Aviso de Privacidad Integral

XQUISITO LAB S.A.P.I. DE C.V., con domicilio ubicado en Avenida Paseo Río Sonora Sur número 205, piso 4, colonia Proyecto Río Sonora, código postal 83270, Hermosillo, Sonora, México, es la responsable del tratamiento de tus datos personales.

Para cualquier asunto relacionado con el presente Aviso de Privacidad y con el tratamiento de tus datos personales, hemos designado a nuestro Departamento de Protección de Datos Personales, con quien puedes comunicarte en el correo electrónico contacto@letseven.io o en el domicilio antes señalado.

Este aviso aplica al sitio letseven.io y a los servicios de la plataforma “Even” a los que se accede mediante códigos QR o tarjetas NFC en establecimientos afiliados (Tap Order & Pay, Tap to Pay, Flex Bill, Pick & Go, Room Service, y Food Hall), así como al portal de administración para establecimientos.

Los restaurantes, hoteles y demás establecimientos afiliados que utilizan Even son responsables independientes del tratamiento de los datos personales que reciban conforme a la sección VI de este aviso o que recaben directamente de ti por sus propios medios, en cuyo caso dicho tratamiento se regirá por sus respectivos avisos de privacidad.

XQUISITO LAB actuará como Responsable del Tratamiento respecto de los datos personales necesarios para la operación de la plataforma Even. Asimismo, respecto de aquellos datos personales que trate exclusivamente por cuenta e instrucciones del Establecimiento para el uso de servicios de la plataforma, XQUISITO LAB actuará en calidad de Encargado del Tratamiento, en términos de la legislación aplicable.

Cuando actúe en calidad de Encargado del Tratamiento, Even no subcontratará el tratamiento de datos personales con terceros sin la autorización previa del Responsable. No obstante, el Responsable reconoce y acepta que Even podrá utilizar proveedores tecnológicos e infraestructura de terceros necesarios para la operación de la plataforma, incluyendo servicios de alojamiento, autenticación, comunicaciones, procesamiento y almacenamiento de datos, siempre que dichos terceros se encuentren sujetos a obligaciones contractuales de confidencialidad, seguridad y protección de datos acordes con la normativa aplicable.

Even implementará medidas razonables para garantizar la confidencialidad de la información y se abstendrá de divulgarla, utilizarla para fines distintos a los autorizados o ponerla a disposición de terceros no autorizados. Las obligaciones de confidencialidad establecidas en el presente instrumento sobrevivirán a la terminación, rescisión, expiración o cancelación de la relación contractual, independientemente de la causa que le dé origen.

A. Comensales y usuarios de la plataforma

1. Datos de identificación y contacto: nombre y apellidos, fecha de nacimiento, y número de teléfono.
2. Datos de perfil (opcionales): género y fotografía de perfil.
3. Datos de autenticación: tu número de teléfono se verifica mediante códigos de un solo uso (OTP) enviados por SMS. También puedes usar la plataforma como invitado, con un identificador temporal.
4. Datos de pago: tus tarjetas se tokenizan directamente con nuestro procesador de pagos certificado eCartPay (que cuenta con certificación PCI DSS). “Tokenizar” significa que, cuando introduces los datos de tu tarjeta, eCartPay convierte la información de la tarjeta en un código seguro llamado “token”, por lo que nunca almacenamos directamente los datos sensibles de tu tarjeta. Even nunca almacena el número completo de tu tarjeta ni el código de seguridad; solo conservamos referencias como los últimos cuatro dígitos, la marca y la fecha de expiración para que identifiques tus métodos de pago guardados.
5. Historial de consumo: pedidos, pagos, propinas, división de cuentas, y calificaciones que publiques; el establecimiento, la mesa o el número de habitación (en el servicio de Room Service), así como la fecha y hora de cada operación.
6. Datos fiscales (en caso de solicitar factura): RFC, nombre o razón social, régimen fiscal, código postal y uso de CFDI.
7. Datos técnicos: dirección IP, tipo de dispositivo y navegador, identificadores del dispositivo y de notificaciones push, e información de uso necesaria para operar y proteger la plataforma.
8. Género inferido: si no indicas tu género en tu perfil y no te has opuesto a las finalidades secundarias descritas en la sección III, la plataforma podrá estimarlo estadísticamente a partir de tu nombre de pila mediante un proveedor externo (Genderize.io), al que únicamente se envía el nombre de pila, sin ningún otro dato que te identifique. Este dato es solo una estimación, se utiliza exclusivamente para las finalidades secundarias de personalización y analítica, y puedes corregirlo o eliminarlo en cualquier momento desde tu perfil.

B. Establecimientos interesados en Even

1. Nombre del establecimiento.
2. Giro del establecimiento (tipo de negocio).
3. Ciudad.
4. Nombre de la persona de contacto.
5. Correo electrónico.
6. Teléfono.

C. Usuarios del portal de administración para establecimientos

Nombre, correo electrónico, teléfono, cargo o puesto, establecimiento al que pertenece, credenciales de acceso y registros de actividad dentro del portal (por ejemplo, operaciones realizadas, fecha y hora de acceso).

D. Datos personales de terceros

Si nos proporcionas datos personales de otras personas (por ejemplo, al dividir una cuenta o al compartir un pedido), declaras que cuentas con su consentimiento para ello y que les has informado sobre el contenido de este Aviso de Privacidad.

E. Datos personales sensibles

Even no recaba datos personales sensibles (como estado de salud presente o futuro, origen racial o étnico, información genética o biométrica, creencias religiosas, filosóficas y morales, opiniones políticas ni preferencia sexual).

A. Finalidades primarias

Son necesarias para la existencia, mantenimiento y cumplimiento de la relación jurídica que se genera cuando utilizas Even y, por ello, no requieren de tu consentimiento en términos de la LFPDPPP. Sin ellas no podríamos prestarte el servicio:

• Crear y administrar tu cuenta y verificar tu identidad.
• Procesar tus pedidos y pagos, incluida la división de cuentas y las propinas.
• Comunicar tu pedido al establecimiento afiliado para su preparación, entrega y cobro.
• Enviarte notificaciones operativas sobre tus pedidos (por ejemplo, cuando tu platillo está listo) por WhatsApp, SMS o notificaciones push.
• Emitir facturas (CFDI) cuando las solicites.
• Atender aclaraciones, devoluciones y soporte.
• Prevenir fraudes y garantizar la seguridad de la plataforma, así como cumplir obligaciones legales y atender requerimientos de autoridades competentes.
• Tratándose de establecimientos interesados: contactarte para dar seguimiento a tu solicitud de información, presentarte nuestros servicios y, en su caso, celebrar el contrato de afiliación.
• Tratándose de usuarios del portal de administración: darte acceso, administrar tu cuenta y mantener registros de seguridad y auditoría.

B. Finalidades secundarias

No son necesarias para prestarte el servicio, pero nos permiten brindarte una mejor experiencia. Puedes negarte a ellas en cualquier momento, sin que ello afecte el servicio, conforme a la sección IV:

• Generar analítica de consumo para los establecimientos, en forma agregada o disociada (sin que se te identifique).
• Enviarte promociones, recompensas y campañas personalizadas de Even o de los establecimientos afiliados.
• Personalizar tu experiencia y las ofertas que te presentamos con base en tu historial de consumo y en tu género declarado o inferido.
• Mejorar nuestros productos y desarrollar nuevos servicios.
• Invitarte a responder encuestas de satisfacción.

Si deseas que tus datos no se traten para alguna de estas finalidades secundarias, puedes manifestarlo desde este momento marcando la casilla correspondiente al registrarte, en la sección de “Privacidad” de tu perfil, o enviando un correo a contacto@letseven.io. La negativa al uso de tus datos para estas finalidades no podrá ser motivo para que te neguemos los servicios.

Puedes limitar el uso o divulgación de tus datos personales, así como oponerte a las finalidades secundarias, por cualquiera de los siguientes medios:

• Configuración de la plataforma: en la sección de “Privacidad” de tu perfil puedes desactivar el uso de tus datos para finalidades secundarias y para las transferencias que requieren tu consentimiento.
• Desuscripción: cada comunicación promocional incluirá un mecanismo sencillo para dejar de recibirlas (por ejemplo, un enlace de baja o responder “BAJA” en WhatsApp o SMS). Las notificaciones push pueden desactivarse desde la configuración de tu dispositivo.
• Listado de exclusión: puedes solicitar en cualquier momento tu inscripción en nuestro listado de exclusión, con el objeto de que tus datos personales no sean tratados para fines de mercadotecnia, publicidad o prospección comercial.
• Solicitud escrita dirigida a nuestro Departamento de Protección de Datos Personales, al correo electrónico contacto@letseven.io o en el domicilio señalado en la sección I.
• Registro Público para Evitar Publicidad (REPEP) de la Procuraduría Federal del Consumidor, para limitar llamadas y mensajes publicitarios: https://repep.profeco.gob.mx.

Para ejercer este derecho por solicitud escrita, deberás indicar tu nombre completo, los datos respecto de los cuales deseas limitar su uso o divulgación y proporcionar información suficiente para acreditar tu identidad. Tu solicitud será atendida en los plazos previstos en la sección V.

Tienes derecho a Acceder, Rectificar, Cancelar u Oponerte al tratamiento de tus datos personales (derechos ARCO), así como a revocar tu consentimiento y a limitar el uso o divulgación de tus datos. También puedes oponerte a que se te apliquen decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos no deseados o te afecten de manera significativa.

Para ejercerlos, envía un correo a contacto@letseven.io o presenta un escrito en nuestro domicilio, indicando:

1. Tu nombre completo y un medio para recibir notificaciones (por ejemplo, tu correo electrónico o el número de teléfono asociado a tu cuenta).
2. Los documentos que acrediten tu identidad (copia de identificación oficial vigente) y, en su caso, la personalidad e identidad de tu representante legal.
3. La descripción clara y precisa de los datos personales respecto de los que buscas ejercer alguno de los derechos ARCO (salvo que se trate del derecho de acceso).
4. El derecho que deseas ejercer.
5. Cualquier otro elemento que facilite la localización de tus datos personales.

En caso de solicitudes de rectificación, deberás indicar, además, las modificaciones a realizarse y aportar la documentación que sustente tu petición.

Una vez recibida tu solicitud, te responderemos en un plazo máximo de 20 días hábiles y, de ser procedente, haremos efectiva tu solicitud dentro de los 15 días hábiles siguientes a la fecha en que te comuniquemos la respuesta. Estos plazos podrán ampliarse una sola vez por un periodo igual, siempre y cuando así lo justifiquen las circunstancias del caso. La respuesta y, en su caso, los datos solicitados, se te harán llegar por el medio que hayas indicado; el acceso se dará mediante copias simples o en formato electrónico.

El ejercicio de los derechos ARCO es gratuito. Únicamente podrán cobrarse los gastos justificados de envío o el costo de reproducción en copias u otros formatos, en los términos de la LFPDPPP.

Revocación del consentimiento. Puedes revocar el consentimiento que nos hayas otorgado por el mismo medio señalado en esta sección. Ten en cuenta que la revocación no tiene efectos retroactivos y que, cuando se refiera a datos necesarios para las finalidades primarias, podría implicar que no podamos seguir prestándote el servicio. Asimismo, es posible que debamos conservar ciertos datos para cumplir obligaciones legales.

También puedes consultar las instrucciones para eliminar tus datos en https://www.letseven.io/eliminacion-de-datos/.

Tus datos personales podrán ser transferidos a los siguientes terceros, para las finalidades que se indican:

Los terceros receptores asumirán las mismas obligaciones que correspondan a XQUISITO LAB respecto del tratamiento de tus datos personales.

Si no deseas que tus datos sean transferidos para las finalidades que requieren tu consentimiento, manifiéstalo en cualquier momento por los medios señalados en la sección IV.

Adicionalmente, para operar la plataforma nos apoyamos en proveedores que tratan datos personales por nuestra cuenta, en calidad de encargados, y que están obligados contractualmente a tratarlos únicamente conforme a nuestras instrucciones y a mantener su confidencialidad y seguridad. Estas comunicaciones no constituyen transferencias y no requieren tu consentimiento. Algunos de estos proveedores se ubican fuera de México:

XQUISITO LAB te informará sobre cualquier modificación al presente Aviso de Privacidad a través de los siguientes medios:

• Publicación en el sitio web oficial: podemos actualizar este Aviso de Privacidad para reflejar cambios legales o en nuestros servicios. Siempre publicaremos la versión vigente en https://www.letseven.io/privacidad/, con su fecha de última actualización.
• Aviso dentro de la plataforma: mostraremos un aviso visible en la plataforma la siguiente ocasión que la utilices después de un cambio relevante.
• Notificación directa: si el cambio implica nuevas finalidades o transferencias que requieran tu consentimiento, te lo solicitaremos por correo electrónico o mediante cualquier otro medio de contacto que nos hayas proporcionado (por ejemplo, el número de teléfono asociado a tu cuenta), antes de tratar tus datos para dichas finalidades.

Las modificaciones entrarán en vigor a partir de su publicación en los medios señalados. Te recomendamos revisar periódicamente este Aviso de Privacidad.

La plataforma utiliza almacenamiento local y cookies estrictamente necesarias para su funcionamiento (por ejemplo, mantener tu sesión, tu carrito y tus preferencias). Estas tecnologías no se utilizan para rastrearte en otros sitios. Si en el futuro utilizamos cookies, web beacons u otras tecnologías con fines analíticos o publicitarios, te lo informaremos mediante la actualización de este aviso y un aviso visible en la plataforma, antes de activarlas, y podrás gestionarlas desde tu navegador.

Aplicamos medidas de seguridad administrativas, técnicas y físicas para proteger tus datos: cifrado de las comunicaciones (TLS), tokenización de los datos de pago, controles de acceso y separación de ambientes. Las personas que intervienen en el tratamiento de tus datos están obligadas a guardar confidencialidad, obligación que subsiste aun después de terminar su relación con nosotros.

Conservamos tus datos mientras tu cuenta esté activa o mientras sean necesarios para las finalidades descritas. Cuando dejen de serlo, o cuando solicites su cancelación, serán bloqueados únicamente para atender posibles responsabilidades derivadas del tratamiento, durante el plazo de prescripción aplicable, y posteriormente se suprimirán. Los comprobantes de transacciones y facturas se conservan durante los plazos que exige la legislación fiscal y mercantil mexicana (cinco años para la documentación fiscal conforme al Código Fiscal de la Federación). Los datos asociados a un identificador temporal de invitado se eliminan o disocian 1 día después de concluida la operación.

En caso de que ocurra una vulneración de seguridad en cualquier fase del tratamiento que afecte de forma significativa tus derechos patrimoniales o morales, te lo informaremos de inmediato por correo electrónico, por el número de teléfono asociado a tu cuenta o mediante un aviso en la plataforma, indicando la naturaleza del incidente, los datos comprometidos, las acciones que hemos adoptado y las recomendaciones para que puedas proteger tus intereses.

Los Establecimientos afiliados se obligan a informar a XQUISITO LAB de manera inmediata, y en ningún caso después de tener conocimiento de ello, sobre cualquier incidente o vulneración de seguridad que involucre datos personales relacionados con los servicios prestados mediante la plataforma Even, proporcionando toda la información razonablemente disponible para su evaluación, contención y atención.

Las calificaciones (reviews) que publiques en los platillos serán visibles en los detalles de cada platillo. Puedes modificarlas o eliminarlas en cualquier momento desde tu perfil.

Nuestros servicios están dirigidos a personas mayores de 18 años. Los menores de edad solo podrán utilizar la plataforma bajo la supervisión y con el consentimiento de su padre, madre o tutor, quien será responsable del uso que hagan de ella. Si detectamos que hemos recabado datos de un menor sin el consentimiento de su padre, madre o tutor, los eliminaremos a la brevedad.

Al proporcionarnos tus datos personales y utilizar la plataforma después de haber tenido a tu disposición este Aviso de Privacidad, y sin haber manifestado tu negativa por los medios señalados en las secciones III, IV y VI, consientes el tratamiento de tus datos personales para las finalidades secundarias y las transferencias aquí descritas. Este consentimiento puede revocarse en cualquier momento conforme a la sección V.

Este Aviso de Privacidad se rige por la LFPDPPP y demás legislación mexicana aplicable. Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en materia de protección de datos personales (https://www.gob.mx/buengobierno).