1. Disposições Gerais
1.1 Escopo e Aplicação
A presente Política de Privacidade e Proteção de Dados Pessoais ("Política") estabelece as diretrizes e procedimentos adotados pela Anhangá Turismo Ltda., pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 37.036.732/0001-41, com sede em Avenida Dom Pedro I, 773, Vila Monumento, São Paulo-SP ("Controladora" ou "Anhangá Turismo"), no tratamento de dados pessoais de titulares que interagem com nossos serviços digitais e plataformas.
1.2 Fundamentação Legal
Esta Política está em conformidade com:
- Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD)
- Marco Civil da Internet (Lei nº 12.965/2014)
- Código de Defesa do Consumidor (Lei nº 8.078/1990)
Adotamos ainda, como referência de boas práticas, padrões internacionais de proteção de dados, como o Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR).
2. Definições e Terminologia
a) Titular: Pessoa natural a quem se referem os dados pessoais objeto de tratamento;
b) Dados Pessoais: Informação relacionada à pessoa natural identificada ou identificável;
c) Tratamento: Toda operação realizada com dados pessoais, incluindo coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
d) Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
e) Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
f) Encarregado (DPO): Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
3. Categorias de Dados Pessoais Coletados
3.1 Dados de Identificação e Contato
- Nome completo
- Endereço de correio eletrônico
- Número de telefone
- Empresa, cargo e indicação, quando informados no formulário corporativo
- Dados fornecidos voluntariamente através de formulários de contato
3.2 Dados de Planejamento de Viagem (Assistente Virtual)
Informações fornecidas voluntariamente durante conversas com nosso assistente virtual de viagens (chatbot com inteligência artificial):
- Destino, datas e motivo da viagem
- Número de viajantes e perfil do grupo
- Faixa de orçamento estimada para a viagem
- Conteúdo das mensagens trocadas com o assistente
3.3 Dados Técnicos e de Navegação
- Endereço de Protocolo de Internet (IP)
- Informações de geolocalização
- Características do dispositivo utilizado
- Tipo e versão do navegador
- Sistema operacional
- Páginas visitadas e tempo de permanência
- Origem do tráfego e padrões de navegação
3.4 Dados de Marketing e Engajamento
- Interações com newsletters e comunicações promocionais
- Histórico de cliques em anúncios e links
- Preferências manifestadas
- Dados coletados através de cookies e tecnologias similares
- E-mail e telefone pseudonimizados por meio de hash unidirecional (SHA-256) para criação de públicos personalizados (customer match) no Google Ads e Meta Ads, exclusivamente para titulares que consentiram com comunicações de marketing — finalidade atualmente inativa, nenhum envio está ocorrendo (ver seção 5.5)
3.5 Dados de Crianças e Adolescentes
Nossos serviços digitais não são direcionados a crianças. Informações sobre menores que integram o grupo de viajantes (como idades para cotação) devem ser fornecidas exclusivamente pelos pais ou responsáveis legais, são tratadas no melhor interesse da criança (Art. 14 da LGPD) e utilizadas apenas para a elaboração do orçamento e a prestação do serviço solicitado. Pais ou responsáveis podem solicitar acesso, correção ou exclusão desses dados pelos canais indicados na Seção 14.
4. Métodos de Coleta de Dados
4.1 Coleta Direta
Dados fornecidos voluntariamente pelo titular através de:
- Preenchimento de formulários eletrônicos em nosso website
- Conversas com nosso assistente virtual de viagens (chatbot com inteligência artificial)
- Interações diretas via canais de comunicação oficiais
- Solicitações de informações ou serviços
4.2 Coleta Automática
Dados coletados automaticamente através de:
- Cookies e tecnologias de rastreamento, incluindo:
- Google Analytics para análise de tráfego
- Google Ads para publicidade direcionada
- Rastreamento server-side via Cloudflare Zaraz: eventos de navegação e conversão são processados por um servidor intermediário (Cloudflare, já responsável pela hospedagem do site), onde o endereço IP é suprimido antes do envio ao Google Analytics. Publicidade direcionada e remarketing no Meta (Facebook/Instagram) e no TikTok são medidos exclusivamente nesse servidor intermediário — nenhum pixel de rastreamento do Meta ou do TikTok é carregado no navegador do titular, e essas medições só ocorrem após consentimento de marketing.
- Métricas próprias de audiência, sem cookies: caminho da página visitada, página de origem, parâmetros de campanha (UTM), eventos de conversão e um identificador de sessão aleatório que dura 30 (trinta) minutos e fica somente na aba do navegador. Esses dados são processados em infraestrutura da Cloudflare contratada pela controladora, com base no legítimo interesse descrito na Seção 5.3.
- Métricas de desempenho do website (Cloudflare Web Analytics): página visitada, página de origem, dados técnicos do navegador e indicadores de velocidade de carregamento, sem cookie e sem identificador que persista entre visitas. Servem para medir e corrigir problemas de desempenho, com base no legítimo interesse descrito na Seção 5.3.
- Ferramentas de terceiros integradas:
- Instagram para engajamento em redes sociais
- WhatsApp Business para atendimento
- Facebook Messenger para comunicação
- ONER Travel para serviços especializados
5. Finalidades e Bases Legais do Tratamento
5.1 Atendimento e Relacionamento com Clientes
Finalidade: Responder solicitações, prestar suporte e manter comunicação comercial
Base Legal: Consentimento do titular ou legítimo interesse
5.2 Marketing e Comunicação Promocional
Finalidade: Envio de newsletters, promoções e conteúdo relevante
Base Legal: Consentimento específico e livre do titular
5.3 Análise e Otimização da Experiência Digital
Finalidade: Melhoria contínua de nossos serviços e plataformas digitais
Base Legal: Legítimo interesse da controladora
5.4 Publicidade Direcionada e Remarketing
Finalidade: Exibição de anúncios personalizados e campanhas de retargeting
Base Legal: Consentimento do titular
5.5 Customer Match e Públicos Personalizados
Status: Finalidade atualmente inativa — nenhum envio está ocorrendo. Descrita aqui para transparência sobre o uso já avaliado e para o caso de retomada futura.
Finalidade: Criação de públicos personalizados no Google Ads e Meta Ads a partir de e-mails e telefones de clientes que consentiram com comunicações de marketing, para exibição de anúncios relevantes e exclusão de clientes ativos de campanhas de prospecção
Base Legal: Consentimento específico do titular (Art. 7º, I, LGPD)
Salvaguarda: Caso reativada, os dados seriam transmitidos exclusivamente em formato de hash unidirecional (SHA-256). As plataformas utilizam os dados apenas para correspondência de audiência e não para outros fins.
5.6 Assistente Virtual de Viagens (Inteligência Artificial)
Finalidade: Prestar atendimento automatizado, entender as necessidades da viagem e preparar orçamentos personalizados a pedido do titular. As mensagens trocadas com o assistente são processadas pelo serviço Google Gemini (Google LLC) e as informações de planejamento da viagem podem ser registradas em nosso CRM para continuidade do atendimento por um consultor humano
Base Legal: Procedimentos preliminares relacionados a contrato, a pedido do titular (Art. 7º, V, LGPD)
5.7 Cumprimento de Obrigações Legais
Finalidade: Atendimento a determinações legais, regulamentares ou de autoridades competentes
Base Legal: Cumprimento de obrigação legal ou regulatória
5.8 Segurança e Estabilidade do Website
Finalidade: Prevenir abuso e envio automatizado de formulários (controle temporário de volume de requisições por endereço IP) e detectar e corrigir falhas técnicas do website
Base Legal: Legítimo interesse da controladora (Art. 7º, IX, LGPD)
5.9 Publicação de Depoimentos de Clientes
Finalidade: Exibir no website as avaliações que clientes publicaram no nosso perfil do Google, incluindo nome do autor, nota, data, texto da avaliação e foto de perfil
Base Legal: Legítimo interesse da controladora (Art. 7º, IX, LGPD) — demonstração da qualidade do serviço a partir de avaliações que o próprio titular tornou públicas, com direito de oposição garantido (ver Seção 8.1)
5.10 Link de Proposta Comercial
Quando você pede um orçamento, podemos enviar um link pessoal (www.anhanga.tur.br/proposta/…) com a proposta: seu primeiro nome, o roteiro, os itens cotados e o valor total, obtidos do sistema da operadora de turismo que fez a cotação ou, nas passagens aéreas, da cotação da consolidadora preparada pela nossa equipe. Dos viajantes, a página mostra apenas o seu primeiro nome e quantos adultos, crianças e bebês viajam, sem idades, documentos, dados de contato ou dados de pagamento.
Ao abrir o link, registramos apenas a data e a hora da abertura. O registro não inclui seu endereço IP, sua localização nem dados do seu aparelho. Prévias de link geradas por aplicativos de mensagem e a prévia interna assinada que a nossa equipe usa para conferir a proposta não são registradas.
Quando a proposta não pode ser montada como página, o link leva à página de orçamento da própria operadora (premium.infotravel.com.br): guardamos o endereço dessa página, que contém o código de acesso ao orçamento, e a abertura é registrada do mesmo modo (só a data e a hora) antes do redirecionamento. A partir daí, a conexão é feita diretamente com a operadora, que recebe o seu endereço IP e dados técnicos do navegador.
A primeira abertura, e cada reabertura feita 30 (trinta) minutos ou mais depois da anterior, gera uma nota no seu atendimento no nosso CRM e um aviso ao nosso assistente comercial automatizado, que prepara um rascunho de retorno para um consultor. Nenhuma mensagem é enviada a você automaticamente: um consultor revisa e decide se e como entrar em contato.
Finalidade: Apresentar a proposta solicitada e acompanhar se ela foi vista, para dar o retorno comercial no momento adequado
Base Legal: Exibição da proposta — procedimentos preliminares relacionados a contrato, a pedido do titular (Art. 7º, V, LGPD); registro das aberturas e preparo do retorno — legítimo interesse da controladora (Art. 7º, IX, LGPD), com direito de oposição garantido (ver Seção 8.1)
Prazos: O link fica disponível por até 15 (quinze) dias e o conteúdo da proposta (ou o endereço da página da operadora) é apagado no vencimento. Quando a proposta é montada como página, a validade nunca passa do prazo da cotação da operadora, e a de passagens aéreas é de até 3 (três) dias; quando o link leva à página da operadora, o prazo é o do link, e a própria operadora controla a validade da cotação. Os registros de abertura são mantidos por até 90 (noventa) dias contados da primeira abertura. As notas no CRM seguem o prazo dos dados de relacionamento (Seção 7.1)
Compartilhamento: Upstash (armazenamento da proposta e das aberturas), Odoo (nota no atendimento) e Anysphere (plataformas Cursor e Grok Bot), que opera o assistente comercial em servidores nos Estados Unidos, com modelos de inteligência artificial da xAI ou de outros provedores contratados por ela, que podem processar os dados em outros países, sem uso dos dados para treinar modelos. O aviso de abertura leva só o número do atendimento no CRM, um código que identifica a proposta sem revelar o link, a quantidade e os horários das aberturas; para preparar o retorno, o assistente consulta o seu atendimento no CRM, que inclui o link da proposta e os seus dados de contato. As fotos de hotéis são carregadas dos servidores de imagem da operadora, que recebem o endereço IP e dados técnicos do navegador, mas não o endereço da proposta (ver Seção 6.1)
6. Compartilhamento de Dados Pessoais
6.1 Parceiros e Prestadores de Serviços
A Anhangá Turismo pode compartilhar dados pessoais com terceiros autorizados, incluindo:
- Google LLC (analytics e publicidade — Google Ads e GA4; processamento das conversas do assistente virtual de viagens — Google Gemini; customer match previsto mas atualmente inativo, ver seção 5.5)
- Meta Platforms, Inc. (publicidade e remarketing — Facebook/Instagram Ads; customer match previsto mas atualmente inativo, ver seção 5.5)
- TikTok Pte. Ltd. (publicidade e remarketing — TikTok Ads)
- Cloudflare, Inc. (hospedagem do site e gerenciamento de tags server-side via Cloudflare Zaraz — responsável pela supressão de IP antes do envio ao Google Analytics e pelo envio server-side das conversões ao Meta e ao TikTok, sem carregar pixel de rastreamento no navegador do titular)
- Odoo S.A. (CRM de vendas — registro e gestão de leads comerciais, incluindo as notas de envio e de abertura dos links de proposta, ver seção 5.10)
- Upstash, Inc. (prevenção de abuso — controle temporário de volume de requisições por endereço IP; armazenamento temporário das propostas comerciais e do registro de aberturas, ver seção 5.10)
- Anysphere, Inc. (plataformas Cursor e Grok Bot, que operam o assistente comercial automatizado em servidores nos Estados Unidos, com modelos de inteligência artificial da xAI ou de outros provedores contratados pela Anysphere, que podem processar os dados em outros países, sem uso dos dados para treinar modelos: recebe o aviso de abertura do link de proposta — número do atendimento no CRM, código da proposta que não revela o link, quantidade e horários das aberturas —, consulta o atendimento no CRM e prepara rascunhos de retorno revisados por um consultor, ver seção 5.10)
- Functional Software, Inc. (Sentry) (monitoramento de erros e estabilidade do website)
- Cal.com, Inc. (agendamento de consultorias, quando o titular marca um horário pelo website)
- Provedores de conteúdo incorporado (recebem o endereço IP e dados técnicos do navegador ao exibir o conteúdo: mapas da OpenStreetMap Foundation nas páginas de destinos; ícones do serviço Iconify na página inicial; player da Spotify AB na página do Lollapalooza; biblioteca do editor de conteúdo servida pelo unpkg na área administrativa
/admin/, que é publicamente acessível; fotos de hotéis nas páginas de proposta, servidas pelos domínios de imagem da operadora de turismo media.infotravel.com.br e media.staticontent.com, sem o endereço da proposta) - Infotravel (sistema de orçamentos da operadora de turismo: quando o link de proposta leva à página de orçamento da operadora, o navegador do titular se conecta a ela diretamente, ver seção 5.10)
- Outscraper (coleta dos depoimentos públicos publicados por clientes no nosso perfil do Google — nome do autor, nota, data, texto do depoimento e foto de perfil)
- GitHub, Inc. (hospedagem do código do website; publicação automática dos depoimentos de clientes obtidos no Google — nome do autor, nota, data e texto do depoimento — no repositório do projeto)
- WhatsApp Ireland Ltd. / Meta Platforms, Inc. (continuidade do atendimento por WhatsApp: ao clicar em um de nossos botões de WhatsApp, o link já leva a mensagem pré-preenchida — que, no encaminhamento do assistente virtual, inclui o e-mail informado e os dados da viagem pesquisada —, além do endereço IP e dados técnicos do navegador)
- ONER Travel (serviços especializados em turismo)
- Outros prestadores de serviços devidamente contratados
6.2 Garantias Contratuais
Os compartilhamentos com prestadores de serviços devem ser regidos por instrumentos contratuais que assegurem:
- Conformidade com a LGPD e demais normas aplicáveis de proteção de dados
- Implementação de medidas de segurança adequadas
- Limitação do uso dos dados às finalidades autorizadas
- Responsabilização pelos danos causados
6.3 Hipóteses Legais de Compartilhamento
Dados pessoais poderão ser compartilhados em cumprimento a:
- Ordens judiciais ou administrativas
- Requisições de autoridades competentes
- Defesa de direitos da controladora em processos judiciais ou administrativos
7. Armazenamento e Retenção de Dados
7.1 Períodos de Retenção
- Dados de contato e relacionamento: 5 (cinco) anos após a última interação
- Dados de navegação (analytics): até 14 (quatorze) meses, conforme a configuração de retenção do Google Analytics 4
- Cookie de atribuição: o cookie próprio
anhanga_ga_cid, quando criado, pode permanecer por até 2 (dois) anos; o identificador é pseudonimizado e pode ser registrado no CRM quando o titular envia um formulário - Registros de prevenção de abuso: o controle de volume de requisições por endereço IP expira em até 10 (dez) minutos; o registro de uso único do convite da pesquisa de satisfação (identificador do convite, sem dados de contato) é mantido até o vencimento do convite, em no máximo 30 (trinta) dias
- Link de proposta comercial: o conteúdo da proposta é apagado no vencimento do link, em até 15 (quinze) dias; os registros de abertura são mantidos por até 90 (noventa) dias contados da primeira abertura (ver Seção 5.10)
- Cookie de campanha: o cookie
tracking_datapermanece por até 30 (trinta) dias
7.2 Critérios para Retenção
Os períodos de retenção baseiam-se em:
- Necessidade para cumprimento das finalidades declaradas
- Exigências legais e regulatórias aplicáveis
- Legítimos interesses da controladora
- Exercício regular de direitos em processos judiciais ou administrativos
8. Direitos dos Titulares
8.1 Direitos Assegurados
Conforme previsto na LGPD, os titulares possuem os seguintes direitos:
- Confirmação e Acesso: Confirmação da existência de tratamento e acesso aos dados pessoais;
- Correção: Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização ou Eliminação: Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
- Portabilidade: Portabilidade dos dados a outro fornecedor, mediante requisição expressa;
- Eliminação: Eliminação dos dados tratados com base no consentimento;
- Informação: Informação sobre entidades com as quais os dados foram compartilhados;
- Revogação do Consentimento: Revogação do consentimento a qualquer momento;
- Oposição: Oposição ao tratamento realizado com fundamento em qualquer hipótese de dispensa de consentimento, inclusive o legítimo interesse — como o tratamento analítico (Seção 9.4) e o de segurança e estabilidade do website (Seção 5.8) —, em caso de descumprimento da LGPD (Art. 18, § 2º);
- Revisão: Revisão de decisões automatizadas.
8.2 Exercício dos Direitos
Para exercer qualquer dos direitos mencionados, o titular deve enviar solicitação através do e-mail: [email protected]. Para instruções detalhadas sobre exclusão de dados, consulte a página Instruções de Exclusão de Dados.
Prazo de Resposta: Pedidos de confirmação e acesso serão atendidos em até 15 (quinze) dias, conforme o Art. 19, II, da LGPD. As demais solicitações serão respondidas no menor prazo possível; havendo necessidade de mais tempo, o titular será informado com a devida justificativa.
10. Transferência Internacional de Dados
10.1 Âmbito das Transferências
Parte dos prestadores listados na Seção 6.1 são empresas sediadas no exterior — em sua maioria nos Estados Unidos, além da Bélgica (CRM), da Irlanda (WhatsApp), do Reino Unido, da Suécia e de Singapura — e podem tratar dados pessoais fora do Brasil, inclusive em infraestrutura distribuída globalmente. Por isso, podem ocorrer transferências internacionais no contexto de:
- Hospedagem do website e serviços de nuvem
- Atendimento pelo assistente virtual de viagens
- Ferramentas de analytics e marketing digital
- Gestão de relacionamento com clientes (CRM)
- Monitoramento de erros, prevenção de abuso e agendamento
- Continuidade do atendimento por WhatsApp: ao clicar em nossos botões de WhatsApp, o link abre a conversa com uma mensagem já preenchida — no encaminhamento do assistente virtual, com o e-mail informado e os dados da viagem pesquisada —, o que transmite esses dados à Meta antes mesmo de a conversa começar, com base na execução de procedimentos preliminares solicitados pelo titular (Art. 7º, V, LGPD)
- Hospedagem do código do website e publicação dos depoimentos de clientes
- Acompanhamento dos links de proposta comercial pelo assistente comercial automatizado (Seção 5.10)
10.2 Garantias
As transferências internacionais devem estar amparadas em uma das hipóteses do art. 33 da LGPD. A Anhangá Turismo está consolidando o inventário dos fornecedores, dos países de destino e do mecanismo aplicável a cada um, com a revisão dos respectivos instrumentos contratuais.
O titular pode solicitar ao Encarregado as informações disponíveis sobre essas transferências pelo e-mail [email protected].
11. Segurança da Informação
11.1 Medidas Implementadas
A Anhangá Turismo adota medidas técnicas, administrativas e físicas apropriadas para:
- Proteger dados pessoais contra acessos não autorizados
- Prevenir situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão
- Garantir a confidencialidade, integridade e disponibilidade dos dados
11.2 Incidentes de Segurança
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a controladora:
- Comunicará a ANPD no prazo de 3 (três) dias úteis, conforme a Resolução CD/ANPD nº 15/2024
- Informará os titulares afetados no mesmo prazo, quando aplicável
- Implementará medidas corretivas imediatas
12. Encarregado de Proteção de Dados (DPO)
12.1 Identificação
Nome: Felipe William Rodrigues Silva
E-mail: [email protected]
Função: Encarregado de Proteção de Dados (Data Protection Officer)
12.2 Atribuições
- Canal de comunicação entre titulares, controladora e ANPD
- Orientação sobre cumprimento da legislação de proteção de dados
- Execução de treinamentos e conscientização
- Auditoria e monitoramento do cumprimento desta Política
13. Alterações e Atualizações
13.1 Direito de Modificação
Esta Política pode ser alterada a qualquer tempo, considerando:
- Mudanças na legislação aplicável
- Evolução de tecnologias e práticas de mercado
- Alterações nos serviços oferecidos
13.2 Comunicação de Alterações
Alterações substanciais serão comunicadas através de:
- Publicação em nosso website oficial
- Notificação por e-mail quando aplicável
- Outros canais de comunicação adequados
14. Canais de Contato
Para questões relacionadas a esta Política de Privacidade ou ao tratamento de dados pessoais:
E-mail: [email protected]
WhatsApp: +55 (11) 95502-1519
Instagram: @anhangaviagens
Facebook Messenger: Anhangá Viagens
Website: https://www.anhanga.tur.br/
15. Disposições Finais
15.1 Prevalência
Em caso de conflito entre esta Política e termos específicos de serviços oferecidos, prevalecerão os termos mais restritivos quanto à proteção de dados pessoais.
15.2 Legislação Aplicável
Esta Política é regida pela legislação brasileira, especialmente pela LGPD, sendo competente o Foro da Comarca de São Paulo, Estado de São Paulo, para dirimir eventuais controvérsias.