Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de datos personales es:

2. Datos que recopilamos

2.1 Datos de registro (dueños de restaurante)

• Nombre completo
• Correo electrónico
• Contraseña (almacenada con hash bcrypt — nunca en texto plano)
• Nombre del negocio

2.2 Datos del restaurante

• Nombre, descripción, dirección, ciudad, país
• Imágenes de portada y logo
• Información del menú: productos, precios, categorías, imágenes
• Número de WhatsApp para recibir pedidos
• Ubicación en el mapa (pin) que el restaurante decide publicar. El restaurante puede elegir mostrar la ubicación exacta o solo la zona aproximada (≈1 km); esta segunda opción está pensada para quienes venden desde su vivienda, de modo que su dirección exacta nunca se publica. El restaurante puede quitar el pin en cualquier momento.

2.3 Datos de facturación y pagos

• Correo electrónico de facturación
• Historial de pagos y facturas
• Nota: Los datos de tarjeta de crédito son procesados directamente por nuestras pasarelas de pago (Stripe / Wompi) y nunca son almacenados en los servidores de Vistro.

2.4 Datos de clientes de restaurantes

Cuando un cliente final escanea el menú QR:

• Hash de la dirección IP (nunca la IP en texto plano)
• Hash del User Agent
• Fecha y hora del escaneo
• Si realiza un pedido: nombre (opcional), teléfono, notas del pedido y (en domicilios) dirección de entrega

Teléfono del pedido. Se pide con el indicativo del país (por ejemplo, +57) y es obligatorio salvo que el restaurante lo desactive. Se usa solo para gestionar el pedido y avisar su estado; no se usa para publicidad sin autorización expresa. El personal del restaurante lo ve enmascarado (por ejemplo, +57 300 ••• 4567) y, cuando necesita el número completo (por ejemplo, para llamar en un domicilio), cada consulta queda registrada con quién la hizo y cuándo.

Promociones del restaurante. Al hacer el pedido puedes marcar, de forma opcional y separada, que quieres recibir promociones de ese restaurante. La casilla viene sin marcar; si no la marcas, tu teléfono no se usa para ese fin. Guardamos si la marcaste y la versión de esta política vigente en ese momento, como prueba de tu autorización.

Estos datos son propiedad del restaurante y Vistro actúa como encargado del tratamiento.

2.5 Datos de uso y analíticas

• Páginas visitadas, acciones en el panel
• Datos de Google Analytics 4 (anonimizados) vía Google Tag Manager
• Estadísticas de escaneos y pedidos agregadas

2.6 Ubicación de quien busca restaurantes («Cerca de mí»)

• Solo se usa si tocas «Cerca de mí» y das permiso en tu navegador o celular. Si no lo das, puedes buscar eligiendo país, departamento y ciudad.
• Se redondea a una precisión aproximada (≈110 m) y se usa únicamente para ordenar los restaurantes por cercanía en ese momento.
• No se almacena, no se asocia a tu identidad, no se registra en nuestros sistemas y no se usa para publicidad ni marketing.

2.7 App instalable y datos guardados en tu dispositivo

Si instalas Vistro en tu celular (aplicación web progresiva), tu propio dispositivo guarda una copia de información pública que ya visitaste (listados de restaurantes, menús e imágenes) para que funcione con conexión lenta o sin conexión. Esa copia no incluye datos de cuentas ni del panel de los restaurantes, y puedes borrarla desde la configuración de tu navegador o desinstalando la app.

3. Finalidades del tratamiento

No vendemos datos personales a terceros bajo ninguna circunstancia.

4. Bases legales del tratamiento

• Ejecución del contrato: Para prestar el servicio contratado.
• Consentimiento: Para comunicaciones de marketing de Vistro y, en el caso de los clientes finales, para promociones del restaurante. Puedes retirar tu consentimiento en cualquier momento.
• Interés legítimo: Para analíticas de uso, seguridad y mejora del servicio.
• Obligación legal: Para conservar facturas y registros contables según la ley colombiana.

5. Con quién compartimos tus datos

Solo compartimos datos con terceros en los siguientes casos:

Todos los proveedores cuentan con políticas de privacidad propias y niveles de protección adecuados.

6. Retención de datos

• Datos de cuenta activa: Durante la vigencia del servicio.
• Datos tras cancelación: 90 días para permitir reactivación, luego eliminación.
• Datos de facturación: 5 años por obligación legal tributaria colombiana.
• Logs de seguridad del servidor: 12 meses.
• Registro de auditoría del panel: 12 meses, para atender reclamos y revisiones de seguridad. No puede modificarse.
• Datos de clientes finales (pedidos): 12 meses desde el pedido; después se borran nombre, teléfono, correo y dirección, y el pedido se conserva sin datos personales solo con fines estadísticos.

7. Seguridad

Implementamos las siguientes medidas de seguridad técnica y organizativa:

• Comunicaciones cifradas con TLS/HTTPS en todo momento
• Contraseñas almacenadas con hash bcrypt (nunca en texto plano)
• IPs de clientes almacenadas únicamente como hash SHA-256
• Acceso a producción restringido por SSH con llave privada
• Base de datos no expuesta públicamente (acceso solo interno en red Docker)
• Backups automáticos cifrados
• Autenticación JWT con rotación de tokens de refresco

En caso de brecha de seguridad que afecte datos personales, notificaremos a los usuarios afectados en un plazo máximo de 72 horas desde su detección.

8. Tus derechos (ARCO)

Conforme a la Ley 1581 de 2012, tienes los siguientes derechos sobre tus datos:

• Acceso (A): Conocer qué datos tenemos sobre ti.
• Rectificación (R): Corregir datos inexactos o incompletos.
• Cancelación (C): Solicitar la eliminación de tus datos cuando no sean necesarios.
• Oposición (O): Oponerte al tratamiento para fines específicos (ej. marketing).

Para ejercer tus derechos, escríbenos a privacidad@govistro.app indicando tu nombre, correo registrado y la solicitud específica. Responderemos en un plazo máximo de 10 días hábiles.

Si no obtienes respuesta satisfactoria, puedes acudir a la Superintendencia de Industria y Comercio (SIC) de Colombia: www.sic.gov.co

9. Menores de edad

Vistro es un servicio dirigido exclusivamente a personas mayores de 18 años que gestionan negocios de restauración. No recopilamos intencionalmente datos de menores de edad. Si detectamos que hemos recopilado datos de un menor, los eliminaremos de inmediato.

10. Cookies y tecnologías similares

Utilizamos las siguientes tecnologías de seguimiento:

Puedes desactivar las cookies de analíticas instalando la extensión de exclusión de Google Analytics.

11. Cambios a esta política

Nos reservamos el derecho de actualizar esta política para reflejar cambios en el servicio o en la legislación aplicable. Notificaremos cambios materiales por correo electrónico con al menos 15 días de antelación. El uso continuado del servicio tras la entrada en vigor implica aceptación de la política actualizada.

12. Contacto

Para cualquier consulta sobre privacidad o tratamiento de datos:

• 📧 privacidad@govistro.app
• 💬 WhatsApp +57 313 478 7750
• 🌐 govistro.app