Aviso de privacidad integral

1. Quién es el responsable

Carmen Marlet Fregoso Rodríguez, persona física que opera con el nombre comercial Aroa Group (“Aroa”), con domicilio en Calle Andaluz 124, colonia Hipódromo, código postal 48290, Pitillal, Puerto Vallarta, Jalisco, México, que ofrece el servicio Mesa Ocho. Para cualquier asunto sobre tus datos personales escríbenos a hola@aroagroup.com. Ese correo es el medio de contacto del área de Aroa que atiende las solicitudes de las personas titulares.

2. Los dos papeles de Aroa

Aroa trata datos personales en dos calidades distintas, y de eso depende a quién te diriges:

• Como responsable, decidimos sobre los datos de las personas que nos contactan para conocer Mesa Ocho y sobre las cuentas de quienes usan el servicio dentro de un restaurante cliente: dueños, gerentes y personal. A esos datos se refieren las secciones 3 y 4.
• Como persona encargada, tratamos por cuenta de cada restaurante los datos de sus clientes en la mesa (los comensales) y los registros de su operación, como ventas, propinas, cortes y quién hizo cada movimiento. Ahí el responsable es el restaurante: él decide para qué se usan y te debe dar su propio aviso de privacidad. Aroa solo trata esos datos para prestarle el servicio, conforme a sus instrucciones, y no los usa para nada propio. A esos datos se refiere la sección 6.

Las demás secciones aplican en los dos casos.

3. Datos que tratamos como responsable

• De quien nos contacta: nombre, teléfono o WhatsApp, correo, nombre y ciudad del negocio, y lo que nos cuentes en tu mensaje.
• De dueños y gerentes: nombre, correo, contraseña (la guarda cifrada nuestro proveedor de autenticación y nadie en Aroa puede verla), rol, sucursales a las que tienen acceso y el registro de los cambios que hacen en el panel.
• Del personal del restaurante: el nombre con el que aparece en el sistema, su PIN (guardado cifrado), sus roles, las sucursales donde trabaja, los dispositivos que el restaurante vinculó y los intentos fallidos de entrada.
• Del restaurante como cliente: los datos de contacto y, en su caso, fiscales que hacen falta para el acuerdo comercial y su cobro.
• Datos técnicos: los que dejan las cookies y el almacenamiento del navegador que describe la sección 9.

Como responsable no tratamos datos personales sensibles ni datos financieros de personas. Los datos que pide Stripe para abrir la cuenta de cobro del restaurante, como identificaciones y cuenta bancaria, se los entrega el restaurante a Stripe directamente; Aroa no los recibe.

4. Para qué usamos tus datos

Finalidades necesarias, sin las cuales no podemos atenderte ni prestar el servicio:

• Responder a quien nos escribe, mostrarle el servicio y preparar su cotización.
• Dar de alta al restaurante, crear y administrar las cuentas, y comprobar quién entra con su contraseña, su PIN o un dispositivo vinculado.
• Prestar el servicio contratado y darle soporte, incluidas las entradas de soporte de Aroa al panel del restaurante, que quedan registradas con su inicio, su fin y la persona de Aroa que entró.
• Cuidar la seguridad del servicio: prevenir accesos indebidos, fraude y abuso, y llevar bitácoras.
• Avisar de cambios, fallas o mantenimientos del servicio.
• Administrar la relación comercial: cotizar, cobrar y llevar la contabilidad.
• Cumplir obligaciones legales y atender requerimientos de autoridades competentes.

Finalidad adicional, que no es necesaria para el servicio: mandarte novedades de Mesa Ocho y pedirte tu opinión sobre él. Si no quieres que usemos tus datos para esto, escríbenos a hola@aroagroup.com con el asunto “Sin novedades”, antes o después de darnos tus datos. Negarte no afecta el servicio ni tu relación con nosotros.

Para las finalidades necesarias no hace falta tu consentimiento cuando derivan de una relación jurídica contigo (artículo 9, fracción IV, de la Ley). En los demás casos, y para la finalidad adicional, basta tu consentimiento tácito: si después de conocer este aviso no te opones, se entiende otorgado (artículo 7 de la Ley).

5. Con quién compartimos datos

Usamos proveedores que tratan datos por cuenta de Aroa, solo para prestar el servicio y con obligación de confidencialidad. Para la Ley son personas encargadas, no transferencias:

• Supabase: base de datos y autenticación de usuarios.
• Vercel: hospedaje del sitio y de la aplicación.
• Resend: envío de correos, como invitaciones, recibos, confirmaciones de reserva y reportes.
• Expo: avisos a la app del personal.
• Aroa Analytics: herramienta propia de Aroa que cuenta las visitas a las páginas públicas de Mesa Ocho, sin cookies.
• Facturapi, proveedor autorizado de certificación (PAC): emite la factura (CFDI) que Aroa le hace a cada restaurante por los cobros de su membresía, con el RFC, la razón social, el régimen fiscal y el código postal del restaurante, y la envía al SAT, como lo exigen las leyes fiscales. Esto pasa aunque el restaurante no contrate la facturación.

Los servidores donde viven la base de datos y la aplicación de Mesa Ocho están en Estados Unidos, así que tus datos se guardan y se procesan fuera de México.

Además, el servicio se conecta con dos terceros que el restaurante usa a través de Mesa Ocho:

• Stripe procesa los pagos con tarjeta en la cuenta de Stripe del restaurante. Quien paga escribe los datos de su tarjeta en la página de Stripe; Aroa nunca ve ni guarda el número de la tarjeta. Stripe recibe de Aroa el monto, el concepto y, en los anticipos de reserva, el correo de quien reserva, y trata esos datos conforme a su propio aviso de privacidad.
• El proveedor autorizado de certificación (PAC) con el que se timbran las facturas, cuando el restaurante contrata la facturación, recibe los datos fiscales del restaurante y de quien pide factura para emitir el CFDI y enviarlo al SAT, como lo exigen las leyes fiscales.

También entregamos datos a autoridades cuando una ley o un mandato fundado y motivado nos lo exige.

No vendemos ni rentamos datos personales, y no hacemos transferencias que requieran tu consentimiento. Si alguna vez hiciera falta una, te lo pediremos antes.

6. Si eres cliente de un restaurante

Cuando usas Mesa Ocho en un restaurante, el responsable de tus datos es ese restaurante y Aroa los trata por su cuenta. Según lo que hagas en la mesa, el sistema guarda:

• El nombre o apodo que pongas para ti y para quienes te acompañan y, si registras a una niña o un niño, que es menor y qué adulto de la mesa lo acompaña.
• Las alergias que le digas al mesero, que las anota en el pedido. Son datos sobre la salud y la Ley los considera sensibles: decirlas es opcional, la página de la mesa no las pide (ahí solo se pueden quitar ingredientes de un platillo, por ejemplo sin nuez) y solo se usan para que quien atiende la mesa y la cocina las vean al preparar lo que pidan. Se borran al pagar y cerrar la cuenta, junto con las notas del pedido.
• Lo que pides y pagas, la propina que eliges y quién te atendió.
• Tu correo, si pides tu recibo por correo. Solo se usa para mandarte ese recibo.
• Tus datos fiscales, si pides factura: RFC, nombre o razón social, régimen fiscal, uso del CFDI y código postal.
• Si reservas: nombre, correo, teléfono si lo das, tamaño del grupo, notas y, si el restaurante pide anticipo, el pago que hagas por medio de Stripe.
• Si te anotan en la lista de espera: nombre, tamaño del grupo y teléfono si lo das.

Para ejercer tus derechos sobre estos datos, dirígete al restaurante. Si nos escribes a nosotros, le pasaremos tu solicitud en un plazo máximo de cinco días hábiles y te avisaremos que lo hicimos.

Con cada restaurante, Aroa se obliga a tratar estos datos solo para darle el servicio, a no usarlos para fines propios ni compartirlos fuera de lo que describe la sección 5, a guardar confidencialidad y a eliminarlos al terminar el servicio, salvo lo que la ley obligue a conservar.

7. Cómo ejercer tus derechos ARCO

Puedes pedirnos acceso a tus datos, su rectificación o su cancelación, u oponerte a que los tratemos (derechos ARCO). Escribe a hola@aroagroup.com con el asunto “Derechos ARCO” e incluye:

• Tu nombre y el correo o domicilio donde quieres recibir la respuesta.
• Una identificación oficial vigente o, si actúa un representante, el documento que acredite su representación y su identificación.
• Qué datos y qué derecho quieres ejercer, descrito con claridad. Si pides una rectificación, indica la corrección y acompaña el documento que la respalde.
• Cualquier dato que nos ayude a encontrar tu información, como el restaurante o el correo de tu cuenta.

Te responderemos por el mismo medio en un plazo máximo de 20 días hábiles desde que recibamos tu solicitud. Si procede, la haremos efectiva dentro de los 15 días hábiles siguientes. Cuando el caso lo justifique podremos ampliar cada plazo una sola vez por un periodo igual, y te diremos por qué.

El trámite es gratuito. Solo podríamos cobrar el costo de envío o de copias si pides que te mandemos algo en papel.

La Ley no nos obliga a cancelar datos en algunos casos, por ejemplo cuando son necesarios para cumplir un contrato o una obligación legal o fiscal (artículo 25 de la Ley). Entonces los bloqueamos y solo los conservamos para esos efectos.

Si no te respondemos o no estás conforme con la respuesta, puedes presentar una solicitud de protección de datos ante la Secretaría Anticorrupción y Buen Gobierno, autoridad en la materia, dentro de los 15 días hábiles siguientes a que te comuniquemos la respuesta o, si no te respondimos, desde que venza nuestro plazo.

8. Revocar tu consentimiento o limitar el uso

Puedes revocar tu consentimiento o pedir que limitemos el uso de tus datos escribiendo a hola@aroagroup.com, con los mismos datos que para una solicitud ARCO. La revocación no tiene efectos hacia atrás.

Si revocas el consentimiento para una finalidad necesaria, ya no podremos prestarte el servicio o atender tu solicitud, y seguiremos conservando lo que la ley nos obliga a guardar.

Para dejar de recibir novedades basta un correo con el asunto “Sin novedades”.

9. Cookies y almacenamiento del navegador

No usamos cookies de publicidad ni compartimos datos con redes de anuncios. Lo que sí usamos:

• En el panel, cookies de sesión necesarias para mantenerte dentro, que duran como máximo 30 días.
• En la página de la mesa, una cookie que recuerda tu idioma durante un año, y datos que se quedan solo en tu teléfono (almacenamiento local) para recordar tu lugar en la mesa y tu pedido. Las alergias no se guardan en tu teléfono. Se borran cuando limpias los datos de tu navegador.
• En las páginas públicas de Mesa Ocho, Aroa Analytics, que no usa cookies: guarda un identificador al azar en la sesión del navegador, que se borra al cerrar la pestaña, y cuenta qué página se vio, de qué sitio llegaste, el tamaño de la pantalla y el idioma del navegador. Si tu navegador tiene activada la opción “no rastrear”, no cuenta tu visita.

Puedes borrar las cookies y el almacenamiento desde la configuración de tu navegador. Si borras los del panel, tendrás que volver a entrar.

10. Seguridad y vulneraciones

Aplicamos medidas administrativas, técnicas y físicas para proteger los datos: conexión cifrada, contraseñas y PIN guardados cifrados, separación de la información de cada restaurante para que ninguno vea la de otro, acceso limitado a quien lo necesita y registro de las entradas de soporte.

Si ocurre una vulneración de seguridad que afecte de forma significativa tus derechos patrimoniales o morales, te avisaremos de inmediato por correo o dentro del servicio, con lo que pasó y lo que puedes hacer. Si afecta datos de comensales, avisaremos de inmediato al restaurante para que él informe a sus clientes.

11. Cuánto tiempo conservamos los datos

• Los datos de quien nos contacta, mientras hagan falta para atender su solicitud y la relación comercial que resulte de ella. Después los cancelamos.
• Las cuentas, mientras el restaurante tenga el servicio. Cuando el restaurante se da de baja, o da de baja a una persona de su personal, la cuenta primero se desactiva (borrado lógico) y se puede recuperar durante 15 días. Después se elimina de forma definitiva. Si esa persona tiene ventas a su nombre, en lugar de borrarla se le quita el nombre, porque esas ventas forman parte de registros fiscales.
• Los registros con valor fiscal (ventas, cuentas cerradas, pagos, cortes y facturas, incluidos los datos fiscales de quien pidió factura) se conservan durante el plazo que fijan las leyes fiscales, hoy cinco años según el artículo 30 del Código Fiscal de la Federación, aunque el restaurante se dé de baja. Durante ese plazo quedan bloqueados y solo se usan para cumplir obligaciones fiscales o atender a la autoridad.

12. Cambios a este aviso

Cuando cambie este aviso lo avisaremos antes de aplicarlo: publicaremos la nueva versión en esta página, con su fecha de actualización arriba, y si el cambio es importante, como una finalidad o una transferencia nueva, lo mandaremos además por correo a los dueños y gerentes con cuenta.

Un cambio que necesite tu consentimiento solo aplica cuando lo das. Si no lo das, seguimos tratando tus datos como dice la versión que ya conocías y puedes dejar de usar el servicio sin ningún costo.

Cada versión de este aviso queda publicada con su fecha y sin cambios en esta página, para que siempre puedas leer la que conociste.