01Quién es el responsable de tus datos
PassTwoFun, S.A. de C.V. (“Pass2Fun”, “nosotros”), con portal de internet en pass2fun.com, es responsable del tratamiento de tus datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el DOF el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025, su normativa secundaria y las leyes de protección de datos aplicables en los países donde operamos.
02Alcance y modelos de reserva
Pass2Fun opera como plataforma de intermediación tecnológica para reservar pases de día, accesos a alberca, spa y experiencias en hoteles, resorts y clubes de playa (los Establecimientos Socios). Existen dos modalidades de pago:
- Pago total en línea (CTA): pagas el importe completo de la reserva a Pass2Fun al momento de la transacción.
- Depósito y pago en sitio (CPA): pagas un depósito o comisión de reserva en línea y liquidas el saldo directamente en el Establecimiento Socio durante el check-in.
Datos que recaba el Establecimiento Socio, no Pass2Fun
Este aviso regula únicamente la información recabada a través de pass2fun.com y nuestras aplicaciones. Los Establecimientos Socios actúan como responsables independientes respecto de los datos que te soliciten directamente: copia de identificación física, cartas responsivas o waivers, videovigilancia, programas de lealtad propios o datos de tarjeta para consumos en el lugar. Esos tratamientos se rigen por el aviso de privacidad de cada establecimiento, que puedes solicitarles antes de tu visita.
03Datos personales que tratamos
- Identificación y cuenta: nombre completo, correo electrónico, teléfono, contraseña (almacenada con hash), idioma de preferencia y, si inicias sesión con Google, Apple o Facebook, los datos de perfil básico que autorices en ese proveedor.
- Reserva y acompañantes: fecha y horario, establecimiento y tipo de pase, número de adultos y menores, nombres de acompañantes y notas especiales.
- Financieros y transaccionales: nombre del titular de la tarjeta, dirección de facturación, últimos cuatro dígitos del medio de pago, identificadores de transacción y datos de facturación fiscal (RFC, régimen y uso de CFDI) cuando solicitas factura. No almacenamos el número completo de tarjeta ni el código CVV. El cobro lo procesan pasarelas certificadas PCI-DSS.
- Técnicos y de navegación: dirección IP, tipo de navegador y sistema operativo, identificadores de cookies, páginas vistas y eventos de uso.
- Geolocalización: ubicación aproximada por IP y, solo con tu autorización expresa en el dispositivo, ubicación precisa por GPS.
Datos personales sensibles
No solicitamos datos sensibles. Si en las notas de tu reserva incluyes voluntariamente información de salud, movilidad o accesibilidad, la trataremos únicamente para coordinar tu solicitud con el Establecimiento Socio y la conservaremos solo hasta la conclusión de tu visita. La ley exige consentimiento expreso para tratar datos sensibles: al capturarlos en el formulario de reserva se te pedirá una confirmación específica, y puedes omitirlos y solicitar el ajuste directamente en el establecimiento.
04Para qué usamos tus datos
Finalidades que no requieren tu consentimiento
Son necesarias para darte el servicio o para cumplir la ley:
- Procesar, confirmar, modificar y cancelar tus reservas ante los Establecimientos Socios.
- Verificar tu identidad y emitir el código o QR de acceso al establecimiento.
- Procesar cobros, reembolsos y facturación electrónica bajo los esquemas CTA y CPA.
- Brindar soporte, atender incidencias y resolver aclaraciones.
- Prevenir fraude y suplantación, y mantener la seguridad de la plataforma.
- Cumplir obligaciones fiscales, contables y requerimientos de autoridad.
Finalidades que requieren tu consentimiento
No son necesarias para tu reserva y puedes negarlas o retirarlas en cualquier momento sin afectar el servicio:
- Envío de boletines, promociones y recomendaciones de pases de día.
- Personalización de contenidos y recomendaciones según tu navegación.
- Encuestas de satisfacción e investigación de mercado.
Si no deseas que tus datos se traten para estas finalidades, indícalo desde tus preferencias de comunicación en la cuenta, con el enlace de baja de cualquier correo, o escribiendo a privacidad@pass2fun.com. Tu negativa no es motivo para negarte los servicios contratados.
05Con quién compartimos tus datos
Distinguimos entre remisiones a proveedores que tratan datos por cuenta nuestra bajo contrato (encargados) y transferencias a terceros que deciden sobre esos datos.
Destinatarios, finalidad y base para compartir
| Destinatario | Finalidad | Naturaleza |
|---|
Establecimientos Socios
hoteles, resorts, beach clubs |
Transmitir nombre, número de personas, fecha, tipo de pase y notas, para garantizar tu ingreso. |
Transferencia necesaria para el cumplimiento del contrato. No requiere consentimiento adicional. |
Procesadores de pago
Stripe, PayPal |
Cobro, reembolsos, prevención de fraude y cumplimiento PCI-DSS. |
Transferencia necesaria para el pago. Cada proveedor actúa como responsable propio de los datos de la operación. |
Proveedores tecnológicos
hosting, analítica, CRM |
Infraestructura (AWS, Cloudflare), analítica (Google Analytics 4, Microsoft Clarity), publicidad (Meta, TikTok) y comunicación (Klaviyo, HubSpot). |
Remisión a encargados, con contrato de tratamiento. La analítica y publicidad no esenciales operan solo con tu consentimiento de cookies. |
| Autoridades y asesores |
Atender requerimientos legales, fiscales o judiciales y defender derechos. |
Transferencia prevista por la ley. No requiere consentimiento. |
Transferencias internacionales. Varios de estos proveedores almacenan o procesan información fuera de México, principalmente en Estados Unidos y la Unión Europea. En esos casos exigimos por contrato medidas de protección equivalentes a las de este aviso, incluidas cláusulas contractuales tipo cuando resultan aplicables.
No vendemos tus datos personales ni los compartimos con terceros para su publicidad independiente.
06Cómo limitar el uso o divulgación de tus datos
- Comunicaciones comerciales: desactívalas en “Preferencias de comunicación” dentro de tu cuenta o con el enlace de baja de cualquier correo.
- Cookies y publicidad: ajusta o revoca tus preferencias en el Panel de Preferencias de Cookies, disponible en el pie de página de todo el sitio.
- Ubicación precisa: retira el permiso desde la configuración de tu navegador o dispositivo.
- Registro Público de Usuarios (REUS): puedes inscribir tu número en el registro de la CONDUSEF para no recibir publicidad de productos financieros, y en el Registro Público para Evitar Publicidad de la PROFECO.
- Solicitud directa: escríbenos a privacidad@pass2fun.com con el asunto “Limitación de uso”.
07Cuánto tiempo conservamos tus datos
Conservamos cada categoría solo el tiempo necesario para su finalidad y para cumplir obligaciones legales; después se bloquean y suprimen de forma segura.
- Cuenta e historial de reservas: mientras la cuenta esté activa y hasta 24 meses después de tu última actividad o de tu solicitud de cancelación.
- Registros contables y fiscales de transacciones: 5 años conforme al Código Fiscal de la Federación, o 10 años cuando aplique la legislación mercantil.
- Tickets y comunicaciones de soporte: entre 24 y 36 meses después de cerrar el caso.
- Bitácoras de servidor y registros de cookies: entre 12 y 24 meses.
08Derechos ARCO y revocación del consentimiento
Puedes solicitar en cualquier momento el acceso a tus datos, su rectificación si son inexactos, su cancelación cuando ya no sean necesarios, u oponerte a un tratamiento específico. También puedes revocar el consentimiento que nos hayas otorgado. Estas gestiones son gratuitas; solo podríamos cobrar gastos justificados de envío o reproducción.
La cancelación o la oposición pueden no proceder cuando debamos conservar la información por obligaciones fiscales, contables o de defensa jurídica; en ese caso te explicaremos el motivo y el plazo aplicable.
09Seguridad de la información
Aplicamos medidas administrativas, técnicas y físicas para proteger tus datos frente a pérdida, uso indebido, acceso no autorizado o alteración: cifrado en tránsito (TLS) y en reposo, almacenamiento de contraseñas con funciones de derivación, control de accesos por rol con principio de mínimo privilegio, registro de auditoría, respaldos periódicos, revisión de proveedores y capacitación del personal con obligación de confidencialidad. Ninguna medida elimina por completo el riesgo, por lo que también te recomendamos usar una contraseña única para tu cuenta.
10Vulneraciones de seguridad
Si confirmamos una vulneración que afecte de forma significativa tus derechos patrimoniales o morales, te lo informaremos de forma inmediata a través del correo asociado a tu cuenta y de un aviso en la plataforma, indicando la naturaleza del incidente, los datos comprometidos, las recomendaciones para protegerte y las acciones correctivas emprendidas. Notificaremos además a la autoridad competente en cada jurisdicción cuando la ley lo exija, incluido el plazo de 72 horas aplicable a titulares protegidos por el GDPR.
11Cookies y tecnologías de rastreo
Usamos cookies propias y de terceros (Google Analytics 4, Meta Pixel, TikTok Pixel, Microsoft Clarity) para operar el sitio, medir su desempeño y personalizar publicidad.
- Esenciales: mantienen tu sesión, el carrito de reserva y la seguridad. No pueden desactivarse.
- Analíticas y publicitarias: se activan solo cuando las aceptas en el banner de cookies. Puedes cambiar de opinión en cualquier momento en el Panel de Preferencias de Cookies del pie de página.
Puedes además bloquear o eliminar cookies desde la configuración de tu navegador; algunas funciones del sitio podrían dejar de operar correctamente.
12Menores de edad
La plataforma está dirigida a mayores de 18 años. Un menor puede aparecer como acompañante en una reserva, siempre bajo la responsabilidad del adulto que la realiza y con los datos mínimos necesarios para el acceso al establecimiento. No creamos cuentas ni perfiles publicitarios de menores. Si detectamos que un menor se registró sin autorización de quien ejerce la patria potestad, eliminaremos la cuenta y sus datos; si crees que esto ocurrió, escríbenos a privacidad@pass2fun.com.
13Cambios a este aviso
Podemos actualizar este aviso por cambios legales, nuevos servicios o ajustes en nuestras prácticas. Publicaremos siempre la versión vigente en pass2fun.com/aviso-de-privacidad, con su fecha de actualización y número de versión. Cuando el cambio sea sustancial —por ejemplo, una nueva finalidad o una nueva categoría de destinatarios— te lo notificaremos por correo electrónico y con un aviso visible en la plataforma antes de que entre en vigor. Conservamos las versiones anteriores y podemos entregártelas si las solicitas.
14Autoridad competente
Si consideras que tu derecho a la protección de datos ha sido vulnerado, puedes presentar una denuncia ante la Secretaría Anticorrupción y Buen Gobierno, autoridad que desde el 21 de marzo de 2025 asumió las funciones del extinto INAI en materia de datos personales en posesión de particulares, a través de su Dirección General de Datos Personales en el Sector Privado. Te agradeceremos que antes nos escribas a privacidad@pass2fun.com para intentar resolverlo directamente.
01Who we are
PassTwoFun, S.A. de C.V. (“Pass2Fun”, “we”, “us”) is the controller of personal data collected through pass2fun.com and our apps.
02Scope and booking models
Pass2Fun is an online marketplace where hotels, resorts, beach clubs and day-use venues (“Partner Venues”) sell day passes and leisure experiences. Bookings follow one of two payment models:
- Commit-to-acquire (CTA): you pay the full reservation amount to Pass2Fun at booking.
- Cost-per-acquisition (CPA): you pay a deposit online and settle the balance directly with the Partner Venue at check-in.
Data collected by Partner Venues, not by us
This policy does not cover personal information Partner Venues collect directly from you at check-in or during your visit — physical ID scanning, liability waivers, CCTV footage, hotel loyalty enrolment or on-site food and beverage charges. Each Partner Venue is an independent controller for that data, governed by its own privacy policy.
03Data we collect
- Account and contact: name, email, phone number, hashed password, preferred language, and basic profile data from Google, Apple or Facebook if you use social login.
- Booking and guests: dates, venue, pass type, number of adults and children, companion names, special requests and booking status.
- Payment: cardholder name, billing address, last four digits, transaction tokens and tax invoicing details. We never store full card numbers or CVV codes; payments run through PCI-DSS certified providers.
- Technical and usage: IP address, browser and device data, cookie identifiers, pages viewed and product analytics.
- Location: approximate location from your IP, and precise GPS location only with your explicit device permission.
- Special category data: we do not request it. Health or accessibility details you choose to add to booking notes are used only to arrange your visit with the Partner Venue, on the basis of your explicit consent, and deleted shortly after the visit.
04Why we use it, and our lawful bases
- Performance of a contract: processing bookings and payments, issuing entry QR codes, providing support.
- Legitimate interests: fraud prevention, platform security, service analytics and product improvement. We balance these against your rights and you may object at any time.
- Consent: marketing messages, precise location, non-essential cookies and any special category data. You can withdraw consent at any time, without affecting processing already carried out.
- Legal obligation: tax, accounting, consumer protection and regulatory requirements.
05Who we share data with
- Partner Venues: guest and booking details needed to verify your check-in.
- Payment providers: Stripe and PayPal, for payment processing and anti-fraud screening.
- Infrastructure and analytics processors: AWS and Cloudflare (hosting), Google Analytics 4 and Microsoft Clarity (analytics), Meta and TikTok (advertising), Klaviyo and HubSpot (email and CRM). Advertising and analytics tags load only where you have consented.
- Professional advisers and authorities: where required to comply with law or to establish, exercise or defend legal claims.
- Corporate transactions: a buyer or successor entity in the event of a merger, acquisition or asset sale, subject to this policy.
We do not sell personal information for monetary consideration.
06International transfers
Pass2Fun is based in Mexico and our providers operate in the United States, the European Union and other regions, so your data may be processed outside your country. Where we transfer personal data out of the EEA or the UK we rely on the European Commission's Standard Contractual Clauses and the UK International Data Transfer Addendum, together with technical safeguards such as encryption in transit and at rest. You can request a copy of the relevant transfer mechanism at privacy@pass2fun.com.
07How long we keep it
- Account data: while your account is active and up to 24 months after your last activity or deletion request.
- Financial and booking records: 5 years under Mexican tax law, extended to 10 years where commercial law requires it.
- Support tickets: 24 to 36 months after the case is closed.
- Server and cookie logs: 12 to 24 months.
08Your rights
Depending on where you live, you may have the right to access your data, correct it, delete it, receive it in a portable format, restrict or object to certain processing, withdraw consent, and not be subject to decisions based solely on automated processing. Under Brazil's LGPD you may also ask about the entities we share data with and about the consequences of refusing consent.
Write to privacy@pass2fun.com and we will respond within one month (extendable by two further months for complex requests), or within the period your local law requires. We may ask for information to verify your identity. Requests are free unless they are manifestly unfounded or excessive. We will never treat you differently for exercising these rights.
If you are in the EEA or the UK you may also lodge a complaint with your national supervisory authority or the UK Information Commissioner's Office. In Mexico, the competent authority is the Secretaría Anticorrupción y Buen Gobierno.
09California privacy rights (CCPA/CPRA)
We do not sell personal information for money. However, our use of advertising cookies from Meta and TikTok may qualify as “sharing” for cross-context behavioural advertising under the CPRA. California residents may opt out of that sharing, and may request access, correction, deletion, portability, and information about the categories of data we collect, disclose and share.
- Use the “Do Not Sell or Share My Personal Information” link in the site footer, or the Cookie Preference Center.
- We honour Global Privacy Control browser signals as a valid opt-out request.
- You may designate an authorised agent to submit a request on your behalf.
We do not use or disclose sensitive personal information for purposes other than those permitted by the CPRA, and we have not knowingly sold or shared the personal information of consumers under 16.
10Security and breach notification
We protect your data with TLS encryption in transit, encryption at rest, hashed passwords, role-based access control, audit logging, regular backups, vendor due diligence and staff confidentiality obligations. No system is completely secure, so please use a unique password for your account.
If a breach affects your personal data, we will notify affected users without undue delay and inform the competent supervisory authority — within 72 hours where the GDPR applies, and immediately where Mexican law applies — describing the incident, the data involved, and the steps we and you can take.
11Cookies and tracking
- EU, UK, Canada and US states with opt-out laws: a consent banner where non-essential cookies stay off until you accept them or set your preferences.
- Mexico and the rest of Latin America: an informational banner plus the Cookie Preference Center, where you can disable analytics and advertising cookies at any time.
Your choices are stored per browser and device, so please repeat them if you switch browsers or clear your cookies.
12Children
The platform is intended for adults aged 18 and over. Children may be listed as guests on a booking made by a responsible adult, limited to the details needed for venue entry. We do not knowingly create accounts or advertising profiles for children. If you believe a child has registered with us, contact privacy@pass2fun.com and we will delete the account.
13Changes and contact
We publish the current version of this policy at pass2fun.com/privacy-policy with its version number and update date. For material changes we notify registered users by email and by an in-platform notice before the change takes effect.