Política de privacidade

O responsável pelo tratamento dos seus dados (o “controlador”, nos termos da Lei Geral de Proteção de Dados — LGPD, Lei 13.709/2018) é Victor Iago Oliveira Fortes. Para qualquer assunto de privacidade, o canal é privacidade@rotafeita.com.br.

• Conta: e-mail, nome e senha. A senha é guardada cifrada pelo serviço de autenticação — nem nós conseguimos lê-la.
• Perfil, se você preencher: cidade de partida, nacionalidade (para indicar vistos e vacinas) e moeda preferida.
• Suas viagens: roteiros, hospedagens, trechos, notas, listas de reservas e documentos, e quem participa de cada viagem.
• Avaliações que você escrever.
• Registro dos seus aceites: qual versão destes textos você aceitou e quando, com o navegador usado e um código gerado a partir do seu endereço de internet (IP). O IP em si nunca é guardado: ele é pseudonimizado — misturado a um segredo guardado à parte, fora do banco de dados —, e o resultado só serve para mostrar que dois registros vieram ou não da mesma conexão.
• Aparelhos que já entraram na sua conta: uma descrição curta (como “Chrome no Windows”) e um código aleatório que o navegador guarda num cookie — do nosso lado fica só uma impressão desse código (hash), que não serve para recriá-lo. Serve para avisar você por e-mail quando alguém entrar de um aparelho novo.
• Pedidos de exclusão e registros de segurança ligados à sua conta.

Não pedimos dados de pagamento, documentos nem informações de saúde. Se você escrever algo desse tipo numa nota, ele fica guardado como o resto da sua viagem — mas preferimos que não escreva.

• Fazer o serviço funcionar — sua conta, suas viagens, os cálculos e os avisos: para cumprir o que combinamos com você nos termos de uso (LGPD, art. 7º, V).
• Proteger a sua conta e o serviço — a verificação anti-robô, os limites de tentativas, os avisos de acesso novo e os registros de segurança: legítimo interesse, com o mínimo de dados (art. 7º, IX).
• Mandar novidades por e-mail, só se você tiver marcado essa opção: consentimento (art. 7º, I), que você retira quando quiser. E-mails sobre a sua conta (confirmação, senha, segurança) não são novidade e chegam sempre.
• Cumprir a lei e nos defender em processo, quando for o caso (art. 7º, II e VI).

Não vendemos dados. Eles passam por empresas que operam partes do serviço para nós:

• Supabase — banco de dados e autenticação, com os dados guardados em servidores em São Paulo.
• Vercel — hospedagem do site.
• Resend — envio dos e-mails de confirmação, senha e segurança.
• Cloudflare — a verificação anti-robô (Turnstile) dos formulários de conta.

Algumas dessas empresas são estrangeiras e podem processar dados fora do Brasil; nesses casos, a transferência segue as garantias do art. 33 da LGPD. Dentro do Rota, quem participa de uma viagem vê o seu nome e o que está na viagem; viagens que você publica ficam visíveis conforme a opção que você escolheu, sempre sem dados de reserva. Fora isso, só entregamos dados por ordem judicial.

• Conta, perfil, viagens e avaliações: enquanto a conta existir. Pedida a exclusão, tudo é apagado depois de 30 dias — o prazo para você desistir.
• Registro de aceites: enquanto a conta existir, inclusive os aceites antigos, que são a prova de que você concordou; saem junto com a conta.
• Registros de segurança: 180 dias. Os que provam o atendimento de pedidos de privacidade (exclusão, exportação, mudança de consentimento) ficam 5 anos, sem nome e sem e-mail: só o identificador da conta, a data e, nos de consentimento, o código pseudonimizado do IP.
• Cadastros nunca confirmados: apagados depois de 7 dias, se ninguém clicar no link de confirmação.

A LGPD (art. 18) garante a você, entre outros, o direito de:

• saber se tratamos seus dados e ter acesso a eles;
• corrigir dados errados ou desatualizados;
• levar seus dados para outro serviço (portabilidade);
• apagar seus dados;
• retirar um consentimento dado, como o de receber novidades;
• saber com quem os compartilhamos.

A maior parte você faz sozinho, na sua conta: corrigir o perfil, baixar todos os seus dados num arquivo, retirar o consentimento de novidades e excluir a conta. Para o resto, escreva para privacidade@rotafeita.com.br — respondemos em até 15 dias. Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Cada viagem só é lida por quem faz parte dela — a regra fica no próprio banco de dados, e não só nas telas. As senhas são guardadas cifradas, a conta pode ter verificação em duas etapas, o IP não é guardado em claro e o acesso administrativo é restrito. Nenhum sistema é invulnerável; se houver um incidente que possa trazer risco a você, avisaremos você e a ANPD, como a lei manda.

Usamos só o necessário para o site funcionar: o cookie da sua sessão (para você continuar logado), o do aparelho (para o aviso de acesso novo) e, no seu próprio navegador, a sua preferência de tema claro ou escuro. Não usamos cookies de publicidade nem de medição de audiência. Se um dia usarmos medição, pediremos sua permissão antes.

O Rota não é destinado a menores de 18 anos, e não pedimos nem guardamos dados sabendo que são deles.

Quando esta política mudar, a data no topo muda junto e pediremos que você leia e aceite a nova versão na próxima vez que entrar. Veja também os termos de uso.