PARTE IV — POLÍTICA DE PRIVACIDAD
28. Responsable del tratamiento
Razón social: NUUKGER S.R.L Domicilio: Tegucigalpa, M.D.C., Honduras WhatsApp de contacto general: +504 8882-1799
29. Datos que se recopilan
29.1 Del Comercio y de su equipo
| Categoría | Datos |
|---|---|
| Identificación | Razón social, nombre comercial, RTN, nombre y documento de identidad del representante |
| Contacto | Nombre del responsable, teléfono, correo; nombre, correo y rol de cada usuario de su equipo |
| Ubicación | Dirección y coordenadas del establecimiento y de sus sucursales |
| Financieros | Cuenta bancaria para liquidación, saldo, cobros, comisiones y comprobantes |
| Contenido | Logotipo, fotografías, catálogo de productos y precios |
| Operativos | Historial de órdenes, tiempos de preparación, liquidaciones, rutas, planes contratados |
| Técnicos | Cuenta de acceso, sesiones, dirección IP y tipo de dispositivo |
29.2 Del Conductor
| Categoría | Datos |
|---|---|
| Identificación | Nombre, documento de identidad, fotografía |
| Contacto | Teléfono, correo, domicilio |
| Documentación | Licencia, tarjeta de circulación, seguro, antecedentes |
| Vehículo | Tipo, placa, color, características |
| Financieros | Cuenta bancaria, ganancias, liquidaciones, efectivo recaudado y depósitos |
| Geolocalización | Ubicación durante el turno (sección 31.1) |
| Verificación de identidad | Fotografía de referencia del rostro y verificaciones de presencia, periódicas o por seguridad, para comprobar que quien opera la cuenta es el Conductor (sección 29.7) |
| Operativos | Rutas, entregas, evidencias capturadas (fotografías, firma, códigos), valoraciones, incidentes |
| Técnicos | Identificador del dispositivo y del servicio de notificaciones, versión de la aplicación, dirección IP |
29.3 Del Cliente final
| Categoría | Datos |
|---|---|
| Contacto | Nombre, teléfono y, cuando compra en una tienda en línea, correo |
| Ubicación | Dirección de entrega, coordenadas y referencia; ubicación del dispositivo solo con permiso explícito (sección 31.2) |
| Operativos | Historial de entregas y pedidos, notas e indicaciones de entrega |
| Comunicaciones | Mensajes intercambiados por WhatsApp sobre su pedido |
| Técnicos y de pago | Dirección IP, tipo de dispositivo e identificador del dispositivo en el pago en línea (sección 29.4) |
El Cliente final no se registra como usuario de la Plataforma de entregas. Sus datos son proporcionados por el Comercio o por él mismo al hacer un pedido, y el Comercio declara contar con la base legítima para su tratamiento y transferencia.
29.4 Pagos
- Los cobros en línea se procesan mediante pasarelas y proveedores externos: Stripe, PayPal, VGS (Very Good Security) y Duck Payments.
- Filo no almacena el número completo de la tarjeta ni su código de seguridad. Esos datos se capturan y se protegen en la infraestructura de VGS y de la pasarela; Filo conserva únicamente un identificador (token), los últimos cuatro dígitos, la marca, la fecha de vencimiento y el resultado de la operación.
- Para prevenir fraude, el pago en línea puede registrar la dirección IP, un identificador del dispositivo y, solo si la persona lo autoriza, su ubicación aproximada.
- Los datos de cuentas bancarias de reintegro (sección 18.1) se usan solo para ejecutar y documentar el reintegro.
29.5 Del correo, WhatsApp y prospectos
| Categoría | Datos |
|---|---|
| Prospectos y formularios | Nombre, negocio, teléfono, correo, territorio, mensaje y el consentimiento otorgado con su versión |
| Número, nombre de perfil, contenido y estado de los mensajes enviados y recibidos de la línea de Filo y de los comercios | |
| Correo | Dirección de correo, correos enviados y estado de entrega (entregado, rebotado, queja), y las bajas registradas |
29.6 Visitantes del sitio, cookies y almacenamiento local
Al navegar el sitio y las páginas de pago o de tienda se pueden guardar en el dispositivo los siguientes elementos:
| Elemento | Tipo | Finalidad | Consentimiento |
|---|---|---|---|
| Cookies de sesión de inicio de sesión (NextAuth y Keycloak) | Cookie | Mantener la sesión iniciada y proteger contra suplantación | No requiere: estrictamente necesaria |
| filo_consent_v1 | Almacenamiento local | Recordar la decisión del usuario sobre cookies y almacenamiento | No requiere: estrictamente necesario |
| filo_identity_device_token | Almacenamiento local | Reconocer el dispositivo ya verificado del cliente en el pago, para no repetir la verificación | No requiere: lo activa el propio usuario al verificarse |
| Avisos ya vistos en el portal del conductor (almacenamiento de sesión) | Almacenamiento de sesión | Que un aviso no se repita durante la visita | No requiere |
| filo_attribution_v1 | Almacenamiento local | Registrar de qué campaña (UTM, gclid, fbclid) llegó la visita, por 30 días | Requiere consentimiento |
| filo_shop_device_id | Almacenamiento local | Identificar el dispositivo en la tienda para antifraude y continuidad del carrito | Requiere consentimiento |
| Mapas de terceros (Google Maps) y tipografías de Google | Contenido de terceros | Mostrar mapas y direcciones; el proveedor recibe la dirección IP | Se cargan solo donde se necesitan, con aviso |
El usuario puede rechazar los elementos que requieren consentimiento, retirarlos desde el aviso del sitio o borrando los datos del navegador; el sitio sigue funcionando con los elementos necesarios.
29.7 Verificación de identidad con Filo ID (datos biométricos)
Filo ID es un servicio opcional que verifica que quien paga o se registra es quien dice ser. Cuando la persona lo acepta:
| Dato | Qué es | Conservación |
|---|---|---|
| Fotografía del documento de identidad (anverso y reverso) | Imagen del documento | 30 días, y luego se elimina |
| Selfie | Fotografía del rostro | 30 días, y luego se elimina |
| Prueba de vida | Verificación de que la persona está presente (no una foto o video) | Solo el resultado |
| Perfil facial | Representación numérica del rostro, generada con Amazon Web Services Rekognition | Hasta que la persona pida borrarlo |
| Resultado y datos del documento | Aprobado o rechazado, nombre y número de documento extraídos | 5 años |
Reglas aplicables a estos datos:
- Finalidad única: verificar identidad y reducir el fraude en pagos y cuentas. No se usan para publicidad, no se venden ni se ceden para otros fines.
- Consentimiento expreso y revocable. Se pide antes de capturar cualquier dato, con la versión del texto aceptada; sin consentimiento no se captura ni se procesa nada. La persona puede revocarlo en cualquier momento.
- Solo mayores de 18 años. Si el documento indica menor de edad, la verificación no se completa.
- Cómo se borran: la persona puede eliminar su perfil facial y sus datos desde la sección Mi Filo ID o solicitándolo por el canal de la sección 35; el borrado es efectivo sobre el perfil facial y las imágenes aún conservadas.
- El procesamiento facial lo realiza AWS (ver sección 33.2). Filo no comparte las imágenes con terceros distintos de este proveedor.
29.8 De la aplicación móvil del Comercio
La aplicación móvil del Comercio (Filo Comercio, para Android) recopila y usa únicamente lo siguiente:
| Dato o permiso | Para qué se usa | Observaciones |
|---|---|---|
| Identificador del dispositivo (Android ID) | Reconocer los dispositivos desde los que se inicia sesión, limitar las sesiones simultáneas y bloquear un equipo perdido o robado | Se asocia a la cuenta; no se usa para publicidad |
| Modelo del equipo, versión del sistema operativo y versión de la aplicación | Soporte técnico y compatibilidad | Datos técnicos, sin contenido personal |
| Mapas de Google | Buscar y elegir en el mapa la dirección de entrega o de la sucursal | Google recibe la dirección IP y las direcciones o coordenadas consultadas (sección 33.2). La aplicación no usa la ubicación del dispositivo: la dirección se escribe o se marca a mano |
| Bluetooth | Conectar la impresora de tickets y recibos | Solo para el envío del ticket a la impresora emparejada; no se usa para ubicar a la persona ni se envía a Filo |
| Notificaciones locales | Avisar en el propio dispositivo de pagos recibidos y de pedidos nuevos | El permiso puede negarse o retirarse desde los ajustes del sistema |
La aplicación del Comercio no usa la cámara ni la ubicación del dispositivo.
30. Finalidades
| Finalidad | Base |
|---|---|
| Prestar el servicio de entrega | Ejecución contractual |
| Asignar rutas y calcular tarifas | Ejecución contractual |
| Procesar pagos, cobros, reintegros y liquidaciones | Ejecución contractual |
| Verificar identidad y documentación | Obligación legal y seguridad |
| Verificar identidad mediante Filo ID (biometría) | Consentimiento expreso, revocable |
| Mostrar seguimiento en tiempo real | Ejecución contractual |
| Atender reclamaciones, cobros no recibidos e incidentes | Interés legítimo |
| Prevenir fraude y proteger la seguridad de las cuentas | Interés legítimo |
| Medir de qué campaña llega una visita y el identificador del dispositivo en la tienda | Consentimiento |
| Mejorar el servicio mediante análisis agregado | Interés legítimo |
| Comunicaciones comerciales | Consentimiento, revocable en cualquier momento |
| Cumplir obligaciones fiscales, contables y requerimientos de autoridad | Obligación legal |
Los datos no se usan para finalidades incompatibles con las anteriores sin informarlo y, cuando corresponda, sin pedir un nuevo consentimiento.
31. Geolocalización
31.1 Del Conductor
La aplicación del Conductor transmite su ubicación únicamente mientras el Conductor está en turno (conectado) a la Plataforma, incluso cuando la aplicación está minimizada o la pantalla apagada. Mientras eso ocurre, la aplicación muestra una notificación permanente. Antes de pedir el permiso de ubicación, la aplicación explica este uso y solicita la aceptación del Conductor.
| Situación | Tratamiento |
|---|---|
| Ruta activa | Registro periódico, visible para el seguimiento de la orden |
| Conectado sin ruta | Registro de menor frecuencia, para asignación |
| Desconectado | La aplicación no transmite ubicación |
La ubicación del Conductor se muestra al Cliente final solo entre la recolección y la entrega, y únicamente en el contexto de su propia orden.
El historial de ubicación del Conductor se conserva por un (1) año (sección 34).
31.2 Del comprador en la tienda en línea
La ubicación del dispositivo del comprador solo se usa si el comprador la autoriza expresamente (por ejemplo, para fijar la dirección de entrega en el mapa o como dato antifraude del pago). Si no la autoriza, puede escribir su dirección manualmente y comprar con normalidad.
31.3 Del personal de campo y de ventas
Las aplicaciones de ventas y de campo pueden registrar la ubicación de visitas o pedidos solo durante la jornada de trabajo y la acción que lo requiere, según lo informado al usuario en la aplicación.
31.4 En el pago (antifraude)
La ubicación aproximada del pagador se solicita solo con su consentimiento (opt-in) y se usa únicamente para evaluar el riesgo de fraude de esa operación.
32. Seguimiento público de órdenes
El enlace de seguimiento se comparte con el Cliente final y expone información mínima:
| Dato | Exposición |
|---|---|
| Estado de la orden | Sí |
| Ubicación del Conductor | Solo durante el trayecto activo |
| Nombre del Conductor | Solo nombre de pila |
| Tipo y color del vehículo | Sí |
| Teléfono del Conductor | Nunca |
| Contenido y valor del pedido | Nunca |
| Dirección de entrega | Referencia truncada |
El enlace caduca transcurridas cuatro horas desde la entrega.
33. Transferencias a terceros
33.1 Con quién se comparten
Los datos se comparten únicamente con:
| Destinatario | Finalidad |
|---|---|
| Conductor asignado | Datos mínimos para ejecutar la entrega |
| Comercio | Estado de sus órdenes y datos de sus clientes |
| Proveedores de pago | Procesamiento de transacciones (sección 29.4) |
| Proveedores de mapas y ruteo | Cálculo de rutas y visualización de mapas |
| Infraestructura tecnológica | Alojamiento y operación |
| Aseguradoras | Únicamente ante siniestro |
| Autoridad competente | Ante requerimiento fundado en derecho |
Filo no vende, arrienda ni comercializa datos personales.
33.2 Proveedores y transferencia internacional
Filo usa los siguientes proveedores, algunos ubicados fuera de Honduras, por lo que los datos pueden ser transferidos y tratados en otros países, principalmente en Estados Unidos (Google Cloud y Amazon Web Services):
| Proveedor | Para qué | Datos principales |
|---|---|---|
| Google (Maps, Fonts) | Mapas, direcciones, tipografías | Dirección IP, direcciones y coordenadas consultadas |
| OpenStreetMap | Mapas y datos geográficos | Dirección IP, zona visualizada |
| Stripe, PayPal | Cobros con tarjeta y PayPal | Datos del pago y del pagador |
| VGS (Very Good Security) | Protección y tokenización de tarjetas | Datos de tarjeta (no llegan a Filo) |
| Duck Payments | Orquestación de cobros y suscripciones | Datos de la operación, token y estado |
| Amazon Web Services (Rekognition, Cognito, S3, CloudTrail) | Verificación facial de Filo ID, autenticación, almacenamiento temporal y registro de operaciones | Imágenes de verificación, perfil facial, registros técnicos |
| Google Cloud Storage | Almacenamiento de documentos y evidencias | Documentos, fotografías |
| OneSignal | Notificaciones push | Identificador del dispositivo |
| Sentry | Monitoreo de errores | Datos técnicos del error y del dispositivo |
| Keycloak | Autenticación e inicio de sesión | Cuenta, credenciales y sesiones |
| WhatsApp (Meta) y Evolution API | Mensajería por WhatsApp | Número, contenido de los mensajes |
| Postmark | Envío de correo electrónico | Dirección de correo, contenido y estado de entrega |
Filo exige a sus proveedores el nivel de protección necesario para el servicio que prestan. Su lista puede actualizarse; los cambios sustanciales se reflejan en una nueva versión de esta Política.
34. Conservación
| Dato | Plazo |
|---|---|
| Registros de órdenes y eventos | 5 años |
| Evidencias de entrega | 1 año |
| Geolocalización detallada del Conductor | 1 año |
| Enlace público de seguimiento | 4 horas después de la entrega |
| Fotografías de verificación de Filo ID (documento y selfie) | 30 días |
| Perfil facial de Filo ID | Hasta que la persona solicite su borrado |
| Atribución de campañas (filo_attribution_v1) | 30 días en el dispositivo |
| Visitas e intentos de pago (IP, dispositivo, ubicación) | 1 año |
| Prospectos (leads) y mensajes | 2 años |
| Datos de cuentas cerradas | Anonimizados; solo se conserva lo exigido por obligación legal (secciones 19.1 y 27.1) |
| Copia restringida de los datos originales de una cuenta dada de baja | 5 años desde la baja, y luego se elimina |
| Registros contables y fiscales | 5 años |
Vencido el plazo, el dato se elimina o se anonimiza de forma que no permita identificar a la persona.
35. Derechos del titular
El titular puede ejercer, conforme a la normativa aplicable, los derechos de acceso, rectificación, cancelación y oposición (ARCO) al tratamiento de sus datos, así como revocar su consentimiento (incluido el de Filo ID) y solicitar la eliminación de su perfil facial.
Canal de ejercicio: WhatsApp de contacto general +504 8882-1799. La baja de la cuenta también puede pedirse sin la aplicación: la del Conductor en https://app.filo.delivery/eliminar-cuenta y la del Comercio (solo su dueño) en https://app.filo.delivery/eliminar-cuenta/comercio Plazo de respuesta: 15 días hábiles
Se requerirá acreditación de identidad para atender la solicitud.
35.1 Desuscripción de correos
- Cada correo comercial de Filo incluye un enlace para darse de baja; también puede hacerlo en la página /desuscribirse del sitio.
- Al darse de baja, la dirección entra en una lista de supresión y no recibirá más correos comerciales.
- Los correos transaccionales continúan (cobros, recibos, reintegros, avisos de seguridad de la cuenta y comunicaciones del servicio contratado), porque son necesarios para la operación.
La cancelación de datos necesarios para la prestación del servicio implica la imposibilidad de continuar utilizando la Plataforma. Los datos sujetos a obligación legal de conservación no pueden eliminarse hasta el vencimiento del plazo correspondiente.
36. Medidas de seguridad
Filo aplica las siguientes medidas, cuya existencia puede verificarse en la Plataforma:
- Cifrado de las comunicaciones entre las aplicaciones, el sitio y los servidores
- Autenticación centralizada de usuarios y sesiones mediante Keycloak
- Control de acceso por rol y principio de mínimo privilegio
- Enlaces públicos (seguimiento, pago, baja de correos) firmados y con vencimiento
- Los datos de tarjeta no se almacenan en los sistemas de Filo; se tokenizan con VGS y la pasarela (sección 29.4)
- Segregación de funciones en operaciones financieras y bitácoras de las operaciones financieras y administrativas
- Registro de acceso a las verificaciones de Filo ID; para el resto de la información sensible (documentos, fotografías, datos bancarios) el acceso del personal está limitado por rol
- Limitación de intentos y protección contra uso abusivo en los servicios públicos
- Respaldo periódico de información
Ningún sistema es infalible. Filo no declara certificaciones de seguridad que no haya obtenido; si ocurriera un incidente que afecte datos personales, lo comunicará a los afectados y a la autoridad cuando corresponda.
37. Menores de edad
La Plataforma no está dirigida a menores de edad. Solo pueden registrarse personas mayores de dieciocho (18) años (sección 5.1) y la Plataforma no recopila datos de personas menores de dieciocho años de forma consciente. Si Filo detecta o es informado de que una cuenta pertenece a un menor, la suspenderá y eliminará los datos asociados, salvo lo que deba conservar por obligación legal. Quien tenga conocimiento de un caso puede reportarlo por el canal de la sección 35.
38. Modificaciones
Las modificaciones a esta Política se notificarán por los medios de contacto registrados con 15 días de anticipación, y cada versión indica su fecha de vigencia.
Versión 1.3 · octubre 2026 · NUUKGER S.R.L · Filo Delivery