Rascunho — revisar com advogado

Política de Privacidade

Versão de trabalho (2026-09-08). Regime pretendido: agente de pequeno porte (Res. ANPD 2/2022), com canal do titular. Incidente: 3 dias úteis (6 se pequeno porte) — Res. ANPD 15/2024.

1. Dados que podemos tratar

2. Finalidades

Enviar alertas solicitados; medir cliques e comissões; melhorar o produto; cumprir obrigações legais. Marketing por WhatsApp/push exige consentimento explícito.

Montar e guardar seu itinerário e avisar prazos (como o do art. 11 da Res. ANAC 400) — base legal: execução do serviço que você pediu (LGPD art. 7º, V).

2.1. Como funciona a lista de e-mail

A inscrição é por duplo opt-in: você marca a caixa de consentimento, recebe um e-mail de confirmação e só entra na lista depois de clicar nele. Enquanto não confirmar, não enviamos nada — é assim que impedimos que alguém inscreva o endereço de outra pessoa.

Guardamos a data do consentimento, a finalidade que foi exibida a você e a página de origem. Cada mudança de estado (inscrição, confirmação, cancelamento) vira um registro novo, e a data do consentimento original nunca é reescrita — é ela que comprova quando e para que você autorizou. O cancelamento é em um clique, pelo link no rodapé de qualquer mensagem, e vale imediatamente.

2.2. Acesso por link, sem senha

Para guardar uma viagem você entra com um link enviado ao seu e-mail, sem senha. O link vale 15 minutos e funciona uma vez só; só o clique no botão da página abre a sessão. A sessão dura 30 dias e se renova a cada visita; você pode ter vários aparelhos conectados ao mesmo tempo e, na tela Meus aparelhos, ver cada um (data e navegador) e derrubar qualquer sessão — ou todas — em um clique.

Ter uma viagem não inscreve você na lista de alertas. O e-mail de acesso é o mesmo endereço, mas o consentimento para receber alertas é separado, pedido à parte e com a sua própria data — entrar para ver sua viagem não autoriza nenhuma mensagem de marketing.

2.3. O rascunho que fica no seu navegador

Enquanto você monta a viagem e ainda não salvou, o rascunho fica só no seu navegador (armazenamento local), nunca no nosso servidor. Ele não guarda o localizador da reserva nem o preço pago — esses dois campos ficam apenas na memória da aba aberta e somem quando você fecha a página. É a mesma razão do link público: localizador é o que serve para alguém se passar por você na companhia.

O rascunho é descartado sozinho depois de 7 dias sem ser salvo, e apagado quando você sai da conta neste navegador. Você também pode limpá-lo a qualquer momento pelos dados de navegação do seu navegador.

2.4. Leitura automática do e-mail colado

Quando você cola uma confirmação de viagem, quem lê primeiro são regras por companhia que rodam no nosso servidor — o texto não sai daqui. Você pode ver quanto elas acertam, e em quantos e-mails isso foi medido, na página Cobertura do leitor.

Quando essas regras não conseguem preencher um campo obrigatório (ou não conhecem o remetente), o texto — com e-mails, telefones, CPF e números longos mascarados antes de sair — é enviado à Anthropic (Estados Unidos), que atua como operadora apenas para extrair os campos da confirmação. O modelo não recebe nenhuma ferramenta, não consulta a internet e não grava nada na sua viagem: ele devolve campos, e todo campo que veio dele aparece marcado "lido por IA — confira" até você conferir e confirmar.

A Anthropic não usa o seu texto para treinar modelos. Como o processamento acontece fora do Brasil, trata-se de transferência internacional de dados (Res. ANPD 19/2024), com a finalidade limitada acima. Se a leitura automática estiver indisponível — sem a integração configurada ou acima do limite diário de uso — a tela diz isso e pede o preenchimento manual: nenhum campo é inventado.

2.5. Mensagens da semana antes do embarque

Em cada viagem você pode pedir três mensagens na semana antes do embarque (sete, três e um dia antes). O pedido é por viagem e separado de tudo o mais: ele não inscreve você na lista de alertas de preço, e a lista de alertas não autoriza estas mensagens. Também é separado dos e-mails do art. 11, que são transacionais — eles falam do prazo de uma viagem que você cadastrou e não dependem deste pedido.

A finalidade que aparece ao lado da caixa, e que guardamos junto do registro, é esta:

Receber, nesta viagem, três mensagens na semana antes do embarque (D-7, D-3 e D-1) com os itens da viagem e ofertas de parceiros com link de afiliado — por e-mail e, se você ativar num aparelho, também como aviso do navegador nesse aparelho. Cancelamento em um clique em toda mensagem.

O que vai na mensagem: os itens daquela viagem (o que resolver antes de embarcar e por que ele aparece, tirado do seu itinerário) e, quando houver parceiro, o link dele marcado como link de afiliado, ao lado de cada indicação.

O que não vai: o localizador da reserva e o preço pago. É a mesma regra do link público — e-mail é encaminhado, e localizador com sobrenome basta para alguém mexer numa reserva.

Cancelar leva um clique, pelo link no rodapé de toda mensagem ou pelo botão de cancelar inscrição do seu próprio programa de e-mail — sem entrar na conta, sem formulário e sem pedir motivo. Vale imediatamente e só para aquela viagem: o painel, os alertas e os avisos do art. 11 continuam.

Guardamos a data do pedido, a finalidade exibida e por onde ele veio, e continuamos guardando depois do cancelamento: é esse registro que comprova, sob a LGPD, quando e para que a mensagem foi autorizada.

2.6. Avisos no aparelho

Além do e-mail, você pode pedir que as mensagens da semana cheguem como aviso no aparelho. É opcional e vale por aparelho e por viagem: ligar no celular não liga no computador, e ligar numa viagem não liga nas outras. O aviso só existe onde você já pediu as mensagens da semana (2.5) — ele não é um canal novo, é a mesma mensagem por outro caminho.

O que guardamos: o endereço de entrega que o seu navegador cria para aquele aparelho e as duas chaves de cifra que vêm com ele, ligados à viagem e ao e-mail da sua conta. Esses dados juntos são o que permite escrever um aviso na tela daquele aparelho: tratamos como dado sensível, não aparecem em registro de log e a busca interna usa um resumo criptográfico (hash) do endereço, nunca o endereço em claro.

Quem entrega: o serviço de avisos do seu próprio navegador — Google (Chrome e Edge), Mozilla (Firefox), Apple (Safari) ou Microsoft. Ele recebe a mensagem cifrada e a repassa ao aparelho; o conteúdo é aberto no seu navegador, não no servidor deles.

O que o aviso traz: o título (“Sua viagem em 3 dias”) e um resumo dos itens a resolver. Não traz localizador da reserva, preço nem link de oferta — a indicação de parceiro, com o aviso de link de afiliado, fica na página da viagem. A razão é a tela bloqueada: quem estiver perto de você lê o aviso sem desbloquear nada.

Para desativar, use o botão no painel daquela viagem ou as configurações de notificação do seu navegador — vale imediatamente e só para aquele aparelho. E quando o serviço do navegador responde que aquele endereço não existe mais (aparelho trocado, navegador reinstalado, dados limpos), nós o apagamos da lista de envio sem você precisar pedir.

No iPhone e no iPad o aviso só funciona com o site adicionado à Tela de Início (limitação do iOS, não nossa). O e-mail continua sendo o canal principal das mensagens da semana.

2.7. Cartão lembrado na viagem

No painel “Seu cartão já tem seguro?” você escolhe a bandeira e o nível do seu cartão para ver o que ele cobre. Essa escolha não fica guardada: ela vale só naquela visita. Ela só passa a ficar guardada naquela viagem se você clicar em “Lembrar este cartão nesta viagem”.

O que guardamos: o identificador da bandeira e do nível na nossa tabela — por exemplo Visa Platinum — e a data do pedido. Só isso. Nunca o número do cartão, o banco emissor, o nome do titular, a validade ou o código de segurança: não pedimos esses dados em lugar nenhum do site e não temos onde recebê-los.

Para que serve: para os painéis de seguro, sala VIP e câmbio daquela viagem e para as mensagens da semana antes do embarque daquela viagem aparecerem já com o seu cartão, sem você escolher de novo a cada visita. Vale por viagem: lembrar numa viagem não lembra nas outras.

Onde não aparece: o cartão lembrado não entra no link público da viagem (4.2) nem no link de calendário. Quem recebe esses links vê o itinerário, nunca o seu meio de pagamento.

Para apagar, clique em “Esquecer” no mesmo painel: o campo deixa de existir no estado atual da viagem e os painéis voltam a perguntar.

2.8. Passe na Carteira do Google

Em cada viagem você pode criar um passe na Carteira do Google. Ele só existe se você clicar: nada é enviado ao Google antes disso, e criar o passe de uma viagem não cria o das outras.

O que vai para o Google: o título da viagem e, de cada trecho, o mesmo recorte do link público (2 e 4.2) — companhia e número do voo, aeroportos, cidades, horários, terminal, nome do hotel, locadora e nome do passeio — mais um link de volta para a página da viagem aqui.

O que não vai: o localizador da reserva, o preço pago, a família tarifária, suas observações e o seu e-mail. O passe é montado a partir do mesmo recorte público do link de compartilhamento, então esses dados não têm por onde entrar.

O que o Google faz com isso: guarda o passe na conta de quem o salvar e o mostra no aparelho. Quando o horário de um voo muda, podemos pedir ao Google que avise quem salvou — o próprio Google limita a três avisos por passe por dia. O tratamento do passe pelo Google segue a política de privacidade dele.

Quando você edita a viagem, atualizamos o passe. Quando você arquiva a viagem, o passe é marcado como expirado. Para tirar o passe do aparelho, apague-o dentro do aplicativo Carteira do Google — ele está na conta Google de quem salvou, e de lá só essa pessoa o remove.

O passe não é cartão de embarque nem confirmação de reserva: é um resumo do itinerário que você cadastrou aqui. Não emitimos e não confirmamos reservas.

3. Bases legais

Consentimento (alertas e canais); legítimo interesse com opt-out quando aplicável; execução de medidas pré-contratuais sob demanda.

4. Compartilhamento

Parceiros de afiliação recebem o click_id/subID no momento do redirecionamento. Processadores (hospedagem, e-mail) só o necessário. Não vendemos lista de contatos.

O envio de e-mail transacional (link de acesso, confirmação de inscrição, avisos de prazo que você pediu) passa pela Resend (EUA), que atua como operador só para entregar essas mensagens: recebe o endereço e o conteúdo do e-mail, nada além disso, e não usa os dados para outro fim.

A leitura automática do e-mail colado, quando as regras próprias não bastam, passa pela Anthropic (EUA), também na condição de operadora e só para extrair os campos da confirmação — sobre o texto já mascarado, como descrito em 2.4. Ela não recebe seu e-mail de cadastro nem seus dados de conta.

4.1. Script de parceiro (Travelpayouts)

Desde 05/09/2026 as páginas carregam um script da Travelpayouts (domínio emrldtp.com), rede de afiliação de viagem. Ele roda no seu navegador para identificar cliques em links de parceiros dessa rede e pode definir identificadores próprios — consulte a política de privacidade deles. Não enviamos seu e-mail nem seus dados de cadastro a esse script, e você pode bloqueá-lo com um bloqueador de conteúdo sem perder nenhuma função do site.

4.2. Link público e link de calendário

Você pode gerar dois endereços para uma viagem. Quem tiver o endereço entra sem cadastro, sem senha e sem dar nenhum dado — é essa a ideia: quem vai te buscar no aeroporto não deveria precisar criar conta.

O link público (/v/…) mostra a versão enxuta: trechos, horários, cidades e o nome do hotel. Ele nunca mostra localizador ou código de reserva, nome completo, documentos, valores pagos, família tarifária, suas observações nem o e-mail da conta. A razão é concreta: localizador e sobrenome bastam para mexer numa reserva no site da companhia, e um link feito para a família ver os horários não pode virar a chave da sua viagem. A página sai com noindex e a prévia em aplicativos de mensagem é genérica, sem o itinerário.

O link de calendário (webcal://…) contém um segredo no próprio endereço — é ele que autoriza o acesso. Não publique esse link em rede social, grupo aberto ou página pública. Os eventos seguem a mesma regra do link público: horário, rota, terminal e nome do hotel, nunca localizador ou preço.

Os dois endereços aparecem uma única vez, quando você os gera: guardamos só um resumo criptográfico (hash). Gerar um novo revoga o anterior, e você pode revogar a qualquer momento — o endereço antigo passa a responder “não encontrado”.

Como todo endereço acessado, esses links ficam registrados nos logs do servidor. É inerente ao funcionamento do webcal, que precisa do segredo na URL. Se você suspeita que um link vazou, a medida é revogá-lo: isso invalida o endereço antigo imediatamente.

A página “quem vai te buscar” (/v/…/chegada) não pede, registra nem guarda nada sobre quem a abre: não tem formulário, não cria cookie e não identifica o visitante.

5. Seus direitos

Acesso, correção, exclusão, portabilidade, revogação de consentimento e informação sobre compartilhamentos — via canal do titular (e-mail de domínio próprio, a publicar).

6. Retenção

Cliques e logs de atribuição: o necessário para conciliar comissões e auditoria. Registros de incidente: 5 anos (Res. 15/2024).

Sessões de acesso: 30 dias, ou até você derrubá-las. Registro do link de acesso: 30 dias, e só um resumo criptográfico (hash) — o link em si nunca é guardado, nem depois de usado.

Viagens: até você arquivar/excluir ou 12 meses após o último trecho.

E-mail colado: 0 dias — o texto é descartado assim que você confirma a extração; do e-mail fica só o resumo criptográfico (hash) que evita duplicidade. Registros de leitura por IA: só metadados (data, quantidade de tokens, tempo de resposta), sem nenhum conteúdo do e-mail nem da resposta.

← Voltar · Termos · Como ganhamos