Aviso de Privacidad

1. Quién es responsable de tus datos

TLANEXTIA S.A.S. de C.V. (en adelante «TLANEXTIA»), con domicilio en Calle Miguel Hidalgo No. 4, Col. Libertad, C.P. 91270, Perote, Veracruz, México, es la responsable del tratamiento de los datos personales que se describen en este aviso, en los términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (la «Ley»), su Reglamento y los Lineamientos del Aviso de Privacidad.

Este aviso aplica al sistema Comanda (https://comandas.tlanextia.mx), un servicio en renta para restaurantes, fondas, taquerías, cafeterías y negocios de comida. Para cualquier tema de datos personales escríbenos a comandas@tlanextia.mx o al domicilio anterior.

2. Cuatro tipos de personas, dos papeles de TLANEXTIA

Comanda trata datos de cuatro tipos de personas:

• Dueños: la persona que registra un restaurante, contrata el servicio y administra la cuenta.
• Personal del restaurante: los meseros y el personal de cocina a quienes el dueño da de alta para que usen el sistema.
• Clientes a domicilio: las personas que hacen un pedido desde la liga pública de un restaurante.
• Visitantes de la página de venta de Comanda.

Respecto de los dueños y de los visitantes, TLANEXTIA es la responsable: decide para qué y cómo se tratan sus datos, y este aviso les aplica de forma directa.

Respecto del personal y de los clientes a domicilio, TLANEXTIA actúa como encargada: trata sus datos únicamente por cuenta e instrucciones del restaurante que los registró o al que le hicieron el pedido, que es el responsable frente a ellos. El restaurante decide a quién da de alta, qué pedidos acepta y cuándo elimina la información. Si trabajas en un restaurante que usa Comanda o le hiciste un pedido, lee la sección 11.

3. Datos personales que tratamos

No tratamos datos personales sensibles (origen étnico, salud, creencias, opiniones políticas, preferencia sexual u otros de la esfera íntima). Los campos de texto libre del sistema (notas de una comanda o de un pedido, motivos de cancelación, cortesía o descuento) están pensados para la operación del restaurante; el restaurante se obliga a no capturar en ellos datos sensibles.

3.1 De dueños

Dato	Cuándo lo obtenemos
Correo electrónico y contraseña (guardada cifrada con un algoritmo de una sola vía)	Al registrarte
Nombre y teléfono de WhatsApp	En «Configuración» y en «Mi cuenta»
Identificador de tu cuenta de Google, correo y nombre que Google nos entrega	Solo si eliges entrar con Google
Secreto y códigos de recuperación de la verificación en dos pasos (guardados cifrados)	Al activar la verificación en dos pasos
Fecha, hora, dirección IP y versión del aviso y de los términos que aceptaste	Al registrarte y cada vez que aceptas una versión nueva
Fecha, hora y dirección IP en que autorizaste el cobro automático mensual	Al activar tu plan
Datos de tu negocio: nombre, WhatsApp, correo de contacto, dirección y horario (todos opcionales, salvo el nombre)	En «Configuración»
Datos de la suscripción: identificador de cliente en Stripe, tipo de tarjeta y últimos cuatro dígitos, y estado de la suscripción	Al pagar; nos los comunica Stripe
Datos técnicos: dirección IP, navegador (agente de usuario), fecha del último acceso y registro de sesiones	Cada vez que usas el sistema
Bitácora de acciones: qué hiciste y cuándo (cancelaciones, cortesías, descuentos, cobros, cortes, cambios de precios, de equipo y de configuración)	Cada acción relevante dentro del sistema
Preferencias: sonido de los avisos y si deseas o no los consejos de bienvenida por WhatsApp	En «Mi cuenta» y en «Configuración»

Datos financieros o patrimoniales. Los datos de tu suscripción son datos financieros o patrimoniales, por lo que su tratamiento requiere tu consentimiento expreso; te lo pedimos con una casilla al activar el cobro. Nunca vemos ni guardamos el número completo de tu tarjeta ni su código de seguridad: los capturas directamente en la página de pago de Stripe.

La información de la operación de tu restaurante (menú, mesas, comandas, cuentas, pagos registrados, propinas, cortes, insumos y reportes) es información comercial de tu negocio. Los pagos de tus comensales solo se registran (monto, propina y método: efectivo, tarjeta o transferencia); Comanda no procesa esos pagos ni recibe datos de las tarjetas de tus comensales.

3.2 Del personal del restaurante (por cuenta del restaurante responsable)

Nombre, teléfono de WhatsApp o correo electrónico (el que el dueño capture para que la persona pueda entrar), puesto (mesero o cocina), contraseña (guardada cifrada), si el usuario está activo, verificación en dos pasos (opcional), preferencia de sonido, datos técnicos (dirección IP, navegador, fecha del último acceso, sesiones) y su actividad dentro del sistema: las comandas que tomó, los pagos que registró, los cortes que hizo, los movimientos de insumos que capturó y los eventos de la bitácora en los que intervino, con su nombre y su puesto.

El dueño del restaurante puede ver el nombre, el teléfono o correo y la actividad de su personal en las pantallas de Equipo, Bitácora, Corte y Reportes (por ejemplo, las ventas y propinas por mesero). Así funciona la administración del equipo dentro de cada restaurante.

3.3 De clientes a domicilio (por cuenta del restaurante responsable)

Nombre, teléfono de WhatsApp, dirección de entrega, notas del pedido, los platillos pedidos, el importe, la forma de pago elegida y los mensajes de WhatsApp que se le envían sobre su pedido (teléfono, texto y si se entregó). Los clientes a domicilio no crean una cuenta. El detalle está en el aviso de privacidad que cada restaurante muestra en su liga de pedidos.

De los comensales que consumen en mesa no se tratan datos personales: al dividir una cuenta, el mesero puede escribir una etiqueta libre por pago (por ejemplo «Comensal 2»).

3.4 De visitantes de la página de venta

La página de venta no tiene formularios de contacto ni herramientas de analítica o publicidad. Solo se tratan los datos técnicos indispensables para servir la página (dirección IP y navegador, en los registros del servidor) y las tecnologías descritas en la sección 10.

4. Para qué usamos tus datos

4.1 Finalidades necesarias para el servicio (dan origen a la relación contigo)

1. Crear, verificar y administrar tu cuenta y la de tu equipo, incluida la verificación en dos pasos.
2. Prestar el servicio de Comanda: menú, mesas, toma de comandas, pantalla de cocina, avisos de platillo listo, cuentas y cobros, corte del día, reportes, control de insumos, pedidos a domicilio por liga pública con seguimiento, mensajes de WhatsApp sobre los pedidos, bitácora y app instalable.
3. Administrar tu periodo de prueba y cobrar la renta mensual; activar, suspender o reactivar la cuenta según el estado del pago, y avisarte de la renovación y de problemas de cobro.
4. Enviarte comunicaciones del servicio: confirmación de correo, recuperación de contraseña, aviso de que tu prueba está por terminar o terminó, avisos de pago, pedidos nuevos a domicilio y alertas de insumos por agotarse.
5. Proteger tu cuenta y el sistema: registrar accesos, sesiones y acciones en la bitácora, limitar intentos de acceso, detectar usos no autorizados, resolver fallas y atender soporte.
6. Acreditar que aceptaste este aviso y los Términos y Condiciones, y que autorizaste el cobro recurrente.
7. Cumplir obligaciones legales, en especial conservar la evidencia de los contratos celebrados por medios electrónicos.

4.2 Finalidad que no es necesaria para el servicio (puedes negarte sin afectar tu cuenta)

8. Consejos de bienvenida de Comanda: durante tus primeros 7 días te enviamos por WhatsApp hasta cinco mensajes con consejos para aprovechar el sistema. El primero sale cuando guardas el WhatsApp de tu negocio. Puedes negarte antes de que se envíe cualquiera, marcando en Configuración la casilla «No quiero recibir por WhatsApp los consejos de bienvenida de Comanda» en el mismo formulario donde capturas tu número, o en cualquier momento después. Tu negativa no cambia el servicio que recibes.

TLANEXTIA no usa tus datos, los de tu personal ni los de tus clientes para publicidad propia o de terceros, ni los vende, ni hace perfiles de personas.

4.3 Automatizaciones que debes conocer

• Cuando un cliente hace un pedido por la liga de tu restaurante, el sistema le envía por WhatsApp mensajes automáticos sobre el estado de su pedido (recibido, aceptado o rechazado, en camino y entregado) y a tu negocio le avisa del pedido nuevo.
• Si un insumo llega a su mínimo, el sistema avisa por WhatsApp al número del negocio.
• Al terminar la prueba gratis, o si un cobro de la renta falla, el sistema suspende el uso de la cuenta de forma automática y muestra una pantalla para activar o regularizar el pago. No se borra información; al confirmarse el pago, el acceso se restablece.

Ninguna de estas automatizaciones evalúa a personas ni toma decisiones sobre ellas.

5. Con quién compartimos los datos

Para prestar el servicio usamos proveedores que tratan datos por nuestra cuenta (encargados) y realizamos algunas transferencias necesarias para mantener la relación contigo (artículo 36, fracciones IV y VII de la Ley), por lo que no requieren tu consentimiento adicional:

Destinatario	Datos	Para qué	Dónde está
Stripe, Inc.	Nombre de tu negocio, tu correo y un identificador de tu cuenta. La tarjeta la capturas directamente en Stripe.	Cobro de la suscripción, portal de pagos y recibos	Estados Unidos
Brevo (Sendinblue SAS)	Correo y nombre del destinatario, asunto y contenido de los correos del servicio	Envío de correos del servicio (confirmación de correo, recuperación de contraseña, aviso de renovación)	Francia (Unión Europea)
WhatsApp / Meta Platforms y el servicio de conexión (Evolution API) que TLANEXTIA administra	Los mensajes que el sistema envía: teléfono del destinatario y texto del mensaje. A los clientes a domicilio: su nombre, el folio, el importe y la dirección de entrega de su pedido. Al negocio: avisos de pedidos, insumos y del plan. Los mensajes salen del número de WhatsApp de Comanda, a nombre del restaurante.	Mensajería del servicio	Meta opera desde Estados Unidos; el servicio de conexión se aloja en servidores contratados por TLANEXTIA
Google LLC	Si entras con Google: tu identificador, correo y nombre. En toda página cargamos tipografías desde Google Fonts, por lo que Google recibe la dirección IP de tu dispositivo	Inicio de sesión opcional; tipografías	Estados Unidos
Contabo GmbH (proveedor de alojamiento)	Toda la información del sistema reside en un servidor contratado a este proveedor	Alojamiento y respaldos	Unión Europea
El dueño de tu restaurante (si eres parte de su personal)	Tu nombre, teléfono o correo y tu actividad dentro del sistema	Administración del equipo	—
Autoridades	Los datos que exija una orden o requerimiento fundado y motivado	Cumplimiento de obligaciones legales	México

Si la página de venta muestra un video de demostración y decides reproducirlo, el video se carga desde la plataforma que lo aloja (YouTube, de Google LLC, en su modalidad sin cookies de seguimiento, o Vimeo), que recibe la dirección IP de tu dispositivo.

Fuera de estos casos, TLANEXTIA no transfiere tus datos a terceros.

6. Cuánto tiempo conservamos los datos

Información	Plazo
Cuenta, negocio, equipo, menú, comandas, cuentas, cortes, pedidos a domicilio, mensajes y bitácora	Mientras tu cuenta esté en prueba, activa o suspendida. Si cancelas, tu prueba termina sin que actives el plan o tu suscripción termina, conservamos la información 12 meses por si decides regresar y para atender aclaraciones; después la bloqueamos y la eliminamos. Puedes pedir que la eliminemos antes.
Datos de un cliente a domicilio	El mismo plazo anterior, o hasta que el restaurante los borre con la herramienta «Privacidad de tus clientes» (sección 11).
Evidencia de aceptación de este aviso, de los términos y del cobro recurrente, y registros de pago	10 años, como obligan las normas mercantiles a los comerciantes para los contratos celebrados por medios electrónicos (artículo 49 del Código de Comercio).
Registros técnicos de errores y accesos (logs)	14 días.
Avisos de pago recibidos de Stripe (solo el identificador y el tipo de aviso)	90 días.
Ligas para restablecer la contraseña	Vencen a los 60 minutos y se eliminan al día siguiente.
Respaldos diarios	14 días; un dato eliminado permanece en los respaldos hasta que estos se sustituyen.
Sesiones	4 horas de inactividad; la opción «Mantener mi sesión» la conserva hasta 30 días.

Cuando el dueño elimina un platillo, una mesa o desactiva a una persona de su equipo que ya tiene historial, el registro deja de usarse pero se conserva para que las ventas, cortes y reportes anteriores sigan cuadrando, hasta que se cumpla el plazo de la primera fila.

7. Cómo protegemos tus datos

Cifrado de las comunicaciones (HTTPS), contraseñas guardadas con hash irreversible, verificación en dos pasos obligatoria para dueños y opcional para el personal, secretos cifrados, aislamiento estricto de la información de cada restaurante (un restaurante nunca puede ver los datos de otro), control de permisos por puesto verificado en el servidor, límite de intentos de acceso, cierre de las demás sesiones al cambiar la contraseña, validación de todos los datos de entrada, liga pública de pedidos con una clave que no se puede adivinar y que el dueño puede cambiar, límites y filtros contra el abuso automatizado de esa liga, bitácora de acciones, respaldos diarios con acceso restringido y verificación de la firma en los avisos que recibimos de Stripe. Si ocurriera una vulneración de seguridad que afecte de forma significativa tus derechos, te la informaremos de inmediato por correo, indicando qué pasó, qué datos se vieron comprometidos, qué hicimos y qué te recomendamos hacer.

8. Tus derechos: acceso, rectificación, cancelación y oposición (ARCO)

Tienes derecho a conocer qué datos tuyos tratamos y para qué (acceso); a corregirlos cuando sean inexactos o incompletos (rectificación); a que los eliminemos cuando ya no sean necesarios para las finalidades de este aviso (cancelación), y a oponerte a su tratamiento para fines específicos (oposición).

Lo que puedes hacer tú mismo dentro del sistema, en cualquier momento y sin costo:

• Ver y corregir tu nombre, tu correo y tu teléfono de WhatsApp en Mi cuenta; cambiar tu contraseña (lo que cierra tus demás sesiones); activar o desactivar la verificación en dos pasos cuando es opcional.
• Si eres dueño: corregir los datos de tu negocio en Configuración; dar de alta, corregir, desactivar o eliminar a tu personal en Equipo; borrar los datos de un cliente a domicilio en Configuración → Privacidad de tus clientes; cambiar la liga pública de pedidos; negarte a los consejos de bienvenida; cancelar tu plan en Mi plan.

Para todo lo demás (por ejemplo, eliminar tu cuenta o tu restaurante completo, obtener una copia de tus datos si ya no tienes acceso, u oponerte a un tratamiento), envía tu solicitud a comandas@tlanextia.mx con el asunto «Derechos ARCO», o por escrito al domicilio de la sección 1, indicando:

1. Tu nombre y un correo o domicilio para responderte.
2. Copia de una identificación oficial vigente o, si escribes desde el correo registrado en tu cuenta, así lo haremos constar para acreditar tu identidad. Si actúas por un representante, los documentos que acrediten su personalidad.
3. Qué derecho quieres ejercer y sobre qué datos (para el acceso basta con decirlo).
4. Cualquier dato que nos ayude a localizar la información (nombre del restaurante, correo o teléfono de la cuenta).

Te responderemos por el mismo medio en un plazo máximo de 20 días hábiles desde que recibamos la solicitud y, si procede, la haremos efectiva dentro de los 15 días hábiles siguientes. Estos plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen; te lo avisaremos. El ejercicio de estos derechos es gratuito; solo podríamos cobrarte los costos justificados de envío o copias. Entregamos la información por correo electrónico o, si lo prefieres, en copia simple. Podemos negar la solicitud en los casos que la Ley señala (por ejemplo, si no acreditas tu identidad o si los datos deben conservarse por obligación legal o para el cumplimiento de la relación contractual); en ese caso te explicaremos el motivo.

La persona encargada de atender estas solicitudes es el área de datos personales de TLANEXTIA, en el correo indicado.

9. Cómo revocar tu consentimiento y limitar el uso de tus datos

• Puedes revocar tu consentimiento para la finalidad no necesaria (consejos de bienvenida) en Configuración o escribiendo a comandas@tlanextia.mx; surte efecto de inmediato y sin efectos retroactivos.
• Puedes revocar el consentimiento para el cobro recurrente cancelando tu plan en Mi plan: la cancelación es inmediata, no se te vuelve a cobrar y conservas el acceso hasta el final del periodo ya pagado.
• Puedes revocar el consentimiento para las demás finalidades necesarias solicitando la eliminación de tu cuenta por el procedimiento de la sección 8. Ten en cuenta que sin esos datos no podemos prestarte el servicio, y que conservaremos lo que la ley nos obliga (sección 6).
• Para limitar el uso o divulgación de tus datos puedes usar los mismos medios; además, si consideras que recibes publicidad, puedes inscribirte en el Registro Público para Evitar Publicidad de la Profeco (repep.profeco.gob.mx). TLANEXTIA no envía publicidad por medio de Comanda.

10. Cookies y tecnologías similares

Comanda usa únicamente tecnologías necesarias para funcionar; no usa cookies de publicidad ni herramientas de analítica:

Tecnología	Para qué	Duración
Cookie de sesión (comanda-session)	Mantener tu sesión iniciada y proteger los formularios	4 horas de inactividad
Cookie XSRF-TOKEN	Proteger los formularios contra falsificación de peticiones	Igual que la sesión
Cookie «Mantener mi sesión»	Conservar tu sesión si marcas esa casilla al entrar	30 días
Almacenamiento local: comanda en curso	Guardar en el teléfono del mesero la comanda que está tomando, para que no se pierda si se cae el internet; se borra al enviarla	Hasta que se envía o se descarta
Almacenamiento local: pedido en curso y datos de entrega	En la liga pública, guardar en el dispositivo del cliente su pedido y, para su siguiente pedido, su nombre, teléfono y dirección; esta copia no sale de su dispositivo	Hasta que borre los datos del navegador
Service worker (app instalable)	Guardar en tu dispositivo únicamente archivos estáticos (estilos, íconos, tipografías, fotos de platillos) y la página «Sin conexión»; nunca guarda pantallas privadas ni tus datos	Hasta que se publique una nueva versión

Puedes deshabilitar o borrar estas tecnologías desde la configuración de tu navegador; si bloqueas las cookies de sesión no podrás iniciar sesión ni enviar pedidos. Las páginas de pago de Stripe y de acceso de Google usan sus propias cookies en sus dominios, conforme a sus avisos de privacidad.

11. Si trabajas en un restaurante que usa Comanda o le hiciste un pedido

El restaurante es el responsable de tus datos y quien debe informarte sobre su tratamiento y atender tus derechos ARCO.

• Si eres mesero o personal de cocina: el dueño de tu restaurante te dio de alta y puede corregir tus datos, desactivar o eliminar tu usuario. Tú puedes ver y corregir tu nombre, correo y teléfono, y cambiar tu contraseña, en Mi cuenta.
• Si hiciste un pedido a domicilio: en la liga del restaurante está su aviso de privacidad. Puedes pedirle en cualquier momento que elimine tu información: el sistema le permite borrar tu nombre, teléfono, dirección y los mensajes de tus pedidos ya terminados.

Si no logras contactar al restaurante, escríbenos a comandas@tlanextia.mx indicando su nombre y, en su caso, el teléfono con el que hiciste el pedido; le trasladaremos tu solicitud y, en lo que nos corresponda como encargada, la atenderemos conforme a sus instrucciones y a la Ley.

12. Cambios a este aviso

Publicaremos cualquier cambio en https://comandas.tlanextia.mx/privacidad, con el número de versión y la fecha de actualización. Si el cambio afecta las finalidades necesarias, los datos que tratamos o las transferencias, al entrar al sistema le pediremos al dueño de cada restaurante aceptar la nueva versión antes de continuar. La versión que aceptaste, con su fecha, queda registrada en tu cuenta.

13. Autoridad

Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes presentar una solicitud de protección de derechos o una denuncia ante la Secretaría Anticorrupción y Buen Gobierno, a través de su Unidad de Protección de Datos Personales, que es la autoridad garante en el ámbito federal (Av. Insurgentes Sur 3211, Col. Insurgentes Cuicuilco, Coyoacán, 04530, Ciudad de México; portal-transparencia.buengobierno.gob.mx). La solicitud de protección de derechos debe presentarse dentro de los 15 días hábiles siguientes a nuestra respuesta o al vencimiento del plazo que teníamos para responder.