Cuidamos tus datos con el mismo rigor con que cuidamos tu silencio.

01Quién trata tus datos

El responsable de los datos personales tratados en este sitio es [A PREENCHER: razão social], sociedad brasileña que responde por la marca GOA Hospitality Group.

• Razón social: [A PREENCHER: razão social]
• Registro de empresa (CNPJ): [A PREENCHER: CNPJ]
• Sede: [A PREENCHER: endereço completo da sede]
• Canal de privacidad: [A PREENCHER: e-mail do Encarregado (DPO)]

Cada hotel de la cadena puede ser operado por una sociedad propia. Cuando el tratamiento nace de tu estancia — y no de tu visita a este sitio — el responsable es la propiedad que te recibe, y su política se aplica junto con esta.

02Datos que tratamos

Recopilamos lo mínimo necesario y nada más. Hay dos caminos: lo que nos entregas deliberadamente y lo que el servidor registra para que el sitio funcione con seguridad.

Datos que nos entregas

• Formulario de contacto: nombre, correo electrónico, teléfono (opcional), asunto y el contenido de tu mensaje.
• Newsletter del Blog: dirección de correo y el registro del consentimiento — fecha, hora y origen.
• Pre check-in, cuando la propiedad lo ofrece por este sitio: datos de identificación, fechas de la estancia, hora prevista de llegada y las preferencias que quieras adelantar.
• Comunicaciones espontáneas por correo, teléfono o mensaje: lo que decidas contarnos.

Datos registrados automáticamente

• Registros de acceso: dirección IP, fecha y hora de la solicitud, página pedida, código de respuesta e identificación del navegador.
• Tu preferencia de consentimiento de cookies, guardada en tu navegador y repetida en una cookie propia para que el servidor la conozca.
• Un identificador de sesión, creado solo cuando envías un formulario, para proteger ese envío contra el fraude.
• El idioma de navegación, inferido de la dirección de la página — nunca de tu dispositivo.

No pedimos datos personales sensibles en campos abiertos de este sitio. Si, en el pre check-in, informas espontáneamente una restricción alimentaria o una necesidad de accesibilidad, tratamos ese dato solo para hacer posible tu acogida, con base en tu consentimiento específico y por el tiempo de la estancia.

03Para qué tratamos, y con qué base legal

La LGPD exige que todo tratamiento tenga una finalidad declarada y una base legal del Art. 7. Estas son las nuestras, una a una.

• Responder al formulario de contacto — ejecución de diligencias previas a un contrato, a solicitud del titular (Art. 7, V), cuando el asunto es una estancia; interés legítimo (Art. 7, IX) en los asuntos institucionales.
• Enviar la newsletter del Blog — consentimiento (Art. 7, I), libre, informado y revocable en cualquier momento.
• Procesar el pre check-in y preparar tu llegada — ejecución de contrato (Art. 7, V) y, para las preferencias que informes, consentimiento (Art. 7, I).
• Mantener registros de acceso al sitio — cumplimiento de obligación legal (Art. 7, II), conforme al Art. 15 del Marco Civil de Internet brasileño.
• Proteger el sitio, prevenir el fraude y contener el abuso de formularios — interés legítimo (Art. 7, IX).
• Medir la audiencia con herramientas de análisis, si llegáramos a adoptarlas — consentimiento (Art. 7, I), pedido en el aviso antes de cualquier recopilación.

No tomamos decisiones automatizadas que afecten a tus intereses, no construimos perfiles de comportamiento y no vendemos datos personales a nadie, bajo ninguna hipótesis.

04Con quién compartimos

Compartimos datos cuando es necesario para entregar lo que pediste, o cuando la ley nos obliga. Todo encargado que trata datos por nuestra cuenta lo hace bajo contrato y bajo nuestras instrucciones.

• La propiedad de la cadena involucrada en tu solicitud o en tu estancia.
• Proveedores de alojamiento e infraestructura que mantienen este sitio en línea.
• Proveedores de envío de correo transaccional y de newsletter.
• Motores de reserva y sistemas de gestión hotelera, cuando inicias una reserva.
• Autoridades públicas, ante requerimiento legal u orden judicial que lo fundamente.

No hay compartición con anunciantes, corredores de datos ni redes de publicidad comportamental.

05Transferencia internacional

Parte de nuestros proveedores de infraestructura y de correo opera servidores fuera de Brasil. Cuando eso implica una transferencia internacional de tus datos, se apoya en las hipótesis del Art. 33 de la LGPD — por regla, cláusulas contractuales específicas que garantizan, en el destino, un grado de protección compatible con el brasileño.

Para titulares en el Espacio Económico Europeo o en el Reino Unido, el mismo razonamiento se aplica bajo el Capítulo V del GDPR, con cláusulas contractuales tipo de la Comisión Europea cuando el país de destino no tiene decisión de adecuación.

06Cuánto tiempo los guardamos

Ningún dato se guarda por precaución indefinida. Cada categoría tiene un plazo, y el plazo tiene un motivo.

• Mensajes del formulario de contacto: [A PREENCHER: prazo de retenção dos registros de contato], contados desde el cierre de la atención.
• Newsletter: mientras el consentimiento esté activo. Al darte de baja, la dirección sale de la base de envío y guardamos solo el registro de la revocación, como prueba del cumplimiento de la ley.
• Pre check-in: por el período de la estancia y, después, por el plazo que la legislación hotelera y fiscal imponga a la propiedad.
• Registros de acceso al sitio: seis meses, conforme al Art. 15 del Marco Civil de Internet brasileño, prorrogables solo por orden judicial.

Vencido el plazo, los datos se eliminan o se anonimizan de forma irreversible — salvo cuando la guarda sea exigida por obligación legal, por el ejercicio regular de derechos o por otra hipótesis del Art. 16 de la LGPD.

07Cómo los protegemos

La seguridad, aquí, no es una promesa de marketing. Es un conjunto de medidas verificables.

• Tráfico cifrado por HTTPS en todo el sitio.
• Cookie de sesión marcada como HttpOnly y SameSite, y como Secure en conexión cifrada.
• Formularios protegidos contra el envío falsificado mediante un token de sesión, contra robots y contra el envío masivo.
• Acceso a los datos restringido a quien los necesita para trabajar, bajo deber de confidencialidad.

Ningún sistema es inmune. Si ocurre un incidente de seguridad con riesgo relevante a tus derechos, te lo comunicaremos a ti y a la Autoridad Nacional de Protección de Datos brasileña en un plazo razonable, conforme al Art. 48 de la LGPD.

08Tus derechos

El Art. 18 de la LGPD te da derechos que no dependen de nuestra buena voluntad. En cualquier momento, puedes exigir:

• Confirmación de que existe tratamiento de datos tuyos.
• Acceso a los datos que mantenemos sobre ti.
• Corrección de datos incompletos, inexactos o desactualizados.
• Anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados fuera de la ley.
• Portabilidad de tus datos a otro proveedor, mediante solicitud expresa.
• Eliminación de los datos tratados con base en tu consentimiento.
• Información sobre con quién hemos compartido tus datos.
• Información sobre la posibilidad de no consentir y sobre las consecuencias de la negativa.
• Revocación del consentimiento, en cualquier momento, por un procedimiento gratuito y sencillo.

Para ejercer cualquiera de ellos, escribe a [A PREENCHER: e-mail do Encarregado (DPO)]. Respondemos en hasta 15 días, conforme al Art. 19 de la LGPD. Podemos pedir información adicional solo para confirmar tu identidad — nunca para dificultar la solicitud.

Si nuestra respuesta no te satisface, puedes acudir a la Autoridad Nacional de Protección de Datos brasileña (ANPD). Los titulares en el Espacio Económico Europeo pueden reclamar ante la autoridad de control de su país de residencia.

09Responsable de la protección de datos

La LGPD exige un canal identificado entre el responsable, los titulares y la autoridad. El nuestro es este:

• Encargado de la protección de datos (DPO): [A PREENCHER: nome do Encarregado (DPO)]
• Correo electrónico: [A PREENCHER: e-mail do Encarregado (DPO)]

Las solicitudes enviadas por otros canales se remiten al encargado, pero el plazo de respuesta solo empieza a correr cuando llegan a él. Prefiere la dirección de arriba.

10Visitantes del Espacio Económico Europeo y del Reino Unido

Este sitio se publica en tres idiomas y recibe visitantes europeos. Cuando el GDPR se aplica al tratamiento, tienes, además de los derechos de arriba:

• Derecho de oposición al tratamiento fundado en interés legítimo y derecho a la limitación del tratamiento (Arts. 18 y 21 del GDPR).
• Derecho a recibir tus datos en un formato estructurado y de uso común (Art. 20 del GDPR).
• Derecho a reclamar ante la autoridad de control de tu país, sin perjuicio de cualquier otra vía.

Las bases legales del GDPR equivalen a las que declaramos arriba: consentimiento (Art. 6.1.a), ejecución de contrato (Art. 6.1.b), obligación legal (Art. 6.1.c) e interés legítimo (Art. 6.1.f).

11Cambios en esta política

Esta política cambia cuando cambia nuestro tratamiento — nunca en silencio. La fecha de actualización del inicio es la referencia, y mantenemos las versiones anteriores a disposición de quien las pida.

Si un cambio reduce tus derechos o amplía la finalidad de un tratamiento fundado en el consentimiento, te pediremos el consentimiento otra vez antes de aplicarlo.