Acuerdo de Procesamiento de Datos (DPA)

1. Definiciones y Objeto del Acuerdo

El presente Acuerdo de Procesamiento de Datos (DPA, por sus siglas en inglés) complementa los Términos de Servicio de pistear.app y establece las condiciones jurídicas, técnicas y organizativas bajo las cuales se efectúa el tratamiento, transmisión, resguardo y conservación de datos personales entre la plataforma, los establecimientos afiliados (depósitos y vinaterías), los repartidores y los subprocesadores de infraestructura tecnológica, en apego a la LFPDPPP y los estándares internacionales de protección y soberanía de datos.

2. Alcance y Naturaleza del Procesamiento

El tratamiento de datos realizado a través de la infraestructura de la plataforma comprende exclusivamente las operaciones necesarias para cumplir con los servicios contratados:

• Categorías de titulares: Usuarios consumidores finales de bebidas, operadores de depósitos afiliados y repartidores logísticos independientes.
• Tipos de datos: Datos identificativos, metadatos de geolocalización satelital en tiempo real, registros transaccionales de compra, tokens de pasarela de pago y constancias de verificación de mayoría de edad (+18).
• Duración del tratamiento: Durante la vigencia de la relación contractual mercantil y los periodos legalmente exigibles de conservación fiscal y regulatoria en México.

3. Obligaciones del Procesador

En su calidad de procesador y custodio de la información, pistear.app se compromete expresamente a:

• Procesar los datos personales únicamente bajo las instrucciones documentadas de los usuarios y las finalidades estrictamente autorizadas.
• Garantizar que todo el personal con acceso a datos personales haya suscrito compromisos vinculantes de confidencialidad y secreto profesional.
• Implementar y mantener controles de acceso basados en roles estrictos (RBAC) y políticas de mínimo privilegio.

4. Subprocesadores Autorizados y Motores de Inteligencia Artificial

El usuario autoriza la contratación de los siguientes subprocesadores de clase mundial y la ejecución de motores analíticos y de Inteligencia Artificial (IA) estrictamente enfocados en la prestación eficiente del servicio:

• Stripe Payments Mexico / Stripe Inc.: Procesamiento de pagos, prevención de fraudes y cumplimiento de certificación PCI-DSS Nivel 1.
• Mercado Pago / MercadoLibre México: Pasarela complementaria de cobros con tarjeta, SPEI y transacciones digitales reguladas.
• Supabase / PostgreSQL: Almacenamiento seguro de base de datos relacional, autenticación JWT y políticas a nivel de fila (Row Level Security - RLS).
• Mapbox Inc.: Procesamiento de telemetría geoespacial, cálculo de matrices de distancia y optimización de rutas de entrega en tiempo real.
• Twilio Inc. / Google Firebase: Proveedores de infraestructura para enrutamiento seguro de mensajes de verificación OTP y proxy de anonimización telefónica.
• Motores Algorítmicos e Inteligencia Artificial (IA): Procesamiento de telemetría para optimización de tiempos de entrega (15-25 min), balanceo predictivo de stock en depósitos afiliados y cálculo de promociones y descuentos dinámicos con base en compras previas.

5. Medidas de Seguridad Técnicas y Conservación NOM-151

La plataforma mantiene un estándar de seguridad de nivel bancario que incluye:

• Cifrado de alto impacto: Cifrado en tránsito mediante protocolos TLS 1.3 con certificados RSA 4096-bit y cifrado en reposo con algoritmo AES-256 en todas las bases de datos y respaldos.
• Conservación NOM-151-SCFI-2016: Los mensajes de datos, contratos mercantiles y registros de transacciones se conservan mediante constancias digitales de conservación emitidas por Prestadores de Servicios de Certificación (PSC) acreditados por la Secretaría de Economía.

6. Notificación de Incidentes y Brechas de Seguridad

En caso de suscitarse un incidente de seguridad confirmado que involucre el acceso no autorizado, destrucción o alteración accidental o ilícita de datos personales, pistear.app notificará sin dilación indebida y en un lapso no mayor a 48 horas a los titulares afectados y a las autoridades competentes (INAI), detallando la naturaleza del incidente y las medidas correctivas inmediatas aplicadas.

7. Supresión, Borrado Autónomo por el Usuario y Conservación Fiscal

El titular goza de la facultad de borrado autónomo inmediato mediante la opción dispuesta en la interfaz de usuario ("Perfil > Privacidad & Control de Datos > Eliminar Mi Cuenta y Mis Datos Permanentemente"), o bien formulando una solicitud formal a privacidad@pistear.app.

A la solicitud de supresión, la plataforma eliminará o anonimizará de forma irreversible todos los datos personales de sus entornos de producción, salvo aquellos que por imperativo fiscal (SAT) o mercantil deban conservarse en archivos bloqueados durante los periodos de prescripción legal.