Convenio de Tratamiento de Datos Personales (DPA)

Anexo a los Términos de Suscripción de app.deliverycontrol.mx · Última actualización: julio 2026 · La versión en español es la vinculante.

Este Convenio de Tratamiento de Datos Personales (el “Convenio” o “DPA”) se celebra entre el Cliente —la persona física con actividad empresarial o persona moral identificada en la Carátula de Suscripción, en su carácter de Responsable— y XN SYSTEMS, S.A.S., sociedad por acciones simplificada mexicana, RFC XSY260421UC3, operadora de la marca “Delivery Control” (app.deliverycontrol.mx), en su carácter de Encargado (el “Prestador”). Conjuntamente, las “Partes”.

Contactos en materia de protección de datos. Contacto del Prestador (comunicaciones, ejercicio de derechos, incidentes): support@deliverycontrol.mx. Cuenta administradora operativa del Prestador en las plataformas del Cliente: ops@deliverycontrol.mx. Autoridad competente: Secretaría Anticorrupción y Buen Gobierno.

Antecedentes. Las Partes celebraron los Términos de Suscripción del Servicio SaaS (el “Contrato Principal”), cuya prestación implica que el Prestador trate datos personales por cuenta y bajo instrucciones del Cliente. Este Convenio regula dicho tratamiento y forma parte integrante del Contrato Principal. En caso de conflicto en materia de protección de datos, prevalece este Convenio, salvo la excepción de la Cláusula 14.3 (límite de responsabilidad). Este Convenio cubre exclusivamente el tratamiento a través de la aplicación SaaS (Categoría II); no cubre el sitio de marketing deliverycontrol.mx (Categoría I) ni los servicios de consultoría prestados por una persona física distinta de XN Systems (Categoría III), regidos por documentos separados.

1. Definiciones

Responsable: quien decide sobre el tratamiento (el Cliente). Encargado: quien trata los datos por cuenta del Responsable (el Prestador). Titular: la persona física a quien corresponden los datos. Tratamiento: obtención, uso, divulgación o almacenamiento de datos por cualquier medio. Transferencia (Art. 2, fr. XX LFPDPPP): comunicación de datos a persona distinta del titular, del Responsable o del Encargado; la comunicación del Responsable a su Encargado (y de éste a sus sub-encargados) queda excluida del concepto de transferencia; las transferencias a terceros se rigen por los artículos 35 y 36 de la Ley. Remisión: comunicación entre Responsable y Encargado, o entre Encargado y sub-encargados, que no constituye transferencia. Vulneración de seguridad: pérdida, destrucción, robo, extravío, copia, uso, acceso o tratamiento no autorizados de datos. Sub-encargado: tercero contratado por el Encargado para tratar datos por cuenta de éste. Datos del comprador final: datos de los consumidores que realizan pedidos al restaurante del Cliente a través de las plataformas de reparto, a los que el Prestador puede tener acceso al operarlas por cuenta del Cliente.

2. Objeto y roles

2.1. Este Convenio regula el tratamiento que el Prestador realiza por cuenta y bajo las instrucciones del Cliente al prestar el Servicio. 2.2. El Cliente actúa como Responsable (determina finalidades y medios) y el Prestador como Encargado (trata los datos solo conforme a instrucciones documentadas). 2.3. El Prestador no decide sobre las finalidades; si destinara los datos a una finalidad distinta de la autorizada o efectuara una transferencia incumpliendo instrucciones, asumiría respecto de ese tratamiento el carácter de responsable independiente. 2.4. La caracterización respecto de los datos del comprador final se ajustará si una determinación jurídica difiere de lo aquí asumido.

3. Descripción del tratamiento

3.1. Categorías de titulares: (a) personal, socios y representantes del Cliente (usuarios del SaaS y contactos operativos); (b) compradores finales del restaurante del Cliente que realizan pedidos a través de las plataformas de reparto. 3.2. Categorías de datos: del personal/usuarios del Cliente — nombre, correo, credenciales de acceso al SaaS, datos de contacto y facturación; de compradores finales — nombre o alias, datos de contacto o localización de entrega, historial y detalle de pedidos, valoraciones/comentarios y demás datos expuestos por las plataformas al operarlas. El Prestador accede a las plataformas del Cliente mediante invitación de la cuenta ops@deliverycontrol.mx como administrador; no solicita ni almacena las contraseñas de dichas plataformas. Cuando el Cliente conecta una plataforma desde el SaaS, la conexión se realiza mediante un token de autorización (Uber Eats) o una clave de API (Rappi) emitidos por la plataforma correspondiente; dichas credenciales de conexión —distintas de la contraseña del Cliente— se almacenan cifradas en reposo y se eliminan al desconectar la integración. El tratamiento no comprende, de forma intencional, datos personales sensibles. 3.3. Finalidades autorizadas: únicamente las necesarias para prestar los Servicios (ingeniería de menú, gestión publicitaria, arquitectura de precios, monitoreo de disponibilidad y reportes ejecutivos por cuenta del Cliente), administración de la relación y facturación, y soporte técnico. 3.4. Operaciones: acceso, consulta, extracción, organización, análisis, almacenamiento temporal y comunicación de resultados al Cliente. 3.5. Duración: mientras esté vigente el Contrato Principal y hasta concluir la devolución o supresión (Cláusula 11).

3.6. Seudonimización y base jurídica de los datos del comprador final (hallazgo DPIA — cláusula canónica). Los datos operativos del comprador final que ingresan a la capa de almacenamiento analítico del Prestador se seudonimizan al momento de la escritura: el acceso operativo cotidiano para ingeniería de menú, arquitectura de precios y reporte ejecutivo no requiere ni expone identificadores directos del comprador final más allá de lo estrictamente necesario. La base jurídica es el interés legítimo del Cliente y la necesidad de ejecución del contrato de compraventa entre el Cliente y el comprador final, no el consentimiento directo del comprador final hacia el Prestador. Las indicaciones especiales y alergias del comprador final se conservan solo mientras el pedido está abierto, en un almacén separado de la capa analítica, y se suprimen al cerrarse el pedido o a las doce (12) horas.

3.7. Exclusión — datos fiscales del propio Cliente: el RFC, la razón social, el régimen fiscal, el domicilio fiscal y los documentos de identidad del Cliente se tratan por el Prestador en calidad de responsable, para el cumplimiento de sus propias obligaciones fiscales y contables, conforme al Aviso de Privacidad; no constituyen tratamiento por cuenta del Cliente y quedan fuera del alcance de este Convenio.

NOTA DESTACADA — LÍMITE DE ALCANCE (DATOS DEL COMPRADOR FINAL). El consentimiento del Cliente no autoriza al Prestador a tratar los datos del comprador final para perfilado, publicidad dirigida, envío de eventos de conversión a terceros (p. ej. CAPI de Meta o Google), enriquecimiento, cesión o venta. Dichas finalidades quedan expresamente fuera del alcance de este Convenio y de los Servicios, y están bloqueadas por diseño, salvo que concurran, de forma acreditada, una base jurídica válida y el aviso de privacidad y, en su caso, el consentimiento del titular exigidos por la Ley. Las métricas que el Prestador use para marketing propio serán agregadas y anonimizadas de forma irreversible (Cláusula 5.6).

4. Instrucciones documentadas del Responsable

4.1. El Prestador tratará los datos únicamente conforme a las instrucciones documentadas del Cliente (Contrato Principal, este Convenio y sus anexos, o instrucciones escritas posteriores a través de support@deliverycontrol.mx). 4.2. No tratará los datos para finalidades propias ni distintas de las instruidas, salvo obligación legal (informando previamente cuando la ley lo permita). 4.3. Si a juicio razonable del Prestador una instrucción infringe la normativa de protección de datos, lo notificará sin demora y podrá suspender su ejecución. 4.4. Informará al Cliente sin demora cuando el tratamiento se vuelva ilícito por cambios en la ley, en los criterios de la autoridad o en las circunstancias.

5. Obligaciones del Encargado

El Prestador se obliga a: 5.1. tratar los datos exclusivamente conforme a la Cláusula 4; 5.2. guardar confidencialidad, aun después de concluida la relación; 5.3. asegurar que las personas autorizadas para tratar los datos estén sujetas a deber de confidencialidad; 5.4. implementar y mantener las medidas de seguridad del Anexo C, sin debilitarlas durante la vigencia; 5.5. no transferir ni remitir los datos salvo lo previsto en las Cláusulas 6 y 7 o por instrucción del Cliente u obligación legal; 5.6. usar métricas agregadas y anonimizadas de forma irreversible (que no identifiquen al Cliente, su restaurante ni comprador final) para mejora del servicio y marketing propio —el Cliente puede oponerse por escrito al uso de métricas referidas a su negocio—; 5.7. suprimir o devolver los datos conforme a la Cláusula 11; 5.8. poner a disposición del Cliente la información para acreditar cumplimiento (Cláusula 12); 5.9. mantener un registro de actividades de tratamiento con finalidades, categorías de datos y titulares, sub-encargados y medidas de seguridad, disponible a solicitud razonable.

6. Sub-encargados

6.1. El Cliente autoriza de forma general al Prestador a contratar sub-encargados para prestar los Servicios; al momento de la firma son los del Anexo A. 6.2. El Prestador impondrá a cada sub-encargado, por contrato, las mismas obligaciones de protección de datos de este Convenio, incluida la devolución o supresión al terminar (Cláusula 11). 6.3. Cuando un sub-encargado imponga sus propios términos estándar, prevalecerán las obligaciones más protectoras para el titular y el Cliente, informando el Prestador de cualquier limitación material que no pueda subsanar. 6.4. El Prestador notificará cualquier alta o sustitución de sub-encargado con al menos treinta (30) días naturales de anticipación; el Cliente podrá oponerse por causa justificada de protección de datos dentro de los quince (15) días naturales siguientes; si la oposición es fundada y no se alcanza solución, el Cliente podrá terminar la parte afectada de los Servicios. 6.5. El Prestador responde frente al Cliente por el cumplimiento de sus sub-encargados.

7. Transferencias y remisiones internacionales

7.1. Parte de la infraestructura (en particular Vercel y Supabase) aloja datos en servidores fuera de México (Estados Unidos), lo que implica una comunicación transfronteriza. 7.2. Las comunicaciones a proveedores que actúan por cuenta del Encargado —Vercel, Supabase, Stripe y Cal.com— se realizan como remisiones y quedan fuera del concepto de transferencia (Art. 2, fr. XX LFPDPPP); el Prestador adoptará medidas para que los sub-encargados asuman las mismas obligaciones. Las comunicaciones a terceros que traten los datos para finalidades propias constituirían transferencias y se regirían por los artículos 35 y 36 de la Ley. 7.3. A solicitud del Cliente o cuando el tratamiento involucre exigencias del RGPD, las Partes procurarán mecanismos reconocidos por el Capítulo V del RGPD; esta previsión es de referencia y no sustituye los requisitos de la legislación mexicana aplicable.

8. Asistencia para derechos ARCO

8.1. Los derechos ARCO corresponden a los titulares frente al Cliente como Responsable. Conforme al artículo 31 de la LFPDPPP, el Responsable cuenta con un máximo de veinte (20) días hábiles para comunicar su determinación y quince (15) días hábiles para hacerla efectiva, ambos ampliables una sola vez. 8.2. El Prestador asistirá al Cliente, en la medida de lo posible, para atender las solicitudes. 8.3. Si el Prestador recibe directamente una solicitud de un titular, no la atenderá por sí mismo (salvo instrucción del Cliente) y la remitirá sin demora al Cliente; su canal es support@deliverycontrol.mx. 8.4. Asistirá igualmente en evaluaciones de impacto y en procedimientos ante la Secretaría Anticorrupción y Buen Gobierno. 8.5. Los costos se asignan conforme a la Cláusula 12.4.

9. Notificación de vulneraciones de seguridad

9.1. El Prestador notificará al Cliente cualquier vulneración de seguridad de la que tenga conocimiento y que afecte a los datos tratados por su cuenta, sin dilación indebida y a más tardar dentro de las setenta y dos (72) horas siguientes a su confirmación. 9.2. La notificación contendrá, en la medida en que sea conocida: (a) la naturaleza de la vulneración; (b) las categorías y el número aproximado de titulares y registros afectados; (c) las posibles consecuencias; (d) las medidas adoptadas o propuestas; y (e) el punto de contacto del Prestador; la información faltante podrá completarse por fases. 9.3. El Prestador cooperará con el Cliente en la investigación, mitigación y, en su caso, en la comunicación a los titulares y a la autoridad, correspondiendo al Cliente, como Responsable, la decisión y ejecución de dichas comunicaciones.

10. Requerimientos de autoridad

10.1. Si el Prestador recibe un requerimiento de autoridad para divulgar datos tratados por cuenta del Cliente, lo notificará al Cliente sin demora, salvo prohibición legal. 10.2. Limitará cualquier divulgación al mínimo legalmente exigible y, cuando existan motivos razonables, impugnará o solicitará la modificación del alcance. 10.3. Conservará constancia del requerimiento y su respuesta, disponible al Cliente cuando la ley lo permita.

11. Devolución o supresión al terminar

11.1. Concluida la prestación por cualquier causa, el Prestador, a elección del Cliente, devolverá o suprimirá los datos tratados por su cuenta y sus copias, salvo obligación legal de conservación. 11.2. Los datos de negocio del Cliente se exportarán en formato de uso común; salvo instrucción distinta, la supresión se realizará dentro de los treinta (30) días naturales posteriores a la terminación. 11.3. El Prestador hará extensiva la obligación a sus sub-encargados y, a solicitud, emitirá constancia de la devolución o supresión.

12. Auditoría e información de cumplimiento

12.1. El Prestador pondrá a disposición del Cliente la información razonablemente necesaria para acreditar cumplimiento, incluido el registro de la Cláusula 5.9. 12.2. El Cliente podrá auditar el tratamiento, por sí o por un tercero independiente sujeto a confidencialidad, previa notificación con quince (15) días hábiles de antelación, en horario laboral, sin interrupción indebida y con una frecuencia máxima de una vez al año, salvo vulneración o requerimiento de autoridad; los costos de auditorías ordinarias corren a cargo del Cliente, salvo que revelen un incumplimiento material del Prestador. 12.3. Respecto de los sub-encargados, el derecho se satisface mediante certificaciones, informes de terceros o documentación equivalente. 12.4. La asistencia ordinaria para solicitudes de derechos (Cláusula 8) y la cooperación en vulneraciones no imputables al Prestador (Cláusula 9) se prestan sin costo adicional dentro de un uso razonable; los esfuerzos extraordinarios o recurrentes podrán facturarse conforme a lo previsto en el Contrato Principal.

13. Declaraciones y garantías del Cliente

13.1. El Cliente declara y garantiza que, respecto de los datos que instruye tratar: (a) cuenta con un Aviso de Privacidad vigente (Art. 15 LFPDPPP) que cubre el tratamiento por parte del Encargado y sus sub-encargados y las remisiones y transferencias de la Cláusula 7; (b) dispone de base jurídica válida y, en su caso, del consentimiento necesario; y (c) sus instrucciones son lícitas. 13.2. El Cliente mantendrá indemne al Prestador frente a reclamaciones que deriven exclusivamente del incumplimiento de estas declaraciones, en los términos del Contrato Principal. 13.3. Los Avisos de Privacidad aplicables son entregables distintos de este Convenio y deben ser consistentes con él antes de la ejecución.

14. Responsabilidad y su reparto

14.1. Cada Parte responde por el incumplimiento de las obligaciones que este Convenio y la Ley le atribuyen; conforme al artículo 53 de la Ley, tanto el Responsable como el Encargado pueden resultar responsables frente al titular. 14.2. El Prestador responde por los daños cuando haya incumplido las instrucciones documentadas o las obligaciones que la Ley impone a los encargados; el Cliente responde por la licitud de las instrucciones, la base jurídica y los avisos de privacidad. 14.3. Límite de responsabilidad: la responsabilidad agregada del Prestador queda sujeta al tope pactado en el Contrato Principal (el monto pagado por el Cliente en los últimos doce meses), como excepción expresamente pactada a la regla de prevalencia de este Convenio. Dicho tope no aplica a la responsabilidad derivada de dolo, mala fe o culpa grave, ni a las responsabilidades que la Ley no permita limitar, incluidas las que existan directamente frente a los titulares o la autoridad. 14.4. Nada en este Convenio limita la responsabilidad directa de cada Parte frente a los titulares o la autoridad conforme a la Ley (artículo 53).

15. Ley aplicable y jurisdicción

15.1. Este Convenio se rige por las leyes de los Estados Unidos Mexicanos, en particular la LFPDPPP. 15.2. Las Partes se someten a la misma ley y jurisdicción del Contrato Principal (tribunales competentes de Zapopan, Jalisco), con renuncia a cualquier otro fuero, salvo las reglas de competencia irrenunciables que correspondan si el Cliente resultara consumidor.

16. Modificación y vigencia

16.1. Toda modificación deberá constar por escrito y firmarse por ambas Partes. 16.2. Dado que el marco de protección de datos se encuentra en consolidación tras la Ley de 2025, las Partes convienen en revisar y actualizar de buena fe este Convenio para adecuarlo al texto legal vigente. 17.1. Este Convenio entra en vigor en la misma fecha que el Contrato Principal y permanece vigente mientras el Prestador trate datos por cuenta del Cliente. 17.2. Las obligaciones que por su naturaleza deban subsistir (confidencialidad, supresión, límites de tratamiento del comprador final, cooperación ante vulneraciones) sobrevivirán a la terminación. 17.3. Este Convenio prevalece sobre el Contrato Principal en protección de datos, salvo la excepción de la Cláusula 14.3.

Anexo A — Sub-encargados y terceros autorizados

Remisión = el proveedor trata los datos por cuenta del Encargado (fuera del concepto de transferencia). Transferencia = el tercero trata los datos para finalidades propias (Arts. 35 y 36 LFPDPPP).

Nota sobre estado de integración técnica. A la fecha de este Convenio: (i) DiDi no se encuentra técnicamente integrada a la infraestructura del Prestador —no existe flujo automatizado de datos de comprador final proveniente de DiDi—; y (ii) la verificación de firma del webhook de Rappi se encuentra en fase de referencia técnica y no debe entenderse como plenamente validada en producción; el Prestador no declara ni garantiza verificación criptográfica completa de la autenticidad de dichos webhooks hasta que se implemente y confirme. El Cliente reconoce esta limitación como parte de las medidas de seguridad de la Cláusula 5.4 y el Anexo C.

Anexo C — Medidas técnicas y organizativas

C.1. Control de acceso e identidad: acceso a las plataformas del Cliente mediante invitación de ops@deliverycontrol.mx como administrador, sin solicitar ni almacenar contraseñas del Cliente; cuando la conexión se realiza desde el SaaS, se emplea un token de autorización (Uber Eats) o una clave de API (Rappi), cifrados en reposo y revocables al desconectar la integración; gestión de accesos internos bajo mínimo privilegio. C.2. Cifrado: cifrado en tránsito (TLS) con el SaaS y los sub-encargados de infraestructura, y cifrado en reposo de las credenciales de plataformas de reparto. C.3. Seudonimización y minimización: seudonimización al momento de la escritura de los datos del comprador final en la capa analítica; tratamiento limitado a lo estrictamente necesario. C.4. Registro y trazabilidad: registro de operaciones relevantes y de actividades de tratamiento (Cláusula 5.9). C.5. Respaldo y continuidad: respaldos y recuperación conforme a la práctica del proveedor de infraestructura. C.6. Respuesta a incidentes: procedimiento de detección, contención y notificación conforme a la Cláusula 9. C.7. Integridad de integraciones: DiDi no integrada; verificación de firma del webhook de Rappi en fase de referencia técnica, no validada plenamente en producción —el Prestador se obliga a implementarla y validarla antes de representarla como control de seguridad operativo pleno.

Leído y aceptado por las Partes. Encargado: XN SYSTEMS, S.A.S., RFC XSY260421UC3. Los datos del Cliente (Responsable) se completan conforme a la Carátula de Suscripción al momento de la contratación.