Política de Privacidade do Travel Log

Vigente desde 23 de agosto de 2026. Versão 1.3.

Esta é a fonte da política, versionada no repositório do produto, em docs/legal/politica-de-privacidade.md. A página pública em /privacidade é este arquivo renderizado — não há segunda cópia, e por isso toda mudança de cláusula é um diff datado que qualquer pessoa pode conferir.

Esta página não pede login, de propósito. O motivo está na seção Dado de quem nunca se cadastrou.

O Travel Log recebe, por email encaminhado, confirmações de viagem — e uma confirmação de viagem é o documento mais denso de dados pessoais que a maioria das pessoas manuseia: nome completo, número de documento, localizador, itinerário, valores e, muitas vezes, tudo isso de outra pessoa que viaja junto. Esta política existe para dizer, sem rodeio, o que fazemos com isso.

Quem responde por isso, e como falar conosco

O Travel Log é operado por Abraão Coelho, pessoa natural, na qualidade de controlador dos dados descritos aqui. A ANPD dispensa o agente de pequeno porte de indicar encarregado formal (Art. 41 da LGPD e a Resolução CD/ANPD nº 2/2022), mas alguém precisa responder: Abraão Coelho acumula o papel de encarregado e é quem lê e responde o canal abaixo.

O canal é único, e é este: privacidade@logtravel.app

Ele atende qualquer titular, sem distinção:

• quem tem conta no Travel Log;
• quem não tem conta e apareceu numa confirmação encaminhada por outra pessoa;
• a Autoridade Nacional de Proteção de Dados.

O atendimento é manual e humano — não há formulário automático nem robô. O prazo é o do Art. 19 da LGPD: imediato, quando o pedido é simples, e em até 15 dias nos demais casos. Se um pedido não puder ser atendido, a resposta diz por quê.

O que tratamos, e de onde isso vem

Do seu cadastro: o email de login e a senha. A senha é guardada apenas como hash (bcrypt) — não a temos em claro, e não conseguimos recuperá-la, só redefini-la.

Do seu endereço de encaminhamento: um endereço único, com um token no nome, que você usa para encaminhar confirmações. Esse endereço é a própria credencial da ingestão: quem o conhece pode mandar email para a sua conta, e por isso ele pode ser trocado a qualquer momento, matando o anterior na hora.

Do email que você encaminha — e este é o dado denso:

• a mensagem original completa (o MIME cru: cabeçalhos, corpo e anexos);
• o texto despido, que é o corpo em texto puro somado à camada de texto dos PDFs anexados;
• os cabeçalhos que copiamos para o nosso próprio registro: remetente original, assunto e data.

Dentro desse conteúdo vêm, tipicamente, nome completo de passageiro, número de documento ou de fidelidade, localizador da reserva, itinerário com datas, horários e aeroportos, e o valor pago. Inclusive de acompanhantes.

Do que nasce daí: as suas viagens, os seus lançamentos (voos, hospedagens, gastos), o lugar congelado em cada um, o valor na moeda original e a data da cobrança, e a origem de cada campo — se veio do email, da leitura assistida ou de você.

Do que você registra sobre milhas:

• as suas contas de programa de fidelidade: o programa, o número de sócio e uma anotação livre, os dois últimos opcionais e guardados para consulta. Nada disso é lido de lugar nenhum — é você quem digita;
• o livro de pontos de cada conta: cada compra, acúmulo, transferência e ajuste que você lançar, com a data, a quantidade de pontos e o que aquilo custou em reais — é o livro que faz o app saber quanto valem os pontos que você gastou, e ele guarda só o que você digitou;
• os resgates: quantos pontos saíram, a data da emissão, quais lançamentos aquela emissão pagou e as duas parcelas de dinheiro que ela cobrou — a parte em dinheiro e as taxas —, cada uma na moeda em que foi cobrada. Este é o único dos três que pode nascer sozinho: quando a confirmação que você encaminhou diz que a passagem foi emitida com pontos, o resgate é criado a partir dela, com a conta em branco para você escolher depois.

O número de sócio e a anotação não são login e não são senha. O app não pede, não guarda e não tem onde guardar senha de programa de fidelidade nenhuma: ele não entra na sua conta do programa, não consulta saldo, não conversa com a companhia aérea nem com o hotel. Tudo o que ele sabe sobre os seus pontos é o que você escreveu aqui dentro. A anotação é linha livre, e o que você digitar nela é guardado como está — é por isso que a fronteira vai escrita no próprio formulário, ao lado do campo, e não só aqui.

Da operação da ingestão: uma linha de telemetria por email decidido, com o domínio do remetente original e o resultado do processamento. Essa linha não guarda texto, assunto nem localizador — ela serve para medir quanto do que chega conseguimos ler, e nada mais.

O que não tratamos: dados de pagamento (o produto não cobra), localização em tempo real, dados biométricos, e nenhuma categoria de dado sensível coletada de propósito. Se um dado sensível chegar dentro de uma confirmação encaminhada — uma assistência especial anotada na reserva, por exemplo —, ele é tratado como parte do texto do email e some com ele, nos prazos da seção de retenção.

Por que podemos tratar: as bases legais

Você: execução de contrato (Art. 7º, V)

Você encaminhou o email para que o app o processasse. O tratamento não é um acessório do serviço — é o serviço. Por isso a base é a execução do contrato, e não o consentimento: consentimento é revogável a qualquer momento, e revogá-lo aqui criaria o estado absurdo de uma conta que existe para uma coisa só e está proibida de fazê-la. Você continua podendo parar quando quiser — parando de encaminhar, ou apagando a conta, que é imediato e total.

Quem viaja com você: legítimo interesse (Art. 7º, IX)

O acompanhante que aparece na confirmação nunca ouviu falar do Travel Log. Não podemos pedir o consentimento dele sem antes procurá-lo, e procurá-lo já seria um tratamento a mais do dado dele — mais invasivo que o silêncio. A base é o legítimo interesse, e a LGPD exige que o teste do Art. 10 seja feito e registrado. Ele está aqui, nas quatro partes:

1. Finalidade legítima e concreta. Organizar a viagem de quem legitimamente possui aquela confirmação. Não há finalidade secundária: o dado do acompanhante não alimenta publicidade, não é vendido, não é usado para construir perfil de ninguém, não é usado para treinar modelo nenhum.

2. Necessidade e minimização. Nada do acompanhante é coletado a mais: o nome dele já vem embutido no documento que o usuário encaminhou, e o app não pede, não busca e não completa nenhum dado sobre ele. Não há campo "passageiros" no produto — o lançamento que nasce é do usuário, e o nome do terceiro só sobrevive dentro do texto do email retido, que tem prazo para morrer. É dado transitório, não acervo.

3. Balanceamento com os direitos e as expectativas do titular. Quem viaja acompanhado espera que o companheiro guarde a confirmação compartilhada — é a mesma expectativa que sustenta uma agenda de contatos ou um cliente de email comum. O impacto é baixo e circunscrito: o dado não é publicado, não é indexado, não é cruzado com outra fonte e não circula para além do que esta política declara. E ele desaparece por decurso de prazo, sem que ninguém precise pedir.

4. Salvaguardas. São as regras desta política, e não uma promessa vaga: não estruturamos o dado de terceiro; os prazos de retenção têm teto e são executados por rotina automática; o texto do email nunca aparece em log de aplicação; a transparência se cumpre por esta página, aberta sem login; e o direito de oposição e de eliminação está disponível pelo canal único, para qualquer pessoa, tenha ela conta ou não.

Dado de quem nunca se cadastrou

Esta seção é a que mais custa escrever com honestidade, então ela é a mais direta.

Você não é notificado ativamente. Se o seu nome apareceu numa confirmação que outra pessoa encaminhou para o Travel Log, nós não vamos lhe escrever para avisar. Escrever exigiria usar o seu email ou telefone — que vieram na mesma reserva — para contatar alguém que não nos procurou, e isso seria mais tratamento do seu dado, mais invasivo do que o silêncio. A transparência que lhe devemos se cumpre por esta página, pública e sem login, que é a razão de ela não pedir cadastro para ser lida.

Você não é indexado, nem perfilado. Não existe tabela de pessoas no Travel Log. O seu nome não vira registro, não vira campo, não vira chave de busca. Ele existe apenas como uma sequência de caracteres dentro do texto de um email guardado por prazo determinado.

E é por isso que não conseguimos procurar por você pelo seu nome. Prometer uma busca que o sistema não sabe fazer seria mentira. O que conseguimos fazer, e fazemos: se você nos escrever pelo canal do titular apontando um documento identificável — o localizador da reserva, o número do voo com a data, o assunto e a data do email —, nós localizamos o registro correspondente e o apagamos, e confirmamos o apagamento para você.

Você pode se opor. O direito de oposição ao tratamento fundado em legítimo interesse (Art. 18, § 2º) vale integralmente aqui, pelo mesmo canal.

Os subprocessadores: quem mais vê o seu dado

São três, e estão todos nomeados abaixo. A ordem não é alfabética nem cronológica: eles aparecem do que vê mais para o que vê menos, porque essa é a informação que interessa a você.

Uma correção que devemos dizer em voz alta, já que esta página é versionada e o histórico mostra: a primeira versão desta política nomeava apenas o provedor da leitura assistida e afirmava que não havia outra transferência internacional no produto. Isso estava errado. Os outros dois são anteriores àquela versão e não tinham sido declarados. Estão declarados agora, com a mesma verificação de termos — links e data — que fizemos para o primeiro.

1. Postmark — o email inteiro, na entrada e na saída

Quem é. O provedor que recebe os emails que você encaminha e que envia as nossas respostas. A operadora é a AC PM LLC, do grupo ActiveCampaign (endereço publicado do grupo: 1 North Dearborn Street, 5th floor, Chicago, IL 60602, Estados Unidos).

O que recebe. Este é o subprocessador que vê mais dado pessoal do que qualquer outro no produto, inclusive mais do que a leitura assistida:

• Na entrada, a mensagem inteira. O endereço de encaminhamento tem servidor de email apontado para o Postmark, então toda confirmação que você encaminha passa por lá antes de chegar a nós: cabeçalhos, envelope, corpo, anexos e o email original aninhado dentro do encaminhamento. Não há recorte, não há filtro, não há estágio local antes dele — ele é a porta.
• Na saída, o email de resultado. O seu email de login, o assunto e o corpo da resposta, que nomeia a viagem e os lançamentos que nasceram.

Para onde vai: Estados Unidos. Os servidores ficam em um centro de dados na região de Chicago e na Amazon Web Services. O provedor declara não ter plano de manter servidores na Europa, e não há residência de dados em outro país a contratar. Ele, por sua vez, usa dois subprocessadores próprios de infraestrutura, listados publicamente por ele.

Retenção: 45 dias, e é mais do que a nossa. Os termos declaram que o conteúdo, os eventos e os metadados de todas as mensagens são guardados por 45 dias por padrão — inbound e outbound. Os anexos não são acessíveis pela interface nem pela API do provedor, mas continuam dentro do MIME cru guardado, então contam nesse prazo. Registros de devolução e de reclamação de spam são guardados por prazo indeterminado; são metadados de entrega, não conteúdo.

Isso significa uma coisa que preferimos escrever do que deixar você descobrir: nós incineramos o email em 7 dias, e o provedor ainda o terá por até 45. Apagar a sua conta apaga tudo do nosso lado na hora, mas não alcança a cópia que o provedor mantém pelo prazo dele. É o mesmo tipo de exceção honesta dos backups, e está pelo mesmo motivo: dizer o contrário seria mentira.

O que o contrato garante: tratamento como operadora sob o adendo de processamento de dados do provedor, com medidas de segurança contratadas, notificação de incidente sem demora indevida e devolução ou destruição dos dados ao fim do contrato — ressalvadas as cópias de backup, que morrem no calendário de retenção dele.

Salvaguarda de transferência: ver a seção seguinte. É o único dos três destinos nos Estados Unidos para o qual existe, no contrato do provedor, o mecanismo que a autoridade brasileira exige.

2. OpenAI — a cauda que o nosso extrator não conseguiu ler

Quem é. O provedor de modelo de linguagem da leitura assistida. O Travel Log lê a confirmação em dois estágios: o primeiro é um extrator que roda na nossa própria infraestrutura e não manda nada para lugar nenhum; o segundo só entra em cena quando o primeiro falhou. A operadora é a OpenAI OpCo, LLC (1455 3rd Street, San Francisco, CA 94158, Estados Unidos), sob o Adendo de Processamento de Dados da OpenAI vigente desde 1º de janeiro de 2026.

O que recebe — e o recorte é exato:

• Sai apenas o texto despido do email que o extrator local não conseguiu ler. Só a cauda, e só quando ela existe.
• Nunca o MIME cru: nenhum cabeçalho, nenhum envelope, nenhuma fronteira de mensagem.
• Nunca anexo binário: nenhum PDF, nenhuma imagem, nenhum arquivo codificado atravessa essa porta. Do PDF sai, no máximo, a camada de texto que ele já carregava.
• Nunca todos os emails: o que o extrator local conseguiu ler nunca chega ao provedor. O desenho em dois estágios existe por minimização, não por desempenho.
• O texto vai truncado num teto de tamanho configurado, e não aparece em log — nem em sucesso, nem em erro, nem em nova tentativa.

Para onde vai: Estados Unidos.

Retenção: até 30 dias. Entradas e saídas da API podem ser retidas por até 30 dias para prestação do serviço e detecção de abuso, e depois são removidas dos sistemas do provedor, salvo obrigação legal de retenção. O endpoint que usamos não guarda estado de aplicação por padrão.

O que mais os termos garantem:

• Não-treinamento. Os dados enviados pela API não são usados para treinar ou melhorar os modelos da OpenAI, salvo se o cliente optar explicitamente por compartilhá-los. Nós não optamos, e o nosso código não liga nenhum mecanismo de compartilhamento ou de feedback.
• Sem venda e sem compartilhamento, e tratamento somente conforme as nossas instruções, com dever de notificar incidente sem demora indevida e de devolver ou excluir os dados ao fim do contrato.

Não-treinamento e retenção declarada são critério eliminatório de escolha deste provedor, não preferência: sem elas, um provedor está fora antes de qualquer conversa sobre preço ou qualidade.

Salvaguarda de transferência: ver a seção seguinte. É onde está a lacuna que declaramos.

3. Photon, operado pela komoot — a consulta da busca de lugar

Quem é. O serviço que responde ao campo de busca de lugar, quando você procura um hotel, um restaurante ou um endereço para anexar a um lançamento. É um serviço público e gratuito sobre dados do OpenStreetMap, operado pela komoot GmbH (Kienberger Allee 4, D-12529 Schönefeld, Alemanha).

O que recebe: toda consulta de busca de lugar — o texto que você digitou — e, quando a chamada traz um par de coordenadas de aproximação para ordenar os resultados por proximidade, esse par. Mais nada.

O que não recebe, e vale dizer:

• Nunca conteúdo de email. A busca de lugar é uma tela de formulário; ela não toca a sua caixa de entrada nem o texto de confirmação nenhuma.
• Nunca o seu endereço de rede. A consulta é feita pelo nosso servidor, não pelo seu navegador — quem o serviço vê é a nossa infraestrutura, não você.
• Nenhum identificador seu: sem cookie, sem email, sem token de conta. A consulta chega solta.

Para onde vai: Alemanha, portanto dentro da União Europeia.

Retenção: o provedor não a declara, e é isto que temos a dizer. Este é um serviço público e gratuito, e por isso não existe do lado dele um adendo de processamento de dados, nem termos de serviço além de um pedido de uso moderado, nem política de privacidade que cubra esta API — a política de privacidade da empresa que o opera trata do aplicativo dela e não menciona este serviço. Consequência, dita sem rodeio: não temos contrato que garanta prazo de retenção das consultas, que obrigue o provedor a tratá-las apenas conforme as nossas instruções, ou que o obrigue a nos comunicar um incidente. Não vamos escrever um prazo que ninguém nos prometeu.

O que reduz o tamanho disso é o recorte acima — o que atravessa essa porta é uma linha de texto sem nome, sem conta e sem o seu endereço de rede. O que resolve de verdade é hospedar o serviço na nossa própria infraestrutura, o que elimina o subprocessador e a transferência; é o caminho que pretendemos seguir, e quando acontecer será um diff datado nesta página.

Salvaguarda de transferência: ver a seção seguinte. É a única das três que está fechada.

A verificação de cada um destes três, com os links e a data em que cada página foi aberta, está publicada no repositório, em docs/research/provedor-email-postmark.md, docs/research/provedor-llm-openai.md e docs/research/provedor-busca-de-lugar-photon.md.

Transferência internacional

São três destinos, e o estado de cada um é diferente. Nenhum deles é opcional para o funcionamento do produto, e nenhum deles está escondido.

Alemanha: fechada por decisão de adequação

As consultas de busca de lugar vão para a Alemanha, e a União Europeia é destino com decisão de adequação reconhecida pela Resolução CD/ANPD nº 32, de 26 de janeiro de 2026 — a primeira que a autoridade brasileira emitiu. Transferir para lá se apoia no Art. 33, I da LGPD e não depende de cláusula contratual nenhuma.

Isso resolve a legalidade da transferência, e só ela. Não resolve a ausência de contrato de operador com aquele provedor, que a seção anterior declara com todas as letras. As duas coisas são distintas, e não misturamos uma com a outra para parecer melhor.

Estados Unidos, Postmark: fechada pelas cláusulas-padrão da ANPD

O adendo de processamento de dados vigente do provedor de email oferece expressamente, entre os seus mecanismos de transferência, as cláusulas-padrão contratuais aprovadas pela ANPD na Resolução CD/ANPD nº 19, de 23 de agosto de 2024 — que são exatamente o instrumento que o Art. 33 pede para uma transferência que sai do Brasil. Os demais mecanismos que aquele adendo oferece (o acordo entre a União Europeia e os Estados Unidos, as cláusulas da Comissão Europeia e o adendo do Reino Unido) não serviriam aqui; o ramo brasileiro, serve.

Qual das duas versões nos rege, e por quê. Aquele adendo tem duas: a vigente, que traz as cláusulas da ANPD e vale para contas abertas a partir de 10 de dezembro de 2024, e a anterior, de 2022, que não as traz e continua valendo para contas mais antigas. A nossa conta foi criada em 14 de agosto de 2026, para este produto — portanto depois do corte, e portanto sob a versão vigente. A transferência do email para os Estados Unidos tem salvaguarda do Art. 33, e esta linha diz desde quando.

Estados Unidos, OpenAI: a salvaguarda não está firmada

Esta é a lacuna, e preferimos declará-la a escrever o contrário.

O contrato que temos hoje com aquela operadora oferece as cláusulas-padrão da Comissão Europeia e o adendo do Reino Unido. Nenhum dos dois é o mecanismo que a Resolução CD/ANPD nº 19, de 23 de agosto de 2024, exige para uma transferência que sai do Brasil: essa resolução aprovou cláusulas-padrão contratuais próprias (Anexo II), que devem ser adotadas sem modificação, e o prazo de adequação venceu em 23 de agosto de 2025. A decisão de adequação entre o Brasil e a União Europeia, de janeiro de 2026, também não alcança este caso, porque o destino é os Estados Unidos e não a União Europeia.

Em 16 de agosto de 2026, portanto, esta transferência está em processo de adequação. O caminho que estamos seguindo é firmar com a operadora o adendo de processamento acrescido das cláusulas-padrão contratuais da ANPD, adotadas sem modificação. Enquanto isso não estiver assinado, esta seção fica exatamente como está — e quando estiver, a mudança será um diff datado neste mesmo arquivo, que você pode conferir.

Se isso é inaceitável para você, os direitos da seção seguinte valem hoje: você pode se opor ao tratamento e pode apagar a conta, e nos dois casos o efeito é imediato.

Por quanto tempo guardamos

Nada aqui é guardado "até segunda ordem". Cada coisa tem prazo, e o prazo é executado por rotina, não por lembrete.

O email que virou lançamento: 7 dias. Assim que a confirmação é lida com sucesso, a mensagem original completa — cabeçalhos, corpo e todos os anexos — é incinerada 7 dias depois do processamento. O que sobrevive é o lançamento que nasceu dela: voo, hospedagem, gasto. O email não.

O email que não virou lançamento: 90 dias. Quando não conseguimos ler a confirmação, ela vai para uma fila que você vê no seu Perfil, para que você crie o lançamento à mão com o email ao lado. Dessa fila guardamos o texto despido e os cabeçalhos — não o MIME cru, que morre no mesmo prazo de 7 dias —, e o item inteiro é apagado em 90 dias, contados do recebimento. O prazo é dito no email de resultado e na própria fila. A incineração é silenciosa: não mandamos lembrete, porque um lembrete seria mais um tratamento a justificar. Você pode apagar qualquer item da fila antes disso, a qualquer momento.

Os backups: ciclo de 30 dias, e esta é a exceção honesta. Um backup de banco não é editável seletivamente — não existe apagar uma linha de dentro de um arquivo de restauração. Na prática, então: o apagamento é imediato no banco vivo, e as cópias de segurança que ainda contêm o dado expiram no ciclo de 30 dias. E há uma regra que fecha o buraco: um backup restaurado obriga a re-executar os apagamentos posteriores à data dele. Restaurar não é ressuscitar o que foi apagado; o procedimento de restauração inclui esse passo.

O que está com o provedor de email: 45 dias, e é a segunda exceção honesta. Todo email que você encaminha passa pelo Postmark antes de existir para nós, e a nossa resposta sai por ele — e ele guarda o conteúdo das mensagens que transporta por 45 dias por padrão, por decisão dele e fora do nosso alcance. Some daí, portanto, uma consequência incômoda: nos primeiros 45 dias, o email que nós já incineramos em 7 dias ainda existe do lado dele, e apagar a sua conta não alcança essa cópia. O detalhe está na seção dos subprocessadores.

A sua conta: enquanto ela existir. Quando você a apaga, ela vai embora inteira e na hora — veja a seção seguinte.

Os seus direitos, e como exercê-los

O Art. 18 da LGPD lhe dá, entre outros, o direito de confirmar que há tratamento, de acessar os dados, de corrigir dado incompleto ou desatualizado, de pedir anonimização, bloqueio ou eliminação, de pedir a portabilidade, de saber com quem compartilhamos, e de se opor a tratamento fundado em legítimo interesse. Todos valem aqui, e todos passam pelo mesmo canal: privacidade@logtravel.app.

Dois deles já são gesto no produto, sem precisar escrever para ninguém:

Exportar. Você baixa um arquivo .zip com um JSON por contexto: o seu perfil, o seu endereço de encaminhamento e as suas cidades-base; as viagens com as suas fronteiras; os lançamentos com o lugar congelado, o valor na moeda original, a data de cobrança, a origem de cada campo e a marca de conferência; as suas contas de fidelidade — programa, número de sócio e anotação — com o livro de pontos inteiro de cada uma, lançamento a lançamento, e os seus resgates, com os pontos, as duas parcelas de dinheiro na moeda em que foram cobradas e a divisão entre as jornadas do bilhete; o texto despido e os cabeçalhos de todos os emails que ainda existirem — não só os que estão na fila, mas também os que já viraram lançamento e ainda não completaram os 7 dias; e as amostras de ingestão, que são a medida sem conteúdo descrita mais acima. Os emails que já foram incinerados não estão lá porque não existem mais, como a seção de retenção diz. O .zip traz um arquivo explicando o que não está nele, e por quê. JSON é formato de dados, e é o que o Art. 18 pede; formato bonito virá depois.

Apagar a conta. É total e imediato. Alcança o seu cadastro, todas as suas viagens e lançamentos, as suas contas de fidelidade com o número de sócio, a anotação e o livro de pontos inteiro, os seus resgates com as duas parcelas de dinheiro, os emails retidos e a mensagem original de cada um, a telemetria vinculável à sua conta e o seu endereço de encaminhamento — cujo token morre na hora, de modo que email que chegar depois é descartado em silêncio. A confirmação é forte de propósito (você digita, não clica), porque não há arrependimento: não existe conta "desativada", não existe lixeira, não existe janela para voltar atrás. A única sobrevida é a dos backups, pelos 30 dias da seção anterior.

Se você não tem conta e apareceu na confirmação de outra pessoa, os seus direitos são os mesmos, e o caminho está na seção Dado de quem nunca se cadastrou.

Você também pode, a qualquer momento, apresentar reclamação à Autoridade Nacional de Proteção de Dados.

Cookies e rastreamento

Um cookie, e só um: o de sessão. Ele guarda o identificador assinado da sua sessão para que você continue conectado entre uma tela e outra. Ele é httponly, tem escopo SameSite=Lax, e some quando você sai.

Não há analytics de terceiro. Nenhum Google Analytics, nenhum pixel de rede social, nenhum mapa de calor, nenhuma etiqueta de publicidade, nenhum rastreador. Não há cookie de marketing, não há perfilamento comportamental e não há venda ou compartilhamento de dado com anunciante — não porque seja difícil, mas porque não é o negócio. Se isso mudar um dia, muda antes aqui, e com antecedência.

Os mapas exibidos no produto usam dados do OpenStreetMap, atribuídos na própria tela.

Segurança e comunicação de incidente

O que fazemos para proteger: tráfego cifrado em trânsito, senha guardada apenas como hash, acesso administrativo restrito ao controlador, e o princípio que atravessa o produto inteiro — o dado que não existe não vaza, que é a razão dos prazos curtos da seção de retenção e do recorte estreito do que sai para cada subprocessador — recorte que é estreito onde pode ser, e que na porta do email, por natureza dela, é a mensagem inteira, como aquela seção diz. O texto dos seus emails nunca é escrito em log de aplicação.

Nenhuma dessas medidas torna um incidente impossível. Por isso, o compromisso do Art. 48 da LGPD: se ocorrer incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos a ANPD e você em prazo razoável, dizendo o que aconteceu, qual dado foi atingido, o que já fizemos e o que você pode fazer. Não vamos esperar certeza absoluta para avisar, e não vamos chamar de "acesso não autorizado a sistemas" o que for vazamento de dado pessoal.

Mudanças nesta política

Esta política é versionada no repositório do produto. Toda alteração é um commit datado, com o texto antigo e o novo lado a lado no histórico — não há como mudar uma cláusula em silêncio.

Mudança material — base legal nova, subprocessador novo, prazo de retenção esticado — sobe a versão no topo desta página e é comunicada aos usuários com conta pelo email do cadastro. Correção de redação que não muda o que fazemos com o dado entra no histórico e não vira email.

Dúvida, pedido, reclamação ou correção desta página: privacidade@logtravel.app.