Política de Privacidade

1. Quem é responsável pelos seus dados

Os dados de passageiros são inseridos e geridos pela Operadora Cliente, que atua como controladora desses dados — é ela quem decide o que cadastrar e para que usar no dia a dia da própria operação. A Plataforma atua como operadora, tratando esses dados apenas para viabilizar o sistema contratado pela Operadora Cliente, seguindo as instruções dela. Pra dúvidas sobre seus dados pessoais específicos (ex.: os dados da sua reserva), procure primeiro a operadora com quem você viajou ou pretende viajar.

2. Quais dados coletamos

Da Operadora (pessoa física ou jurídica cliente):

• Nome/razão social, CPF ou CNPJ, endereço, telefone, cor/logo (personalização visual do painel e do site público);
• Dados de faturamento da assinatura da Plataforma (tratados pelo NullsetLicensing, hub central de cobrança — ver a Política de Privacidade dele em nullsetlicensing.netlify.app/privacidade);
• Quando a Operadora conecta sua própria conta de recebimento (Mercado Pago Connect): o token de acesso dessa conta, armazenado de forma criptografada — nunca a senha da conta Mercado Pago em si, que fica só com o próprio Mercado Pago.

De administradores e equipe da Operadora:

• Nome, e-mail, senha (armazenada apenas como hash criptográfico — nunca em texto legível, nem por nós), perfil de acesso.

De passageiros:

• Nome, e-mail, telefone, senha quando o próprio passageiro cria conta (também armazenada apenas como hash);
• CPF e, quando aplicável, tipo e número de outro documento (RG, CNH etc.);
• Data de nascimento;
• Nome e parentesco do responsável, e autorização de viagem, no caso de menores de idade viajando sem os dois pais — esses são dados que recebem tratamento com cuidado adicional (ver seção 6);
• Histórico de reservas, embarque e mensagens recebidas (confirmação de compra, lembrete de viagem etc.).

Login social (Google/Facebook): se você optar por entrar com sua conta Google ou Facebook em vez de e-mail/senha, recebemos apenas seu nome, e-mail e foto de perfil — usados exclusivamente para autenticar seu acesso. Não acessamos e-mails, arquivos, contatos ou qualquer outro dado dessas contas além desses itens básicos de perfil, e você pode revogar esse acesso a qualquer momento diretamente nas configurações da sua conta Google/Facebook.

Dados de pagamento: quando um passageiro paga uma reserva com cartão, o número do cartão e o CVV são tokenizados diretamente no navegador pelo provedor de pagamento (Mercado Pago) — nunca chegam aos nossos servidores. Armazenamos apenas o resultado da transação (valor, status, identificador da cobrança).

3. Para que usamos esses dados

Exclusivamente para operar o sistema de vendas e gestão contratado pela Operadora:

• gerenciar viagens, mapa de assentos e reservas;
• processar e cobrar reservas, e permitir pagamento online quando habilitado;
• enviar mensagens automáticas relacionadas à própria viagem do passageiro (confirmação de compra, lembrete, pagamento pendente, avisos durante a viagem) pelo canal escolhido pela Operadora — WhatsApp, e-mail ou notificação push;
• autenticar o acesso de cada usuário ao seu próprio painel ou conta, com isolamento entre operadoras;
• cumprir obrigações legais e responder a autoridades competentes, quando exigido por lei.

Não utilizamos os dados para publicidade direcionada, não os vendemos e não os usamos para treinar modelos de terceiros.

4. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Compartilhamos dados apenas com prestadores de serviço estritamente necessários à operação da Plataforma, sob obrigações contratuais de confidencialidade e segurança:

• Mercado Pago — processamento de pagamentos (assinatura da Operadora à Plataforma, via NullsetLicensing, e reservas dos passageiros à Operadora, quando conectado);
• Brevo — envio de e-mail transacional (recuperação de senha, mensagens automáticas de viagem);
• NullsetWhats — quando a Operadora conecta um número de WhatsApp, o envio das mensagens automáticas passa por esse produto irmão da NullsetLabs;
• Provedores de infraestrutura/hospedagem — servidores de aplicação e banco de dados onde o sistema roda;
• autoridades públicas, mediante obrigação legal, ordem judicial ou requisição regulatória válida.

Alguns desses prestadores podem processar dados em servidores localizados fora do Brasil. Quando isso ocorrer, adotamos as salvaguardas exigidas pela LGPD para transferência internacional de dados (art. 33).

5. Isolamento entre operadoras e segurança

A Plataforma é multi-tenant: cada Operadora Cliente só acessa os dados que ela mesma cadastrou — nenhuma outra operadora, passageiro ou funcionário de fora tem acesso. Adotamos medidas técnicas de segurança como: senhas armazenadas apenas como hash (nunca em texto puro), conexão criptografada (HTTPS), tokens de acesso a contas de pagamento de terceiros armazenados de forma criptografada, e controle de acesso por perfil (administrador, equipe, passageiro) em cada funcionalidade. Nenhum sistema é infalível — em caso de incidente de segurança relevante, comunicaremos as operadoras afetadas e as autoridades competentes conforme exigido pela LGPD (art. 48).

6. Menores de idade

Quando um menor de idade viaja sem os dois pais, a Operadora Cliente coleta nome, parentesco e autorização do responsável antes de confirmar a reserva — isso segue o art. 14 da LGPD (melhor interesse da criança/adolescente e consentimento específico do responsável legal). A Operadora Cliente é responsável por obter essa autorização e verificar sua validade; a Plataforma apenas armazena o que foi enviado pra viabilizar o cumprimento das exigências legais de transporte de menores.

7. Por quanto tempo guardamos os dados

Mantemos os dados enquanto a Operadora Cliente utilizar a Plataforma, e pelo tempo adicional necessário para cumprir obrigações legais, fiscais e regulatórias (por exemplo, registros financeiros e de transporte) ou para exercício regular de direitos em processos administrativos ou judiciais. Encerrado o contrato com a Operadora Cliente e vencidos esses prazos, os dados são eliminados ou anonimizados, exceto quando a lei exigir sua conservação por prazo maior.

8. Seus direitos (LGPD, art. 18)

Você pode, a qualquer momento, solicitar:

• confirmação da existência de tratamento e acesso aos seus dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade dos dados a outro fornecedor de serviço;
• informação sobre com quem seus dados são compartilhados;
• revogação do consentimento dado, quando o tratamento for baseado nele (ex.: login social);
• revisão de decisões tomadas unicamente com base em tratamento automatizado.

Pra exercer esses direitos sobre dados de uma reserva ou viagem específica, procure primeiro a operadora com quem você viajou — ela tem acesso direto ao cadastro. Se preferir, também pode contatar diretamente labsnullset@gmail.com.

9. Cookies e dados de sessão

Usamos apenas o armazenamento local do navegador pra manter você conectado durante o uso do sistema (token de sessão) — ele é apagado ao sair da conta ou fechar a aba/navegador e não é usado para rastreamento entre sites nem para publicidade.

10. Alterações desta Política

Podemos atualizar esta Política periodicamente pra refletir mudanças no sistema ou na legislação. Alterações relevantes serão comunicadas com antecedência razoável.

11. Encarregado de dados (DPO) e contato

Dúvidas, solicitações ou reclamações sobre o tratamento de dados pessoais na Plataforma podem ser enviadas para Rodrigo Fiore, labsnullset@gmail.com. Você também pode registrar reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD).