Documento legalPolítica de privacidade

1. Quem responde pelos seus dados

O Lalafly é um buscador de disponibilidade de passagens-prêmio nos programas de milhas brasileiros. O controlador dos dados pessoais tratados aqui é Lalafly.

Pedidos de titular, dúvidas e reclamações sobre privacidade vão para contato@lalafly.com.br — é também por esse endereço que se fala com o encarregado pelo tratamento de dados.

2. O que coletamos

Navegando sem conta e sem alerta, nada que identifique você é gravado. Você pode buscar, abrir uma rota e ver o histórico de milhas sem informar nome, e-mail ou telefone.

Nos casos em que há coleta, ela é esta:

• Alertas. O canal escolhido — e-mail, Chat ID do Telegram ou número de WhatsApp — mais a rota, a janela de datas e os filtros do alerta (cabine, programa, teto de milhas, só diretos). Cada alerta ganha um token secreto, que é o que viaja no link de gerenciamento enviado a você.
• Conta de visitante (opcional). Seu e-mail. Se entrar com o Google, também o nome e a foto do perfil que o Google devolve. Não existe senha no site: o acesso é por Google ou por link enviado à sua caixa.
• Sessão. Um cookie assinado que mantém você logado por até 30 dias.
• Endereço IP. Usado para limitar abuso (quantas buscas ao vivo por hora, quantos alertas por dispositivo). Ele fica na memória do servidor enquanto o limite vale e não é gravado no banco. Registros de acesso da hospedagem seguem a regra do provedor, descrita abaixo.
• Buscas ao vivo. A rota e as datas pedidas ficam registradas como uma tarefa de coleta, para controle de fila e custo. Esse registro não guarda quem pediu — nem IP, nem conta.
• Medição de audiência. Via Google Tag Manager, descrito na seção sobre cookies.

O que não coletamos, em nenhuma hipótese: senha (não existe login com senha), dados de cartão ou pagamento (o site é gratuito e não cobra nada) e — importante — o seu login dos programas de milhas. O Lalafly nunca pede usuário e senha de Smiles, LATAM Pass, Azul ou qualquer outro programa. Se alguma página pedir isso em nome do Lalafly, não é nossa.

3. Por que tratamos esses dados

Cada dado acima existe para uma finalidade específica, com a base legal correspondente da LGPD:

• Enviar o alerta que você pediu e permitir que você o gerencie pelo link — execução de procedimento a pedido do titular (art. 7º, V).
• Manter sua conta e sua sessão, e reunir na conta os alertas criados antes com o mesmo e-mail — execução de procedimento a pedido do titular (art. 7º, V).
• Impedir abuso dos limites de busca e de criação de alertas, e proteger o custo de operação — legítimo interesse (art. 7º, IX).
• Entender o uso do site em números agregados, para decidir o que melhorar — legítimo interesse (art. 7º, IX), com a possibilidade de recusa descrita na seção de cookies.
• Cumprir obrigação legal de guarda de registros e responder a determinação de autoridade competente — art. 7º, II.

Não usamos seus dados para publicidade comportamental, não os vendemos e não tomamos decisões automatizadas que afetem seus interesses.

4. Cookies, armazenamento local e medição

Cookies necessários. O cookie de sessão (existe só depois que você entra), o cookie que lembra se a página de rota abre em calendário ou em lista, e o cookie do painel administrativo, que só existe para quem opera o site. Sem eles as funções correspondentes não funcionam.

Armazenamento local (localStorage). Tema claro/escuro, o valor do milheiro que você configura e suas buscas recentes ficam no seu aparelho e não são enviados para os nossos servidores. Limpar os dados do site no navegador apaga tudo isso.

Medição de audiência. O site carrega o Google Tag Manager, que por sua vez pode acionar ferramentas de medição do Google (como o Google Analytics). Esses serviços gravam cookies próprios e recebem dados técnicos da visita, incluindo endereço IP, páginas vistas e informações do navegador. O site hoje não exibe banner de consentimento: se você não quiser essa medição, dá para bloquear cookies de terceiros ou os domínios do Google no seu navegador, ou usar uma extensão de bloqueio — o restante do site continua funcionando normalmente.

5. Com quem compartilhamos

Não vendemos e não cedemos dados pessoais. O compartilhamento se limita aos prestadores necessários para o site funcionar, cada um tratando apenas o mínimo:

• Hospedagem e banco de dados (Railway). Onde o site roda e onde ficam alertas e contas.
• Envio de e-mail (Resend). Recebe o endereço de destino e o conteúdo da mensagem para entregar alertas e links de acesso.
• Google. Como provedor de login, quando você escolhe entrar com o Google; e como ferramenta de medição, conforme a seção anterior.
• Telegram ou WhatsApp. Apenas se você escolher receber o alerta por um desses canais, e apenas o identificador que você mesmo informou.
• Autoridades públicas, quando houver requisição legal.

Os serviços de coleta e de proxy que usamos para consultar os sites dos programas de milhas não recebem dados seus: eles consultam rota e data em nome do Lalafly, sem qualquer identificação de quem pesquisou.

Parte desses prestadores está fora do Brasil, o que caracteriza transferência internacional de dados (art. 33 da LGPD). Ela ocorre para viabilizar o serviço que você pediu e está limitada às finalidades desta política.

6. Por quanto tempo guardamos

• Alerta: enquanto existir. Ao excluí-lo pelo link de gerenciamento, ele e o seu contato saem do banco.
• Conta: enquanto você quiser mantê-la; a exclusão é feita a pedido, conforme a seção seguinte.
• Sessão: até 30 dias sem uso, ou até você sair.
• Link mágico de acesso: 15 minutos, e vale uma única vez.
• Limites por IP: minutos, na memória do servidor — some a cada reinício.
• Registros de acesso do servidor: pelo prazo de retenção de log do provedor de hospedagem, ou por prazo maior se houver exigência legal.

7. Seus direitos e como exercê-los

A LGPD (art. 18) garante a você confirmação e acesso aos dados, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento.

• Alertas: o link enviado no e-mail permite pausar ou excluir o alerta na hora, com ou sem conta.
• Conta: os dados aparecem em Minha conta. A exclusão da conta ainda não tem botão próprio: peça por e-mail e ela é feita.
• Demais pedidos: escreva para contato@lalafly.com.br. Podemos pedir alguma confirmação de identidade antes de atender, justamente para não entregar dados de alguém a outra pessoa.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

8. Segurança

O site é servido por HTTPS, a sessão viaja em cookie assinado e o painel administrativo é separado do login de visitante, sem qualquer poder concedido a contas comuns. Como não há senha de usuário, não existe base de senhas para vazar. Ainda assim, nenhum sistema é imune: se identificarmos incidente com risco relevante aos titulares, comunicaremos os afetados e a ANPD, como manda o art. 48 da LGPD.

9. Crianças e adolescentes

O serviço não é direcionado a menores de 18 anos e não coletamos intencionalmente dados de crianças ou adolescentes. Se isso tiver acontecido, escreva para contato@lalafly.com.br e os dados serão eliminados.

10. Mudanças nesta política

Esta política pode ser atualizada quando o serviço mudar. A data de última atualização no topo da página é a referência; alterações relevantes para quem tem alerta ou conta serão avisadas por e-mail antes de valer.