo proceso que ya se siguió con los Términos y Condiciones (frontend/src/content/terminos.md, aprobado el 07-ago-2026). Este documento es un entregable independiente exigido por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) — los Términos y Condiciones no lo sustituyen.

Última actualización: 07-ago-2026 (tercera revisión, misma fecha)

1. Identidad y domicilio del Responsable

Carlos Axel Alcántara Silva, persona física con actividad empresarial, operando bajo los nombres comerciales "Grupo Albora" y "MesaYa" (en conjunto, "el Responsable"), con domicilio en Estado de México, México, es responsable del tratamiento de los datos personales que se recaban a través de la plataforma MesaYa (el "Servicio").

2. Datos personales que se recaban

Según cómo uses el Servicio, el Responsable puede recabar:

Datos del restaurante cliente y su personal: nombre del restaurante, nombre y correo del administrador y demás usuarios que se den de alta, contraseña (almacenada con hash, nunca en texto plano), rol dentro del sistema.
Datos operativos del restaurante: menú, precios, inventario, ventas, gastos — no son datos personales por sí mismos, pero pueden contener datos de proveedores o empleados que el propio restaurante capture.
Datos de los comensales del restaurante (terceros frente al Responsable, ver Sección 7): nombre, teléfono y dirección de entrega capturados al levantar un pedido — ya sea a través de la app o del agente de WhatsApp con inteligencia artificial del Plan Plus.
Datos de pago: el Responsable no recibe, procesa ni almacena datos bancarios o de tarjeta — estos los captura directamente Stripe, Inc. como Procesador de Pagos independiente (ver Sección 5 y la Sección 4.3-4.4 de los Términos y Condiciones).
Datos de navegación: al visitar los sitios públicos del Servicio (mesayapromo.grupoalbora.com, mesaya.grupoalbora.com) se usan cookies y tecnologías similares de Meta (Meta Pixel) para medir conversiones de las campañas de publicidad del Responsable — ver Sección 8.

3. Finalidades del tratamiento

Finalidades primarias (necesarias para prestar el Servicio, no puedes optar por no darlas si quieres usar MesaYa):

Crear y administrar tu cuenta y la de tu equipo.
Procesar pedidos, cobros, turnos de caja e inventario dentro del sistema.
Operar el agente de WhatsApp (Plan Plus): recibir el mensaje del comensal, procesarlo con un modelo de inteligencia artificial (ver Sección 5) para armar el pedido, y responder.
Facturar tu suscripción y darte soporte cuando lo pidas.
Enviarte avisos operativos del Servicio (confirmaciones, alertas de vencimiento de pago, reportes mensuales de tu propio negocio).

Finalidades secundarias (opcionales — puedes decirnos que no):

Mostrar tu experiencia, capturas de pantalla o testimonio con fines de marketing del Servicio — esto siempre requiere tu consentimiento expreso y separado (ver Sección 8 de los Términos y Condiciones), nunca se activa por defecto.
Contactarte con novedades o promociones del Servicio.

Si no quieres que tus datos se usen para las finalidades secundarias, escríbenos a direccion@grupoalbora.com en cualquier momento — dejar de participar en ellas no afecta tu acceso al Servicio.

4. Datos personales sensibles

El Servicio no está diseñado para recabar datos personales sensibles (origen étnico, salud, creencias religiosas, preferencia sexual, etc.). Pedimos a los restaurantes clientes que no capturen ese tipo de información de sus comensales dentro del sistema.

5. Transferencias y encargados del tratamiento

Para operar el Servicio, el Responsable comparte datos con los siguientes terceros, que actúan como encargados del tratamiento bajo sus propios términos de privacidad y seguridad — nunca como responsables independientes de los datos que procesan para MesaYa. Este criterio aplica por igual a los cuatro proveedores extranjeros de la tabla:

Tercero	Domicilio	Para qué	Qué datos
Stripe, Inc.	Estados Unidos	Procesamiento de pagos de la suscripción	Datos de pago — nunca pasan por infraestructura del Responsable (ver Términos 4.3-4.4)
Meta Platforms, Inc. (WhatsApp Business Cloud API)	Estados Unidos	Canal del agente de WhatsApp	Número de teléfono y mensajes del comensal, mientras dura la conversación con el pedido
Anthropic PBC (API de Claude)	Estados Unidos	Procesa el pedido del comensal en el agente de WhatsApp	El mensaje actual y el historial de la conversación con ese número (puede incluir nombre y dirección de entrega una vez que el comensal los da) — nunca datos de pago
Resend	Estados Unidos	Envío de correos operativos (verificación de cuenta, recordatorios, reportes)	Correo electrónico del usuario que recibe el envío
Hetzner Online GmbH	Alemania	Hospedaje de la infraestructura del Servicio	Toda la base de datos del Servicio

El Responsable no vende ni renta datos personales a terceros con fines distintos a los descritos en este aviso.

6. Conservación de datos

El Responsable conserva los datos personales solo el tiempo necesario para las finalidades de este aviso, conforme al principio de proporcionalidad de la LFPDPPP:

Mientras tu cuenta esté activa, se conservan tus datos y los de tu equipo para operar el Servicio con normalidad.
Al cancelar tu cuenta, tus datos se conservan por un periodo de gracia de 30 días naturales — por si decides reactivarla o quieres exportar tu información — y después se eliminan o anonimizan.
Los datos de tus comensales (nombre, teléfono, dirección de tus pedidos) siguen el mismo ciclo que tu cuenta: se eliminan o anonimizan cuando tu cuenta se elimina.
Si alguna ley obliga a conservar cierta información por más tiempo (por ejemplo, registros relacionados con pagos), ese plazo legal aplica sobre esta política, no al revés.

Nota: hoy este borrado no es automático — es un proceso pendiente de construir en el sistema. Esta sección describe la política que el Responsable se compromete a seguir.

7. Si eres comensal de un restaurante que usa MesaYa

Si le compraste a un restaurante que usa MesaYa (por ejemplo, hiciste un pedido por WhatsApp), tu relación de responsable de datos es con ese restaurante, no con el Responsable de este aviso — el Servicio actúa como encargado del tratamiento en nombre del restaurante. Informarte sobre el uso de tus datos es responsabilidad del restaurante donde compraste, no de MesaYa directamente — los Términos y Condiciones que aceptan nuestros clientes (Sección 6.2) ya los obligan a contar con su propio Aviso de Privacidad frente a sus comensales si su operación lo requiere. Para ejercer tus derechos sobre esos datos, contacta directamente al restaurante donde compraste.

8. Cookies y tecnologías de rastreo

Los sitios públicos del Servicio usan el Meta Pixel para medir la efectividad de campañas de publicidad (por ejemplo, saber si alguien que vio un anuncio terminó creando su cuenta). Esto puede registrar tu actividad de navegación de forma asociada a tu cuenta de Meta/Facebook si tienes sesión iniciada ahí. Al entrar por primera vez a mesayapromo.grupoalbora.com o mesaya.grupoalbora.com verás un aviso breve sobre esto con un enlace a esta página. Puedes gestionar tus preferencias de anuncios directamente en tu cuenta de Meta (facebook.com/adpreferences) o bloquear cookies desde tu navegador.

9. Derechos ARCO — Acceso, Rectificación, Cancelación y Oposición

Tienes derecho a conocer qué datos personales tuyos tenemos (Acceso), corregirlos si están desactualizados o son inexactos (Rectificación), pedir que los eliminemos cuando ya no sean necesarios para las finalidades de este aviso (Cancelación), y oponerte a un tratamiento específico (Oposición).

Para ejercer cualquiera de estos derechos, escribe a direccion@grupoalbora.com con: (a) tu nombre y el correo con el que te diste de alta en el Servicio, (b) una descripción clara del derecho que quieres ejercer, y (c) cualquier documento que ayude a acreditar tu identidad. Te responderemos dentro de los 20 días hábiles siguientes a la recepción de tu solicitud conforme al artículo 32 de la LFPDPPP (plazo a confirmar por el abogado — es la regla general de la ley, pero puede variar según el derecho ejercido), y si procede, la solicitud se hace efectiva dentro de los 15 días hábiles posteriores.

10. Cambios a este aviso

Si modificamos este aviso de forma relevante, lo publicaremos en esta misma página con la fecha de actualización visible arriba, y — cuando el cambio afecte finalidades primarias — te lo notificaremos por correo o dentro del Servicio.

Pendientes antes de publicar como definitivo (tercera revisión, 07-ago-2026):

~~Encuadre de "encargados" para los 4 proveedores extranjeros~~ → confirmado por Carlos, aplica por igual a los 4.
~~Plazo de conservación de datos~~ → 30 días de gracia tras cancelar, definido por Carlos (Sección 6). Falta construir el borrado/anonimización real en el sistema — sigue sin ser automático.
~~Aviso al comensal~~ → decisión de Carlos: no se agrega al bot; la responsabilidad de informar al comensal es del restaurante cliente, ya cubierta en Términos 6.2.
~~Domicilio~~ → solo "Estado de México, México", sin ciudad ni calle — definido por Carlos.
~~Banner de cookies~~ → Carlos confirmó que sí hace falta, agregado en mesayapromo/mesaya (ver Sección 8).
Autorización final del abogado sobre el documento completo.
Confirmar el plazo de 20 días hábiles citado en la Sección 9 (artículo 32 LFPDPPP) — es la regla general, el abogado puede precisar si aplica igual a los 4 derechos ARCO.