Política de Privacidad

Última actualización: 11 de octubre de 2026

Cambio del 11 de octubre de 2026: la tabla de proveedores (sección 5) refleja dónde se aloja hoy la Plataforma (Render y Cloudflare R2, en lugar de Vercel, Railway y Neon); se agrega la sección 18, sobre los avisos por WhatsApp que un Negocio puede enviar desde su propio número por medio de Orbexa y de Meta; los datos que Meta nos entrega cuando un Negocio conecta su WhatsApp (2.1, 2.2, 3.4, 4 y 5), y el enlace a las instrucciones para borrar tus datos (11.5). No se reduce ningún derecho.

Cambio de redacción del 10 de octubre de 2026: esta política ahora te habla de «tú» en todo el texto. No cambia ninguna obligación ni ningún derecho.

En pocas palabras

Esta Política explica qué datos personales recolectamos en Orbexa, para qué los usamos, con quién los compartimos y qué derechos tienes sobre ellos. En resumen:

• Recolectamos lo mínimo necesario para que la Plataforma funcione: datos de la persona que administra el Negocio (Usuario) y datos que el Negocio captura de sus comensales o visitantes (Clientes Finales).
• No vendemos tus datos ni los de tus Clientes Finales. No usamos rastreadores publicitarios de terceros (sin Google Analytics, sin Meta Pixel).
• Tu contraseña se guarda cifrada (hash bcrypt). Usamos cifrado en tránsito, control de acceso por roles y registros de auditoría.
• Si tu Negocio activa funciones de inteligencia artificial (IA), parte del contenido se procesa con un proveedor de IA; te lo explicamos en el Aviso de IA.
• Tienes derecho a acceder, corregir y eliminar tus datos. Para ejercerlos, escríbenos a privacidad@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250).
• Para los datos de tus Clientes Finales que se tratan en tu servicio (su ficha, sus reservas, sus pedidos), Orbexa actúa como encargado (procesador): el responsable eres tú, el Negocio. Eso se regula en el Acuerdo de Tratamiento de Datos (DPA). La cuenta global con la que un Cliente Final entra a todos los restaurantes, contraseña incluida, es en cambio de Orbexa, que es su responsable (DPA §3.4).

Esta Política se rige por la Ley 8968 de Costa Rica (PRODHAB) y, cuando corresponde, por el GDPR de la Unión Europea y la CCPA/CPRA de California.

1. Quiénes somos y alcance de esta Política

1.1. "Orbexa", "la Plataforma", "el Servicio" o "nosotros" se refiere a 3-101-966126 Sociedad Anónima, sociedad anónima costarricense, cédula jurídica 3-101-966126, con domicilio en Tibás, provincia de San José, Costa Rica, operadora del software de gestión disponible en https://www.orbexa.studio.

1.2. Esta Política aplica a:

• La aplicación de gestión que usan los titulares de Negocios y su staff ("Usuarios").
• Los sitios públicos, formularios de reservación, lista de espera y demás funciones dirigidas a los visitantes y comensales ("Clientes Finales").

1.3. Dos roles distintos. Orbexa cumple un doble papel según de quién sean los datos:

• Respecto de los datos de los Usuarios (titular del Negocio y su staff), Orbexa actúa como responsable del tratamiento (controlador). Esta Política regula ese tratamiento.
• Respecto de los datos de los Clientes Finales que un Negocio trata en su servicio (su ficha en el CRM, sus reservas, sus pedidos, su lealtad), Orbexa actúa como encargado del tratamiento (procesador) y el Negocio es el responsable. Esa relación se rige por el Acuerdo de Tratamiento de Datos (DPA); ver sección 14.
• Respecto de la cuenta global del Cliente Final (registro, correo, nombre, teléfono, contraseña, sesiones y aceptación de condiciones), con la que entra a todos los restaurantes, Orbexa es responsable; ese tratamiento se explica en la Política de Privacidad para Comensales.

1.4. Cada Negocio es responsable de mantener su propia política de privacidad frente a sus Clientes Finales y de obtener las bases de licitud necesarias.

1.5. Si eres comensal de un restaurante que usa Orbexa (reservaste, te anotaste en una lista de espera, pediste por QR o dejaste una opinión), la política que te corresponde es la Política de Privacidad para Comensales, que explica quién es el responsable de tus datos y cómo ejercer tus derechos.

2. Qué Datos Personales recolectamos

Recolectamos únicamente los datos descritos a continuación. La lista refleja lo que el sistema realmente trata.

2.1. Datos de Usuarios (titular del Negocio y staff)

• Correo electrónico.
• Nombre.
• Hash de la contraseña (almacenado con bcrypt; nunca guardamos la contraseña en texto plano).
• Dirección IP.
• Agente de usuario (user-agent del navegador o dispositivo).
• Marcas de tiempo de inicio de sesión.
• Contadores de intentos fallidos de inicio de sesión (para protección contra fuerza bruta).
• Si conectas el WhatsApp de tu Negocio con tu cuenta de Meta (ver sección 18): los identificadores de tu portfolio comercial, de tu cuenta de WhatsApp Business y de tu número; el número y su nombre visible, y la credencial de acceso que Meta nos entrega para enviar mensajes en nombre de tu Negocio. No recibimos tu contraseña de Facebook.

2.2. Datos de Clientes Finales

Cuenta global del Cliente Final (Orbexa es responsable; ver 1.3):

• Correo electrónico.
• Nombre.
• Teléfono (opcional).
• Hash de la contraseña (cuando el Cliente Final crea una cuenta).
• Sesiones y aceptación de las condiciones.

Ficha y servicio de cada Negocio (el Negocio es responsable y Orbexa encargado):

• Nombre, correo y teléfono que el Cliente Final deja al reservar o pedir.
• Marca de consentimiento de marketing (marketingOptIn).
• El acta del consentimiento para recibir avisos por WhatsApp o SMS (si dijo que sí o que no, por dónde, la fecha y la versión del texto que se le mostró), el estado de entrega de cada aviso (enviado, entregado, leído o fallido) y los mensajes que el Cliente Final escribe al número de WhatsApp (por ejemplo, «BAJA» o «ALTA»).
• Conteo de visitas.
• Conteo de ausencias o "no-shows".
• Notas del staff sobre el Cliente Final.
• Etiquetas (tags) asignadas por el Negocio.
• Restricciones alimentarias, incluidas las alergias (dato de salud, sensible): solo para la seguridad alimentaria, con consentimiento expreso del Cliente Final (ver la Política de Privacidad para Comensales §4).
• Celebraciones (tipo, mes y día; el año solo para un aniversario).
• Preferencias (por ejemplo, de mesa o de servicio).

2.3. Datos técnicos y de seguridad comunes

• Cookies de sesión propias y esenciales: orbexa_session, orbexa_csrf, orbexa_customer_session, orbexa_customer_csrf (todas httpOnly, técnicas/esenciales). Ver sección 9 y la Política de Cookies.
• Registros de auditoría (AuditLog): acciones sensibles como inicios de sesión, cambios de usuario o de rol, creación o modificación de reservas, pagos y operaciones equivalentes.

2.4. Lo que NO recolectamos

• No usamos rastreadores publicitarios de terceros ni analítica de comportamiento de terceros (no hay Google Analytics, Meta Pixel ni Mixpanel a la fecha de esta Política).
• No recolectamos categorías especiales de datos sensibles de forma intencional. Te pedimos no subir ese tipo de información a campos de texto libre (por ejemplo, notas del staff).

3. Cómo recolectamos los datos

3.1. Directamente de ti: cuando creas tu Cuenta, configuras un Negocio, inicias sesión o usas las funciones de la app.

3.2. De tus Clientes Finales: cuando completan formularios públicos de reservación, lista de espera, registro, feedback o lealtad en los sitios que administra tu Negocio.

3.3. Automáticamente: datos técnicos mínimos (IP, user-agent, timestamps) generados por el uso normal del Servicio y necesarios para su seguridad y funcionamiento.

3.4. De Meta: cuando conectas el WhatsApp de tu Negocio, Meta nos entrega los datos de esa conexión descritos en 2.1; después, nos informa el estado de entrega de cada aviso enviado.

4. Para qué usamos los datos y base de licitud

La siguiente tabla resume cada finalidad y su base de licitud bajo la Ley 8968, el GDPR y normas equivalentes.

4.1. Bajo la Ley 8968 (Costa Rica), el tratamiento se sustenta en el consentimiento informado, expreso, preciso e inequívoco del titular cuando este es exigible, así como en la ejecución del contrato y el interés legítimo del responsable.

5. Con quién compartimos los datos (sub-procesadores)

5.1. No vendemos datos personales. Compartimos datos solo con proveedores ("sub-procesadores") que nos ayudan a operar el Servicio, bajo contrato y con instrucciones de tratar los datos únicamente para esos fines.

5.1 bis. Hasta octubre de 2026 la Plataforma se alojaba en Vercel, Railway y Neon. Ya no los usamos para prestar el Servicio; la copia anterior de la base de datos que quede en Neon se mantiene sin uso hasta su eliminación.

5.2. También podemos divulgar datos cuando lo exija la ley, una orden judicial o autoridad competente, o para proteger derechos, seguridad o integridad de la Plataforma, de los Usuarios o de terceros.

5.3. En caso de fusión, adquisición o reestructuración, los datos podrían transferirse a la entidad sucesora, manteniendo las protecciones de esta Política.

6. Transferencias internacionales

6.1. Algunos sub-procesadores procesan datos fuera de Costa Rica, principalmente en Estados Unidos y la Unión Europea. Esto implica una transferencia internacional de datos personales.

6.2. Para esas transferencias adoptamos salvaguardas adecuadas, entre ellas:

• Cláusulas contractuales tipo (Standard Contractual Clauses) cuando aplica el GDPR.
• Compromisos contractuales de confidencialidad y seguridad con cada proveedor.
• Selección de proveedores con estándares reconocidos de seguridad de la información.

6.3. Bajo la Ley 8968, las transferencias internacionales se realizan respetando los principios de calidad, finalidad y consentimiento informado del titular cuando este sea exigible.

7. Plazos de retención

7.1. Conservamos los datos personales solo durante el tiempo necesario para las finalidades descritas:

• Datos de la Cuenta y del Usuario: mientras la Cuenta esté activa y por el periodo posterior necesario para cumplir obligaciones legales, contables o resolver disputas.
• Cuenta global del Cliente Final: mientras el Cliente Final la mantenga; si la cierra, se suprime.
• Ficha y servicio de cada Negocio: durante el tiempo que el Negocio (responsable) determine y mientras la Cuenta del Negocio esté activa; al cerrarse la Cuenta se eliminan o anonimizan conforme al DPA.
• Registros de auditoría (AuditLog): se conservan por un periodo prudencial para fines de seguridad y cumplimiento.
• Datos técnicos de seguridad (intentos de inicio de sesión, IP): por el tiempo necesario para detectar y prevenir abuso.

7.2. Cuando ya no necesitamos los datos, los eliminamos de forma segura o los anonimizamos.

8. Seguridad

8.1. Aplicamos medidas técnicas y organizativas razonables para proteger los datos personales, entre ellas:

• Cifrado en tránsito (HTTPS/TLS) en las comunicaciones con la Plataforma.
• Hashing de contraseñas con bcrypt; nunca almacenamos contraseñas en texto plano.
• Control de acceso basado en roles (RBAC), de modo que cada Usuario accede solo a lo que su rol permite.
• Autenticación multifactor (MFA) disponible para reforzar el acceso.
• Protección anti-fuerza bruta mediante conteo de intentos fallidos.
• Protección CSRF mediante cookies y tokens dedicados.
• Registros de auditoría de acciones sensibles.

8.2. Ningún sistema es absolutamente infalible. Si ocurre una brecha de seguridad que afecte tus datos, actuaremos conforme a la ley aplicable, lo que puede incluir notificarte a ti y a las autoridades competentes (por ejemplo, PRODHAB).

9. Cookies

9.1. La Plataforma usa cookies propias, técnicas y esenciales (orbexa_session, orbexa_csrf, orbexa_customer_session, orbexa_customer_csrf), necesarias para la autenticación, la seguridad y el funcionamiento del Servicio.

9.2. No usamos cookies publicitarias ni de rastreo de terceros. Para el detalle completo, consulta la Política de Cookies.

10. Funciones de Inteligencia Artificial (IA)

10.1. Si un Negocio activa funciones de IA, parte del contenido se procesa con nuestro proveedor de IA (Anthropic / Claude). Esto incluye el chat con auto-respuesta por IA, la extracción de datos de menú a partir de imágenes y, opcionalmente, quitar el fondo de imágenes.

10.2. Las funciones de IA están desactivadas por defecto. La IA puede cometer errores y no constituye asesoría profesional; siempre existe una alternativa humana y la posibilidad de corregir.

10.3. El detalle de cómo opera la IA, qué datos procesa y cómo se informa a los Clientes Finales en el punto de interacción está en el Aviso de IA.

11. Tus derechos como titular de los datos

11.1. Bajo la Ley 8968 de Costa Rica (PRODHAB)

Como titular tienes derecho a:

• Acceso: saber qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión (cancelación): solicitar que eliminemos tus datos cuando proceda.

Para ejercerlos, escríbenos a privacidad@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250). Responderemos dentro de los plazos legales.

11.2. Bajo el GDPR (Unión Europea), si te resulta aplicable

• Acceso a tus datos.
• Rectificación.
• Supresión ("derecho al olvido").
• Portabilidad de tus datos.
• Oposición al tratamiento y limitación del mismo.
• Retiro del consentimiento en cualquier momento, sin afectar la licitud previa.

11.3. Bajo la CCPA/CPRA (California), si te resulta aplicable

• Saber qué información personal recolectamos y cómo la usamos.
• Eliminar la información personal que tengamos.
• Optar por no participar en la "venta" o "compartición" de información personal. (Orbexa no vende información personal.)
• No discriminación por ejercer tus derechos.

11.4. Puedes ejercer cualquiera de estos derechos escribiendo a privacidad@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250). Verificaremos tu identidad antes de atender la solicitud para proteger tus datos.

11.5. Borrar tus datos, paso a paso. Las instrucciones para pedir que borremos tus datos (también los que recibimos de Meta al conectar un WhatsApp), el plazo y lo que la ley nos obliga a conservar están en Instrucciones para borrar tus datos.

12. Menores

12.1. El Servicio no está dirigido a menores. No recolectamos conscientemente datos de personas menores de 13 años (ni menores de 15 donde la ley local exija ese umbral).

12.2. Si crees que un menor nos proporcionó datos, escríbenos a privacidad@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250) y los eliminaremos.

13. Marketing y cómo retirar el consentimiento

13.1. Marketing del Servicio hacia Usuarios: puedes darte de baja de nuestras comunicaciones promocionales en cualquier momento, usando el enlace de cancelación del correo o escribiendo a privacidad@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250). Las comunicaciones operativas o transaccionales (avisos de seguridad, facturación, cambios del Servicio) no son promocionales y se mantienen mientras tengas Cuenta.

13.2. Marketing del Negocio hacia Clientes Finales: el consentimiento se gestiona mediante la marca marketingOptIn. El Cliente Final puede otorgarlo o retirarlo; el Negocio, como responsable, debe respetar esa elección. Orbexa solo provee la herramienta.

14. Rol de Orbexa: responsable y encargado

14.1. Responsable (controlador): respecto de los datos de los Usuarios (titular del Negocio y staff), Orbexa decide los fines y medios del tratamiento conforme a esta Política.

14.2. Encargado (procesador): respecto de los datos de los Clientes Finales que un Negocio trata en su servicio (su ficha, sus reservas, sus pedidos), Orbexa trata los datos por cuenta y bajo instrucciones del Negocio, que es el responsable. Esta relación se rige por el Acuerdo de Tratamiento de Datos (DPA), que incluye obligaciones de confidencialidad, seguridad, sub-encargados, asistencia para atender derechos de los titulares y devolución o eliminación de datos al finalizar el servicio.

14.3. Responsable de la cuenta global del Cliente Final: Orbexa decide los fines y medios del tratamiento de esa cuenta (registro, acceso, contraseña, sesiones y vínculo con cada Negocio), conforme a la Política de Privacidad para Comensales.

15. Datos de contacto del responsable

Para consultas, solicitudes de derechos o reclamos sobre privacidad:

• Responsable: 3-101-966126 Sociedad Anónima
• Correo de privacidad: privacidad@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250)
• Correo legal: legal@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250)
• Correo de soporte: soporte@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250)
• Dirección: Tibás, provincia de San José, Costa Rica

16. Reclamos ante PRODHAB

16.1. Si consideras que tratamos tus datos de forma indebida, puedes presentar una denuncia ante la Agencia de Protección de Datos de los Habitantes (PRODHAB) de Costa Rica, autoridad de control de la Ley 8968.

16.2. Te pedimos contactarnos primero a privacidad@orbexa.studio (casilla por activar; mientras tanto, por WhatsApp al +506 7095-8250) para intentar resolver tu inquietud de forma directa y ágil.

17. Cambios a esta Política

17.1. Podemos actualizar esta Política para reflejar cambios en el Servicio o en la normativa. Publicaremos la versión vigente en https://www.orbexa.studio y, ante cambios sustanciales, avisaremos con antelación razonable. La fecha de "Última actualización" indica la versión vigente.

18. Avisos por WhatsApp (Meta)

18.1. Cómo funciona. Un Negocio puede activar en el Gestor los avisos por WhatsApp a sus Clientes Finales. Mientras no conecte un número propio, los avisos salen del número de WhatsApp de Orbexa, en nombre del Negocio. El Negocio también puede conectar su propio número de WhatsApp Business desde el Gestor, iniciando sesión con su cuenta de Meta; desde ese momento, Orbexa actúa como proveedor tecnológico de la WhatsApp Business Platform de Meta y envía los avisos en nombre del Negocio y desde su número.

18.2. Qué se envía y a quién. Solo se envían avisos a los Clientes Finales que aceptaron recibirlos en su teléfono, y solo con plantillas aprobadas por Meta: confirmaciones y recordatorios de reserva, una mesa que se liberó, una demora en la cocina, un cambio de mesa o el cierre de la cuenta. Cada aviso lleva el nombre del Negocio y los datos de la reserva, la mesa o la cuenta a la que se refiere. Orbexa no envía promociones por WhatsApp.

18.3. El papel de Meta. Para entregar cada aviso, Meta recibe el número del destinatario y el texto del aviso, y nos devuelve su estado de entrega y las respuestas. Cuando el aviso sale del número de Orbexa, Meta trata esos datos como encargado de Orbexa; cuando sale del número propio del Negocio, como encargado del Negocio. En los dos casos rigen las condiciones de tratamiento de datos de WhatsApp Business, y Meta procesa los datos en los Estados Unidos y en otros países (ver sección 6). Si el Negocio conecta su propio número, el costo de sus mensajes lo paga directamente a Meta.

18.4. Lo que hacemos con los datos de Meta. Los datos que Meta nos entrega al conectar un número (2.1) se usan solo para enviar los avisos del Negocio y mostrarle si llegaron. No los usamos para publicidad, no los vendemos y no los compartimos con otros Negocios. Cumplimos las Condiciones de la Plataforma de Meta.

18.5. Dejar de recibir avisos. El Cliente Final puede dejar de recibir avisos en cualquier momento respondiendo BAJA (o STOP) al mensaje; recibe una confirmación y no se le vuelve a escribir por ese número, aunque tenga otra reserva con la casilla marcada. Si cambia de idea, responde ALTA. También puede pedirlo al Negocio o a Orbexa por los medios de la sección 15.

18.6. Desconectar y borrar. El Negocio puede desconectar su número cuando quiera y pedirnos que borremos los datos de la conexión; cómo hacerlo está en Instrucciones para borrar tus datos.