Política de Privacidade | Hospeda

Versão 1.12 | Última atualização: 13 de agosto de 2026 | Novidades desta versão: a seção 4 passa a listar os serviços de tradução, consulta de CEP, mapas e vídeo que a Plataforma já utilizava; a seção 2.4 descreve a prospecção a contatos comerciais de fontes públicas; a seção 6 explica o que acontece com contas de assinatura expirada e com as cópias de backup; e a seção 7-A corrige o prazo de eliminação após o encerramento, alinhado à seção 6.

1. Quem Somos e Nosso Papel no Tratamento

Esta Política descreve como a Hospeda (LEONARDO MARQUES DE CASTRO LEITE TECNOLOGIA DA INFORMACAO LTDA, CNPJ 67.745.601/0001-02, com sede na Rua Pais Leme, 215, conj. 1713, Pinheiros, São Paulo/SP, CEP 05424-150) trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD).

A Hospeda atua em dois papéis distintos:

Controladora: em relação aos dados dos titulares de conta e Usuários da Plataforma (anfitriões, administradoras e suas equipes), incluindo dados de cadastro, faturamento e uso. As decisões sobre esse tratamento são nossas, e esta Política se aplica integralmente.
Operadora: em relação aos dados de Hóspedes e outros terceiros que o Cliente insere ou sincroniza na Plataforma (reservas, contatos, mensagens). Nesse caso, o Cliente é o controlador e nós tratamos os dados exclusivamente conforme suas instruções e para a prestação do serviço. Hóspedes que desejem exercer direitos sobre seus dados devem contatar primeiro o anfitrião ou administradora responsável pela reserva; encaminharemos ao Cliente qualquer solicitação recebida diretamente, em até 5 dias úteis.

2. Dados que Coletamos

2.1. Dados fornecidos pelo Cliente (como controladora)

Cadastro e conta: nome, e-mail, telefone, CPF/CNPJ, razão social, foto de perfil e senha (armazenada com hash). No cadastro ou login com Google, recebemos do Google seu nome, e-mail e foto de perfil, conforme a autorização que você concede na tela do próprio Google. No cadastro ou login com Facebook, recebemos da Meta seu nome, e-mail e foto de perfil, da mesma forma, conforme a autorização que você concede na tela do próprio Facebook. Versões anteriores do cadastro permitiam informar, opcionalmente, data de nascimento e gênero; esses campos não são mais coletados, e o que foi informado à época permanece no perfil apenas até correção ou eliminação a pedido do titular.
Dados públicos da empresa (cadastro com CNPJ): ao informar um CNPJ no cadastro, consultamos a base pública da Receita Federal para preencher os campos por você. De lá vêm razão social, nome fantasia, situação cadastral, endereço fiscal, telefone, e-mail comercial e o nome do sócio administrador, que sugerimos como responsável legal. Todos os campos ficam editáveis e você pode corrigir o que quiser antes de concluir. A consulta acontece pelos provedores listados na seção 4; enviamos a eles apenas o CNPJ digitado.
Faturamento: dados de cobrança e histórico de pagamentos. Dados completos de cartão (número e código de segurança) são coletados e armazenados diretamente pelo provedor de pagamento. Não transitam pelos nossos servidores; guardamos apenas bandeira, últimos 4 dígitos, validade e nome do titular, para identificação do meio de pagamento. Se você autorizar guardar o cartão para compras futuras, ele é cofrado no provedor de pagamento e mantemos apenas um identificador de referência, sem valor fora dessa cobrança; o código de segurança é solicitado a cada compra e nunca é armazenado. Você pode remover o cartão guardado a qualquer momento.
Propriedades: endereço, descrição, fotos, inventário e configurações dos imóveis.

2.2. Dados inseridos ou sincronizados pelo Cliente (como operadora)

Hóspedes e reservas: nome, telefone, e-mail, datas, valores e status de reservas, recebidos manualmente ou via integrações (Airbnb, Booking.com, iCal).
Comunicações: conteúdo e metadados de mensagens de WhatsApp trocadas em nome do Cliente, tanto as enviadas por automações quanto as respostas recebidas dos Hóspedes, exibidas ao Cliente na caixa de entrada da Plataforma.
Assistente de IA (Otto): quando o Cliente ativa o add-on de inteligência artificial, mensagens de Hóspedes e dados de reservas e dos imóveis podem ser processados por provedor de IA para gerar respostas e sugestões, conforme a seção 4.
Colaboradores e prestadores de serviço do Cliente: nome, telefone e, quando informado, e-mail de pessoas da operação do Cliente (ex.: equipe de limpeza e manutenção) cadastrados para organização de tarefas e envio de notificações operacionais por WhatsApp. O Cliente, como controlador, responde pela base legal desse cadastro e dessas mensagens.
Dados fiscais de emissão de notas: quando o Cliente ativa a emissão de NFS-e, os dados do tomador do serviço (nome, CPF/CNPJ e e-mail) e os valores são tratados para a emissão, conforme a seção 4.

2.3. Dados coletados automaticamente

Uso e dispositivo: endereço IP, identificadores de sessão, navegador, sistema operacional, páginas acessadas, ações na Plataforma e registros de acesso (mantidos por no mínimo 6 meses, conforme art. 15 do Marco Civil da Internet).
Notificações push: se você ativar as notificações no seu navegador ou dispositivo, armazenamos o registro da assinatura push (endereço de entrega e chaves criptográficas gerados pelo próprio navegador), vinculado à sua conta, exclusivamente para entregar as notificações. Você pode desativá-las a qualquer momento nas configurações do navegador ou da Plataforma.
Rascunho de formulários: em formulários longos, como o cadastro e o cadastro de imóvel, guardamos o que você digitou na memória da própria aba do navegador para que nada se perca em um recarregamento ou numa saída acidental da tela. Esse rascunho não é enviado aos nossos servidores, é apagado assim que o envio dá certo e desaparece quando você fecha a aba. Senha, número de cartão e código de segurança nunca entram nele.
Cookies: conforme a seção 8.

2.4. Dados de leads e visitantes

Newsletter e formulários públicos: nome, e-mail e, quando você preenche, telefone de WhatsApp, além do assunto e do texto da mensagem que você escreve (inscrição na newsletter, formulário de contato ou envio do resultado da calculadora). Tratamos esses dados como controladora, com base em consentimento, para responder ao seu contato e enviar as comunicações que você pediu, sempre com opção de descadastro em cada mensagem.
Contatos comerciais de fontes públicas: para apresentar a Hospeda a pousadas e anfitriões, tratamos dados de contato profissionais obtidos de cadastros públicos, como o CADASTUR do Ministério do Turismo: nome do estabelecimento, município, telefone e e-mail comerciais. Não coletamos CPF nem contatos pessoais nessas fontes. Base legal: legítimo interesse (art. 7º, IX), com teste de balanceamento documentado, opção de descadastro em toda mensagem e exclusão do contato a pedido.
Páginas públicas: visitantes de páginas públicas da Plataforma (incluindo os guias de boas-vindas publicados pelos Clientes) têm dados de navegação tratados conforme as seções 2.3 e 8.

Não coletamos intencionalmente dados pessoais sensíveis nem dados de menores de 18 anos.

3. Finalidades e Bases Legais

Prestar o serviço contratado (gestão de conta, propriedades, reservas, sincronizações, automações). Base legal: execução de contrato (art. 7º, V).
Processar cobranças e prevenir inadimplência. Bases: execução de contrato e proteção do crédito (art. 7º, X).
Cumprir obrigações legais (fiscais, contábeis, Marco Civil). Base: obrigação legal (art. 7º, II).
Segurança, prevenção a fraudes e melhoria do produto (análise de uso, correção de erros, estatísticas agregadas e anonimizadas). Base: legítimo interesse (art. 7º, IX), sempre com avaliação de impacto mínimo sobre os titulares.
Comunicações de marketing sobre novidades e planos. Base: consentimento ou legítimo interesse para clientes ativos, sempre com opção de descadastro em cada mensagem.
Medir a eficácia de campanhas de divulgação: no momento da conclusão de um cadastro, enviamos aos provedores de medição um evento de conversão com dados de contato pseudonimizados (hash), conforme detalhado na seção 4. Base: legítimo interesse (art. 7º, IX), com direito de oposição a qualquer momento pelo canal de privacidade.
Defesa em processos judiciais ou administrativos. Base: exercício regular de direitos (art. 7º, VI).

4. Compartilhamento de Dados

Compartilhamos dados pessoais apenas com:

Provedores de infraestrutura e nuvem: Amazon Web Services (AWS), para hospedagem, banco de dados e backups, e Cloudflare, para CDN, DNS e proteção de tráfego.
Provedores de pagamento: Mercado Pago, para processamento de assinaturas e cobranças.
Provedores de login social: Google e Meta (Facebook), quando você opta por se cadastrar ou entrar com essas contas. Recebemos apenas os dados autorizados por você na tela do próprio provedor (seção 2.1).
Plataformas integradas a pedido do Cliente: Airbnb, Booking.com, Meta (WhatsApp Business) e serviços de calendário. O compartilhamento ocorre por instrução do Cliente ao ativar cada integração e é regido também pelas políticas desses provedores.
Emissão de notas fiscais: NFe.io, quando o Cliente ativa a emissão de NFS-e. Por instrução do Cliente e na conta que ele mantém naquele provedor, enviamos os dados do tomador do serviço (nome, CPF/CNPJ e e-mail), a descrição e os valores do serviço.
Consulta de CNPJ no cadastro: BrasilAPI e CNPJá, que expõem a base pública de empresas da Receita Federal. Recebem apenas o CNPJ digitado no cadastro, sem nenhum outro dado seu, e devolvem as informações públicas daquela empresa (seção 2.1).
Leitura de páginas públicas na importação de anúncios: Scrapfly, serviço que acessa o endereço público do anúncio informado pelo Cliente (ex.: Airbnb) para ler a página durante a importação. Recebe apenas a URL pública do anúncio; nenhum dado de Hóspede é enviado.
Tradução de textos: MyMemory (Translated), acionado quando você pede a tradução de textos do guia, da página de reservas ou de mensagens de automação. Recebe apenas o texto a traduzir, sem nome, e-mail ou identificador da sua conta. Evite incluir dados pessoais no texto enviado para tradução.
Consulta de CEP: ViaCEP, que recebe apenas o CEP digitado no cadastro de imóvel ou no endereço de cobrança e devolve o logradouro correspondente.
Mapas e geocodificação: OpenStreetMap (Nominatim) e Google (Places) recebem o endereço do imóvel para localizar as coordenadas e enriquecer o cadastro; os servidores de mapa do OpenStreetMap e da Carto recebem o seu endereço IP ao carregar os mapas dentro da Plataforma.
Vídeos de demonstração e ajuda: YouTube (Google), no modo de privacidade ampliada (youtube-nocookie), recebe o seu endereço IP quando você reproduz um vídeo nas páginas de demonstração e de ajuda.
Serviços de notificação push dos navegadores (ex.: Google, Apple e Mozilla, conforme o navegador utilizado): quando você ativa as notificações, a entrega das mensagens passa pelo serviço de push do fabricante do seu navegador, nos termos da seção 2.3.
Ferramentas de medição e análise:
- Google Analytics 4: sem o seu consentimento, opera em modo restrito (Google Consent Mode): não grava cookies nem usa identificadores individuais, recebendo apenas sinais agregados para estatística de audiência. Com o seu consentimento no banner, passa a usar cookies para métricas de uso.
- Meta (Pixel e API de Conversões): o Pixel no navegador só é carregado com o seu consentimento. Além dele, ao concluir um cadastro enviamos à Meta, diretamente dos nossos servidores, um evento de conversão contendo e-mail e telefone pseudonimizados (hash SHA-256), endereço IP e identificação do navegador, com base em legítimo interesse, exclusivamente para medir o resultado das nossas campanhas. Os cookies de anúncio (_fbp/_fbc) só acompanham esse evento se você tiver consentido. Você pode se opor a esse envio pelo canal de privacidade.
Provedor de inteligência artificial: Anthropic, quando o Cliente ativa o assistente Otto, que processa mensagens e dados de reservas e imóveis para gerar respostas e sugestões. Os dados enviados não são utilizados pelo provedor para treinamento de modelos, conforme seus termos comerciais.
Ferramentas de comunicação: Brevo (envio de e-mails transacionais e comunicações).
Avaliações públicas: Google (Places): sincronizamos avaliações públicas dos imóveis do Cliente, incluindo nome e texto publicados pelo próprio avaliador na plataforma do Google.
Autoridades públicas, mediante obrigação legal ou ordem judicial. Nesses casos: analisamos a legitimidade e a base legal de cada solicitação antes de qualquer entrega; contestamos pedidos que consideremos ilegais ou desproporcionais; fornecemos somente o mínimo de dados necessário ao atendimento; e mantemos registro de cada solicitação, da análise realizada e da resposta dada. Sempre que a lei não vedar, notificamos o titular afetado.
Sucessores legais em caso de fusão, aquisição ou reorganização societária, mantidos os compromissos desta Política.

Não vendemos, alugamos ou comercializamos dados pessoais. A lista atualizada de suboperadores está disponível mediante solicitação ao nosso canal de privacidade.

5. Transferência Internacional

Alguns provedores (infraestrutura, ferramentas de medição, Meta e o provedor de IA Anthropic) podem armazenar ou processar dados fora do Brasil, especialmente nos Estados Unidos. Nesses casos, adotamos as salvaguardas do art. 33 da LGPD, como cláusulas contratuais padrão e contratação de provedores que ofereçam grau adequado de proteção.

6. Retenção e Eliminação

Dados de conta e propriedades: enquanto a conta estiver ativa. Após o encerramento, o Cliente tem 30 dias para solicitar a exportação dos seus dados ao suporte; depois disso, os dados poderão ser excluídos ou anonimizados. Determinados dados podem ser retidos por até 5 anos após o encerramento, pelo prazo prescricional, para cumprimento de obrigações legais e exercício regular de direitos em processos judiciais ou administrativos.
Contas inativas: contas sem assinatura ativa e sem qualquer acesso por mais de 12 meses podem ser encerradas por inatividade, com aviso prévio de 30 dias por e-mail, conforme a cláusula 13 dos Termos de Uso. Após o encerramento valem os prazos de exportação e retenção desta seção.
Dados fiscais e de transações: 5 anos, conforme legislação tributária.
Registros de acesso (logs): mínimo de 6 meses (Marco Civil da Internet).
Dados de trial não convertido: preservados por 90 dias após o término do período de teste; após esse prazo, poderão ser excluídos definitivamente.
Assinatura paga expirada sem encerramento da conta: os dados permanecem guardados por pelo menos 90 dias após o fim do período pago, para que a assinatura possa ser reativada sem perdas. Depois de 12 meses sem assinatura ativa e sem qualquer acesso, a conta pode ser encerrada por inatividade, com aviso prévio de 30 dias (cláusula 13 dos Termos de Uso); a partir do encerramento valem os prazos desta seção.
Cópias de backup: os backups são criptografados e expiram por rotação automática em até 13 meses. Dados eliminados da Plataforma podem persistir nessas cópias até o fim do ciclo de rotação, sem uso ativo, exclusivamente para recuperação de desastres.
Dados de Hóspedes (como operadora): pelo prazo definido pelo Cliente controlador ou até instrução de exclusão, ressalvadas obrigações legais.
Dados de newsletter e leads: enquanto durar o consentimento. Ao se descadastrar, você deixa de receber comunicações imediatamente; o e-mail permanece apenas em lista de supressão, para garantir que a sua escolha de não receber seja respeitada em envios futuros.

7. Direitos dos Titulares (LGPD, art. 18)

Você pode solicitar, a qualquer momento:

confirmação da existência de tratamento e acesso aos dados;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
portabilidade dos dados em formato estruturado;
informação sobre compartilhamentos realizados;
revogação do consentimento e informação sobre as consequências de negá-lo;
revisão de decisões automatizadas que afetem seus interesses;
oposição a tratamentos baseados em legítimo interesse.

Responderemos às solicitações em até 15 dias. Solicitações de Hóspedes serão encaminhadas ao Cliente controlador, conforme a seção 1. Caso entenda que seus direitos não foram atendidos, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

7-A. Dados de Hóspedes na Reserva Direta

O add-on Reserva Direta publica uma página de reservas do imóvel do Cliente. Nela, a página trata dados de pessoas que não são usuárias da Plataforma: o hóspede que pede uma reserva, paga um sinal ou avalia a estadia. Para esses dados, o Cliente (anfitrião) é o controlador e a Hospeda é a operadora, tratando-os para viabilizar a reserva, a estadia e a avaliação. A única exceção é a pesquisa de experiência descrita abaixo, em que a Hospeda atua como controladora.

Categorias tratadas: nome, telefone, e-mail, idioma, datas, composição do grupo e a mensagem escrita no pedido de reserva; na avaliação, as notas, o comentário público, o recado privado ao anfitrião, os marcadores escolhidos e as fotos enviadas pelo hóspede; e um derivado (hash) do endereço IP no registro do pedido, usado somente contra abuso. Os registros técnicos de acesso à aplicação, que incluem o endereço IP, seguem a seção 2.3 (Marco Civil da Internet).
Finalidades: criar a reserva e comunicá-la ao anfitrião e ao hóspede, enviar as mensagens da estadia, processar o pagamento (no degrau premium) e publicar a avaliação quando o anfitrião decidir. Base legal: execução do contrato de hospedagem entre hóspede e anfitrião (LGPD, art. 7º, V) e legítimo interesse na prevenção a fraudes (art. 7º, IX).
Avisos e acompanhamento do pedido: a cada virada do pedido (recebido, aprovado, recusado, pagamento pendente ou pagamento confirmado) enviamos ao hóspede, em nome do anfitrião, um aviso por e-mail e, quando o anfitrião mantém o canal ativo, uma mensagem de WhatsApp. Os avisos levam um link pessoal de acompanhamento cujo endereço é derivado por assinatura criptográfica: quem não recebeu o link não alcança a página. O hóspede também pode pedir o reenvio do acesso informando o e-mail ou o telefone que usou na reserva. O link vai para o próprio contato consultado, vale 24 horas, e a tela pública responde sempre a mesma coisa, sem revelar se aquele contato tem reservas. O e-mail sai pelo provedor de envio listado na seção 4; o WhatsApp, pelo canal do próprio anfitrião na Meta.
Pesquisa de experiência (papel de controladora): a última pergunta da avaliação (se o hóspede voltaria a se hospedar, com comentário opcional) é coletada pela própria Hospeda para medir e melhorar o serviço, com base em legítimo interesse (art. 7º, IX). Essa resposta não aparece na página, não é exibida ao anfitrião e entra em relatórios apenas de forma agregada. O hóspede pode se opor a esse uso pelo canal de privacidade.
Sem cookies nem rastreadores: a página pública de reserva não usa cookies próprios, pixels ou ferramentas de análise. As fontes e os demais recursos visuais são servidos pela própria página, sem chamadas a serviços de terceiros. No pagamento online, o componente do Mercado Pago pode usar identificadores próprios de segurança e prevenção a fraudes, conforme a política de privacidade dele.
Pagamentos (premium): os dados de pagamento são enviados diretamente ao Mercado Pago, na conta do próprio anfitrião. O número do cartão não passa pelos servidores da Hospeda, que também não armazena dados de cartão; o CPF informado no pagamento é apenas repassado ao Mercado Pago para a transação e não fica guardado pela Hospeda. O tratamento pelo Mercado Pago segue a política de privacidade dele.
Avaliações: o convite informa que o comentário e as fotos podem ser publicados na página do imóvel com o primeiro nome do hóspede. A publicação depende de ação do anfitrião, que também pode ocultá-la; depois de enviada, a avaliação não pode ser editada.
Retenção: os dados seguem o regime geral da Plataforma (seção 6): após o encerramento da conta do Cliente, há 30 dias para solicitar a exportação; depois disso os dados podem ser eliminados ou anonimizados, com retenção de registros fiscais, de transações e de auditoria pelo prazo legal, de até 5 anos.
Direitos: o hóspede pode exercer seus direitos (acesso, correção, eliminação) primeiro com o anfitrião responsável pela reserva; solicitações recebidas pela Hospeda são encaminhadas ao Cliente controlador em até 5 dias úteis (seção 1).

8. Cookies e Tecnologias de Rastreamento

Necessários: autenticação, sessão e segurança. São indispensáveis ao funcionamento e não podem ser desativados.
Desempenho e análise: Google Analytics 4, que por padrão opera em modo sem cookies e sem identificadores individuais (Consent Mode); os cookies de análise (_ga) só são gravados após o seu consentimento no banner. Meta Pixel: carregado somente após o seu consentimento no banner de cookies.

Você pode aceitar, recusar ou personalizar os cookies não essenciais por categoria no banner de consentimento, e alterar sua escolha a qualquer momento pelo link "Gerenciar cookies". O detalhamento está na nossa Política de Cookies. A desativação de cookies necessários pode impedir o uso da Plataforma.

9. Segurança da Informação

Adotamos medidas técnicas e organizacionais compatíveis com o art. 46 da LGPD, incluindo:

criptografia em trânsito (TLS) e em repouso;
senhas armazenadas com hash e controle de acesso por perfil (princípio do menor privilégio);
autenticação em duas etapas (2FA) e, quando disponível, login por biometria (passkeys). A validação biométrica ocorre exclusivamente no seu dispositivo; não coletamos nem armazenamos dados biométricos, apenas a chave pública criptográfica da passkey;
backups periódicos e ambientes segregados;
registro e monitoramento de acessos.

Em caso de incidente de segurança com risco ou dano relevante aos titulares, comunicaremos a ANPD e os afetados nos termos do art. 48 da LGPD e da regulamentação vigente.

10. Encarregado de Dados (DPO) e Contato

Canal do Encarregado de Dados: [email protected]
Suporte geral: [email protected] e WhatsApp do suporte: (11) 93370-7660

Na qualidade de agente de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022, a Hospeda mantém este canal de comunicação com os titulares e com a ANPD em substituição à indicação nominal de encarregado.

11. Atualizações desta Política

Podemos atualizar esta Política periodicamente. Alterações relevantes serão comunicadas por e-mail ou aviso na Plataforma com antecedência mínima de 30 dias, indicando a data de vigência da nova versão.

Sua privacidade é importante. Em caso de dúvida, fale com nosso canal de privacidade antes de usar a Plataforma.