Política de Privacidad

Política de Privacidad — Vicatoo

Versión: 1.0

Última actualización: 29 de marzo de 2026

Key changes in v2.0:

• Added §17 — GCC Personal Data Protection Law (Saudi PDPL + UAE Federal Decree-Law 45/2021)
• Added §13.1 — Data Protection Officer (DPO) and dedicated contact channels
• Added detailed Retention Periods table (§7)
• Added §9.1 — Children Protection (COPPA / GDPR-K)
• Added §16.1 — Right to Human Review of automated decisions (GDPR Article 22)
• Clarified Microsoft Clarity input masking in Cookie Policy
• Unified communication channels: privacy@ for privacy, legal@ for legal, support@ for support

Esta Política de Privacidad explica cómo Vicatoo, Inc. (operando como "Vicatoo") ("Empresa", "nosotros", "nos" o "nuestro") recopila, utiliza, comparte y protege su información cuando utiliza www.vicatoo.com (el "Sitio") y nuestros servicios.

Al utilizar el Sitio, crear una cuenta, completar un formulario de contacto o comunicarse con nosotros a través de WhatsApp/Email, usted acepta las prácticas descritas en esta política. Por favor, revise también nuestros Términos de Uso y la Política de Reservas y Cancelación.

Canales Oficiales: [email protected] para consultas generales, [email protected] para solicitudes de privacidad y protección de datos, y [email protected] para asuntos legales, además del número de WhatsApp mencionado en la sección "Contáctenos". Cualquier comunicación desde otros canales no se considera oficial.

1. Información que Recopilamos

Recopilamos información que usted nos proporciona directamente e información recopilada automáticamente.

1.1 Información que Usted Proporciona

Podemos recopilar:

• Datos de Cuenta: Nombre (si corresponde), correo electrónico, número de teléfono/WhatsApp, nombre de usuario y contraseña (cifrada).
• Formulario de Contacto: Nombre, correo electrónico, número de teléfono, asunto del mensaje y contenido.
• Datos de Solicitud de Reserva: Destino, fechas de estancia, número de huéspedes, preferencias (p. ej., tipo de vista, habitación tranquila, disponibilidad de cocina...) y cualquier detalle que nos envíe por WhatsApp/Email.
• Comunicaciones de Soporte: Contenido de chats y correspondencia con nuestro equipo.

Aviso: Por favor, no comparta datos sensibles (como datos de tarjetas de pago o información de salud). Si recibimos dichos datos por error, nos esforzaremos por eliminarlos cuando sea posible y razonable.

1.2 Información Recopilada Automáticamente (Cookies y Analíticas)

Al utilizar el Sitio, podemos recopilar:

• Dirección IP, tipo de navegador y dispositivo, sistema operativo, páginas visitadas, duración de la visita y fuente de referencia.
• Datos a través de Cookies y tecnologías similares.

Utilizamos Google Analytics para comprender el uso del sitio y mejorar su rendimiento. Google puede utilizar cookies e identificadores similares para recopilar datos de uso de forma agregada.

Utilizamos Google Tag Manager (GTM) para gestionar y desplegar herramientas de análisis y marketing. GTM no recopila datos personales por sí mismo.

Utilizamos Meta (Facebook) Pixel para medir la efectividad de nuestras campañas publicitarias y mostrar anuncios dirigidos. Se activa solo con su consentimiento.

Utilizamos TikTok Pixel para medir y optimizar campañas publicitarias en TikTok. Se activa solo con su consentimiento.

Utilizamos Microsoft Clarity para comprender la interacción de los usuarios mediante grabaciones de sesiones y mapas de calor. Se activa solo con su consentimiento.

Utilizamos Sentry para supervisar los errores técnicos en el sitio y solucionarlos rápidamente. Cuando ocurre un error, se envían automáticamente datos técnicos a Sentry, incluyendo: dirección IP, tipo de navegador, URL donde ocurrió el error e información de sesión (si está disponible). Estos datos se utilizan exclusivamente para depuración técnica y para mejorar su experiencia. Política de privacidad de Sentry: https://sentry.io/privacy/

Importante: Meta Pixel, TikTok Pixel y Microsoft Clarity se cargan solo después de su consentimiento a cookies no esenciales.

2. Cómo Utilizamos su Información

Utilizamos la información para:

• Gestión de Cuenta y Prestación de Servicios: Crear cuentas, iniciar sesión y gestionar configuraciones.
• Coordinación de Reservas: Comunicarnos con usted, comprender su solicitud, coordinar con el hotel y enviar el Mensaje de Confirmación.
• Atención al Cliente: Responder a consultas y resolver problemas.
• Mejora del Producto y del Sitio: Analizar rendimiento, mejorar la experiencia del usuario y desarrollar funcionalidades.
• Seguridad y Prevención de Fraude: Proteger cuentas y el Sitio, y verificar actividades sospechosas.
• Marketing y Publicidad (con su consentimiento o cuando lo permita la ley): Enviar boletines/ofertas, y gestionar listas de contactos y campañas publicitarias.

3. Marketing (Boletines y Ofertas)

Podemos enviarle mensajes de marketing (boletines/ofertas/actualizaciones) por correo electrónico y/o WhatsApp (según sus preferencias o consentimiento). Puede darse de baja en cualquier momento:

• Haciendo clic en el enlace "Darse de baja" si está disponible en el mensaje, o
• Enviándonos un correo electrónico a [email protected] solicitando la eliminación de las listas.

Incluso después de darse de baja, podemos enviar mensajes "operativos" necesarios (p. ej., relacionados con su cuenta o una reserva que haya solicitado).

4. Dónde Almacenamos sus Datos (WhatsApp + Google Sheets)

Algunas conversaciones de WhatsApp pueden permanecer dentro de la propia plataforma de WhatsApp.

También podemos registrar datos de contacto y solicitudes de clientes (como Nombre/Teléfono/Email y resumen de la solicitud) en herramientas internas como Google Sheets o sistemas CRM para organizar el trabajo, seguimientos y marketing.

Implementamos controles de acceso interno para que los datos solo sean accedidos por miembros del equipo autorizados. Limitamos los permisos de acceso según la necesidad, y podemos revisar/actualizar los permisos periódicamente.

5. Compartir Información

No vendemos su información personal. Solo podemos compartirla en los siguientes casos:

5.1 Con Hoteles

Compartimos la información necesaria para confirmar la reserva (Nombre, fechas de estancia, número de huéspedes, preferencias) con el hotel o su representante.

5.2 Con Proveedores de Servicios (Procesadores)

Podemos compartir datos limitados con proveedores que nos ayudan a operar el Sitio y el Servicio, tales como:

• Hotel suppliers and booking partners — to fulfill reservations,
• Payment service providers — to process transactions securely,
• Proveedores de alojamiento, infraestructura y correo electrónico,
• Herramientas de análisis y seguimiento (Google Analytics, Google Tag Manager, Meta Pixel, TikTok Pixel, Microsoft Clarity),
• Herramientas de envío de boletines (si se utilizan),

Estos proveedores procesan datos en nuestro nombre, bajo nuestras instrucciones, y solo según sea necesario para proporcionar el servicio.

5.3 Razones Legales

Podemos divulgar datos si es necesario para cumplir con la ley, proteger los derechos de la Empresa/Usuario, prevenir fraudes o por seguridad del sistema.

5.4 Transacciones Comerciales

En caso de fusión, adquisición o venta de activos, los datos pueden ser transferidos como parte del proceso de acuerdo con la ley, con la notificación adecuada cuando sea necesario.

6. Gestión de Cookies y Seguimiento

Puede controlar las cookies a través de la configuración de su navegador. Desactivar las cookies puede afectar algunas funciones del Sitio (p. ej., inicio de sesión).

Podemos mostrar un aviso o banner para gestionar las preferencias de cookies según el país o los requisitos regulatorios, permitiéndole aceptar/rechazar ciertos tipos de cookies.

7. Retención de Datos

Conservamos los datos solo durante el período necesario para cumplir con los propósitos establecidos. La siguiente tabla detalla los períodos específicos de retención:

Categoría de datos	Período de retención
Datos de cuenta activa	Mientras use el servicio
Datos tras eliminación de cuenta	Hasta 30 días (ventana de recuperación)
Reservas y facturas	7 años (obligaciones contables y fiscales)
Registros de seguridad	12 meses
Cookies	Hasta 13 meses (según directiva ePrivacy)
Datos de marketing tras cancelación	6 meses (para evitar resuscripción accidental)
Soporte y disputas	3 años desde la última interacción

Cuando finaliza el período, eliminamos, minimizamos o anonimizamos los datos cuando es posible. Para solicitar eliminación inmediata, contacte [email protected].

8. Seguridad de la Información

Utilizamos medidas de seguridad razonables (p. ej., controles de acceso, tecnologías de protección, cifrado de contraseñas). Sin embargo, ningún método de transmisión o almacenamiento es 100% seguro.

9. Sus Derechos y Opciones

Dependiendo de las leyes aplicables, usted puede tener derecho a:

• Solicitar acceso, corrección o eliminación de sus datos,
• Retirar el consentimiento para marketing,
• Solicitar la restricción de cierto procesamiento.

Podemos solicitar información adicional para verificar la identidad antes de ejecutar las solicitudes, para proteger su cuenta y prevenir accesos no autorizados.

Para enviar una solicitud relacionada con datos, contacte [email protected]. Responderemos a todas las solicitudes verificadas en un máximo de 30 días.

9.1 Niños (COPPA / RGPD-K)

Nuestros servicios no están dirigidos a menores de 13 años (o la edad mínima establecida por su jurisdicción local del EEE, normalmente 16). No recopilamos sus datos a sabiendas. Si cree que un menor nos ha proporcionado información personal, notifíquenos inmediatamente en [email protected] y la eliminaremos de inmediato.

10. Enlaces de Terceros

El Sitio puede contener enlaces a otros sitios web. No somos responsables de las prácticas de privacidad de esos sitios.

11. Transferencias Internacionales de Datos

Los datos pueden ser procesados en otros países (p. ej., EE. UU.) dependiendo de las ubicaciones de alojamiento o proveedores de servicios (p. ej., Google). Al utilizar el Sitio, usted comprende que el procesamiento de datos puede ocurrir a través de fronteras de acuerdo con esta política.

12. Cambios en esta Política de Privacidad

Podemos actualizar esta política periódicamente. Actualizaremos la fecha de "Última actualización" en la parte superior. El uso continuado del Sitio después de las actualizaciones constituye la aceptación de la política actualizada.

13. Contáctenos

13.1 Data Protection Officer (DPO)

In accordance with GDPR Article 37, Saudi PDPL Implementing Regulation Article 32, and UAE Federal Decree-Law 45/2021 Article 11, we have appointed a Data Protection Officer (DPO) as the official contact point for all privacy and data protection inquiries.

DPO dedicated email: [email protected]

Postal address: Vicatoo, Inc., Attn: Data Protection Officer, 1111B S Governors Ave, STE 55694, Dover, DE 19904, USA

Response time: The DPO will respond to all verified inquiries within 30 calendar days maximum (per GDPR Art. 12(3) and PDPL Art. 8).

For data-related rights (access, rectification, erasure, portability), you may also use our online Data Subject Request form.

Security breach reporting: If you notice any leak or unauthorized access to your data, please notify the DPO immediately at [email protected]. We will notify the relevant regulators (SDAIA / UAE Data Office / EU DPA) within 72 hours as required by law.

14. Derechos de privacidad de California (CCPA)

Si usted es residente de California, tiene los siguientes derechos según la Ley de Privacidad del Consumidor de California (CCPA):

• El derecho a saber qué datos personales recopilamos sobre usted
• El derecho a eliminar sus datos personales
• El derecho a rechazar la venta de sus datos personales
• El derecho a no ser discriminado por ejercer sus derechos

No vendemos su información personal a terceros. Compartimos datos solo con proveedores de servicios necesarios para operar nuestra plataforma (procesamiento de pagos, infraestructura de reservas hoteleras, análisis).

Para ejercer cualquiera de sus derechos, contáctenos en: [email protected]

Responderemos a todas las solicitudes verificadas dentro de 45 días según lo requiere la ley de California.

15. Legal Bases for Processing (GDPR)

If you are located in the European Economic Area (EEA), we process your personal data based on the following legal grounds under the General Data Protection Regulation (GDPR):

• Performance of a Contract: Processing necessary to fulfill our obligations to you, such as processing bookings, managing your account, and providing customer support.
• Consent: Where you have given us explicit consent, such as subscribing to our newsletter, accepting non-essential cookies, or enabling marketing communications. You may withdraw consent at any time.
• Legitimate Interests: Processing necessary for our legitimate business interests, such as improving our services, preventing fraud, ensuring platform security, and conducting analytics — provided these interests do not override your rights.
• Legal Obligation: Processing required to comply with applicable laws, regulations, or legal proceedings.

Your GDPR Rights

In addition to the rights listed in Section 9, EEA residents may also:

• Request data portability (receive your data in a structured, machine-readable format)
• Object to processing based on legitimate interests
• Lodge a complaint with your local Data Protection Authority (DPA)

To exercise any of these rights, contact us at [email protected].

16. Use of Artificial Intelligence & Automated Decision-Making

Vicatoo uses artificial intelligence (AI) technologies to enhance your experience:

• Smart Search: AI-powered natural language search to help you find hotels matching your preferences (e.g., "family hotel near the beach with a pool").
• Content Generation: AI may assist in generating or translating hotel descriptions and room summaries to provide you with relevant information in your preferred language.
• Personalized Suggestions: AI may analyze your search patterns and preferences to suggest hotels and destinations that may interest you.
• Third-party AI providers (sub-processors): To power these features, limited data may be processed by external AI providers: OpenAI (to understand your search queries and to assist our customer-support chat) and Anthropic (Claude) (used together with our human team for post-booking customer support). We never share your name, email, or payment details with them. They act as data processors under their own privacy and security terms and do not use API data to train public AI models.

No Automated Decisions with Legal Effect: We do not use AI or automated processing to make decisions that produce legal effects or similarly significant effects on you (such as credit decisions or pricing discrimination). All booking confirmations and payment decisions involve human oversight or direct user action.

Derecho a revisión humana (Artículo 22 RGPD): Si una decisión automatizada le afecta significativamente, tiene derecho a solicitar revisión humana, expresar su opinión y impugnar la decisión. Envíe su solicitud a [email protected], responderemos en 30 días.

AI features process your search queries and interaction data. This data is handled in accordance with the data protection principles described throughout this policy.

17. Protección de Datos Personales en países del CCG (PDPL)

Si reside en el Reino de Arabia Saudí, los Emiratos Árabes Unidos o cualquier país del CCG, los siguientes derechos le son aplicables conforme a:

• Arabia Saudí: Ley de Protección de Datos Personales (PDPL) — Real Decreto N.º M/19 de 2021 con enmiendas de 2023.
• Emiratos Árabes Unidos: Decreto-Ley Federal N.º (45) de 2021 sobre Protección de Datos Personales.

Sus derechos incluyen:

• Derecho a ser informado: Conocer la base legal para recopilar sus datos y su propósito.
• Derecho de acceso: Ver sus datos personales almacenados.
• Derecho de rectificación: Solicitar la corrección de datos inexactos.
• Derecho de supresión: Solicitar la eliminación de sus datos (sujeto a obligaciones legales).
• Derecho de oposición: Oponerse al tratamiento que contradiga sus expectativas legítimas.
• Derecho a retirar el consentimiento: Retirar su consentimiento al tratamiento en cualquier momento.
• Derecho a la portabilidad: Solicitar transferencia de sus datos en formato estructurado a otro proveedor.

Para presentar una queja a los reguladores: Arabia Saudí: Saudi Data & AI Authority (SDAIA) — sdaia.gov.sa. EAU: UAE Data Office — uaedo.gov.ae.

Para ejercer estos derechos, contacte [email protected]. Responderemos en 30 días.

17.2 UAE Federal Decree-Law on Personal Data Protection (45/2021)

If you are a resident or citizen of the United Arab Emirates, the processing of your data is also governed by UAE Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data, supervised by the UAE Data Office.

We commit to:

• Obtaining your explicit consent (Article 6): before any processing of your personal data unless another legal basis applies.
• Guaranteeing your rights (Articles 13-19): right of access, rectification, erasure, restriction of processing, data portability, and objection.
• Security breach reporting (Article 9): We will notify the UAE Data Office and affected users within 72 hours of discovering any breach.
• Cross-border data transfer (Articles 22-23): We apply strict contractual and technical safeguards when transferring your data to overseas processors (such as Stripe in the US, ETG (RateHawk) in Turkey, HostGator/cPanel for server hosting).
• Parental consent for minors: UAE law sets the age of consent at 21 years — we do not accept registrations from minors without verified parental consent.

Filing a complaint: For any complaint regarding the processing of your data, you may contact the UAE Data Office or write to our DPO at [email protected].

Penalties under UAE law may reach AED 5 million (~USD 1.36M) per violation, plus service suspension. We take our obligations toward UAE users with utmost seriousness.