PARTE II
POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS
15. Compromisso com a privacidade
15.1. A Plataforma trata dados pessoais de acordo com a legislação brasileira aplicável, especialmente a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei 13.709/2018).
15.2. Esta Política explica quais dados são coletados, para quais finalidades são utilizados, com quem podem ser compartilhados, por quanto tempo são mantidos e quais direitos o titular pode exercer.
15.3. Ao utilizar a Plataforma, o Usuário declara ciência de que seus dados serão tratados conforme esta Política.
16. Dados pessoais coletados
16.1. Dados cadastrais
16.1.1. A Plataforma poderá coletar:
a) nome completo;
b) CPF;
c) e-mail;
d) telefone;
e) data de nascimento;
f) cidade e estado;
g) senha ou credencial de acesso;
h) tipo de perfil: Cliente, Guia ou Admin;
i) foto de perfil, avatar, bio e imagem pública;
j) aceite de Termos e LGPD;
k) data e horário de cadastro.
16.2. Dados de Guias e Prestadores
16.2.1. Para Guias, a Plataforma poderá coletar:
a) CADASTUR;
b) status de validação do CADASTUR;
c) CNPJ;
d) Instagram;
e) chave PIX e tipo de chave;
f) dados de repasse financeiro;
g) nível, bio, histórico, avaliação média, trilhas e quilômetros;
h) roteiros criados, reservas recebidas, grupos administrados e respostas a avaliações.
16.3. Dados de reservas e pagamentos
16.3.1. A Plataforma poderá tratar:
a) reserva realizada;
b) roteiro escolhido;
c) data da trilha;
d) quantidade de pessoas;
e) valor total;
f) status da reserva;
g) status do pagamento;
h) identificadores de transação;
i) QR Code, código PIX ou referência de pagamento;
j) comprovantes;
k) cancelamentos, estornos, reembolsos e saldos;
l) logs de confirmação por webhook ou reconciliação.
16.4. Dados de uso, comportamento e segurança
16.4.1. A Plataforma poderá coletar:
a) registros de acesso;
b) endereço IP;
c) data e hora de uso;
d) páginas acessadas;
e) cliques, ações e interações;
f) dispositivo, navegador e sistema operacional;
g) logs de erro;
h) tokens de sessão;
i) preferências;
j) histórico de notificações;
k) registros de segurança e prevenção a fraude.
16.5. Dados de geolocalização e clima
16.5.1. A Plataforma poderá tratar dados de localização aproximada, cidade, estado, ponto de encontro, latitude, longitude, endereço formatado e informações relacionadas a clima ou geocoding quando necessário para busca, exibição, recomendação, planejamento ou segurança de roteiros.
16.5.2. Quando a geolocalização do dispositivo for utilizada, o Usuário poderá gerenciar permissões diretamente nas configurações do navegador ou aparelho.
16.6. Conteúdo gerado pelo Usuário
16.6.1. A Plataforma poderá tratar:
a) fotos;
b) vídeos;
c) legendas;
d) avaliações;
e) comentários;
f) mensagens em grupos;
g) respostas de Guias;
h) curtidas;
i) medalhas;
j) histórico de conquistas;
k) informações públicas de perfil.
Exemplo prático:
Quando o Cliente posta uma foto no passaporte do aventureiro, a Plataforma trata a imagem, legenda, data de postagem, status público/privado e eventuais curtidas.
16.7. Dados sensíveis relacionados à saúde e segurança
16.7.1. Para fins de segurança, planejamento e adequada execução de roteiros outdoor, o Cliente poderá ser solicitado a informar, de forma proporcional e necessária, limitações físicas, restrições médicas, alergias, fobias, uso de medicamentos, condições de saúde ou outras circunstâncias que possam impactar sua participação na atividade.
16.7.2. Essas informações serão tratadas como dados pessoais sensíveis, com acesso restrito ao necessário para avaliação de segurança, orientação do Guia, prevenção de acidentes, atendimento de emergência, execução da experiência contratada, cumprimento de obrigação legal ou exercício regular de direitos.
16.7.3. A Plataforma e o Guia deverão tratar tais informações com confidencialidade, finalidade específica, necessidade, segurança e vedação de exposição pública.
16.8. Dados de crianças e adolescentes
16.8.1. A Plataforma não permite cadastro, conta, perfil ou interação direta de crianças e adolescentes no App/Site.
16.8.2. Quando houver participação presencial de menor em roteiro contratado por responsável legal, a Plataforma poderá tratar apenas dados mínimos e estritamente necessários à reserva, autorização, segurança da atividade, prevenção de acidentes, cumprimento legal e defesa de direitos, sempre vinculados ao responsável legal adulto.
16.8.3. É vedado o tratamento de dados de crianças e adolescentes para publicidade comportamental, perfilamento comercial indevido, comunicação direta, grupo interno, mensagem privada ou qualquer finalidade incompatível com a proteção integral e o melhor interesse da criança e do adolescente.
17. Finalidades do tratamento de dados
17.1. A Plataforma trata dados pessoais para as seguintes finalidades, com suas respectivas bases legais:
Finalidade | Base Legal (LGPD) a) Criar e autenticar contas | Execução de contrato (art. 7º, V) b) Identificar Usuários | Execução de contrato (art. 7º, V) c) Permitir reservas e pagamentos | Execução de contrato (art. 7º, V) d) Confirmar transações | Execução de contrato (art. 7º, V) e) Liberar grupos após pagamento | Execução de contrato (art. 7º, V) f) Permitir publicação de roteiros | Execução de contrato (art. 7º, V) g) Exibir perfis de Guias e Clientes | Legítimo interesse (art. 7º, IX) h) Moderar avaliações | Legítimo interesse (art. 7º, IX) i) Administrar saldos e reembolsos | Execução de contrato (art. 7º, V) j) Prevenir fraudes | Legítimo interesse (art. 7º, IX) k) Garantir segurança da Plataforma | Legítimo interesse (art. 7º, IX) l) Cumprir obrigações legais e regulatórias | Obrigação legal (art. 7º, II) m) Responder solicitações de suporte | Execução de contrato (art. 7º, V) n) Melhorar a experiência do Usuário | Legítimo interesse (art. 7º, IX) o) Enviar notificações operacionais | Execução de contrato (art. 7º, V) p) Enviar comunicações de marketing | Consentimento (art. 7º, I) q) Gerar estatísticas internas | Legítimo interesse (art. 7º, IX) r) Conceder medalhas, conquistas e gamificação | Legítimo interesse (art. 7º, IX) s) Preservar histórico administrativo | Legítimo interesse (art. 7º, IX) t) Defender direitos em processos judiciais, administrativos ou arbitrais | Exercício regular de direitos (art. 7º, VI) u) Tratar dados sensíveis de saúde informados voluntariamente para segurança da atividade | Proteção da vida ou da incolumidade física (art. 11, II, e) e exercício regular de direitos (art. 11, II, d) v) Tratar dados mínimos de menores vinculados a reserva feita por responsável legal | Melhor interesse da criança/adolescente, proteção da vida, cumprimento legal e execução da atividade contratada pelo responsável, quando aplicável
17.2. O tratamento de dados para finalidades não listadas dependerá de consentimento prévio do titular, quando exigido por lei.
18. Compartilhamento de dados
18.1. A Plataforma poderá compartilhar dados pessoais com:
a) intermediadores de pagamento;
b) bancos e instituições financeiras;
c) provedores de hospedagem e infraestrutura;
d) Supabase, Vercel ou serviços técnicos equivalentes;
e) serviços de envio de e-mail, SMS, push notification ou comunicação;
f) ferramentas de análise, segurança, logs e monitoramento;
g) Guias, quando necessário para execução do roteiro;
h) Clientes, quando necessário para interação em grupo;
i) administradores e moderadores;
j) autoridades públicas, quando exigido por lei;
k) advogados, contadores, auditores e consultores, quando necessário;
l) terceiros envolvidos em prevenção a fraude, cobrança, mediação ou defesa de direitos.
18.2. A Plataforma não vende dados pessoais de Usuários.
18.3. A Plataforma poderá compartilhar dados mínimos necessários entre Cliente e Guia para viabilizar a experiência contratada, como nome, reserva, quantidade de participantes, status de pagamento e informações essenciais à condução do roteiro.
18.4. O Guia compromete-se a tratar os dados do Cliente exclusivamente para a execução do roteiro contratado, não podendo compartilhá-los com terceiros ou utilizá-los para finalidades diversas, devendo observar especial confidencialidade quanto a dados sensíveis, informações de saúde e dados eventualmente relacionados a crianças ou adolescentes vinculados à reserva, sob pena de responsabilização civil, administrativa e exclusão da Plataforma.
18.4.1. O acesso do Guia a dados pessoais de Clientes está condicionado à assinatura de termo de responsabilidade e confidencialidade específico, que integrará o contrato de prestação de serviços entre o Guia e a Plataforma.
18.4.2. O termo de que trata o caput estabelecerá: (i) finalidade específica de tratamento; (ii) vedação de compartilhamento com terceiros; (iii) obrigação de exclusão após execução do roteiro; (iv) responsabilidade por incidentes de segurança imputáveis ao Guia; (v) indenização por danos causados à Plataforma e a terceiros em razão de violação.
18.4.3. A Plataforma poderá realizar verificações pontuais ou solicitar comprovações quando necessário, podendo suspender o acesso a dados em caso de descumprimento, incidente, uso indevido de dados, denúncia, obrigação legal ou risco relevante à segurança dos Usuários e da Plataforma.
18.5. Dados sensíveis ou informações privadas de pagamento, como chave PIX do Guia, dados administrativos e documentos internos, não serão exibidos publicamente, salvo quando necessário ao fluxo operacional, cumprimento legal ou autorização do titular.
19. Cookies e tecnologias similares
19.1. A Plataforma poderá utilizar cookies, localStorage, pixels, SDKs, identificadores de dispositivo e tecnologias similares para:
a) manter login;
b) lembrar preferências;
c) melhorar navegação;
d) medir desempenho;
e) prevenir fraudes;
f) analisar uso;
g) personalizar conteúdo;
h) viabilizar funcionalidades técnicas.
19.2. O Usuário poderá configurar seu navegador para bloquear cookies, mas algumas funcionalidades podem deixar de funcionar corretamente.
19.3. Cookies estritamente necessários poderão ser utilizados independentemente de consentimento, quando essenciais ao funcionamento da Plataforma.
19.4. Cookies de marketing, publicidade ou analytics poderão depender de aviso, consentimento ou opção de gerenciamento, conforme exigido pela legislação aplicável.
19.5. A Plataforma poderá disponibilizar Política de Cookies complementar e específica, vinculada a estes Termos e à Política de Privacidade, especialmente quando houver inventário técnico detalhado das tecnologias utilizadas, ferramentas de analytics, publicidade, pixels, SDKs ou mecanismos de consentimento granular.
Glossário prático — Cookies:
Cookies são pequenos arquivos ou identificadores que ajudam o site/app a lembrar que o Usuário está logado, entender como a Plataforma é usada e melhorar a navegação.
20. Direitos do titular de dados
20.1. O titular poderá solicitar, nos termos da LGPD:
a) confirmação da existência de tratamento;
b) acesso aos dados;
c) correção de dados incompletos, inexatos ou desatualizados;
d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
e) portabilidade, quando aplicável;
f) informação sobre compartilhamento;
g) informação sobre possibilidade de não consentir e consequências da negativa;
h) revogação do consentimento;
i) eliminação de dados tratados com base no consentimento, observadas hipóteses legais de retenção;
j) oposição a tratamento irregular;
k) revisão de decisões automatizadas, quando aplicável.
20.2. As solicitações deverão ser encaminhadas ao e-mail do Encarregado de Dados: dpo@prussiktrails.com.br.
20.3. A Plataforma poderá solicitar confirmação de identidade antes de atender pedidos de titulares, para evitar fraude, acesso indevido ou exposição de dados de terceiros.
20.4. Alguns dados poderão ser mantidos mesmo após pedido de exclusão, quando necessários para cumprimento legal, execução de contrato, prestação de contas, prevenção a fraude, registros financeiros, defesa de direitos, auditoria, segurança ou obrigação regulatória.
Exemplo prático:
O Cliente pode pedir cópia dos dados cadastrados ou correção do telefone. Porém, a Plataforma poderá manter registros de pagamento e reserva pelo prazo necessário para obrigação legal e defesa de direitos.
20.5. A Plataforma responderá às solicitações de confirmação de existência ou acesso a dados pessoais, quando aplicável, em formato simplificado imediatamente ou por meio de declaração clara e completa no prazo de até 15 (quinze) dias, nos termos do art. 19, II, da LGPD.
21. Segurança da informação
21.1. A Plataforma adotará medidas técnicas e administrativas razoáveis para proteger dados pessoais contra acessos não autorizados, perda, alteração, destruição, vazamento, uso indevido ou tratamento inadequado.
21.2. Entre as medidas possíveis estão: controle de acesso, autenticação, segregação de ambientes, chaves de serviço restritas, logs, APIs seguras, políticas de permissão, monitoramento, backups e boas práticas de desenvolvimento.
21.2.1. Entre as medidas técnicas adotadas ou progressivamente implementadas, conforme a maturidade técnica da Plataforma, poderão estar: criptografia de dados em trânsito (TLS 1.2 ou superior) e em repouso; autenticação multifator (MFA) para acesso administrativo; hashing de senhas com algoritmo bcrypt ou equivalente; política de senhas com complexidade mínima; rate limiting em APIs; validação de entrada de dados; e logs de auditoria com retenção mínima de 6 (seis) meses, quando aplicável.
21.2.2. Entre as medidas administrativas adotadas ou progressivamente implementadas, conforme a capacidade operacional da Plataforma, poderão estar: política interna de segurança da informação; treinamento periódico de equipe; controle de acesso baseado no princípio do menor privilégio; plano de resposta a incidentes; e nomeação de encarregado de segurança ou função equivalente, quando aplicável.
21.3. O Usuário também é responsável por sua segurança, devendo proteger senha, dispositivo, e-mail, CPF, telefone e credenciais.
21.4. Nenhum sistema digital é absolutamente seguro. Em caso de incidente relevante de segurança, a Plataforma adotará providências compatíveis com a legislação aplicável.
21.5. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Plataforma adotará as providências cabíveis e, quando exigível, comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados no prazo previsto pela regulamentação aplicável da ANPD, atualmente de 3 (três) dias úteis, com indicação da natureza do incidente, categorias de dados e titulares afetados, riscos relacionados, medidas técnicas e administrativas adotadas e canais de contato do Encarregado de Dados.
21.6. A comunicação de incidente poderá ser complementada posteriormente caso nem todas as informações estejam disponíveis no momento da comunicação inicial, observadas a boa-fé, a transparência, a cooperação com a autoridade competente e as medidas necessárias à mitigação de danos.
22. Retenção e exclusão de dados
22.1. Os dados pessoais serão mantidos pelo tempo necessário para cumprir as finalidades informadas nesta Política, observados os seguintes prazos objetivos:
a) Dados cadastrais: enquanto a conta estiver ativa + 5 (cinco) anos após a exclusão da conta, para cumprimento de obrigações fiscais e consumeristas;
b) Transações financeiras: 5 (cinco) anos, conforme prazo prescricional para cobrança e defesa do consumidor (art. 206 do Código Civil);
c) Mensagens e grupos: 2 (dois) anos após a conclusão do roteiro, para fins de mediação e segurança;
d) Logs de acesso: 6 (seis) meses, nos termos do art. 15 do Marco Civil da Internet (Lei 12.965/2014);
e) Dados sensíveis de saúde: pelo tempo estritamente necessário à execução da atividade, prevenção de acidentes, mediação de ocorrência, cumprimento legal ou defesa de direitos;
f) Dados relacionados a menores vinculados a reserva de responsável legal: pelo tempo necessário à execução da atividade, comprovação de autorização, segurança, cumprimento legal e defesa de direitos, observada a minimização de dados;
g) Termos de Ciência de Riscos, comprovantes de aceite e evidências técnicas associadas à reserva: 5 (cinco) anos após a conclusão do roteiro, para defesa de direitos, comprovação da contratação e da ciência dos riscos, sem prejuízo de prazo maior quando houver disputa, incidente, obrigação legal, processo administrativo ou judicial;
h) Dados anonimizados: poderão ser mantidos por prazo indeterminado, desde que não permitam a identificação do titular.
22.2. A Plataforma poderá manter dados por prazo superior ao indicado quando houver obrigação legal, investigação em curso, conflito pendente, auditoria ou necessidade de defesa de direitos.
22.3. Dados de grupos, mensagens, reservas, pagamentos e avaliações poderão ser preservados em histórico administrativo, ainda que não estejam mais publicamente visíveis.
22.4. Dados anonimizados ou agregados poderão ser mantidos por prazo indeterminado, desde que não permitam identificação do titular.
23. Transferência internacional de dados
23.1. A Plataforma poderá transferir dados pessoais para servidores localizados no exterior, especialmente por meio dos seguintes provedores:
a) Supabase: infraestrutura de banco de dados e autenticação;
b) Vercel: hospedagem e plataforma de desenvolvimento;
c) PagHiper: processamento de pagamentos.
23.1.1. Os provedores e respectivos países de destino são: (a) Supabase: Estados Unidos da América (EUA) e/ou União Europeia, conforme configuração do projeto; (b) Vercel: Estados Unidos da América (EUA); (c) PagHiper: Brasil (não há transferência internacional para este provedor, salvo alteração futura, quando será comunicada).
23.2. As transferências internacionais serão realizadas com observância das garantias previstas na LGPD, incluindo cláusulas contratuais padrão, cláusulas específicas ou outros mecanismos juridicamente adequados, conforme regulamentação da ANPD.
23.2.1. Os mecanismos juridicamente adequados de transferência internacional poderão incluir, quando aplicáveis: (i) cláusulas contratuais padrão da Comissão Europeia (Standard Contractual Clauses — SCCs); (ii) avaliação de impacto à proteção de dados pessoais — AIPD — para transferências internacionais, quando exigida pela ANPD; e (iii) verificação da adequação do nível de proteção de dados pessoais no país de destino.
23.3. O Usuário poderá solicitar informações adicionais sobre as garantias adotadas para transferências internacionais por meio do e-mail do Encarregado de Dados.
24. Dados públicos e visibilidade
24.1. Alguns dados poderão ser exibidos publicamente ou para outros Usuários, conforme funcionalidade utilizada, incluindo:
a) nome ou apelido público;
b) foto de perfil;
c) bio;
d) cidade/estado;
e) roteiros publicados;
f) avaliações;
g) medalhas;
h) conquistas;
i) fotos públicas;
j) reputação;
k) status público de Guia, quando aplicável.
24.2. Dados privados de pagamento, CPF, chave PIX, CNPJ, informações administrativas, dados sensíveis e dados de crianças ou adolescentes não serão exibidos publicamente, salvo autorização específica do responsável legal, necessidade operacional legítima, cumprimento legal ou defesa de direitos.
24.3. A Plataforma poderá ocultar nomes de Clientes em notificações públicas amplas, preservando maior privacidade da comunidade.
24.4. A Plataforma poderá ocultar, restringir ou remover imagens, nomes, localização ou elementos identificáveis de crianças e adolescentes, mesmo quando publicados por Usuário adulto, sempre que houver risco de exposição indevida, ausência de autorização específica ou incompatibilidade com a legislação aplicável.
25. Comunicações e notificações
25.1. A Plataforma poderá enviar comunicações operacionais sobre cadastro, reserva, pagamento, confirmação, grupo, cancelamento, reembolso, segurança, alteração de termos, suporte e funcionalidades essenciais.
25.2. Comunicações de marketing, novidades, promoções, roteiros sugeridos ou conteúdos institucionais poderão ser enviadas quando houver base legal adequada, consentimento ou legítimo interesse, respeitado o direito de oposição.
25.3. O Usuário poderá gerenciar permissões de notificações push, e-mail, SMS ou comunicações promocionais, conforme recursos disponíveis.
26. Decisões automatizadas e inteligência artificial
26.1. A Plataforma poderá utilizar algoritmos de inteligência artificial e sistemas automatizados para:
a) recomendar roteiros personalizados com base no perfil e histórico do Usuário;
b) moderar conteúdos e avaliações, identificando padrões de violação;
c) analisar comportamentos para prevenção de fraudes e segurança;
d) classificar e ranquear Guias e roteiros com base em critérios objetivos.
26.2. O Usuário tem direito a solicitar revisão humana de decisões automatizadas que afetem seus interesses, mediante requerimento ao Encarregado de Dados.
26.3. Os critérios utilizados nos sistemas automatizados são objetivos, não discriminatórios e serão disponibilizados ao Usuário mediante solicitação.
26.4. O tratamento de dados para fins de inteligência artificial observa os princípios da transparência, finalidade e não discriminação, nos termos da LGPD.
26.5. A Plataforma não utilizará sistemas automatizados para publicidade comportamental, perfilamento comercial ou interação direta dirigida a crianças e adolescentes, observando a legislação de proteção infantojuvenil e o melhor interesse da criança e do adolescente.