Aviso de Privacidad Integral de GestaProp

En cumplimiento de lo dispuesto por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (en adelante, la «LFPDPPP»), su Reglamento y los Lineamientos del Aviso de Privacidad, se pone a disposición del Titular el presente Aviso de Privacidad Integral relativo a GestaProp.

1. Identidad y domicilio del Responsable

RAKUN VENTURES, SOCIEDAD ANÓNIMA PROMOTORA DE INVERSIÓN DE CAPITAL VARIABLE (en adelante, «Rakun Ventures» o «el Responsable»), titular de la plataforma GestaProp y de la marca Getabed, con Registro Federal de Contribuyentes RVE201126J42 y domicilio corporativo en Avenida de la Paz 2860-D, C.P. 44130, Guadalajara, Jalisco, México, es responsable del uso y protección de los datos personales que trata en los términos de este Aviso de Privacidad Integral (en adelante, «el Aviso»), de conformidad con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, su reglamento y los lineamientos aplicables (en conjunto, «la Ley»).

Para efectos de este Aviso:

• GestaProp es la plataforma de gestión para hoteles y rentas vacacionales que comprende la consola web, la aplicación nativa para Android e iOS, el kiosko de autoservicio, la API, el motor de reservas, el checkout alojado, el portal del huésped, los portales de propietarios y de organizadores de grupos, los websites por propiedad (Getabed Property Website), el widget de búsqueda y el metabuscador Getabed.mx.
• Cliente es la persona física o moral que contrata GestaProp para operar uno o varios alojamientos.
• Usuario es cada persona a la que el Cliente da acceso a GestaProp (administradores, recepción, gerencia, finanzas, governanta, mantenimiento y demás roles).
• Huésped es la persona que busca, cotiza, reserva, paga o se registra en un alojamiento operado con GestaProp, incluido quien reserva en nombre de otros.
• Titular es la persona física a quien corresponden los datos personales.

2. Alcance: cuándo somos Responsable y cuándo Encargado

Rakun Ventures actúa con dos calidades distintas, y este Aviso distingue en todo momento entre ellas:

a) Como Responsable. Rakun Ventures decide sobre el tratamiento de los datos de:

1. Clientes, sus representantes legales y contactos de facturación y cobranza.
2. Usuarios de la consola, la aplicación y la API, en lo que se refiere a su cuenta, autenticación, seguridad y bitácora de auditoría.
3. Personas que se registran en la lista de espera de GestaProp o solicitan información por el formulario de contacto, correo electrónico o WhatsApp.
4. Visitantes de los sitios gestaprop.com y Getabed.mx.
5. Huéspedes que buscan alojamiento en Getabed.mx, únicamente respecto de la búsqueda y la derivación al website del alojamiento.
6. Tarjetahabientes que pagan con Gesta Payments, únicamente en lo necesario para procesar el cobro, prevenir fraude y atender aclaraciones y contracargos.

b) Como Encargado. Cuando el Cliente opera su alojamiento con GestaProp, el Cliente es el responsable de los datos de sus huéspedes, de su personal, de los propietarios de las unidades que administra y de los organizadores de grupos, y Rakun Ventures los trata únicamente por cuenta e instrucciones del Cliente para prestarle el servicio. En esos casos, el aviso de privacidad aplicable es el del alojamiento, y el Titular debe ejercer sus derechos ante el Cliente. Rakun Ventures no usa esos datos para fines propios, no los vende, no los cruza entre organizaciones y no los usa para publicidad.

Si un Titular dirige a Rakun Ventures una solicitud sobre datos que trata como Encargado, Rakun Ventures la turnará al Cliente que corresponda y colaborará con éste para atenderla dentro de los plazos de la Ley.

3. Datos personales que tratamos

3.1 Datos que tratamos como Responsable

Información financiera del Cliente. Datos de la cuenta bancaria (banco, titular y CLABE) para dispersarle los cobros procesados con Gesta Payments o para mostrarla al huésped cuando el Cliente acepta transferencias, y los datos de la tarjeta o transferencia con que paga su suscripción. Las tarjetas las tokeniza el procesador de pagos; GestaProp no almacena números de tarjeta ni códigos de seguridad.

Información del alojamiento. Ubicación, fotografías, descripciones, amenidades, tipos de unidad, tarifas, políticas, inventario y disponibilidad. No son datos personales cuando corresponden a una persona moral; si el alojamiento es de una persona física, se tratan con las mismas garantías que el resto de sus datos.

3.2 Datos que tratamos como Encargado, por cuenta del Cliente

4. Datos personales sensibles

Rakun Ventures no solicita datos personales sensibles para sus propias finalidades. Se consideran sensibles los que se refieren a la esfera más íntima del Titular o cuya utilización indebida pueda dar origen a discriminación o conllevar un riesgo grave para éste, como el origen racial o étnico, el estado de salud presente o futuro, la información genética, las creencias religiosas, filosóficas y morales, la afiliación sindical, las opiniones políticas y la preferencia sexual.

Cuando el Cliente, como responsable, decida recabar datos sensibles de sus huéspedes (por ejemplo, una discapacidad o un requerimiento médico para preparar la estancia) o datos biométricos, deberá obtener el consentimiento expreso y por escrito que exige la Ley a través de su propio aviso de privacidad. GestaProp no exige esos datos en ningún flujo.

En particular:

• Lectura de identificaciones. El kiosko lee en el propio dispositivo la zona de lectura mecánica (MRZ) de pasaportes e identificaciones; la imagen no se envía a servicios externos durante la lectura. El huésped confirma o corrige lo leído antes de enviarlo, y la fotografía se guarda en almacenamiento privado como pendiente de revisión. GestaProp no verifica identidades ni realiza reconocimiento facial.
• Firma en pantalla. La firma del registro de estancia se guarda como imagen con la fecha y hora en que se capturó, como evidencia del registro. No se usa como dato biométrico ni se compara con otras firmas.

5. Finalidades del tratamiento

5.1 Finalidades primarias (necesarias para la relación jurídica)

1. Evaluar y aprobar la solicitud de registro, administrar la lista de espera y activar el periodo de prueba.
2. Celebrar, ejecutar y administrar el contrato de licencia de uso de GestaProp con el Cliente, incluidos el alta, la configuración, la importación de datos y la capacitación contratada.
3. Crear y administrar las cuentas de los Usuarios, autenticarlos (contraseña, código de un solo uso por correo, segundo factor o acceso con Google o Apple), asignarles roles y alcances, y registrar en la bitácora de auditoría quién hizo cada cambio y cuándo.
4. Cobrar la suscripción, los complementos y las comisiones; emitir los comprobantes fiscales correspondientes; administrar el periodo de gracia y, en su caso, la suspensión por falta de pago.
5. Procesar los cobros de Gesta Payments, dispersar al Cliente los importes cobrados, ejecutar reembolsos a la misma cuenta que cobró y atender aclaraciones y contracargos.
6. Publicar el alojamiento en Getabed.mx cuando el Cliente lo consienta, mostrar ofertas con precio cotizado y disponibilidad confirmada, derivar al Huésped al website del alojamiento y atribuir al Cliente las reservas que lleguen por esa vía.
7. Prestar soporte técnico, atender incidentes y comunicar avisos operativos, de seguridad, de facturación y de cambios al servicio.
8. Prevenir fraude, abuso y accesos no autorizados (límites de intentos y de tasa, verificación anti-bots, detección de duplicados y revisión de webhooks).
9. Responder solicitudes de información y del formulario de contacto.
10. Cumplir obligaciones legales, fiscales y de atención a requerimientos de autoridad competente.

5.2 Finalidades secundarias (no necesarias)

1. Enviar información comercial sobre nuevas funcionalidades, complementos, eventos y promociones de GestaProp y Getabed.
2. Aplicar encuestas de satisfacción y pedir opiniones para mejorar el servicio.
3. Elaborar estadísticas agregadas y anónimas de uso de los sitios y de la plataforma.

Si el Titular no desea que sus datos se traten para alguna finalidad secundaria, puede indicarlo en cualquier momento al correo señalado en el §10 o mediante el enlace para darse de baja incluido en cada comunicación comercial. La negativa no será motivo para negarle el servicio.

5.3 Finalidades del tratamiento por cuenta del Cliente

Como Encargado, Rakun Ventures trata los datos descritos en el §3.2 sólo para prestar al Cliente las funciones de GestaProp que éste active: motor de reservas, cotización, checkout y portal del huésped; recepción, registro de llegada y kiosko; folios, caja, cobros, reembolsos y conciliación; correos transaccionales de la reserva; distribución en canales; facturación electrónica CFDI; grupos; governanta y mantenimiento; liquidaciones y portal de propietarios; y recursos humanos mediante RakunCoreRH.

5.4 Bases legales para personas sujetas al RGPD

Cuando el Reglamento General de Protección de Datos de la Unión Europea (RGPD) resulte aplicable, las bases legales del tratamiento son, según corresponda: la ejecución del contrato o la aplicación de medidas precontractuales (art. 6.1.b); el cumplimiento de obligaciones legales, incluidas las fiscales, contables y de protección de datos (art. 6.1.c); el interés legítimo en la seguridad de la plataforma, la prevención del fraude y del abuso, la continuidad del servicio y la defensa de reclamaciones (art. 6.1.f), con una ponderación documentada que no prevalezca sobre los derechos del Titular; y el consentimiento para las finalidades secundarias, las comunicaciones opcionales y las tecnologías no esenciales (art. 6.1.a), revocable en cualquier momento. Cuando Rakun Ventures trata los datos como Encargado (§3.2), las bases las determina el Cliente en su calidad de responsable.

6. Formas de obtención de los datos

Rakun Ventures obtiene los datos personales:

a) Directamente, cuando el Titular los proporciona al registrarse, contratar, llenar el formulario de contacto, escribir por correo o WhatsApp, o usar la consola, la aplicación, la API o el checkout.

b) Por medios electrónicos, cuando el Titular visita gestaprop.com, Getabed.mx o un website operado con GestaProp, mediante las cookies técnicas descritas en el §12.

c) Indirectamente, de fuentes permitidas por la Ley:

• del Cliente, que carga o importa los datos de sus huéspedes, personal y propietarios, incluida la migración desde Getabed Suite;
• de las agencias de viajes en línea (OTA) que envían reservas al Cliente mediante el módulo de Distribución de GestaProp;
• de los procesadores de pago, que informan el resultado de cada cobro;
• de Google o Apple, cuando el Usuario elige iniciar sesión con esas cuentas, que entregan su nombre y correo.

7. Remisiones a encargados y transferencias

7.1 Remisiones a encargados

Para operar GestaProp, Rakun Ventures comunica datos personales a proveedores que los tratan por su cuenta y bajo sus instrucciones (remisiones). Estas comunicaciones no requieren el consentimiento del Titular, y los proveedores están obligados por contrato a la confidencialidad y a las medidas de seguridad. Algunos están en el extranjero.

Cuando el Cliente conecta su propio procesador de pagos (Stripe, Openpay, Conekta o Mercado Pago), ese procesador lo contrata y lo elige el Cliente; los datos del cobro se comunican a él por instrucción del Cliente.

7.2 Transferencias

Rakun Ventures no vende ni renta datos personales y no los transfiere a terceros para sus propias finalidades. Sólo realiza las transferencias que la Ley permite sin consentimiento del Titular, en particular:

1. A autoridades competentes, cuando lo requieran mediante mandamiento fundado y motivado o lo exija una disposición legal.
2. A sociedades del mismo grupo de Rakun Ventures que operen bajo los mismos procesos y políticas internas, para las mismas finalidades de este Aviso.
3. A procesadores de pago, instituciones bancarias y redes de tarjetas, cuando sea necesario para la aclaración de un cobro o la atención de un contracargo.
4. Cuando sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
5. En caso de fusión, escisión o cesión de la plataforma, al adquirente, que quedará obligado por este Aviso.

Derivación desde Getabed.mx. Cuando un Huésped elige un alojamiento en Getabed.mx, se le envía al website de ese alojamiento con su destino, fechas, ocupación y una referencia firmada válida por siete días. Getabed.mx no recaba su nombre, correo ni datos de pago: el Huésped los entrega directamente en el checkout del alojamiento, cuyo aviso de privacidad le aplica.

Transferencias internacionales. Algunos proveedores de infraestructura, correo, pagos y seguridad pueden estar ubicados fuera de México. Cuando ocurra una transferencia internacional, se evalúa conforme a la Ley y, si el RGPD resulta aplicable, se ampara en una decisión de adecuación de la Comisión Europea u otra garantía apropiada, como las cláusulas contractuales tipo, junto con medidas suplementarias cuando procedan. No se declara que un proveedor esté en un país determinado sin verificarlo.

8. Medidas de seguridad

Rakun Ventures mantiene medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado, entre ellas:

1. Aislamiento por organización en la base de datos: los datos de un Cliente no son visibles para otro, y los websites, llaves, dominios y portales no se comparten.
2. Control de acceso por permiso y por alcance (organización, portafolio o propiedad), con políticas de autorización en cada operación de escritura.
3. Segundo factor obligatorio para los roles de Administración y Finanzas, y clave de operación para acciones sensibles.
4. Contraseñas, códigos de un solo uso, tokens y secretos guardados sólo como hash, con vigencia corta, límite de intentos y respuestas que no revelan si una cuenta existe.
5. Bitácora de auditoría inmutable de los cambios relevantes, con actor, fecha y motivo.
6. Cifrado en tránsito (HTTPS/TLS 1.3) en todas las superficies y cifrado en reposo (AES-256) en bases de datos y bóvedas; cola local cifrada en la aplicación para la operación sin conexión.
7. Almacenamiento de objetos privado: comprobantes, identificaciones, evidencias y XML se sirven sólo con URL firmadas y de vigencia limitada.
8. No almacenamiento de tarjetas: el procesador tokeniza los datos de pago, y los avisos de cobro (webhooks) se aceptan sólo con la firma verificada de la cuenta que cobró.
9. Purga de correos con enlaces o códigos de acceso una vez enviados.
10. Los sellos digitales (CSD) para facturación se guardan en la bóveda del servicio fiscal y no en GestaProp.

Ninguna medida elimina por completo el riesgo. Si ocurre una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales del Titular, Rakun Ventures se lo informará de inmediato, junto con las medidas que adopte y las que el Titular pueda tomar para protegerse; si los datos los trata por cuenta de un Cliente, lo informará al Cliente para que éste notifique a sus titulares.

9. Conservación y supresión

Los datos personales se conservan sólo durante el tiempo necesario para las finalidades de este Aviso y para cumplir las obligaciones legales aplicables:

Concluido el plazo, los datos se suprimen o se anonimizan. Las correcciones a registros contables y fiscales se hacen mediante contra-asientos y no borrando el registro original, porque la ley y la integridad contable lo exigen; en esos casos el dato se bloquea y sólo se conserva para atender responsabilidades legales.

Las solicitudes de exportación o supresión de datos personales se atienden en un plazo no mayor de 30 días naturales, sin perjuicio de los plazos de la Ley descritos en el §10.

10. Derechos ARCO y revocación del consentimiento

El Titular tiene en todo momento derecho a:

• Acceso: conocer qué datos personales tenemos de él, para qué los usamos y las condiciones de su tratamiento.
• Rectificación: corregirlos cuando sean inexactos, estén incompletos o desactualizados.
• Cancelación: pedir que se eliminen de nuestros registros cuando considere que no se tratan conforme a la Ley, previo periodo de bloqueo cuando proceda.
• Oposición: oponerse a su tratamiento por causa legítima o para finalidades específicas.

También puede revocar el consentimiento que haya otorgado, en la medida en que la Ley lo permita. La revocación o la oposición respecto de una finalidad primaria puede impedir que continuemos la relación contractual o prestemos el servicio.

10.1 Cómo presentar la solicitud

La solicitud se presenta por escrito en el domicilio del Departamento Legal o por correo electrónico a la dirección indicada abajo, y debe contener:

1. Nombre del Titular, domicilio y correo electrónico para recibir la respuesta.
2. Documentos que acrediten su identidad y, en su caso, la identidad y facultades de su representante.
3. De ser posible, el área o el servicio que trata los datos (por ejemplo: cuenta de Usuario, facturación, lista de espera, Gesta Payments).
4. Descripción clara y precisa de los datos respecto de los que ejerce el derecho, salvo que se trate del derecho de acceso.
5. El derecho que ejerce o lo que solicita.
6. Cualquier elemento o documento que facilite localizar los datos.

En la rectificación, el Titular indica las modificaciones y aporta la documentación que las sustente. En la cancelación, expresa las causas que la motivan. En la oposición, señala los motivos que la justifican y el daño o perjuicio que le causaría continuar el tratamiento o, si es parcial, las finalidades específicas con las que no está de acuerdo.

10.2 Plazos

Rakun Ventures comunicará la determinación adoptada en un plazo máximo de 20 días hábiles contados desde la recepción de la solicitud, ampliable una sola vez por un periodo igual cuando lo justifiquen las circunstancias, y, si resulta procedente, la hará efectiva dentro de los 15 días hábiles siguientes a la respuesta. El acceso se entrega sin costo, salvo los gastos justificados de envío o reproducción. Para datos que Rakun Ventures trata como Encargado, aplica lo previsto en el §2.

10.3 Departamento Legal

10.4 Derechos del RGPD

Si el RGPD resulta aplicable, el Titular puede ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos, oposición y retirada del consentimiento, en los términos de los artículos 15 a 22 del RGPD, por los mismos canales del §10.1; la retirada del consentimiento no afecta la licitud del tratamiento previo. La respuesta se da dentro de un mes desde la recepción, ampliable hasta dos meses más cuando la complejidad o el número de solicitudes lo justifiquen, con aviso al Titular. También puede presentar una reclamación ante la autoridad de control competente de su Estado miembro, sin perjuicio de las vías mexicanas del §14. Para datos que Rakun Ventures trata como Encargado, la solicitud se dirige al Cliente como responsable (§2).

11. Limitación del uso o divulgación

Además de los derechos ARCO, el Titular puede limitar el uso o divulgación de sus datos:

1. Comunicaciones comerciales: con el enlace de baja incluido en cada correo, o escribiendo al Departamento Legal.
2. Correos no operativos de una reserva (por ejemplo, recordatorios o encuestas que el alojamiento envía con GestaProp): con el enlace de baja firmado del propio correo. Los correos indispensables de la reserva (confirmación, modificación y cancelación) siguen enviándose mientras exista la reserva.
3. Listado en Getabed.mx: el Cliente puede retirar en cualquier momento su consentimiento para aparecer en el metabuscador; el anuncio deja de mostrarse de inmediato, sin borrar su historial.

Rakun Ventures mantiene un listado interno de exclusión con los correos que se han dado de baja, han rebotado o han reportado un mensaje como no deseado, para no volver a enviarles comunicaciones no operativas.

12. Cookies y tecnologías similares

12.1 Qué son

Las cookies son archivos de datos que el sitio guarda en el navegador del visitante y que le permiten intercambiar información de estado, como la sesión, la autenticación o las preferencias. Los web beacons o píxeles de seguimiento son imágenes, visibles u ocultas, que permiten conocer el comportamiento de quien visita una página.

12.2 Qué usamos

GestaProp, gestaprop.com, Getabed.mx y los websites y checkouts operados con GestaProp utilizan sólo cookies técnicas, necesarias para el funcionamiento:

No utilizamos cookies publicitarias ni de segmentación, píxeles de seguimiento ni web beacons, y no compartimos información de navegación con redes publicitarias. Si en el futuro se incorporan herramientas de analítica, serán sin datos personales identificables y se informará en este apartado antes de activarlas.

12.3 Cómo administrarlas

El visitante puede consultar, bloquear o eliminar las cookies desde la configuración de su navegador. Como las cookies que usamos son necesarias, al bloquearlas es posible que no pueda iniciar sesión, completar una reserva o acceder al portal del huésped. Más información sobre cómo administrarlas: https://www.aboutcookies.org.

Los websites de los alojamientos publicados fuera de GestaProp (por ejemplo, en Wix) que incrustan el widget de búsqueda tienen sus propias cookies, que regula el aviso de privacidad del alojamiento.

13. Cambios al Aviso de Privacidad

Rakun Ventures puede modificar este Aviso por cambios legales, en sus servicios, en sus proveedores o en sus prácticas de privacidad. La versión vigente se publica en gestaprop.com y en la página de GestaProp de rakun.mx, con su fecha de actualización. Los cambios sustanciales —una nueva finalidad, una nueva transferencia que requiera consentimiento o un cambio en la identidad del Responsable— se comunican además por correo electrónico a los Clientes y Usuarios y mediante aviso en la consola de GestaProp antes de que surtan efecto.

14. Autoridad y consentimiento

Si el Titular considera que su derecho a la protección de datos personales ha sido vulnerado, puede acudir ante la Secretaría Anticorrupción y Buen Gobierno, autoridad en la materia para el sector privado conforme a la Ley.

El Titular manifiesta su consentimiento al tratamiento descrito en este Aviso al marcar la casilla de aceptación en el registro, en el formulario de contacto o en el checkout, o al continuar utilizando los servicios después de que se le haya puesto a disposición. La aceptación de las políticas en el checkout se registra con la versión, el idioma, la fecha y la hora en que se otorgó.

15. Personas en la Unión Europea

Cuando el RGPD sea aplicable por ofrecer servicios a personas en la Unión Europea o el Espacio Económico Europeo, o por cualquiera de las circunstancias de su artículo 3, Rakun Ventures atiende las obligaciones correspondientes. Si resulta exigible la designación de un representante en la Unión conforme al artículo 27 del RGPD, sus datos se publicarán en este Aviso. Los derechos y las vías de reclamación del RGPD no quedan limitados por la cláusula de jurisdicción de los Términos y Condiciones de Uso.

Decisiones automatizadas. No se toman decisiones exclusivamente automatizadas con efectos jurídicos sobre el Titular fuera de los controles técnicos de licencia, seguridad y prevención de fraude y abuso; cualquier cambio sustancial se comunicará por los medios del §13.

Referencias normativas: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (texto vigente) y Reglamento (UE) 2016/679 (RGPD).

16. Legislación aplicable y jurisdicción

Este Aviso se rige por las leyes federales de los Estados Unidos Mexicanos y, en lo que corresponda, por las del Estado de Jalisco. Para la interpretación, el cumplimiento o la resolución de controversias sobre el tratamiento de los datos personales, las partes se someten a los tribunales competentes de la Zona Metropolitana de Guadalajara, Jalisco, renunciando a cualquier otro fuero que pudiera corresponderles, sin perjuicio de los derechos y vías de reclamación que el RGPD reconoce a las personas en la Unión Europea (§15) ni de las facultades de la autoridad mexicana (§14).

Última actualización: Guadalajara, Jalisco, México, 7 de octubre de 2026.