Aviso por giro · Restaurantes
Aviso de privacidad para un restaurante
Un restaurante casi no trata datos sensibles, pero mueve reservas, pedidos y facturación, y buena parte de esos datos viaja a plataformas de reparto. El punto fino: esas apps no siempre son un “encargado” tuyo, y confundirlo cambia lo que tu aviso debe declarar.
Cuando alguien reserva una mesa, pide a domicilio o te deja su correo para la factura, empiezas a tratar datos personales: nombre, teléfono, dirección de entrega, detalle del pedido y, para el CFDI, su RFC y régimen fiscal. Casi nada de eso es sensible —y decirlo así en tu aviso, sin inventar que sí lo es, ya te distingue—. Las dos excepciones que sí aparecen en el giro son las alergias y restricciones alimentarias (que son estado de salud) y los datos de menores.
El error clásico del restaurante está en las plataformas de reparto. Tu pasarela de pago (por ejemplo Clip) y tu herramienta de analítica tratan datos por tu cuenta: son encargados. En cambio, Rappi, Uber Eats o DiDi usan los datos del cliente también para sus propios fines (su cuenta, su marketing, su logística): frente al comensal actúan como responsables por su lado, así que entregarles datos es una transferencia, no un simple encargo. Tu aviso debe declararlo como transferencia, no esconderlo dentro de “proveedores”.
Hay tratamientos que solo existen en la mesa y el mostrador: la propina digital ligada a la cuenta, las reseñas y menciones donde aparece tu marca, el programa de lealtad que conecta el consumo con la identidad del comensal, y las fotos de eventos o platillos donde salen clientes. Perfilar el consumo para promociones o publicar imágenes de comensales son finalidades secundarias: el titular puede negarse, y tu aviso debe ofrecer el mecanismo para hacerlo. Nada de eso viene en un aviso de plantilla.
Cuando revisamos avisos reales de restaurantes encontramos el mismo error de fondo, invertido en las dos direcciones. Por un lado, la publicidad, la fidelización, las encuestas y la invitación a eventos aparecen colocadas entre las finalidades primarias, cuando son secundarias —negarse a ellas no puede costarte el servicio—. Por el otro, las alergias y restricciones alimentarias, que son un dato de salud que la cocina trata de facto para no envenenar a nadie, se declaran expresamente en apenas 1 de cada 18 avisos que leímos. Tu aviso hace lo contrario de los dos: baja la mercadotecnia a secundarias con su casilla de negativa, y sube las alergias a sensibles con su consentimiento expreso.
Qué datos recaba un restaurante
- número de comensales
- sucursal seleccionada
- detalle del pedido
- preferencias de empaque
- notas del pedido
- historial de compras
- referencias de ubicación
Datos sensibles: pocos, pero existen (alergias y menores)
Sensibles del giro (art. 8: consentimiento expreso y por escrito):
- Alergias y restricciones alimentarias
- Es el dato sensible obvio del giro (dato de salud) y casi nadie lo declara: sólo 1 aviso de 18. Si el establecimiento pregunta por alergias en la reservación o en el pedido, requiere consentimiento expreso y por escrito (art. 9 LFPDPPP).
- Datos de menores de edad y de personas en estado de incapacidad
- Caldos D'Leo abre un apartado específico. No son sensibles por sí mismos, pero exigen consentimiento de quien ejerce la patria potestad, tutela o representación legal.
Para qué usa los datos tu restaurante
Finalidades primarias (dan origen a la relación; sin casilla de negativa):
- Emitir las facturas y los comprobantes fiscales digitales que amparen los consumos realizados
- Mantener contacto y comunicación con el cliente en relación con su pedido, reservación o consulta
- Gestionar la reservación y el registro de mesa
- Gestionar el envío y la entrega del pedido en el domicilio señalado por el titular
- Procesar el cobro y el pago de los productos y servicios consumidos
- Brindar el servicio de pedido y venta de los alimentos y bebidas comercializados por el Responsable
- Mantener la seguridad de las instalaciones, del personal y de los comensales mediante sistemas de videovigilancia
- Atender dudas, quejas, aclaraciones y solicitudes del cliente
- Formalizar y dar cumplimiento a la relación contractual con el cliente
- Otorgar y administrar crédito, así como realizar gestiones de cobranza
- Integrar el expediente de candidatos y llevar a cabo procesos de reclutamiento y selección de personal
Tus encargados (pasarela y analítica) — no son transferencias
Estos proveedores tratan los datos por cuenta del restaurante y bajo tus instrucciones; son encargados, no transferencias, y no piden un consentimiento aparte:
- Clip — Procesamiento de pagos con tarjeta en punto de venta
- Google Analytics — Analítica de sitio web y aplicación
- Meta (Facebook / Instagram) — Analítica de redes sociales y administración de páginas
- Twitter Analytics — Analítica de redes sociales
- Proveedor autorizado de certificación (PAC) — Emisión y timbrado de comprobantes fiscales digitales
- Proveedor de soporte técnico y hospedaje — Operación y mantenimiento de la aplicación móvil y del sitio web
Transferencias reales: apps de reparto, SAT y autoridades
Estas sí son transferencias: terceros que usan los datos del comensal para fines propios, al amparo de las excepciones del art. 36:
- Plataformas y aplicaciones de reparto a domicilio — Entrega del pedido en el domicilio del titular (art. 36 fr. VII LFPDPPP (precisa para el mantenimiento o cumplimiento de una relación jurídica entre el responsable y el titular))
- Servicio de Administración Tributaria (SAT) — Emisión de comprobantes fiscales y cumplimiento de obligaciones fiscales (art. 36 fr. I LFPDPPP (transferencia prevista en una Ley o Tratado del que México sea parte))
- Autoridades administrativas y judiciales competentes — Atención de requerimientos legales y defensa de derechos (art. 36 fr. V LFPDPPP (necesaria o legalmente exigida para la salvaguarda de un interés público, o para la procuración o administración de justicia))
Normativa sectorial que también te aplica
Normas del sector que concurren con la LFPDPPP:
- Ley Federal de Protección al Consumidor
- NOM-251-SSA1-2009 (sólo si se recaban datos de salud de comensales por incidencias sanitarias)
A la fecha de este documento, el Reglamento de la LFPDPPP (nueva ley en vigor desde el 21 de marzo de 2025) aún no ha sido publicado: el Transitorio Décimo Segundo ordena al Ejecutivo expedir las adecuaciones a los reglamentos y demás disposiciones aplicables dentro de los noventa días naturales siguientes a la entrada en vigor. Por eso ni el Reglamento ni los Lineamientos anteriores se citan como normativa en vigor; se cita la ley, y ciertos formatos y términos procesales ante la Secretaría Anticorrupción y Buen Gobierno están pendientes de definirse.
Genera el aviso correcto para tu restaurante
El generador arma tu aviso integral y simplificado para hostelería: separa tu pasarela y tu analítica (encargados) de las apps de reparto (transferencia), declara expresamente las alergias y los datos de menores, y alinea el aviso con la Ley Federal de Protección al Consumidor en lo que aplica a tus consumos. Gratis y sin registro.
Generar el aviso de mi restaurante
Contenido orientativo por giro con base en la LFPDPPP vigente · revisado a agosto de 2026 y la LFPC; no es asesoría legal. Reglaria no es autoridad ni tiene aval oficial.
¿Vendes también en línea? El aviso de una tienda en línea →