Política de Privacidade e Proteção de Dados Pessoais

1.1 Escopo e Aplicação

A presente Política de Privacidade e Proteção de Dados Pessoais ("Política") estabelece as diretrizes e procedimentos adotados pela Anhangá Turismo Ltda., pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 37.036.732/0001-41, com sede em Avenida Dom Pedro I, 773, Vila Monumento, São Paulo-SP ("Controladora" ou "Anhangá Turismo"), no tratamento de dados pessoais de titulares que interagem com nossos serviços digitais e plataformas.

1.2 Fundamentação Legal

Esta Política está em conformidade com:

• Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD)
• Marco Civil da Internet (Lei nº 12.965/2014)
• Código de Defesa do Consumidor (Lei nº 8.078/1990)

Adotamos ainda, como referência de boas práticas, padrões internacionais de proteção de dados, como o Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR).

a) Titular: Pessoa natural a quem se referem os dados pessoais objeto de tratamento;

b) Dados Pessoais: Informação relacionada à pessoa natural identificada ou identificável;

c) Tratamento: Toda operação realizada com dados pessoais, incluindo coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

d) Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

e) Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

f) Encarregado (DPO): Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

3.1 Dados de Identificação e Contato

• Nome completo
• Endereço de correio eletrônico
• Número de telefone
• Dados fornecidos voluntariamente através de formulários de contato

3.2 Dados de Planejamento de Viagem (Assistente Virtual)

Informações fornecidas voluntariamente durante conversas com nosso assistente virtual de viagens (chatbot com inteligência artificial):

• Destino, datas e motivo da viagem
• Número de viajantes e perfil do grupo
• Faixa de orçamento estimada para a viagem
• Conteúdo das mensagens trocadas com o assistente

3.3 Dados Técnicos e de Navegação

• Endereço de Protocolo de Internet (IP)
• Informações de geolocalização
• Características do dispositivo utilizado
• Tipo e versão do navegador
• Sistema operacional
• Páginas visitadas e tempo de permanência
• Origem do tráfego e padrões de navegação

3.4 Dados de Marketing e Engajamento

• Interações com newsletters e comunicações promocionais
• Histórico de cliques em anúncios e links
• Preferências manifestadas
• Dados coletados através de cookies e tecnologias similares
• E-mail e telefone pseudonimizados por meio de hash unidirecional (SHA-256) para criação de públicos personalizados (customer match) no Google Ads e Meta Ads, exclusivamente para titulares que consentiram com comunicações de marketing

3.5 Dados de Crianças e Adolescentes

Nossos serviços digitais não são direcionados a crianças. Informações sobre menores que integram o grupo de viajantes (como idades para cotação) devem ser fornecidas exclusivamente pelos pais ou responsáveis legais, são tratadas no melhor interesse da criança (Art. 14 da LGPD) e utilizadas apenas para a elaboração do orçamento e a prestação do serviço solicitado. Pais ou responsáveis podem solicitar acesso, correção ou exclusão desses dados pelos canais indicados na Seção 14.

4.1 Coleta Direta

Dados fornecidos voluntariamente pelo titular através de:

• Preenchimento de formulários eletrônicos em nosso website
• Conversas com nosso assistente virtual de viagens (chatbot com inteligência artificial)
• Interações diretas via canais de comunicação oficiais
• Solicitações de informações ou serviços

4.2 Coleta Automática

Dados coletados automaticamente através de:

• Cookies e tecnologias de rastreamento, incluindo:
  • Google Analytics para análise de tráfego
  • Google Ads para publicidade direcionada
  • Meta Pixel (Facebook) para remarketing
• Rastreamento server-side via Stape: eventos de navegação e conversão são transmitidos do browser para um servidor intermediário (provido pela Stape OÜ, empresa sediada na Estônia, com servidores hospedados no Brasil), onde o endereço IP é removido e dados pessoais são anonimizados antes de serem encaminhados ao Google e Meta. Essa camada reduz a exposição de dados pessoais em comparação ao rastreamento client-side convencional.
• Mautic (ferramenta própria): plataforma de automação de marketing e newsletters operada em infraestrutura da própria Anhangá Turismo, carregada somente após consentimento
• Ferramentas de terceiros integradas:
  • Instagram para engajamento em redes sociais
  • WhatsApp Business para atendimento
  • Facebook Messenger para comunicação
  • ONER Travel para serviços especializados

5.1 Atendimento e Relacionamento com Clientes

Finalidade: Responder solicitações, prestar suporte e manter comunicação comercial
Base Legal: Consentimento do titular ou legítimo interesse

5.2 Marketing e Comunicação Promocional

Finalidade: Envio de newsletters, promoções e conteúdo relevante
Base Legal: Consentimento específico e livre do titular

5.3 Análise e Otimização da Experiência Digital

Finalidade: Melhoria contínua de nossos serviços e plataformas digitais
Base Legal: Legítimo interesse da controladora

5.4 Publicidade Direcionada e Remarketing

Finalidade: Exibição de anúncios personalizados e campanhas de retargeting
Base Legal: Consentimento do titular

5.5 Customer Match e Públicos Personalizados

Finalidade: Criação de públicos personalizados no Google Ads e Meta Ads a partir de e-mails e telefones de clientes que consentiram com comunicações de marketing, para exibição de anúncios relevantes e exclusão de clientes ativos de campanhas de prospecção
Base Legal: Consentimento específico do titular (Art. 7º, I, LGPD)
Salvaguarda: Os dados são transmitidos exclusivamente em formato de hash unidirecional (SHA-256) via servidor intermediário (Stape OÜ). As plataformas utilizam os dados apenas para correspondência de audiência e não para outros fins.

5.6 Assistente Virtual de Viagens (Inteligência Artificial)

Finalidade: Prestar atendimento automatizado, entender as necessidades da viagem e preparar orçamentos personalizados a pedido do titular. As mensagens trocadas com o assistente são processadas pelo serviço Google Gemini (Google LLC) e as informações de planejamento da viagem podem ser registradas em nosso CRM para continuidade do atendimento por um consultor humano
Base Legal: Procedimentos preliminares relacionados a contrato, a pedido do titular (Art. 7º, V, LGPD)

5.7 Cumprimento de Obrigações Legais

Finalidade: Atendimento a determinações legais, regulamentares ou de autoridades competentes
Base Legal: Cumprimento de obrigação legal ou regulatória

6.1 Parceiros e Prestadores de Serviços

A Anhangá Turismo pode compartilhar dados pessoais com terceiros autorizados, incluindo:

• Google LLC (analytics, publicidade e customer match — Google Ads e GA4; processamento das conversas do assistente virtual de viagens — Google Gemini)
• Meta Platforms, Inc. (publicidade, remarketing e customer match — Facebook/Instagram Ads)
• Stape OÜ (gerenciamento de tags server-side — empresa sediada na Estônia com servidor intermediário hospedado no Brasil, responsável pela anonimização de IP e dados de navegação antes do envio ao Google e Meta)
• Odoo S.A. (CRM de vendas — registro e gestão de leads comerciais)
• ONER Travel (serviços especializados em turismo)
• Outros prestadores de serviços devidamente contratados

A plataforma de automação de marketing (Mautic) é operada em infraestrutura própria da Anhangá Turismo; os dados nela tratados não são compartilhados com terceiros.

6.2 Garantias Contratuais

Todos os compartilhamentos são regidos por contratos específicos que asseguram:

• Conformidade com a LGPD e demais normas aplicáveis de proteção de dados
• Implementação de medidas de segurança adequadas
• Limitação do uso dos dados às finalidades autorizadas
• Responsabilização pelos danos causados

6.3 Hipóteses Legais de Compartilhamento

Dados pessoais poderão ser compartilhados em cumprimento a:

• Ordens judiciais ou administrativas
• Requisições de autoridades competentes
• Defesa de direitos da controladora em processos judiciais ou administrativos

7.1 Períodos de Retenção

• Dados de contato e relacionamento: 5 (cinco) anos após a última interação
• Dados de navegação (analytics): até 14 (quatorze) meses, conforme a configuração de retenção do Google Analytics 4
• Cookies: conforme configurações do navegador e políticas específicas de cada tecnologia

7.2 Critérios para Retenção

Os períodos de retenção baseiam-se em:

• Necessidade para cumprimento das finalidades declaradas
• Exigências legais e regulatórias aplicáveis
• Legítimos interesses da controladora
• Exercício regular de direitos em processos judiciais ou administrativos

8.1 Direitos Assegurados

Conforme previsto na LGPD, os titulares possuem os seguintes direitos:

• Confirmação e Acesso: Confirmação da existência de tratamento e acesso aos dados pessoais;
• Correção: Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização ou Eliminação: Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade: Portabilidade dos dados a outro fornecedor, mediante requisição expressa;
• Eliminação: Eliminação dos dados tratados com base no consentimento;
• Informação: Informação sobre entidades com as quais os dados foram compartilhados;
• Revogação do Consentimento: Revogação do consentimento a qualquer momento;
• Revisão: Revisão de decisões automatizadas.

8.2 Exercício dos Direitos

Para exercer qualquer dos direitos mencionados, o titular deve enviar solicitação através do e-mail: [email protected]. Para instruções detalhadas sobre exclusão de dados, consulte a página Instruções de Exclusão de Dados.

Prazo de Resposta: Pedidos de confirmação e acesso serão atendidos em até 15 (quinze) dias, conforme o Art. 19, II, da LGPD. As demais solicitações serão respondidas no menor prazo possível; havendo necessidade de mais tempo, o titular será informado com a devida justificativa.

9.1 Definição e Propósito

Utilizamos cookies e tecnologias similares para:

• Facilitar a navegação no website
• Personalizar a experiência do usuário
• Coletar estatísticas de uso
• Exibir publicidade direcionada

9.2 Categorias de Cookies e Bases Legais

• Essenciais: Necessários para o funcionamento básico do website. Não dependem de consentimento
• Funcionais: Melhoram a funcionalidade e personalização
• Analíticos: Coletam estatísticas de uso do website de forma agregada, com remoção de IP e anonimização via servidor intermediário (ver Seção 4.2). Tratados com base no legítimo interesse da controladora (Art. 7º, IX, LGPD), com direito de oposição garantido (ver Seção 9.4)
• Publicitários e de marketing: Utilizados para publicidade direcionada, remarketing e automação de marketing. Carregados somente após o consentimento do titular, manifestado no aviso de cookies (Art. 7º, I, LGPD)

9.3 Gestão e Revogação do Consentimento

O titular pode alterar sua escolha a qualquer momento, de forma gratuita e facilitada:

• Pelo link "Gerenciar cookies", disponível no rodapé de todas as páginas do website, que reabre o aviso de preferências. Ao recusar, os cookies de marketing deixam de ser carregados imediatamente
• Pelas configurações do navegador, que permitem bloquear ou excluir cookies

9.4 Direito de Oposição ao Tratamento Analítico

Nos termos do Art. 18, § 2º, da LGPD, o titular pode opor-se ao tratamento de dados analíticos realizado com base em legítimo interesse. Para exercer esse direito, envie solicitação ao nosso Encarregado pelo e-mail [email protected], ou utilize as configurações de bloqueio de cookies do seu navegador, que impedem a coleta analítica neste website.

10.1 Âmbito das Transferências

Dados pessoais podem ser transferidos para países estrangeiros no contexto de:

• Utilização de serviços de nuvem
• Ferramentas de analytics e marketing digital
• Plataformas de comunicação e relacionamento

10.2 Garantias Implementadas

Todas as transferências internacionais são realizadas com:

• Cláusulas contratuais padrão aprovadas pela ANPD
• Certificações de adequação dos destinatários
• Garantias de nível adequado de proteção

11.1 Medidas Implementadas

A Anhangá Turismo adota medidas técnicas, administrativas e físicas apropriadas para:

• Proteger dados pessoais contra acessos não autorizados
• Prevenir situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão
• Garantir a confidencialidade, integridade e disponibilidade dos dados

11.2 Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a controladora:

• Comunicará a ANPD no prazo de 3 (três) dias úteis, conforme a Resolução CD/ANPD nº 15/2024
• Informará os titulares afetados no mesmo prazo, quando aplicável
• Implementará medidas corretivas imediatas

12.1 Identificação

Nome: Felipe William Rodrigues Silva
E-mail: [email protected]
Função: Encarregado de Proteção de Dados (Data Protection Officer)

12.2 Atribuições

• Canal de comunicação entre titulares, controladora e ANPD
• Orientação sobre cumprimento da legislação de proteção de dados
• Execução de treinamentos e conscientização
• Auditoria e monitoramento do cumprimento desta Política

13.1 Direito de Modificação

Esta Política pode ser alterada a qualquer tempo, considerando:

• Mudanças na legislação aplicável
• Evolução de tecnologias e práticas de mercado
• Alterações nos serviços oferecidos

13.2 Comunicação de Alterações

Alterações substanciais serão comunicadas através de:

• Publicação em nosso website oficial
• Notificação por e-mail quando aplicável
• Outros canais de comunicação adequados

15.1 Prevalência

Em caso de conflito entre esta Política e termos específicos de serviços oferecidos, prevalecerão os termos mais restritivos quanto à proteção de dados pessoais.

15.2 Legislação Aplicável

Esta Política é regida pela legislação brasileira, especialmente pela LGPD, sendo competente o Foro da Comarca de São Paulo, Estado de São Paulo, para dirimir eventuais controvérsias.