Usamos los datos de tu cuenta para darte acceso a Cartia, cobrarte, darte soporte y mantener la plataforma segura. Si solo visitas un menú, no te pedimos datos ni creamos un perfil tuyo: contamos visitas de forma anónima y, si haces un pedido, tu nombre y tus notas viajan por WhatsApp directo del teléfono al negocio, sin que los guardemos. Si usas la importación de menú con inteligencia artificial, las fotos de tu menú se envían a OpenAI solo para leerlas y nosotros las borramos en máximo 24 horas. En las páginas de Cartia (no en los menús de los negocios ni en tu panel) usamos el Pixel de Meta para medir nuestros anuncios. No vendemos información.
Cambios de esta versión (25 de octubre de 2026): agregamos la función Pantallas (tu menú en la tele) y lo que guarda cada tele vinculada, y los menús de muestra que preparamos para un negocio con su información pública. Versión anterior (24 de octubre de 2026): agregamos la importación de menú con inteligencia artificial y a OpenAI como proveedor, los mensajes que nos envías por Facebook, Messenger o Instagram, los pagos en OXXO, el código permanente de cada negocio, el origen de las visitas (QR o enlace) y la medición de nuestros anuncios con el Pixel de Meta y una cookie de origen de campaña.
01Identidad y domicilio del responsable
José Arturo Muñoz Castorena, persona física que opera con el nombre comercial DyDa («DyDa»), con domicilio en Rafael Campuzano 615, Col. San Gonzalo, C.P. 36740, Salamanca, Guanajuato, es responsable del tratamiento de los datos personales descritos en este aviso, que se recaban a través de Cartia. Lo hace conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la «Ley») y demás normativa aplicable.
Contacto de privacidad: [email protected].
02A quién aplica este aviso
Negocios que usan Cartia
Personas que crean una cuenta para publicar el menú o catálogo de su negocio.
Visitantes de un menú o catálogo
Personas que abren el menú de un negocio, por ejemplo al escanear su código QR, o que arman un pedido desde él.
- Cartia no te pide registrarte ni dejar tus datos para ver un menú.
- Lo que el negocio haga con los datos que le envíes por WhatsApp es responsabilidad del negocio. Para ejercer tus derechos sobre esos datos, dirígete directamente a él.
Visitantes de nuestro sitio
Personas que consultan la página principal de Cartia o nos escriben para pedir información.
03Datos personales que tratamos
| CATEGORÍA | DATOS |
|---|---|
| Cuenta del negocio | Nombre, correo electrónico, contraseña (almacenada solo de forma cifrada e irreversible), nombre del negocio, su código permanente y el nombre de su enlace, y el WhatsApp, dirección y horarios que decidas publicar. |
| Acceso y seguridad | Sesiones activas, dirección IP y tipo de navegador. |
| Facturación | Plan, estado de la suscripción e historial de pagos. Si pides factura, los datos fiscales que nos envíes (razón social, RFC, régimen fiscal y código postal). Los datos de tu tarjeta los recaba y conserva directamente nuestro procesador de pagos; DyDa no los almacena completos. Si pagas en OXXO, el procesador genera la ficha de pago con tu nombre y correo y recibe el pago. |
| Visitas a los menús | Conteo anónimo de visitas a cada menú y producto, con fecha, hora y si llegaron por el código QR o por un enlace. No guardamos la IP ni datos que te identifiquen junto a ese conteo. |
| Pedidos por WhatsApp | Solo el total, el número de productos, el tipo de pedido (mesa, para llevar o a domicilio) y, si aplica, el número de mesa, para mostrar estadísticas al negocio. No guardamos tu nombre, teléfono, dirección ni notas. |
| Importación de menú con IA | Las fotos o PDF de tu menú impreso que subes para importarlo, el borrador de productos que se genera y un registro de uso (páginas, modelo y cantidad de texto procesado) para controlar el costo. |
| Pantallas (tu menú en la tele) | Por cada tele que vinculas: el nombre que le pones, lo que muestra, un identificador del dispositivo (guardamos solo su huella cifrada, nunca el identificador en claro) y la fecha y hora de su última conexión. No guardamos la IP de la tele junto a esos datos ni datos personales de quien la ve. |
| Menús de muestra para un negocio | Cuando preparamos un menú de muestra para ofrecerle Cartia a un negocio: su nombre, giro, ciudad, WhatsApp, logo, fotos, productos y precios, tomados solo de lo que el negocio publicó (por ejemplo, en su página de Facebook). No se muestra en buscadores ni se cuentan sus visitas, y lo borramos con sus fotos en cuanto el negocio lo pida a [email protected] o si no lo quiere. Si el dueño se queda con él, pasa a ser parte de su cuenta. |
| Contacto | Nombre, correo y el mensaje que nos envíes. |
| Mensajes en redes sociales | Si nos escribes por Facebook, Messenger o Instagram: tu nombre de usuario, la foto de perfil que Meta muestre y el mensaje. |
No solicitamos datos personales sensibles.
04Finalidades del tratamiento
Finalidades primarias (necesarias para el servicio)
- Crear y administrar tu cuenta y permitirte publicar tu menú o catálogo.
- Mostrar el menú público de cada negocio a sus visitantes.
- Procesar pagos, gestionar la prueba gratuita, la suscripción, la pausa y la cancelación.
- Enviarte avisos operativos sobre seguridad, vencimientos, cobros y cambios en el servicio o en estos documentos.
- Mostrar al negocio estadísticas de visitas y pedidos, siempre de forma agregada.
- Leer con inteligencia artificial las fotos de tu menú impreso para proponerte un borrador de productos, solo cuando uses la importación.
- Responder los mensajes que nos envías por correo o redes sociales. En Messenger e Instagram contesta primero un asistente automático con inteligencia artificial, que te pasa con una persona cuando lo pides o cuando no sabe la respuesta.
- Brindar soporte técnico y atender tus solicitudes.
- Mantener la seguridad de la plataforma, prevenir fraudes y abusos, y cumplir obligaciones legales.
Finalidades secundarias (no necesarias)
- Enviarte novedades, consejos y promociones de Cartia.
- Pedirte tu opinión sobre el servicio mediante encuestas.
- Medir qué anuncios y campañas de Cartia funcionan, con el Pixel de Meta y la cookie de origen de campaña, en nuestras páginas públicas.
Si no quieres que usemos tus datos para las finalidades secundarias, escríbenos a [email protected] o usa el enlace para dejar de recibir correos que incluimos en cada mensaje. Tu negativa no afecta el servicio contratado.
05Cuando haces un pedido por WhatsApp
- Los productos que agregas y los datos que escribes (nombre, mesa, dirección o notas) se guardan solo en tu navegador mientras armas el pedido.
- Al tocar «Enviar pedido por WhatsApp», Cartia arma el mensaje y abre WhatsApp en tu teléfono. Tú decides si lo envías.
- El mensaje viaja de tu WhatsApp al del negocio. Cartia no lo recibe ni lo guarda; solo registra el total y el número de productos para las estadísticas del negocio.
WhatsApp es un servicio de Meta con su propio aviso de privacidad.
06Proveedores que tratan datos por cuenta de DyDa
Para operar la plataforma nos apoyamos en proveedores que tratan datos personales únicamente por nuestra cuenta, con obligaciones de confidencialidad y seguridad. Algunos se ubican en los Estados Unidos de América, por lo que hay transferencia internacional de datos para su alojamiento y procesamiento.
| PROVEEDOR | SERVICIO | UBICACIÓN |
|---|---|---|
| Railway | Servidores de la aplicación | Estados Unidos |
| Neon | Base de datos | Estados Unidos |
| Cloudflare | Red, seguridad, dominios y almacenamiento de fotos (R2) | Red global |
| Stripe | Procesamiento de pagos | Estados Unidos y otros países |
| Resend | Envío de correos de la cuenta | Estados Unidos |
| OpenAI | Lectura con inteligencia artificial de las fotos de tu menú, solo cuando usas la importación, y respuestas automáticas a los mensajes que nos envías por Messenger o Instagram | Estados Unidos |
| Meta Platforms | Facebook, Messenger e Instagram de Cartia, cuando nos escribes por ahí, y Pixel de Meta para medir nuestros anuncios en las páginas públicas de Cartia | Estados Unidos y otros países |
Mantendremos esta lista actualizada en esta página.
Sobre la importación con IA: las fotos que subes se envían a OpenAI únicamente para leer el texto del menú. Según su política para la API, OpenAI no usa esos datos para entrenar sus modelos y puede conservarlos hasta 30 días en registros para detectar abusos, o más si la ley lo exige. Le pedimos no guardar las respuestas. DyDa borra sus copias de las fotos al importar o cancelar, y como máximo a las 24 horas. Nada se publica en tu menú sin que lo revises y apruebes. Los mensajes que nos envías por Messenger o Instagram también se envían a OpenAI para generar la respuesta automática, con las mismas condiciones; guardamos solo el texto de la conversación y su fecha, sin tu nombre ni tu foto de perfil.
07Transferencias de datos
DyDa no vende ni renta tus datos personales. Solo los comunicaremos a terceros en estos casos:
- cuando lo exija una ley o una autoridad competente;
- cuando sea necesario para reconocer, ejercer o defender un derecho en un proceso judicial;
- en una reorganización societaria; en ese caso, quien los reciba asumirá las obligaciones de este aviso.
Conforme a la Ley, estas transferencias no requieren tu consentimiento.
08Cookies y almacenamiento en tu navegador
Usamos únicamente cookies estrictamente necesarias:
| NOMBRE | PARA QUÉ | DURACIÓN |
|---|---|---|
| better-auth.session_token | Mantener iniciada la sesión del panel del negocio. | 7 días |
| cartia_utm | Solo en las páginas de Cartia: recordar desde qué campaña (por ejemplo, un anuncio en Facebook) llegaste la primera vez, para saber qué anuncios funcionan. Se guarda en tu negocio si te registras. | 30 días |
| _fbp y cookies de Meta (Pixel) | Solo en la página principal, precios, giros, blog y registro de Cartia: medir visitas, registros y pruebas que vienen de nuestros anuncios. Meta las trata conforme a su propio aviso de privacidad. Nunca se cargan en los menús de los negocios ni en tu panel. | Hasta 90 días |
| cartia_visit_* | Contar una sola visita por menú o producto, sin duplicados. Solo contiene la hora de la visita, firmada. | 30 minutos |
| Marcador de QR (almacenamiento de sesión) | Saber si llegaste al menú por el código QR o por un enlace, para el conteo de visitas. No contiene datos personales. | 30 minutos |
| Pedido de demostración (almacenamiento de sesión) | Solo en los menús de muestra: pasar el pedido al chat de WhatsApp simulado. No se envía a nadie. | Hasta que cierres la pestaña |
| cartia_tv y almacenamiento local de la tele | Solo en la página /tv de una tele vinculada: guardar el identificador del dispositivo que la conecta a tu menú y una copia del menú para mostrarlo si se va el internet. No contiene datos personales. Se borra al desvincular la pantalla. | Hasta que desvincules la pantalla (la cookie, 10 años) |
| Almacenamiento local del pedido | Recordar los productos de tu pedido si cierras la página. Se borra al enviarlo. | Hasta que lo envíes o lo borres |
Fuera del Pixel de Meta y la cookie de origen de campaña descritos arriba, no usamos cookies de publicidad ni herramientas de analítica de terceros. Puedes borrar las cookies desde tu navegador; sin la de sesión no podrás entrar a tu panel. Para limitar cómo Meta usa esta información, revisa tu configuración de anuncios en Facebook o Instagram (Centro de cuentas › Preferencias de anuncios).
09Conservación de los datos
- Datos de tu cuenta y de tu negocio: mientras la cuenta esté activa y hasta 180 días después de que tu menú quede en pausa, según los Términos y Condiciones.
- Conteo de visitas y pedidos: mientras exista el negocio, de forma agregada.
- Información de pagos y facturas: durante los plazos que exigen las disposiciones fiscales.
- Fotos para importar tu menú: se borran al importar o cancelar y, como máximo, a las 24 horas. El borrador se guarda hasta que lo importes o lo canceles; el registro de uso, mientras exista el negocio.
- Mensajes de contacto, incluidos los de redes sociales: hasta 24 meses desde el último contacto, salvo que nos pidas eliminarlos antes. Las copias que guarda Meta se rigen por su propio aviso de privacidad.
10Medidas de seguridad
Aplicamos medidas administrativas, técnicas y físicas para proteger tus datos. Entre ellas:
- aislamiento de la información de cada negocio a nivel de base de datos;
- cifrado de las comunicaciones (HTTPS);
- almacenamiento de contraseñas con funciones de cifrado irreversible;
- eliminación de los metadatos (como la ubicación) de las fotos que subes;
- acceso del personal de DyDa a tu cuenta solo para soporte o seguridad, con registro.
Si ocurre una vulneración de seguridad que afecte de forma significativa tus derechos, te la informaremos sin demora para que puedas tomar medidas.
11Derechos ARCO, revocación y limitación del uso
Tienes derecho a Acceder a tus datos, Rectificarlos si son inexactos, Cancelarlos cuando consideres que no se requieren y Oponerte a su tratamiento para fines específicos. También puedes revocar tu consentimiento y limitar el uso o la divulgación de tus datos.
Para hacerlo, envía tu solicitud a [email protected] con lo siguiente:
- tu nombre y un medio para comunicarte la respuesta;
- los documentos que acrediten tu identidad o, en su caso, la representación legal;
- la descripción clara de los datos y del derecho que deseas ejercer;
- cualquier documento que facilite la localización de tus datos.
Te responderemos en un plazo máximo de 20 (veinte) días hábiles. Si tu solicitud procede, la haremos efectiva dentro de los 15 (quince) días hábiles siguientes. Algunos datos no podrán cancelarse mientras exista una obligación legal de conservarlos, como la información fiscal.
Muchos datos de tu cuenta puedes consultarlos y corregirlos directamente en tu panel, en Ajustes.
La importación con inteligencia artificial es opcional. Si no quieres que las fotos de tu menú se procesen con IA, no la uses: puedes capturar tus productos a mano o pedirnos ayuda en [email protected]. En Messenger o Instagram, escribe «quiero hablar con una persona» y el asistente automático deja de responder en esa conversación.
12Autoridad
Si consideras que se vulneró tu derecho a la protección de datos personales, puedes acudir ante la autoridad competente en la materia, que actualmente es la Secretaría Anticorrupción y Buen Gobierno.
13Cambios a este aviso
Podemos modificar este aviso por cambios legales, en nuestros servicios o en nuestros proveedores. Publicaremos la versión vigente en esta página, con su fecha. Cuando el cambio sea relevante, te avisaremos por correo o dentro de tu panel.
14Contacto
- Responsable
- José Arturo Muñoz Castorena · Nombre comercial: DyDa
- Domicilio
- Rafael Campuzano 615, Col. San Gonzalo, C.P. 36740, Salamanca, Guanajuato
- Correo de privacidad
- [email protected]
- Teléfono
- 477 398 9838