Política de Privacidade

1. Introdução

A Coastbook (doravante "nós", "nos" ou "Plataforma") está comprometida em proteger seus dados pessoais de acordo com o Regulamento Geral de Proteção de Dados (UE) 2016/679 ("GDPR"), a Lei Grega 4624/2019 e qualquer outra legislação de proteção de dados aplicável.

Esta Política de Privacidade explica em detalhes quais dados coletamos, por que os coletamos, como os usamos, com quem os compartilhamos, por quanto tempo os mantemos e quais são seus direitos. Ela se aplica a todos os usuários da plataforma, incluindo proprietários de negócios (bares de praia), clientes que fazem reservas e visitantes do site.

Ao usar a plataforma Coastbook, você reconhece que leu e compreendeu esta política. Se você não concorda com a forma como processamos seus dados, por favor, não utilize nossos serviços.

2. Controlador de Dados

O controlador de dados das suas informações é a Coastbook, com sede na Grécia. Para qualquer questão relacionada aos seus dados pessoais, você pode nos contatar:

• Email: privacy@coastbook.gr
• Encarregado de Proteção de Dados (DPO): dpo@coastbook.gr

Nosso Encarregado de Proteção de Dados está disponível para responder a quaisquer perguntas sobre como processamos seus dados pessoais e para ajudá-lo a exercer seus direitos.

3. Dados que Coletamos

Coletamos várias categorias de dados pessoais dependendo de como você interage com nossa plataforma:

A. Dados do Cliente (Reservas)

• Nome completo — para identificação da reserva
• Endereço de e-mail — para envio de confirmação, lembretes e atualizações
• Número de telefone (opcional) — para comunicação em caso de alterações
• Data e hora da reserva, camas de praia selecionadas e zona
• Valor do pagamento e método de pagamento (online ou no local)

B. Dados de Pagamento

• Pagamentos com cartão são processados exclusivamente pela Stripe, Inc.
• Coastbook não armazena números de cartão, CVV ou detalhes completos do pagamento
• Armazenamos apenas: valor da transação, status do pagamento, identificador da Stripe

C. Dados da Conta Empresarial

• Nome do proprietário, e-mail e senha (criptografada)
• Nome da empresa, descrição, endereço, telefone, site, redes sociais
• Logotipo e foto de capa
• Detalhes do Stripe Connect para receber pagamentos
• Coordenadas geográficas (latitude/longitude) da localização

D. Dados Técnicos

• Endereço IP
• Tipo de navegador e sistema operacional
• Páginas visitadas e tempo gasto
• URL de referência
• Cookies e tecnologias similares (veja a Política de Cookies)

4. Finalidade do Tratamento

Utilizamos seus dados para os seguintes propósitos específicos:

• Processamento de reservas: Criar, confirmar, modificar e cancelar reservas de espreguiçadeiras
• Processamento de pagamentos: Cobrança via Stripe, emissão de recibos, gerenciamento de reembolsos
• Comunicação: Envio de e-mails de confirmação de reserva, lembretes prévios, relatórios diários para proprietários, notificações de cancelamento
• Gerenciamento de conta: Criar e manter contas empresariais, autenticação, gerenciamento de assinaturas
• Melhoria da plataforma: Análise de uso, detecção de bugs, otimização de desempenho, testes A/B
• Segurança: Prevenção de fraudes, detecção de atividades suspeitas, proteção contra uso malicioso
• Conformidade legal: Cumprimento de obrigações fiscais, resposta a ordens judiciais ou solicitações de autoridades

5. Base Legal para o Tratamento

Cada atividade de processamento de dados é baseada em uma das seguintes bases legais do GDPR:

• Execução de contrato (Artigo 6(1)(b)): O processamento é necessário para cumprir reservas, pagamentos e operar contas comerciais. Sem esses dados, não podemos fornecer nossos serviços.
• Interesse legítimo (Artigo 6(1)(f)): Para melhoria da plataforma, análise de uso, prevenção de fraudes e segurança. Realizamos um teste de equilíbrio para garantir que nossos interesses não sobreponham seus direitos.
• Consentimento (Artigo 6(1)(a)): Para cookies de análise e marketing. Você pode retirar seu consentimento a qualquer momento através das configurações de cookies ou entrando em contato conosco.
• Obrigação legal (Artigo 6(1)(c)): Para manutenção de documentos fiscais e registros contábeis de acordo com o Código de Procedimento Tributário Grego (Lei 4174/2013) e o Código de Livros e Registros.

6. Destinatários dos Dados

Seus dados podem ser compartilhados com os seguintes destinatários, exclusivamente para os fins descritos acima:

• Empresas de praia: Os proprietários recebem detalhes da reserva (nome, email, telefone, detalhes da reserva) para atendê-lo. As empresas atuam como controladoras independentes de dados para os dados que recebem.
• Stripe, Inc.: Para processamento de pagamentos. A Stripe está baseada nos EUA e é certificada sob o EU-US Data Privacy Framework. Política de Privacidade da Stripe.
• Cloudflare, Inc.: Para CDN (Rede de Distribuição de Conteúdo), proteção contra DDoS e armazenamento de arquivos (R2). Política de Privacidade da Cloudflare.
• Mapbox, Inc.: Para fornecimento de mapas e serviços geoespaciais. Política de Privacidade da Mapbox.
• Provedores de email: Para envio de emails transacionais (confirmações, lembretes, etc.).
• Google Analytics: Para análise de uso (apenas com seu consentimento). Política de Privacidade do Google.

Não vendemos, alugamos ou trocamos seus dados pessoais com terceiros para seus próprios fins comerciais.

7. Retenção de Dados

Retemos seus dados apenas pelo tempo necessário para a finalidade para a qual foram coletados:

• Dados de reserva do cliente: 3 anos após a data da reserva, para lidar com possíveis reclamações ou disputas
• Documentos fiscais e recibos: 5 anos de acordo com o Código de Procedimento Fiscal Grego (Lei 4174/2013)
• Dados da conta empresarial: Até a exclusão da conta pelo usuário, mais um período de carência de 30 dias
• Registros técnicos: 90 dias
• Dados analíticos (agregados): 26 meses

Após o término do período de retenção, os dados são permanentemente excluídos ou totalmente anonimizados, de modo que não possam mais ser associados a você.

8. Segurança dos Dados

Implementamos medidas técnicas e organizacionais adequadas (Artigo 32 do GDPR) para proteger seus dados contra acesso não autorizado, perda, destruição ou alteração:

Medidas técnicas:

• Criptografia SSL/TLS (TLS 1.2+) em todas as comunicações
• Armazenamento seguro de senhas com hashing bcrypt
• Proteção CSRF em todos os formulários
• Backups automatizados do banco de dados
• Firewall de Aplicação Web (WAF) via Cloudflare
• Conformidade com PCI DSS via Stripe (não armazenamos dados do cartão)

Medidas organizacionais:

• Princípio do menor privilégio — acesso restrito apenas ao pessoal autorizado
• Auditorias de segurança regulares
• Protocolo de resposta a incidentes de violação de dados

9. Seus Direitos

De acordo com o GDPR (Artigos 15-22), você tem os seguintes direitos em relação aos seus dados pessoais:

• Direito de acesso (Artigo 15): Saber se processamos seus dados, receber uma cópia deles e informações sobre o processamento
• Direito de retificação (Artigo 16): Solicitar a correção de dados imprecisos ou a complementação de dados incompletos
• Direito de eliminação (Artigo 17): Solicitar a exclusão de seus dados em certas condições
• Direito de restrição (Artigo 18): Solicitar a restrição do processamento enquanto uma disputa está sendo examinada
• Direito à portabilidade dos dados (Artigo 20): Receber seus dados em um formato legível por máquina (JSON/CSV)
• Direito de objeção (Artigo 21): Objeção ao processamento com base em interesse legítimo ou para marketing direto
• Direito de retirar o consentimento: Retirar seu consentimento a qualquer momento, sem afetar a legalidade do processamento anterior

Responderemos à sua solicitação dentro de 30 dias. Em casos complexos, o prazo pode ser estendido em 60 dias, com notificação a você.

Para informações detalhadas e instruções sobre cada direito, visite a página Direitos do GDPR.

10. Transferências Internacionais de Dados

Alguns dos nossos prestadores de serviços estão localizados fora da Área Econômica Europeia (EEE), principalmente nos EUA. Nesses casos, garantimos que seus dados estejam protegidos através de:

• Quadro de Privacidade de Dados UE-EUA (DPF): Stripe e Cloudflare são certificados sob o DPF
• Cláusulas Contratuais Padrão (SCCs): Onde não existe uma decisão de adequação, utilizamos SCCs aprovadas pela Comissão Europeia

Você pode solicitar uma cópia das salvaguardas apropriadas entrando em contato com privacy@coastbook.gr.

11. Cookies

Utilizamos cookies e tecnologias semelhantes para a operação, análise e melhoria da plataforma. Os cookies são categorizados em necessários, analíticos e de marketing. Cookies não essenciais são ativados apenas com o seu consentimento explícito.

Para informações detalhadas sobre os cookies que utilizamos, seus propósitos e como gerenciá-los, consulte nossa Política de Cookies.

12. Privacidade das Crianças

A plataforma Coastbook não é direcionada a indivíduos com menos de 18 anos. Não coletamos intencionalmente dados de menores. As reservas devem ser feitas por adultos (18+). Se descobrirmos que coletamos dados de um menor, iremos deletá-los imediatamente. Se você acredita que um menor nos forneceu dados pessoais, entre em contato com privacy@coastbook.gr.

13. Alterações a esta Política

Podemos atualizar esta política de tempos em tempos para refletir mudanças em nossas práticas, legislação ou serviços. Em caso de mudanças significativas:

• Publicaremos a política atualizada em nosso site
• Atualizaremos a data de "Última atualização" no topo
• Para mudanças significativas, notificaremos você por e-mail ou por uma notificação na plataforma

Incentivamos você a verificar periodicamente esta página. O uso contínuo da plataforma após a publicação das mudanças constitui aceitação da política atualizada.