Política de Privacidade

Esta Política explica como o Hospedago coleta, usa, armazena e protege dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD). Ela vale para quem contrata o sistema e para os hóspedes cujos dados são registrados nele.

O Hospedago é mantido por Junior da Silva Pereira, CPF 145.850.076-44, que responde pelo tratamento descrito aqui. Contato: contato@hospedago.com.br.

1. Papéis no tratamento de dados

A LGPD diferencia quem decide sobre o tratamento de quem apenas executa. No Hospedago:

• Dados da conta do cliente (nome do responsável, e-mail, dados de pagamento): atuamos como controlador, pois definimos as finalidades.
• Dados de hóspedes inseridos pela pousada (nome, CPF, contato, datas de estadia): atuamos como operador. Quem decide o que coletar e por quê é a pousada, que figura como controladora desses dados.

Isso significa que pedidos de hóspedes sobre seus próprios dados devem ser dirigidos primeiro à hospedagem onde se hospedaram. Nós auxiliamos tecnicamente sempre que acionados pela pousada.

2. Dados que coletamos

2.1 Dados de cadastro e cobrança

• Nome do responsável e nome do estabelecimento
• E-mail e telefone de contato
• Nome, WhatsApp e nome da hospedagem, quando você pede contato pelo formulário do site. Usamos esses dados só para retornar o seu pedido
• Registro do consentimento e da aceitação dos termos (data e hora)
• Informações de transação de pagamento repassadas pelo processador

Não armazenamos dados de cartão de crédito. Esses dados são tratados diretamente pelo processador de pagamentos, que segue o padrão de segurança PCI-DSS.

2.2 Dados de hóspedes inseridos pela pousada

• Nome, CPF, endereço, e-mail e telefone
• Datas de entrada e saída, acomodação e acompanhantes
• Valores da hospedagem e situação de pagamento
• Assinatura eletrônica e seus metadados de comprovação

Quando a pousada usa a ficha de hóspedes do governo (FNRH), tratamos também, em nome dela: data de nascimento, nacionalidade, país de residência, gênero, documento (CPF ou passaporte), motivo da viagem, meio de transporte e, se o hóspede quiser informar, cor ou raça e deficiência. Cor ou raça e deficiência são dados sensíveis; o formulário já vem com a opção "Prefiro não informar" marcada.

2.3 Dados técnicos e cookies

• Endereço IP e identificação do navegador
• Data e hora de acessos e ações relevantes (registro de auditoria)
• Cookies estritamente necessários para manter a sessão autenticada
• Um cookie próprio que guarda, por 6 meses, a sua escolha no aviso de cookies
• Cookies de medição do Google Analytics e do pixel da Meta (Facebook e Instagram), somente nas páginas públicas do site e só depois do seu aceite. Quem chega por um link que mandamos pelo WhatsApp não carrega o pixel da Meta
• Quando você chega por um anúncio do Google, do Facebook ou do Instagram, um cookie próprio guarda por até 90 dias o identificador desse clique (sem nome, e-mail ou outro dado pessoal), para sabermos se o anúncio trouxe um cadastro. Se você recusar os cookies, ele é apagado
• Quando você chega por um link que mandamos numa conversa de WhatsApp, um cookie próprio guarda por até 90 dias o código desse link (sem nome, telefone ou outro dado pessoal no cookie), para sabermos se a conversa trouxe um cadastro. O código liga a visita a essa conversa. Se você recusar os cookies, ele é apagado
• Quando a visita começa num anúncio do Google, do Facebook ou do Instagram, ou num link que mandamos pelo WhatsApp, registramos no nosso próprio servidor, sem cookie, o caminho dessa visita nas páginas públicas: páginas abertas, até onde cada página foi rolada, seções vistas, botões clicados e se o cadastro foi começado ou enviado. Esse registro não guarda o que é digitado, o endereço IP nem o navegador, fica ligado só ao identificador do clique ou ao código do link e é apagado em 90 dias. Se você recusar os cookies, nada é registrado e o que já tinha sido registrado naquela visita é apagado
• Em toda visita à página inicial e à página da FNRH, contamos no nosso próprio servidor, sem cookie, de onde a visita veio (por exemplo anúncio, busca ou acesso direto), o tamanho da tela, até onde a página foi rolada, quanto tempo ficou aberta e se a visita abriu o cadastro, tocou num botão de WhatsApp ou mandou um formulário de contato. Essa contagem não guarda o que é digitado, o endereço IP nem o navegador, não diz quem é a pessoa e é apagada em 90 dias. Se a visita termina num cadastro, a conta guarda só de onde ela veio (por exemplo Instagram, busca do Google ou acesso direto), para sabermos o que traz clientes. Se você recusar os cookies, nada é contado, a conta não guarda essa origem e o que já tinha sido contado naquela visita é apagado
• Quando você cria a conta ou pede contato pelo formulário do site, o nosso servidor avisa a Meta (API de conversões) para ela saber que o anúncio deu resultado. Se você aceitou os cookies, vão o tipo do aviso (cadastro ou pedido de contato), a página, o endereço IP, a identificação do navegador, o identificador do clique do anúncio, os cookies da Meta e um número da conta embaralhado. Se você não escolheu nada no aviso de cookies e a visita começou num anúncio do Facebook ou do Instagram, vai só o aviso de cadastro, com o identificador desse clique, a página, o endereço IP, a identificação do navegador e o número da conta embaralhado. Se você recusou os cookies, nada é enviado. Nunca enviamos nome, e-mail, telefone ou dado de hóspede

Dentro do painel e nos links enviados a hóspedes (contrato e reserva) usamos apenas cookies essenciais ao funcionamento. Nas páginas públicas do site (página inicial, página da FNRH, cadastro, login e páginas legais) usamos o Google Analytics, com endereço IP anonimizado, para medir visitas e cadastros, inclusive o resultado dos nossos anúncios, e, com o seu aceite, o pixel da Meta, que mede o resultado dos nossos anúncios no Facebook e no Instagram e ajuda a Meta a mostrá-los a quem tem mais chance de se interessar. Não vendemos dados e não exibimos publicidade dentro da plataforma.

Na primeira visita, um aviso pergunta se você aceita os cookies de medição. Sem o aceite, o Google Analytics não grava cookies no seu navegador e recebe apenas sinais sem identificador, usados para estimar o total de visitas, e o pixel da Meta nem é carregado. Recusando, também não avisamos a Meta do seu cadastro. Você pode mudar a escolha quando quiser, pelo link "Cookies" no rodapé do site.

3. Dados recebidos de plataformas de reserva

Quando a pousada conecta o Hospedago a uma plataforma de reservas, como Booking.com ou Airbnb, passamos a receber dados das reservas dela. Isso só acontece com autorização da própria pousada e segue estas regras:

• O que recebemos: apenas o necessário para exibir e gerir as reservas: datas, acomodação, situação da reserva e, quando a plataforma disponibiliza, nome e contato do hóspede.
• Para que usamos: exclusivamente para operar a conta da pousada que autorizou a conexão (calendário, contratos, financeiro e avisos). Esses dados ficam isolados na conta dela.
• O que nunca fazemos: vender esses dados, usá-los para publicidade, criar perfis de hóspedes, repassá-los a terceiros além dos fornecedores listados nesta Política ou usá-los para treinar inteligência artificial.
• Assistente de contratos: quando o proprietário usa a assistente para redigir um contrato, enviamos a um serviço de inteligência artificial (OpenAI) apenas a descrição que ele mesmo escreve sobre as regras da hospedagem. Nome, documento, contato, endereço e datas de hóspede nunca são enviados, e os textos enviados pela API não são usados para treinar os modelos.
• Revogação: a pousada pode desconectar a plataforma a qualquer momento. A partir daí, deixamos de receber dados dela.
• Exclusão: os dados importados são apagados quando a pousada pede a exclusão ou encerra a conta, em até 30 dias, salvo retenção exigida por lei.

4. Finalidades e bases legais

• Prestar o serviço contratado. Base legal: execução de contrato (art. 7º, V).
• Autenticar acessos e manter a segurança. Base legal: legítimo interesse (art. 7º, IX).
• Registrar auditoria de ações no sistema. Base legal: legítimo interesse e cumprimento de obrigação legal.
• Emitir cobranças e documentos fiscais. Base legal: obrigação legal (art. 7º, II).
• Enviar avisos operacionais (nova reserva, contrato assinado, vencimento da assinatura). Base legal: execução de contrato.
• Comprovar autoria de contratos assinados. Base legal: exercício regular de direitos (art. 7º, VI).
• Importar reservas de plataformas conectadas pela pousada. Base legal: execução de contrato, conforme instrução da pousada, que é a controladora desses dados.
• Enviar a ficha de hóspedes à FNRH, do Ministério do Turismo, quando a pousada usa esse recurso. Base legal: cumprimento de obrigação legal da pousada, que é a controladora desses dados (Lei 11.771/2008; art. 7º, II, e art. 11, II, a, para os dados sensíveis).
• Medir visitas e o resultado de anúncios nas páginas públicas. Base legal: consentimento (art. 7º, I) para os cookies de medição e de anúncio e para o aviso de resultado enviado à Meta de quem aceitou os cookies; legítimo interesse (art. 7º, IX) para a contagem sem cookies, para o registro da navegação de quem chega por anúncio e para o aviso de cadastro enviado à Meta quando a visita começou num anúncio dela e você não escolheu nada no aviso de cookies, descritos na seção 2.3. Você pode se opor a esse aviso recusando os cookies no aviso ou pelo e-mail do encarregado.

5. Compartilhamento

Não vendemos dados pessoais. O compartilhamento ocorre apenas com fornecedores necessários à operação, sempre limitados ao mínimo indispensável:

• Infraestrutura e banco de dados: Hostinger (servidor da aplicação) e Neon (banco de dados), ambos em São Paulo, Brasil.
• Processador de pagamentos: Mercado Pago, para gerar cobranças e confirmar transações.
• E-mail: Resend, para enviar mensagens transacionais e receber as mensagens enviadas aos nossos endereços de e-mail.
• Proteção contra abuso: Upstash, para limitar tentativas de acesso.
• Assistente de contratos: OpenAI, apenas quando o proprietário pede ajuda para redigir um contrato, e somente com o texto que ele escreve sobre as regras da própria hospedagem.
• Plataformas de reserva: as conectadas pela pousada, como Booking.com e Airbnb, para sincronizar calendários e reservas.
• Governo federal: a ficha de hóspedes vai para a FNRH, do Ministério do Turismo, operada pelo SERPRO, quando a pousada usa esse recurso.
• Medição de audiência: Google Analytics, somente nas páginas públicas do site, com cookies só depois do seu aceite e nunca com dados de hóspedes.
• Anúncios: Meta Platforms (Facebook e Instagram), com o pixel nas páginas públicas só depois do seu aceite e com o aviso de cadastro ou de pedido de contato descrito na seção 2.3, nunca com nome, e-mail, telefone ou dados de hóspedes.
• Cópia de segurança: Google (Gmail), onde fica a cópia diária do banco de dados. Ela é criptografada antes de sair do servidor, e só o responsável pelo Hospedago tem a chave que abre; o Google não consegue ler o conteúdo.
• Autoridades públicas: apenas mediante requisição legal ou judicial.

O banco de dados e o servidor da aplicação ficam no Brasil. Alguns fornecedores auxiliares podem processar dados fora do país; nesses casos, a transferência internacional observa o artigo 33 da LGPD, com cláusulas contratuais e garantias adequadas.

6. Segurança

Adotamos medidas técnicas e organizacionais compatíveis com o risco, entre elas:

• Tráfego criptografado em trânsito por HTTPS/TLS, com HSTS ativo
• Senhas armazenadas apenas como hash, com algoritmo de derivação lento
• Isolamento lógico dos dados de cada pousada, impedindo acesso cruzado
• Autenticação por token assinado, com sessões revogáveis que expiram sozinhas
• Login em dois fatores opcional, com código de 6 dígitos enviado ao e-mail da conta
• Limitação de tentativas de acesso para conter ataques automatizados
• Registro de auditoria das ações relevantes
• Backups automáticos diários com retenção controlada, com uma cópia criptografada guardada fora do servidor
• Monitoramento contínuo de disponibilidade
• Painel administrativo do Hospedago sem acesso a dados de hóspedes ou ao faturamento das pousadas
• Chaves de integração com o governo guardadas com criptografia e nunca exibidas de novo

Nenhum sistema é totalmente imune. Em caso de incidente de segurança com risco relevante, comunicaremos os titulares e a Autoridade Nacional de Proteção de Dados nos prazos legais. Se o incidente envolver dados recebidos de uma plataforma de reservas, avisamos também essa plataforma, sem demora indevida.

Encontrou uma possível falha de segurança? Avise pelo contato@hospedago.com.br. Tratamos cada relato com prioridade.

7. Retenção

• Dados da conta: enquanto a assinatura estiver ativa.
• Após o encerramento: exclusão em até 30 dias, salvo retenção legal.
• Documentos fiscais: pelo prazo exigido pela legislação tributária.
• Contratos assinados e seus metadados: pelo prazo prescricional aplicável, para permitir comprovação.
• Registros de acesso: no mínimo 6 meses, conforme o Marco Civil da Internet.
• Ficha de hóspedes (FNRH): os dados pessoais são apagados do Hospedago 30 dias depois da saída do hóspede; a ficha oficial fica com o governo.

8. Direitos do titular

Conforme o artigo 18 da LGPD, você pode solicitar:

• Confirmação de que tratamos seus dados e acesso a eles
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos
• Portabilidade a outro fornecedor, mediante requisição expressa
• Eliminação dos dados tratados com base em consentimento
• Informação sobre com quem compartilhamos seus dados
• Revogação do consentimento, quando for essa a base legal

Os pedidos podem ser enviados para contato@hospedago.com.br e são respondidos em até 15 (quinze) dias. Podemos solicitar comprovação de identidade antes de atender, para proteger os dados contra pedidos indevidos.

9. Titulares na União Europeia (GDPR)

Se você está no Espaço Econômico Europeu, também garantimos os direitos previstos no Regulamento Geral sobre a Proteção de Dados (GDPR, Regulamento UE 2016/679):

• Acesso, retificação e apagamento dos seus dados
• Limitação e oposição ao tratamento
• Portabilidade dos dados em formato estruturado e de uso comum
• Não ser submetido a decisões exclusivamente automatizadas (o Hospedago não toma decisões desse tipo)
• Apresentar reclamação à autoridade de proteção de dados do seu país

Os pedidos usam o mesmo canal e o mesmo prazo de resposta do item anterior. Quando o pedido envolver dados de uma reserva, a pousada é a controladora e nós a auxiliamos a atendê-lo.

10. Dados de crianças e adolescentes

A Plataforma não se destina a menores de 18 anos. Quando dados de menores forem registrados como acompanhantes em uma hospedagem, cabe à pousada assegurar o consentimento específico de ao menos um dos pais ou responsável legal, nos termos do artigo 14 da LGPD.

Na ficha de hóspedes do governo (FNRH), os menores de idade são informados ligados ao responsável pela reserva, porque a lei exige o registro de todos os hóspedes.

11. Encarregado de dados

Comunicações sobre proteção de dados devem ser dirigidas ao nosso encarregado pelo e-mail contato@hospedago.com.br.

12. Alterações desta Política

Esta Política pode ser atualizada. Mudanças relevantes serão comunicadas por e-mail ou por aviso no painel, com antecedência mínima de 30 (trinta) dias. A data de atualização no topo desta página indica a versão vigente.