O Viaondo guarda o que as agências de viagens confiam a ele: os nomes dos seus clientes, passagens, vouchers e cópias de passaporte. Esta página explica, em termos simples, como esses dados são protegidos, incluindo o que ainda não temos. A parte jurídica está na política de privacidade, no contrato de tratamento de dados e na lista de suboperadores.
Onde ficam os dados
- Banco de dados e arquivos na União Europeia. Viagens, viajantes, documentos e configurações ficam armazenados na Cloudflare sob jurisdição da UE (o banco de dados D1 e o armazenamento de arquivos R2). A aplicação é executada na rede da Cloudflare, no local mais próximo de cada usuário.
- Os arquivos são privados. O navegador nunca se comunica diretamente com o armazenamento de arquivos. Cada arquivo passa pelo Viaondo, que verifica quem está pedindo antes de entregá-lo.
- Backups, também na UE. O banco de dados pode ser restaurado em qualquer minuto dos últimos 30 dias; uma exportação completa é guardada toda semana por 84 dias, e a restauração é ensaiada todo mês; e os arquivos são copiados toda noite para um bucket separado, que guarda cada cópia por pelo menos 30 dias e não permite sobrescrevê-las.
Uma agência nunca vê os dados de outra
- Cada solicitação aos dados de uma agência verifica se a pessoa conectada é membro dessa agência. Para qualquer outra pessoa, a agência não existe: ela recebe “não encontrado”, nunca “proibido”.
- Cada consulta ao banco de dados fica restrita à agência e é montada com parâmetros vinculados, nunca a partir de um texto que alguém digitou.
- Proprietários e membros têm permissões diferentes: só o proprietário altera as configurações da agência, convida ou remove pessoas e apaga viagens definitivamente.
Links da viagem
Os viajantes abrem a viagem por um link privado, sem conta. Esse link é a chave, então o tratamos como tal:
- Cada link contém 32 bytes aleatórios. O banco de dados guarda apenas uma impressão digital dele (SHA-256) para encontrá-lo, além de uma cópia criptografada para que a agência possa copiá-lo de novo.
- Um link só funciona enquanto a viagem estiver publicada e o link não tiver sido revogado. Arquivar uma viagem suspende os seus links; a agência pode revogar um link ou todos eles, e um viajante removido da viagem perde o acesso na hora.
- Um link pessoal mostra a esse viajante apenas os documentos e os assentos dele.
- As páginas pedem aos navegadores que nunca repassem o link a outros sites (política no-referrer), as pré-visualizações de links nos chats mostram apenas a agência, e o link nunca aparece nos nossos registros.
O que um link não consegue fazer: qualquer pessoa que o tenha pode abrir o que ele mostra, e revogá-lo não apaga uma cópia já salva offline em um celular. Se um link for compartilhado por engano, revogue-o e envie um novo.
Documentos e envios
- Cada envio é verificado de três formas (os primeiros bytes, o tipo e a extensão), e só são aceitos PDFs e imagens comuns, dentro dos limites de tamanho.
- Os arquivos são entregues com cabeçalhos que impedem o navegador de executar qualquer coisa que esteja dentro deles.
- Passagens, vouchers e cópias de passaporte são apagados 30 dias depois do fim da viagem, junto com o que foi lido deles.
- A cópia offline no celular do viajante é verificada arquivo por arquivo, pelo tamanho e pela impressão digital, antes que o app diga que a viagem está salva.
Acesso à conta
- Os usuários das agências entram com um link por e-mail, uma senha ou o Google. As senhas nunca são guardadas em texto simples.
- Os formulários de acesso são protegidos contra bots com o Cloudflare Turnstile, e as tentativas de acesso têm limite de frequência.
- As sessões podem ser revisadas e encerradas no perfil, dispositivo por dispositivo.
Registros e análise
- Não registramos as solicitações. A aplicação registra apenas nomes de eventos, identificadores e códigos de erro: nunca links de viagem, texto de documentos, endereços de e-mail ou o que a IA leu.
- O site público usa contagens de visitas agregadas e sem cookies. O painel e o app do viajante não carregam ferramentas de análise nem scripts de terceiros.
- Quando um viajante abre uma viagem, o Viaondo registra que o link foi aberto, que a viagem foi salva offline ou que um documento foi visualizado, sem o endereço IP, o dispositivo nem cookies, para que a agência saiba que a viagem chegou. Esses registros são apagados depois de 13 meses.
Pagamentos
As agências pagam em páginas hospedadas pela Stripe. Os dados do cartão vão diretamente para a Stripe: o Viaondo nunca os vê nem os guarda, e o painel mostra apenas a bandeira do cartão, os quatro últimos dígitos e a validade.
IA
Os documentos lidos pela IA vão para o NaN, na União Europeia, que não guarda nem os documentos nem as respostas e não treina modelos com eles. Instruções escondidas dentro de um documento são ignoradas, e nada do que a IA adiciona chega aos viajantes até a agência publicar. Os detalhes estão na página sobre IA.
O que ainda não temos
- Nenhuma certificação SOC 2 ou ISO 27001. Os nossos provedores (Cloudflare, Stripe) têm as suas próprias.
- Ainda não há login único (SAML) nem verificação em duas etapas obrigatória para as equipes das agências.
- Não há um registro de auditoria dedicado em que as agências possam ver quem alterou o quê (cada viagem guarda as suas versões publicadas).
O Viaondo é uma empresa pequena. Se você precisa de respostas para uma avaliação de segurança ou um questionário de fornecedores, escreva para nós e responderemos por escrito.
Relatar um problema
Se você encontrar um problema de segurança, escreva para info@viaondo.com contando o que encontrou e como reproduzi-lo. Respondemos em até dois dias úteis e pedimos que você nos dê um prazo razoável para corrigi-lo antes de torná-lo público. O mesmo contato está publicado no nosso security.txt.
Você pode conferir se o serviço está funcionando na página de status.