Política de privacidad

Última actualización: 22 de agosto de 2026

1. Quién trata tus datos y en calidad de qué

El responsable de esta plataforma es ACELERADORA DE NEGOCIOS DIGITALES S.A.S., identificada con RFC AND2412032W7, con domicilio en [CALLE, NÚMERO Y C.P.], alcaldía Benito Juárez, Ciudad de México, México (en adelante, «Delia», «nosotros»). Correo de contacto para asuntos de privacidad: privacidad@delia.rest.

Delia trata datos personales en dos calidades distintas, y la diferencia importa porque cambia a quién tienes que reclamarle:

Como responsable del tratamiento

De los datos de nuestros propios clientes: los dueños y el personal de los restaurantes que abren una cuenta, las personas que dejan sus datos en el formulario de la portada, y quienes visitan delia.rest. Aquí decidimos nosotros para qué se usan, y respondemos nosotros.

Como encargado del tratamiento

De los datos de los clientes finales del restaurante: quien le escribe por WhatsApp para pedir comida. Esos datos son del restaurante, que es el responsable; nosotros sólo los tratamos siguiendo sus instrucciones y para prestarle el servicio. Si eres un comensal y quieres ejercer tus derechos, lo natural es que se lo pidas al restaurante — pero si nos escribes a nosotros, te ayudamos igual y se lo trasladamos.

2. Qué datos tratamos

De la cuenta del restaurante

• Nombre del negocio, dirección comercial, horarios, logotipo y menú.
• Nombre, correo, teléfono y rol de cada persona con acceso al panel.
• Contraseña, guardada siempre como hash argon2id, nunca en texto plano. Ni nosotros podemos leerla.
• Datos de cobro del negocio (pago móvil, cuenta bancaria, Zelle) que el propio restaurante registra para que sus clientes le paguen.
• Plan contratado, facturación y consumo.

De las conversaciones de WhatsApp

• Número de teléfono del cliente final y el nombre que muestra en WhatsApp.
• El contenido de los mensajes: texto, notas de voz, imágenes, calcomanías y documentos, en ambos sentidos.
• Fecha, hora y estado de entrega de cada mensaje.

De los pedidos

• Qué se pidió, cantidades, total y método de pago elegido.
• Dirección de entrega, cuando el pedido es a domicilio.
• Referencia del pago y, si el cliente lo envía, la imagen del comprobante.
• La calificación de la comida y del servicio, si el cliente responde la encuesta.

Técnicos y de seguridad

• Dirección IP, tipo de navegador, fecha y hora de cada inicio de sesión y de las acciones relevantes en el panel.
• Registros del sistema, que pueden contener identificadores técnicos mientras se conservan.

De quien nos deja sus datos en la portada

• Nombre, restaurante, teléfono, correo, ciudad, país, volumen de pedidos declarado y el mensaje que escriba.
• El origen de la visita (los parámetros UTM del enlace por el que llegó).

De la navegación en delia.rest

Si están activadas, la portada usa Google Analytics y el píxel de Meta, que instalan cookies para medir audiencia y campañas. Estas herramientas sólo funcionan en la portada pública: no están en el panel de los restaurantes ni en la página de seguimiento de pedido, y por tanto no ven ninguna conversación ni ningún pedido.

3. Para qué los usamos y con qué base

• Prestar el servicio — recibir y enviar los mensajes, armar los pedidos, imprimir las comandas, cobrar la suscripción. Base: la ejecución del contrato con el restaurante, y el interés legítimo del restaurante en atender a quien le escribe.
• Notificar al cliente final el estado de su pedido y pedirle su opinión después de la entrega. Base: la relación comercial que él mismo inició al escribir.
• Seguridad y prevención de abuso — límites de frecuencia, detección de bots, registros de acceso. Base: interés legítimo en que la plataforma no se caiga ni se use para estafar.
• Soporte y facturación. Base: contrato y obligaciones legales.
• Comercial — responder a quien nos deja sus datos en la portada. Base: su consentimiento al enviar el formulario. Puede retirarlo cuando quiera y dejamos de escribirle.
• Medición de la portada. Base: consentimiento, a través del aviso de cookies.

Lo que no hacemos: no vendemos ni alquilamos datos personales; no cedemos las conversaciones a anunciantes; no construimos perfiles publicitarios con lo que la gente le escribe a un restaurante; y no usamos el contenido de los chats para entrenar modelos de inteligencia artificial, ni propios ni de terceros.

4. WhatsApp: qué pasa exactamente con los mensajes

Cada restaurante conecta su propio número de WhatsApp a Delia. Nosotros no compramos ni proveemos listas de contactos: los números que aparecen en el panel son los de las personas que le escribieron a ese restaurante, y de nadie más.

Cuando entra un mensaje, se guarda en la cuenta de ese restaurante y se le muestra a su equipo. Los archivos adjuntos (fotos, notas de voz, comprobantes) se almacenan en el espacio de esa cuenta en nuestro servidor. Cada cuenta está aislada de las demás a nivel de base de datos: un restaurante no puede ver las conversaciones de otro, ni siquiera por error de programación.

Delia utiliza además un número propio para escribirle a quien nos deja sus datos en la portada y a nuestros clientes. Ese número es independiente del de cada restaurante y no se usa para contactar a los comensales.

Conforme a las políticas de Meta: no usamos el contenido de los mensajes de WhatsApp para publicidad ni para segmentar audiencias, no lo compartimos con terceros con fines comerciales, y el número de teléfono de un cliente final se usa únicamente para que el restaurante le responda y le informe de su pedido.

5. La asistente de inteligencia artificial

Si el restaurante activa la asistente, ésta lee la conversación y responde en su nombre. El restaurante puede apagarla cuando quiera y atender a mano.

Para que pueda responder, se envía a nuestro proveedor de IA:

• El texto de la conversación reciente con ese cliente.
• El menú, los horarios y la dirección del restaurante.
• Los nombres de los métodos de pago aceptados.

No se le envía el número de teléfono del cliente, ni los números de cuenta bancaria, ni las cédulas. Los datos de pago los escribe el servidor tal cual los registró el restaurante, nunca la inteligencia artificial: es una decisión de seguridad deliberada, porque un número de cuenta mal copiado manda el dinero de alguien a un desconocido.

Si el cliente manda una nota de voz, el audio se envía a un servicio de transcripción para convertirlo en texto. Ese audio contiene tu voz, y por eso lo decimos explícitamente aquí.

La asistente nunca confirma un pago. Eso lo hace siempre una persona del equipo del restaurante después de verificar el comprobante.

6. Con quién los compartimos

Sólo con los proveedores necesarios para que el servicio funcione. Cada uno recibe lo mínimo para su función, y ninguno tiene permiso para usar esos datos para fines propios.

También podemos entregar datos si nos lo exige una autoridad competente mediante requerimiento válido, o si es necesario para defender un derecho ante los tribunales.

Para comprobar que una contraseña no aparece en filtraciones públicas consultamos el servicio Have I Been Pwned. Se le envía únicamente los cinco primeros caracteres del hash SHA-1 de la contraseña: ni la contraseña ni su hash completo salen de nuestro servidor, y el servicio no puede saber cuál se consultó.

7. Cuánto tiempo los guardamos

• Conversaciones y pedidos: mientras la cuenta del restaurante esté activa, y hasta 90 días después de que la cierre, para que pueda exportarlos o recuperarlos.
• Archivos adjuntos (fotos, notas de voz, comprobantes): 180 días desde que se recibieron.
• Datos de facturación: el plazo que exija la ley fiscal aplicable, normalmente entre cinco y diez años.
• Registros de acceso y seguridad: 12 meses.
• Datos de contacto comercial de quien no llegó a ser cliente: 24 meses desde el último contacto, o hasta que pida que los borremos.

Pasados esos plazos los eliminamos o los anonimizamos de forma que ya no permitan identificar a nadie.

8. Cómo los protegemos

• Todo el tráfico viaja cifrado con TLS.
• Las contraseñas se guardan como hash argon2id, y las credenciales de los servicios que conecta cada restaurante se cifran con AES-256-GCM antes de tocar la base de datos.
• Aislamiento entre cuentas a nivel de base de datos: cada consulta está obligada a declarar de qué restaurante es, y no puede devolver filas de otro.
• Acceso al panel por roles, con permisos distintos por puesto.
• Respaldos periódicos y cifrados.

Ningún sistema es invulnerable. Si ocurriera una brecha que afecte a tus datos, lo notificaremos a quien corresponda y a los afectados en los plazos que marque la ley aplicable.

9. Tus derechos, y cómo pedir que borremos tus datos

Puedes pedirnos en cualquier momento:

• Acceder a los datos que tenemos sobre ti.
• Rectificar los que estén mal.
• Borrar los que ya no debamos conservar.
• Oponerte a un tratamiento o limitarlo.
• Llevarte tus datos en un formato legible por máquina.
• Retirar tu consentimiento, sin que afecte a lo hecho antes.

Cómo pedir el borrado

Escribe a privacidad@delia.rest desde el correo asociado a tu cuenta, o desde cualquier correo indicando el número de teléfono con el que escribiste al restaurante. Respondemos en un plazo máximo de 30 días.

Si eres un cliente final y quieres que se borre tu conversación con un restaurante, esos datos son de ese restaurante: trasladamos tu solicitud y la ejecutamos siguiendo su instrucción. Conservaremos únicamente lo que una obligación legal nos exija, como los registros contables de un pedido ya facturado.

Si eres un restaurante y cierras tu cuenta, se eliminan tus datos y los de tus conversaciones en los plazos de la sección 7.

Si crees que no tratamos bien tus datos, puedes reclamar ante la autoridad de protección de datos de tu país.

10. Transferencias internacionales

Algunos de los proveedores de la sección 6 están fuera del país donde reside el restaurante o su cliente, principalmente en Estados Unidos y en la Unión Europea. En esos casos la transferencia se ampara en las cláusulas contractuales y en los compromisos de protección que cada proveedor asume en su contrato con nosotros.

11. Menores de edad

Delia es una herramienta para negocios y no está dirigida a menores de 18 años. No recopilamos datos de menores a sabiendas. Si detectamos que hemos guardado datos de un menor sin la autorización de quien ejerce su patria potestad, los eliminamos.

12. Cambios en esta política

Si la cambiamos, actualizamos la fecha del encabezado. Cuando el cambio sea relevante — un proveedor nuevo, una finalidad nueva — avisamos a los restaurantes por correo y dentro del panel con al menos 15 días de antelación.

13. Contacto

Para cualquier asunto relacionado con tus datos personales:

• Correo: privacidad@delia.rest
• Responsable: ACELERADORA DE NEGOCIOS DIGITALES S.A.S.
• Domicilio: [CALLE, NÚMERO Y C.P.], alcaldía Benito Juárez, Ciudad de México, México