Documentos legais
Política de Privacidade
Versão 1.0 — vigente a partir de setembro de 2026. Elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei 13.709/2018).
Esta Política explica quais dados pessoais a NannaiFlat coleta, por quais motivos, com quem compartilha, por quanto tempo guarda e como você pode exercer os seus direitos como titular. Ela se aplica ao site, à área de reservas e a todos os canais de atendimento da plataforma.
1. Controlador e encarregado (DPO)
O controlador dos dados pessoais tratados na plataforma é a NannaiFlat Hospedagens, que atua em Muro Alto, Ipojuca — Pernambuco. As decisões sobre o tratamento de dados são tomadas pela própria plataforma, observada a LGPD.
O encarregado pelo tratamento de dados pessoais (DPO) é o responsável por receber comunicações dos titulares e da Autoridade Nacional de Proteção de Dados (ANPD). O canal oficial é dpo@nannaiflat.com.br. Também atendemos pelo WhatsApp +55 81 98275-0722, de segunda a sexta, das 9h às 18h (horário de Brasília).
Os proprietários que anunciam unidades na plataforma são controladores independentes dos dados que recebem para viabilizar a hospedagem, e devem observar a LGPD no uso dessas informações.
2. Dados pessoais que coletamos
- Dados de cadastro e contato: nome completo, e-mail, telefone, senha (armazenada apenas como hash) e, quando aplicável, dados da conta do proprietário.
- Documento (CPF ou CNPJ): necessário para emitir a reserva em nome do titular, identificar o hóspede junto ao condomínio e cumprir obrigações legais e fiscais.
- Dados de pagamento: os dados do cartão são tokenizados diretamente no gateway de pagamento. A NannaiFlat não armazena o número completo do cartão nem o código de segurança (CVV); guardamos apenas o identificador do token, a bandeira, os quatro últimos dígitos e o status da transação.
- Dados da reserva: datas de check-in e check-out, número de hóspedes, unidade escolhida, valores pagos, histórico de alterações e cancelamentos.
- Dados de navegação e segurança: endereço IP, data e hora de acesso, identificador de sessão, tipo de dispositivo e registros de auditoria de ações sensíveis, coletados para segurança e prevenção a fraude.
- Conteúdo enviado: mensagens de atendimento, avaliações de estadia e arquivos enviados por proprietários (fotos e documentos da unidade).
Não coletamos dados pessoais sensíveis (art. 5º, II, da LGPD) e não utilizamos os seus dados para decisões automatizadas que afetem seus interesses sem revisão humana.
3. Finalidades e bases legais
Cada tratamento é realizado com uma finalidade específica e uma base legal prevista no art. 7º da LGPD:
| Dados | Finalidade | Base legal |
|---|---|---|
| Cadastro (nome, e-mail, telefone, senha) | Criar e proteger a conta, autenticar o acesso e viabilizar a reserva. | Execução de contrato (art. 7º, V) |
| CPF ou CNPJ do titular da reserva | Emitir a reserva, identificar o hóspede junto ao condomínio e cumprir exigências fiscais. | Execução de contrato e obrigação legal (art. 7º, II e V) |
| Dados de pagamento (token do cartão, status da transação) | Processar PIX e cartão, confirmar o pagamento e realizar estornos e reembolsos. | Execução de contrato (art. 7º, V) |
| Histórico de reservas e hospedagens | Gerir a estadia, apurar repasses, atender solicitações de suporte e cumprir prazos legais. | Execução de contrato e obrigação legal (art. 7º, II e V) |
| Endereço IP, data e hora de acesso, identificador de sessão e registros de auditoria | Segurança da plataforma, prevenção a fraude e a abusos, investigação de incidentes e defesa em processos. | Legítimo interesse (art. 7º, IX) e obrigação legal (art. 7º, II) |
| E-mail e telefone para comunicações de marketing | Enviar novidades, ofertas e conteúdo sobre Muro Alto e o Nannai Residence. | Consentimento (art. 7º, I), revogável a qualquer momento |
Quando o tratamento se baseia em legítimo interesse, avaliamos a necessidade e a proporcionalidade, mantendo o mínimo de dados possível e garantindo a oposição do titular. Quando se baseia em consentimento, você pode revogá-lo a qualquer momento, sem prejuízo do uso da plataforma para reservas.
4. Compartilhamento com operadores
Não vendemos dados pessoais. Compartilhamos apenas o necessário para operar a reserva, com operadores contratados que tratam dados em nosso nome e sob contrato:
| Operador | Dados compartilhados | Motivo |
|---|---|---|
| Gateway de pagamento | Nome, e-mail, CPF/CNPJ, telefone e dados da transação | Processar PIX e cartão de crédito, confirmar pagamentos, estornar e reembolsar. |
| Provedor de e-mail transacional | Nome e e-mail | Enviar confirmação de reserva, vouchers, recibos e avisos operacionais. |
| Provedor de nuvem e storage | Dados armazenados na plataforma, incluindo fotos e documentos enviados | Hospedar a aplicação, o banco de dados e os arquivos com segurança e backup. |
| Proprietário da unidade | Nome do titular, número de hóspedes e telefone de contato | Viabilizar o check-in e a hospedagem, estritamente no necessário. |
O proprietário da unidade recebe apenas os dados indispensáveis à hospedagem (nome do titular, número de hóspedes e telefone de contato) e está obrigado a utilizá-los exclusivamente para essa finalidade. Também podemos compartilhar dados para cumprir ordem judicial ou requisição de autoridade competente, sempre limitado ao que for exigido.
5. Transferência internacional de dados
Alguns operadores podem processar dados em servidores localizados fora do Brasil, por exemplo provedores de nuvem e de e-mail transacional. Nesses casos, a transferência internacional observa os arts. 33 a 36 da LGPD: contratamos apenas fornecedores com compromissos contratuais de proteção de dados, cláusulas-padrão adequadas e níveis de segurança compatíveis com esta Política. Você pode solicitar mais informações sobre os países de destino e as garantias adotadas pelo canal do DPO.
6. Retenção e eliminação
- Dados de cadastro e reserva: mantidos enquanto a conta estiver ativa e, após o encerramento, pelo prazo necessário ao cumprimento de obrigações legais, fiscais e regulatórias.
- Documentos fiscais e financeiros: guardados pelos prazos exigidos pela legislação tributária e pelo prazo prescricional aplicável.
- Registros de acesso e logs de auditoria: mantidos por período limitado, conforme exigido pelo Marco Civil da Internet (Lei 12.965/2014) e para prevenção a fraude.
- Dados de marketing: mantidos até a revogação do consentimento ou a inatividade prolongada.
- Dados para defesa: podem ser preservados enquanto necessários para o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI, e art. 16, II, da LGPD).
Encerrados os prazos, os dados são eliminados ou anonimizados de forma irreversível. Os registros financeiros da plataforma não são apagados por rotina automática, pois precisam ser preservados para auditoria.
7. Seus direitos como titular
Nos termos do art. 18 da LGPD, você pode solicitar:
- confirmação da existência de tratamento dos seus dados;
- acesso aos dados que mantemos sobre você;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor, mediante requisição expressa;
- eliminação dos dados tratados com base no consentimento;
- informação sobre entidades com as quais compartilhamos dados e sobre a possibilidade de não fornecer consentimento, com as respectivas consequências;
- revogação do consentimento a qualquer momento.
Para exercer esses direitos, envie um e-mail para dpo@nannaiflat.com.br informando o seu nome e o e-mail cadastrado. Responderemos em até 15 dias, prorrogáveis por igual período mediante justificativa. Alguns pedidos de eliminação podem ser parcialmente atendidos quando houver obrigação legal de retenção — e explicaremos o motivo na resposta. Você também pode peticionar à ANPD caso entenda que o tratamento não observa a LGPD.
8. Segurança da informação
- Criptografia em trânsito: todo o tráfego entre o seu dispositivo e a plataforma usa HTTPS/TLS, com cabeçalhos de segurança e política de conteúdo (CSP).
- Senhas: armazenadas exclusivamente como hash bcrypt (custo 12), nunca em texto legível; as senhas jamais aparecem em logs.
- Controle de acesso por papéis: os perfis hóspede, proprietário, administrador e superadministrador são aplicados no servidor. Toda consulta de proprietário é restrita às suas próprias unidades.
- Logs de auditoria: alterações críticas (preço, disponibilidade, reserva, pagamento, repasse e configurações) são registradas em trilha de auditoria com autor e data.
- Minimização e mascaramento: CPF, e-mail, telefone, tokens e senhas são mascarados nos logs; a plataforma registra o mínimo necessário para operar e investigar incidentes.
- Pagamentos: realizados por gateway especializado e certificado, com confirmação por webhook assinado (HMAC) e verificação de idempotência.
Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a ANPD em prazo razoável, com as informações previstas no art. 48 da LGPD.
9. Cookies
Utilizamos apenas cookies essenciais e tecnologias equivalentes, necessários para manter a sessão autenticada, aplicar proteção contra CSRF e registrar preferências básicas de navegação. Esses cookies são de primeira parte e não são usados para publicidade comportamental. Você pode bloqueá-los nas configurações do navegador, mas isso pode impedir o login e a conclusão de reservas. Caso passemos a usar cookies de medição ou marketing, solicitaremos o seu consentimento de forma prévia e específica.
10. Menores de idade
A plataforma é destinada a maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Reservas em que menores se hospedam devem ser feitas por responsável legal, que se responsabiliza pelas informações prestadas. Se identificarmos dados de menor coletados sem o consentimento específico do responsável, eles serão eliminados.
11. Alterações desta Política
Esta Política pode ser atualizada para refletir mudanças no produto, na legislação ou nas práticas de tratamento. Cada versão é identificada por número e data de vigência, e o histórico é mantido pela plataforma. Alterações relevantes são comunicadas pelos canais cadastrados antes de entrarem em vigor. Recomendamos revisar esta página periodicamente. Em caso de divergência entre versões, prevalece a versão vigente na data do tratamento.
12. Contato
Para dúvidas sobre esta Política ou sobre o tratamento dos seus dados, escreva para dpo@nannaiflat.com.br ou contato@nannaiflat.com.br. Consulte também os Termos de Uso e a Política de Cancelamento.
