Aviso de Privacidad

Última actualización: 2 de octubre de 2026

Este Aviso de Privacidad Integral describe cómo Caxuela trata tus datos personales, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos aplicables.

1. Responsable de tus datos

Miguel Ángel Morales Reyes (“Caxuela”), con domicilio en Calle de la Ardilla 310, Nezahualcóyotl, C.P. 57000, Nezahualcóyotl, Estado de México y correo [email protected], es responsable del tratamiento de tus datos personales.

2. Cuándo somos responsables y cuándo encargados

• Somos responsables de los datos de la persona titular de la cuenta y de quienes administran el restaurante (por ejemplo, tú y tu equipo, respecto de su relación con Caxuela).
• Somos encargados respecto de los datos que tú, como restaurante, cargas sobre tus empleados y tus comensales para operar (por ejemplo, para nómina de accesos, comandas o facturación). De esos datos, el responsable eres tú, y Caxuela los trata únicamente por tu cuenta y bajo tus instrucciones.

Cuando actuamos como encargados, tratamos esos datos solo conforme a tus instrucciones, guardamos confidencialidad, aplicamos medidas de seguridad y no los usamos para fines propios ni los transferimos a terceros, salvo por instrucción tuya o por mandato de una autoridad competente, en los términos del artículo 21 de la LFPDPPP.

Respecto de esos datos (los de tus empleados y comensales), tú eres el responsable y te corresponde poner a su disposición tu propio Aviso de Privacidad, recabar los consentimientos que apliquen y atender los derechos ARCO de esas personas. Caxuela, como encargado, no asume esas obligaciones frente a tus empleados o comensales; únicamente te da soporte para operar. Si recibimos una solicitud de derechos de alguna de esas personas, la canalizaremos contigo.

3. Datos personales que recabamos

Según cómo uses Caxuela, podemos tratar:

• De identificación y contacto: nombre, correo electrónico y foto de perfil provenientes del proveedor con el que inicias sesión (por ejemplo, Google).
• De la cuenta y el negocio: nombre del restaurante, roles, personal que das de alta y su actividad de acceso.
• De facturación y pago (datos patrimoniales o financieros): datos fiscales que captures y referencias de los cobros (ver la sección 5 sobre datos de tarjeta).
• De uso: registros técnicos, dirección IP, dispositivo y actividad dentro de la plataforma, para seguridad y para el buen funcionamiento del servicio.
• Credenciales de redes sociales: si conectas tus cuentas de redes sociales (por ejemplo, Telegram, Facebook, Instagram o TikTok) para usar el módulo de publicidad, resguardamos las credenciales o tokens de acceso que autorizas. Se almacenan cifrados y se usan únicamente para publicar en tu nombre en las cuentas que conectaste. Puedes revocar esa conexión en cualquier momento.

4. Finalidades del tratamiento

Primarias (necesarias para el servicio):

• crear y administrar tu cuenta y autenticarte;
• prestar las funciones de la plataforma (comandas, cocina, cobro, inventario, facturación, delivery);
• procesar los cobros de tu suscripción y darte soporte;
• cuando actives el módulo de publicidad, conectar tus cuentas de redes sociales y publicar en ellas en tu nombre el contenido que definas, incluido el contenido que generes con nuestras funciones de inteligencia artificial;
• seguridad, prevención de fraude y cumplimiento legal.

Secundarias (puedes negarte sin afectar el servicio):

• enviarte avisos sobre nuevas funciones, encuestas o promociones;
• elaborar estadísticas y mejorar el producto.

Si no deseas que tratemos tus datos para las finalidades secundarias, escríbenos a [email protected] y lo respetaremos. Puedes manifestar tu negativa en cualquier momento; negarte a las finalidades secundarias no es condición para poder usar el servicio ni afecta las finalidades primarias.

5. Datos de pago

Los pagos se procesan a través de Stripe. Los datos completos de tu tarjeta los captura y resguarda Stripe conforme a sus propias políticas y estándares de seguridad (PCI-DSS); Caxuela no almacena el número completo ni el código de seguridad de tu tarjeta.

Los datos patrimoniales o financieros que llegues a proporcionar se tratan con base en el consentimiento que otorgas al proporcionarlos y contratar el servicio, conforme al artículo 8 de la LFPDPPP.

6. Transferencias y encargados

Compartimos datos con proveedores que los tratan por nuestra cuenta y bajo nuestras instrucciones (encargados); esto constituye una remisión y, conforme a la LFPDPPP, no requiere tu consentimiento. También podemos compartir datos con terceros que son responsables de su parte del servicio (por ejemplo, el procesador de pagos). Entre ellos:

• Inicio de sesión: Google, cuando eliges entrar con tu cuenta de Google, o un enlace mágico enviado a tu correo.
• Procesamiento de pagos: Stripe.
• Infraestructura, base de datos y alojamiento: Neon (base de datos), Google Cloud (servidores del API), Vercel (sitio y paneles web) y Cloudflare (almacenamiento de archivos e imágenes).
• Inteligencia artificial: MiniMax, cuando usas las funciones opcionales de generar la foto de un platillo o textos de publicidad. Solo se envía el texto que tú escribes (por ejemplo, el nombre del platillo); no enviamos tus datos personales ni los de tus clientes. Son funciones opcionales y solo se usan cuando tú las activas.
• Correo transaccional: Resend (avisos relacionados con tu cuenta, cuando esté activo).
• Notificaciones en tu teléfono: Google (Firebase Cloud Messaging) y Apple (APNs), para entregarte avisos de la operación, por ejemplo una cancelación por autorizar. Se guarda un identificador del dispositivo (token de notificaciones) ligado a tu cuenta, solo para entregarlos; puedes desactivarlas en los ajustes de tu teléfono y se borra al cerrar sesión. No se usa para publicidad ni para rastrearte.
• Facturación (CFDI): el proveedor autorizado de certificación (PAC) que utilices.
• Canales de delivery: las plataformas que actives (por ejemplo, Rappi, DiDi, Uber Eats).
• Generación de contenido con IA: MiniMax (proveedor de modelos de inteligencia artificial, con sede fuera de México), para generar los textos e imágenes que solicitas. Solo se le envían los datos necesarios de tu menú y negocio (nombres, descripciones y precios de tus platillos); no se le comparten datos personales de tus comensales.
• Redes sociales: si usas el módulo de publicidad, las plataformas que conectes (por ejemplo, Telegram, Meta —Facebook e Instagram— y TikTok), que son responsables del tratamiento que hacen en sus propios servicios y conforme a sus políticas.

Tratamiento fuera de México. Algunos de estos proveedores operan o alojan su infraestructura fuera del territorio mexicano (por ejemplo, en los Estados Unidos). Al tratarse de remisiones a encargados que actúan por nuestra cuenta, no se requiere tu consentimiento; en todos los casos exigimos que resguarden tus datos bajo obligaciones de confidencialidad y medidas de seguridad equivalentes a las previstas en la LFPDPPP y su Reglamento. Al usar Caxuela reconoces que tus datos pueden almacenarse o procesarse fuera de México con esa finalidad.

No vendemos tus datos personales. Podemos transferirlos sin tu consentimiento únicamente en los supuestos del artículo 37 de la LFPDPPP (por ejemplo, cuando la ley lo exija o lo requiera una autoridad competente). Si en algún caso una transferencia distinta requiriera tu consentimiento, te lo solicitaríamos y podrías negarte.

7. Tus derechos ARCO

Tienes derecho a Acceder, Rectificar, Cancelar u Oponerte al tratamiento de tus datos. Para ejercerlos, envía una solicitud a [email protected] indicando tu nombre, un medio para contactarte, la descripción clara de lo que solicitas y un documento que acredite tu identidad. El ejercicio de estos derechos es gratuito; solo cubrirías, en su caso, los gastos justificados de envío o de reproducción en copias u otros formatos. Comunicaremos la determinación adoptada en un plazo máximo de 20 días y, de resultar procedente, la haremos efectiva dentro de los 15 días siguientes, conforme a los artículos 32 a 35 de la LFPDPPP. Acusaremos recibo de tu solicitud. Cuando esté justificado, estos plazos podrán ampliarse una sola vez y por un periodo igual, y te informaremos la razón. El ejercicio de estos derechos podrá negarse en los supuestos que prevé la ley (por ejemplo, cuando un tercero titular vea afectados sus derechos o exista una obligación legal de conservar los datos), en cuyo caso te explicaremos el motivo. Si no estás conforme con la respuesta o no la recibes en los plazos indicados, puedes iniciar un procedimiento ante el INAI.

8. Revocación del consentimiento

Puedes revocar el consentimiento para el tratamiento de tus datos en cualquier momento escribiendo a [email protected]. Ten en cuenta que algunos tratamientos son necesarios para prestarte el servicio, por lo que su revocación puede implicar que no podamos seguir prestándotelo. Por el mismo medio puedes solicitar que limitemos el uso o la divulgación de tus datos personales.

9. Cookies y tecnologías de rastreo

Usamos cookies y tecnologías similares para mantener tu sesión, recordar preferencias y medir el uso del servicio. Puedes configurar tu navegador para limitarlas; algunas funciones podrían dejar de operar correctamente. Actualmente no utilizamos herramientas de analítica de terceros; si eso cambia, lo indicaremos aquí y actualizaremos este aviso.

10. Seguridad y conservación de los datos

Aplicamos medidas de seguridad administrativas, técnicas y físicas razonables para proteger tus datos personales contra pérdida, uso, acceso o divulgación no autorizados, conforme a los artículos 19 de la LFPDPPP y 57 a 61 de su Reglamento. Ningún sistema es completamente infalible.

En caso de que ocurra una vulneración de seguridad que afecte de forma significativa tus derechos patrimoniales o morales, te lo informaremos sin demora, por un medio razonable, para que puedas tomar medidas, en los términos de los artículos 20 de la LFPDPPP y 63 a 66 de su Reglamento.

Conservamos tus datos mientras tengas una cuenta activa y por el tiempo adicional necesario para cumplir obligaciones legales, fiscales o contables (por ejemplo, la conservación de la información fiscal y contable que exige la legislación aplicable). Concluidos esos plazos, los eliminamos o anonimizamos.

Eliminar tu cuenta. Puedes eliminar tu cuenta en cualquier momento desde la app (Mi restaurante → Eliminar mi cuenta) o siguiendo las instrucciones en caxuela.com/eliminar-cuenta. Al hacerlo anonimizamos tus datos personales (correo, nombre y proveedores de inicio de sesión vinculados), cerramos tu acceso y retiramos tus membresías. Si eres el único dueño de un restaurante, ese restaurante se cierra y su suscripción se cancela. Conservamos, sin identificarte, los registros que la ley nos obliga a guardar (ventas, cortes de caja, facturación y auditoría) por el plazo legal aplicable.

11. Cambios a este aviso

Podemos actualizar este Aviso de Privacidad. Publicaremos la versión vigente en esta página y, si el cambio es relevante, te lo haremos saber por un medio razonable. La fecha de la última actualización aparece al inicio.

12. Contacto

Para cualquier asunto de privacidad o para ejercer tus derechos: [email protected]. Si consideras que tu derecho a la protección de datos fue vulnerado, puedes acudir al INAI (inai.org.mx).