Política de Privacidade

A Keki atua como plataforma, intermediadora e canal de comercialização de passagens. Ela organiza as informações disponíveis, registra reservas, acompanha pagamentos e disponibiliza bilhetes.

O operador ou transportador identificado na viagem é responsável pela operação do transporte e da embarcação, conforme suas atribuições e a legislação aplicável. Dependendo da atividade, Keki, transportador e fornecedores podem tomar decisões próprias sobre os dados necessários às suas respectivas responsabilidades. Esta política não atribui automaticamente a um participante o controle sobre todas as atividades do outro.

Utilizamos somente os dados relacionados às funções disponíveis na plataforma:

• Passageiros: nome completo, data de nascimento, tipo e número do documento. Telefone e, em canais que o permitam, e-mail podem ser fornecidos opcionalmente.
• Comprador ou contato da reserva: nome, telefone e e-mail, quando informados.
• Reserva e viagem: código da reserva, rota, trechos de origem e destino, viagem, acomodação, quantidade, passageiros, canal de venda, valores, datas e estados operacionais.
• Pagamento: valor, meio e provedor de pagamento, estado da transação, identificadores internos e do provedor, datas e informações técnicas necessárias para confirmação, conciliação e eventual reembolso.
• Bilhete e embarque: código do bilhete, passageiro, viagem, acomodação, valor, estado de emissão, data de embarque e código técnico assinado usado para validar o QR Code.
• Acesso administrativo: nome, e-mail, senha protegida, perfil de acesso, terminal associado e registros das ações realizadas.
• Dados técnicos: identificadores de requisição, endereço de rede usado para limitação de abuso, eventos de segurança, erros, estados e identificadores técnicos necessários à operação.

Os dados podem ser informados pelo comprador, por um responsável que cadastra outro passageiro, por atendentes autorizados ou por totens da operação. Também recebemos estados e identificadores enviados ou confirmados pelos provedores de pagamento e registramos eventos produzidos pelo uso seguro da plataforma, como emissão, cancelamento e embarque.

• buscar viagens, verificar disponibilidade e calcular o valor no servidor;
• criar, manter, confirmar, localizar, cancelar ou expirar reservas;
• iniciar e verificar pagamentos, prevenir duplicidades, conciliar estados e tratar reembolsos quando cabíveis;
• emitir, apresentar e imprimir bilhetes;
• identificar passageiros, montar o manifesto autorizado e validar o embarque;
• atender solicitações, corrigir erros e comunicar informações relacionadas à compra ou à viagem;
• proteger contas e operações, prevenir fraude e abuso, controlar acessos e manter auditoria;
• cumprir obrigações legais ou regulatórias e exercer direitos em processos administrativos, judiciais ou extrajudiciais;
• medir resultados de publicidade, somente quando o usuário permitir recursos não essenciais.

Conforme a atividade, o tratamento pode ser necessário para executar o contrato de compra e transporte ou procedimentos solicitados antes dele, cumprir obrigações legais ou regulatórias e exercer regularmente direitos.

Em situações específicas, podemos considerar interesses legítimos, como segurança, prevenção a fraude e melhoria da operação, após avaliar necessidade, impacto e expectativas do titular. O consentimento é utilizado quando uma escolha livre e específica for apropriada, como para ativar medição publicitária não essencial, e pode ser revogado para usos futuros.

A Keki calcula o valor da reserva e cria a solicitação de pagamento. Conforme a opção disponível, o processamento é realizado por Mercado Pago ou InfinitePay. Podemos compartilhar com o provedor dados de contato, identificação da cobrança, descrição da viagem, valor e informações técnicas necessárias ao processamento e à prevenção de fraude.

No cartão, número completo, código de segurança e validade são preenchidos em componente seguro ou checkout hospedado do provedor. Esses dados não são destinados ao armazenamento nos sistemas da Keki. A Keki pode receber um token temporário e estados da transação, sem receber o número completo ou o código de segurança.

O retorno do navegador não comprova sozinho a aprovação. A plataforma consulta e concilia o estado informado pelo provedor antes de confirmar a reserva e emitir o bilhete.

• Operadores e transportadores: dados necessários à viagem, ao manifesto, à identificação e ao embarque.
• Mercado Pago e InfinitePay: informações necessárias para processar, verificar e conciliar pagamentos.
• Fornecedores de infraestrutura: hospedagem, banco de dados, segurança, rede e armazenamento de mídia, dentro do necessário para manter o serviço. A infraestrutura atual inclui serviços da Cloudflare para mídia.
• Google Ads: identificador técnico da conversão, valor e moeda da compra e informações geradas pelas tecnologias do Google, quando houver autorização para medição não essencial.
• Autoridades públicas: quando houver obrigação legal, regulatória ou ordem válida.

O bilhete pode apresentar nome e dados de identificação do passageiro, viagem, rota, embarcação, acomodação, valores e informações de embarque. Pessoas autorizadas podem consultar esses dados no manifesto ou nas áreas administrativas conforme seu perfil e terminal de atuação.

O QR Code de embarque contém uma credencial técnica assinada vinculada ao código do bilhete. Ele não foi projetado para exibir nome, documento, telefone ou dados de pagamento. Ainda assim, deve ser protegido como o próprio bilhete e não deve ser publicado ou compartilhado fora da finalidade de embarque.

A plataforma utiliza recursos diferentes conforme a finalidade:

• Cookie administrativo essencial: mantém a sessão autenticada de usuários internos, com proteção contra acesso por scripts do navegador.
• Armazenamento local essencial: guarda a escolha sobre recursos não essenciais e uma preferência visual do painel administrativo.
• Armazenamento de sessão: guarda temporariamente uma credencial de consulta do pagamento InfinitePay durante a navegação de retorno. Ela é removida pelo navegador ao encerrar a sessão.
• Google Ads: o script de medição é carregado somente após a autorização para recursos não essenciais.

Você pode continuar apenas com os recursos essenciais e alterar sua escolha a qualquer momento em Preferências de privacidade, no rodapé. Ao recusar, a Keki deixa de emitir novos eventos não essenciais e informa ao Google o estado negado quando a tag já tiver sido carregada. A revogação não apaga automaticamente cookies ou outros estados criados por terceiros durante um aceite anterior; eles podem ser removidos pelas configurações do navegador. Recursos essenciais continuam funcionando sem essa autorização.

Dados de crianças e adolescentes podem ser fornecidos pelo comprador ou responsável para viabilizar a reserva, a emissão do bilhete, a identificação e o transporte. A plataforma não presume que o menor esteja contratando diretamente. O tratamento deve observar seu melhor interesse, a necessidade dos dados e as regras aplicáveis à viagem. A Keki não declara existir um fluxo separado de consentimento parental quando esse fluxo não está disponível no produto.

Os dados são mantidos pelo período necessário para cumprir as finalidades descritas, administrar reservas, pagamentos, bilhetes e auditoria, atender obrigações legais ou regulatórias e permitir o exercício regular de direitos. Quando a manutenção deixar de ser necessária e não houver fundamento para retenção, os dados devem ser eliminados ou anonimizados de forma adequada.

Adotamos medidas técnicas e organizacionais compatíveis com os riscos do serviço, incluindo comunicação protegida, autenticação, perfis de acesso, restrição operacional por terminal, credenciais assinadas e temporárias, validação independente de pagamentos, controles contra abuso e registros técnicos de auditoria. Nenhum sistema é livre de riscos; por isso, revisamos controles e tratamos incidentes conforme a legislação aplicável.

Nos limites e condições da LGPD, você pode solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, quando aplicável e observada a regulamentação;
• informações sobre compartilhamentos;
• revogação do consentimento e informação sobre suas consequências, quando essa for a base utilizada;
• oposição a tratamento realizado em desacordo com a lei.

Antes de responder, podemos pedir informações suficientes para confirmar a identidade e proteger os dados contra acesso indevido. Alguns registros podem ser mantidos para cumprir obrigações legais ou regulatórias, prevenir fraude, executar obrigações já assumidas ou exercer direitos.

Para exercer esses direitos ou esclarecer dúvidas, utilize os canais oficiais de atendimento divulgados pela Keki. Informe que o pedido é relacionado à privacidade e forneça apenas o necessário para localizar seus dados.

Podemos atualizar esta política para refletir mudanças no serviço, na legislação ou nos controles de privacidade. A data no início da página indica a versão vigente. Mudanças relevantes serão comunicadas por meio adequado quando isso for necessário.