Política de Privacidade

v1.0 — vigente

Atualizado em 2026-06-03. Esta é a versão vigente da nossa Política de Privacidade, revisada juridicamente.

1. Quem somos

A Encantrip Turismo é a operadora desta plataforma de planejamento de viagens para parques temáticos da Disney/Orlando. Razão social, endereço e CNPJ serão consolidados na v1.0 desta política, após conclusão do processo de constituição societária. Até lá, qualquer comunicação oficial deve ser endereçada ao DPO no e-mail informado na seção 7.

2. Dados que coletamos e base legal (LGPD art. 7º)

Coletamos apenas o necessário para entregar o serviço contratado e cumprir obrigações legais. Abaixo, por categoria:

Identificação e contato (nome completo, e-mail, telefone, WhatsApp) — base legal: execução de contrato (art. 7º, V) e consentimento (art. 7º, I) para canais opcionais.
Preferências de viagem (datas, perfil do grupo, parques de interesse, notas livres do roteiro) — base legal: execução de contrato.
Dados financeiros (status de pagamento, identificador Stripe, valores pagos; não armazenamos cartões) — base legal: execução de contrato e obrigação legal (art. 7º, II — Lei 9.430/96 retenção fiscal).
Histórico de conversas com IA (mensagens enviadas ao chat e ao guia virtual) — base legal: execução de contrato. Retidas por 30 dias e então deletadas automaticamente.
Telemetria de uso (cliques, páginas visitadas, performance) — base legal: consentimento via banner de cookies. Sem opt-in, nenhum evento de analytics é enviado.
Registros administrativos (audit log de operações sensíveis, ex.: mudança de plano, exclusão de conta) — base legal: legítimo interesse (art. 7º, IX — proteção contra fraude) e obrigação legal.

3. Operadores e subcontratados

Compartilhamos dados estritamente operacionais com os fornecedores abaixo, todos com políticas próprias de privacidade e LGPD/GDPR:

Supabase (banco de dados + autenticação + armazenamento de arquivos) — supabase.com/privacy.
Stripe (pagamentos e assinaturas) — stripe.com/br/privacy.
OpenAI / Anthropic / Google (geração de roteiros, chat IA, guia virtual) — sem treinamento sobre dados do cliente conforme contratos comerciais; conteúdo das conversas não é usado para fine-tuning.
PostHog (analytics de produto) — apenas com consentimento explícito; sem consentimento, o cliente JavaScript não é inicializado.
Vercel (hospedagem da aplicação) — vercel.com/legal/privacy-policy.

4. Direitos do titular (LGPD art. 18)

Você pode, a qualquer momento:

Acessar uma cópia completa dos seus dados em formato JSON via /conta/dados.
Retificar nome, telefone e preferências de viagem em /conta.
Excluir sua conta (anonimização irreversível) também em /conta/dados. Para detalhes sobre o que é apagado vs. anonimizado, ver seção 5.
Portar seus dados — o export JSON da seção acima é equivalente em conteúdo ao que está em nossos sistemas.
Opor-se ao tratamento baseado em legítimo interesse — escrever ao DPO (seção 7).

5. Retenção de dados

Diferentes categorias de dados têm prazos distintos, refletindo o equilíbrio entre direito de exclusão (LGPD) e obrigações fiscais e regulatórias:

Profile (nome, telefone, consentimentos) — mantido enquanto a conta estiver ativa. Após exclusão pelo titular, anonimizado em até 24 horas.
Histórico de chat IA — 30 dias rolling. Mensagens mais antigas são deletadas automaticamente.
Compras e roteiros pagos — preservados por 5 anos a partir da data da transação (Lei 9.430/96, art. 195). Vinculados a um identificador anonimizado quando o titular exerce direito de exclusão.
Audit log de operações — 5 anos pelo mesmo motivo fiscal/auditoria.

Saiba mais na página de gestão de dados.

6. Cookies

Usamos duas categorias de cookies. Essenciais (sessão de login, preferência de consentimento, proteção CSRF) são necessários para o serviço funcionar e não podem ser desativados. Analytics (PostHog) só são definidos após você marcar essa categoria no banner de consentimento. Atualmente não usamos cookies de marketing ou de publicidade direcionada. Caso isso mude, uma nova categoria aparecerá no banner e exigirá novo opt-in explícito.

7. Encarregado de dados (DPO)

Para exercer qualquer dos direitos da seção 4, ou em caso de dúvidas, escreva para:
plataformaencantrip@gmail.com
Tempo de resposta: até 15 dias úteis (LGPD art. 19).

8. Versão e histórico

Versão atual: v1.0 (2026-06-03). Histórico:

v0.9 — 2026-05-13 — primeira redação completa em revisão jurídica (sprint 8.5.2).
v1.0 — 2026-06-03 — versão vigente, pós-revisão jurídica (sprint 8.15).