Política de Privacidade
Atualizado em: Setembro de 2026
O Khartos leva a sério a proteção dos seus dados pessoais. Esta Política de Privacidade explica quais dados coletamos, por que coletamos, como os utilizamos, com quem os compartilhamos e quais são os seus direitos como titular, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD).
1. Dados que coletamos
Coletamos os seguintes dados pessoais, organizados por categoria: (a) Dados de cadastro: nome, endereço de e-mail, senha (armazenada como hash bcrypt, nunca em texto claro). Se você optar por login social (Google), recebemos nome e e-mail do provedor de identidade — nunca recebemos sua senha desses serviços. (b) Dados de perfil (opcionais): data de nascimento, telefone, país, cidade, restrições alimentares, necessidades de acessibilidade, biografia. (c) Dados de viagem: destino, origem, datas, número de viajantes e faixa etária de crianças (nunca datas de nascimento exatas de terceiros), preferências de viagem, orçamento, preferências de acessibilidade. (d) Dados de pagamento: as transações são processadas integralmente pelo Mercado Pago. O Khartos nunca armazena número de cartão, CVV ou dados de pagamento diretos. Armazenamos apenas o identificador da transação e o status do pagamento. (e) Dados de uso: interações com o serviço, registros de geração de conteúdo por IA (com identificador anonimizado), preferências de comunicação e registros de consentimento. (f) Dados técnicos: endereço IP (truncado em logs de auditoria), tipo de navegador e cookies essenciais de sessão. O Khartos não coleta CPF nem dados biométricos.
2. Como usamos seus dados
Utilizamos seus dados pessoais para as seguintes finalidades: (a) Prestação do serviço: criar e manter sua conta, gerar guias de destino, roteiros de viagem, checklists pré-viagem e insights de logística personalizados. (b) Personalização: adaptar as recomendações de IA ao seu perfil de viagem, preferências, orçamento e necessidades de acessibilidade. (c) Comunicações: enviar e-mails relacionados à segurança da conta (redefinição de senha, alertas de sessão) e, mediante seu consentimento, comunicações sobre sua viagem ou novidades do serviço. (d) Pagamentos: processar compras de créditos e assinaturas via Mercado Pago, registrar o histórico de transações e conceder os créditos correspondentes. (e) Segurança e prevenção de fraude: aplicar limites de uso (rate limiting), detectar padrões anômalos e proteger a integridade do serviço. (f) Melhoria do serviço: analisar dados de uso agregados e anonimizados para entender padrões de utilização e aprimorar funcionalidades.
3. Base legal para o tratamento (Art. 7º da LGPD)
Cada finalidade de tratamento está amparada por uma base legal específica: (a) Execução de contrato (Art. 7º, V): prestação do serviço de planejamento de viagem, gestão de conta e processamento de pagamentos. (b) Consentimento (Art. 7º, I): uso de inteligência artificial para processar seus dados de viagem; envio de comunicações de engajamento e marketing; tratamento de dados opcionais de perfil. Para revogar o consentimento de uso de IA, entre em contato com o suporte em support@khartos.com. Os demais consentimentos (comunicações e dados de perfil) podem ser revogados a qualquer momento em Minha Conta. A revogação não prejudica o tratamento realizado anteriormente. (c) Interesse legítimo do controlador (Art. 7º, IX): segurança do serviço, prevenção de fraude, rate limiting e análise agregada de uso. (d) Cumprimento de obrigação legal (Art. 7º, II): retenção de registros de transação conforme legislação fiscal e do Marco Civil da Internet; manutenção do registro de consentimento (Art. 8º, § 2º, LGPD).
4. Processamento por Inteligência Artificial
O Khartos utiliza modelos de inteligência artificial para gerar guias de destino, roteiros, checklists e insights de logística, mediante o seu consentimento explícito. Os dados enviados são sanitizados e têm qualquer informação identificável mascarada antes do envio; seu nome, e-mail e documentos nunca são enviados aos provedores de IA. Os detalhes completos — dados processados, provedores, transferência internacional e como revogar o consentimento — estão no documento Termo de Consentimento de Uso de IA.
5. Compartilhamento de dados e sub-processadores
O Khartos não vende, aluga ou comercializa seus dados pessoais. Compartilhamos dados estritamente com os sub-processadores necessários para a operação do serviço, listados abaixo com sua finalidade e localização: (a) Provedores de processamento de linguagem natural por Inteligência Artificial (sediados majoritariamente nos Estados Unidos) — geração de conteúdo personalizado nas fases da expedição (guias, roteiros, checklists e insights de logística). Recebem apenas dados de viagem sanitizados, sem dados identificáveis. (b) Google / OAuth (EUA) — autenticação via login social (quando o usuário opta por esse método). (c) Mercado Pago (Brasil) — processamento de pagamentos. Recebe dados necessários para a transação; o Khartos nunca armazena dados de cartão. (d) Resend (EUA) — envio de e-mails transacionais e de comunicação. Recebe endereço de e-mail e conteúdo do e-mail. (e) Provedor de banco de dados gerenciado (infraestrutura em nuvem, EUA) — armazenamento dos seus dados. Ambientes de produção e staging são projetos completamente separados. (f) Provedor de cache (infraestrutura em nuvem) — cache temporário para rate limiting e resultados de IA. Dados efêmeros, com TTL máximo de 24 horas, isolados por ambiente via prefixo de chave. (g) Provedor de hospedagem (EUA) — hospedagem da aplicação web, analytics de desempenho e métricas de velocidade. Analytics coletam dados agregados de navegação, sem identificação pessoal direta. (h) Provedor de monitoramento de erros (EUA) — monitoramento de erros de aplicação. Dados pessoais identificáveis são ativamente removidos (scrubbing) antes do envio: e-mail, endereço IP, nome de usuário, cookies e tokens de autorização são excluídos de todos os eventos. (i) Provedor de mapas e geocodificação (EUA) — serviços de geocodificação e renderização de mapas. Recebe coordenadas geográficas e nomes de localidade. (j) Provedor de dados geográficos abertos (infraestrutura distribuída) — geocodificação de fallback. Recebe nomes de localidade para resolução de coordenadas. (k) Provedor de imagens de destinos (EUA) — imagens utilizadas em guias. Nenhum dado pessoal é compartilhado. (l) Provedor de dados enciclopédicos (infraestrutura distribuída) — dados factuais sobre destinos. Nenhum dado pessoal é compartilhado.
6. Armazenamento e segurança dos dados
Seus dados são armazenados em banco de dados PostgreSQL gerenciado (Neon), com infraestrutura na região us-east-2 (EUA). Adotamos as seguintes medidas de segurança: (a) Criptografia em repouso: dados sensíveis de documentos de viagem (número de passaporte, número de documento nacional) são criptografados com AES-256-GCM antes de serem armazenados. (b) Criptografia em trânsito: todas as comunicações utilizam HTTPS/TLS. (c) Senhas: armazenadas exclusivamente como hash bcrypt; nunca em texto claro. (d) Sessões: gerenciadas por tokens JWT com expiração definida. (e) Controle de acesso: cada usuário acessa apenas seus próprios dados (verificação de titularidade em todas as operações). (f) Logs de auditoria: registram ações sobre dados sensíveis, com identificador de usuário anonimizado (hash SHA-256 truncado). Endereços IP são truncados; nenhum dado pessoal identificável aparece em logs. (g) Monitoramento de erros: o Sentry recebe eventos de erro com dados pessoais identificáveis ativamente removidos (e-mail, IP, cookies, tokens).
7. Retenção de dados
Mantemos seus dados pessoais apenas pelo período necessário para as finalidades descritas nesta política: (a) Dados de conta e perfil: mantidos enquanto sua conta estiver ativa. (b) Dados de viagem (roteiros, guias, checklists): mantidos enquanto sua conta estiver ativa e o conteúdo não for excluído por você. (c) Registros de consentimento: mantidos pelo prazo legal aplicável, como evidência do consentimento prestado (Art. 8º, § 2º, LGPD). (d) Registros de transação: mantidos pelo prazo exigido pela legislação fiscal e pelo Marco Civil da Internet. (e) Logs de auditoria e de interação com IA: anonimizados (identificador de usuário substituído por hash, metadados removidos) quando a conta é excluída; mantidos em formato anonimizado para fins de segurança e melhoria do serviço. (f) Cache Redis: dados efêmeros com tempo de vida (TTL) máximo de 24 horas, eliminados automaticamente. Após a exclusão da conta, seus dados seguem o processo descrito na seção 8 (Seus Direitos).
8. Seus direitos como titular (Art. 18 da LGPD)
Você tem os seguintes direitos em relação aos seus dados pessoais, que podem ser exercidos em Minha Conta ou por contato com nossa equipe: (a) Confirmação e acesso (Art. 18, I e II): confirmar a existência de tratamento e acessar seus dados pessoais. (b) Correção (Art. 18, III): corrigir dados incompletos, inexatos ou desatualizados, diretamente em Minha Conta. (c) Anonimização, bloqueio ou eliminação (Art. 18, IV): solicitar a anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos. Essa solicitação é feita manualmente, entrando em contato com o suporte em support@khartos.com. (d) Portabilidade (Art. 18, V): solicitar a portabilidade dos seus dados a outro fornecedor de serviço. Essa solicitação é feita manualmente, entrando em contato com o suporte em support@khartos.com. (e) Eliminação de dados tratados com base em consentimento (Art. 18, VI): solicitar a exclusão dos dados pessoais tratados com base no seu consentimento. (f) Informação sobre compartilhamento (Art. 18, VII): obter informação sobre as entidades com as quais seus dados são compartilhados (veja seção 5). (g) Revogação de consentimento (Art. 18, IX): revogar o consentimento de uso de IA a qualquer momento, entrando em contato com o suporte em support@khartos.com; revogar os demais consentimentos (comunicações e dados de perfil) em Minha Conta. Processo de exclusão de conta: ao solicitar a exclusão da sua conta, o Khartos realiza imediatamente a desativação (soft-delete), tornando sua conta e dados inacessíveis. Após 30 (trinta) dias corridos, um processo automatizado executa a exclusão definitiva (hard-delete) dos seus dados pessoais, incluindo: dados de conta e perfil, viagens e conteúdo gerado, dados de documentos de viagem, dados de gamificação, sessões e tokens de acesso, dados de assinatura e compras. Logs de auditoria e de interação com IA são anonimizados (identificador de usuário substituído por hash irreversível, metadados removidos), não excluídos, para fins de segurança e conformidade. Importante: determinados registros operacionais (como logs de envio de e-mail e registros de supressão de endereço) podem não ser eliminados imediatamente no processo automatizado atual. Estamos trabalhando continuamente para ampliar a cobertura da exclusão automatizada. Caso deseje confirmar a eliminação completa dos seus dados, entre em contato conosco pelo canal indicado na seção 13.
9. Cookies e tecnologias similares
O Khartos utiliza apenas cookies estritamente necessários para o funcionamento do serviço: (a) Cookie de sessão de autenticação: gerenciado pelo framework de autenticação (Auth.js/NextAuth), necessário para manter sua sessão ativa. Expira ao final da sessão ou conforme a configuração de duração do token. (b) Cookie de preferência de idioma: armazena sua escolha de idioma (português ou inglês) para que o serviço seja exibido no idioma correto. Não utilizamos cookies de rastreamento, cookies de terceiros para publicidade, nem tecnologias de fingerprinting. O Vercel Analytics coleta métricas de desempenho agregadas sem uso de cookies de rastreamento pessoal.
10. Proteção de menores
O Khartos é destinado exclusivamente a usuários com 18 (dezoito) anos ou mais. Não coletamos intencionalmente dados de menores de 18 anos. Ao criar uma conta, você declara ter pelo menos 18 anos de idade. Caso tomemos conhecimento de que coletamos dados de menor de 18 anos, excluiremos esses dados prontamente. Na funcionalidade de planejamento de viagem, é possível informar que crianças farão parte do grupo de viajantes. Nesse caso, coletamos apenas a faixa etária (número inteiro representando a idade), nunca o nome, data de nascimento ou qualquer outro dado identificável da criança. Essa informação é utilizada exclusivamente para adaptar as recomendações de roteiro (por exemplo, sugerir atividades adequadas à faixa etária).
11. Transferência internacional de dados
Seus dados pessoais podem ser transferidos para países que não oferecem o mesmo nível de proteção de dados que o Brasil, especificamente para os Estados Unidos, onde estão localizados nossos sub-processadores de processamento por IA, hospedagem e banco de dados, monitoramento de erros, mapas e imagens, além do provedor de e-mail (Resend). Essas transferências são realizadas com base no Art. 33 da LGPD e amparadas por: (a) consentimento específico e em destaque do titular, obtido no aceite desta Política de Privacidade e no consentimento de uso de IA; e (b) cláusulas contratuais com os sub-processadores que garantem nível adequado de proteção. Os dados enviados aos provedores de IA passam pelo pipeline de proteção descrito na seção 4, que remove qualquer informação diretamente identificável antes da transferência.
12. Alterações nesta política
Reservamos o direito de atualizar esta Política de Privacidade periodicamente. Quando houver alterações substanciais, notificaremos você por meio do serviço (notificação in-app ou e-mail, a depender da natureza da mudança). O uso continuado do serviço após a notificação constitui aceite da versão atualizada. A data da última atualização é sempre indicada no topo desta página. Recomendamos que você revise esta política periodicamente.
13. Contato e encarregado (DPO)
Para exercer seus direitos como titular de dados, esclarecer dúvidas sobre esta política ou reportar incidentes relacionados à privacidade, entre em contato conosco: Khartos E-mail: support@khartos.com O encarregado pelo tratamento de dados pessoais (DPO) pode ser contatado pelo mesmo canal. Comprometemo-nos a responder solicitações de titulares no prazo de 15 (quinze) dias úteis, conforme Art. 18, § 5º, da LGPD.