Anexo F5 · API y motor

# Anexo F5 — API Pública y Motor de Reservas

Anexo del [Contrato SaaS](CONTRATO-SAAS.md). Se acepta **al activar la llave `api_reservas`**.

- **Versión:** 1.0 · **Funcionalidad:** `api_reservas`

---

## 1. Qué activa este Anexo

Dos cosas relacionadas:

1. **La API pública**, que permite a EL CLIENTE o a su desarrollador consultar disponibilidad y crear
   reservas desde sus propios sistemas.
2. **El motor de reservas**, que EL CLIENTE puede publicar en su propio sitio web —incrustado o en un
   dominio propio— para vender por canal directo.

## 2. Claves de acceso

1. BOOKISITY emite claves diferenciadas **por entorno** (prueba y producción) y **por tipo**, y las
   almacena de forma no reversible: se muestran **una sola vez, al crearlas**.
2. **La custodia de la clave es de EL CLIENTE.** Quien la tiene puede consultar y reservar a su
   nombre. No debe incrustarse en código que llegue al navegador ni publicarse en repositorios.
3. EL CLIENTE puede revocar y rotar sus claves en cualquier momento, y debe hacerlo de inmediato ante
   sospecha de exposición.
4. **El uso realizado con una clave válida se presume de EL CLIENTE**, salvo que acredite su
   sustracción y que la reportó oportunamente.

## 3. Uso aceptable de la API

EL CLIENTE se obliga a:

1. **Respetar los límites de frecuencia** publicados en la documentación. BOOKISITY puede aplicar
   restricción de tasa y, ante un uso que degrade el servicio para otros, suspender temporalmente la
   clave, avisando.
2. **No usar la API para extraer masivamente datos** con una finalidad distinta de operar su propio
   negocio.
3. No usarla para revender el acceso a la Plataforma ni para prestar servicios a terceros ajenos a su
   operación.
4. Manejar correctamente los errores y reintentos, con espera progresiva.
5. Mantener actualizada su integración cuando cambie una versión, en los plazos del §5.

## 4. El motor en el sitio de EL CLIENTE

1. El motor se sirve desde la infraestructura de BOOKISITY. EL CLIENTE puede personalizar su
   apariencia dentro de las opciones disponibles.
2. **El sitio donde se incrusta el motor es de EL CLIENTE**, y él responde por su contenido, sus
   avisos legales y su política de cookies. El motor usa **solo cookies esenciales de sesión**; las
   demás cookies de ese sitio no son de BOOKISITY.
3. EL CLIENTE debe mostrar en su sitio su propia política de privacidad y las condiciones de la
   reserva —precio, impuestos incluidos, política de cancelación y de depósito— conforme a la
   **Ley 19.496**.
4. **El contrato de alojamiento se celebra entre el huésped y EL CLIENTE.** BOOKISITY provee el medio
   técnico de la reserva y no es parte.
5. Si EL CLIENTE usa un dominio propio, debe mantener vigente su registro y su certificado, o
   delegarlo según la documentación.

## 5. Versionado y cambios

1. La API está versionada. BOOKISITY podrá introducir cambios **retrocompatibles** sin aviso previo.
2. Un **cambio incompatible** exige publicar una versión nueva y mantener la anterior en
   funcionamiento por al menos **seis (6) meses** desde el aviso.
3. La **discontinuación** de una versión se avisa por correo y en la documentación con al menos
   **seis (6) meses** de anticipación.
4. Una corrección de seguridad urgente puede aplicarse de inmediato, informando dentro de las 24
   horas siguientes.

## 6. Qué garantiza BOOKISITY

1. Que la API responda con **el mismo cálculo de disponibilidad y de precio** que usan el mostrador y
   los canales de venta. No hay una verdad para la API y otra para la recepción.
2. Que la creación de una reserva por API **valide en el servidor** las mismas reglas de estadía,
   política y precio que la interfaz interna. Un cálculo enviado por el cliente no se acepta como
   verdad: el servidor lo recalcula.
3. Documentación de referencia mantenida al día.
4. La disponibilidad comprometida en el artículo OCTAVO del Contrato, que cubre también la API.

## 7. Qué no garantiza

1. **El funcionamiento de la integración que construya EL CLIENTE o su desarrollador.** BOOKISITY
   responde por su API, no por el código de un tercero que la consume.
2. El rendimiento del sitio de EL CLIENTE, su alojamiento ni su posicionamiento.
3. La conversión ni el volumen de ventas del canal directo.
4. La compatibilidad con navegadores fuera de soporte de su fabricante.

## 8. Datos personales

Las reservas creadas por la API contienen datos de huéspedes, y su tratamiento se rige por el
[Anexo DPA](ANEXO-DPA-tratamiento-de-datos.md).

**EL CLIENTE es responsable de informar al huésped**, en el punto donde recoge los datos, quién los
trata y con qué finalidad. Si el motor se incrusta en su sitio, ese deber de información es suyo,
porque es él quien recoge el dato.

Si EL CLIENTE integra la API con sistemas propios o de terceros, **cualquier comunicación de datos a
esos sistemas es decisión suya como responsable**, y debe contar con fundamento legal. BOOKISITY no
la supervisa ni responde por ella.

## 9. Desactivación

Al desactivar la llave se revocan las claves y el motor deja de servirse. **EL CLIENTE debe retirar
el motor de su sitio**, o quedará un componente sin funcionar a la vista de sus visitantes. Las
reservas creadas permanecen en la Plataforma.