Em resumo
A Viajei é a plataforma onde agências de turismo publicam suas viagens e você reserva sua vaga. Para isso precisamos de dados seus — e alguns são exigidos por lei para você poder embarcar num ônibus de fretamento.
- Não vendemos seus dados nem os cedemos para publicidade de terceiros.
- Seu CPF, RG, telefone, e-mail e endereço são guardados cifrados no banco de dados.
- Uma agência não vê seus dados de outra agência. Quem nunca lhe vendeu nada vê, no máximo, seu nome e sua data de nascimento.
- Você pode pedir cópia, correção ou exclusão a qualquer momento, dentro do próprio aplicativo ou do site.
1. Quem é responsável pelos seus dados
A plataforma Viajei é operada por AutoControl, responsável por manter o sistema, a segurança e a infraestrutura.
Há dois papéis diferentes, e a distinção importa para você saber a quem recorrer:
- A agência de turismo com quem você comprou a viagem decide quais dados pedir e para que usá-los na operação dela. Ela é a controladora dos dados da sua reserva.
- A Viajei fornece o sistema e trata os dados conforme as instruções da agência, além de tratar como controladora os dados da sua conta única de viajante (o cadastro que serve para todas as agências da plataforma).
Se sua dúvida é sobre uma viagem específica, fale com a agência. Se é sobre a plataforma, seus dados de conta ou seus direitos, fale conosco pelos canais da seção 11.
2. Que dados coletamos
Da pessoa que cria a conta (o viajante titular)
Nome completo, CPF (ou CNPJ), RG, data de nascimento, telefone celular, e-mail, endereço completo e, se você informar, o @ do seu Instagram e o ponto de embarque que costuma usar. Guardamos também um histórico das alterações que você mesmo fez no cadastro.
De passageiros que você cadastra
Você pode reservar para outras pessoas. Delas coletamos nome, CPF, RG, data de nascimento, telefone, contato de emergência, necessidades especiais, restrições alimentares, ponto de embarque, assento e quarto do hotel. De passageiros menores de idade coletamos ainda o número da certidão de nascimento e os dados do responsável, conforme exige a legislação de transporte.
De quem só conversa conosco
Se você chamar uma agência pelo WhatsApp ou pelo Instagram sem comprar nada, guardamos nome, telefone, e-mail (se informado), o conteúdo das mensagens trocadas, os arquivos enviados e a origem do contato (campanha ou anúncio).
De quem trabalha na agência
Nome, e-mail, perfil de acesso, data do último acesso e os aparelhos pareados ao aplicativo da equipe. A senha nunca é guardada — apenas um resumo criptográfico que não permite recuperá-la.
Automaticamente
Endereço IP, data e hora das ações relevantes (login, aceite de contrato, pagamento) e dados técnicos do navegador. Servem para segurança e para provar quem fez o quê.
3. Para que usamos, e com que base legal
| Para quê | Base legal (LGPD) |
|---|---|
| Cadastrar passageiros, emitir o contrato, organizar o embarque e cobrar o valor | Execução de contrato (art. 7º, V) |
| Entregar à empresa de ônibus a lista de passageiros exigida pela fiscalização | Cumprimento de obrigação legal (art. 7º, II) |
| Guardar contrato assinado, comprovantes e registros de acesso | Cumprimento de obrigação legal e exercício de direitos (art. 7º, II e VI) |
| Enviar o código de acesso para você entrar na conta | Execução de contrato e segurança |
| Publicar seu depoimento sobre a viagem | Consentimento (art. 7º, I) — você autoriza, e pode revogar |
| Medir audiência do site com cookies não essenciais | Consentimento (art. 7º, I) — só depois do seu aceite |
| Prevenir fraude e abuso (bloqueio de tentativas automatizadas) | Legítimo interesse (art. 7º, IX) |
Necessidades especiais e restrições alimentares são dados sensíveis quando revelam informação de saúde ou crença. São coletados apenas para viabilizar sua participação na viagem, ficam visíveis somente para a agência responsável e são apagados automaticamente 30 dias após o fim da viagem.
4. Com quem compartilhamos
Compartilhamos apenas o necessário para a viagem acontecer, e apenas com quem está listado abaixo.
| Quem | O que recebe | Por quê |
|---|---|---|
| Empresa de ônibus | Nome, CPF, RG, certidão de nascimento (menores), data de nascimento, ponto de embarque e assento, em lista impressa ou PDF | Exigência da fiscalização de transporte de passageiros |
| Hotel / pousada | Apenas nome e a divisão dos quartos | Hospedagem |
| Provedor de pagamentos | Nome, e-mail, telefone, valor e descrição da compra | Emitir a cobrança e conciliar o pagamento |
| Meta (WhatsApp e Instagram) | Telefone, @ do perfil e o conteúdo das mensagens do atendimento | Entregar o código de acesso e permitir o atendimento por esses canais |
| Google Analytics | Dados de navegação, sem identificar você pelo nome | Medir audiência do site — só com seu consentimento |
| Cloudflare | Dados técnicos do navegador nas telas de acesso | Distinguir pessoas de robôs |
| Amazon Web Services | Hospedagem dos dados (região de São Paulo, Brasil) | Infraestrutura do sistema |
Não vendemos seus dados e não os cedemos para publicidade de terceiros. Alguns dos parceiros acima operam fora do Brasil; nesses casos a transferência se apoia nas hipóteses do art. 33 da LGPD e nas cláusulas contratuais firmadas com cada um.
5. Uma agência não vê o que é da outra
Seu cadastro de viajante é único na plataforma — você não precisa se recadastrar a cada agência. Mas cada agência só enxerga o vínculo que tem com você.
Na prática: se você comprou com a agência A e a agência B digita seu CPF para iniciar uma venda, a agência B vê apenas seu nome e sua data de nascimento. Não vê seu telefone, e-mail, CPF completo, RG, endereço nem qualquer viagem sua com a agência A. Os dados completos só aparecem para a agência depois que existe uma reserva sua com ela.
6. Como protegemos
- Cifrados no banco de dados (AES-256-GCM): telefone, CPF/CNPJ, e-mail, RG, endereço, @ do Instagram, ponto de embarque preferido, certidão de nascimento e contato de emergência dos passageiros. Um vazamento do banco entrega texto embaralhado, não seus documentos.
- Busca sem decifrar: encontrar você pelo CPF usa um índice cego, que confere sem revelar o número.
- Senhas nunca são guardadas — só um resumo criptográfico moderno (argon2id).
- Registros técnicos sem seus dados: nome, e-mail, endereço e código de acesso não aparecem nos logs; telefone aparece mascarado e documentos aparecem só como resumo.
- Tráfego cifrado de ponta a ponta (HTTPS) e armazenamento em repouso cifrado na infraestrutura.
- Trilha de auditoria de quem acessou e alterou o quê, com data, hora e endereço IP.
Nenhum sistema é infalível. Se ocorrer um incidente de segurança com risco relevante a você, comunicaremos você e a Autoridade Nacional de Proteção de Dados, como manda o art. 48 da LGPD.
7. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Contato de emergência, necessidades especiais e restrições alimentares | Apagados 30 dias após o fim da viagem, automaticamente |
| Reservas que expiraram sem virar viagem | Mesmos campos acima apagados após 180 dias |
| Contrato assinado, comprovantes de pagamento e registros fiscais | Pelo prazo exigido pela legislação civil e fiscal |
| Registros de acesso (IP, data e hora) | No mínimo 6 meses, conforme o Marco Civil da Internet |
| Cadastro da sua conta de viajante | Enquanto a conta existir; ver seção 8 para excluir |
A varredura de exclusão automática roda todos os dias e fica registrada na trilha de auditoria.
8. Seus direitos
A LGPD (art. 18) garante a você um conjunto de direitos, e a maioria deles você exerce sozinho, sem pedir a ninguém:
- Saber se tratamos seus dados e acessá-los — a tela "Privacidade e meus dados" mostra tudo o que temos.
- Receber uma cópia (portabilidade) — você pede pelo aplicativo e entregamos em até 15 dias.
- Corrigir dados incompletos ou desatualizados — direto na tela do seu perfil.
- Saber com quem compartilhamos — a mesma tela lista as agências que têm vínculo com você.
- Revogar consentimento — por exemplo, tirar do ar um depoimento que você autorizou.
- Excluir sua conta — veja o passo a passo em Exclusão de dados.
- Reclamar à ANPD se entender que seus direitos não foram atendidos.
Onde fica: no aplicativo Viajei, em Perfil → Privacidade e meus dados. No site, entre na sua conta e abra a mesma seção. Não cobramos por nenhum desses pedidos.
9. Cookies
Estritamente necessários (não pedem consentimento)
cl_sessao e cl_csrf mantêm você conectado na área do cliente e protegem contra requisições forjadas. sa_sessao/sa_csrf e gl_sessao/gl_csrf fazem o mesmo para o painel da agência e para o console interno. Duram 8 horas e os de sessão não podem ser lidos por JavaScript.
De medição (só com o seu aceite)
Cookies do Google Analytics, usados para entender quais viagens despertam mais interesse. O padrão é recusado: nada é plantado antes de você aceitar no aviso de cookies, e você pode mudar de ideia depois.
10. Crianças e adolescentes
A Viajei não é destinada a menores de 18 anos, e menores não criam conta na plataforma. Quando uma criança ou adolescente viaja, os dados dela são cadastrados pelo responsável, no melhor interesse do menor (art. 14 da LGPD), e incluem o número da certidão de nascimento porque a fiscalização de transporte exige.
Se você é responsável e quer revisar ou remover os dados de um menor sob sua guarda, use os canais da seção 11 — atendemos com prioridade.
11. Como falar conosco
Para exercer qualquer direito, tirar dúvida sobre esta política ou falar com o encarregado pelo tratamento de dados:
- Pelo aplicativo: Perfil → Privacidade e meus dados — é o caminho mais rápido e já identifica você.
- Por e-mail: contato@viajei.com.br
Respondemos em até 15 dias. Se sua solicitação for sobre uma viagem específica, indique a agência e a data — isso acelera bastante.
Podemos atualizar esta política. Quando a mudança for relevante, avisaremos pelo aplicativo ou por e-mail antes de ela valer, e a data no topo desta página sempre mostra a versão vigente.