Política de Privacidade e Proteção de DadosPolítica de PrivacidadePolítica de Privacidadee Proteção de Dadose Proteção de Dados

1. Identificação do Controlador

A presente Política de Privacidade aplica-se à plataforma GRAX TRIPPAY, operada por GRAX TRIPPAY LTDA, pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 65.805.463/0001-76, na qualidade de Controladora de Dados Pessoais, nos termos da Lei Geral de Proteção de Dados Pessoais (LGPD).

Para fins desta Política, a Controladora é responsável pelas decisões referentes ao tratamento de dados pessoais realizados no âmbito da plataforma. A GRAX TRIPPAY poderá ser contatada por meio dos seguintes canais:

E-mail para assuntos de privacidade e proteção de dados: dpo@graxtrippay.com.br

Site: www.graxtrippay.com.br

O titular dos dados pessoais poderá utilizar os canais acima para exercer seus direitos previstos na LGPD, bem como para esclarecimentos relacionados ao tratamento de seus dados.

2. Natureza da Atividade

A GRAX TRIPPAY consiste em uma plataforma digital de intermediação tecnológica, integrante do ecossistema GRAX, destinada à organização, registro e viabilização de serviços turísticos contratados entre usuários.

A plataforma atua exclusivamente como facilitadora tecnológica, conectando motoristas parceiros, devidamente cadastrados e ativos no sistema, a passageiros viajantes interessados na contratação de serviços turísticos, não realizando, em nenhuma hipótese, a execução direta de transporte, turismo ou qualquer atividade correlata.

A GRAX TRIPPAY não se caracteriza como:

• prestadora de serviço de transporte;
• operadora de turismo;
• agência de viagens;
• empregadora, contratante ou gestora da atividade dos motoristas parceiros.

Os motoristas cadastrados atuam de forma autônoma e independente, sendo integralmente responsáveis:

• pela execução do serviço contratado;
• pela regularidade de sua atividade perante os órgãos competentes, incluindo cadastros obrigatórios quando aplicável;
• pela obtenção de licenças, autorizações e seguros exigidos pela legislação vigente.

A plataforma limita-se a fornecer:

• infraestrutura tecnológica para conexão entre as partes;
• registro das condições do serviço, incluindo valores, trajetos e dados operacionais;
• organização e apoio à conciliação financeira, por meio de parceiros terceiros;
• ferramentas de monitoramento e rastreabilidade operacional.

Não há, entre a GRAX TRIPPAY e os motoristas parceiros, qualquer vínculo de natureza trabalhista, societária ou de subordinação, sendo a relação regida exclusivamente por contratos de natureza civil e comercial.

A atuação da plataforma observa as diretrizes da Lei nº 11.771/2008, bem como demais normas aplicáveis ao setor de turismo e transporte, posicionando-se como solução tecnológica de apoio à formalização, organização e transparência das atividades turísticas.

3. Tratamento de Dados Pessoais

O tratamento de dados pessoais realizado pela plataforma ocorre de forma necessária, proporcional e adequada às finalidades operacionais do ecossistema, observando os princípios estabelecidos na LGPD. Os dados pessoais são tratados para as seguintes finalidades específicas:

• Execução do contrato: viabilizar o cadastro de usuários, registro de serviços, emissão de ordens de serviço, intermediação entre as partes e organização financeira das transações realizadas na plataforma;
• Cumprimento de obrigação legal e regulatória: atender exigências de órgãos públicos, incluindo autoridades fiscais, órgãos de turismo, fiscalização de transporte e demais entidades competentes;
• Segurança operacional e rastreabilidade: garantir a integridade das operações, monitoramento de serviços contratados, prevenção de incidentes e suporte à segurança dos usuários;
• Prevenção à fraude e uso indevido da plataforma: identificação, mitigação e registro de atividades suspeitas ou ilícitas;
• Suporte e atendimento ao usuário: gestão de solicitações, comunicações operacionais e resolução de demandas relacionadas aos serviços contratados.

O tratamento de dados pessoais fundamenta-se, prioritariamente, nas seguintes hipóteses previstas na LGPD:

• Execução de contrato ou de procedimentos preliminares relacionados ao contrato (art. 7º, V);
• Cumprimento de obrigação legal ou regulatória pelo controlador (art. 7º, II).

A plataforma não realiza tratamento de dados pessoais baseado em consentimento como regra geral, limitando seu uso apenas quando estritamente necessário e específico. Todos os tratamentos são realizados com observância aos princípios da finalidade, adequação, necessidade, segurança, prevenção e responsabilização, sendo adotadas medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.

4. Segurança da Informação

A GRAX TRIPPAY adota medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados, destruição, perda, alteração, comunicação ou difusão indevida, em conformidade com o art. 46 da LGPD. As medidas implementadas consideram:

• padrões de segurança da informação e boas práticas de mercado (art. 46, §1º);
• criptografia de dados em trânsito, mediante protocolo TLS 1.3 ou superior;
• criptografia de dados em repouso em bancos de dados e backups;
• controle de acesso com autenticação de dois fatores (MFA) para administradores;
• registro de logs de acesso retidos por período mínimo de 180 (cento e oitenta) dias;
• monitoramento contínuo de vulnerabilidades e testes de segurança periódicos;
• política de senhas fortes e renovação periódica para colaboradores;
• controle de acesso restrito e autenticação de usuários;
• proteção contra incidentes de segurança e acessos indevidos;
• ambientes controlados e monitorados.

Na hipótese de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a GRAX TRIPPAY adotará as providências cabíveis, incluindo comunicação à autoridade competente e aos titulares, nos termos do art. 48 da LGPD.

5. Denúncias, Assédio e Afastamento Preventivo

A plataforma adota política de tolerância zero a condutas abusivas, incluindo assédio, discriminação ou qualquer comportamento que viole direitos fundamentais dos usuários. Mediante denúncia formal, acompanhada de elementos mínimos de verossimilhança, a GRAX TRIPPAY poderá:

• suspender preventivamente o acesso do motorista parceiro;
• restringir funcionalidades da conta;
• promover o bloqueio ou exclusão da conta, quando necessário.

Sempre que possível, o motorista parceiro será notificado previamente sobre a denúncia e terá prazo de 48 (quarenta e oito) horas para apresentar manifestação, salvo em situações de risco iminente à integridade física ou à segurança dos usuários. Em caso de bloqueio ou exclusão definitiva, será garantido o direito de recurso administrativo por meio do canal do DPO.

As medidas poderão ser adotadas de forma preventiva, com base na necessidade de proteção dos usuários e da integridade da plataforma, observando os princípios da prevenção e segurança (art. 6º, VII e VIII da LGPD) e o dever de proteção do ambiente digital (art. 7º, V). A eventual reversão da medida poderá ocorrer mediante apuração interna, retirada da denúncia ou decisão judicial aplicável.

6. Responsabilidade Legal da Plataforma

A GRAX TRIPPAY atua exclusivamente como intermediadora tecnológica, não executando diretamente os serviços ofertados por meio da plataforma. Dessa forma, sua responsabilidade limita-se às atividades sob seu controle direto, incluindo a disponibilização da infraestrutura tecnológica e o correto funcionamento da plataforma.

A responsabilidade pelos serviços prestados é integralmente dos motoristas parceiros, que atuam de forma autônoma e independente. A atuação da plataforma observa o Código Civil Brasileiro, o Código de Defesa do Consumidor, o Marco Civil da Internet e a LGPD (Lei nº 13.709/2018).

A GRAX TRIPPAY não se responsabiliza por condutas individuais dos motoristas parceiros, execução dos serviços contratados e obrigações legais, fiscais ou regulatórias dos prestadores.

7. Retenção de Dados

Os dados pessoais serão armazenados pelos seguintes prazos máximos, contados a partir do encerramento da relação contratual ou da última interação do usuário:

• Dados cadastrais, tais como nome, CPF, e-mail e telefone: 5 (cinco) anos, para cumprimento de obrigações legais e fiscais;
• Dados de transações e ordens de serviço: 5 (cinco) anos, conforme legislação tributária e consumerista;
• Dados de localização e rastreamento: 180 (cento e oitenta) dias, para segurança operacional e prevenção à fraude;
• Logs de acesso e auditoria: 180 (cento e oitenta) dias, para segurança da informação;
• Dados para prevenção à fraude: até 3 (três) anos, quando houver registro de incidente ou suspeita fundada.

Os dados poderão ser mantidos, ainda que após o encerramento da relação contratual, quando necessários para cumprimento de obrigações legais, auditorias, prevenção a fraudes ou defesa em processos judiciais. Encerrado o prazo de retenção aplicável, os dados serão eliminados ou anonimizados, nos termos do art. 16 da LGPD.

8. Atualizações desta Política

A presente Política poderá ser atualizada a qualquer tempo, a critério da GRAX TRIPPAY, para refletir alterações legais, regulatórias ou operacionais. Sempre que houver alterações relevantes, os usuários serão informados por meio dos canais disponíveis na plataforma.

Sempre que houver alterações relevantes, incluindo mudança de finalidades, compartilhamento com novos tipos de terceiros ou alteração de prazos de retenção, os usuários serão notificados de forma destacada por e-mail ou notificação push na plataforma. A continuidade do uso após o início da vigência da nova versão implicará aceitação, ressalvado o direito de cancelamento do cadastro a qualquer tempo. A versão vigente da Política estará sempre disponível para consulta na plataforma.

9. Compartilhamento de Dados Pessoais

A GRAX TRIPPAY poderá compartilhar dados pessoais com terceiros, exclusivamente quando necessário ao cumprimento das finalidades descritas nesta Política, observando os princípios da necessidade, adequação e finalidade (art. 6º da LGPD).

9.1. Parceiros Operacionais

Provedores de infraestrutura tecnológica, cloud, hospedagem, sistemas de processamento e conciliação de pagamentos e ferramentas de suporte e atendimento. Atuam como operadores de dados (art. 5º, VII da LGPD).

9.2. Motoristas Parceiros e Usuários

Identificação básica, informações do serviço contratado e dados operacionais necessários à execução do serviço, com fundamento na execução de contrato (art. 7º, V).

9.3. Órgãos Públicos e Autoridades Competentes

Cumprimento de obrigações legais ou regulatórias, atendimento a requisições formais de autoridades e suporte à fiscalização (art. 7º, II; art. 23).

9.4. Parceiros de Seguros e Proteção ao Usuário

Contratação de cobertura, incluindo APP e RC, análise de risco e eventual regulação de sinistros (art. 7º, V e VI).

9.5. Prevenção à Fraude e Segurança

Parceiros especializados em prevenção à fraude, análise de risco e segurança da informação (art. 7º, V e X; art. 6º, VII e VIII).

9.6. Transferência Internacional de Dados

A GRAX TRIPPAY utiliza serviços de infraestrutura em nuvem e processamento de dados que podem envolver transferência internacional, especialmente para os seguintes países e provedores:

• Estados Unidos: AWS (Amazon Web Services), Google Cloud e Firebase;
• Irlanda: Meta (Facebook), para ferramentas de analytics e publicidade.

Nessas hipóteses, a GRAX TRIPPAY adota as seguintes garantias previstas no art. 33 da LGPD:

• cláusulas contratuais padrão que asseguram nível de proteção equivalente ao da LGPD;
• certificações internacionais de segurança, tais como ISO 27001 e SOC 2, dos provedores;
• criptografia de dados em trânsito e em repouso.

O titular pode solicitar informações adicionais sobre as transferências por meio do canal do DPO.

Diretriz geral: a GRAX TRIPPAY não comercializa dados pessoais e não realiza compartilhamentos fora das hipóteses descritas nesta Política.

10. Direitos do Titular de Dados

Nos termos do art. 18 da LGPD, o titular possui os seguintes direitos: confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos, inexatos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos, portabilidade, eliminação dos dados tratados, informação sobre compartilhamentos, informação sobre a possibilidade de não fornecimento de dados e suas consequências, e revisão de decisões automatizadas.

10.1. Forma de Exercício dos Direitos

Solicitação expressa pelo canal de atendimento indicado nesta Política. A GRAX TRIPPAY poderá solicitar informações adicionais para confirmação de identidade.

10.2. Prazo de Resposta

As requisições serão atendidas em até 15 (quinze) dias, contados da confirmação da identidade do titular, prorrogáveis por mais 15 (quinze) dias mediante justificativa fundamentada, nos termos do art. 19 da LGPD.

10.3. Limitações aos Direitos

Quando houver obrigação legal de retenção (art. 16), necessidade para cumprimento de contrato (art. 7º, V) ou exercício regular de direitos em processos (art. 7º, VI).

11. Governança em Proteção de Dados e Compliance

11.1. Programa de Governança em Privacidade

Nos termos do art. 50 da LGPD: políticas e procedimentos internos, aplicação dos princípios da LGPD (art. 6º), definição de responsabilidades, revisão periódica e mecanismos de prevenção e mitigação de riscos.

11.2. Registro das Operações de Tratamento (ROPA)

Finalidades, categorias de dados, hipóteses de tratamento, agentes de tratamento e fluxos de compartilhamento (art. 37 da LGPD).

11.3. Gestão de Riscos e Segurança

Identificação e avaliação de riscos, controles técnicos e administrativos, monitoramento contínuo e revisão de vulnerabilidades.

11.4. Treinamento e Conscientização

Capacitação interna em boas práticas de segurança, tratamento adequado de dados e prevenção de incidentes.

11.5. Auditoria e Melhoria Contínua

Revisões periódicas para garantir conformidade, identificar melhorias e adequar-se a novas exigências regulatórias.

12. Encarregado pelo Tratamento de Dados (DPO)

Canal de comunicação nos termos do art. 41 da LGPD, para exercício de direitos (art. 18), esclarecimento de dúvidas e registro de solicitações ou reclamações.

12.1. Canal de Contato do Encarregado

E-mail: dpo@graxtrippay.com.br

Responsável: Bruno Ferreira

12.2. Atribuições do Encarregado

Canal entre a GRAX TRIPPAY, os titulares dos dados e a ANPD; recebe e trata solicitações, orienta colaboradores e apoia a conformidade com a LGPD.

12.3. Modelo de Atuação

Modelo simplificado de atendimento, compatível com sua estrutura operacional, garantindo transparência, acessibilidade e efetividade.

13. Disposições Finais

A presente Política estabelece as diretrizes aplicáveis ao tratamento de dados pessoais no âmbito da plataforma GRAX TRIPPAY, parte integrante das condições de uso e da relação contratual com seus usuários.

Ao utilizar a plataforma, o usuário declara ciência das disposições aqui previstas, estando o tratamento de dados fundamentado nas hipóteses legais aplicáveis, especialmente execução de contrato e cumprimento de obrigações legais e regulatórias, nos termos da LGPD.

Dúvidas quanto à interpretação desta Política: dpo@graxtrippay.com.br

Esta Política entra em vigor na data de sua publicação e permanecerá válida por prazo indeterminado, podendo ser atualizada conforme necessidade legal, regulatória ou operacional.