Termos de tratamento de dados

1Escopo

Estes Termos de tratamento de dados («DPA») fazem parte dos Termos de serviço entre o Book2dream e cada Cliente hoteleiro. Eles se aplicam sempre que o Book2dream trata dados pessoais em nome de um Cliente hoteleiro ao prestar o serviço.

Se você assinou conosco um acordo de tratamento de dados separado, ele prevalece no que conflitar com estes termos. Os termos em maiúscula não definidos aqui têm o significado dado nos Termos de serviço.

2Papel de cada parte

Nos dados pessoais tratados em seu nome por meio do motor de reservas, da mensageria, dos recursos de IA e das ferramentas de administração, você é o controlador e o Book2dream é o operador. Se você mesmo atua em nome de outro controlador, como o proprietário do estabelecimento, o Book2dream é seu suboperador.

Nos dados de que precisamos para manter nossa própria relação com você — administração da conta, cobrança, suporte e marketing para hotéis —, o Book2dream é um controlador independente, e nossa Política de privacidade descreve como os tratamos.

3Detalhes do tratamento

• Objeto e duração: prestar a você o serviço do Book2dream durante a vigência da sua assinatura e o período de exclusão descrito abaixo.
• Natureza e finalidade: hospedar, armazenar, organizar, transmitir, exibir e analisar dados para receber e gerenciar reservas, processar pagamentos pelos provedores que você escolher, enviar mensagens a hóspedes, executar os recursos de IA que você ativar e dar suporte a você.
• Titulares dos dados: seus hóspedes e potenciais hóspedes, pessoas que entram em contato com você pelo motor de reservas ou pelos canais de mensagem, e a equipe e os prestadores que usam a plataforma por você.
• Categorias de dados pessoais: nomes e dados de contato, incluindo e-mails e números de celular; dados da reserva, como datas da estadia, quartos, tarifas, número de pessoas e pedidos especiais; referências de pagamento e tokens de cartão, nunca números de cartão completos em nossos próprios sistemas; o conteúdo e o status de entrega de e-mails, mensagens de texto, mensagens de WhatsApp e, quando disponíveis, ligações; registros de consentimento e de descadastro da mensageria; respostas a pesquisas e avaliações; conversas com assistentes de IA; e dados de dispositivo, navegador e uso.
• Dados sensíveis: o serviço não foi projetado para dados pessoais sensíveis. Às vezes os hóspedes os informam por iniciativa própria, por exemplo necessidades alimentares ou de acessibilidade em um pedido especial. Nós os protegemos como todos os demais Dados do Cliente, e você não deve pedir aos hóspedes mais do que precisa.

4Tratamento somente conforme suas instruções

Tratamos dados pessoais somente conforme suas instruções documentadas: os Termos de serviço, estes termos, a forma como você configura a plataforma e as solicitações que você faz à nossa equipe de suporte. Não os tratamos para nenhuma outra finalidade, a menos que a lei nos obrigue, caso em que avisamos você antes, salvo se a lei o proibir.

Se acreditarmos que uma instrução viola a legislação de proteção de dados, avisaremos você e poderemos deixar de executá-la até que a questão seja esclarecida.

5Confidencialidade da nossa equipe

Todas as pessoas do Book2dream que podem acessar dados pessoais estão sujeitas a um dever de confidencialidade por escrito, são treinadas para tratá-los e só têm acesso na medida em que sua função exige.

6Medidas de segurança

Mantemos medidas técnicas e administrativas adequadas ao risco e as revisamos à medida que o serviço e as ameaças mudam. Entre elas:

• Criptografia em trânsito com TLS 1.2 ou superior, e criptografia em repouso com AES-256 para bancos de dados, backups e armazenamento de arquivos.
• Contas nominais com autenticação multifator obrigatória, e acesso à produção limitado à equipe que precisa dele.
• Separação lógica dos dados de cada hotel, para que nenhum Cliente hoteleiro possa chegar aos registros de outro.
• Registro e monitoramento dos acessos aos sistemas de produção, com alertas em caso de atividade anômala.
• Backups criptografados e testados periodicamente.
• Varredura de vulnerabilidades, aplicação rápida de correções e testes de intrusão periódicos.
• Dados de cartão capturados e tokenizados por um provedor certificado PCI DSS, de modo que os números completos nunca chegam aos nossos próprios sistemas.

7Uso de suboperadores

Você nos dá autorização geral para contratar suboperadores que nos ajudem a prestar o serviço. A lista atual vem a seguir, agrupada pelo que cada provedor faz.

Cada suboperador está vinculado por um contrato escrito com obrigações de proteção de dados não menos protetivas que estes termos, e acessa dados pessoais somente na medida necessária para o serviço que presta. Continuamos responsáveis perante você pelo desempenho deles.

Avisamos com pelo menos 30 dias de antecedência antes que um novo suboperador comece a tratar seus dados pessoais, atualizando esta página e enviando um e-mail ao titular da sua conta. Se você tiver motivos razoáveis de proteção de dados para se opor, avise-nos dentro desse prazo. Tentaremos resolver a objeção; se não conseguirmos, você poderá encerrar a parte afetada do serviço e receber o reembolso proporcional do que pagou antecipadamente por ela.

8Suboperadores: hospedagem e operação

• Salesforce, Inc. (Heroku)FinalidadeServidores de aplicação, banco de dados principal e cacheLocalizaçãoEstados Unidos
• Vercel Inc.FinalidadeHospedagem e distribuição de conteúdo dos motores de reservas, dos sites dos hotéis e das nossas aplicações webLocalizaçãoEstados Unidos, com uma rede de borda global
• Amazon Web Services, Inc.FinalidadeArmazenamento de imagens, documentos e outros arquivosLocalizaçãoEstados Unidos
• Datadog, Inc.FinalidadeMonitoramento da aplicação e análise de logsLocalizaçãoEstados Unidos
• SolarWinds Worldwide, LLC (Papertrail)FinalidadeArmazenamento e busca de logs da aplicaçãoLocalizaçãoEstados Unidos
• PostHog, Inc.FinalidadeAnálise de produto nos motores de reservas e no painel do hotelLocalizaçãoEstados Unidos
• BrowserlessFinalidadeLeitura do site público de um hotel ao importá-lo para um site do Book2dreamLocalizaçãoEstados Unidos

9Suboperadores: mensageria

• Amazon Web Services, Inc. (Amazon SES)FinalidadeEnvio de e-mails de reservas, notificações e mensagens a hóspedesLocalizaçãoBrasil
• Twilio Inc.FinalidadeEnvio e recebimento de mensagens de texto (SMS e MMS) e, quando disponíveis, ligações telefônicasLocalizaçãoEstados Unidos
• KapsoFinalidadeConexão dos números de WhatsApp dos hotéis ao Book2dream e transmissão das suas mensagensLocalizaçãoEstados Unidos
• WhatsApp LLC (Meta)FinalidadeEntrega de mensagens de WhatsApp pela WhatsApp Business PlatformLocalizaçãoEstados Unidos

10Suboperadores: recursos de IA

O OpenRouter encaminha cada solicitação ao provedor que oferece o modelo de linguagem escolhido para aquele recurso. Enviamos apenas os dados de que o recurso precisa para fazer seu trabalho.

• OpenRouter, Inc.FinalidadeEncaminhamento das solicitações dos recursos de IA — assistentes para hóspedes, geração de conteúdo, tradução e análise de tarifas — para modelos de linguagemLocalizaçãoEstados Unidos

11Suboperadores: segurança de cartões

• PCI Booking LimitedFinalidadeCaptura, tokenização e armazenamento seguro dos dados de cartão dos hóspedes usados para garantir reservasLocalizaçãoIrlanda

12Provedores da nossa própria relação com você

Estes provedores tratam dados dos quais o Book2dream é controlador — sobre Clientes hoteleiros e visitantes do nosso site — e nunca os dados dos seus hóspedes. Nós os listamos para que a lista fique completa.

• Paddle.com Market LimitedFinalidadeCobrança das assinaturas, como merchant of recordLocalizaçãoReino Unido
• Mercado PagoFinalidadePagamento dos extratos mensaisLocalizaçãoAmérica Latina
• Haulmer SpA (OpenFactura)FinalidadeEmissão de documentos fiscais eletrônicos perante o Serviço de Impostos Internos (SII) do ChileLocalizaçãoChile
• ResendFinalidadeEntrega das mensagens enviadas pelos formulários do nosso siteLocalizaçãoEstados Unidos
• Google LLC (Google Analytics)FinalidadeMedição do uso do nosso site institucional, somente com o consentimento do visitanteLocalizaçãoEstados Unidos

13Serviços que você escolhe conectar

Quando você conecta o Book2dream a outro serviço — um sistema de gestão hoteleira (PMS) como o Oracle OPERA Cloud, um channel manager ou parceiro de distribuição, um gateway de pagamento com sua própria conta de lojista, como Webpay, Mercado Pago ou PayPal, ou sua própria ferramenta de análise —, enviamos dados a ele porque você nos instruiu a fazer isso. Esses provedores não são nossos suboperadores: seu próprio contrato com cada um deles define como os dados são tratados.

14Transferências internacionais

Nossos suboperadores atuam nos países indicados acima, portanto dados pessoais coletados em um país podem ser tratados em outro. Quando a lei do país de origem restringe transferências, recorremos a salvaguardas reconhecidas, como as Cláusulas Contratuais Padrão da Comissão Europeia, e aos mecanismos de transferência permitidos pela LGPD, pela Lei nº 19.628 do Chile, alterada pela Lei nº 21.719, e pelas demais leis aplicáveis.

15Ajudamos você a cumprir suas obrigações

• Solicitações de hóspedes: a plataforma permite localizar, exportar, corrigir e excluir os dados de um hóspede. Se um hóspede entrar em contato diretamente conosco, encaminhamos a solicitação a você e ajudamos a respondê-la.
• Registros de mensageria: mediante solicitação, fornecemos os registros de consentimento e de descadastro mantidos para o seu estabelecimento, para que você possa responder a um regulador, a uma operadora ou a um hóspede.
• Avaliações: fornecemos as informações de que você razoavelmente precisar para relatórios de impacto à proteção de dados e para consultas a autoridades de proteção de dados.
• Essa assistência é gratuita, a menos que uma solicitação seja manifestamente excessiva.

16Incidentes de segurança com dados pessoais

Se tomarmos conhecimento de um incidente de segurança que leve à destruição, perda, alteração, divulgação ou acesso não autorizados, acidentais ou ilícitos, aos seus dados pessoais, notificamos você sem demora injustificada e em até 72 horas.

Informamos o que aconteceu, quais dados e pessoas podem ser afetados, as consequências prováveis e o que estamos fazendo a respeito, e mantemos você atualizado à medida que soubermos mais. Se você precisar comunicar uma autoridade ou as pessoas afetadas, ajudamos você a fazê-lo.

17Devolução e exclusão

Você pode exportar seus dados a qualquer momento durante a assinatura. Quando ela termina, mantemos os dados disponíveis para exportação por 30 dias e depois os excluímos em até 90 dias, a menos que a lei nos obrigue a mantê-los. As cópias em backups criptografados são excluídas à medida que esses backups expiram.

18Informações e auditorias

Disponibilizamos as informações razoavelmente necessárias para demonstrar o cumprimento destes termos, incluindo as respostas a um questionário de segurança por ano.

Se isso não bastar, ou se uma autoridade de proteção de dados exigir, você pode auditar nosso cumprimento uma vez por ano, com 30 dias de aviso por escrito, em horário comercial, às suas custas e sob dever de confidencialidade. Em relação aos nossos suboperadores, esse direito é atendido pelas certificações e relatórios de auditoria deles.

19Responsabilidade

A responsabilidade de cada parte nestes termos está sujeita às limitações dos Termos de serviço, exceto quando a lei não permitir aplicá-las.

20Alterações destes termos

Podemos atualizar estes termos para refletir mudanças na lei ou no serviço. Não reduziremos a proteção que eles dão aos seus dados sem avisar você com antecedência, e as mudanças na lista de suboperadores seguem o procedimento de aviso descrito acima.

21Contato

Dúvidas sobre estes termos ou sobre nossos suboperadores podem ser enviadas para contact@book2dream.com.