Cuidamos dos seus dados com o mesmo rigor com que cuidamos do seu silêncio.

01Quem trata os seus dados

O controlador dos dados pessoais tratados neste site é a [A PREENCHER: razão social], sociedade brasileira que responde pela marca GOA Hospitality Group.

• Razão social: [A PREENCHER: razão social]
• CNPJ: [A PREENCHER: CNPJ]
• Sede: [A PREENCHER: endereço completo da sede]
• Canal de privacidade: [A PREENCHER: e-mail do Encarregado (DPO)]

Cada hotel da rede pode ser operado por sociedade própria. Quando o tratamento nasce da sua hospedagem — e não da sua visita a este site — o controlador é a propriedade que o recebe, e a política dela se aplica em conjunto com esta.

02Dados que tratamos

Coletamos o mínimo necessário e nada além. Há dois caminhos: o que você nos entrega deliberadamente e o que o servidor registra para que o site funcione com segurança.

Dados que você nos fornece

• Formulário de contato: nome, e-mail, telefone (opcional), assunto e o conteúdo da sua mensagem.
• Newsletter do Blog: endereço de e-mail e o registro do consentimento — data, hora e origem.
• Pré check-in, quando a propriedade o oferece por este site: dados de identificação, datas da estadia, horário previsto de chegada e as preferências que você quiser adiantar.
• Comunicações espontâneas por e-mail, telefone ou mensagem: o que você decidir nos contar.

Dados registrados automaticamente

• Registros de acesso: endereço IP, data e hora da requisição, página solicitada, código de resposta e identificação do navegador.
• A sua preferência de consentimento de cookies, guardada no seu navegador e repetida em um cookie próprio, para que o servidor a conheça.
• Um identificador de sessão, criado apenas quando você envia um formulário, para proteger o envio contra fraude.
• O idioma da navegação, inferido do endereço da página — nunca do seu dispositivo.

Não pedimos dados pessoais sensíveis em formulário aberto neste site. Se, no pré check-in, você informar espontaneamente uma restrição alimentar ou uma necessidade de acessibilidade, tratamos esse dado apenas para viabilizar o seu acolhimento, com base no seu consentimento específico e pelo tempo da estadia.

03Para que tratamos, e com que base legal

A LGPD exige que todo tratamento tenha finalidade declarada e base legal do Art. 7º. Estas são as nossas, uma a uma.

• Responder ao formulário de contato — execução de procedimentos preliminares a contrato, a pedido do titular (Art. 7º, V), quando o assunto é uma estadia; legítimo interesse (Art. 7º, IX) nos assuntos institucionais.
• Enviar a newsletter do Blog — consentimento (Art. 7º, I), livre, informado e revogável a qualquer tempo.
• Processar o pré check-in e preparar a sua chegada — execução de contrato (Art. 7º, V) e, para preferências que você informe, consentimento (Art. 7º, I).
• Manter registros de acesso ao site — cumprimento de obrigação legal (Art. 7º, II), conforme o Art. 15 do Marco Civil da Internet.
• Proteger o site, prevenir fraude e conter abuso de formulários — legítimo interesse (Art. 7º, IX).
• Medir audiência com ferramentas de análise, caso venhamos a adotá-las — consentimento (Art. 7º, I), pedido no banner antes de qualquer coleta.

Não tomamos decisões automatizadas que afetem os seus interesses, não construímos perfis de comportamento e não vendemos dados pessoais a ninguém, em nenhuma hipótese.

04Com quem compartilhamos

Compartilhamos dados quando isso é necessário para entregar o que você pediu, ou quando a lei nos obriga. Todo operador que trata dados por nossa conta o faz sob contrato e sob as nossas instruções.

• A propriedade da rede envolvida na sua solicitação ou na sua estadia.
• Provedores de hospedagem e de infraestrutura que mantêm este site no ar.
• Provedores de envio de e-mail transacional e de newsletter.
• Motores de reserva e sistemas de gestão hoteleira, quando você inicia uma reserva.
• Autoridades públicas, diante de requisição legal ou ordem judicial que a fundamente.

Não há compartilhamento com anunciantes, corretores de dados ou redes de publicidade comportamental.

05Transferência internacional

Parte dos nossos provedores de infraestrutura e de e-mail opera servidores fora do Brasil. Quando isso implica transferência internacional dos seus dados, ela se apoia nas hipóteses do Art. 33 da LGPD — em regra, cláusulas contratuais específicas que garantem, no destino, grau de proteção compatível com o brasileiro.

Para titulares no Espaço Econômico Europeu ou no Reino Unido, o mesmo raciocínio se aplica sob o Capítulo V do GDPR, com cláusulas contratuais-tipo da Comissão Europeia quando o país de destino não tem decisão de adequação.

06Por quanto tempo guardamos

Nenhum dado fica guardado por precaução indefinida. Cada categoria tem um prazo, e o prazo tem um motivo.

• Mensagens do formulário de contato: [A PREENCHER: prazo de retenção dos registros de contato], contados do encerramento do atendimento.
• Newsletter: enquanto o consentimento estiver ativo. No descadastro, o e-mail sai da base de envio e guardamos apenas o registro da revogação, como prova do cumprimento da lei.
• Pré check-in: pelo período da estadia e, depois, pelo prazo que a legislação hoteleira e fiscal impuser à propriedade.
• Registros de acesso ao site: seis meses, conforme o Art. 15 do Marco Civil da Internet, prorrogáveis apenas por ordem judicial.

Vencido o prazo, os dados são eliminados ou anonimizados de forma irreversível — salvo quando a guarda for exigida por obrigação legal, por exercício regular de direitos ou por outra hipótese do Art. 16 da LGPD.

07Como protegemos

Segurança, aqui, não é promessa de marketing. É um conjunto de medidas verificáveis.

• Tráfego cifrado por HTTPS em todo o site.
• Cookie de sessão marcado como HttpOnly e SameSite, e como Secure em conexão cifrada.
• Formulários protegidos contra envio forjado por token de sessão, contra robôs e contra envio em massa.
• Acesso aos dados restrito a quem precisa deles para trabalhar, sob dever de confidencialidade.

Nenhum sistema é imune. Se houver incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a Autoridade Nacional de Proteção de Dados em prazo razoável, na forma do Art. 48 da LGPD.

08Os seus direitos

O Art. 18 da LGPD lhe dá direitos que não dependem da nossa boa vontade. A qualquer momento, você pode exigir:

• Confirmação de que existe tratamento de dados seus.
• Acesso aos dados que mantemos sobre você.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei.
• Portabilidade dos seus dados a outro fornecedor, mediante requisição expressa.
• Eliminação dos dados tratados com base no seu consentimento.
• Informação sobre com quem compartilhamos os seus dados.
• Informação sobre a possibilidade de não consentir e sobre as consequências da negativa.
• Revogação do consentimento, a qualquer tempo, por procedimento gratuito e facilitado.

Para exercer qualquer um deles, escreva para [A PREENCHER: e-mail do Encarregado (DPO)]. Respondemos em até 15 dias, na forma do Art. 19 da LGPD. Podemos pedir informação adicional apenas para confirmar a sua identidade — nunca para dificultar o pedido.

Se a nossa resposta não o satisfizer, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD). Titulares no Espaço Econômico Europeu podem reclamar à autoridade de controle do seu país de residência.

09Encarregado pelo tratamento de dados

A LGPD exige um canal identificado entre o controlador, os titulares e a autoridade. O nosso é este:

• Encarregado (DPO): [A PREENCHER: nome do Encarregado (DPO)]
• E-mail: [A PREENCHER: e-mail do Encarregado (DPO)]

Pedidos enviados por outros canais são encaminhados ao Encarregado, mas o prazo de resposta só começa a correr quando chegam a ele. Prefira o e-mail acima.

10Visitantes do Espaço Econômico Europeu e do Reino Unido

Este site é publicado em três idiomas e recebe visitantes europeus. Quando o GDPR se aplica ao tratamento, você tem, além dos direitos acima:

• Direito de oposição ao tratamento fundado em interesse legítimo e direito à limitação do tratamento (Arts. 18 e 21 do GDPR).
• Direito de receber os seus dados em formato estruturado e de uso corrente (Art. 20 do GDPR).
• Direito de reclamar à autoridade de controle do seu país, sem prejuízo de qualquer outra via.

As bases legais do GDPR equivalem às que declaramos acima: consentimento (Art. 6.1.a), execução de contrato (Art. 6.1.b), obrigação legal (Art. 6.1.c) e interesse legítimo (Art. 6.1.f).

11Alterações desta política

Esta política muda quando o nosso tratamento muda — nunca em silêncio. A data de atualização no topo é a referência, e mantemos as versões anteriores à disposição de quem pedir.

Se uma alteração reduzir os seus direitos ou ampliar a finalidade de um tratamento fundado em consentimento, pediremos o seu consentimento outra vez antes de aplicá-la.