01Quem é o controlador

O controlador dos dados pessoais tratados no observatório DunasTech e no Pipa Hoje é a DunasTech Inova Simples. É ela quem decide como e para que os dados são usados e quem responde por eles.

Controlador

DunasTech Inova Simples

CNPJ

68.629.561/0001-98

Sede

Tibau do Sul, Rio Grande do Norte

Canal do titular

leo.burgomeister@gmail.com

A DunasTech é agente de tratamento de pequeno porte e, como permite a Resolução CD/ANPD nº 2/2022, não indicou encarregado (DPO). O canal do titular recebe os pedidos de titulares e da Autoridade Nacional de Proteção de Dados (ANPD) e é atendido pela direção da empresa.

02Quais dados coletamos

Coletamos o mínimo para cada uso. O que entra depende do que você faz na plataforma:

Não pedimos dados pessoais sensíveis, como saúde, religião, origem racial ou biometria.

03Para que usamos e com qual base legal

Cada uso tem uma base legal da LGPD (art. 7º). O funcionamento da plataforma não depende do seu consentimento. Quando a base é o legítimo interesse, tratamos só o necessário e você pode se opor.

• Calcular o ISA e mostrar a saúde dos atrativos a turistas e à gestão pública do turismo

  Dados

  Avaliações

  Base legal

  Legítimo interesse (art. 7º, IX)

• Evitar abuso: uma avaliação por atrativo a cada 12 horas e teto de cadastros por sessão

  Dados

  Identificador de sessão anônima

  Base legal

  Legítimo interesse (art. 7º, IX)

• Saber quais portas de entrada funcionam (placa, roteiro, QR impresso)

  Dados

  Origem da avaliação, código do roteiro e leituras de QR

  Base legal

  Legítimo interesse (art. 7º, IX)

• Criar e manter sua conta e dar acesso ao painel de gestão

  Dados

  Dados de conta

  Base legal

  Execução de contrato (art. 7º, V)

• Publicar e moderar negócios, experiências e eventos do Pipa Hoje

  Dados

  Dados do cadastro

  Base legal

  Execução de contrato e procedimentos preliminares, a seu pedido (art. 7º, V)

• Gerar o diagnóstico por inteligência artificial para a gestão

  Dados

  Números agregados por atrativo e perguntas do gestor

  Base legal

  Legítimo interesse (art. 7º, IX) e execução de contrato (art. 7º, V)

• Acompanhar o que se publica sobre os destinos nas redes

  Dados

  Publicações públicas do Instagram

  Base legal

  Legítimo interesse, sobre dados tornados públicos pelo titular (art. 7º, IX e § 4º)

• Medir a audiência e melhorar o site

  Dados

  Estatísticas de navegação

  Base legal

  Legítimo interesse (art. 7º, IX)

• Manter a plataforma segura, guardar registros de acesso e cumprir ordens legais

  Dados

  Registros técnicos de acesso

  Base legal

  Cumprimento de obrigação legal (art. 7º, II, e Marco Civil da Internet, art. 15) e legítimo interesse

• Defender direitos em processo judicial, administrativo ou arbitral

  Dados

  O que for pertinente ao caso

  Base legal

  Exercício regular de direitos (art. 7º, VI)

04Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Eles passam por fornecedores que operam a plataforma em nosso nome (operadores, na LGPD), cada um só com o que precisa:

Supabase

Banco de dados e autenticação (contas e sessões anônimas). Servidores nos Estados Unidos.

Vercel

Hospedagem do site, registros técnicos de acesso e Web Analytics. Infraestrutura nos Estados Unidos e em outros países.

Google (Gemini API)

Gera o diagnóstico por inteligência artificial do painel de gestão. Recebe números agregados por atrativo (quantas avaliações, quantas apontaram cada problema, o ISA), dados públicos do destino e as perguntas digitadas pelo gestor. Não recebe comentários, identificadores nem dados de quem avaliou.

MapTiler e CARTO

Fornecem as imagens do mapa. Seu navegador as busca direto nesses serviços, que recebem o seu IP e a região exibida.

OSRM

Servidor público de rotas que traça o caminho de carro entre os atrativos do roteiro. Recebe as coordenadas dos atrativos e o IP do navegador, nunca a sua localização.

Apify

Busca publicações públicas do Instagram para o painel de gestão. Recebe só a hashtag pesquisada.

Também têm acesso

• Gestores públicos de turismo com acesso ao painel: veem as avaliações, os comentários e o ISA, sem o nome de quem avaliou.
• Qualquer visitante: vê o ISA e os cadastros aprovados do Pipa Hoje. Das avaliações, só a nota, as dimensões, o atrativo e a data ficam em leitura pública; o comentário e o identificador de quem avaliou, não.
• Serviços que você escolhe abrir: ao compartilhar um roteiro pelo WhatsApp ou abrir um lugar no Google Maps ou no Instagram, o conteúdo vai para esses serviços, sob as políticas deles.
• Autoridades públicas, quando a lei ou uma ordem judicial exigir.

Transferência internacional

Supabase, Vercel e Google tratam dados fora do Brasil, principalmente nos Estados Unidos. A transferência segue o art. 33 da LGPD e se apoia nas cláusulas de proteção de dados dos contratos desses fornecedores.

05Por quanto tempo guardamos

Avaliações

Enquanto o atrativo estiver no observatório, para manter a série histórica do ISA. O peso de cada avaliação no índice cai com o tempo (meia-vida de 30 dias).

Identificador de sessão anônima

Enquanto houver avaliação ou cadastro ligado a ele.

Conta

Enquanto a conta existir. Pedida a exclusão, apagamos em até 15 dias, salvo o que a lei obrigar a guardar.

Cadastros do Pipa Hoje

Enquanto o negócio ou evento estiver publicado ou em análise. Eventos passados podem ficar no histórico da agenda. Cadastro recusado ou desativado é apagado a pedido do dono, em até 15 dias.

Leituras de QR

Guardadas para a contagem histórica. Não identificam a pessoa.

Registros técnicos de acesso

Pelo prazo dos serviços da Vercel e do Supabase e pelo que a lei exigir. O Marco Civil da Internet (art. 15) prevê a guarda por 6 meses.

Publicações do Instagram no painel

Até 6 horas, só na memória do servidor.

Dados no seu aparelho

Até você limpar os dados do navegador.

Terminado o prazo, apagamos os dados ou os tornamos anônimos, de forma que não possam mais ser ligados a uma pessoa.

06Cookies e dados guardados no aparelho

• Cookie NEXT_LOCALE: guarda o idioma escolhido, por um ano.
• Armazenamento local do navegador: a sessão do Supabase (anônima ou da sua conta), os selos do passaporte, os últimos roteiros montados, o tema claro ou escuro, as etapas do tour já vistas e, no painel de gestão, as preferências do gestor.
• Uma cópia de reserva, quando a rede falha ao enviar uma avaliação ou um cadastro. Ela fica só no aparelho.

Não usamos cookies de publicidade nem de rastreamento entre sites, e o Vercel Web Analytics funciona sem cookies. Você pode apagar esses dados nas configurações do navegador: o site continua funcionando, mas os selos e o idioma escolhido se perdem.

07Seus direitos

Pela LGPD (art. 18), você pode pedir a qualquer momento, sem custo:

• confirmação de que tratamos dados seus;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não dar consentimento e o que acontece se não der;
• revogação do consentimento;
• oposição a tratamento feito com base no legítimo interesse;
• revisão de decisões tomadas só por tratamento automatizado. O ISA e a montagem de rotas avaliam lugares, não pessoas: não tomamos decisões automatizadas sobre você.

Para exercer qualquer um deles, escreva para o canal do titular. Respondemos em até 15 dias.

Como a avaliação não pede cadastro, para localizar uma avaliação sua informe o atrativo, a data aproximada e, se houver, o texto do comentário. Não pedimos documento para isso. Para dados de conta, podemos pedir que você escreva do e-mail cadastrado.

Se não ficar satisfeito com a resposta, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd

08Como protegemos os dados

Toda conexão com o site é cifrada (HTTPS). No banco, regras de acesso por linha (row level security) e por coluna limitam o que cada sessão pode ler e gravar: das avaliações, o público lê só a nota, as dimensões, o atrativo e a data; uma avaliação enviada não pode ser alterada pelo site, cadastros em análise só aparecem para o dono e para a gestão, e o papel de gestor é concedido pela equipe, nunca pelo próprio usuário. O painel e as APIs de gestão exigem login com papel de gestor, e as chaves de serviço ficam só no servidor.

Nenhum sistema é totalmente imune. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas, como determina o art. 48 da LGPD.

09Pesquisa acadêmica

A DunasTech participa de pesquisa acadêmica sobre turismo inteligente. Quando uma pesquisa coletar dados diretamente de você (entrevista, questionário ou teste de uso), ela terá um termo de consentimento próprio, apresentado antes da coleta, que explica o objetivo, os riscos, quem são os pesquisadores e como desistir. Para esses dados vale o termo específico, junto com esta política.

Dados da plataforma usados em estudos e publicações saem agregados ou anonimizados, sem identificar quem avaliou ou cadastrou.

10Crianças e adolescentes

A DunasTech não é dirigida a crianças e não pede idade. Avaliar não exige dado pessoal. Se você é responsável por uma criança e acredita que ela nos enviou dados pessoais, escreva para o canal do titular e nós os apagamos.

11Mudanças nesta política

Quando mudarmos o que coletamos ou como usamos os dados, atualizamos esta página e a data no topo. Mudanças relevantes serão avisadas no próprio site.

12Fale com a gente

Dúvidas, pedidos e reclamações sobre dados pessoais vão para o canal do titular, atendido pela própria DunasTech.