Política de Privacidade

Esta Política de Privacidade descreve como a Amaze Travel (“nós”, “Amaze”, “Controlador”) coleta, utiliza, armazena, compartilha e protege dados pessoais (a) por meio do aplicativo móvel Amaze — Área do Cliente (“Aplicativo”), disponível para iOS e Android, e (b) no controle de acesso das viagens, feito pela equipe da Amaze nos pontos de controle com o aplicativo de uso interno Amaze Operações. A parte (b) vale para todos os passageiros da viagem, inclusive os que não usam o Aplicativo.

Este documento foi elaborado em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) e com as exigências de privacidade das lojas de aplicativos (Apple App Store e Google Play).

Ao criar uma conta ou usar o Aplicativo, você declara ter lido e compreendido esta Política. Ler esta Política não é o mesmo que dar consentimento. Quando um tratamento depende da sua autorização, como o reconhecimento facial no controle de acesso, pedimos essa autorização separadamente, em tela própria, e você pode recusar sem prejuízo dos serviços contratados.

Proteção contratual desde a origem. Os dados pessoais do responsável e do passageiro são protegidos por contrato desde o momento da contratação da viagem. O contrato comercial firmado com a Amaze Travel — assinado pelo responsável legal antes mesmo de o Aplicativo entrar em uso — inclui cláusulas de proteção de dados, finalidade, base legal, compartilhamento com prestadores e direitos do titular, e o Aplicativo estende essa relação ao ambiente móvel. Não há coleta de dados pessoais no Aplicativo sem que exista um contrato de viagem dando suporte. O controle de acesso nas viagens (seção 3.10) é informado por esta Política, inclusive para quem assinou o contrato antes de ele existir, e o reconhecimento facial nesse controle depende de autorização própria (seção 3.4).

Conta principal do cliente. O cadastro do responsável nos sistemas internos da Amaze Travel é a conta principal do cliente — onde ficam o contrato assinado, o histórico de compras, as parcelas, as notas fiscais e os documentos. O login do responsável no Aplicativo é validado contra essa mesma conta principal: não é uma “conta nova” criada pelo app, mas sim a extensão móvel da relação comercial já existente.

1. Quem somos

Controlador dos dados pessoais:
AMAZE AGENCIA DE VIAGENS E EVENTOS LTDA. (“Amaze Travel”)
CNPJ: 16.970.894/0001-82
Endereço: Pç. Charles Miller, 152 — Pacaembu — São Paulo/SP — CEP 01234-010
E-mail de contato: contato@amazetravel.com.br
Encarregado de Proteção de Dados (DPO): contato@amazetravel.com.br

2. Para quem é este Aplicativo

O Amaze — Área do Cliente é destinado a duas categorias de usuários:

Passageiros que contrataram uma viagem com a Amaze Travel, maiores de 18 anos ou autorizados por um responsável legal.
Responsáveis legais (geralmente pais ou tutores) que acompanham viagens de passageiros menores de idade contratadas com a Amaze Travel.

O Aplicativo não é direcionado a crianças menores de 13 anos para uso autônomo. Quando um passageiro menor de idade utiliza o Aplicativo, ele o faz com autorização e supervisão do responsável legal, que possui conta vinculada e pode visualizar os dados do passageiro. Tratamos os dados de menores conforme o art. 14 da LGPD, sempre no seu melhor interesse, com base nas hipóteses legais descritas na seção 5. A seção 14 explica quem decide pelo passageiro menor quando o tratamento depende de autorização.

Passageiros que não usam o Aplicativo. No controle de acesso das viagens (seção 3.10), tratamos dados de todos os passageiros da viagem, usem ou não o Aplicativo. Para eles, esta Política vale no que diz respeito a esse controle.

3. Dados pessoais que tratamos

3.1. Dados de cadastro e identificação

Nome completo do passageiro e do responsável
CPF
RG e órgão expedidor
Data de nascimento
Gênero
Número de passaporte e validade
Endereço de e-mail
Telefone celular
Senha (armazenada apenas em forma de hash, nunca em texto)

O CPF é utilizado durante o cadastro para localizar a venda do passageiro em nossos sistemas internos e confirmar que ele é, de fato, um cliente contratante. Não criamos contas no Aplicativo sem vínculo prévio com uma viagem contratada.

3.2. Dados de saúde (categoria sensível)

Para garantir a segurança do passageiro durante a viagem, a ficha médica preenchida pelo responsável ou pelo passageiro inclui:

Tipo sanguíneo
Alergias (alimentares, medicamentosas, ambientais) e descrição
Histórico de convulsões e tratamento em uso
Doenças crônicas
Medicamentos autorizados pelo responsável para uso durante a viagem (febre, dor de cabeça, dor de garganta, diarreia, náusea) e respectivas dosagens
Observações médicas adicionais
Contato de emergência (nome, telefone, grau de parentesco)

Esses dados são classificados como sensíveis pelo art. 5º, II da LGPD. O tratamento ocorre exclusivamente com base no consentimento específico do titular ou do responsável legal e na necessidade de proteção da vida e da incolumidade física do passageiro (art. 11, II, “e” da LGPD).

3.3. Foto de perfil (selfie)

Durante o cadastro pedimos uma foto do rosto do passageiro (selfie). Ela é usada para as seguintes finalidades:

Identificação visual durante a viagem: a equipe de monitores e fornecedores precisa reconhecer o passageiro em embarques, pontos de encontro, atividades e nos pontos de controle de acesso (entrada de eventos, saída e volta ao hotel). Para isso, uma miniatura da foto fica nos aparelhos da equipe, em banco de dados cifrado, e é apagada no fim da viagem (seção 9.9). A equipe apenas olha a foto para conferir quem é a pessoa: isso não é reconhecimento facial.
Encontrar suas fotos da viagem automaticamente: o AmazePhotos é o serviço de fotografia profissional da Amaze Travel — fotógrafos contratados que fotografam o passageiro durante a viagem. Para você encontrar suas fotos sem ter que procurar uma por uma entre milhares, a Amaze utiliza a tecnologia da plataforma parceira PhotoShared (provedor técnico de identificação automática de fotos por reconhecimento facial). Sua selfie é comparada com as fotos publicadas pelos fotógrafos do AmazePhotos e aquelas em que você aparece entram na sua galeria pessoal no app.
Reconhecimento facial no controle de acesso: somente se você, ou o seu responsável legal, autorizar em tela própria (seção 3.4).

A foto de perfil é pedida no cadastro do passageiro no Aplicativo, porque a equipe precisa reconhecer o passageiro durante a viagem. O uso dela pelo reconhecimento facial, para encontrar as suas fotos, tem como base o consentimento (seção 5), que pode ser retirado a qualquer momento. O uso dela para identificar você pelo rosto no controle de acesso é separado e só acontece com autorização própria (seção 3.4). Para trocar a foto, fale com o suporte. Para retirar o consentimento, peça a remoção da foto pelo canal de privacidade: sem a foto, a equipe identifica você por documento, pulseira ou QR de acesso, mas a entrega automática das suas fotos da viagem deixa de funcionar.

3.4. Reconhecimento facial

Por se tratar de um dado sensível, queremos que você entenda exatamente o que acontece com a sua imagem. Esta seção explica como funciona o reconhecimento facial no aplicativo Amaze e, igualmente importante, o que ele não faz.

O reconhecimento facial da Amaze tem dois usos, tratados de forma separada:

encontrar as suas fotos da viagem (AmazePhotos), a partir da selfie do cadastro;
identificar você no controle de acesso da viagem, somente se você, ou o seu responsável legal se você for menor de idade, autorizar em um termo próprio, separado do cadastro da selfie.

Os dois usos partem da mesma selfie e do mesmo vetor numérico do rosto (embedding). Não criamos um segundo cadastro do seu rosto.

Como funciona nas fotos da viagem

Você envia uma selfie no cadastro do aplicativo.
A foto é guardada nos nossos sistemas e usada como referência para encontrar você nas fotos profissionais que os fotógrafos da viagem enviam.
Quando uma foto da viagem é publicada, comparamos automaticamente os rostos da foto com a sua selfie de referência. Se houver correspondência, a foto entra na sua galeria pessoal dentro do app.
O resultado fica visível apenas para você (e para o seu responsável, no caso de passageiro menor de idade).

Como funciona no controle de acesso (só com autorização)

Nos pontos de controle da viagem (entrada de festas e passeios, saída e volta ao hotel), um membro da equipe da Amaze pode tirar uma foto do seu rosto com um aparelho da Amaze, de frente e com o seu conhecimento. Essa identificação só funciona com internet: a comparação nunca é feita dentro do aparelho.
A foto vai pela internet para o nosso sistema, que pede à PhotoShared o vetor numérico do rosto e o compara, nos sistemas da Amaze, com os vetores de todos os passageiros que autorizaram e que eram esperados naquele ponto de controle, você incluído. A busca nunca é feita na base inteira nem entre quem não autorizou.
Se a correspondência for segura, a passagem é registrada na hora, e a equipe vê a foto de perfil da pessoa encontrada para conferir e pode desfazer o registro se não for a mesma pessoa. Se não houver certeza, a equipe vê até 3 fotos de perfil de passageiros que autorizaram, sem a pontuação, e confirma qual é a pessoa, ou usa a pulseira, o QR de acesso ou o documento. Por isso, a sua foto de perfil pode aparecer para a equipe quando outra pessoa for fotografada. O rosto não reconhecido nunca impede, sozinho, a sua entrada.
A foto tirada no ponto de controle e o vetor dela não são guardados pela Amaze: são usados só para a comparação. A foto não vai para a galeria do aparelho, é apagada dele assim que é enviada e não é gravada nos nossos servidores. Na PhotoShared, a foto e o vetor são apagados em até 10 minutos.
Guardamos o resultado da comparação, sem a foto e sem o vetor: o registro de passagem mostra que a identificação foi feita pelo rosto, e quem o sistema apontou e o grau de semelhança ficam nos registros de auditoria do controle de acesso (seção 8). Enquanto o sistema estiver em teste, esse resultado também é usado para medir a precisão dele.

Pessoas que não autorizaram

A equipe não sabe de antemão quem autorizou. Se tirar a foto de alguém que não autorizou, o sistema calcula o vetor dessa foto para fazer a comparação, mas não encontra essa pessoa, porque só procura entre quem autorizou. A pessoa não é identificada, e a tentativa não gera nenhum registro que identifique quem foi fotografado. A foto e o vetor não são guardados pela Amaze e são apagados da PhotoShared em até 10 minutos. Só usamos o reconhecimento facial em pontos de controle com aviso visível, e qualquer pessoa pode pedir para ser identificada pela pulseira, pelo QR ou por documento. Concordar na hora com a equipe não vale como autorização: o rosto só identifica quem autorizou antes, pelos canais descritos abaixo.

Para que NÃO usamos o reconhecimento facial

Não é usado para login. Sua entrada no aplicativo é sempre por e-mail e senha. Não substituímos sua senha pelo seu rosto.
Não é Face ID nem Touch ID. Nada da biometria guardada no seu celular é acessado pelo aplicativo.
Não fazemos vigilância. Não usamos câmeras de segurança nem filmagens, não identificamos pessoas à distância ou sem que saibam e não acompanhamos o seu deslocamento. O rosto só é usado nas suas fotos da viagem e, se você autorizar, no momento em que você passa por um ponto de controle, diante da equipe. Nas fotos da viagem, você só vê as fotos em que você aparece.
Não usamos para marketing nem publicidade. Sua imagem não vai para redes sociais, não vira material de campanha e não é vendida a terceiros.
Não cruzamos com bancos públicos. Sua selfie não é comparada com nenhum banco de imagens externo, governamental, policial ou de redes sociais.
Uma pessoa da equipe sempre confere. No controle de acesso, a equipe confere a sua foto de perfil e pode desfazer na hora um registro feito pelo rosto, e você pode pedir a revisão de qualquer identificação (seção 13).

Onde a imagem fica guardada e por quanto tempo

A selfie e o vetor facial ficam guardados nos sistemas da Amaze (seção 7). A PhotoShared processa os rostos em nome da Amaze, seguindo as nossas instruções (seção 6.3). Nos aparelhos da equipe fica apenas uma miniatura da sua foto de perfil, para a conferência visual (seção 9.9). Nenhum vetor facial é guardado nos aparelhos.

Retenção: nos sistemas da Amaze, a selfie e o vetor numérico de reconhecimento facial (embedding) ficam guardados pelo período da viagem e por 3 meses após o término da viagem. Esse prazo é necessário para que o passageiro continue acessando suas fotos no app depois de voltar para casa (publicação tardia de fotos pelos fotógrafos, downloads e revisão). Depois desses 3 meses, a selfie e o embedding são apagados automaticamente dos sistemas da Amaze, por uma rotina diária, sem que você precise pedir. A cópia da selfie que a PhotoShared usa para entregar as suas fotos é apagada por ela no prazo previsto no contrato de proteção de dados com a Amaze. A autorização para o controle de acesso vale só para a viagem em que foi dada e termina sozinha no fim dela. O registro da sua decisão (autorizou, não autorizou ou revogou; quando; por quem; versão do texto) é guardado como comprovante por até 5 anos após a viagem.

Consentimento, revogação e exclusão

O uso da selfie para encontrar as suas fotos e o uso no controle de acesso são tratados separadamente: o controle de acesso pelo rosto exige uma autorização própria. Para ele, pedimos a sua decisão em tela própria, com as opções “Autorizo” e “Não autorizo” com o mesmo destaque. Não autorizar não muda nada nos serviços contratados. No caso de passageiro menor de idade, quem decide é o responsável legal, que declara essa condição no momento da decisão. Você pode, a qualquer momento:

Revogar a autorização do controle de acesso no app (em Perfil), pelo link de revogação do e-mail de confirmação (para quem decidiu pelo link recebido por e-mail) ou pelo e-mail contato@amazetravel.com.br. A revogação vale imediatamente para os próximos controles;
Pedir a troca da foto de perfil ao suporte — a imagem anterior é substituída;
Solicitar a remoção da foto e o encerramento do reconhecimento facial sem precisar excluir a conta toda, entrando em contato com a equipe de privacidade;
Solicitar a exclusão completa da conta pela página Excluir Conta, o que também remove a foto dos sistemas da Amaze.

Após uma solicitação de remoção, a imagem e a referência usada para identificação automática são apagadas dos sistemas da Amaze (a cópia da PhotoShared segue o contrato descrito acima), novas fotos da viagem deixarão de ser associadas a você automaticamente e o seu rosto deixa de poder identificar você no controle de acesso.

3.5. Dados da sua viagem

Quando você utiliza o aplicativo, exibimos informações da viagem contratada com a Amaze Travel:

Nome do pacote, destino, datas e status
Programação dia a dia
Hotel, quarto e divisão de quartos
Voos e status do voo
Serviços contratados e opcionais adquiridos
Valores pagos, parcelas e saldo pendente

3.6. Localização

Durante o período da viagem, podemos coletar a localização do seu celular para:

Enviar avisos importantes baseados no local — alerta de ponto de encontro, mudanças de roteiro;
Permitir que a equipe de monitores localize rapidamente um passageiro em situação de emergência;
Personalizar a experiência durante o passeio, exibindo a programação do dia de acordo com a sua localização.

A coleta de localização só ocorre após o seu consentimento explícito, na própria janela do sistema do seu celular. Você pode revogar essa permissão a qualquer momento nas configurações do seu aparelho. Os pontos de localização são apagados automaticamente após 15 dias.

A localização do celular é diferente dos registros de passagem nos pontos de controle (seção 3.10). Esses registros não usam GPS, não dependem desta permissão e seguem prazo próprio.

3.7. Dados de pagamento

Quando você compra opcionais físicos da viagem pelo Aplicativo (passeios, ingressos, transfers e atividades complementares), os pagamentos são processados pela conta comercial da Amaze Travel no provedor brasileiro PagBank. Processamos os seguintes dados junto com esse provedor:

Nome do pagador, e-mail e CPF
Dados do cartão (número, validade, código de segurança e nome do portador) — são protegidos no momento da digitação e nunca ficam armazenados em nossos sistemas ou no seu celular
Valor da compra, número de parcelas e descrição
Status do pagamento
Para PIX: QR Code temporário gerado pelo parceiro de pagamento

O cartão é digitado dentro do próprio aplicativo (sem redirecionar para outro site) e os dados completos do cartão não passam pelos nossos servidores: eles vão direto e protegidos para a instituição financeira responsável pela cobrança. Guardamos apenas a informação suficiente para identificar a transação (status, parcelas, bandeira, últimos dígitos quando aplicável).

3.8. Notificações push

Guardamos um identificador do seu aparelho para conseguir enviar avisos sobre a sua viagem, mudanças de programação, lembretes operacionais e confirmações de pedido. Você pode desativar as notificações a qualquer momento nas configurações do seu celular.

3.9. Informações básicas sobre o seu aparelho

Para garantir que o aplicativo funcione corretamente e para resolver problemas com o seu suporte:

Modelo e fabricante do aparelho
Sistema operacional (Android ou iOS) e versão
Versão do aplicativo instalada
Idioma e fuso horário

3.10. Controle de acesso na viagem: registros de passagem, pulseira e QR de acesso

Para a segurança dos passageiros e a organização da viagem, a equipe da Amaze confere quem entra e sai dos eventos (festas, passeios, refeições, praia) e quem sai e volta ao hotel. Isso vale para todos os passageiros da viagem, tenham ou não o Aplicativo.

O que registramos em cada passagem: quem passou; o ponto de controle, com o nome e o tipo (por exemplo, “Festa 12/10” ou “Saída para o mercado”); se foi entrada ou saída; data e hora; a forma de identificação (pulseira, QR de acesso, reconhecimento facial ou busca pelo nome); o aparelho e o nome do membro da equipe que registrou; nas saídas do hotel, o destino informado; e, quando a entrada é negada ou liberada como exceção, o motivo e o supervisor responsável. Quando o rosto é usado, o resultado da comparação fica nos registros de auditoria (seção 3.4).

Como a pessoa é identificada:

Pulseira: entregue na chegada ao hotel. Ela não guarda dados pessoais, só um código gravado pelo fabricante, que ligamos ao passageiro no nosso sistema durante a viagem. A leitura é feita encostando o celular da equipe (NFC) ou digitando o número impresso. A pulseira não tem GPS e não emite sinal sozinha.
QR de acesso: exibido no Aplicativo do passageiro. O código muda a cada poucos segundos e é assinado digitalmente, o que impede o uso de uma captura de tela antiga. Ele contém só um identificador técnico, sem nome nem documento.
Reconhecimento facial: só para quem autorizou (seção 3.4).
Busca pelo nome, com conferência de documento, quando os outros meios não funcionarem.

O que a equipe vê no aparelho: nome, miniatura da foto de perfil, hotel e quarto, e se o passageiro tem direito àquele evento (por exemplo, se comprou o opcional). A ficha médica, os documentos e os dados de pagamento não vão para os aparelhos da equipe.

Saídas para atendimento de saúde: quando um passageiro sai do hotel para uma farmácia ou um hospital, o registro dessa saída (o ponto de controle ou o destino informado) pode revelar essa informação, e ele também chega aos aparelhos da equipe da viagem. Tratamos esse registro como dado sensível, só para proteger a vida e a integridade física do passageiro (art. 11, II, “e”, da LGPD), e ele segue o mesmo prazo dos demais registros de passagem.

Para que usamos: saber quem tem direito a cada evento, quem está nele e quem não foi, e quem saiu do hotel e ainda não voltou, para agir rápido se alguém não retornar.

O que os registros de passagem mostram: só por qual ponto de controle a pessoa passou, quando e em que sentido e, nas saídas do hotel, o destino informado. Não usamos GPS para isso e não acompanhamos ninguém entre um ponto de controle e outro.

Base legal: legítimo interesse da Amaze e dos próprios passageiros na segurança e na organização da viagem, execução do contrato de viagem e proteção da incolumidade física (seção 5). Por isso não pedimos consentimento para esses registros: eles fazem parte do controle de segurança da viagem. Você pode se opor a esse tratamento (seção 10), e um resumo da avaliação de legítimo interesse pode ser pedido pelo e-mail contato@amazetravel.com.br.

Prazo: o prazo-alvo é de 180 dias após o fim da viagem. Depois disso, os registros são anonimizados e mantemos só contagens (seção 8).

4. Como utilizamos os dados

Utilizamos os dados pessoais para as seguintes finalidades:

Execução do contrato de viagem: exibir informações da viagem contratada, permitir acesso à programação, hotel, voos, documentos e serviços inclusos.
Cadastro e identificação: confirmar que o passageiro tem viagem contratada, manter ficha de cadastro e ficha médica atualizadas, autenticar o usuário no aplicativo.
Segurança da viagem: permitir que monitores e equipe de campo tenham acesso a informações médicas críticas (alergias, medicações, contato de emergência) caso necessário durante o passeio.
Controle de acesso e segurança da viagem: identificar os passageiros nos pontos de controle, verificar o direito de acesso aos eventos e serviços contratados e saber quem está em cada evento e quem saiu do hotel e ainda não voltou (seção 3.10). Com autorização específica, usar o reconhecimento facial nessa identificação (seção 3.4).
Comunicação operacional: envio de notificações push, lembretes de viagem, avisos de alterações, comunicados de emergência.
Compras de opcionais físicos da viagem: processar pagamentos, emitir confirmações, registrar pedidos e contabilizá-los na sua conta.
Fotos da viagem: identificar automaticamente o passageiro nas fotos profissionais por meio da selfie de perfil.
Suporte ao cliente: atender solicitações, dúvidas e reclamações, com histórico de interações.
Cumprimento legal e fiscal: emissão de notas fiscais, cumprimento de obrigações regulatórias, defesa em processos administrativos ou judiciais.
Melhoria do produto: medição de uso das telas (Google Firebase Analytics) e diagnóstico de erros, vinculados à conta e sem publicidade (seção 12).

5. Base legal do tratamento

Tratamos seus dados pessoais com fundamento em uma ou mais das hipóteses do art. 7º e art. 11 da LGPD:

Execução de contrato (art. 7º, V) — dados necessários para a prestação dos serviços de viagem contratados, inclusive a identificação visual do passageiro pela equipe e a verificação, nos pontos de controle, de que ele tem direito ao evento ou serviço.
Cumprimento de obrigação legal ou regulatória (art. 7º, II) — emissão fiscal, registro de hóspedes, obrigações trabalhistas e tributárias.
Consentimento (art. 7º, I e art. 11, I) — para coleta de localização, selfie e vetor facial para encontrar as suas fotos, reconhecimento facial no controle de acesso (autorização própria, por viagem), dados de saúde (ficha médica) e envio de notificações.
Proteção da vida e da incolumidade física (art. 7º, VII e art. 11, II, “e”) — ficha médica, contato de emergência, localização em situações de risco, identificação de quem saiu do hotel e não voltou e registros de saída do hotel para atendimento de saúde (seção 3.10).
Legítimo interesse (art. 7º, IX e art. 10) — segurança da plataforma, prevenção a fraudes, melhorias do produto e registros de passagem nos pontos de controle, com a exibição da foto de perfil à equipe, com avaliação documentada e observado o melhor interesse de crianças e adolescentes.

Para passageiros menores de idade, todas as bases acima são aplicadas no seu melhor interesse (art. 14). A seção 14 explica quem decide pelo passageiro menor quando a base é o consentimento.

6. Com quem compartilhamos seus dados

Não vendemos dados pessoais. Compartilhamos apenas com prestadores de serviço estritamente necessários, cada um com uma finalidade específica e sob contrato de proteção de dados:

6.1. Sistemas internos da Amaze Travel

Os dados da sua viagem (pacote, datas, hotel, voos, programação) e o seu cadastro como cliente são mantidos no sistema interno da Amaze Travel e exibidos no aplicativo de forma sincronizada.

6.2. Provedor de hospedagem e banco de dados

Usamos provedores estabelecidos de hospedagem em nuvem para guardar seus dados de forma segura e para o aplicativo conseguir comunicar-se com nossos sistemas. Esses parceiros não usam seus dados para fins próprios — só armazenam em nosso nome.

Também usamos provedores de envio de e-mail (por exemplo, para mandar ao responsável o link de autorização), de medição de uso (Google Firebase Analytics) e de monitoramento de erros dos aplicativos (Google Firebase Crashlytics e Sentry). Eles recebem só o necessário para essas funções, e esses dados não são usados para publicidade.

6.3. PhotoShared: fotos da viagem e reconhecimento facial

O AmazePhotos é o serviço de fotografia profissional da Amaze Travel (fotógrafos contratados que produzem as fotos durante a viagem). A tecnologia que hospeda essas fotos e faz a identificação automática de quem aparece em cada uma é fornecida por uma plataforma parceira: a PhotoShared. A PhotoShared atua como operadora: trata os dados em nome da Amaze, segue as nossas instruções e está sob contrato de proteção de dados. Compartilhamos com a PhotoShared:

para entregar as suas fotos: nome, e-mail e foto de perfil (selfie);
para o controle de acesso: a foto tirada no ponto de controle, de qualquer pessoa fotografada, só para calcular o vetor do rosto. A comparação é feita nos sistemas da Amaze, e só quem autorizou pode ser identificado (seção 3.4). A PhotoShared só pode manter essa foto e o vetor dela pelo tempo do processamento, em até 10 minutos, e não pode usá-los para nenhuma outra finalidade, inclusive para treinar ou testar sistemas.

6.4. Provedor de pagamento

Quando você compra opcionais físicos da viagem no Aplicativo, os dados do pagamento são processados pela conta comercial da Amaze Travel no PagBank. O PagBank possui sua própria política de privacidade, disponível no site oficial.

6.5. Serviços de notificação da Apple e do Google

Para que as notificações cheguem ao seu celular, usamos os serviços oficiais de notificação da Apple (iPhones) e do Google (Android). Eles recebem apenas o identificador do seu aparelho e o conteúdo da mensagem.

6.6. Autoridades

Podemos compartilhar dados pessoais com autoridades policiais, judiciais ou administrativas quando exigido por lei, ordem judicial ou para proteger direitos, propriedade e segurança nossos, dos passageiros ou de terceiros.

6.7. Equipe da viagem

A equipe da Amaze nos pontos de controle usa aparelhos da própria Amaze. Cada aparelho recebe, guardados de forma cifrada, a lista de todos os passageiros da viagem (nome, hotel, quarto e direito aos eventos) e os registros de passagem da viagem (seção 3.10). As miniaturas das fotos de perfil são só as dos passageiros dos hotéis sob responsabilidade do aparelho ou, nos aparelhos da coordenação, de toda a viagem (seção 9.9). O responsável legal pode pedir os registros de passagem do passageiro menor sob sua responsabilidade (seção 10).

7. Transferência internacional de dados

Alguns dos nossos prestadores de serviço estão sediados fora do Brasil. Sempre que houver transferência internacional, exigimos garantias contratuais adequadas e tratamos os dados apenas em jurisdições que oferecem grau de proteção compatível com o exigido pela LGPD, conforme art. 33 da Lei.

Os bancos de dados e os servidores do Aplicativo e do controle de acesso ficam no Brasil (São Paulo). O reconhecimento facial é processado pela PhotoShared, e os provedores de envio de e-mail, de medição de uso (Google Firebase Analytics) e de monitoramento de erros podem estar fora do Brasil. Quando houver processamento fora do Brasil, adotamos as garantias do art. 33 da LGPD e da regulamentação da ANPD.

8. Por quanto tempo guardamos seus dados

Dados de cadastro e da viagem: enquanto a conta estiver ativa e por até 5 anos após o encerramento da viagem, para fins fiscais e regulatórios (Código Civil e Receita Federal).
Ficha médica: mantida pelo período da viagem e por até 5 anos após, para defesa em eventuais procedimentos administrativos ou judiciais.
Histórico de pagamentos: mantido por 5 anos conforme a legislação fiscal. Os dados completos do cartão não ficam armazenados.
Localização: apagada automaticamente em até 15 dias.
Identificador para notificações: mantido enquanto o aplicativo estiver instalado; removido ao sair da conta ou desinstalar o app.
Foto de perfil (selfie) e embedding de reconhecimento facial: mantidos nos sistemas da Amaze pelo período da viagem e por 3 meses após o término da viagem, e depois apagados automaticamente. Antes desse prazo, são removidos dos sistemas da Amaze ao trocar a foto, ao solicitar remoção específica ou ao excluir a conta. A cópia da selfie mantida pela PhotoShared é apagada por ela no prazo previsto no contrato de proteção de dados com a Amaze.
Foto tirada no ponto de controle para o reconhecimento facial: não é guardada pela Amaze. É apagada do aparelho da equipe assim que é enviada, não é gravada nos nossos servidores e é apagada da PhotoShared em até 10 minutos.
Registro da sua decisão sobre o reconhecimento facial no controle de acesso (comprovante): até 5 anos após a viagem.
Registros de passagem nos pontos de controle (entradas, saídas, forma de identificação, vínculo da pulseira e, enquanto o sistema estiver em teste, as medições de precisão do reconhecimento facial, sem foto nem vetor): prazo-alvo de 180 dias após o fim da viagem. Depois disso, são anonimizados, e mantemos só contagens por evento. Registros ligados a uma ocorrência ou reclamação em andamento ficam guardados até o caso ser encerrado.
Chave do QR de acesso: revogada ao sair da conta. Prazo-alvo: revogada também no fim da viagem e apagada em até 30 dias.
Dados nos aparelhos da equipe (lista de passageiros da viagem, miniaturas das fotos dos hotéis do aparelho ou, nos aparelhos da coordenação, de toda a viagem, e registros de passagem): apagados no fim da viagem, após 72 horas sem sincronizar ou quando o aparelho é bloqueado.
Registros de auditoria do controle de acesso (quem consultou ou alterou dados e o resultado de cada identificação pelo rosto: quem o sistema apontou e o grau de semelhança, sem foto nem vetor): prazo-alvo de 2 anos.
Conversas da equipe (área do monitor): mensagem apagada some do aplicativo na hora e o conteúdo fica guardado por até 90 dias, visível só para a Operação, como evidência de denúncias — depois é anonimizado (exceto com denúncia em análise). A mídia de mensagem apagada e a de grupo excluído é removida em até 30 dias; todas as mídias dos grupos são removidas 180 dias após o fim da viagem. Ao excluir a conta, as mensagens da pessoa são anonimizadas. Detalhes nas Regras das Conversas.

Sobre os prazos-alvo: são os prazos que adotamos para esses dados do controle de acesso. As rotinas que os apagam ou anonimizam automaticamente ainda estão sendo implantadas.

Depois da exclusão da conta: alguns dados não dependem da conta no Aplicativo e continuam guardados pelos prazos acima: os registros de passagem nos pontos de controle, o comprovante da decisão sobre o reconhecimento facial e os registros de auditoria do controle de acesso, além dos dados que a lei obriga a guardar.

9. Segurança da informação

Adotamos medidas técnicas, organizacionais e administrativas compatíveis com as melhores práticas do setor financeiro e de tecnologia. O conjunto de tecnologias abaixo é o mesmo padrão usado por bancos, fintechs e grandes plataformas de comércio eletrônico:

9.1. Criptografia em trânsito

Toda comunicação entre o aplicativo, o seu navegador e os nossos servidores ocorre por HTTPS com TLS 1.2 ou superior (preferência por TLS 1.3), garantindo confidencialidade e integridade dos dados em trânsito.
As APIs internas exigem TLS, e conexões não criptografadas são rejeitadas no servidor.

9.2. Criptografia em repouso

Bancos de dados e armazenamento de arquivos (incluindo fotos de perfil) utilizam criptografia AES-256 em repouso, aplicada pelo provedor de infraestrutura.
Cópias de segurança (backups) também são criptografadas com AES-256 e protegidas por chaves gerenciadas separadamente dos dados de produção.
As miniaturas das fotos de perfil usadas pela equipe nos pontos de controle ficam em armazenamento privado. Só o nosso sistema acessa esses arquivos, por links temporários.

9.3. Proteção de senhas

As senhas são guardadas com o algoritmo de hash bcrypt, com fator de custo elevado, tornando inviável a recuperação da senha original mesmo em caso de comprometimento do banco. Nem o nosso time tem acesso à sua senha em texto.
Erros e tentativas de login são limitados para conter ataques de força bruta.

9.4. Sessões e autenticação

A sessão do aplicativo usa JSON Web Tokens (JWT) assinados criptograficamente com HMAC-SHA256, com tempo de vida curto e renovação automática por meio de refresh tokens.
A sessão expira após um período de inatividade. Ao sair da conta ou desinstalar o aplicativo, a sessão é encerrada e os tokens são invalidados.

9.5. Isolamento entre contas

O banco de dados aplica regras de Row-Level Security (RLS) em nível de linha — cada consulta filtra automaticamente apenas os registros pertencentes ao usuário autenticado. Passageiros não enxergam dados de outros passageiros; responsáveis enxergam apenas o que diz respeito ao passageiro sob sua responsabilidade.

9.6. Dados de cartão de crédito

Os dados completos do cartão (número, validade, CVV) são criptografados dentro do próprio aplicativo, antes de saírem do seu aparelho, usando o SDK oficial do PagBank (criptografia assimétrica RSA-OAEP com chave pública dinâmica fornecida pelo gateway, sob certificação PCI DSS).
A Amaze Travel nunca recebe nem armazena o número do cartão, validade ou CVV — apenas o token de transação retornado pela instituição financeira.

9.7. Acessos internos e auditoria

Acessos da equipe interna ao sistema exigem autenticação em duas etapas (2FA) e seguem o princípio do menor privilégio.
Todos os acessos a dados sensíveis ficam registrados em logs de auditoria, conforme exigência do Marco Civil da Internet (Lei nº 12.965/2014).
Cópias de segurança regulares, com acesso restrito a um número limitado de pessoas autorizadas.

9.8. O que a Amaze Travel NÃO faz

Para sua segurança, lembre-se:

A Amaze Travel nunca solicita dados bancários, número de cartão de crédito, código de segurança ou senhas por e-mail, SMS ou WhatsApp.
A Amaze Travel não envia links de cobrança fora dos canais oficiais (aplicativo e site www.amazetravel.com.br).
Se receber esse tipo de mensagem em nome da Amaze, desconsidere e encaminhe para privacidade@amazetravel.com.br.

Apesar de todos os esforços, nenhum sistema é 100% imune a falhas. Em caso de incidente de segurança que represente risco relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados conforme exigência legal (art. 48 da LGPD).

9.9. Aparelhos da equipe nos pontos de controle

Cada aparelho é cadastrado e liberado por um administrador com autenticação em duas etapas, vinculado a uma viagem e, em regra, a hotéis específicos (os aparelhos da coordenação cobrem a viagem inteira), e pode ser bloqueado a distância.
O aplicativo de operações exige o bloqueio de tela do aparelho e pede nova autenticação após poucos minutos sem uso nas áreas com dados de passageiros.
Os dados ficam em banco de dados cifrado no aparelho: nome, hotel, quarto e direito aos eventos de todos os passageiros da viagem, os registros de passagem da viagem e as miniaturas das fotos dos passageiros dos hotéis do aparelho (ou de toda a viagem, nos aparelhos da coordenação). Não há documentos, ficha médica, dados de pagamento nem vetores faciais. Os registros de saída do hotel podem indicar uma saída para atendimento de saúde (seção 3.10).
Os dados do aparelho são apagados no fim da viagem, após 72 horas sem sincronizar ou quando o aparelho é bloqueado.
A tela de histórico individual de um passageiro só funciona com internet, por aparelho autorizado, e cada consulta fica registrada em auditoria.

10. Seus direitos como titular

A LGPD assegura uma série de direitos sobre seus dados pessoais. Você pode, a qualquer momento, solicitar:

Confirmação da existência de tratamento;
Acesso aos dados que mantemos sobre você;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
Portabilidade dos dados a outro fornecedor de serviço, observados os segredos comercial e industrial;
Eliminação dos dados pessoais tratados com base no seu consentimento (exceto quando houver obrigação legal de retenção);
Informação sobre as entidades públicas e privadas com as quais compartilhamos seus dados;
Informação sobre a possibilidade de não fornecer consentimento e as consequências;
Revogação do consentimento;
Oposição a tratamentos feitos sem consentimento, como os registros de passagem, caso você entenda que descumprem a LGPD (art. 18, §2º);
Revisão de decisões tomadas com base em tratamento automatizado, inclusive a identificação pelo rosto no controle de acesso (art. 20 e seção 13).

O responsável legal pode exercer esses direitos em nome do passageiro menor, inclusive pedir os registros de passagem dele.

Para exclusão da conta, o caminho principal é o botão dentro do próprio aplicativo (Perfil → Excluir minha conta) — a exclusão é imediata. Os dados que continuam guardados depois da exclusão estão na seção 8. Detalhes em Excluir Conta. Para os demais direitos (acesso, correção, portabilidade etc.), envie um e-mail para contato@amazetravel.com.br. Responderemos em até 15 dias.

11. Cookies e tecnologias similares

O aplicativo não utiliza cookies. Apenas guardamos no próprio celular as informações necessárias para manter você logado entre uma abertura e outra do app e a chave do seu QR de acesso. Esse armazenamento é apagado ao sair da conta ou ao desinstalar o aplicativo.

12. Publicidade e rastreamento

O aplicativo não exibe anúncios, não vende dados a redes publicitárias e não rastreia você entre aplicativos ou sites de outras empresas. Para entender quais telas são usadas e corrigir falhas, usamos ferramentas de medição de uso e de diagnóstico de erros (Google Firebase Analytics e Crashlytics, e Sentry). Esses dados ficam vinculados à sua conta no Aplicativo e não são usados para publicidade.

13. Decisões automatizadas

Usamos processamento automatizado nos seguintes casos:

Reconhecimento facial das fotos da viagem — para agrupar as fotos em que você aparece com base na sua foto de perfil. Se houver alguma identificação incorreta (uma foto que não é sua, ou uma foto sua que ficou de fora), você pode pedir a correção pelo canal de suporte.
Reconhecimento facial no controle de acesso (se autorizado) — o sistema compara a foto com os vetores de todos os passageiros que autorizaram e são esperados no ponto de controle. Com correspondência segura, a passagem é registrada na hora, e a equipe confere a foto de perfil e pode desfazer o registro se não for a mesma pessoa. Se não houver certeza, a equipe escolhe entre até 3 fotos de perfil de passageiros que autorizaram, ou identifica por outro meio. O rosto não reconhecido nunca impede, sozinho, a entrada.
Verificação do direito de acesso — o aplicativo da equipe indica, a partir dos serviços contratados, se o passageiro tem direito ao evento. Casos de dúvida ou divergência são decididos pela equipe, e as liberações excepcionais ficam registradas.
Análise antifraude pelo parceiro de pagamento — realizada pelo PagBank conforme sua política própria.

Você pode pedir a revisão de qualquer decisão tomada com base nesses tratamentos pelo e-mail contato@amazetravel.com.br (art. 20 da LGPD).

14. Crianças e adolescentes

Tratamos os dados de passageiros menores de 18 anos sempre no seu melhor interesse (art. 14 da LGPD). As bases legais seguem a seção 5.

No reconhecimento facial para controle de acesso, a autorização do passageiro menor é dada pelo responsável legal, de forma específica e destacada: o responsável declara essa condição ao decidir e decide separadamente por cada passageiro. O passageiro menor não pode autorizar sozinho.

A ficha médica pode ser preenchida e atualizada pelo responsável, que tem conta vinculada à do passageiro. A selfie é enviada no cadastro do próprio passageiro no Aplicativo, e o responsável pode, a qualquer momento, pedir a remoção dela e o fim do uso para encontrar as fotos (seção 3.4).

O responsável pode, a qualquer momento, revogar autorizações, pedir acesso aos dados do passageiro, inclusive aos registros de passagem, e pedir a exclusão pelos canais indicados.

15. Alterações desta Política

Podemos atualizar esta Política periodicamente. A data de vigência no topo da página será atualizada e, em caso de mudanças relevantes, notificaremos por meio do aplicativo, por e-mail ou por outros canais adequados. O uso contínuo do Aplicativo após a publicação representa sua ciência das alterações.

Se mudarmos a finalidade de um tratamento que depende do seu consentimento, avisaremos antes e você poderá revogar (art. 9º, §2º). Quando a mudança exige nova autorização, como aconteceu com o reconhecimento facial no controle de acesso, pedimos essa autorização em tela própria.

16. Contato e Encarregado de Proteção de Dados (DPO)

Em caso de dúvidas, reclamações ou para o exercício de direitos, utilize o canal único de atendimento da Amaze Travel:

E-mail oficial: contato@amazetravel.com.br — atende solicitações de privacidade (LGPD), exclusão de conta, contato com o DPO e atendimento ao cliente.
Razão social: AMAZE AGENCIA DE VIAGENS E EVENTOS LTDA.
CNPJ: 16.970.894/0001-82
Endereço: Pç. Charles Miller, 152 — Pacaembu — São Paulo/SP — CEP 01234-010

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.