Política de privacidade

1. Quem responde pelos seus dados

O Lalafly é um buscador de disponibilidade de passagens-prêmio nos programas de milhas brasileiros. O controlador dos dados pessoais tratados aqui é TMK Consultoria Ltda.

Pedidos de titular, dúvidas e reclamações sobre privacidade vão para [email protected]: é também por esse endereço que se fala com o encarregado pelo tratamento de dados.

2. O que coletamos

Você pode buscar, abrir uma rota e ver o histórico de milhas sem informar nome, e-mail ou telefone. Dados técnicos de navegação e de segurança podem ser tratados conforme as seções abaixo.

Nos casos em que há coleta, ela é esta:

• Alertas. Guardamos o canal escolhido (e-mail ou seu webhook), a rota, as datas e os filtros do alerta, como cabine, programa e limite de milhas. Cada alerta recebe um código secreto, incluído no link de gerenciamento enviado a você.
• Conta de visitante (opcional). Guardamos seu e-mail. Com o Google, recebemos também nome e foto do perfil. Com a Apple, recebemos o identificador da sua conta, o nome quando fornecido e seu e-mail ou endereço privado de encaminhamento, conforme sua escolha. Guardamos os tokens necessários para manter e revogar a autorização do provedor. Você também pode entrar por link enviado por e-mail ou criar uma senha. Neste último caso, guardamos uma representação protegida da senha (hash scrypt), nunca a senha em texto legível. O cadastro com senha exige confirmação do e-mail.
• Sessão. Um cookie assinado mantém você logado por até 30 dias. O registro da sessão pode incluir endereço IP e identificação do navegador para segurança do acesso.
• Endereço IP. Usado para limitar abuso (quantas buscas ao vivo por hora, quantos alertas por dispositivo). Os contadores de limite ficam na memória do servidor enquanto o limite vale. O endereço também pode constar nos registros de sessão de quem entra na conta. Registros de acesso da hospedagem seguem a regra do provedor, descrita abaixo. Também usamos a cidade aproximada informada pelo Cloudflare a partir do IP para sugerir a origem e ordenar rotas e ofertas na página inicial. Essa sugestão não usa GPS, não pede acesso à localização do aparelho e não é gravada na sua conta. Você pode trocar a origem na busca.
• Buscas ao vivo. A rota e as datas pedidas ficam registradas como uma tarefa de coleta, para controle de fila e custo. Essa tarefa pode ser associada à conta para controle de uso. Como a busca ao vivo é de quem tem conta, a busca em si (rota, datas, programas escolhidos e o resultado da coleta) fica registrada na sua conta, junto com o extrato de créditos: é o que permite ao suporte responder "minha busca não funcionou". Sem IP, e some junto com a conta quando você pede exclusão.
• Aviso de busca concluída (só se você pedir). A busca ao vivo leva alguns minutos, então o painel oferece um botão para avisarmos por e-mail quando ela terminar. Se você clicar, guardamos na própria busca quando você pediu e quando o aviso saiu: nada além disso, e o endereço é o da sua conta. É uma única mensagem, sobre aquela busca, e ela sai igual quando a busca não encontra nada: não existe série para cancelar. Sem clicar no botão, nenhum e-mail é enviado.
• Acompanhamento da sua busca. Depois de uma busca ao vivo feita com conta, nós voltamos à mesma rota por um período limitado, informado no acompanhamento e enviamos e-mail só se o preço melhorar: ficar mais barato em uma comparação equivalente, ou aparecer voo onde uma consulta concluída não encontrou disponibilidade. Os avisos são agrupados, têm limite por pessoa e terminam automaticamente. Guardamos, ligado à sua conta, o preço que aquela busca encontrou (é contra ele que a comparação é feita) e quantas vezes já olhamos. Todo e-mail traz um link que desliga os avisos de todas as suas buscas, inclusive as futuras. Você pode reativá-los na sua conta. O aviso mostra uma prévia; detalhes e links de emissão exigem uma assinatura.
• Créditos de busca ao vivo. A busca ao vivo é de quem tem conta e consome créditos, então a sua conta tem um saldo e um extrato. Cada linha do extrato guarda o que foi gasto e a rota da busca (ex.: "GRU→LIS"): é o que permite responder "para onde foi meu crédito". Fica ligado à conta, sem IP, e some junto com ela quando você pede exclusão.
• Compras no aplicativo para iPhone. Guardamos, ligados à sua conta Lalafly, os identificadores do pedido e da transação Apple, o plano ou passe comprado, valor, moeda, datas e estado da compra, renovação e reembolso. Para passes, guardamos também a rota escolhida. Enviamos à Apple um identificador do pedido para vincular a compra à sua conta e verificamos as transações com a Apple para liberar e manter seu acesso.
• Compras no aplicativo para Android (Google Play). Guardamos, ligados à sua conta Lalafly, o token de compra do Google Play, o produto e o plano assinados, o estado da assinatura, as datas de início e de fim do acesso, se a renovação automática está ligada, o número do último pedido, valor e moeda. Para vincular a compra à sua conta, o aplicativo envia ao Google o identificador da sua conta Lalafly (um código interno, sem nome nem e-mail). Nosso servidor confere cada compra na API do Google Play (Google Play Developer API), confirma o recebimento dela ao Google e recebe do Google os avisos de renovação, cancelamento, suspensão e reembolso, para liberar e manter seu acesso.
• Notificações no celular, se você ligar. Quando você ativa os avisos no aplicativo, no iPhone ou no Android, guardamos o token de notificação do aparelho (o endereço que o sistema do celular cria para receber avisos), se o aparelho é iPhone ou Android e a frequência dos avisos que você escolher. O token fica preso à sessão em que você entrou: sem ativar os avisos, ele não existe, e ele sai quando você desliga os avisos, sai da conta ou exclui a conta. O envio passa pela Apple (Apple Push Notification service) no iPhone e pelo Google (Firebase Cloud Messaging) no Android, que recebem o token e o texto do aviso. O texto de cada aviso enviado fica guardado na sua conta e sai junto com ela.
• Registro de uso. Guardamos as páginas que você abre e o que você faz nelas (por exemplo: buscar, tocar em um botão, abrir o pagamento, baixar o aplicativo), com a hora, se foi no site ou no aplicativo e o tipo de aparelho em poucas palavras (como "Safari · iPhone"). É o que permite ao suporte entender "o que aconteceu" quando algo não funciona, e a nós decidir o que melhorar. Sem IP, sem o texto que você digita e sem os códigos secretos de links (alerta, recuperação de senha, pagamento). O aparelho é reconhecido por um cookie nosso com um número aleatório (descrito na seção sobre cookies). Quando você entra na conta, o trecho recente feito sem login naquele aparelho passa a fazer parte da sua conta. O registro também vale nas versões do aplicativo para iPhone que mostram o site dentro do app (até a 1.x). No aplicativo nativo, registramos eventos de produto, como visualizar uma tarifa completa, salvar uma busca e criar um alerta. Quando você está conectado, esses eventos ficam associados à sua conta. Não registramos os códigos secretos dos links.
• Buscas recentes e preferências, com conta. Quem entra na conta tem as últimas buscas do formulário (rota, datas, cabine e filtros), o tema claro/escuro, os preços de milheiro que configurou e a vista da página de rota guardados na conta, para aparecerem no aplicativo e em qualquer navegador em que entrar. Ao entrar, o que foi buscado antes, sem login, naquele aparelho passa para a conta. Ao sair, as buscas recentes saem do aparelho. Somem junto com a conta quando você pede exclusão.
• Plugin do Lalafly no ChatGPT, se você usar. Sem entrar na conta, o plugin responde só com preços já salvos, e guardamos o que cada pergunta pediu (rota, datas, programas, teto de milhas) sem ligar a nenhuma conta. Se você entrar com a sua conta, o ChatGPT recebe um token de acesso, renovado enquanto você usa e válido por até 30 dias sem uso. Guardamos o token, a data e o que cada pergunta pediu. As buscas por data que você pedir no ChatGPT funcionam como as do site: usam o saldo do seu plano e ficam nas suas buscas. O ChatGPT recebe seu nome e e-mail, para saber qual conta está ligada, os programas de milhas e os bancos de pontos que você marcou em "Onde estão as suas milhas?" e os resultados que as perguntas pedem. Para desligar, remova o plugin no ChatGPT; os tokens somem junto com a conta.
• Medição de audiência. Via Google Tag Manager, descrito na seção sobre cookies.

O que não coletamos, em nenhuma hipótese: senhas em texto legível, dados completos do cartão (processados pela Stripe no site, pela Apple nas compras do aplicativo para iPhone e pelo Google Play nas compras do aplicativo para Android) nem suas credenciais dos programas de milhas. O Lalafly nunca pede usuário e senha de Smiles, LATAM Pass, Azul ou qualquer outro programa. Se alguma página pedir isso em nome do Lalafly, não é nossa.

3. Por que tratamos esses dados

Cada dado acima existe para uma finalidade específica, com a base legal correspondente da LGPD:

• Enviar o alerta que você pediu e permitir que você o gerencie pelo link: execução de procedimento a pedido do titular (art. 7º, V).
• Manter sua conta e sua sessão, e reunir na conta os alertas criados antes com o mesmo e-mail: execução de procedimento a pedido do titular (art. 7º, V).
• Avisar quando o preço de uma busca sua melhorou, por até duas semanas depois dela: legítimo interesse (art. 7º, IX), com oposição a um clique pelo link no rodapé do e-mail.
• Impedir abuso dos limites de busca e de criação de alertas, e proteger o custo de operação: legítimo interesse (art. 7º, IX).
• Entender o uso do site em números agregados, para decidir o que melhorar: legítimo interesse (art. 7º, IX), com a possibilidade de recusa descrita na seção de cookies.
• Atender você e corrigir falhas a partir do registro de uso da sua conta (o que foi aberto e tocado, e quando): legítimo interesse (art. 7º, IX), com oposição pelo contato da seção de direitos.
• Enviar as notificações que você ativou no celular: execução de procedimento a pedido do titular (art. 7º, V).
• Validar compras e manter o acesso contratado, na App Store, no Google Play ou pelo site, incluindo restauração, renovação e reembolso: execução do contrato (art. 7º, V).
• Cumprir obrigação legal de guarda de registros e responder a determinação de autoridade competente: art. 7º, II.

Não usamos seus dados para publicidade comportamental, não os vendemos e não tomamos decisões automatizadas que afetem seus interesses.

4. Cookies, armazenamento local e medição

Cookies necessários. O cookie de sessão (existe só depois que você entra), o cookie que lembra se a página de rota abre em calendário ou em lista, e o cookie do painel administrativo, que só existe para quem opera o site. Sem eles as funções correspondentes não funcionam.

Armazenamento local (localStorage). Sem login, o tema claro/escuro, os preços de milheiro que você configura para cada programa e a lista de buscas recentes do formulário ficam só no seu aparelho e não são enviados para os nossos servidores. Limpar os dados do site no navegador apaga tudo isso. Com login, eles também ficam na sua conta, como descrito na seção de coleta.

Medição de audiência. O site carrega o Google Tag Manager, que por sua vez pode acionar ferramentas de medição do Google (como o Google Analytics). Esses serviços gravam cookies próprios e recebem dados técnicos da visita, incluindo endereço IP, páginas vistas e informações do navegador. O site hoje não exibe banner de consentimento: se você não quiser essa medição, dá para bloquear cookies de terceiros ou os domínios do Google no seu navegador, ou usar uma extensão de bloqueio: o restante do site continua funcionando normalmente.

Registro de uso (primeira parte). Além das ferramentas do Google, o próprio site grava o registro de uso descrito na seção de coleta, no nosso banco. Para reconhecer o aparelho, ele usa o cookie lf_vid: um número aleatório, sem nenhum dado seu dentro, que dura até 400 dias. Bloquear esse cookie não impede o uso do site: o registro só deixa de ligar uma visita à seguinte.

Aplicativos para iPhone e Android. O aplicativo nativo, para Android e para iPhone a partir da versão 2.0, não carrega o Google Analytics nem o pixel da Meta. As versões atuais usam o Singular para medir instalações e eventos de uso. Até a versão 2.4.0, os identificadores de publicidade e o compartilhamento de dados ficam limitados. A partir da versão 2.4.1, o Android usa o identificador de publicidade disponível no aparelho para medir campanhas. No iPhone, esse uso depende da autorização na pergunta nativa da Apple. Quando autorizado, o identificador e os eventos de instalação e uso são compartilhados com Singular e Meta para medir quais anúncios levaram ao app. Você pode apagar ou limitar o identificador nos ajustes de publicidade do Android e mudar a autorização de rastreamento nos Ajustes do iPhone. O app continua funcionando sem essa autorização. O código de origem de uma instalação pode ser associado à conta depois do login. No iPhone, o SDK pode ler o código de atribuição copiado na etapa de baixar o app, conforme o aviso exibido antes da cópia; isso não comprova sozinho uma correspondência exata entre clique e instalação. As versões anteriores do aplicativo para iPhone mostram o site dentro do app: carregam a mesma medição do Google Analytics do site, com o armazenamento para anúncios negado, sem o pixel da Meta nem outra ferramenta de publicidade, e nelas o registro de uso também vale. Em todas as versões, a tela de entrar na conta aberta pelo aplicativo fica fora de toda medição, e as páginas do site que o aplicativo abre no navegador seguem as regras do site. Os registros da sua conta, buscas, compras e interações necessários ao funcionamento do serviço continuam sendo tratados conforme esta política.

5. Com quem compartilhamos

Não vendemos e não cedemos dados pessoais. O compartilhamento se limita aos prestadores necessários para o site funcionar, cada um tratando apenas o mínimo:

• Hospedagem e banco de dados (Railway). Onde o site roda e onde ficam alertas e contas.
• Envio de e-mail (Resend). Recebe o endereço de destino e o conteúdo da mensagem para entregar alertas e links de acesso.
• Google. Como provedor de login, quando você escolhe entrar com o Google; como ferramenta de medição, conforme a seção anterior; no aplicativo para Android, como loja (o Google Play processa a cobrança e compartilha conosco os dados da assinatura necessários para verificar a compra e acompanhar renovações, cancelamentos e reembolsos); e, se você ativar as notificações no Android, como serviço de envio (Firebase Cloud Messaging), que recebe o token do aparelho e o texto de cada aviso.
• Apple. Como provedor de login, quando você escolhe entrar com a Apple, incluindo o encaminhamento de mensagens quando você usa o endereço privado da Apple. Nas compras feitas pelo aplicativo para iPhone, a Apple processa a cobrança e compartilha conosco os dados da transação necessários para verificar a compra, restaurar o acesso e acompanhar renovações e reembolsos. Se você ativar as notificações no iPhone, a Apple (Apple Push Notification service) recebe o token do aparelho e o texto de cada aviso para entregá-lo.
• Singular. No aplicativo nativo, recebe identificadores técnicos do app e da instalação, dados do aparelho e eventos de uso para análise de instalações e do funcionamento do produto. Os eventos de produto que enviamos não incluem nome, e-mail, senha nem os códigos secretos de acesso. Não enviamos um clique na compra como se fosse pagamento: as transações são verificadas com a loja.
• Stripe. Processa os pagamentos feitos pelo site. Recebe os dados necessários à cobrança; o Lalafly recebe o identificador do cliente e o estado dos pagamentos, assinaturas e passes.
• OpenAI. Em dois casos. Se você usar o plugin do Lalafly no ChatGPT: recebe as respostas das perguntas que você fizer ao plugin e, se você entrar com a sua conta, também seu nome, e-mail e os programas de milhas e bancos de pontos marcados nela, e trata tudo pelas regras de privacidade da própria OpenAI. E, para acharmos falhas e o que melhorar, uma vez por dia a API da OpenAI lê o registro de uso das últimas 24 horas de todos os assinantes e de uma amostra aleatória de visitantes, identificado só por um apelido (sem nome, e-mail ou conta); pelas regras da OpenAI, dados enviados pela API não treinam modelos.
• Autoridades públicas, quando houver requisição legal.

Os serviços de coleta e de proxy que usamos para consultar os sites dos programas de milhas não recebem dados seus: eles consultam rota e data em nome do Lalafly, sem qualquer identificação de quem pesquisou.

Parte desses prestadores está fora do Brasil, o que caracteriza transferência internacional de dados (art. 33 da LGPD). Ela ocorre para viabilizar o serviço que você pediu e está limitada às finalidades desta política.

6. Por quanto tempo guardamos

• Alerta: enquanto existir. Ao excluí-lo pelo link de gerenciamento, ele e o seu contato saem do banco.
• Conta: enquanto você quiser mantê-la; a exclusão é feita a pedido, conforme a seção seguinte.
• Compras Apple: os pedidos e registros de transações ligados à conta são removidos do Lalafly quando você exclui a conta. Isso não apaga o histórico mantido pela Apple nem cancela assinaturas na sua Conta Apple.
• Compras no Google Play: ao excluir a conta, cancelamos a renovação da assinatura no Google Play e os registros dela saem do Lalafly. O histórico de pedidos mantido pelo Google não é apagado.
• Token de notificação: enquanto a sessão em que você ativou os avisos existir. Sai quando você desliga os avisos, sai da conta ou exclui a conta, e também quando a Apple ou o Google informam que o aparelho não recebe mais avisos.
• Sessão: até 30 dias sem uso, ou até você sair.
• Registro de uso: 180 dias para o que está ligado a uma conta, e 30 dias para o que foi feito sem login num aparelho que nunca entrou numa conta. Ao excluir a conta, sai tudo, inclusive o trecho sem login dos seus aparelhos.
• Link mágico de acesso: 15 minutos, e vale uma única vez.
• Limites por IP: minutos, na memória do servidor, e some a cada reinício.
• Registros de acesso do servidor: pelo prazo de retenção de log do provedor de hospedagem, ou por prazo maior se houver exigência legal.

7. Seus direitos e como exercê-los

A LGPD (art. 18) garante a você confirmação e acesso aos dados, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento.

• Alertas: o link enviado no e-mail permite pausar ou excluir o alerta na hora, com ou sem conta.
• Acompanhamento de busca: o link no rodapé desses e-mails desliga todos de uma vez, sem precisar entrar na conta.
• Conta: os dados aparecem em Minha conta. Você pode excluir sua conta e os dados associados pelo site ou pelo aplicativo, após entrar e confirmar a exclusão.
• Demais pedidos: escreva para [email protected]. Podemos pedir uma confirmação de identidade para proteger seus dados antes de atender ao pedido.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

8. Segurança

O site é servido por HTTPS, a sessão viaja em cookie assinado e o painel administrativo é separado do login de visitante, sem qualquer poder concedido a contas comuns. As senhas são protegidas com hash scrypt e salt individual. Os links de recuperação vencem em 15 minutos e são de uso único; a troca por recuperação encerra as sessões anteriores. Ainda assim, nenhum sistema é imune: se identificarmos incidente com risco relevante aos titulares, comunicaremos os afetados e a ANPD, como manda o art. 48 da LGPD.

9. Crianças e adolescentes

O serviço não é direcionado a menores de 18 anos e não coletamos intencionalmente dados de crianças ou adolescentes. Se isso tiver acontecido, escreva para [email protected] e os dados serão eliminados.

10. Mudanças nesta política

Esta política pode ser atualizada quando o serviço mudar. A data de última atualização no topo da página é a referência; alterações relevantes para quem tem alerta ou conta serão avisadas por e-mail antes de valer.