Este Contrato de tratamento de dados ("Contrato de Dados") faz parte dos Termos de uso e regula o tratamento de dados pessoais que a DENIA ("Operadora") realiza por conta do Cliente ("Controlador") ao prestar o serviço, conforme a Lei nº 13.709/2018 (LGPD), em especial os arts. 37 a 41, e, quando aplicável, o art. 28 do GDPR. O aceite dos Termos inclui o aceite deste Contrato de Dados.
1. Objeto e papéis
O Cliente é o controlador dos dados pessoais dos seus clientes finais, hóspedes, contatos e equipe que inserir ou receber pela plataforma. A DENIA é a operadora e trata esses dados somente para prestar o serviço contratado e de acordo com as instruções documentadas do Cliente, que são as configurações e os comandos feitos na plataforma e estes Termos.
2. Obrigações do Cliente (controlador)
- Ter base legal para o tratamento (por exemplo, execução de contrato com o cliente ou hóspede, ou legítimo interesse) e dar aos titulares as informações exigidas pela lei.
- Não inserir dados sensíveis (saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, vida sexual, dados genéticos) nem dados de crianças, salvo quando necessário e com a base legal adequada.
- Configurar a plataforma de forma lícita e atender os pedidos dos titulares, com o apoio da DENIA.
3. Obrigações da DENIA (operadora)
- Tratar os dados apenas para as finalidades do serviço e nunca para fins próprios, como venda de dados, publicidade ou treinamento de modelos de IA de terceiros.
- Manter separados os dados de cada Cliente: os dados de uma empresa não são usados no atendimento nem no aprendizado de outra.
- Garantir que as pessoas autorizadas a tratar os dados tenham compromisso de confidencialidade.
- Adotar as medidas de segurança do Anexo II.
- Apoiar o Cliente no atendimento aos direitos dos titulares (acesso, correção, portabilidade, exclusão etc.), em relatórios de impacto e em pedidos da ANPD, na medida do que estiver ao seu alcance.
- Comunicar o Cliente sobre incidente de segurança que envolva os dados dele sem demora injustificada e em até 48 horas da confirmação, com as informações disponíveis sobre a natureza do incidente, os dados e titulares afetados, as medidas tomadas e as recomendadas, para que o Cliente cumpra o prazo da Resolução CD/ANPD nº 15/2024.
4. Suboperadores
O Cliente autoriza a DENIA a usar os suboperadores do Anexo III. A DENIA exige deles obrigações de proteção de dados compatíveis com este Contrato de Dados e responde perante o Cliente pelos atos deles, nos limites dos Termos. A inclusão ou troca de suboperadores será informada nesta página com 15 dias de antecedência; o Cliente que discordar por motivo razoável pode cancelar sem multa.
5. Transferência internacional
Quando suboperadores tratarem dados fora do Brasil, a transferência seguirá os arts. 33 a 36 da LGPD e a Resolução CD/ANPD nº 19/2024, com cláusulas-padrão contratuais ou outro mecanismo válido, e, quando aplicável, o Capítulo V do GDPR (cláusulas contratuais-padrão da Comissão Europeia).
6. Auditoria e comprovação
A DENIA fornecerá, mediante pedido razoável e no máximo uma vez por ano (ou após um incidente), as informações necessárias para demonstrar o cumprimento deste Contrato de Dados, como descrição das medidas de segurança e relatórios dos suboperadores, preservando o sigilo de outros clientes e a segurança da plataforma.
7. Término: devolução e exclusão
Ao fim do contrato, o Cliente pode exportar os dados em até 30 dias. Depois disso, a DENIA exclui ou anonimiza os dados do Cliente em até 60 dias, inclusive em cópias de segurança no ciclo normal de substituição, salvo a guarda exigida por lei.
8. Responsabilidade
Cada parte responde pelos danos que causar por descumprir a LGPD ou este Contrato de Dados, conforme os arts. 42 a 45 da LGPD, observadas as limitações dos Termos sempre que a lei permitir.
Anexo I — Dados e titulares
- Titulares: clientes finais e potenciais clientes do Cliente; hóspedes e interessados em reservas; profissionais e prestadores do Cliente; equipe do Cliente.
- Dados: nome, telefone, e-mail, mensagens e áudios (transcritos), endereço e detalhes informados pelo próprio titular, datas e valores de reservas, número de hóspedes, preferências e histórico de atendimento, dados de acesso da equipe.
- Finalidades: atendimento automatizado e humano, organização de pedidos e reservas, calendários, preços, mensagens com hóspedes, relatórios, marketing autorizado pelo Cliente.
- Duração: enquanto durar o contrato, mais os prazos do item 7.
Anexo II — Medidas de segurança
- Criptografia em trânsito (HTTPS/TLS) e cifra (AES-GCM) de tokens, chaves e segredos de integração.
- Senhas guardadas apenas como hash (PBKDF2 com sal), sessões assinadas, bloqueio após tentativas erradas e proteção contra requisições forjadas.
- Controle de acesso por perfil (proprietário, administrador, atendente, somente leitura, revisor) e separação dos dados por empresa.
- Registro de auditoria das ações relevantes e dos aceites.
- Verificação de assinatura das mensagens recebidas da Meta, do Telegram, do gerenciador de canais e do meio de pagamento.
- Mínimo necessário enviado aos provedores de IA, sem uso para treinamento de modelos desses provedores, conforme as políticas deles para uso por API.
- Infraestrutura em nuvem de fornecedor com certificações de segurança reconhecidas.
Anexo III — Suboperadores
- Cloudflare, Inc. — hospedagem, banco de dados e rede (EUA e global).
- OpenAI, L.L.C. — processamento de linguagem, transcrição, imagens e voz (EUA).
- Meta Platforms — WhatsApp Business Platform, Instagram e Facebook, quando conectados (EUA/Irlanda).
- Google LLC — Google Business Profile, quando conectado (EUA).
- Asaas Gestão Financeira S.A. — cobrança e nota fiscal (Brasil).
- Resend — e-mails transacionais (EUA).
- Telegram — avisos à equipe, quando conectado (Emirados Árabes Unidos/global).
- Channex — gerenciador de canais para Airbnb, Booking.com e Vrbo, quando conectado (Reino Unido/UE).
- ElevenLabs — voz personalizada, quando o Cliente conecta a conta dele (EUA/UE).
Versão 2026-10-16 · Última atualização: 16 de outubro de 2026.