Aviso de Privacidade Integral da GestaProp

Em cumprimento do disposto na Ley Federal de Protección de Datos Personales en Posesión de los Particulares (Lei Federal de Proteção de Dados Pessoais em Posse de Particulares) (doravante, a “LFPDPPP”), seu Regulamento e as Diretrizes do Aviso de Privacidade, disponibiliza-se ao Titular o presente Aviso de Privacidade Integral relativo ao GestaProp.

1. Identidade e domicílio do Controlador

RAKUN VENTURES, SOCIEDAD ANÓNIMA PROMOTORA DE INVERSIÓN DE CAPITAL VARIABLE (doravante, “Rakun Ventures” ou “o Controlador”), titular da plataforma GestaProp e da marca Getabed, com Registro Federal de Contribuyentes (Registro Federal de Contribuintes) RVE201126J42 e domicílio corporativo na Avenida de la Paz 2860-D, C.P. 44130, Guadalajara, Jalisco, México, é responsável pelo uso e pela proteção dos dados pessoais que trata nos termos deste Aviso de Privacidade Integral (doravante, “o Aviso”), de conformidade com a Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada no Diario Oficial de la Federación (Diário Oficial da Federação) em 20 de março de 2025, seu regulamento e as diretrizes aplicáveis (em conjunto, “a Lei”).

Para os fins deste Aviso:

• GestaProp é a plataforma de gestão para hotéis e aluguéis por temporada que compreende o console web, o aplicativo nativo para Android e iOS, o quiosque de autoatendimento, a API, o motor de reservas, o checkout hospedado, o portal do hóspede, os portais de proprietários e de organizadores de grupos, os websites por propriedade (Getabed Property Website), o widget de busca e o metabuscador Getabed.mx.
• Cliente é a pessoa física ou jurídica que contrata a GestaProp para operar uma ou várias hospedagens.
• Usuário é cada pessoa a quem o Cliente concede acesso à GestaProp (administradores, recepção, gerência, finanças, governanta, manutenção e demais funções).
• Hóspede é a pessoa que busca, cota, reserva, paga ou se registra em uma hospedagem operada com a GestaProp, incluído quem reserva em nome de terceiros.
• Titular é a pessoa física a quem correspondem os dados pessoais.

2. Abrangência: quando somos Controlador e quando Operador

A Rakun Ventures atua em duas qualidades distintas, e este Aviso distingue, a todo momento, entre elas:

a) Como Controlador. A Rakun Ventures decide sobre o tratamento dos dados de:

1. Clientes, seus representantes legais e contatos de faturamento e cobrança.
2. Usuários do console, do aplicativo e da API, no que se refere à sua conta, autenticação, segurança e trilha de auditoria.
3. Pessoas que se registram na lista de espera da GestaProp ou solicitam informações pelo formulário de contato, e-mail ou WhatsApp.
4. Visitantes dos sites gestaprop.com e Getabed.mx.
5. Hóspedes que buscam hospedagem no Getabed.mx, unicamente em relação à busca e ao encaminhamento ao website da hospedagem.
6. Portadores de cartão que pagam com o Gesta Payments, unicamente no necessário para processar a cobrança, prevenir fraudes e atender contestações e estornos.

b) Como Operador. Quando o Cliente opera sua hospedagem com a GestaProp, o Cliente é o controlador dos dados de seus hóspedes, de seu pessoal, dos proprietários das unidades que administra e dos organizadores de grupos, e a Rakun Ventures os trata unicamente por conta e instruções do Cliente para prestar-lhe o serviço. Nesses casos, o aviso de privacidade aplicável é o da hospedagem, e o Titular deve exercer seus direitos perante o Cliente. A Rakun Ventures não usa esses dados para fins próprios, não os vende, não os cruza entre organizações e não os usa para publicidade.

Se um Titular dirigir à Rakun Ventures uma solicitação sobre dados que ela trata como Operador, a Rakun Ventures a encaminhará ao Cliente correspondente e colaborará com ele para atendê-la dentro dos prazos da Lei.

3. Dados pessoais que tratamos

3.1 Dados que tratamos como Controlador

Informações financeiras do Cliente. Dados da conta bancária (banco, titular e CLABE) para repassar-lhe as cobranças processadas com o Gesta Payments ou para exibi-la ao hóspede quando o Cliente aceita transferências, e os dados do cartão ou da transferência com que paga sua assinatura. Os cartões são tokenizados pelo processador de pagamentos; a GestaProp não armazena números de cartão nem códigos de segurança.

Informações da hospedagem. Localização, fotografias, descrições, comodidades, tipos de unidade, tarifas, políticas, inventário e disponibilidade. Não são dados pessoais quando correspondem a uma pessoa jurídica; se a hospedagem pertence a uma pessoa física, são tratados com as mesmas garantias que o restante de seus dados.

3.2 Dados que tratamos como Operador, por conta do Cliente

4. Dados pessoais sensíveis

A Rakun Ventures não solicita dados pessoais sensíveis para suas próprias finalidades. Consideram-se sensíveis os que se referem à esfera mais íntima do Titular ou cuja utilização indevida possa dar origem a discriminação ou acarretar risco grave para ele, como origem racial ou étnica, estado de saúde presente ou futuro, informação genética, crenças religiosas, filosóficas e morais, filiação sindical, opiniões políticas e orientação sexual.

Quando o Cliente, como controlador, decidir coletar dados sensíveis de seus hóspedes (por exemplo, uma deficiência ou uma exigência médica para preparar a estadia) ou dados biométricos, deverá obter o consentimento expresso e por escrito que a Lei exige por meio de seu próprio aviso de privacidade. A GestaProp não exige esses dados em nenhum fluxo.

Em particular:

• Leitura de documentos de identificação. O quiosque lê no próprio dispositivo a zona de leitura mecânica (MRZ) de passaportes e documentos de identificação; a imagem não é enviada a serviços externos durante a leitura. O hóspede confirma ou corrige o que foi lido antes de enviá-lo, e a fotografia é armazenada em armazenamento privado como pendente de revisão. A GestaProp não verifica identidades nem realiza reconhecimento facial.
• Assinatura em tela. A assinatura do registro de estadia é armazenada como imagem com a data e a hora em que foi capturada, como evidência do registro. Não é usada como dado biométrico nem comparada com outras assinaturas.

5. Finalidades do tratamento

5.1 Finalidades primárias (necessárias para a relação jurídica)

1. Avaliar e aprovar a solicitação de registro, administrar a lista de espera e ativar o período de teste.
2. Celebrar, executar e administrar o contrato de licença de uso da GestaProp com o Cliente, incluídos o cadastro, a configuração, a importação de dados e o treinamento contratado.
3. Criar e administrar as contas dos Usuários, autenticá-los (senha, código de uso único por e-mail, segundo fator ou acesso com Google ou Apple), atribuir-lhes funções e abrangências, e registrar na trilha de auditoria quem fez cada alteração e quando.
4. Cobrar a assinatura, os complementos e as comissões; emitir os comprovantes fiscais correspondentes; administrar o período de carência e, se for o caso, a suspensão por falta de pagamento.
5. Processar as cobranças do Gesta Payments, repassar ao Cliente os valores cobrados, executar reembolsos na mesma conta que cobrou e atender contestações e estornos.
6. Publicar a hospedagem no Getabed.mx quando o Cliente o consentir, exibir ofertas com preço cotado e disponibilidade confirmada, encaminhar o Hóspede ao website da hospedagem e atribuir ao Cliente as reservas que chegarem por essa via.
7. Prestar suporte técnico, atender incidentes e comunicar avisos operacionais, de segurança, de faturamento e de alterações no serviço.
8. Prevenir fraudes, abusos e acessos não autorizados (limites de tentativas e de taxa, verificação antibots, detecção de duplicidades e revisão de webhooks).
9. Responder a solicitações de informação e do formulário de contato.
10. Cumprir obrigações legais e fiscais e atender a requisições de autoridade competente.

5.2 Finalidades secundárias (não necessárias)

1. Enviar informações comerciais sobre novas funcionalidades, complementos, eventos e promoções da GestaProp e da Getabed.
2. Aplicar pesquisas de satisfação e pedir opiniões para melhorar o serviço.
3. Elaborar estatísticas agregadas e anônimas de uso dos sites e da plataforma.

Se o Titular não desejar que seus dados sejam tratados para alguma finalidade secundária, pode indicá-lo a qualquer momento ao e-mail indicado no §10 ou por meio do link de descadastramento incluído em cada comunicação comercial. A negativa não será motivo para negar-lhe o serviço.

5.3 Finalidades do tratamento por conta do Cliente

Como Operador, a Rakun Ventures trata os dados descritos no §3.2 apenas para prestar ao Cliente as funções da GestaProp que este ativar: motor de reservas, cotação, checkout e portal do hóspede; recepção, registro de chegada e quiosque; folios, caixa, cobranças, reembolsos e conciliação; e-mails transacionais da reserva; distribuição em canais; faturamento eletrônico CFDI; grupos; governanta e manutenção; liquidações e portal de proprietários; e recursos humanos por meio do RakunCoreRH.

5.4 Bases legais para pessoas sujeitas ao RGPD

Quando o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD) for aplicável, as bases legais do tratamento são, conforme o caso: a execução do contrato ou a aplicação de medidas pré-contratuais (artigo 6.1.b); o cumprimento de obrigações legais, incluídas as fiscais, contábeis e de proteção de dados (artigo 6.1.c); o interesse legítimo na segurança da plataforma, na prevenção de fraudes e abusos, na continuidade do serviço e na defesa de reclamações (artigo 6.1.f), com uma ponderação documentada que não prevaleça sobre os direitos do Titular; e o consentimento para as finalidades secundárias, as comunicações opcionais e as tecnologias não essenciais (artigo 6.1.a), revogável a qualquer momento. Quando a Rakun Ventures trata os dados como Operador (§3.2), as bases são determinadas pelo Cliente na qualidade de controlador.

6. Formas de obtenção dos dados

A Rakun Ventures obtém os dados pessoais:

a) Diretamente, quando o Titular os fornece ao se registrar, contratar, preencher o formulário de contato, escrever por e-mail ou WhatsApp, ou usar o console, o aplicativo, a API ou o checkout.

b) Por meios eletrônicos, quando o Titular visita gestaprop.com, Getabed.mx ou um website operado com a GestaProp, mediante os cookies técnicos descritos no §12.

c) Indiretamente, de fontes permitidas pela Lei:

• do Cliente, que carrega ou importa os dados de seus hóspedes, pessoal e proprietários, incluída a migração desde o Getabed Suite;
• das agências de viagens on-line (OTA) que enviam reservas ao Cliente por meio do módulo de Distribuição do GestaProp;
• dos processadores de pagamento, que informam o resultado de cada cobrança;
• do Google ou da Apple, quando o Usuário escolhe iniciar sessão com essas contas, que fornecem seu nome e e-mail.

7. Remessas a operadores e transferências

7.1 Remessas a operadores

Para operar a GestaProp, a Rakun Ventures comunica dados pessoais a fornecedores que os tratam por sua conta e sob suas instruções (remessas). Essas comunicações não exigem o consentimento do Titular, e os fornecedores estão obrigados por contrato à confidencialidade e às medidas de segurança. Alguns estão no exterior.

Quando o Cliente conecta seu próprio processador de pagamentos (Stripe, Openpay, Conekta ou Mercado Pago), esse processador é contratado e escolhido pelo Cliente; os dados da cobrança são comunicados a ele por instrução do Cliente.

7.2 Transferências

A Rakun Ventures não vende nem aluga dados pessoais e não os transfere a terceiros para suas próprias finalidades. Realiza apenas as transferências que a Lei permite sem consentimento do Titular, em particular:

1. Às autoridades competentes, quando as requeiram mediante ordem fundamentada e motivada ou quando o exija uma disposição legal.
2. Às sociedades do mesmo grupo da Rakun Ventures que operem sob os mesmos processos e políticas internas, para as mesmas finalidades deste Aviso.
3. Aos processadores de pagamento, instituições bancárias e redes de cartões, quando for necessário para a contestação de uma cobrança ou o atendimento de um estorno.
4. Quando for necessário para o reconhecimento, exercício ou defesa de um direito em processo judicial.
5. Em caso de fusão, cisão ou cessão da plataforma, ao adquirente, que ficará obrigado por este Aviso.

Encaminhamento a partir do Getabed.mx. Quando um Hóspede escolhe uma hospedagem no Getabed.mx, é encaminhado ao website dessa hospedagem com seu destino, datas, ocupação e uma referência assinada válida por sete dias. O Getabed.mx não coleta seu nome, e-mail nem dados de pagamento: o Hóspede os fornece diretamente no checkout da hospedagem, cujo aviso de privacidade lhe é aplicável.

Transferências internacionais. Alguns fornecedores de infraestrutura, e-mail, pagamentos e segurança podem estar localizados fora do México. Quando ocorrer uma transferência internacional, ela é avaliada conforme a Lei e, se o RGPD for aplicável, é amparada em uma decisão de adequação da Comissão Europeia ou outra garantia apropriada, como as cláusulas contratuais-tipo, junto com medidas suplementares quando cabíveis. Não se declara que um fornecedor esteja em um país determinado sem verificá-lo.

8. Medidas de segurança

A Rakun Ventures mantém medidas de segurança administrativas, técnicas e físicas para proteger os dados pessoais contra dano, perda, alteração, destruição, uso, acesso ou tratamento não autorizado, entre elas:

1. Isolamento por organização no banco de dados: os dados de um Cliente não são visíveis para outro, e os websites, chaves, domínios e portais não são compartilhados.
2. Controle de acesso por permissão e por abrangência (organização, portfólio ou propriedade), com políticas de autorização em cada operação de escrita.
3. Segundo fator obrigatório para as funções de Administração e Finanças, e senha de operação para ações sensíveis.
4. Senhas, códigos de uso único, tokens e segredos armazenados apenas como hash, com validade curta, limite de tentativas e respostas que não revelam se uma conta existe.
5. Trilha de auditoria imutável das alterações relevantes, com autor, data e motivo.
6. Criptografia em trânsito (HTTPS/TLS 1.3) em todas as superfícies e criptografia em repouso (AES-256) em bancos de dados e cofres; fila local criptografada no aplicativo para a operação sem conexão.
7. Armazenamento de objetos privado: comprovantes, documentos de identificação, evidências e XML são servidos apenas com URLs assinadas e de validade limitada.
8. Não armazenamento de cartões: o processador tokeniza os dados de pagamento, e os avisos de cobrança (webhooks) são aceitos apenas com a assinatura verificada da conta que cobrou.
9. Expurgo de e-mails com links ou códigos de acesso após o envio.
10. Os selos digitais (CSD) para faturamento são guardados no cofre do serviço fiscal e não na GestaProp.

Nenhuma medida elimina completamente o risco. Se ocorrer uma violação de segurança que afete de forma significativa os direitos patrimoniais ou morais do Titular, a Rakun Ventures o informará de imediato, junto com as medidas que adotar e as que o Titular puder tomar para se proteger; se os dados forem tratados por conta de um Cliente, informará o Cliente para que este notifique seus titulares.

9. Conservação e supressão

Os dados pessoais são conservados apenas durante o tempo necessário para as finalidades deste Aviso e para cumprir as obrigações legais aplicáveis:

Concluído o prazo, os dados são suprimidos ou anonimizados. As correções a registros contábeis e fiscais são feitas mediante contra-lançamentos e não apagando o registro original, porque a lei e a integridade contábil o exigem; nesses casos, o dado é bloqueado e conservado apenas para atender responsabilidades legais.

As solicitações de exportação ou supressão de dados pessoais são atendidas em prazo não superior a 30 dias corridos, sem prejuízo dos prazos da Lei descritos no §10.

10. Direitos ARCO e revogação do consentimento

O Titular tem, a todo momento, direito a:

• Acesso: conhecer quais dados pessoais temos sobre ele, para que os usamos e as condições de seu tratamento.
• Retificação: corrigi-los quando forem inexatos, estiverem incompletos ou desatualizados.
• Cancelamento: pedir que sejam eliminados de nossos registros quando considerar que não são tratados conforme a Lei, com período prévio de bloqueio quando cabível.
• Oposição: opor-se a seu tratamento por causa legítima ou para finalidades específicas.

Também pode revogar o consentimento que houver outorgado, na medida em que a Lei o permita. A revogação ou a oposição em relação a uma finalidade primária pode impedir que continuemos a relação contratual ou prestemos o serviço.

10.1 Como apresentar a solicitação

A solicitação é apresentada por escrito no domicílio do Departamento Jurídico ou por e-mail no endereço indicado abaixo, e deve conter:

1. Nome do Titular, domicílio e e-mail para receber a resposta.
2. Documentos que comprovem sua identidade e, se for o caso, a identidade e os poderes de seu representante.
3. Se possível, a área ou o serviço que trata os dados (por exemplo: conta de Usuário, faturamento, lista de espera, Gesta Payments).
4. Descrição clara e precisa dos dados em relação aos quais exerce o direito, salvo se se tratar do direito de acesso.
5. O direito que exerce ou o que solicita.
6. Qualquer elemento ou documento que facilite localizar os dados.

Na retificação, o Titular indica as modificações e apresenta a documentação que as comprove. No cancelamento, expressa as causas que o motivam. Na oposição, aponta os motivos que a justificam e o dano ou prejuízo que lhe causaria continuar o tratamento ou, se for parcial, as finalidades específicas com as quais não concorda.

10.2 Prazos

A Rakun Ventures comunicará a determinação adotada em prazo máximo de 20 dias úteis, contados da recepção da solicitação, prorrogável uma única vez por igual período quando as circunstâncias o justificarem e, se for procedente, a efetivará dentro dos 15 dias úteis seguintes à resposta. O acesso é entregue sem custo, salvo as despesas justificadas de envio ou reprodução. Para dados que a Rakun Ventures trata como Operador, aplica-se o previsto no §2.

10.3 Departamento Jurídico

10.4 Direitos do RGPD

Se o RGPD for aplicável, o Titular pode exercer os direitos de acesso, retificação, supressão, limitação do tratamento, portabilidade dos dados, oposição e retirada do consentimento, nos termos dos artigos 15 a 22 do RGPD, pelos mesmos canais do §10.1; a retirada do consentimento não afeta a licitude do tratamento anterior. A resposta é dada dentro de um mês desde a recepção, prorrogável por até dois meses mais quando a complexidade ou o número de solicitações o justificarem, com aviso ao Titular. Também pode apresentar uma reclamação perante a autoridade de controlo competente de seu Estado-membro, sem prejuízo das vias mexicanas do §14. Para dados que a Rakun Ventures trata como Operador, a solicitação é dirigida ao Cliente como controlador (§2).

11. Limitação do uso ou divulgação

Além dos direitos ARCO, o Titular pode limitar o uso ou a divulgação de seus dados:

1. Comunicações comerciais: com o link de descadastramento incluído em cada e-mail, ou escrevendo ao Departamento Jurídico.
2. E-mails não operacionais de uma reserva (por exemplo, lembretes ou pesquisas que a hospedagem envia com a GestaProp): com o link de descadastramento assinado do próprio e-mail. Os e-mails indispensáveis da reserva (confirmação, alteração e cancelamento) continuam sendo enviados enquanto existir a reserva.
3. Listagem no Getabed.mx: o Cliente pode retirar a qualquer momento seu consentimento para aparecer no metabuscador; o anúncio deixa de ser exibido imediatamente, sem apagar seu histórico.

A Rakun Ventures mantém uma lista interna de exclusão com os e-mails que foram descadastrados, retornaram ou reportaram uma mensagem como indesejada, para não voltar a enviar-lhes comunicações não operacionais.

12. Cookies e tecnologias similares

12.1 O que são

Os cookies são arquivos de dados que o site guarda no navegador do visitante e que lhe permitem intercambiar informações de estado, como a sessão, a autenticação ou as preferências. Os web beacons ou pixels de rastreamento são imagens, visíveis ou ocultas, que permitem conhecer o comportamento de quem visita uma página.

12.2 O que usamos

GestaProp, gestaprop.com, Getabed.mx e os websites e checkouts operados com a GestaProp utilizam apenas cookies técnicos, necessários para o funcionamento:

Não utilizamos cookies publicitárias nem de segmentação, pixels de rastreamento nem web beacons, e não compartilhamos informações de navegação com redes publicitárias. Se no futuro forem incorporadas ferramentas de analítica, serão sem dados pessoais identificáveis e se informará neste item antes de ativá-las.

12.3 Como administrá-los

O visitante pode consultar, bloquear ou excluir os cookies na configuração de seu navegador. Como os cookies que usamos são necessários, ao bloqueá-los é possível que não consiga iniciar sessão, concluir uma reserva ou acessar o portal do hóspede. Mais informações sobre como administrá-los: https://www.aboutcookies.org.

Os websites das hospedagens publicados fora da GestaProp (por exemplo, no Wix) que incorporam o widget de busca têm seus próprios cookies, regulados pelo aviso de privacidade da hospedagem.

13. Alterações no Aviso de Privacidade

A Rakun Ventures pode modificar este Aviso em razão de alterações legais, em seus serviços, em seus fornecedores ou em suas práticas de privacidade. A versão vigente é publicada em gestaprop.com e na página da GestaProp de rakun.mx, com sua data de atualização. As alterações substanciais — uma nova finalidade, uma nova transferência que exija consentimento ou uma alteração na identidade do Controlador — são comunicadas, ainda, por e-mail aos Clientes e Usuários e mediante aviso no console da GestaProp antes de produzirem efeitos.

14. Autoridade e consentimento

Se o Titular considerar que seu direito à proteção de dados pessoais foi violado, pode recorrer à Secretaría Anticorrupción y Buen Gobierno (Secretaria Anticorrupção e Boa Governança), autoridade competente em matéria de proteção de dados para o setor privado conforme a Lei.

O Titular manifesta seu consentimento ao tratamento descrito neste Aviso ao marcar a caixa de aceitação no registro, no formulário de contato ou no checkout, ou ao continuar utilizando os serviços depois de lhe ter sido disponibilizado. A aceitação das políticas no checkout é registrada com a versão, o idioma, a data e a hora em que foi outorgada.

15. Pessoas na União Europeia

Quando o RGPD for aplicável por oferecer serviços a pessoas na União Europeia ou no Espaço Econômico Europeu, ou por qualquer das circunstâncias de seu artigo 3, a Rakun Ventures atende às obrigações correspondentes. Se for exigível a designação de um representante na União conforme o artigo 27 do RGPD, seus dados serão publicados neste Aviso. Os direitos e as vias de reclamação do RGPD não ficam limitados pela cláusula de jurisdição dos Termos e Condições de Uso.

Decisões automatizadas. Não são tomadas decisões exclusivamente automatizadas com efeitos jurídicos sobre o Titular fora dos controles técnicos de licença, segurança e prevenção de fraudes e abusos; qualquer alteração substancial será comunicada pelos meios do §13.

Referências normativas: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (texto em vigor) e Regulamento (UE) 2016/679 (RGPD).

16. Legislação aplicável e jurisdição

Este Aviso rege-se pelas leis federais dos Estados Unidos Mexicanos e, no que couber, pelas do Estado de Jalisco. Para a interpretação, o cumprimento ou a resolução de controvérsias sobre o tratamento dos dados pessoais, as partes se submetem aos tribunais competentes da Zona Metropolitana de Guadalajara, Jalisco, renunciando a qualquer outro foro que lhes pudesse corresponder, sem prejuízo dos direitos e das vias de reclamação que o RGPD reconhece às pessoas na União Europeia (§15) nem das faculdades da autoridade mexicana (§14).

Última atualização: Guadalajara, Jalisco, México, 7 de outubro de 2026.