---
title: "Privacidade"
url: https://tourcockpit.com/pt/privacy
lang: pt
description: "O que o TourCockpit recolhe, onde é tratado, quem mais lhe toca, e como recuperá-lo ou mandá-lo eliminar. Escrito para ser lido e não para ser suportado: os pormenores estão cá dentro, incluindo a região onde está a base de dados e todas as empresas de que dependemos."
---

# Privacidade

O que o TourCockpit recolhe, onde é tratado, quem mais lhe toca, e como recuperá-lo ou mandá-lo eliminar. Escrito para ser lido e não para ser suportado: os pormenores estão cá dentro, incluindo a região onde está a base de dados e todas as empresas de que dependemos.

## Quem é responsável por quê?

O TourCockpit é operado pela IdeaPlaces. Quanto aos dados sobre a sua empresa e as pessoas que iniciam sessão, somos nós que decidimos o que é recolhido e porquê, pelo que somos o responsável pelo tratamento. Quanto aos dados operacionais que o seu escritório coloca no produto, acima de tudo os passageiros das suas excursões, é a sua empresa que decide o que entra e para que é usado, e nós guardamo-los e agimos segundo as suas instruções, pelo que a sua empresa é o responsável pelo tratamento e nós somos o subcontratante.

Na prática: o nome de um passageiro numa lista pertence à empresa de excursões que o introduziu. Não o usamos para nada além de fazer funcionar o produto para essa empresa.

## O que é recolhido?

| Categoria | O que é | Porquê |
| --- | --- | --- |
| Conta | Nome, endereço de e-mail, função, a empresa, a língua que a pessoa escolheu e quando a escolheu, que avisos recebe em cada empresa para a qual trabalha e como lhe chega cada um, a forma como enviou o painel do dia da última vez: o ficheiro, os dias e para quais dos seus próprios colegas foi, e, na agência de um revendedor, se já viu ou fechou o convite para trazer os seus colegas | Para iniciar a sessão de uma pessoa, decidir o que pode ver, escrever-lhe na sua língua, abrir a janela de exportação como a deixou e não voltar a perguntar a uma agência o que ela já respondeu |
| Credenciais | Um hash da palavra-passe (Argon2id, nunca a palavra-passe), a última vez que alguém iniciou sessão com o Google onde é essa a forma de iniciar sessão, o dia em que uma pessoa entrou pela primeira vez, e as sessões que uma pessoa tem abertas | Para iniciar sessão, para saber que um convite foi aceite e os lembretes podem parar, e para terminar todas as outras sessões quando a palavra-passe muda |
| Operacionais | Reservas, passageiros, horas de recolha, hotéis, veículos, guias, operadores turísticos, as notas que um escritório escreve | Isto é o produto: o painel diário, as listas de passageiros e o acerto de fim de mês são construídos a partir destes dados |
| Mensagens | Os emails que o produto envia, guardados tal como foram escritos, e cada mensagem de WhatsApp que envia, como a mensagem e as palavras nela preenchidas. Na cópia que é enviada, cada link passa por TourCockpit e é adicionada uma imagem de um pixel, pelo que registamos quando a pessoa abriu o email, em que links clicou, e o nome que o seu navegador ou programa de correio indica | Para que um escritório possa responder à pergunta «o que é que esta pessoa recebeu exatamente», e para que possamos saber que emails são lidos e que links são usados |
| Conversas com o Faro | O que alguém perguntou ao Faro e o que ele respondeu, guardado com os dados da própria empresa. Ao lado de uma resposta que desenhou um pedaço do painel, um dia, uma partida ou uma só reserva, as linhas de que esse pedaço foi desenhado são guardadas com ela: os hóspedes, os quartos, os números de telefone e o dinheiro tal como estavam naquele momento, e nada que a pessoa que perguntou não pudesse já ver. Só são lidas de novo quando alguém analisa essa conversa: um Proprietário da empresa, para as conversas do próprio escritório e nunca para as da agência de um revendedor, ou o pessoal do próprio TourCockpit, que pode ler qualquer uma delas e ouvir o som das suas chamadas, ficando cada reprodução e cada transferência registada em nome da pessoa que a fez | Para que uma resposta errada possa ser explicada a partir do que foi realmente mostrado à pessoa, e não apenas do que o Faro disse sobre ela |
| Conversas de WhatsApp | Cada mensagem de WhatsApp entre o número do produto e as pessoas de uma empresa que o utilizam, nos dois sentidos: o que foi escrito, quem o escreveu (a pessoa, o Faro ou o próprio produto), quando, e se chegou e foi lida. Guardada com os dados da própria empresa e nunca apagada por si só. As conversas do escritório da empresa só são relidas pela pessoa a quem a conversa pertence e por um proprietário da empresa | Para que um escritório possa ver o que as suas pessoas perguntaram no WhatsApp e o que lhes foi respondido, e se uma mensagem lhes chegou |
| Auditoria | Quem alterou o quê e quando, dentro de uma empresa | Porque uma reserva que mudou tem de poder ser explicada na manhã seguinte |
| Técnicos | Registos de pedidos com tempos e rastreios de erro, durante um curto período. Uma mensagem enviada para o número de WhatsApp do próprio produto a partir de um número que nenhuma conta tem não é respondida de forma alguma, e deixa uma linha com esse número, o tipo de mensagem que era e o comprimento que tinha | Para encontrar o que está lento ou avariado, e para poder dizer quem escreveu para um número que ninguém na empresa reconhece |
| Utilização | Que ecrãs são abertos e para onde vão os cliques, e no painel do dia as pesquisas feitas (quantos passageiros, que idioma, que ponto de recolha) e quanto tempo demora uma reserva, como analítica de produto, associado ao número de conta interno da pessoa, à sua empresa, à sua função e à sua agência. Nunca o seu nome nem o seu endereço de e-mail, e o texto daquilo em que clica é mascarado. | Para ver que partes do produto são usadas e por quem (o escritório ou uma agência), e onde as pessoas têm dificuldades, nunca para traçar o perfil de um passageiro. |

Não há publicidade no TourCockpit, não há nenhuma rede publicitária lá dentro, e nada sobre um passageiro é vendido ou partilhado para o marketing de outra pessoa. Isso é uma propriedade do produto, não uma promessa de intenções.

## Que cookies é que o TourCockpit usa?

Apenas o que o produto precisa para funcionar. Sem cookies de publicidade, sem rede publicitária, e sem nada que o siga para outro site.

| Cookie | O que faz |
| --- | --- |
| tp_session | Mantém a sua sessão iniciada. Sem ele não há produto |
| tp_co | Em que empresa está a trabalhar neste momento, para que responda o subdomínio certo |
| tp_company | A empresa a propor primeiro da próxima vez que iniciar sessão |
| tp_view_as | Definido enquanto um gestor está a ver o produto como um dos seus próprios operadores, para que a aplicação saiba de quem é a vista que está a mostrar |
| tp_oauth_req | Definido durante dez minutos enquanto liga uma aplicação como o Claude ou o ChatGPT ao TourCockpit. Guarda o pedido que lhe é proposto permitir, para que o ecrã mostre exatamente o que a aplicação pediu |
| tp_google | Definido durante dez minutos enquanto inicia sessão com o Google, onde essa opção é oferecida. Liga a resposta do Google a este navegador, para que um início de sessão começado noutro lugar não possa terminar no seu |
| tp_theme | Claro ou escuro, para que a página não pisque no tema errado |
| tp_nav | Se a barra lateral está aberta ou recolhida |
| tp_faro | Se tem o Faro, para que a página reserve espaço para a sua faixa lateral em vez de saltar assim que carrega |
| locale | A língua que escolheu, para que todas as páginas a mantenham |
| locale_at | Quem escolheu a língua neste navegador, e quando, para que uma escolha mais recente que faça noutro dispositivo prevaleça também aqui |
| tp_tz | O seu fuso horário, tal como o seu navegador o indica, para que uma hora no ecrã seja apresentada segundo o seu próprio relógio |

O produto guarda ainda algumas pequenas coisas no armazenamento do próprio navegador. Estas nunca nos são enviadas: ficam no seu dispositivo e existem para que o produto não se repita.

| O que o navegador guarda | Porquê |
| --- | --- |
| tp_learn | Se ligou o modo de aprendizagem |
| tp_inbox_toasted | Que notificações já lhe foram mostradas uma vez, para que a mesma não volte a aparecer |
| tp_deployment_reload_at | Quando a página se recarregou pela última vez após uma atualização, para que não fique presa num ciclo de recarregamentos |
| tp_install_dismissed_at | Quando fechou pela última vez a faixa que propõe adicionar a aplicação ao ecrã principal, para que não volte a aparecer durante três dias, ou que a aplicação está instalada, para que não volte a aparecer |
| tp_launch_recorded | Que esta visita já foi contada como aberta a partir do ecrã principal ou do navegador, para que seja contada apenas uma vez |
| tc.gridView.planning | Se leu Planeamento de excursões por semana ou por mês da última vez, para que uma visita abra como a deixou |
| tc.gridView.availability | O mesmo para Disponibilidade dos motoristas |
| tp_history_layout | Se leu o Histórico de um dia por partida ou por hora da última vez |
| assistant:open | Se o painel do Faro está aberto |
| assistant:width | A largura a que arrastou o painel do Faro |

## Onde são tratados os dados, e por quem?

A aplicação e a base de dados funcionam em Microsoft Azure, na região Canada Central. É aí que vivem as suas reservas e os seus passageiros. O Canadá é reconhecido pela Comissão Europeia como assegurando um nível adequado de proteção dos dados pessoais, que é o que torna essa transferência lícita para uma empresa da União Europeia.

Estas são todas as empresas que os seus dados podem alcançar através do produto, e não há outras. Todas menos a última são empresas em que nos apoiamos para o fazer funcionar. A última é uma aplicação que alguém do seu próprio pessoal liga, pelo que nada lhe chega se ninguém o fizer.

| Quem | O que fazem e o que lhes é enviado | Onde |
| --- | --- | --- |
| Microsoft Azure | Faz funcionar a aplicação e a base de dados; envia o e-mail do produto; guarda uma cópia de cada painel que um escritório exporta durante doze meses, para que o registo do que foi transferido ou enviado possa dizer que ficheiro era; guarda o som de uma chamada ao Faro durante 120 dias, em armazenamento privado, para que a pessoa que fez a chamada, o proprietário da sua empresa e o pessoal do próprio TourCockpit a possam reproduzir. O seu serviço de voz é também o ouvido e a voz de uma chamada ao Faro: a sua voz é-lhe enviada enquanto fala, transforma o que disse em palavras e diz a resposta de volta na voz do seu próprio idioma. As palavras que ouviu são depois respondidas como uma pergunta escrita, na linha abaixo | Canadá |
| Microsoft Azure OpenAI | Responde o Faro, o assistente dentro do produto. São-lhe enviados a sua pergunta, a conversa a que essa pergunta pertence e as páginas de ajuda e, quando o Faro procura algo por si, as reservas e os dados de referência que a sua própria conta já pode ver, apenas na sua empresa. Quando pergunta quem alterou algo, é-lhe enviado também o histórico desse registo: o que mudou, de que valor para que valor, quando, e o nome do colega, ou da pessoa no balcão de um revendedor, que fez cada alteração. É o mesmo histórico que o produto lhe mostra no próprio registo, e nunca mais do que pode ver ali. Uma pergunta escrita no painel do Faro leva também uma imagem do ecrã a partir do qual perguntou, para que o Faro veja o que quer dizer; essa imagem segue com a pergunta e nunca é guardada. Uma imagem que lhe entregue, colada, largada, escolhida ou enviada como foto por WhatsApp, segue com a pergunta e nunca é guardada. Nenhuma imagem é guardada, mas uma linha ou duas do que mostrava é: o Faro anota os dados que leu nela, o dia, a excursão, os nomes e os números, porque a imagem já não está na pergunta seguinte e a pergunta seguinte é normalmente sobre ela. Essa linha é guardada com a conversa a que pertence, e é tratada exatamente como o resto dessa conversa. Uma nota de voz que grave no WhatsApp em vez de escrever, ou um clipe de som que lhe reencaminhe, segue para ser transformada em palavras para que a pergunta possa ser respondida; a gravação em si não é guardada. Quando uma pergunta aponta para algo que perguntou antes, é-lhe enviado um extrato das suas próprias conversas anteriores, só suas e nenhuma com mais de 90 dias, e umas poucas linhas contadas sobre como usa o produto, como os ecrãs a partir dos quais pergunta mais. Numa chamada são-lhe enviadas as palavras de cada pergunta, depois de o serviço de voz acima as ter ouvido, exatamente como é enviada uma pergunta escrita; a sua voz em si não lhe é enviada, e o som da chamada é guardado durante 120 dias, como diz a linha acima. Escreve também os restantes idiomas do texto que o seu próprio escritório escreve para revendedores e clientes lerem: a descrição de uma cadeira de criança, e o nome de uma excursão, a sua descrição e os detalhes que um revendedor lê sobre a excursão. Essas palavras seguem com os restantes nomes de excursão da sua empresa como contexto, para que um nome de lugar não acabe traduzido, e a resposta é escrita de volta nos idiomas da sua empresa. Nenhuma reserva, nenhum cliente e nenhum passageiro é enviado para traduzir texto | Estados Unidos para o texto, o que inclui as palavras de uma pergunta feita em voz alta numa chamada; Canadá para o som de uma chamada, a respetiva gravação e uma nota de voz |
| PostHog | Analítica de produto: que ecrãs são abertos e onde vão os cliques, e no painel do dia as pesquisas feitas e quanto tempo demora uma reserva, cada um ligado ao número de conta interno da pessoa, à sua empresa, à sua função e, no balcão de um revendedor, ao seu balcão. Nunca o seu nome nem o seu endereço de e-mail, e o texto daquilo em que clica é ocultado | Estados Unidos |
| Meta (WhatsApp Business) | Entrega as mensagens de WhatsApp que uma empresa decide enviar aos seus próprios operadores e passageiros, os avisos que cada pessoa escolhe, no seu próprio perfil, receber por WhatsApp em vez de por e-mail, e o próprio painel do dia quando um escritório o envia por essa via aos seus próprios guias e motoristas, ou a um proprietário ou gestor que pediu para receber todas as noites o painel de amanhã. Transporta também uma chamada feita ao TourCockpit a partir da conversa de WhatsApp, aquela a que o Faro responde: as vozes dessa chamada viajam por WhatsApp, como em qualquer chamada de WhatsApp. O que o Faro responde a alguém na conversa de WhatsApp dessa pessoa viaja pela mesma via, quer tenha escrito a pergunta, quer a tenha feito em voz alta na chamada, e o mesmo acontece com o painel de um dia que peça que lhe seja enviado: uma resposta longa vai em algumas mensagens, ou num único ficheiro de texto quando fossem precisas mais do que algumas, e essa resposta leva aquilo por que perguntou, e entre isso uma lista de reservas com os seus passageiros | Estados Unidos e Irlanda |
| Stripe | Fatura a subscrição: a fatura mensal e o respetivo pagamento. Recebe os dados de faturação da sua empresa e um número por cada dia, o valor das reservas que a plataforma registou para si, que o seu contador soma à linha de utilização da fatura desse mês. Nenhuma reserva, nenhum cliente e nenhum passageiro lhe é enviado | Estados Unidos e Irlanda |
| Cloudflare | Serviço de nomes de domínio e a rede à frente do site | Rede global |
| Discord | Avisa a nossa própria equipa quando alguém com sessão iniciada abre no TourCockpit um endereço que não existe, para que uma ligação partida seja encontrada e corrigida. Recebe esse endereço, a página do TourCockpit de onde a pessoa vinha, quando aconteceu, e o nome, a função e a empresa da pessoa. Nada sobre as suas reservas, clientes ou passageiros lhe é enviado | Estados Unidos |
| Google | Inicia a sessão de uma pessoa quando esta prime Continuar com o Google em vez de usar uma palavra-passe: o navegador dessa pessoa inicia sessão no Google, e o Google diz ao TourCockpit apenas o endereço que essa conta tem e se o verificou, pelo que o Google sabe que aquele endereço iniciou sessão aqui, e quando. Também aloja as caixas de correio do próprio TourCockpit, pelo que lhe chega a resposta a qualquer e-mail que o TourCockpit envia, e também uma mensagem enviada a partir da página de contacto e uma pergunta que alguém passa do Faro para uma pessoa, com a conversa de onde veio | Estados Unidos |
| Uma aplicação ligada por si (Claude, ChatGPT) | Nada, até que alguém no seu escritório ligue uma, o que faz de dentro dessa aplicação: inicia sessão aqui e autoriza-a. A aplicação passa então a trabalhar como essa pessoa: é-lhe enviado o que ela lhe pedir, ou seja, as mesmas reservas, os mesmos dados de referência e o mesmo histórico de alterações que a conta dela já pode ver, e as suas próprias conversas anteriores com o Faro quando pergunta por uma, apenas na sua empresa, e o painel de um dia com os nomes e os quartos dos seus passageiros quando o pede. Essas respostas ficam na conversa dela com a aplicação, nas mãos da empresa que a opera e ao abrigo do acordo que essa pessoa tem com ela, não do nosso. Nada é alterado sem que a aplicação lhe mostre primeiro e espere o seu sim. Desligar, em O meu perfil, interrompe isso de imediato, e desativar a conta dessa pessoa também. O seu próprio escritório não tem de esperar por nenhuma das duas coisas: um gestor ou um proprietário termina, no ecrã Empresa, qualquer aplicação ligada à sua empresa, ela fica fora da sua empresa mesmo que essa pessoa a volte a ligar, e só o seu escritório a pode deixar entrar de novo | Os Estados Unidos, para o Claude e o ChatGPT |

Para as transferências para os Estados Unidos apoiamo-nos nas cláusulas contratuais-tipo da Comissão Europeia, que esses fornecedores oferecem como parte das suas condições. Uma aplicação que alguém do seu próprio pessoal liga não é uma dessas transferências: essa pessoa aceitou ela mesma as condições dessa empresa quando se registou nela, e nós não somos parte delas. Também não o é um início de sessão com o Google, que é a conta Google da própria pessoa, usada no Google, ao abrigo do acordo que já tem com ele.

## Durante quanto tempo são conservados?

- Os dados operacionais são conservados enquanto a sua empresa usar o TourCockpit. Uma reserva é cancelada em vez de apagada, porque o histórico de auditoria é o que permite explicar o dia, e desaparece quando desaparecerem os dados da empresa.
- Os dados da sua empresa são eliminados no prazo de 30 dias após o encerramento da conta, a pedido, ou conservados por mais tempo apenas quando uma fatura tiver de ser guardada para efeitos fiscais.
- O painel de um dia que foi exportado, sob a forma do PDF, da folha de cálculo ou da imagem que um escritório transferiu, enviou por e-mail ou por WhatsApp ao seu próprio pessoal, é conservado durante doze meses para que o registo possa dizer exatamente que ficheiro alguém teve. Apenas a pessoa que o exportou e os proprietários da empresa o podem abrir de novo.
- O som de uma chamada ao Faro, feita na aplicação ou por WhatsApp, é guardado durante 120 dias e depois eliminado, para que uma chamada possa ser ouvida de novo enquanto ainda interessa. Uma chamada durante a qual quem ligou passou para outra empresa é cortada no ponto em que passou, e cada empresa guarda apenas o tempo passado nela, para que nenhuma empresa fique com a parte da chamada de outra. Na rara chamada em que esse corte não pode ser feito com exatidão, não se guarda nada do seu som. O registo escrito do que nela foi dito são dados operacionais, e desaparece quando desaparecerem os dados da sua empresa.
- Os registos de pedidos são conservados durante 30 dias.
- Os tokens de início de sessão são mascarados em armazenamento no momento em que são escritos, pelo que uma credencial nunca fica guardada de forma legível.

## Que direitos tenho, e como os exerço?

Se estiver na União Europeia ou no Reino Unido, pode pedir uma cópia dos seus dados pessoais, mandá-los corrigir, mandá-los eliminar, opor-se à forma como são usados, ou pedi-los num formato portável. Se estiver no Canadá, aplicam-se os direitos equivalentes ao abrigo da PIPEDA. Se for um passageiro cujo nome consta de uma lista de excursão, quem tem esses dados é a empresa que registou a reserva: escreva-lhe, e se nos escrever a nós encaminhamos o pedido e ajudamos essa empresa a responder.

Escreva para chip@tourcockpit.com com Privacidade no assunto. Respondemos no prazo de 30 dias. Se falharmos, pode apresentar queixa à autoridade nacional de proteção de dados do seu país.

## Como são protegidos os dados?

- Duas camadas de isolamento entre empresas. Todas as consultas são limitadas a uma empresa pela aplicação, e a base de dados recusa tudo o resto por baixo, com segurança ao nível da linha, para que um erro na primeira camada continue a ser apanhado pela segunda.
- As palavras-passe têm hash com Argon2id e nunca são guardadas nem registadas de forma legível.
- Tudo viaja cifrado por HTTPS, e a base de dados está cifrada em armazenamento.
- As alterações a reservas, partidas e dados de referência são auditadas dentro de uma empresa, com quem as fez e quando.
- Uma chave de API vale apenas para aquilo a que está associada: uma empresa, ou um único operador turístico, e nunca mais do que isso.

Para comunicar uma vulnerabilidade, consulte [/.well-known/security.txt](/.well-known/security.txt).

## Como é que fico a saber se esta página muda?

Quando o que fazemos muda, esta página muda com isso na mesma versão, e a alteração fica listada na página [Novidades](/whats-new).

Última atualização: 20 de outubro de 2026.

Esta página é publicada em sete línguas. Sempre que uma tradução e o inglês divergirem, é a versão inglesa que se aplica.