Política de Privacidade

1. Quem somos

O WayPoint é uma plataforma social voltada a pilotos de aviação comercial. Para os fins desta política, o WayPoint atua como controlador dos dados pessoais descritos abaixo, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, a LGPD).

2. Quais dados coletamos e por quê

Coletamos apenas o necessário para prestar o serviço:

Não coletamos CPF, RG nem número de passaporte (minimização, LGPD art. 6º, II). O único documento que pode chegar até nós é a foto do crachá da companhia que você manda, se quiser, para verificar o seu vínculo, e ela é apagada assim que um moderador decide (§2.7).

2.1 Monitoramento de erros (Sentry), a partir de 21 de setembro de 2026

Para encontrar e corrigir falhas, o WayPoint usa o Sentry, serviço da Functional Software, Inc. (EUA), com os nossos dados armazenados em Frankfurt, Alemanha (UE). Quando algo quebra no seu navegador ou nos nossos servidores, enviamos um relatório de erro com: a mensagem de erro e o rastreamento técnico (stack trace); o endereço da página (com identificadores de perfil, de conversa e códigos de acesso removidos); os últimos passos técnicos antes do erro (páginas abertas, chamadas de rede e seu status, mensagens de aviso e de erro do console); navegador, sistema operacional e tipo de aparelho; a versão do app; e o ID da sua conta no WayPoint.

Não enviamos seu nome, e-mail, endereço IP, cookies, o conteúdo das mensagens nem o que você preenche em formulários, e não gravamos a sua tela. O monitoramento de erros não usa cookies.

Base legal: nosso legítimo interesse em manter o WayPoint seguro e funcionando (LGPD art. 7º, IX e art. 10; GDPR art. 6(1)(f)). Os relatórios são apagados automaticamente após 30 dias. O Sentry trata esses dados apenas conforme as nossas instruções, nos termos do seu contrato de tratamento de dados (Data Processing Addendum), e pode acessá-los a partir dos EUA para suporte e segurança.

Como desligar: você pode desligar o envio de relatórios de erro neste aparelho em Configurações > Privacidade, ou se opor pelo e-mail compliance@mywpoint.com.

Começa em 21 de setembro de 2026, 7 dias depois do aviso desta atualização (§10). Até lá, nenhum relatório de erro é enviado, exceto os do navegador de testadores que aceitaram a gravação de teste (§2.2).

2.2 Gravação de teste (opcional, só para testadores convidados)

Testadores beta convidados por nós podem escolher nos deixar gravar as suas sessões de uso (páginas abertas, cliques, rolagem, erros e chamadas de rede, com endereço, status e tempo, sem conteúdo) para reproduzirmos falhas. Na gravação, todo texto, toda imagem e tudo o que é digitado aparecem cobertos, e a área de Mensagens nunca é gravada. Nenhum outro membro é gravado.

• A gravação só começa depois do aceite do testador, numa tela própria do app. Enquanto ela estiver ligada, aparece um aviso visível "Gravando" com o botão "Parar".
• Pode ser interrompida a qualquer momento, pelo botão do aviso ou em Configurações > Privacidade > Gravação de teste, sem encerrar a conta: para na hora no aparelho onde você tocou e em até 1 minuto nos outros. O aceite vale por 90 dias. Recusar não muda nada no seu uso do WayPoint.
• As gravações ficam no Sentry, em Frankfurt, Alemanha (UE), só a administração do WayPoint as vê, e são apagadas após 30 dias ou antes, a pedido. Parar a gravação não apaga o que já foi enviado: para isso, escreva para compliance@mywpoint.com.
• Guardamos um registro do aceite (versão e idioma do texto exibido, a impressão digital SHA-256 desse texto e as datas) para comprovar o consentimento.

Base legal: consentimento (LGPD art. 7º, I e art. 33, VIII; GDPR art. 6(1)(a)).

2.3 Leitura de escala (sem inteligência artificial)

O WayPoint lê a sua escala só com o nosso próprio código, que segue regras fixas para cada formato de escala. Na leitura que você pede, nenhum serviço de inteligência artificial lê a sua escala, nem nosso nem de terceiros, e o arquivo não é enviado a nenhuma outra empresa para ser lido.

• Alguns PDFs são lidos no seu próprio aparelho, no navegador: o arquivo não sai do aparelho, e só os voos e as atividades lidos chegam ao WayPoint.
• Os outros PDFs vão para o armazenamento privado do WayPoint (Supabase, §4) e são lidos no nosso próprio servidor, por programas que rodam nele: o pdfjs, que extrai o texto, e o pdfplumber, que mede onde cada texto fica na página. Depois da leitura, o PDF é apagado automaticamente desse armazenamento em cerca de um dia.
• Só lemos PDFs com texto, num formato que já sabemos ler. Um PDF num formato que ainda não sabemos ler, ou escaneado, é recusado: nunca tentamos adivinhar a escala.
• Fotos e capturas de tela da escala são recusadas: não são lidas nem guardadas, e pedimos o PDF.

Base legal: execução de contrato (LGPD art. 7º, V), porque é a leitura que você pediu.

2.4 Auto-Sync (login no portal da companhia): desligado

O WayPoint não aceita a senha do portal da sua companhia aérea. A função "Auto-Sync", que pedia essa senha, nunca chegou a funcionar e foi desligada em 28 de setembro de 2026; nenhuma senha de portal está guardada. Para trazer a escala, envie o PDF, de novo sempre que a escala mudar. Qualquer integração futura com uma companhia será feita pelo login oficial da própria companhia, sem que o WayPoint veja a sua senha.

2.5 Relógio Garmin (opcional)

Você pode conectar um relógio Garmin à sua conta para ver nele as suas próximas atividades. É opcional e só começa quando você mesmo confirma, já dentro da sua conta, o código de 6 dígitos que o relógio mostra.

• O que o relógio recebe: só as suas próprias próximas atividades (de 12 horas atrás até 7 dias à frente): o código da sua companhia aérea, números de voo, aeroportos, horários de apresentação, decolagem e pouso, tipo de aeronave, a marca de voo como tripulante extra (deadhead) ou de instrução, códigos de atividade (folga, sobreaviso, treinamento), o primeiro e o último dia de uma folga ou de férias em curso, a data em que a escala foi enviada e, quando você anota, os horários de wake-up e pickup da próxima atividade. Nada sobre outras pessoas: nem nomes, nem tripulação, nem hotel.
• O que guardamos: o modelo do relógio, a data da conexão, a data do último uso e uma chave de acesso que é só daquele relógio. O código de 6 dígitos vale 10 minutos; com ele ficam o modelo e o idioma do relógio, apagados junto com o código cerca de 1 hora depois de ele expirar. O modelo e as datas aparecem na exportação dos seus dados; a chave de acesso, não.
• Aviso de conexão: toda vez que um relógio é conectado à sua conta, você recebe um aviso no WayPoint (e no celular, se as notificações estiverem ligadas), com o caminho para desconectar. Só conecte um relógio que esteja no seu pulso: se alguém lhe mandar um link ou um código de conexão, não confirme.
• No relógio ficam essa chave e a última resposta recebida, para mostrar as atividades sem conexão. O relógio fala com o WayPoint pelo aplicativo Garmin Connect do seu celular, um produto da Garmin, que segue a política de privacidade da própria Garmin.
• Como desconectar: em Configurações > Ferramentas > Relógio, ou no menu do próprio relógio. Por Configurações, a chave deixa de valer na hora; pelo menu do relógio, assim que o relógio conseguir falar com o WayPoint (se ele não conseguir, desconecte em Configurações). Ela também expira sozinha 180 dias depois do último uso, e conectar outro relógio desconecta o anterior.

Base legal: execução de contrato (LGPD art. 7º, V), porque é uma função que você pediu.

2.6 Apple Watch (opcional)

O app do WayPoint para Apple Watch funciona como o relógio Garmin do §2.5. Só começa quando você mesmo confirma, já dentro da sua conta, o código de 6 dígitos que ele mostra, e recebe os mesmos dados: só as suas próprias próximas atividades, com números de voo, aeroportos, horários, tipo de aeronave, códigos de atividade e os demais itens do §2.5, e, quando você anota, os horários de wake-up e pickup da próxima atividade. Nada sobre outras pessoas: nem nomes, nem tripulação, nem hotel. O que guardamos, o aviso de conexão, a exportação dos dados e os prazos são os do §2.5. As diferenças:

• Conexão direta: o Apple Watch fala direto com o WayPoint pela internet (pelo iPhone pareado com ele, por Wi-Fi ou pela rede celular). Não há app do WayPoint no iPhone nem serviço da Garmin no caminho.
• Só a chave de acesso: além da chave de acesso que o WayPoint cria na conexão (ela identifica essa conexão e fica ligada à sua conta), o app não nos manda nome, número de série nem outro identificador do relógio. O modelo que guardamos é só "Apple Watch", com as datas de conexão e de uso.
• No relógio ficam a chave de acesso, no armazenamento seguro do relógio (Keychain), e a última resposta recebida, que o app e as complicações e widgets do WayPoint no mostrador leem para mostrar as atividades sem conexão.
• O app não usa localização nem dados de saúde, não tem anúncios e não faz rastreamento. O download pela App Store é tratado pela Apple, segundo a política de privacidade da própria Apple.
• Um relógio por piloto: conectar um Apple Watch desconecta o relógio Garmin, e vice-versa. Para desconectar: em Configurações > Ferramentas > Relógio, ou no menu do app no relógio. Por Configurações, a chave deixa de valer na hora; pelo menu do app, assim que o relógio conseguir falar com o WayPoint (ele continua tentando; se nunca conseguir, desconecte em Configurações).

Base legal: execução de contrato (LGPD art. 7º, V), porque é uma função que você pediu.

2.7 Verificação de vínculo (foto do crachá)

• O que coletamos: se você pedir a verificação do perfil, uma foto sua segurando o crachá da sua companhia, com um código de 5 caracteres escrito à mão. Enquanto o pedido aguarda análise, guardamos também esse código e a impressão digital técnica do arquivo (eTag e tamanho), calculada pelo próprio armazenamento, para avisar o moderador se a mesma foto já foi enviada por outra conta.
• Como decidimos: a verificação é só visual. Um moderador do WayPoint olha a foto e decide se confirma o seu vínculo com a companhia. A foto não serve para mais nada: não passa por reconhecimento facial nem por inteligência artificial e não aparece no seu perfil.
• Depois da decisão: aprovado ou não, apagamos a foto e tudo o que veio dela (o código escrito à mão e a impressão digital técnica do arquivo). Nada disso fica nos nossos bancos de dados nem no nosso armazenamento. Se a exclusão da foto falhar, uma rotina tenta de novo a cada hora. Uma foto que não virou pedido (por exemplo, um envio interrompido) é apagada depois de 24 horas.
• O que guardamos: só o resultado (verificado ou não, a data e até quando vale), porque é ele que mostra o selo no seu perfil, e o registro da decisão: o moderador que decidiu, o motivo, se ele escrever um, e, se for o caso, o aviso de que a mesma foto já tinha sido enviada por outra conta. Tudo isso é excluído ao encerrar a conta.
• Cópias de segurança: as cópias de segurança automáticas do nosso provedor de banco de dados guardam os dados por até 7 dias; o código e a impressão digital apagados podem ficar nelas por esse prazo. A foto em si não entra nessas cópias.
• Nunca compartilhamos: só a moderação do WayPoint vê a foto. Ela nunca é compartilhada com ninguém, nem com a sua companhia.

Base legal: execução de contrato (LGPD art. 7º, V), porque é uma verificação que você pediu.

4. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Compartilhamos apenas com:

• Supabase: banco de dados e autenticação (DPA em vigor com cláusulas de proteção equivalente à LGPD).
• Firebase (Google): notificações push.
• Resend (EUA): envio dos e-mails do WayPoint (confirmações, avisos e novidades), com o seu e-mail e o conteúdo da mensagem.
• Hostinger: hospedagem da aplicação num servidor virtual privado (VPS) contratado pelo WayPoint, localizado em Frankfurt, Alemanha (UE).
• Umami: estatísticas de uso (páginas visitadas, origem da visita, navegador, sistema, tipo de aparelho, país aproximado e etapas do cadastro), instalado no nosso próprio servidor: esses dados não são enviados a terceiros. Não usa cookies.
• Sentry (Functional Software, Inc., EUA): monitoramento de erros a partir de 21 de setembro de 2026 e, só para testadores que aceitarem, gravação de teste. Dados armazenados em Frankfurt, Alemanha (UE), apagados após 30 dias, tratados sob o contrato de tratamento de dados do Sentry (ver §2.1 e §2.2).
• Autoridades judiciais: mediante ordem judicial formal, nos termos do Marco Civil da Internet.

A foto do crachá enviada para a verificação de vínculo nunca é compartilhada: fica só no armazenamento do WayPoint (Supabase) até um moderador decidir, e então é apagada (§2.7).

5. Transferência internacional de dados

Fornecedores acima processam dados em servidores fora do Brasil (EUA e UE). Com os fornecedores de infraestrutura (Supabase, Firebase, Hostinger e Sentry), garantimos proteção equivalente à LGPD por meio de contratos de processamento (DPA), incluindo cláusulas de segurança, confidencialidade e restrição de uso.

O envio dos e-mails do serviço pelo Resend (EUA) é necessário para prestar o serviço (LGPD art. 33, IX).

A hospedagem da aplicação (Hostinger) e os dados do Sentry (relatórios de erro e gravações de teste) ficam em Frankfurt, Alemanha. A União Europeia tem nível de proteção de dados reconhecido como adequado pela ANPD (Resolução CD/ANPD nº 32/2026; LGPD art. 33, I). O Sentry é uma empresa dos EUA e pode acessar esses dados a partir dos EUA para suporte e segurança, nos termos do seu contrato de tratamento de dados.

Na gravação de teste, o testador é informado na própria tela de aceite, antes de aceitar, de que os dados ficam fora do Brasil (LGPD art. 33, VIII).

6. Seus direitos (LGPD Art. 18)

Você tem o direito de, a qualquer momento:

• Acessar seus dados (exportação em JSON).
• Corrigir dados incompletos, inexatos ou desatualizados, incluindo o país de residência, que pode ser atualizado a qualquer momento em /configurações/dados (LGPD Art. 18, II).
• Solicitar a eliminação dos dados tratados com base em consentimento.
• Portabilidade em formato estruturado legível por máquina.
• Revogar o consentimento a qualquer momento. Um consentimento específico, como o da gravação de teste (§2.2), pode ser revogado em Configurações > Privacidade, sem encerrar a conta.
• Opor-se ao tratamento baseado em legítimo interesse (LGPD art. 18, §2º), por exemplo, desligando os relatórios de erro (§2.1) em Configurações > Privacidade.
• Saber com quem compartilhamos seus dados (§4 acima).

Registros de acesso (§3) são tratados por obrigação legal e não podem ser eliminados antes do prazo legal (LGPD art. 16, II).

7. Como exercer seus direitos (canal DSAR)

Para a maioria das solicitações, você mesmo pode agir no app:

• Exportar ou corrigir dados: /configurações/dados
• Excluir a conta: /configurações/conta → "Excluir conta"

Para casos não atendidos pelo app ou petições formais à ANPD, contate: compliance@mywpoint.com. Respondemos em até 15 dias úteis.

Você também pode acionar a Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.

8. Retenção por classe de dado

9. Segurança

Mensagens diretas são protegidas em trânsito (HTTPS) e em repouso (banco de dados criptografado da Supabase, com controle de acesso por função, a RLS). Ninguém no WayPoint lê mensagens no dia a dia: a equipe só acessa o conteúdo de uma mensagem para tratar uma denúncia feita por outro piloto ou mediante ordem judicial formal, nos termos do Marco Civil da Internet. Os demais dados são armazenados com controle de acesso por função (RLS), backups criptografados e acesso ao banco restrito a serviços autenticados. A senha da sua conta WayPoint nunca é guardada em texto: o nosso provedor de login (Supabase) guarda só uma impressão irreversível (hash) dela. O WayPoint não aceita nem guarda senhas de portais de companhias aéreas (§2.4).

10. Alterações nesta política

Mudanças materiais serão comunicadas com pelo menos 7 dias de antecedência por e-mail ou notificação no app. O histórico de versões é mantido no repositório do projeto. A atualização de 13 de setembro de 2026 foi avisada no app, e o monitoramento de erros para todos os membros só começa em 21 de setembro de 2026. A atualização de 24 de setembro de 2026 (mensagens diretas, §2 e §9) vale a partir de 1º de outubro de 2026. A atualização de 28 de setembro de 2026 não inicia nenhum tratamento novo: descreve a leitura de escala por IA que já existia (§2.3) e o desligamento do Auto-Sync (§2.4), e vale na data de publicação. A atualização de 29 de setembro de 2026 descreve o relógio Garmin (§2.5), uma função opcional que só trata dados de quem conectar um relógio, e vale na data de publicação. A atualização de 30 de setembro de 2026 descreve o app para Apple Watch (§2.6), também opcional e com os mesmos dados do relógio Garmin, e vale na data de publicação. A atualização de 1º de outubro de 2026 descreve o hotel do pernoite que a escala da Qatar imprime e os horários de wake-up e pickup que você anota (§2, §2.5, §2.6 e §8), dados que só você vê, e vale na data de publicação. A atualização de 3 de outubro de 2026 descreve a exclusão automática das contas que não terminaram o cadastro (§8), que reduz os dados guardados, e vale na data de publicação. A atualização de 16 de outubro de 2026 corrige o §2, que dizia que não coletamos nenhum documento de identificação, e descreve a foto do crachá da verificação de vínculo (§2.7, §4 e §8): a nova redação vale a partir de 23 de outubro de 2026, 7 dias depois do aviso, e a exclusão da foto assim que o moderador decide vale na data de publicação, porque só reduz o que guardamos. A atualização de 17 de outubro de 2026 corrige o §2, o §2.3, o §2.4, o §4 e o §5: na leitura que você pede, a escala não é mais lida pelo Google Gemini nem pelo Ollama, só pelo nosso próprio código e só a partir do PDF, fotos da escala são recusadas, o PDF lido no servidor é apagado em cerca de um dia e deixamos de sugerir o link de calendário; vale na data de publicação, porque só reduz o que fazemos com os seus dados.