Aviso de Privacidad Integral

Datos personales sujetos a tratamiento

Dependiendo de la relación que la persona titular mantenga con Directa y de las funcionalidades que utilice, podrán tratarse las siguientes categorías de datos.

Datos de identificación y contacto

• Nombre y apellidos.
• Número telefónico y/o número asociado a WhatsApp.
• Correo electrónico.
• Nombre del restaurante, negocio o razón social.
• RFC y datos de facturación, cuando sean proporcionados.
• Ciudad y estado.
• Domicilio o ubicación comercial cuando sea necesario para la prestación del servicio.
• Redes sociales, sitio web y demás medios de contacto proporcionados voluntariamente.

La fecha de nacimiento únicamente será tratada si una funcionalidad específica de Directa la requiere y la persona titular la proporciona. Si actualmente no existe una función que la requiera, Directa no solicitará dicho dato.

Datos relacionados con el negocio y el servicio

• Número de sucursales.
• Modalidad o plan contratado.
• Información del menú, productos, precios y promociones.
• Información proporcionada durante el proceso de onboarding.
• Configuración del restaurante dentro de la plataforma.
• Métodos mediante los cuales el restaurante recibe pedidos.
• Historial de solicitudes, altas, pruebas gratuitas, suscripciones y cancelaciones.
• Comunicaciones de soporte.
• Comentarios o necesidades particulares.
• Estado de contratación y servicio.

Datos relacionados con pedidos

Cuando Directa opere como plataforma tecnológica para un restaurante, podrán tratarse datos relacionados con órdenes realizadas mediante la plataforma, tales como:

• productos solicitados;
• fecha y hora;
• importe;
• forma de entrega o recolección;
• estado del pedido;
• referencias operativas;
• historial de pedidos asociado al uso de la plataforma.

Datos técnicos y de navegación

Directa podrá recopilar automáticamente información como:

• Dirección IP.
• Tipo y versión del navegador.
• Sistema operativo.
• Agente de usuario.
• Identificador del dispositivo o identificadores técnicos equivalentes cuando estén disponibles.
• Identificadores de sesión.
• Cookies y tecnologías similares.
• URL de procedencia.
• Páginas y secciones visitadas.
• Identificadores publicitarios.
• Identificadores _fbp, _fbc y fbclid, cuando existan.
• Identificadores de eventos.
• Información generada mediante Meta Pixel y Meta Conversions API.
• Ubicación aproximada derivada de la dirección IP.

Directa no busca obtener datos personales sensibles. Si en el futuro fuera indispensable tratar alguno, se observarán los requisitos legales aplicables.

Datos relacionados con pagos

Directa utiliza proveedores especializados para el procesamiento de pagos, principalmente Stripe.

Los números completos de tarjetas, códigos de seguridad CVV y demás credenciales completas del instrumento de pago son capturados y procesados por Stripe dentro de su propia infraestructura.

Directa podrá conservar únicamente referencias necesarias para administrar la relación contractual, tales como:

• identificador de cliente en Stripe;
• identificador de suscripción;
• identificador de sesión de checkout;
• identificador de Payment Intent;
• identificador de factura;
• estado de pago;
• importe;
• moneda;
• fecha y hora de la operación.

Stripe podrá tratar la información conforme a sus propios términos, políticas de privacidad y obligaciones regulatorias.

Finalidades primarias y necesarias

Los datos personales podrán ser tratados para las siguientes finalidades necesarias para establecer, mantener y cumplir la relación jurídica entre Directa y la persona titular:

• Registrar solicitudes de contratación.
• Identificar al responsable del restaurante.
• Validar la información proporcionada.
• Crear, configurar, publicar y administrar la plataforma del restaurante.
• Procesar altas y onboarding.
• Gestionar pruebas gratuitas.
• Administrar suscripciones.
• Procesar pagos y referencias de pago.
• Relacionar una operación con la cuenta correspondiente.
• Gestionar pedidos y funciones operativas.
• Prestar soporte técnico y atención al cliente.
• Administrar cuentas, usuarios y accesos.
• Procesar solicitudes de cancelación.
• Atender aclaraciones y reclamaciones.
• Mantener registros de actividad necesarios para la operación.
• Prevenir fraude, abuso y accesos no autorizados.
• Mantener la seguridad de la plataforma.
• Cumplir obligaciones contractuales, fiscales, administrativas y legales.
• Conservar información necesaria para atender posibles responsabilidades derivadas de la relación jurídica.

Estas finalidades son necesarias para prestar los servicios de Directa.

Finalidades secundarias

Con independencia de las finalidades primarias, Directa podrá tratar determinados datos para:

• Enviar promociones.
• Enviar información sobre nuevas funcionalidades.
• Comunicar nuevos productos, servicios o planes.
• Realizar campañas publicitarias.
• Realizar remarketing.
• Medir la efectividad de campañas.
• Crear segmentos de audiencia.
• Analizar navegación e interacción.
• Elaborar perfiles comerciales basados en comportamiento, navegación e interés.
• Personalizar comunicaciones y publicidad.
• Realizar prospección comercial.

Estas finalidades no son necesarias para prestar el servicio.

La persona titular puede negarse a ellas desde el momento de proporcionar sus datos mediante la casilla correspondiente o posteriormente solicitar la limitación o revocación escribiendo a:

hola@directa.com.mx

La negativa respecto de estas finalidades no afectará los servicios contratados.

Meta Pixel y Meta Conversions API

Directa utiliza herramientas empresariales de Meta, incluyendo Meta Pixel y Meta Conversions API, para medir tráfico, atribuir conversiones, evaluar campañas publicitarias y, cuando exista consentimiento aplicable, realizar remarketing y creación de audiencias.

Estas tecnologías pueden involucrar información como:

• URL visitada.
• Fecha y hora del evento.
• Dirección IP.
• Agente de usuario.
• Cookies e identificadores técnicos.
• Identificador del evento.
• _fbp.
• _fbc.
• fbclid.
• Información de contacto normalizada y transformada mediante técnicas de hash cuando corresponda.
• Acciones realizadas durante el proceso de contratación.

Entre los eventos que Directa puede medir se encuentran:

• PageView.
• ViewContent.
• Lead.
• InitiateCheckout.
• StartTrial.
• Purchase.

El tratamiento realizado mediante estas tecnologías tendrá como finalidad la medición, atribución, análisis, optimización publicitaria y, cuando corresponda, remarketing.

Cookies y tecnologías similares

Directa utiliza cookies y tecnologías similares para diferentes finalidades.

Cookies y tecnologías necesarias

Pueden utilizarse para:

• seguridad;
• mantenimiento de sesiones;
• autenticación;
• prevención de fraude;
• funcionamiento técnico del sitio;
• conservación de preferencias esenciales.

Cookies y tecnologías analíticas o publicitarias

Cuando corresponda, podrán utilizarse para:

• análisis de navegación;
• medición de rendimiento;
• atribución de campañas;
• creación de audiencias;
• publicidad;
• remarketing.

Directa pondrá a disposición mecanismos para aceptar, rechazar o configurar tecnologías no indispensables cuando resulte aplicable.

La persona titular también puede administrar o eliminar cookies mediante las opciones de su navegador.

La desactivación de tecnologías estrictamente necesarias puede afectar algunas funcionalidades.

Ubicación

Directa podrá tratar:

• ubicación comercial proporcionada por el restaurante;
• ciudad y estado;
• ubicación aproximada obtenida a partir de una dirección IP;
• ubicación precisa únicamente cuando una función específica lo requiera y exista autorización del dispositivo.

Directa no pretende realizar seguimiento permanente de ubicación precisa sin una finalidad legítima y una autorización válida.

Relación con clientes finales de los restaurantes

Cuando Directa presta infraestructura tecnológica para que un restaurante reciba pedidos, podrá tratar información de clientes finales por cuenta del restaurante.

Dependiendo de la operación concreta:

• el restaurante podrá actuar como responsable de determinados datos de sus clientes;
• Directa podrá actuar como persona encargada, al tratar datos por cuenta del restaurante.

En esos casos, el tratamiento se realizará conforme a la relación contractual aplicable y a las instrucciones lícitas del restaurante.

Cada restaurante será responsable de cumplir las obligaciones que le correspondan frente a sus propios clientes.

Personas encargadas y proveedores tecnológicos

Directa podrá utilizar proveedores que traten información por cuenta de Directa para prestar determinadas funciones.

Estos proveedores pueden incluir:

Stripe

Procesamiento de pagos, almacenamiento seguro de métodos de pago, suscripciones y facturación.

Resend

Envío de correos electrónicos transaccionales, operativos y comunicaciones autorizadas.

WhatsApp y servicios de Meta

Comunicaciones con prospectos o clientes y, cuando corresponda, servicios publicitarios, Meta Pixel y Conversions API.

Proveedores de alojamiento, infraestructura y seguridad

Alojamiento de aplicaciones, bases de datos, infraestructura tecnológica, respaldo, seguridad y operación del servicio.

Cuando estos proveedores actúen como personas encargadas, tratarán los datos conforme a las instrucciones y relación jurídica aplicable.

Transferencias nacionales e internacionales

Directa podrá realizar transferencias de datos personales a terceros distintos de las personas encargadas cuando sean necesarias para:

• cumplir obligaciones derivadas de la relación jurídica con la persona titular;
• ejecutar contratos celebrados o por celebrar en interés de la persona titular;
• cumplir obligaciones legales;
• atender requerimientos de autoridades competentes;
• ejercer o defender derechos;
• prevenir fraude;
• realizar operaciones cuya transferencia se encuentre permitida por la legislación aplicable.

Cuando la transferencia se ubique en alguno de los supuestos legales que no requieren consentimiento, Directa podrá realizarla en términos de la legislación aplicable.

Cuando una transferencia sí requiera consentimiento, Directa solicitará dicho consentimiento antes de realizarla.

La persona titular podrá comunicar su negativa respecto de transferencias que requieran consentimiento mediante:

hola@directa.com.mx

Algunos proveedores pueden operar infraestructura fuera de México, por lo que ciertos datos pueden ser almacenados o tratados en otros países.

Directa comunicará a los terceros receptores, cuando legalmente corresponda, las finalidades y condiciones bajo las cuales la persona titular sujetó el tratamiento de sus datos.

Medidas de seguridad

Directa mantiene medidas administrativas, técnicas y físicas razonables para proteger los datos personales contra:

• daño;
• pérdida;
• alteración;
• destrucción;
• uso no autorizado;
• acceso no autorizado;
• tratamiento no autorizado.

Las medidas de seguridad se determinarán considerando la naturaleza de la información, los riesgos existentes, las posibles consecuencias para las personas titulares y el desarrollo tecnológico.

Entre otras medidas:

• los datos completos de tarjetas son procesados por Stripe;
• los secretos de integraciones se mantienen en variables del servidor;
• se aplican controles de acceso;
• se implementan mecanismos de seguridad del lado servidor;
• se limita el acceso a información conforme a necesidades operativas.

Las personas que intervengan en el tratamiento deberán guardar confidencialidad respecto de la información.

Vulneraciones de seguridad

Si se produce una vulneración de seguridad que afecte significativamente los derechos patrimoniales o morales de una persona titular, Directa le informará cuando legalmente corresponda para que pueda tomar las medidas necesarias para la defensa de sus derechos.

Conservación y bloqueo

Directa conservará los datos personales únicamente durante el tiempo necesario para:

• prestar los servicios;
• mantener la relación contractual;
• cumplir obligaciones fiscales o legales;
• atender reclamaciones;
• ejercer o defender derechos;
• prevenir fraude;
• cumplir los plazos de prescripción aplicables.

Cuando los datos dejen de ser necesarios para las finalidades que justificaron su tratamiento, serán objeto de bloqueo y, posteriormente, eliminación o supresión conforme a la legislación aplicable, salvo que exista obligación legal de conservarlos.

Derechos ARCO

La persona titular puede ejercer en cualquier momento sus derechos de:

Acceso

Conocer los datos personales que Directa mantiene y las condiciones generales de su tratamiento.

Rectificación

Solicitar la corrección o actualización de información inexacta, incompleta o desactualizada.

Cancelación

Solicitar la cancelación de datos personales cuando legalmente proceda.

Oposición

Oponerse al tratamiento en los casos previstos por la legislación aplicable.

El ejercicio de un derecho ARCO no impide el ejercicio de los demás.

Procedimiento para ejercer derechos ARCO

Directa ha designado al Departamento de Privacidad de Directa para recibir y tramitar solicitudes.

Las solicitudes deberán enviarse a:

hola@directa.com.mx

La solicitud deberá contener:

1. Nombre de la persona titular.
2. Domicilio, correo electrónico u otro medio para recibir notificaciones.
3. Documento que acredite su identidad.
4. En su caso, documentación que acredite la identidad y personalidad de su representante.
5. Descripción clara de los datos personales respecto de los cuales busca ejercer algún derecho, salvo en solicitudes generales de acceso.
6. El derecho ARCO que desea ejercer o la solicitud concreta.
7. Cualquier información que facilite la localización de sus datos.

En solicitudes de rectificación deberá indicarse además:

• qué información debe modificarse; y
• los documentos que sustenten la corrección solicitada.

Directa comunicará la determinación adoptada en un plazo máximo de 20 días hábiles desde la recepción de una solicitud completa.

Si la solicitud resulta procedente, Directa hará efectivo el derecho dentro de los 15 días hábiles siguientes a la comunicación de la respuesta.

Estos plazos podrán ampliarse una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen.

El ejercicio de los derechos ARCO es gratuito. Únicamente podrán cobrarse, cuando legalmente proceda, costos razonables de reproducción, copias o envío.

Revocación del consentimiento

Cuando el tratamiento se sustente en el consentimiento, la persona titular podrá solicitar su revocación enviando una solicitud a:

hola@directa.com.mx

La revocación no tendrá efectos retroactivos y podrá no ser procedente respecto de tratamientos necesarios para cumplir obligaciones legales o derivadas de una relación jurídica vigente.

Limitación del uso o divulgación

La persona titular puede solicitar limitar el uso o divulgación de sus datos para finalidades secundarias, incluyendo promociones, publicidad, remarketing y prospección comercial.

La solicitud podrá enviarse a:

hola@directa.com.mx

Directa adoptará las medidas razonables necesarias para registrar y respetar dicha preferencia.

Promociones y comunicaciones comerciales

La recepción de promociones y comunicaciones comerciales deberá ser opcional.

Cuando el formulario muestre una casilla similar a:

“Acepto recibir promociones y comunicaciones comerciales de Directa”

ésta deberá permanecer separada de:

• la aceptación del Aviso de Privacidad; y
• la aceptación de los Términos y Condiciones.

La persona titular podrá retirar posteriormente dicha autorización mediante los mecanismos incluidos en las comunicaciones o escribiendo a:

hola@directa.com.mx

Tratamiento automatizado y perfilamiento

Directa puede utilizar información de interacción, navegación y eventos para elaborar segmentos comerciales y optimizar campañas.

Cuando este tratamiento constituya perfilamiento comercial o publicidad personalizada, se realizará para las finalidades secundarias descritas en este Aviso y estará sujeto a las preferencias y derechos de la persona titular.

Directa no pretende adoptar decisiones automatizadas que produzcan efectos jurídicos significativos sobre la persona titular exclusivamente mediante estos perfiles, salvo que exista una finalidad legítima y se cumplan las obligaciones legales aplicables.

Menores de edad

Los servicios de contratación de Directa están dirigidos a personas mayores de edad y con capacidad legal para contratar.

Directa no busca recabar intencionalmente datos personales de menores de edad para la contratación de sus servicios.

Cambios al Aviso de Privacidad

Directa podrá modificar este Aviso por:

• cambios legislativos;
• nuevas funcionalidades;
• incorporación o modificación de proveedores;
• cambios tecnológicos;
• cambios en las finalidades del tratamiento;
• ajustes operativos.

La versión vigente estará disponible permanentemente en:

https://directa.com.mx/aviso-de-privacidad

Cuando un cambio resulte sustancial o requiera un nuevo consentimiento, Directa realizará las acciones que correspondan y podrá comunicarlo mediante:

• correo electrónico;
• aviso dentro del sitio;
• aviso dentro de la plataforma;
• cualquier otro medio adecuado.

Autoridad competente

En caso de considerar vulnerado su derecho a la protección de datos personales, la persona titular podrá acudir ante la Secretaría Anticorrupción y Buen Gobierno, en los términos previstos por la legislación vigente.

Consentimiento y reconocimiento del Aviso

Al proporcionar datos personales, la persona titular reconoce que este Aviso de Privacidad ha sido puesto a su disposición.

Cuando una finalidad o transferencia requiera consentimiento expreso o independiente, Directa solicitará dicho consentimiento mediante el mecanismo correspondiente.

La simple utilización del servicio no se interpretará como aceptación automática de finalidades secundarias que requieran una elección separada.