Jet.Guide · Pesquisar experiências

Aviso de Privacidade

Tradução da versão 2026-10-28; em caso de divergência, prevalece a versão inglesa. A tradução é fornecida apenas a título informativo. Não prejudica as disposições imperativas de proteção dos consumidores do Estado em que reside.

Última atualização: 2026-10-28 (o advogado aprovou o aviso; as notas segundo as quais um parágrafo aguardava a aprovação do advogado indicam agora que esse parágrafo só se aplica enquanto a funcionalidade estiver ativada)

Quem é o responsável

A Jet.Guide (dados na Informação legal) é a responsável pelo tratamento dos dados aqui descritos. Quando faz uma reserva, o operador da sua experiência recebe os dados de que necessita para a realizar e é um responsável pelo tratamento autónomo quanto ao uso que deles faz.

Contacto para qualquer questão sobre os seus dados: legal@jet.guide. Pode também apresentar reclamação à Comissão búlgara para a Proteção de Dados Pessoais (Комисия за защита на личните данни, www.cpdp.bg) ou à autoridade de controlo do seu próprio país da UE.

O que recolhemos e porquê

| Dados | Finalidade | Fundamento jurídico (RGPD, art. 6.º) | |---|---|---| | Nome, e-mail e telefone numa reserva; respostas às perguntas do operador (p. ex., hotel, necessidades alimentares); pedidos especiais; morada de recolha | Para efetuar e executar a reserva e enviar o seu voucher e os lembretes | Contrato (6.º, n.º 1, al. b)) | | Dados de identificação de que um operador necessita para cada participante: número do cartão de cidadão ou do passaporte, nacionalidade, data de nascimento, data de validade do passaporte (apenas em anúncios cujo operador os solicite, p. ex., um recinto que vende bilhetes nominativos ou um barco que mantém uma lista de passageiros) | Para que o operador possa conferir os bilhetes com o documento de identificação e cumprir as suas obrigações legais ou as regras do recinto; a data de nascimento serve também para verificar se o tipo de bilhete corresponde à idade no próprio dia. O titular e os gestores do operador veem os números completos; os seus guias e o seu e-mail diário veem apenas os últimos quatro caracteres. Nunca são enviados a assistentes de IA | Contrato (6.º, n.º 1, al. b)); obrigação jurídica do operador quando uma lei exige a lista (6.º, n.º 1, al. c)) | | Conta: e-mail, nome, palavra-passe (guardada apenas como hash), idioma e moeda, definições da autenticação de dois fatores | Para lhe disponibilizar uma conta | Contrato | | Pagamento | Processado pela Stripe ou, para algumas reservas na Bulgária, pela ePay.bg (cartão, microconta ePay ou numerário num balcão EasyPay); nunca vemos o número completo do seu cartão | Contrato; obrigação jurídica | | Avaliações, perguntas e denúncias que envia | Para as publicar / para tratar a denúncia | Contrato; obrigação jurídica (DSA) | | Experiências guardadas (lista de desejos) e listas partilhadas | Para que possa planear | Contrato | | Segurança do início de sessão: número de tentativas falhadas (com o e-mail guardado apenas como hash com chave), registo inviolável dos eventos de segurança | Para proteger as contas e a plataforma | Interesse legítimo (6.º, n.º 1, al. f)) | | Sessões iniciadas: quando cada sessão começou e foi utilizada pela última vez, o navegador e o sistema operativo, e a rede de onde provém (as três primeiras partes do endereço IP, nunca o endereço completo) | Para que possa ver onde tem sessão iniciada e terminar a sessão num dispositivo, e para encerrar as sessões não utilizadas há 90 dias | Interesse legítimo (6.º, n.º 1, al. f)) | | Endereços IP | Guardados apenas como hashes com chave, para prevenção de fraude e limitação de pedidos — exceto como prova num estorno (linha seguinte) | Interesse legítimo | | Prova em caso de estorno (chargeback) (apenas quando o ativarmos): o endereço de rede (endereço IP) e o navegador a partir dos quais uma reserva foi paga | Para responder a uma contestação do cartão (estorno) relativa a essa reserva: enviados à Stripe juntamente com as restantes provas | Interesse legítimo (6.º, n.º 1, al. f)): defesa de um direito num processo; conservados durante 180 dias | | E-mails que lhe enviamos | Conservados como registo de entrega | Contrato; interesse legítimo | | Mensagens de texto (SMS, WhatsApp) sobre uma reserva: o seu número de telefone, o texto, o estado de entrega e um "STOP" que envie | Apenas se assinalar "enviar-me mensagens sobre esta reserva" (ou, no caso de um operador, se ativar as mensagens): horas de recolha, dados do motorista, alterações. Nunca marketing da nossa parte; mensagens de marketing de um operador apenas com o consentimento separado e confirmado descrito em "Mensagens dos operadores, listas de convidados e fidelização", mais abaixo | Consentimento (6.º, n.º 1, al. a)) para o envio; interesse legítimo para respeitar o STOP | | Número de voo e data de chegada que indica para uma recolha no aeroporto | Para acompanhar o voo e ajustar a recolha se aterrar mais cedo ou mais tarde, e para informar o motorista e o operador | Contrato | | Respostas sobre saúde numa declaração de exoneração de um operador (apenas se o operador as solicitar e apenas se assinalar o consentimento separado) | Para que o operador possa realizar uma atividade de risco em segurança. Sem o consentimento, a declaração é na mesma assinada, sem respostas sobre saúde | Consentimento explícito (art. 9.º, n.º 2, al. a)) | | Necessidades alimentares por participante (vegetariano, vegano, halal, kosher, sem glúten, sem lactose, alergia a frutos secos, outra) e uma nota facultativa sobre alergias, no checkout ou mais tarde na reserva — apenas em anúncios que servem comida e apenas se assinalar o consentimento alimentar separado (que não faz parte da aceitação dos termos). Alergias e intolerâncias são dados de saúde; halal ou kosher podem revelar convicções religiosas | Para que o operador possa preparar comida adequada. O operador dessa reserva vê as necessidades e a nota no seu manifesto; o seu e-mail diário mostra apenas totais ("3 vegetarianos"). Nunca são mostradas a outros viajantes, em links de partilha ou a assistentes de IA. Pode removê-las na página da reserva a qualquer momento (retirando o consentimento) | Consentimento explícito (art. 9.º, n.º 2, al. a)) | | A posição em tempo real do motorista durante um transfer (apenas motoristas, com o seu consentimento) | Para que o viajante que aguarda a recolha possa ver onde está o carro e quando chegará. Ver "Localização do motorista em tempo real", mais abaixo | Consentimento do motorista (6.º, n.º 1, al. a)) | | "Quem vai" (apenas se o ativar para uma reserva, em anúncios cujo operador o ofereça): o nome próprio e, se assim o escolher, o país que decide mostrar | Para o mostrar aos outros viajantes da mesma partida que também escolheram mostrar os seus. Desativado salvo se o ativar; desativá-lo apaga-o de imediato. Ver "Quem vai", mais abaixo | Consentimento (6.º, n.º 1, al. a)) | | "Recomendado para si": as experiências que viu (enviadas a partir deste navegador), guardou e reservou | Para sugerir experiências semelhantes. Calculado de cada vez que a página carrega; não é guardado nenhum perfil. Pode desativá-lo — ver "Recomendações", mais abaixo | Interesse legítimo (6.º, n.º 1, al. f)) | | Alertas de preço: o anúncio, as datas e o preço-alvo que definiu, o preço que viu | Para lhe enviar um e-mail uma única vez quando o preço baixar efetivamente | Contrato (foi o utilizador que o pediu) | | Notificações push: a subscrição que o seu navegador nos fornece (um endereço no serviço push do seu navegador e as respetivas chaves), os tipos de mensagem que escolheu, o seu idioma | Para enviar os avisos que ativou (reserva confirmada, lembretes, hora de sair, o seu motorista, alterações) | Consentimento (6.º, n.º 1, al. a)) | | Newsletter e e-mail de marketing (apenas se subscrever e confirmar o link que lhe enviamos por e-mail): o seu e-mail, idioma, os temas que escolheu, o texto com que concordou e quando; se também concordou com e-mails sobre experiências que viu, os anúncios que consultou durante um máximo de 30 dias. Partilhados com o nosso prestador de serviços de e-mail (Brevo, Mailchimp ou Klaviyo, consoante o que utilizarmos) apenas após confirmação | Para enviar os e-mails que pediu, incluindo antes e depois de uma viagem que reservou. Cancele a subscrição a partir de qualquer e-mail ou da página de preferências | Consentimento (6.º, n.º 1, al. a)) | | A origem de uma visita: etiquetas de campanha no link (utm_*), o site de referência e — apenas com o seu consentimento para publicidade — um identificador de clique de anúncio ou de rede de afiliados; com uma reserva, o canal ao qual é atribuída | Para saber que canais trazem reservas e para pagar aos afiliados e às redes. Sem consentimento para análise, nada sobre a visita é guardado, apenas o canal com a reserva | Consentimento (6.º, n.º 1, al. a)) para os identificadores de clique e o identificador da visita; interesse legítimo para o canal da reserva | | Conversões do lado do servidor para a Google e a Meta (apenas para uma reserva feita com o seu consentimento para publicidade): a referência da reserva, o valor e a moeda, o identificador de clique do anúncio e um hash unidirecional do seu e-mail | Para medir os nossos anúncios. Nunca sem esse consentimento, nunca com o Global Privacy Control ativado | Consentimento (6.º, n.º 1, al. a)) | | Iniciar sessão com Google ou Apple: o identificador da conta no fornecedor, o seu e-mail, se o fornecedor o verificou, o seu nome | Para iniciar a sua sessão. Nunca recebemos a sua palavra-passe Google ou Apple | Contrato | | Recompensas e convites (apenas quando ativados): cashback obtido, código de convite, pedidos de convite; hashes com sal da rede e de um identificador aleatório do seu navegador (tg_device) — nunca o endereço IP nem o próprio identificador | Para pagar o cashback e as recompensas por convite e impedir que uma pessoa as reclame várias vezes | Contrato; interesse legítimo (prevenção de fraude) | | Verificações antifraude nas reservas: hashes com sal do seu e-mail, do endereço de rede a partir do qual reservou e da impressão digital do seu cartão (nunca o endereço, o número do cartão nem qualquer outro elemento do cartão para além do país emissor), o país a partir do qual reservou, a avaliação de risco da própria Stripe, e a pontuação e os sinais que calculámos | Para proteger viajantes, operadores e a nós próprios contra cartões roubados e reservas falsas. Ver "Verificações antifraude nas reservas", mais abaixo | Interesse legítimo (6.º, n.º 1, al. f); considerando 47 do RGPD: prevenção da fraude) | | Avaliações após uma visita gratuita de um criador de conteúdos (apenas criadores) | Um criador convidado pela Jet.Guide para uma visita gratuita escreve uma avaliação como qualquer viajante; esta é mostrada com a etiqueta "Testado por um parceiro de viagens (visita gratuita)" | Contrato | | Guias que trabalham para um operador (apenas guias): nome, e-mail, idiomas, competências, licenças, horário de trabalho, ausências e as partidas que lhe foram atribuídas | Para que o operador possa planear quem guia cada partida e enviar-lhe por e-mail uma atribuição para confirmar ou recusar. É o operador que decide as atribuições; as sugestões nunca decidem por si só | Interesse legítimo do operador e nosso (6.º, n.º 1, al. f)); o operador é o responsável pelo tratamento dos dados do seu pessoal | | Passes e assinaturas anuais: o nome do titular e, quando o passe do operador o exija, uma fotografia do titular; o e-mail do comprador; o código do passe, as suas condições e pagamentos, o consentimento para a renovação automática, se dado, e cada leitura do passe à entrada | Para vender e renovar o passe e deixar entrar o seu titular: o pessoal do operador vê o nome e a fotografia quando o lê, também sem rede a partir de uma lista de entrada offline no seu dispositivo, na qual a fotografia é guardada apenas cifrada e é apagada com essa lista. A fotografia nunca é mostrada publicamente nem a outros viajantes | Contrato (6.º, n.º 1, al. b)) | | Remuneração dos guias (apenas guias): as partidas que conduziu, as respetivas horas e participantes, as regras de remuneração do operador, os extras e gorjetas que o operador acrescenta, e os seus recibos mensais de remuneração | Para que o operador possa calcular e aprovar a sua remuneração e para que possa ler um recibo aprovado através do seu link ou de "A minha remuneração". O operador é o responsável pelo tratamento da remuneração do seu pessoal; nós guardamo-la por conta do operador | Interesse legítimo do operador (6.º, n.º 1, al. f)) e o seu contrato consigo | | Titulares e membros da equipa dos operadores: inícios de sessão a partir de novos dispositivos e alterações da palavra-passe ou das definições de autenticação em dois passos, com uma indicação do dispositivo e da rede | Mostrados ao titular da empresa como registo de segurança, para detetar um início de sessão que não foi seu. Conservados durante 180 dias | Interesse legítimo (6.º, n.º 1, al. f)) | | Remuneração dos motoristas (apenas motoristas): as viagens que efetuou, as respetivas horas e distâncias, as regras de remuneração da transportadora, as gorjetas creditadas a seu favor e os seus recibos mensais de remuneração | Para que a transportadora possa calcular e aprovar a sua remuneração e, se assim o entender, mostrar-lhe a remuneração por viagem e por mês na página do motorista. A transportadora é a responsável pelo tratamento da remuneração dos seus motoristas; nós guardamo-la por conta da transportadora | Interesse legítimo da transportadora (6.º, n.º 1, al. f)) e o seu contrato consigo |

Não vendemos os seus dados nem os utilizamos para perfis publicitários.

Recomendações

"Recomendado para si", na página inicial, é calculado de cada vez a partir do que viu (a lista que este navegador guarda, tg_recent), guardou e reservou. Nada disto é guardado do nosso lado. Fica desativado quando o seu navegador envia o Global Privacy Control, quando recusou a "venda ou partilha" em As suas escolhas de privacidade, ou quando o desativa — com Desativar na faixa ou com o interruptor Recomendações em As suas escolhas de privacidade. A desativação fica memorizada neste navegador (tg_personalise), pelo que funciona sem conta; enquanto estiver desativado, nada nos é enviado para recomendações. A forma como as sugestões são ordenadas está descrita na nossa página de transparência.

Verificações antifraude nas reservas

Cada reserva feita no site recebe uma pontuação de risco a partir de alguns sinais: quantas reservas foram iniciadas a partir do mesmo e-mail ou da mesma rede nas últimas horas, checkouts deixados por pagar, um domínio de e-mail descartável, um cartão utilizado com vários e-mails, um cartão emitido num país diferente daquele a partir do qual reservou, uma reserva de valor elevado que começa dentro de um dia, e a avaliação do pagamento pelo Stripe Radar.

a nossa equipa de apoio: uma pessoa analisa o caso e pode concluir a reserva consigo. A página oferece também "Pedir a análise de uma pessoa": um clique abre um pedido de apoio com o que a verificação detetou, junta a sua versão se a escrever, e um membro da nossa equipa responde dentro do nosso prazo de resposta; pode permitir-lhe reservar. É assim que obtém intervenção humana, manifesta o seu ponto de vista e contesta a decisão (RGPD, art. 22.º, n.º 3).

retido como em qualquer reserva, até que um membro da nossa equipa a tenha analisado — normalmente em poucas horas — e a deixe prosseguir ou a cancele com reembolso integral. É informado por e-mail em qualquer dos casos e pode pedir que a decisão seja reapreciada por outra pessoa. Esta é a nossa análise humana nos termos do art. 22.º do RGPD: nenhuma decisão sobre a sua reserva é tomada apenas com base na pontuação.

de e-mail ou endereço de rede (esses ficam na reserva, como em qualquer reserva). Os hashes são apagados após 180 dias; a pontuação fica com o registo da reserva. (Uma exceção, apenas quando a ativarmos: a prova em caso de estorno, na tabela acima.)

fraude do banco do cartão, um alerta precoce de fraude transmitido pela Stripe, ou a confirmação por um membro da nossa equipa — colocamos numa lista de bloqueio hashes com sal da impressão digital do cartão dessa reserva, do e-mail, da rede (apenas as três primeiras partes do endereço) e, se o seu navegador tiver o identificador aleatório descrito em tg_device, desse identificador, conservados durante 3 anos em vez dos 180 dias acima referidos. Uma reserva posterior que coincida recebe uma pontuação elevada e é tratada como descrito acima: uma pessoa decide, nada é cancelado apenas com base na lista. Uma entrada é retirada quando o banco decide a contestação por fraude a nosso favor ou quando a nossa equipa conclui que se tratou de um erro. Interesse legítimo (6.º, n.º 1, al. f); considerando 47 do RGPD: prevenção da fraude).

conta, guardamos hashes com sal do número de telefone indicado na reserva, do identificador aleatório do navegador descrito em tg_device (se o seu navegador o tiver) e, após o pagamento, da impressão digital do cartão, durante 3 anos. Outra conta que coincida com um deles não pode utilizar esse código; uma pessoa da nossa equipa analisa uma coincidência detetada apenas após o pagamento, nada é cancelado por esse motivo. Interesse legítimo (6.º, n.º 1, al. f): uma oferta de boas-vindas por pessoa).

ativamos, a verificação do pagamento consulta também a SEON (SEON Technologies, UE) ou a Sift (Sift Science, Inc., Estados Unidos) para obter uma classificação de risco, uma única vez, quando a reserva é paga. Enviamos apenas o que a verificação necessita: à SEON o seu endereço de e-mail, um hash com sal deste como identificador, o número da reserva, o montante e a moeda, e um hash com sal do cartão; à Sift o mesmo hash, o número da reserva, o montante e a moeda e a indicação de que se tratou de um pagamento com cartão através da Stripe — nem sequer o seu e-mail. Nunca o seu nome, número de telefone, morada, endereço de rede ou número do cartão. O fornecedor atua como nosso subcontratante ao abrigo de um acordo de tratamento de dados. Guardamos apenas a sua pontuação e a sua faixa de risco com a verificação antifraude da reserva; contam como os outros sinais acima, e é sempre uma pessoa que decide qualquer questão após o pagamento.

contra a fraude, podemos continuar quando o nosso interesse legítimo prevalecer sobre o seu, e explicar-lhe-emos porquê.

Localização do motorista em tempo real

Quando um motorista aceitou partilhar a sua posição, o telemóvel do motorista envia-a enquanto este se encontra a caminho de uma recolha ou à espera nesse local — nunca noutros momentos. Guardamos apenas a posição mais recente (arredondada a cerca de um metro, com a respetiva precisão e hora) em cada um dos serviços desse motorista nesse estado, no máximo uma a cada 10 segundos. O viajante dessa reserva e o despachante do operador veem-na enquanto tiver menos de 10 minutos. É eliminada quando a viagem avança (passageiro recolhido, não comparência, concluída) ou quando atinge 30 minutos (uma tarefa verifica a cada 10 minutos), e de imediato em todos os serviços quando o motorista retira o seu consentimento. Não guardamos qualquer histórico de percursos.

Partilhar a minha viagem ou percurso

A partir do seu voucher, pode criar uma ligação para uma reserva paga e enviá-la a alguém da sua confiança. Quem a abrir vê a atividade, quando começa e termina, onde é o ponto de encontro (no caso de um transfere, as duas zonas, e não a sua morada) e se se realiza — no caso de um transfere, o estado comunicado pelo motorista. Nunca mostra o seu nome, número de telefone, preço ou referência da reserva. A ligação expira seis horas após o termo da reserva, e pode desativá-la a qualquer momento; podem existir no máximo três ligações ativas por reserva. Contamos quantas vezes foi aberta. A ligação é eliminada juntamente com a sua conta ou com os dados da reserva.

Quem vai

Em alguns circuitos de vários dias, cruzeiros e partidas em pequenos grupos, o operador pode oferecer a função «Quem vai». Esta está desativada, a menos que a ative para a sua reserva. Se o fizer, o nome próprio que escrever e, se escolher um, um país são mostrados aos outros viajantes da mesma partida — e apenas aos que também optaram por mostrar os seus. Não são mostrados apelidos, fotografias, dados de contacto nem dados da reserva, e nada é utilizado para ordenar ou recomendar o que quer que seja. Desative-a a qualquer momento na página da sua reserva: o que partilhou é eliminado de imediato. É também eliminado quando a reserva é cancelada, quando o operador deixa de oferecer a função e 30 dias após a partida.

Assistentes de IA, o concierge e respostas de IA dos operadores

Estas funções estão desativadas até as ativarmos; cada uma indica que é uma IA antes de a utilizar.

se o autorizar na nossa página de consentimento. O assistente recebe então um token (nunca a sua palavra-passe) que lhe permite fazer o que autorizou: preparar reservas em seu nome e com o seu e-mail, ver as suas reservas e cancelar ou alterar uma delas — um cancelamento ou uma alteração apenas depois de lhe ter mostrado os pormenores e de ter dito que sim. Só efetua pagamentos onde tivermos ativado o pagamento por assistentes de IA (ver o parágrafo seguinte); caso contrário, paga no nosso sítio. Registamos o que o assistente fez (a ação, a referência da reserva e o resultado, não a conversa que teve com o assistente) e mostramos-lho nas definições de Segurança, onde pode retirar o acesso de imediato. O fornecedor do assistente trata a sua conversa ao abrigo dos seus próprios termos de privacidade. Fundamento jurídico: o contrato consigo, a seu pedido.

connosco sem as abandonar: a Google (o Universal Commerce Protocol, UCP) e o ChatGPT da OpenAI (o Agentic Commerce Protocol, ACP). A plataforma envia-nos então o que lhe forneceu para a reserva: o seu nome, e-mail e número de telefone, a experiência, a data e os bilhetes. A plataforma é um responsável pelo tratamento autónomo relativamente ao que lhe comunicar, ao abrigo dos seus próprios termos de privacidade; enviamos-lhe o estado da reserva (confirmada, alterada, cancelada, reembolsada) para que lho possa mostrar. Paga com um token de pagamento que a sua carteira na plataforma fornece à Stripe para esta única reserva, até ao respetivo montante: nunca vemos o número do seu cartão. Um assistente ligado (acima) pode pagar da mesma forma uma reserva que tenha preparado. Até este pagamento ser ativado, a plataforma reencaminha-o para o nosso próprio processo de pagamento. Conservamos o processo de pagamento, com os seus dados, durante 30 dias após a hora de expiração, se não tiver sido concluído, e durante 180 dias após a sua conclusão (a própria reserva, conforme descrito neste aviso); a nossa resposta a cada pedido, que pode conter os seus dados, durante 24 horas, para que um pedido repetido nunca origine duas reservas; e as mensagens de estado que enviámos à plataforma durante 30 dias. Fundamento jurídico: o contrato consigo, a seu pedido.

e as respostas são conservados para que a conversa possa continuar, durante 30 dias após a sua última mensagem, sendo depois eliminados; pode eliminá-los antes no chat. O texto é enviado ao nosso fornecedor de IA para redigir a resposta (ver Quem recebe os seus dados); os nossos registos de utilização guardam apenas o número de palavras tratadas e o custo, nunca o texto. As alterações a uma reserva exigem o seu clique em «Sim», com sessão iniciada.

com base nos factos do seu anúncio e nas suas próprias perguntas frequentes. Uma resposta enviada desta forma começa com uma indicação de que foi escrita por IA em nome do operador. O modelo recebe a sua mensagem sem o seu nome, e-mail, telefone ou referência da reserva. As perguntas sobre dinheiro, reembolsos, alterações, segurança ou saúde, bem como as reclamações, são sempre encaminhadas para uma pessoa.

no pedido (os cabeçalhos Signature-Agent, UCP-Agent e o identificador da chave de assinatura, o nome do cliente e o seu agente de utilizador). Registamo-los por agente, com o número de pedidos efetuados e as reservas que criou, por motivos de segurança, para reconhecer parceiros que verificámos e para fins estatísticos. Quando um agente assina os seus pedidos, verificamos a assinatura com as chaves que o agente publica no seu próprio sítio. Isto diz respeito ao agente, não a si: não é utilizado para definir perfis de viajantes. Fundamento jurídico: interesse legítimo (6(1)(f)).

as perguntas deste tipo são respondidas no nosso próprio sítio.

Ferramentas de planeamento e reserva

Estas funções estão desativadas até as ativarmos, e cada uma só é utilizada se assim o escolher.

a indicar), o tipo de bilhete habitual e uma nota. Só preenchem um formulário de reserva, de declaração de exoneração ou de transfere quando os seleciona nesse formulário. As notas alimentares (alergias, necessidades) são informações de saúde: só as conservamos com o seu consentimento explícito, dado juntamente com elas (art. 9.º, n.º 2, al. a), do RGPD), cifradas, e pode retirar o consentimento a qualquer momento, o que as elimina. Os dados de uma criança só são conservados na conta do progenitor que os guardou. Tudo é cifrado em repouso, incluído na exportação dos seus dados e eliminado com a sua conta. Fundamento jurídico: o seu consentimento; o contrato, quando os utiliza para reservar. Um assistente de IA que tenha ligado à sua conta (ver acima) só pode ler os seus viajantes guardados se também tiver autorizado «viajantes guardados» na página de consentimento, e mesmo assim apenas os nomes dos adultos, a idade de todos e o tipo de bilhete: nunca o nome de uma criança, uma data de nascimento, uma nota ou notas alimentares.

prestador de serviços de pagamento, num registo de cliente associado à sua conta; vemos apenas a marca, os últimos quatro dígitos e a data de validade. Remova um cartão em Conta → Cartões guardados; a eliminação da sua conta elimina o registo de cliente na Stripe com todos os cartões guardados.

por e-mail), os membros veem apenas os nomes próprios uns dos outros e o que cada um escreveu: notas, votos e mensagens. As mensagens entre viajantes não são alteradas nem ocultadas, mas uma mensagem que peça pagamento ou reserva fora da Jet.Guide é recusada, e qualquer membro pode denunciar uma mensagem; os nossos moderadores podem removê-la e indicar ao autor o motivo (Regulamento dos Serviços Digitais). Os membros recebem um e-mail sobre novas mensagens no máximo uma vez por hora. As suas mensagens, notas e votos são eliminados quando os elimina, quando o organizador deixa de partilhar ou com a sua conta.

a sua nota, o intervalo horário, as nossas tentativas de chamada e a nota do nosso agente, e abrimos um processo de apoio. Se ligarmos através da Twilio (Voice), a Twilio recebe o seu número para a chamada; caso contrário, o nosso agente marca o número manualmente. Não gravamos as chamadas. O pedido é eliminado com a sua conta; o processo de apoio é conservado sem os seus dados.

anúncio (o seu nome público, estrelas e texto) com uma imagem de pré-visualização que nós próprios criamos. Nenhum script de rede social é carregado nas nossas páginas.

«Recomendado para si» estiver ativado; nada sobre elas nos é enviado. As sugestões «Populares» são as mesmas para todos num país.

a sua localização apenas quando carrega em «Perto de mim», nunca quando uma página abre. A localização é enviada com esse único pedido para encontrar partidas e experiências nas proximidades e não é guardada.

Se mudar uma experiência da lista de desejos para outro dia ou hora, ou a retirar do plano, conservamos essas escolhas (qual a experiência, o dia e a hora, retirada ou não) com a sua conta, para que o plano tenha o mesmo aspeto da próxima vez. Os tempos de deslocação entre locais são estimativas com base na distância e são apresentados como tal. Fundamento: contrato (6(1)(b)). Conservados até eliminar a sua conta.

Localização aproximada a partir do seu endereço IP

(Este parágrafo só se aplica enquanto estiver ativado: GEOIP_ENABLED.)

país, consultamos o seu endereço IP num ficheiro de base de dados guardado no nosso próprio servidor («IP to City Lite» da DB-IP; não é consultado nenhum serviço externo). Utilizamos apenas o país, a região e um ponto arredondado a cerca de 11 km — ao nível da cidade, nunca a sua rua. Nem o seu endereço IP nem esta localização são guardados ou escritos nos nossos registos: são utilizados para essa única página e depois esquecidos, e uma página que os tenha utilizado é marcada como privada para que nenhuma cache partilhada a guarde. Fundamento jurídico: o nosso interesse legítimo em mostrar-lhe experiências relevantes (art. 6.º, n.º 1, al. f), do RGPD). Pode opor-se a qualquer momento (ver Os seus direitos); a localização é apenas uma estimativa, e pode sempre escolher outro destino ou carregar em «Perto de mim». Geolocalização por IP fornecida pela DB-IP (CC BY 4.0).

Entrada por voz

Quando o seu navegador oferece reconhecimento de voz, um botão de microfone permite-lhe dizer em voz alta uma pesquisa ou uma pergunta ao concierge. O áudio não nos é enviado: o seu navegador grava-o e o serviço de voz do respetivo fabricante converte-o em texto (por exemplo, a Google no Chrome, a Apple no Safari; alguns navegadores reconhecem a voz no próprio dispositivo). Recebemos apenas o texto, como se o tivesse escrito. O navegador pede primeiro a sua autorização para o microfone, e pode retirá-la nas respetivas definições.

(Os dois parágrafos seguintes só se aplicam enquanto estiverem ativados.)

junto de uma resposta ou de um plano de viagem, a síntese de voz do seu próprio navegador lê-o. Nada nos é enviado; alguns navegadores utilizam as vozes em linha do respetivo fabricante, que recebem então o texto lido. A escolha é guardada apenas no seu navegador.

excerto de, no máximo, 30 segundos e envia-nos; um fornecedor de conversão de voz em texto que atua como nosso subcontratante (OpenAI, OpenAI L.L.C., Estados Unidos, ou outro fornecedor compatível que indicaremos aqui antes da mudança) converte-o em texto, que colocamos na caixa para que o leia e envie. O excerto e o texto são utilizados apenas para esse fim e não são guardados por nós, e o fornecedor não os pode conservar nem utilizar para treino. Fundamento jurídico: a execução do que pediu (art. 6.º, n.º 1, al. b), do RGPD).

Chaves de acesso, bilhetes com desconto, pagamento na nossa página e ligações de redes sociais

(Cada um destes pontos só se aplica enquanto estiver ativado.)

credencial, um contador, a forma como o seu dispositivo se liga a ela e o nome que lhe atribuiu, com as datas em que foi adicionada e utilizada pela última vez. A chave privada e a sua impressão digital, rosto ou bloqueio de ecrã nunca saem do seu dispositivo. Enviamos-lhe um e-mail quando uma chave de acesso é adicionada ou removida. Fundamento: contrato (6(1)(b)); eliminada quando remove a chave de acesso ou encerra a sua conta.

voucher indica que documento deve trazer e o pessoal do operador verifica-o à entrada; nunca recolhemos nem guardamos o documento. Um bilhete para pessoas com deficiência pode revelar informações de saúde: é conservado com a reserva, mostrado ao operador dessa reserva apenas para o verificar à entrada, e apagado ou anonimizado com a reserva. Fundamento: contrato (6(1)(b)) e, no caso de um bilhete para pessoas com deficiência, a sua escolha explícita desse bilhete (9(2)(a)).

Payments Europe Ltd): os dados do seu cartão vão diretamente para a Stripe e nunca vemos o número do cartão. O script da Stripe define os seus próprios cookies (por exemplo __stripe_mid e __stripe_sid) para prevenir a fraude, apenas na página de pagamento. O Apple Pay e o Google Pay são disponibilizados pelo seu dispositivo através da Stripe.

página de lista guardada, o nosso servidor envia essa ligação (sem os respetivos parâmetros de rastreio) à plataforma de onde provém — TikTok, Meta (Instagram) ou Google (YouTube) — através do serviço público oEmbed da plataforma, para ler o título público e o nome do autor da publicação, e utiliza esse texto apenas para sugerir experiências do nosso catálogo. Não guardamos a ligação nem a resposta para além de uma cache de curta duração, até 10 minutos, na memória do servidor, e não as associamos à sua conta. Fundamento: o seu pedido (6(1)(b)).

bilhete, o pessoal à entrada pode confrontá-lo com um documento de identificação, e um bilhete que envie a um amigo passa a ter o nome desse amigo. É conservado com a reserva e apagado com ela. Fundamento: contrato (6(1)(b)).

Viagens, pagar em conjunto, chats e reservas Google

(Cada um destes pontos, exceto os seus próprios elementos de viagem, só se aplica enquanto estiver ativado.)

um título, os horários e o fuso horário e, se quiser, um local, uma morada, uma referência de reserva e notas. Estes aparecem na sua viagem, no respetivo ficheiro de calendário e na cópia que o seu navegador guarda para utilização sem ligação. Uma pessoa com quem partilhe a ligação da viagem vê apenas o título, o tipo e a hora de um elemento — nunca a referência, as notas, o local ou a morada. Fundamento: contrato (6(1)(b)). Conservados até eliminar o elemento ou a sua conta.

confirmações de reservas. Só lemos um e-mail desses se provier do próprio endereço verificado da sua conta, conforme confirmado pelas verificações do remetente (DMARC, DKIM, SPF) do nosso fornecedor de e-mail de entrada; tudo o resto é rejeitado sem ser lido. Lemos primeiro os dados estruturados de reserva que muitas confirmações contêm (voos, alojamentos, mesas de restaurante). Se não existirem, o nosso fornecedor de modelos de IA lê o assunto e até 8000 caracteres do texto para encontrar as reservas; os elementos encontrados desta forma indicam que foram lidos por IA. Tudo o que é encontrado é guardado como rascunho que verifica e depois confirma ou elimina. O próprio e-mail não é guardado: uma confirmação pode indicar o nome das pessoas com quem viaja, e só é conservado o que entra num elemento. A criação de um novo endereço desativa de imediato o anterior. Fundamento: contrato (6(1)(b)), a seu pedido.

20 partes, cada uma paga através da sua própria ligação antes de um prazo. Se escrever os endereços de e-mail dos seus amigos, enviamos-lhes a respetiva ligação por e-mail. Cada parte é paga através da Stripe; vemos que foi paga, nunca o cartão. Conservamos os montantes, se cada parte foi paga e os endereços que escreveu, com a reserva. Se houver partes por pagar no termo do prazo, todas as partes pagas são reembolsadas e a reserva é libertada — ou, apenas se o tiver aceitado na página da sua parte, o cartão com que pagou a sua parte é conservado na Stripe e debitado pelo restante em falta; quando a divisão termina (paga, libertada ou com o restante debitado), esse cartão é eliminado na Stripe. A Stripe recebe o endereço que escreveu para uma parte com o respetivo pagamento. Conservamos os endereços dos seus amigos durante 30 dias após o termo da divisão, para os recibos e os e-mails sobre o resultado, e depois removemo-los. Fundamento: contrato (6(1)(b)) consigo e com cada amigo relativamente à sua parte; o envio a um amigo da ligação que nos pediu para enviar: o nosso interesse legítimo em dar seguimento ao seu pedido (6(1)(f)).

entre si e com a equipa do operador, desde 48 horas antes do início até 7 dias após o fim; o chat passa então a ser só de leitura. Os outros veem o nome próprio que escolheu para «Quem vai». Os números de telefone, endereços de e-mail e outros dados de contacto são ocultados nas mensagens, e uma mensagem que peça pagamento ou reserva fora da Jet.Guide é recusada. Pode denunciar qualquer mensagem (Regulamento dos Serviços Digitais) e bloquear um viajante, cujas mensagens deixa então de ver. Pode eliminar as suas próprias mensagens, e desativar «Quem vai» põe termo à sua participação no chat. As mensagens são eliminadas 30 dias após o fim da partida; uma mensagem denunciada é conservada com a denúncia. O chat não é oferecido no Reino Unido. Fundamento: o seu consentimento para «Quem vai» (6(1)(a)) e o contrato (6(1)(b)); tratamento das denúncias: obrigação jurídica (6(1)(c)).

no Google Maps ou na Pesquisa Google. A Google envia-nos então o seu nome, endereço de e-mail e número de telefone, o número de pessoas, a hora escolhida e o identificador pseudonimizado que a Google lhe atribui; fazemos a reserva junto do operador como reserva paga no local, e comunicamos à Google o respetivo estado, com os mesmos dados, quando a Google o solicita. A Google é um responsável pelo tratamento autónomo relativamente ao que lhe fornece, ao abrigo da sua própria política de privacidade. Fundamento: contrato (6(1)(b)). A reserva é conservada como qualquer outra; o identificador da Google é eliminado com os dados pessoais da reserva.

programa de fidelização estiver em vigor, apenas ao nível Gold ou Platinum desse programa. Quando tem a sessão iniciada, o preço é calculado com base na sua conta: se é membro e, para um nível, as reservas que concluiu. Nada de novo é guardado; o preço que paga fica associado à reserva. Quando não tem a sessão iniciada, um preço pode mostrar o que os membros pagam. Fundamento: contrato (6(1)(b)).

na Ajuda, conversa com a nossa equipa de apoio. Conservamos o seu nome e endereço de e-mail (como convidado, escreve-os e passa a verificação anti-bots), a sua língua, a reserva em causa, o que o utilizador e o concierge disseram até então, as mensagens e quando foram lidas. Fora do horário do chat, quando ninguém está disponível, quando ninguém atende o chat em poucos minutos e quando o chat termina, a conversa passa para um pedido de apoio para que possamos responder por e-mail. O chat é eliminado 90 dias após o seu encerramento; a cópia no pedido de apoio é conservada nos mesmos termos dos pedidos de apoio (ver «Durante quanto tempo os conservamos»). Fundamento: contrato e o nosso interesse legítimo em responder-lhe (6(1)(b) e (f)).

Planeador de viagens, preferências de viagem e o concierge

(Cada um destes pontos só se aplica enquanto estiver ativado.)

nome ou data de nascimento), interesses, coisas a evitar, o ritmo, um orçamento e necessidades de mobilidade (sem degraus, carrinho de bebé, marcha limitada). Utilizamos esta descrição para elaborar um plano a partir de anúncios com lugares disponíveis e locais de interesse abertos nesses dias. Quando é utilizado o nosso fornecedor de modelos de IA (ver Quem recebe os seus dados), este recebe esta descrição e os anúncios candidatos, escolhe entre eles e redige breves justificações assinaladas como IA; caso contrário, o plano é elaborado por regras. As necessidades de mobilidade podem revelar algo sobre a saúde: indique-as apenas se quiser que sejam tidas em conta; são utilizadas apenas para este plano. Pode também começar a partir de uma captura de ecrã, fotografia, PDF ou texto colado. Um ficheiro é lido uma vez pelo fornecedor de modelos de IA para encontrar nomes de locais e de atividades (uma fotografia é primeiro recodificada, o que remove os dados de localização e da câmara) e não é guardado; o texto colado é comparado sem IA. Um plano que não guarde não é conservado do nosso lado. Um plano guardado contém a sua descrição e o plano: na sua conta, até o eliminar ou eliminar a sua conta; sem conta, por detrás de uma ligação privada da qual conservamos apenas um hash, sendo eliminado 30 dias após a última alteração. Uma ligação de partilha mostra o plano só para leitura e deixa de funcionar quando cancela a partilha. Nada do que escreve, carrega ou planeia é escrito nos nossos registos. Fundamento: o seu pedido (6(1)(b)); para as necessidades de mobilidade, a sua escolha explícita de as indicar (9(2)(a)).

coisas a evitar e as idades dos seus filhos: escolhidos a partir de listas fixas, nunca texto livre, e nunca deduzidos do que faz. As necessidades de acessibilidade (cadeira de rodas, sem degraus, audição, visão e semelhantes) podem ser dados de saúde: só são conservadas com o seu próprio consentimento explícito, dado juntamente com elas, e a retirada desse consentimento elimina-as. O concierge utiliza as suas preferências para escolher sugestões, e a pesquisa pode ordenar os resultados pelos interesses que guardou. Não são utilizadas enquanto o seu navegador enviar o sinal Global Privacy Control ou se tiver desativado as recomendações, nunca são utilizadas para preços, nunca são mostradas aos operadores e nunca são fornecidas a assistentes ligados à sua conta. Desativar a memória elimina-a de imediato. Fundamento: consentimento (6(1)(a); para as necessidades de acessibilidade, 9(2)(a)).

concierge ler as suas reservas confirmadas, os seus próprios elementos de viagem e o plano do dia, a sua lista de desejos, os seus alertas de preço e de novas datas e, quando essa função estiver ativada, os seus viajantes guardados, para responder sobre a sua viagem. Pode propor guardar uma experiência ou definir um alerta; só o seu clique no botão de confirmação efetua a alteração. Cada leitura e alteração é registada tal como para os assistentes ligados. Desativar o acesso à viagem põe-lhe termo de imediato.

também tiver autorizado «lista de desejos» na página de consentimento, ler a sua lista de desejos e os seus alertas e alterá-los depois de ter dito que sim no assistente, e guardar um carrinho para si: uma ligação assinada que funciona durante 7 dias, salvo se definirmos outro período (no máximo 30), e que é eliminada um dia após expirar. Ao abri-la, todos os preços são novamente calculados; nada é reservado nem debitado.

escolheu, a sua nota (sem dados de contacto), a língua e, se tiver sessão iniciada, a sua conta; nunca o seu endereço de rede nem o seu nome. A nossa equipa utiliza-a para corrigir respostas de IA. Uma denúncia é conservada durante 180 dias após a nossa equipa a encerrar (no máximo um ano enquanto estiver aberta); o apagamento da sua conta remove dela a sua conta e a sua nota. Fundamento: interesse legítimo em respostas de IA corretas e seguras (6(1)(f)).

Planear em grupo, ligações entre participantes e reservas de grupo

(Cada um destes pontos só se aplica enquanto estiver ativado. O planeamento em grupo e as ligações entre participantes não são oferecidos no Reino Unido.)

experiências numa lista de pré-seleção, votar nelas, propor datas e responder a uma sondagem de datas; os membros veem os nomes próprios, os votos e as respostas uns dos outros. Um membro pode fazer uma pergunta ao assistente de IA em nome do grupo: este recebe a pergunta e as datas do grupo, o número de pessoas, a pré-seleção e a sondagem, nunca o nome ou o endereço de um membro e nunca as reservas de ninguém, e a sua resposta, assinalada como IA, fica no grupo. As perguntas e respostas são eliminadas após 30 dias, e todo o plano do grupo 30 dias após o grupo deixar de ser partilhado. O titular escolhe então uma partida e reserva-a; o preço pode ser dividido entre os membros (ver «Pagar em conjunto»). Fundamento: contrato (6(1)(b)).

mostrado o seu nome em «Quem vai» numa partida, durante 14 dias após o fim desta vê os outros participantes dessa partida que fizeram o mesmo, e pode pedir a um deles para se manterem em contacto. O outro participante recebe um único e-mail apenas com o nome próprio que escolheu e o título da experiência, e aceita ou recusa. Os participantes ligados podem escrever-se segundo as regras do chat da partida: uma mensagem que peça pagamento ou reserva fora da Jet.Guide é recusada, e pode denunciar uma mensagem e bloquear um participante. Conservamos a sua adesão com o texto que aceitou, as suas ligações (quem, que partida, quando) e as mensagens. Cancelar a adesão impede novos pedidos; terminar uma ligação, ou apagar qualquer uma das contas, elimina-a juntamente com as suas mensagens para ambos os participantes. Fundamento: consentimento (6(1)(a)); tratamento das denúncias: obrigação jurídica (6(1)(c)).

ligações que também o ativaram podem ver o que escolher, cada parte separadamente: as experiências que realizou (o local do anúncio, o mês e o ano, nunca o dia, o grupo ou o preço), as listas que partilha uma a uma, e «recomendado por» com o nome próprio que escolheu num anúncio que classificou com 4 ou 5 estrelas ou colocou numa lista partilhada, este último apenas para as ligações que optaram por ver recomendações. Mais ninguém vê nada disto, e não é oferecido no Reino Unido. Pode ocultar uma experiência; bloquear ou terminar uma ligação oculta tudo a essa pessoa. Conservamos as suas escolhas, as experiências que ocultou e o texto que aceitou; desativar o mapa, ou apagar a sua conta, elimina-os. Fundamento: consentimento (6(1)(a)).

nomes dos viajantes até ao prazo fixado pelo operador, indicar os endereços de e-mail dos membros para que cada um pague a sua parte através de uma ligação (conservamos apenas um hash de cada ligação), e pedir que os recibos sejam emitidos em nome de uma empresa (a sua denominação, morada, país e, se indicados, os números de IVA e de registo e um e-mail de faturação). O operador vê os nomes, sem endereços, no seu portal; a lista nunca é enviada por e-mail. As partes são pagas através da Stripe. Os nomes e os endereços dos membros são apagados 30 dias após a atividade (ver «Durante quanto tempo os conservamos»). Fundamento: o contrato com o organizador (6(1)(b)); o envio a um membro, por e-mail, da ligação que o organizador nos pediu para enviar: interesse legítimo (6(1)(f)).

Garantia de preço, o clube e outras formas de pagamento

(Cada um destes pontos só se aplica enquanto estiver ativado.)

conta ou o endereço de e-mail da reserva, a ligação e o preço do outro sítio, quando o viu, a sua nota, uma captura de ecrã se a acrescentar (guardada com a reserva; não inclua nela dados de outras pessoas) e a decisão da nossa equipa. Não abrimos a ligação automaticamente; a nossa equipa pode consultar a página. Um pedido aprovado reembolsa a diferença ou concede crédito na loja; os respetivos montantes, datas e decisão ficam no registo financeiro da reserva, e o apagamento remove a conta, o endereço, a nota e a captura de ecrã. Os pedidos são contabilizados por conta e por endereço de e-mail para efeitos do limite anual. Fundamento: contrato (6(1)(b)).

e o consentimento para a renovação). O acesso antecipado a uma partida dá-lhe um código de acesso do qual conservamos apenas um hash. Se utilizar a cobertura de cancelamento, conservamos a reserva e o montante creditado; esse crédito na loja é um registo contabilístico (10 anos) e perde a ligação à sua conta em caso de apagamento. O clube nunca atribui a ninguém um preço personalizado. Fundamento: contrato (6(1)(b)).

prestação seja guardado pela Stripe e debitado nas datas indicadas. Conservamos esse acordo (quando, e com que redação), a marca e os últimos quatro dígitos do cartão, o calendário e cada pagamento. O cartão é removido na Stripe quando já nada for devido. Em caso de apagamento, os dados do cartão são eliminados; o calendário, os montantes e o acordo mantêm-se como registos financeiros. Fundamento: contrato (6(1)(b)).

processo de pagamento da Stripe: é encaminhado para o prestador, que recebe o que necessita para esse pagamento ao abrigo dos seus próprios termos e aviso de privacidade; apenas ficamos a saber se o pagamento foi efetuado. O Scalapay e o Alma, que permitem pagar mais tarde, são responsáveis pelo tratamento autónomos relativamente ao acordo que celebra com eles.

a Klarna, a Afterpay/Clearpay, o Scalapay ou o Alma emprestam-lhe o preço e pagam-nos a totalidade. Se escolher um deles, este recebe o seu nome, endereço de e-mail, o montante e a data da reserva para decidir se concede o crédito, e pode verificar a sua solvabilidade ao abrigo dos seus próprios termos e aviso de privacidade. É um responsável pelo tratamento autónomo relativamente ao crédito, que é celebrado entre si e esse prestador, e não com a Jet.Guide ou o operador. Apenas ficamos a saber se o pagamento foi efetuado. Fundamento: contrato (6(1)(b)).

No próprio dia e no seu telemóvel

(Cada um destes pontos só se aplica enquanto estiver ativado.)

comunicação sua ainda em aberto), a página da sua reserva mostra as suas opções e até três alternativas com lugares disponíveis nesse dia, escolhidas por local, tipo e hora, nunca com base num perfil seu. Enviamos-lhe um e-mail e uma notificação push uma vez por reserva e motivo, e registamos que o fizemos. Fundamento: contrato (6(1)(b)).

de que chegou. Apenas com o seu consentimento, a posição do seu navegador é lida uma vez, arredondada a cerca de 100 metros e conservada com o registo de chegada; o operador vê quem chegou, e uma chegada registada impede que seja marcado como não comparência sem verificação por uma pessoa. A posição é apagada após 30 dias. Fundamento: consentimento (6(1)(a)).

(conservamos apenas o seu hash, no máximo cinco por conta, revogado quando termina a sessão) e mostra o título, a hora, o ponto de encontro e a ligação para o voucher da sua próxima reserva no ecrã inicial e, nas 4 horas anteriores ao início, no ecrã de bloqueio, onde qualquer pessoa que veja o seu telemóvel os pode ler. Não são mostrados nome, número de telefone nem preço. Remova o widget, ou termine a sessão, para o interromper.

a sua reserva, para que a tripulação possa verificar o passe e para que possa ver durante quanto tempo ainda é válido. A lista sem ligação da tripulação contém apenas códigos em hash, sem nomes. As posições dos veículos na página do percurso dizem respeito aos autocarros e barcos, não a si. Estes registos ficam com a reserva e deixam de remeter para qualquer pessoa quando esta é anonimizada.

vezes foi aberta: sem identificador de visitante, endereço ou cookie. A pergunta é escrita na caixa do assistente para que a leia, altere e envie pessoalmente.

e-mail contém a ligação para uma página onde indica o nome do titular da conta e o IBAN (ou, tendo conta, o recebe como crédito na conta). A ligação funciona uma única vez; conservamos o IBAN cifrado, e apenas a nossa equipa financeira o vê, para efetuar a transferência; eliminamo-lo quando o pagamento é efetuado e conservamos apenas os seus últimos quatro dígitos com o pedido. Enviamos-lhe um e-mail quando os dados são fornecidos e quando o dinheiro é enviado. Fundamento: contrato (6(1)(b)).

complemento sugerido ou, no caso de um operador, um preço mais baixo para uma parte aleatória dos visitantes (nunca mais alto, nunca com base em quem é, e a página indica que os preços estão a ser testados). Só se tiver autorizado a análise estatística no aviso de cookies é que o seu identificador aleatório de visita (tg_vid) escolhe a sua versão, sempre a mesma; caso contrário, vê a página habitual e não é contabilizado. Contamos as apresentações por versão e por dia sem qualquer identificador de visitante, e as reservas feitas a partir de visitas no teste. Fundamento: consentimento (6(1)(a)).

Mensagens dos operadores, listas de participantes e fidelização

(Cada um destes pontos só se aplica enquanto estiver ativado.)

da Vonage ou da MessageBird (a que utilizarmos). As SMS sobre a sua reserva são enviadas apenas para um telefone que pediu SMS sobre essa reserva. As SMS de marketing do operador, como um lembrete sobre um pagamento que não concluiu ou um pedido de avaliação, só são enviadas depois de as ter pedido (na página da reserva, ou no balcão do operador) e de o ter confirmado respondendo YES ou utilizando a ligação da única SMS de confirmação que enviamos (válida durante 48 horas). Cada SMS identifica o operador e contém uma ligação para cancelar; responder STOP interrompe todas as SMS desse operador para esse telefone, e um STOP enviado para o número próprio da Jet.Guide interrompe-as todas. Quando envia uma SMS para o número do operador, a sua mensagem vai para a caixa de entrada do operador e este pode responder durante 30 dias. Conservamos o consentimento (o número, o texto que aceitou, quando), os STOP e as SMS (número e texto); as SMS são eliminadas 90 dias após o envio (OPERATOR_SMS_RETENTION_DAYS). Fundamento: consentimento (6(1)(a)) para as SMS de marketing; o contrato para as SMS sobre a sua reserva.

e-mails de um operador» abaixo) e o operador ligar o seu próprio Mailchimp, Klaviyo ou HubSpot, enviamos a essa ferramenta o seu endereço de e-mail, nome e língua como contacto; ninguém sem esse consentimento confirmado é enviado. Retirar o consentimento junto de nós cancela a sua subscrição nessa ferramenta, e cancelar a subscrição nessa ferramenta retira-o aqui. Conservamos apenas um hash com sal do endereço e a indicação de estar ou não subscrito. O operador é o responsável pelo tratamento da sua própria ferramenta.

contabilizadas através de um hash com sal do seu endereço de e-mail, e a cada determinado número de visitas obtém um código de utilização única, enviado por e-mail apenas se tiver aceitado os e-mails do operador. No seu balcão, o operador pode reconhecê-lo como participante habitual pelo seu endereço de e-mail ou número de telefone, apenas entre as suas próprias reservas, e pode agrupar participantes que viajam juntos num agregado (podem ser-lhe mostrados participantes que partilham um número de telefone, ou com o mesmo apelido na mesma partida). O apagamento elimina as contagens de visitas e a pertença a agregados. Fundamento: o interesse legítimo do operador (6(1)(f)); o operador é o responsável pelo tratamento.

aceitar o aviso dessa página, podem ser carregadas as etiquetas próprias do operador do Google Analytics, Google Tag Manager e Meta, e, após a sua reserva, o nosso servidor pode enviar a compra para as contas próprias do operador na Meta, no Google Analytics e no Google Ads: o valor, a moeda, um número de evento que não é a referência da sua reserva, o seu endereço de e-mail e número de telefone apenas como hashes unidirecionais (SHA-256) e, quando essas etiquetas os definam, os respetivos identificadores do navegador (por exemplo _fbp) e o clique no anúncio a partir do qual chegou. A análise estatística requer o seu consentimento para análise estatística; a Meta e o Google Ads requerem o seu consentimento para marketing; com o Global Privacy Control ativado, ou após «Não, obrigado», nada é enviado, e um «Não, obrigado» posterior interrompe o que ainda não tiver sido enviado. Conservamos a sua escolha e estes identificadores durante 90 dias. Fundamento: consentimento (6(1)(a)). O operador é o responsável pelo tratamento das suas contas publicitárias.

Receção com IA, rececionista telefónico e assistentes dos operadores

(Cada um destes pontos só se aplica enquanto estiver ativado, e um operador só o utiliza se assim o escolher.)

(mensagens na Jet.Guide, e-mail, WhatsApp, Instagram e SMS) e por telefone. Cada resposta indica que foi escrita por IA. A IA responde apenas com base nos anúncios do operador, nas suas perguntas frequentes e na disponibilidade em tempo real; os reembolsos, as alterações, as reclamações, a segurança e um pedido para falar com uma pessoa são encaminhados para a equipa do operador. O nosso fornecedor de modelos de IA recebe as suas mensagens sem endereços de e-mail, números de telefone e ligações. Se pretender lugares, a IA pode reservá-los temporariamente em seu nome e enviar-lhe uma ligação para pagar, depois de indicar o seu nome e endereço de e-mail. Conservamos a conversa, as respostas e decisões da IA (que a equipa do operador analisa) e, no caso de uma chamada, o seu número de telefone: tudo eliminado 30 dias após a última mensagem. Fundamento: o interesse legítimo do operador e o nosso em responder-lhe, e o contrato quando reserva (6(1)(f) e (b)).

assistente de IA automatizado e que, se disser «pessoa», a chamada é transferida. O fornecedor de telefonia (Twilio ou Vonage) transporta a chamada, converte a sua voz em texto e lê as respostas em voz alta. As chamadas nunca são gravadas. O que foi dito só é conservado se o operador conservar transcrições e se disser que sim quando lhe for perguntado; caso contrário, apenas que ligou, quando e como a chamada terminou. Uma ligação de pagamento é enviada por SMS para o número a partir do qual ligou.

Claude ou no ChatGPT) ao back office da empresa, ao nível que a função desse membro permitir. O assistente pode então ler as partidas e as reservas do operador, incluindo o seu nome e dados de contacto, e, a um nível superior, reservar temporariamente, transferir ou cancelar reservas, um cancelamento apenas após confirmação. O fornecedor do assistente trata o que lê ao abrigo do acordo do operador com ele, e o operador é responsável por isso. Registamos que ferramenta foi utilizada, quando e em que reserva ou partida, nunca os seus dados.

relatórios fixos, que nós calculamos. A pergunta em si não é guardada, apenas qual o relatório executado.

Declarações de exoneração, passes, revenda e canais de venda

(Cada um destes pontos só se aplica enquanto estiver ativado.)

tenha assinado para um dos seus anúncios volta a valer para uma nova reserva do mesmo anúncio dentro do prazo de validade fixado pelo operador (no máximo dois anos), quando o seu nome e endereço de e-mail coincidirem e o texto da declaração não tiver sido alterado. Nada é copiado; a assinatura anterior é conservada até terminar o prazo de conservação da nova atividade.

declaração de exoneração no seu telemóvel sem reserva. A declaração é conservada, com o endereço de e-mail que indicou, para que o operador a associe à sua reserva no check-in: 7 dias, salvo se o operador fixar entre 1 e 30. Uma vez associada, é tratada como qualquer declaração de exoneração; caso contrário, é eliminada.

equipamento e para limites de segurança. O operador vê-os com a declaração; são eliminados com os campos pessoais da declaração (ver «Durante quanto tempo os conservamos»).

ou outro que o operador aceite), o leitor do operador verifica-o junto dessa empresa, que recebe o número do passe. Conservamos o número do passe, um hash e os últimos quatro caracteres do seu código, a categoria e a tarifa, para que o operador possa faturar à empresa do passe; nunca o seu nome nem os seus contactos. Os vouchers da GetYourGuide, da Viator e de outros revendedores são verificados com base na reserva que nos enviaram.

página de loja, no seu widget ou no seu balcão; é-lhe indicado quem a vende e quem a presta. O operador vendedor recebe o seu nome e os seus contactos e pode enviar-lhe por e-mail uma ligação de pagamento; o operador que a realiza recebe o seu nome e a reserva. Cada um é responsável pelo que faz com esses dados.

Klook, Tiqets, Musement, Google Things to Do ou num revendedor OCTO, e o respetivo operador gerir esses canais através da Jet.Guide, o canal envia-nos a reserva com o nome do viajante principal e o grupo, e conservamo-la para o operador; as alterações e os cancelamentos circulam em ambos os sentidos. O canal é um responsável pelo tratamento autónomo, nos termos do seu próprio aviso de privacidade. Uma reserva que não possa ser registada automaticamente conserva o nome no máximo 30 dias (ver «Durante quanto tempo os conservamos»).

Fotografias depois do passeio

(Cada um destes pontos só se aplica enquanto estiver ativado.)

dessa saída. Na sua reserva, escolhe se as fotografias em que aparece podem ser partilhadas com os outros participantes («partilhar») ou não («excluir-me»); uma criança incluída numa reserva fica excluída, salvo se o adulto que fez a reserva escolher «partilhar». Antes de o álbum ser mostrado, um membro da equipa tem de confirmar que ninguém que deva ser excluído pode ser reconhecido; conservamos quem o confirmou e quando. Só os participantes dessa saída veem o álbum, através da sua própria reserva. Pode pedir a remoção de qualquer fotografia («Estou nesta fotografia»): é removida para todos de imediato e os seus ficheiros são eliminados; o operador vê que foi removida, mas não por quem. Os dados de localização e da câmara são retirados de todas as fotografias. As fotografias e a sua escolha são eliminadas 30 dias após a saída (podemos fixar entre 7 e 180 dias). Se o operador vender um pacote de fotografias, a compra dá-lhe as fotografias em tamanho original; sem ela, vê pequenas pré-visualizações. Os 30 dias contam-se a partir do fim da saída. Um pacote de fotografias comprado depois do passeio dá-lhe as fotografias em tamanho original até o álbum ser eliminado; não é vendido nas últimas 48 horas do álbum, e uma fotografia removida é também retirada aos compradores, pelo que deve descarregar as que pretende guardar.

planeador de viagem; não conservamos nada delas.

Ordens das autoridades e controlos de sanções

(O controlo de sanções só se aplica enquanto estiver ativado.)

removamos conteúdos, que lhe prestemos informações sobre si ou que apresentemos ou conservemos dados (Regulamento dos Serviços Digitais, artigos 9.º e 10.º; Regulamento (UE) 2023/1543 relativo às provas eletrónicas). A nossa equipa jurídica regista cada ordem, verifica-a e responde-lhe. Enquanto uma ordem nos pedir que conservemos dados, as contas, reservas e mensagens que ela indica ficam excluídas dos nossos prazos habituais de eliminação, é conservada uma cópia selada das mesmas e a sua conta não pode ser apagada (informamo-lo apenas de que uma obrigação legal o impede). Informamo-lo de uma ordem quando a lei e a ordem o permitem: quem a enviou, o que fizemos e como a pode contestar. Fundamento: obrigação legal (6(1)(c)). A ordem é conservada durante 5 anos após o seu encerramento; a cópia, apenas até ao fim da conservação.

vender serviços turísticos na Crimeia, em Sebastopol e nas zonas ocupadas da Ucrânia. Todas as noites comparamos os nomes dos operadores, dos seus proprietários e dos parceiros (afiliados, criadores) com a lista publicada pela UE. Uma possível correspondência suspende os respetivos pagamentos e a aprovação até que o nosso pessoal a tenha verificado; a correspondência e a decisão são conservadas como registo de conformidade. Os nomes dos viajantes não são verificados. Fundamento: obrigação legal (6(1)(c)).

não o deveria), registamo-lo no nosso registo de incidentes: o que aconteceu, que dados e quantas pessoas, o risco para si e o que fizemos. Conservamos esse registo mesmo quando o incidente não tem de ser notificado. Notificamos a autoridade de controlo da proteção de dados no prazo de 72 horas após dele termos conhecimento, salvo se for improvável que represente um risco para alguém, e informamo-lo diretamente, na sua língua, quando for provável que o exponha a um risco elevado: o que aconteceu, o que pode significar para si e o que pode fazer. Se os clientes de um operador forem afetados, informamos também o operador. Fundamento: obrigação legal (6(1)(c)). O registo é conservado durante 5 anos após o encerramento do incidente.

Rede de parceiros

(A rede de parceiros só se aplica enquanto estiver ativada: AFFILIATE_NETWORK_ENABLED.)

Rede de parceiros (apenas parceiros). Quando um parceiro se candidata com a ligação ou o código de convite de outro parceiro, conservamos quem o convidou (o seu patrocinador), fixado quando aprovamos a candidatura, e qualquer correção feita pelo nosso pessoal, com o respetivo motivo. Para manter a rede honesta, comparamos um parceiro com os parceiros acima dele: o domínio de um endereço de e-mail empresarial verificado, a conta de pagamento, o número de contribuinte ou de IVA e hashes com sal do endereço de rede (e do endereço com o navegador) a partir do qual se candidatou — nunca o próprio endereço. Uma correspondência suspende as comissões em causa até que uma pessoa do nosso pessoal as tenha analisado; nada é decidido apenas pela comparação. Um parceiro vê os nomes dos parceiros que convidou e apenas totais para os níveis inferiores; ninguém na rede vê os viajantes. Fundamento: o contrato com o parceiro (6(1)(b)) e o nosso interesse legítimo na prevenção da fraude (6(1)(f)). Conservados enquanto a conta de parceiro estiver aberta; as comissões, com os registos de pagamento (legislação contabilística).

Comparamos também o endereço de rede a partir do qual um parceiro utilizou o nosso sítio pela última vez (um hash com sal) e, quando a Stripe o comunica, um hash com sal da conta bancária de pagamento, e verificamos se uma reserva que geraria uma comissão foi comprada por um parceiro de um nível superior (a mesma conta, endereço de e-mail ou cartão); essa comissão fica igualmente suspensa para análise. Os hashes com sal da inscrição são eliminados 180 dias após a candidatura; os restantes, quando a conta de parceiro é encerrada e apagada. Os totais de vendas só são mostrados para níveis com pelo menos três parceiros, para que ninguém consiga ler as vendas de um único parceiro.

Ferramentas para parceiros

Lista «brevemente disponível». Enquanto o nosso programa de parceiros estiver fechado, pode deixar o seu endereço de e-mail na página do programa (e, se quiser, o tipo de parceiro que é, um sítio web e um país) para ser avisado uma vez quando abrir. Enviamos primeiro uma ligação de confirmação; um endereço não confirmado no prazo de 7 dias é eliminado. Um endereço confirmado recebe um e-mail quando o programa abrir e é eliminado 30 dias depois, e qualquer endereço o é, o mais tardar, após 18 meses. Conservamos o texto com que concordou e um hash com sal do endereço de rede a partir do qual enviou o formulário (para impedir abusos), nunca o próprio endereço. O endereço de e-mail não é utilizado para mais nada. Fundamento: o seu consentimento (6(1)(a)), que pode retirar a qualquer momento através da ligação no nosso e-mail.

LinkSwitcher e a barra de parceiro. O script LinkSwitcher de um parceiro, no sítio do próprio parceiro, lê apenas os endereços das ligações para o nosso sítio e transforma-os nas ligações rastreadas do parceiro; não define nenhum cookie, não armazena nada e não envia nada sobre o leitor. Seguir uma dessas ligações é um clique normal de parceiro (tg_clid, abaixo). A barra de parceiro nas nossas páginas, mostrada apenas a parceiros com sessão iniciada, memoriza nesse navegador apenas se o parceiro a recolheu (tg_partner_bar).

Dados de pagamento de operadores e parceiros

(A escolha de um pagamento por banco ou pela Revolut só se aplica enquanto estiver ativada: PAYOUT_METHOD_CHOICE_ENABLED.)

Dados bancários para pagamentos (operadores e parceiros). Um operador ou um parceiro que escolha ser pago por transferência bancária ou através da nossa conta Revolut Business indica-nos o nome do titular da conta, o IBAN e, se quiser, o BIC. Conservamos o IBAN cifrado e mostramos apenas os seus últimos quatro dígitos, também ao nosso pessoal; só é aberto para efetuar um pagamento, e um hash com sal do mesmo é comparado com os de outros beneficiários para detetar uma única conta por detrás de várias empresas. O nosso pessoal verifica os dados com base numa declaração ou extrato bancário antes do primeiro pagamento. Uma alteração é confirmada com a palavra-passe e comunicada por e-mail, também para um endereço que a conta tenha deixado recentemente. Para um pagamento através da Revolut, a Revolut recebe o nome do titular e o IBAN. Fundamento: o contrato com o beneficiário (6(1)(b)) e o nosso interesse legítimo na prevenção da fraude (6(1)(f)). Conservados enquanto a conta estiver aberta; com o apagamento, o nome do titular e o IBAN são removidos e apenas os últimos quatro dígitos ficam com os registos de pagamento (legislação contabilística).

Controlos das avaliações

(A comparação de hashes de cartão, de rede e de dispositivo no segundo parágrafo só se aplica enquanto estiver ativada: REVIEW_FRAUD_LINKS_ENABLED. A ocultação automática no terceiro parágrafo só se aplica enquanto estiver ativada: REVIEW_FRAUD_AUTO_HIDE_ENABLED.)

Controlos das avaliações. Para manter as avaliações genuínas, verificamos as avaliações novas e recentes à procura de sinais de avaliações falsas: muitas avaliações de um anúncio ou operador num curto espaço de tempo em comparação com o seu ritmo habitual, o mesmo texto publicado noutra conta, contas que dão a mesma classificação aos mesmos operadores, apenas 5 estrelas para um operador e 1 estrela para os seus concorrentes na mesma localidade, e um autor que é o proprietário do operador, um membro da sua equipa ou um dos seus parceiros (a mesma conta ou endereço de e-mail). Utilizamos apenas as avaliações e os dados de conta e de reserva de que já dispomos. Uma avaliação nova com um desses sinais aguarda até que uma pessoa do nosso pessoal a tenha examinado; uma avaliação publicada continua publicada, salvo decisão em contrário de uma pessoa. Nada é eliminado e nada é decidido apenas pelo controlo (exceto a ocultação automática do último parágrafo, quando estiver ativada); se ocultarmos uma avaliação, o seu autor recebe os motivos e pode contestar a decisão. Fundamento: o nosso interesse legítimo, e o dos viajantes e dos operadores, em avaliações fiáveis (6(1)(f)). Os sinais são conservados com a avaliação; o texto de uma avaliação é também conservado sob a forma de hashes unidirecionais das suas partes, para encontrar cópias, e eliminado com o texto da avaliação.

Quando o ativamos, as verificações comparam também os hashes com sal já conservados pela verificação antifraude das reservas (do cartão e da rede a partir da qual uma reserva foi paga e feita) e, para as contas que aderiram através de um convite, do dispositivo: diferentes autores de avaliações de um mesmo operador que pagam com o mesmo cartão, aderem no mesmo dispositivo ou, três ou mais deles, reservam a partir da mesma rede. Nunca o número do cartão, o endereço de rede ou o próprio identificador do dispositivo. Os hashes não são conservados por mais tempo do que o acima descrito (180 dias para a verificação das reservas).

Ocultação automática. Quando a ativamos, e a partir de uma data que anunciaremos, uma nova avaliação que apresente fortes indícios de ser falsa (por exemplo, o mesmo texto que a avaliação de outra conta, escrita a partir de uma conta da própria equipa do operador) é ocultada de imediato pela verificação, sem que uma pessoa decida primeiro. Trata-se de uma decisão tomada exclusivamente por meios automatizados. O seu autor é informado de imediato, em linguagem simples, dos indícios encontrados e de que a decisão foi automatizada, e pode contestá-la; um membro da nossa equipa analisa-a então e pode publicar a avaliação. As avaliações com uma pontuação inferior continuam a aguardar a análise de uma pessoa. Fundamento: como acima (6(1)(f)); tem o direito de obter a intervenção de uma pessoa, de manifestar o seu ponto de vista e de contestar a decisão (art. 22.º, n.º 3).

Cookies e armazenamento no navegador

Etiquetas de análise e de publicidade — apenas com o seu consentimento. Quando as ativamos, o sítio pode carregar o Google Analytics 4 e o Google Ads (Google Ireland Ltd / Google LLC) e o píxel da Meta (Meta Platforms Ireland Ltd). Só são carregados depois de dizer sim no aviso de cookies — em todos os países, incluindo os Estados Unidos — e nunca enquanto o Global Privacy Control estiver ativo. Definem os seus próprios cookies (por exemplo _ga, _gcl_au e _fbp) e recebem o seu endereço IP, as páginas que vê e, para uma reserva feita com o seu consentimento para publicidade, a conversão acima descrita. Dizer não, ou mudar de ideias mais tarde em Definições de cookies no rodapé, mantém-nos desativados. (Um modelo de oposição (opt-out) para os visitantes dos EUA, US_TRACKING_OPT_OUT, aplica-se apenas enquanto estiver ativado.)

Medição do desempenho — apenas com o seu consentimento para análise. Quando a ativamos (RUM_ENABLED), o seu navegador mede a rapidez com que cada página carrega e responde (Core Web Vitals) e envia-nos esses números uma vez por página, com a versão do sítio, o tipo de página, se se trata de um telemóvel ou de um computador e o país de onde provém a sua ligação (tal como o nosso fornecedor de rede o vê). Nada que o identifique a si ou à sua visita é guardado com eles: nenhuma conta, identificador de visita, endereço IP ou dados do navegador. Conservamos as medições durante 35 dias para ver a rapidez do sítio para todos.

Contagem da origem das visitas — anónima, sem identificar ninguém. Quando a ativamos (TRAFFIC_SOURCES_ENABLED), a primeira página que abre num separador envia-nos, uma vez, o endereço dessa página, o endereço da página de onde veio e as etiquetas de campanha da ligação (por exemplo utm_source). Utilizamo-los apenas para somar uma unidade a uma contagem diária: o tipo de origem (um motor de pesquisa, um assistente de IA, uma rede social, um parceiro, um anúncio, um e-mail, outro sítio ou nenhuma), o nome desse motor de pesquisa, assistente, rede ou sítio, o tipo de página, a versão do sítio, o país de onde provém a sua ligação e se se trata de um telemóvel, de um tablet ou de um computador. Não guardamos nenhum endereço IP, dados do navegador, identificador de visita nem o endereço completo da página de onde veio, e as contagens não permitem distinguir um visitante de outro. O separador guarda o tipo de origem (tg_src) para que uma reserva nele feita possa ser contabilizada para essa origem. Se disser não à análise no aviso de cookies ou se se opuser em As suas escolhas de privacidade, nada é enviado nem contabilizado.

Tudo o resto abaixo é estritamente necessário para um serviço que pediu ou corresponde a uma preferência que definiu. (Auditoria de 2026-10-02, docs/22 Fase 2; vaga Y.)

| Nome | Onde | Para quê | Durante quanto tempo | |---|---|---|---| | tg_clid | cookie próprio e localStorage | Quando chega através da ligação ou do código QR de um parceiro, um identificador de clique aleatório para que o parceiro possa ser creditado se reservar. Não contém dados pessoais. | o período do programa de parceiros, normalmente 30 dias | | tg_token | localStorage | mantém a sua sessão iniciada | até terminar a sessão | | tg_seat_ctx | cookie próprio (HttpOnly, enviado apenas à nossa API) | apenas numa partida com lugares marcados: um valor aleatório que associa os lugares que está a reter a este navegador, para que ninguém mais possa utilizar ou prolongar a sua retenção; guardamos apenas um hash deste valor e, até um dia após o fim da retenção, um hash com chave do seu endereço de rede, para limitar quantos lugares uma rede pode reter | 4 horas | | tg_locale, tg_currency, tg_market | localStorage | a sua língua, moeda e versão do sítio (país) | até as alterar | | tg_wishlist | localStorage | experiências guardadas sem sessão iniciada | até a apagar | | tg_compare | localStorage | até quatro experiências que escolheu comparar (apenas os seus identificadores; nada é enviado até abrir a comparação) | até a apagar | | tg_queue_pass | sessionStorage | apenas numa sala de espera para uma abertura de vendas de grande procura: o seu lugar na fila (um passe assinado), para que recarregar a página o mantenha | até o separador ser fechado | | tg_play_code:<booking reference> | sessionStorage | o código do bilhete que abriu um circuito autoguiado, para que o leitor se mantenha aberto enquanto caminha | até o separador ser fechado | | tg_play_quests:<booking reference> | localStorage | os desafios de um circuito autoguiado que resolveu sem rede (a paragem e a sua resposta, nunca uma fotografia), guardados apenas até serem enviados | até voltar a estar em linha | | tg_cart | localStorage | o carrinho, enquanto estiver ativado | até concluir a compra ou o esvaziar | | tg_recent | localStorage | experiências vistas recentemente, mostradas apenas a si | até as apagar | | tg_recent_searches | localStorage | as suas pesquisas recentes, mostradas apenas a si na caixa de pesquisa, e apenas enquanto «Recomendado para si» estiver ativo | até as apagar ou desativar as recomendações | | tg_cookie_notice, tg_install_dismissed | localStorage | que fechou este aviso (ou, com o aviso de uma linha, passou para outra página depois de o ver) ou a sugestão «instalar a aplicação» | até o apagar | | tg_theme | localStorage | o aspeto que escolheu (claro ou escuro); nada é guardado enquanto segue o seu dispositivo | até o alterar | | tg_app_review_asked | localStorage | apenas na nossa aplicação para telemóvel: quando a aplicação mostrou pela última vez o pedido de classificação da loja, para que não seja mostrado mais de uma vez a cada 120 dias | até o apagar | | tg_privacy_country, tg_privacy_optout | localStorage | o país que nos indicou em As suas escolhas de privacidade e a sua escolha «Não vender nem partilhar» | até as alterar | | tg_oidc_key, tokens de ligação de reserva | sessionStorage | uma chave de utilização única para iniciar sessão com Google ou Apple; a ligação para gerir uma reserva que abriu a partir de um e-mail | até o separador ser fechado | | tg_personalise | localStorage | definido como «0» quando desativa «Recomendado para si»; nada é guardado enquanto estiver ativo | até reativar as recomendações | | tg_concierge | sessionStorage | o identificador da sua conversa com o nosso concierge, para que este separador a possa continuar; a própria conversa é conservada do nosso lado, conforme acima descrito | até o separador ser fechado | | tg_live_chat | sessionStorage | apenas enquanto conversa com a nossa equipa de apoio: o número do chat e a chave que o abre neste separador; a conversa é conservada do nosso lado e é integrada no seu pedido de apoio quando o chat termina | até o separador ser fechado | | tg_kiosk | localStorage | apenas no tablet de quiosque de autosserviço de um operador: o token do dispositivo do quiosque, definido quando o operador emparelha o tablet; nenhum nome, e-mail ou reserva de um cliente é guardado no tablet | até o operador remover ou voltar a emparelhar o quiosque | | tg_promo | sessionStorage | um código promocional da ligação com que chegou (?promo=), para que os preços o possam mostrar | até o separador ser fechado | | tg_family_mode | sessionStorage | apenas quando ativa o modo família na pesquisa: que está ativo, as idades dos seus filhos e se precisa de acesso para carrinhos de bebé, enviados apenas com as suas pesquisas para as filtrar; não guardamos nada do nosso lado | até o separador ser fechado | | tg_creator_code | sessionStorage | o código de criador da página de um criador de conteúdos que abriu (/c/…), para que o campo de código no pagamento comece com ele; pode removê-lo aí | até o separador ser fechado | | tg_partner_consent | localStorage | apenas na página de transferes de um hotel, companhia aérea ou agente (/h/…): a sua escolha quanto às etiquetas de análise e de publicidade desse parceiro. Só são carregadas depois de aceitar, nunca na página em que escreve o seu nome, e-mail ou telefone, e com a recolha automática de dados de formulários desativada | até a apagar | | tg_bt:<booking reference> | sessionStorage | a ligação assinada para gerir uma reserva que abriu a partir de um e-mail, retirada da barra de endereço | até o separador ser fechado | | tg_ticket_link_<id> | sessionStorage | a ligação assinada para um bilhete que um amigo lhe enviou | até o separador ser fechado | | tg_device | localStorage | um identificador aleatório deste navegador, apenas quando abre a página de convite a um amigo; recebemos apenas um hash com sal deste identificador, para distinguir o amigo convidado de quem enviou o convite | até o apagar | | tg_supplier_account | localStorage | para operadores com várias contas empresariais: a conta em nome da qual o portal atua | até ser alterado ou terminar a sessão | | tg_supplier_all_tools | localStorage | para operadores: que optou por ver todas as ferramentas no painel antes da sua primeira reserva | até ser alterado | | tg_oauth_nonce | cookie (HttpOnly) | apenas para operadores e para a nossa equipa ao ligar o Xero ou o QuickBooks: um valor aleatório que associa o consentimento ao navegador que o iniciou, para que uma ligação de consentimento enviada a outra pessoa não possa ligar a contabilidade desta; essencial | 10 minutos, eliminado quando o consentimento regressa | | tg_consent | localStorage | a sua escolha quanto às nossas etiquetas de análise e de publicidade (sim ou não a cada uma, e a versão do texto que viu); essencial, para memorizar a sua escolha | até a alterar ou até o texto mudar | | tg_vid | localStorage | um identificador de visita aleatório, para que uma reserva feita dias depois possa ser creditada à campanha ou ligação de onde a visita partiu. Definido apenas com o seu consentimento para análise; eliminado quando o retira | 90 dias | | tg_touch | sessionStorage | a campanha com que a visita chegou (utm_* e, apenas com consentimento para publicidade, um identificador de clique num anúncio), enviada com uma reserva; definido apenas com o seu consentimento para análise. Sem ele, a campanha é mantida na memória da página e desaparece quando o separador é fechado | até o separador ser fechado | | tg_src | sessionStorage | o tipo de origem da sua visita (uma palavra, como motor de pesquisa ou rede social, nada sobre si), enviado com uma reserva feita neste separador para que as reservas possam ser contabilizadas por origem; não é definido se disse não à análise | até o separador ser fechado | | tg_sub | localStorage | a ligação assinada para as suas preferências de newsletter, guardada apenas se aceitou receber e-mails sobre experiências que viu, para que este navegador nos possa indicar que anúncios consultou; com base nesse consentimento | até cancelar a subscrição, desativar esses e-mails ou o apagar | | tg_pseudo | sessionStorage | um interruptor de língua de teste para os nossos programadores; nunca definido no sítio público | até o separador ser fechado | | tg_scan_sound, tg_scan_venue, tg_scan_auto | localStorage | definições do leitor de vouchers do operador | até serem alteradas | | tg_editor_preview | localStorage | se o editor de anúncios do operador mostra a pré-visualização do viajante | até ser alterado | | tg_trip_plans | localStorage | as ligações privadas dos planos de viagem que guardou sem conta (até 20, com os respetivos títulos), para que os possa voltar a abrir neste navegador; guardamos apenas um hash de cada ligação | até remover o plano ou o apagar | | tg_first_launch | localStorage | apenas na nossa aplicação para telemóvel: quando a aplicação foi aberta pela primeira vez neste dispositivo, para que uma página que escolheu antes de a instalar (o seu código curto, que o Google Play transmite à aplicação como tg_link) seja aberta uma vez, no primeiro arranque. Apenas uma página pública é guardada desta forma (nunca uma ligação de reserva, de pagamento ou de início de sessão), apenas com os seus parâmetros de campanha e de pesquisa. Num iPhone, que não dispõe de tal código, e apenas quando o ativamos, uma página escolhida com um toque na App Store é associada, em vez disso, através de um hash com chave do endereço de rede de onde veio o toque, durante no máximo 2 horas e sem quaisquer parâmetros de afiliados. Eliminamos o código e a página 7 dias após o toque | até apagar os dados da aplicação | | tg_bdraft:<listing> | sessionStorage | o que preencheu num formulário de reserva, guardado quando passa para a página de pagamento, para que, após um pagamento cancelado, o formulário volte tal como o deixou, com a reserva que retém os seus lugares; nunca nos é enviado; das perguntas do operador, apenas as suas escolhas são guardadas (nunca texto livre, números ou datas, como um número de documento ou uma data de nascimento) | até a reserva ser paga, terminar a sessão ou o separador ser fechado (proposto de novo durante no máximo uma hora, depois eliminado) | | tg.r23p5.gift | sessionStorage | uma experiência oferecida que está a utilizar: o seu código, a experiência, o grupo e os respetivos extras, para que o formulário de reserva do anúncio a possa reservar; reservada de novo após um cancelamento, também o que essa reserva escolheu (ocasião e mensagem, extras, língua do guia, recolha; os seus pedidos especiais e um endereço de recolha escrito apenas quando tem sessão iniciada na conta que a fez); nunca colocada numa ligação | até o presente ser reservado, optar por reservar sem ele ou o separador ser fechado | | tg_rvdraft:<booking reference> | sessionStorage | a avaliação que está a escrever, para que um recarregamento não perca nada; enviada apenas quando a publica | até a publicar, terminar a sessão ou o separador ser fechado | | tg_widget_token | localStorage | apenas na nossa aplicação para telemóvel, com os widgets do ecrã principal ativados: um token só de leitura que permite ao widget mostrar a sua próxima reserva (não pode ler mais nada); revogado quando termina a sessão | até terminar a sessão | | bilhetes guardados pela aplicação | o armazenamento próprio da aplicação (iOS Keychain apenas neste dispositivo; Android, cifrado com uma chave que nunca sai do telemóvel) | apenas na nossa aplicação para telemóvel, com sessão iniciada: os bilhetes das suas reservas que abriu (título, hora, local, o código e o código de barras de cada bilhete), para que apareçam sem rede; guardados apenas para a sua conta, nunca para uma ligação de reserva aberta sem sessão iniciada, e esquecidos quando termina a sessão, quando a sua sessão termina (por exemplo, «terminar sessão em todo o lado» após perder o telemóvel), quando outra conta inicia sessão e após reinstalar a aplicação | até lá, e cada reserva no máximo dois dias após o seu início | | tg_concierge_seed | sessionStorage | uma primeira pergunta para o assistente trazida por uma ligação que seguiu; mostrada na caixa do assistente para que a altere ou envie você mesmo, nunca enviada por si | até o assistente abrir ou o separador ser fechado | | tg_voice_read_aloud | localStorage | que pediu ao concierge que lesse as respostas em voz alta («1»); nada mais | até o desativar ou apagar os dados do navegador | | tg_hop_pack_<listing>, tg_hop_queue_<listing> | sessionStorage, localStorage | apenas no telemóvel da tripulação de um operador hop-on/hop-off: a lista assinada de passes para leitura sem rede (códigos de passe em hash e a respetiva validade, sem nomes) e os embarques lidos sem ligação até serem carregados | a lista: até o separador ser fechado; os embarques: até serem carregados | | subscrição de notificações push | o serviço push do navegador | apenas se ativar as notificações: permite-nos enviar-lhe os avisos que escolheu | até as desativar, ou até o navegador a eliminar | | fila de entradas sem ligação | IndexedDB | as leituras de vouchers de um operador feitas sem rede, até serem carregadas | até serem carregadas ou terminar a sessão | | estrutura da aplicação | cache do service worker | os ficheiros do próprio sítio, para que abra sem ligação | substituída a cada nova versão | | tg_ad_clicks | localStorage | apenas depois de abrir um anúncio a partir de um cartão com a indicação «Anúncio»: uma nota assinada desse clique para esse anúncio (que campanha publicitária e que anúncio, nada sobre si), enviada com uma reserva do anúncio para que o operador pague a sua comissão publicitária mais elevada; o seu preço é o mesmo com ou sem ela | 7 dias | | tg_partner_bar | localStorage | apenas para um parceiro com sessão iniciada: que recolheu a barra de parceiro nas nossas páginas («0»); nada mais | até a voltar a abrir ou a apagar | | tg_chunk_reload | sessionStorage | a hora a que a nossa página se recarregou pela última vez porque uma nova versão do sítio foi lançada enquanto estava aberta, para que se recarregue no máximo uma vez e depois mostre uma mensagem; nada mais | até o separador ser fechado |

Dois elementos que a página carrega de outros locais, sem cookies: os tipos de letra (Google Fonts) e os mosaicos do mapa (OpenStreetMap, ou o fornecedor que configurarmos). Ambos veem o seu endereço IP quando o seu navegador os obtém.

Verificação de segurança (projeto — acrescentado com a vaga O): no registo, no formulário de recuperação da palavra-passe, no formulário de denúncia de conteúdos, nos pedidos de orçamento e na página de reserva de transferes de um parceiro, podemos carregar o Cloudflare Turnstile (Cloudflare, Inc., Estados Unidos) — ou, em alternativa, o hCaptcha (Intuition Machines, Inc., Estados Unidos) — para distinguir pessoas de robôs. Só é carregado quando abre um desses formulários, nunca noutro ponto do sítio, e funciona sobretudo de forma invisível. Recebe o seu endereço IP e características do seu navegador e da forma como a página é utilizada, e indica-nos apenas se a verificação foi superada; não conservamos nada dela. Consideramo-la estritamente necessária para um formulário que pediu para enviar (isenção do art. 5.º, n.º 3, da Diretiva ePrivacy; RGPD 6(1)(f): proteger o serviço contra abusos), pelo que não é pedido consentimento. O Turnstile não define cookies; o hCaptcha pode definir os seus próprios.

O Global Privacy Control é respeitado em todo o lado: se o seu navegador o enviar, tratamo-lo como um pedido de não vender nem partilhar os seus dados (não fazemos nenhuma das duas coisas) e registamo-lo na sua conta se tiver sessão iniciada. As suas escolhas de privacidade mostram o que recebemos.

Onde reside

Estes aditamentos aplicam-se para além do presente aviso, consoante o local onde reside (utilizamos o país da sua ligação, ou o que escolher em As suas escolhas de privacidade):

categorias, «Não vender nem partilhar», Global Privacy Control, respostas em 45 dias.

Quem recebe os seus dados

pedidos e recolha — o que precisa para a realizar. Um operador pode também escrever de uma só vez a todos os que reservaram uma partida: as suas respostas vão apenas para o operador, e os viajantes nunca veem os dados de contacto uns dos outros. Pode desativar as cópias por e-mail destas mensagens de grupo para uma reserva (a ligação em cada uma, ou o voucher); a mensagem continua a aparecer na sua conversa. Essa escolha é guardada com a reserva e apagada com ela. Se ativarmos as estatísticas de clientes, um operador vê também números sobre os seus clientes enquanto grupo (línguas, países a partir do indicativo do número de telefone, tipos de grupo, quantos regressam), nunca para menos de 5 clientes.

ou Amazon SES, consoante o que utilizarmos), alojamento e DeepL (DeepL SE, Alemanha) para tradução automática. A DeepL traduz o texto dos anúncios e — apenas quando o viajante ou o operador carregam em Traduzir — o texto de uma mensagem ou de uma avaliação. Só esse texto é enviado: nunca o seu nome, e-mail ou dados da reserva. Quanto às mensagens, a DeepL atua como nosso subcontratante ao abrigo de um acordo de tratamento de dados e não conserva o texto para treinar os seus modelos (condições da DeepL API Pro). A tradução é guardada com a mensagem e é apagada com ela. As mensagens e as avaliações vão apenas para a DeepL. O texto dos anúncios pode, em alternativa, ser traduzido pelo Google Cloud Translation (Google Ireland Ltd / Google LLC), por exemplo quando a DeepL não estiver disponível: a Google recebe apenas esse texto, atua como nosso subcontratante ao abrigo do seu Cloud Data Processing Addendum e não utiliza o texto para treinar os seus modelos. Uma exceção a «apenas quando carrega em Traduzir»: uma mensagem do operador para si (também uma mensagem para todos os participantes numa partida) é traduzida automaticamente pela DeepL para a língua da sua reserva no e-mail que lhe enviamos, identificada como tradução automática, com o original do operador por baixo (só o texto da mensagem é enviado; MESSAGE_AUTO_TRANSLATE_ENABLED). A tradução é guardada com a mensagem e apagada com ela.

de marketing (Brevo, Mailchimp ou Klaviyo — os dois últimos nos Estados Unidos) recebe o e-mail, a língua, o país e os temas de um subscritor da newsletter; as redes de afiliados Awin e Travelpayouts recebem, para uma reserva que chegou através da sua ligação, a referência da reserva, o montante e o identificador de clique da rede; o nosso serviço de comunicação de erros (Sentry ou um serviço compatível) recebe relatórios de erros dos quais são removidos nomes, endereços de e-mail, tokens e dados de pagamento; e, para reservas nos EUA, uma calculadora do imposto sobre vendas** (Stripe Tax, TaxJar ou Avalara) recebe o montante e os locais do serviço — nunca o seu nome ou dados de contacto. Cada um atua como nosso subcontratante.

PBC, Estados Unidos; ou outro fornecedor que indiquemos aqui antes da mudança) gera texto para funções identificadas como geradas por IA: resumos de avaliações publicadas, rascunhos de anúncios a partir das próprias notas ou do sítio web de um operador, e rascunhos de respostas e mensagens que o operador edita antes de enviar. Para as avaliações, só são enviados o texto da avaliação e a classificação, nunca o nome do autor. Para os rascunhos de respostas, só são enviadas as últimas mensagens dessa conversa, com os nomes substituídos e os endereços de e-mail, números de telefone e ligações removidos, bem como os dados públicos do anúncio e a data e a dimensão do grupo da reserva — nunca o seu e-mail, telefone, referência da reserva ou dados de pagamento; nada é enviado até o operador carregar em Sugerir uma resposta. O fornecedor atua como nosso subcontratante ao abrigo das suas condições comerciais e do seu aditamento relativo ao tratamento de dados, não treina os seus modelos com estes dados e conserva-os apenas por pouco tempo para monitorização de abusos. Não conservamos nenhuma cópia do que foi enviado ou respondido para os rascunhos; registamos apenas que um rascunho foi feito (função, modelo, dimensão, custo). Os resumos de avaliações são guardados com o anúncio e indicam que avaliações utilizaram. O mesmo fornecedor identifica também os temas das avaliações publicadas (só são enviadas as frases da avaliação, nunca o nome do autor), traduz e melhora o texto dos anúncios quando um operador o pede (o texto dos anúncios pode então ser traduzido por ele em vez da DeepL ou da Google), e lê as páginas do próprio sítio web de um operador para propor rascunhos de anúncios (o importador de catálogos, que as obtém como TheGuideBot).

e mensagens de WhatsApp; a Vonage (Vonage, Reino Unido/Estados Unidos) pode, em alternativa, transmitir SMS, consoante o que configurarmos. Recebem o seu número de telefone e o texto, e indicam-nos se foi entregue e se respondeu STOP. As mensagens de WhatsApp passam também pela plataforma WhatsApp Business da Meta. Os textos são eliminados dos nossos sistemas ao fim de 180 dias.

mensagens que envia para o seu próprio número de WhatsApp (através da Twilio), conta de Instagram (através das mensagens de Instagram da Meta Platforms) ou endereço de e-mail de reservas (através do nosso fornecedor de e-mail de entrada, Postmark, Resend, Mailgun ou Amazon SES; com o Amazon SES, uma mensagem pode também ficar brevemente no nosso próprio contentor de armazenamento na Amazon Web Services antes de a lermos). Conservamos a mensagem, o número, o identificador de âmbito Instagram ou o endereço de e-mail a partir do qual escreveu, e associamo-la à sua reserva junto desse operador quando o número ou o e-mail correspondem a uma reserva paga. As mensagens para o nosso próprio número de WhatsApp só chegam a um operador se tiver uma reserva paga junto dele. Não enviamos estas mensagens a mais ninguém, e uma pergunta que tenha feito na Jet.Guide antes de reservar continua ocultada como antes. As respostas seguem pelo mesmo canal, apenas no prazo de 24 horas após a sua última mensagem de WhatsApp ou Instagram, e nunca para fins de marketing. Estas conversas são eliminadas 365 dias após a última mensagem; pode pedir ao operador ou a nós que eliminemos uma mais cedo. O fundamento é o interesse legítimo do operador e o nosso em responder-lhe (6(1)(f)) e, para uma reserva, o contrato.

mensagem, reencaminhar o seu e-mail ou carregar uma captura de ecrã do mesmo, e pedir a um modelo de IA (o nosso fornecedor de IA, como acima) que redija uma reserva a partir daí — o seu nome, dados de contacto, data e grupo, tal como os escreveu. O operador verifica cada campo e confirma; nada é reservado pela IA. As capturas de ecrã não são guardadas; o texto e o rascunho são apagados 30 dias depois de o operador decidir.

FlightAware AeroAPI (consoante o que configurarmos) recebe o número do voo, a data de chegada e o aeroporto — nunca o seu nome, e-mail, telefone ou reserva.

zonas, destinos). Se ativarmos um serviço externo de geocodificação — OpenStreetMap Nominatim, Google Places ou Mapbox — este recebe o texto que escreveu, a língua e, quando o tenhamos, um ponto próximo para orientar os resultados; nunca a sua conta ou reserva. As respostas do Nominatim ficam em cache durante 30 dias, as da Google durante no máximo um dia, as da Mapbox não são guardadas.

tempos de condução no nosso próprio servidor. Se ativarmos um serviço de cálculo de rotas — OSRM (num servidor que exploramos ou contratamos) ou Google Routes — este recebe apenas as coordenadas das paragens e do ponto de partida, que podem incluir a posição de um endereço de recolha que indicou; nunca o seu nome, o texto do endereço, os seus dados de contacto ou a sua reserva.

consoante o que configurarmos), este contém os nossos anúncios e recebe as palavras que pesquisa e a língua — não a sua conta nem qualquer reserva.

as entrega — Google (Chrome, Android), Mozilla (Firefox), Apple (Safari) ou Microsoft (Edge). A mensagem é cifrada de ponta a ponta (RFC 8291): o serviço push vê apenas texto cifrado, o endereço que o seu navegador nos deu e quando foi enviada. Na nossa aplicação (Android e iOS), as notificações são transmitidas pelo Google Firebase Cloud Messaging (Android) e pelo Apple Push Notification service (iOS): estes recebem o token push do dispositivo e o título e o texto da notificação — por exemplo, que uma reserva está confirmada, um lembrete ou os dados do seu motorista — e podem lê-los; não são cifradas de ponta a ponta.

reserva muda, o serviço push da Apple (APNs) indica ao seu dispositivo que obtenha junto de nós o novo passe. Um passe do Google Wallet é criado na Google quando toca em «Guardar no Google Wallet» e atualizado por nós através da Wallet API da Google. Um passe contém a experiência, a data, a hora, o ponto de encontro ou a recolha, a dimensão do grupo, a referência da reserva e o respetivo código — nunca o seu nome, e-mail, telefone ou respostas.

conta junto desse fornecedor, o seu e-mail, se o verificaram e o seu nome; nada lhes comunicamos além de que está a iniciar sessão na Jet.Guide. São responsáveis pelo tratamento distintos quanto à conta que tem junto deles.

no pagamento. Para a cotação, o parceiro de distribuição do segurador recebe a data, a duração, o país e o custo da viagem, o número de viajantes e o país onde reside — não o seu nome nem os seus dados de contacto. Depois de a reserva ser paga, recebe o seu nome e e-mail e a referência da reserva, para emitir a apólice. O segurador é um responsável pelo tratamento distinto quanto à apólice e a qualquer sinistro, nos termos do seu próprio aviso de privacidade (com ligação junto da oferta). Conservamos a cotação, a sua escolha e o texto que viu.

de bagagem, aluguer de automóveis, hotéis) não transmitem nada sobre si ou a sua reserva. A etiqueta de afiliado de um parceiro só é acrescentada à ligação se tiver autorizado os cookies de publicidade; contamos os cliques apenas no total.

mostrar ofertas vendidas por outras plataformas — Viator, GetYourGuide, Tiqets, Musement, Klook, Civitatis, Kiwitaxi e GetTransfer, consoante as que estiverem ativadas. Quando escolhe uma, a nossa ligação contabiliza o clique e encaminha-o para o sítio do parceiro. O parceiro recebe apenas um identificador de clique aleatório com o nosso identificador de parceiro — nunca o seu nome, e-mail, conta, reserva ou endereço — e apenas se tiver autorizado a publicidade; sem esse consentimento, vai para o parceiro sem qualquer identificador nosso. Conservamos o clique (o parceiro, a oferta, a página em que estava e um código que muda todos os dias, para que um duplo clique conte uma só vez) sem a sua conta, endereço de rede ou navegador, durante 13 meses. O parceiro comunica-nos a sua referência de reserva, o estado e a nossa comissão, nada sobre si. O que reservar aí é entre si e o parceiro, nos termos das condições e do aviso de privacidade deste.

ofertas puderem ser mostradas, verificamos se reservou um dos nossos serviços nas últimas 24 horas — apenas para não mostrar um transfere ou uma atividade de um parceiro que possa constituir com ele um serviço de viagem conexo. Nada desta verificação é conservado ou enviado a um parceiro, e as ofertas que vê não dependem de qualquer perfil seu.

nenhum dos nossos próprios transportadores faz um percurso, podemos vender-lhe um transfere de um fornecedor grossista — Mozio, Hoppa ou Suntransfers, consoante os que estiverem ativados — realizado pela empresa indicada na oferta. Para pesquisar, o fornecedor recebe os locais, a hora e o número de passageiros e de malas, nada sobre si. Quando reserva e paga, recebe o nome, e-mail e telefone do passageiro principal, o número do voo, se o indicar (para que o motorista possa acompanhar uma aterragem atrasada), e a sua nota para o motorista, para reservar e realizar a viagem; comunica-nos o nome, o telefone e o automóvel do motorista. Conservamos a reserva durante o mesmo tempo que as outras reservas (contabilidade). O fornecedor e a empresa que conduz são responsáveis pelo tratamento distintos quanto à viagem.

à sua conta a sua adesão ao programa de um parceiro (as milhas de uma companhia aérea, os pontos de um banco), conservamos o número de membro e o nome que indicar, e enviamos ao parceiro, por cada reserva que se tenha realizado, o número, o nome, a nossa referência de reserva, a data, o montante e os pontos obtidos — através da sua API ou num ficheiro que a nossa equipa lhe envia. A conversão de pontos em crédito junto de nós envia o número e os pontos a descontar. Nada mais sobre as suas reservas é enviado. Pode remover a adesão a qualquer momento: nada mais é enviado. Quando acrescenta um número, o parceiro recebe-o primeiro para lhe enviar um código que confirma que a adesão é sua; depois de introduzir o código, o parceiro dá-nos um token de consentimento para que possamos mostrar o seu saldo e converter pontos em crédito. Conservamos o token com a adesão, nunca o incluímos na transferência dos seus dados e apagamo-lo com a adesão. Uma exceção a «nada mais é enviado»: o reembolso de uma reserva que já tenha gerado pontos continua a ser comunicado ao parceiro pela nossa equipa, para que esses pontos sejam retirados.

Bulgária, pode pagar uma reserva através do ePay.bg (ePay AD, Bulgária) — com cartão ou a partir da sua microconta ePay na própria página do ePay, ou em numerário num balcão EasyPay, mediante um código de 10 dígitos que lhe enviamos por e-mail. O ePay recebe de nós o montante, um número de pagamento e uma breve descrição (a referência da reserva e a experiência), nunca o seu nome ou dados de contacto; o que introduzir na sua página é tratado pelo ePay nos termos das suas próprias condições. Um reembolso volta através do ePay para o cartão ou a microconta; para o numerário pago no EasyPay, enviamos-lhe por e-mail uma ligação para um formulário seguro, válida uma vez e durante 14 dias, onde introduz o IBAN e o nome do titular da conta, para o enviarmos por transferência bancária (não envie dados bancários por e-mail). O IBAN é guardado cifrado e utilizado apenas para essa transferência; a nossa equipa financeira vê-o ocultado, exceto o país, os dígitos de controlo e os últimos quatro caracteres, e só o abre por inteiro para efetuar a transferência, o que fica registado. Depois de efetuado o reembolso, apenas o IBAN ocultado e o nome são conservados, com o registo do reembolso.

ao IBAN (verificação do beneficiário, Regulamento (UE) 2024/886). O banco recebe o nome que temos e o IBAN; conservamos a sua resposta, o nome verificado, o nome que devolveu em caso de correspondência aproximada e o IBAN ocultado, exceto o país, os dígitos de controlo e os últimos quatro caracteres, com o registo do pagamento. Isto diz respeito a operadores e parceiros, que são normalmente empresas.

anúncio ou ao perfil de um guia, ou um vídeo que acrescente à sua avaliação, vai para o nosso fornecedor de vídeo — Mux (Mux, Inc., Estados Unidos) ou Cloudflare Stream (Cloudflare, Inc., Estados Unidos), consoante o que configurarmos — ou é guardado no nosso próprio armazenamento. O fornecedor recebe o ficheiro e, quando alguém o vê, o endereço IP e o navegador de quem o vê, como qualquer serviço de alojamento de vídeo; nunca o seu nome ou reserva. Um vídeo de avaliação só é mostrado com a avaliação publicada, pode ser ocultado pelos nossos moderadores e é eliminado com a sua avaliação ou quando nos pedir que apaguemos os seus dados.

anexos PDF, documentos) é verificado por um antivírus (ClamAV) que funciona nos nossos próprios servidores; nada é enviado para outro local. Um ficheiro considerado infetado é recusado, e conservamos a sua impressão digital (um hash), quem o carregou e quando, como registo de segurança.

guias ou motoristas que comprove a sua identidade através do Stripe Identity (Stripe). O guia ou motorista fotografa um documento de identificação e, se necessário, tira uma selfie que a Stripe compara com ele. A Stripe recebe estas imagens e os dados que lê no documento; conservamos apenas o resultado (verificado ou não, e o código de motivo da Stripe) e a data. Isto diz respeito ao pessoal dos operadores, não aos viajantes.

mensagens de WhatsApp diretamente através da WhatsApp Business Cloud API da Meta (Meta Platforms Ireland Ltd.). A Meta recebe então o seu número de telefone e a mensagem e indica-nos se foi entregue e lida.

Azure AI Speech transformam os textos dos circuitos de um operador em narração (sem dados de viajantes); a Twilio (Voice) liga a chamada do nosso agente ao seu número quando pediu para ser contactado.

um serviço de automatização (por exemplo, o Zapier) à sua conta com uma chave de API; estes recebem então as suas reservas, incluindo o seu nome e dados de contacto, tal como através dos webhooks do operador. O operador é responsável por essas ferramentas.

QuickBooks Online. Enviamos-lhe então as vendas do operador (o nosso número de recibo, a referência da reserva, a experiência e o montante), os reembolsos, as nossas faturas de comissão e os nossos pagamentos — por predefinição, sob um único contacto para todos os clientes; apenas se o operador o escolher, sob o seu nome. Nunca o seu e-mail, telefone ou endereço. O operador decide sobre esta transmissão e é o responsável pelo tratamento da sua contabilidade; atuamos por sua conta.

operador lhe possa enviar por e-mail as suas novidades e ofertas, esse operador pode enviar-lhe campanhas de e-mail através da Jet.Guide. O operador redige-as, escolhe quem as recebe (por exemplo, os clientes de uma das suas experiências) e é o remetente e o responsável pelo tratamento destes e-mails; enviamo-los por sua conta, como seu subcontratante. Cada um identifica o operador e tem uma anulação de subscrição com um só clique, que retira o seu consentimento a esse operador; uma reclamação sobre um deles tem o mesmo efeito. Conservamos que campanha foi enviada para o seu endereço e se foi entregue ou devolvida, e uma cópia em hash de um endereço que anulou a subscrição, para que não volte a receber e-mails. Não registamos aberturas nem cliques.

pagamento que permite a um operador enviar-lhe por e-mail as suas novidades e ofertas não basta por si só. Depois de a reserva ser paga, enviamos para esse endereço um e-mail com uma ligação de confirmação, e o operador só lhe pode enviar e-mails depois de a utilizar. Até lá, nada é enviado e o seu endereço não é dado ao operador para fins de marketing; se ignorar a ligação, nunca o será (funciona durante 30 dias). Conservamos quando a caixa foi assinalada, quando enviámos a ligação e quando confirmou, como registo do seu consentimento. Uma anulação de subscrição anterior junto desse operador mantém-se em vigor até voltar a confirmar desta forma. Os consentimentos dados antes da existência desta verificação aguardam a mesma confirmação.

para a sua viagem não contém dados de reserva estruturados, o seu assunto e até 8 000 caracteres do seu texto vão para o nosso fornecedor de modelos de IA (como acima) para encontrar as reservas nela contidas. O fornecedor atua como nosso subcontratante e não treina os seus modelos com estes dados; não conservamos nem o que foi enviado nem a resposta, apenas os elementos que vê depois como rascunhos, e os nossos registos de utilização guardam apenas a dimensão e o custo.

Google, a Google (Google Ireland Ltd / Google LLC) envia-nos as reservas que faz no Google Maps ou na Pesquisa e recebe de volta o respetivo estado e os dados de contacto nelas indicados, e recebe em feeds a denominação comercial do operador, o seu endereço e as aulas que oferece. A Google é um responsável pelo tratamento distinto quanto aos dados dos seus utilizadores.

Alguns prestadores estão nos Estados Unidos; as transferências baseiam-se no Quadro de Privacidade de Dados UE-EUA ou em cláusulas contratuais-tipo.

Durante quanto tempo os conservamos

| Dados | Conservação | |---|---| | Conta | até a apagar | | Registo financeiro da reserva (montantes, datas, pagamento, livro-razão) | 10 anos, conforme exige o direito contabilístico búlgaro (Lei da Contabilidade, art. 12.º) — sem o seu nome e dados de contacto depois de apagar a sua conta | | Dados de contacto e respostas da reserva | enquanto a sua conta existir; para reservas como convidado, (prazo de conservação a fixar com os juristas, proposta: 3 anos após a experiência) | | Avaliações | enquanto o anúncio existir; após o apagamento, apresentadas como «Antigo viajante» e deixam de estar associadas a si | | Traduções automáticas de uma mensagem ou avaliação (feitas a pedido, ou automaticamente para uma mensagem de um operador que lhe é enviada por e-mail) | enquanto existir a própria mensagem ou avaliação; eliminadas com ela | | Denúncias ao abrigo do RSD | a decisão e os seus motivos são conservados; a identidade do denunciante é removida quando este apaga a sua conta | | Registo de segurança | conservado; é inviolável e não pode ser editado, e regista os eventos da conta sem o seu e-mail | | Sessões iniciadas | eliminadas 90 dias após o fim ou a última utilização da sessão, e de imediato quando apaga a sua conta | | Mensagens de texto (SMS, WhatsApp) | 180 dias, depois eliminadas | | «Quem vai» | até o desativar (eliminado de imediato), a reserva ser cancelada, o operador deixar de o oferecer, ou 30 dias após a partida | | Localização do motorista em tempo real | apenas a última posição; eliminada quando a viagem avança, ao fim de 30 minutos no máximo, e de imediato quando o motorista retira o consentimento | | Assinaturas de declarações de exoneração de responsabilidade | campos pessoais (e respostas sobre saúde) apagados após a atividade, acrescida do prazo de conservação do operador (90 dias, salvo se o operador fixar outro); de imediato se a reserva for cancelada ou se apagar a sua conta. O facto da assinatura, a versão e os hashes são conservados | | Necessidades alimentares e notas sobre alergias | apagadas 7 dias após a atividade; de imediato se a reserva for cancelada, se as remover na página da reserva ou se apagar a sua conta | | Dados de identificação que um operador pede para cada participante (número do cartão de identificação ou do passaporte, nacionalidade, data de nascimento, validade do passaporte) | apagados 7 dias após a atividade; no prazo de uma hora se a reserva for cancelada; de imediato se apagar a sua conta. As suas outras respostas ficam com a reserva | | Alertas de preço | até o alerta terminar (uma descida foi comunicada por e-mail, 180 dias, ou as datas passaram), depois 30 dias; de imediato em caso de anulação da subscrição ou apagamento | | Recomendações | não guardadas | | Pesquisas sem resultados | apenas as palavras, em minúsculas, contadas por dia, mercado e língua — nunca quem pesquisou (nenhuma conta, endereço, dispositivo ou sessão); as palavras que pareçam um endereço de e-mail, um número de telefone ou uma referência de reserva não são de todo conservadas; eliminadas ao fim de 90 dias | | Conversas com o concierge | 30 dias após a sua última mensagem (CONCIERGE_RETENTION_DAYS), depois eliminadas com quaisquer confirmações pendentes; de imediato quando elimina a conversa | | Chats em direto com a nossa equipa de apoio | 90 dias após o encerramento do chat (LIVE_CHAT_RETENTION_DAYS), depois eliminados; a transcrição no pedido de apoio é conservada como os pedidos de apoio | | Os seus próprios elementos de viagem e o seu endereço de reencaminhamento | até os eliminar ou apagar a sua conta; um e-mail reencaminhado não é conservado, apenas os elementos dele extraídos | | Pagamentos divididos | os montantes, pagamentos e reembolsos ficam com o registo financeiro da reserva; os endereços de e-mail dos seus amigos são removidos 30 dias após o fim da divisão, ou mais cedo quando apaga a sua conta ou o amigo o pede; o cartão guardado para o restante é eliminado na Stripe quando a divisão termina, e de imediato quando apaga a sua conta | | Chat da partida | mensagens eliminadas 30 dias após o fim da partida (uma mensagem denunciada é conservada com a denúncia); os viajantes que bloqueou, até desfazer os bloqueios ou apagar a sua conta | | Reservas através da Google | como as outras reservas; o identificador que a Google lhe atribui é eliminado com os dados pessoais da reserva | | Assistentes associados à sua conta | até remover o acesso ou apagar a sua conta (as ligações e os respetivos tokens são então eliminados); os tokens de acesso expiram ao fim de uma hora, os tokens de atualização ao fim de 30 dias; a lista das ações realizadas por um assistente fica com a sua conta e, após o apagamento, sem ela | | Verificações antifraude nas reservas | os hashes do seu e-mail, rede e cartão: 180 dias, ou até apagar a sua conta, se for mais cedo; a pontuação e os sinais ficam com o registo da reserva | | Provas para estornos (apenas quando ativado) | o endereço de rede e o navegador a partir dos quais uma reserva foi paga: 180 dias | | Mensagens com operadores e respetivos anexos | conversas por e-mail, WhatsApp e Instagram, 365 dias após a última mensagem; todas as conversas e os seus ficheiros são eliminados quando apaga a sua conta ou quando damos seguimento ao seu pedido verificado | | Pedidos de apoio | o seu nome, endereço, assunto e mensagens eliminados em caso de apagamento; a categoria e as datas ficam para as nossas estatísticas de serviço | | Dados do transfere (endereços de recolha e de destino, número do voo, o nome no cartaz, posição em tempo real) | removidos em caso de apagamento; a viagem, os horários e a tarifa ficam com o registo financeiro da reserva | | Pedidos de orçamento para grupos e privados | o seu nome, dados de contacto, dados do grupo e notas removidos em caso de apagamento; as datas, montantes e pagamentos ficam | | Reservas de grupo: a lista de nomes, os membros a quem é pedido que paguem uma parte, recibos para uma empresa (apenas enquanto estiver ativado) | os nomes que o organizador indica e o endereço de e-mail de um membro a quem é pedido que pague uma parte: apagados 30 dias após a atividade, ou em caso de apagamento pelo organizador ou pelo membro; o montante e o pagamento de uma parte paga ficam com o registo financeiro da reserva. Os dados da empresa que o organizador indica para os recibos: removidos em caso de apagamento; os recibos já emitidos ficam tal como foram emitidos | | Cartões-oferta | o cartão, o seu saldo e o seu pagamento: 10 anos (contabilidade); os nomes e endereços do comprador e do destinatário e a mensagem são removidos em caso de apagamento (um cartão comprado para outra pessoa e ainda não entregue conserva o endereço do destinatário até ser enviado) | | Crédito de loja e pontos de recompensa | os saldos e o respetivo livro-razão: 10 anos (contabilidade), após o apagamento associados apenas a um número de conta anónimo. Não apagamos uma conta com crédito de loja restante, salvo se declarar que renuncia a ele | | Faturas e recibos | 10 anos, tal como emitidos: uma fatura emitida não pode ser alterada (Lei do IVA, art. 114.º, Lei da Contabilidade, art. 12.º) | | Seguro de viagem comprado com uma reserva | o registo da apólice fica com o registo financeiro da reserva (conservação de registos da distribuição de seguros); o segurador conserva a sua apólice como responsável pelo tratamento autónomo | | Passes e subscrições | o nome e a fotografia do titular, o endereço do comprador, o cartão guardado e o consentimento para a renovação removidos quando apaga a sua conta (o passe deixa então de poder ser utilizado); os períodos pagos, reembolsos e entradas ficam com o registo financeiro e com o registo de admissões do operador. A lista de entradas sem ligação de um operador contém fotografias apenas cifradas e é eliminada com essa lista | | Recibos de remuneração dos guias | conservados para o operador como registo salarial enquanto a sua conta existir | | Carta de patrão (aluguer de embarcações) | a digitalização é eliminada 19 dias após o fim do aluguer (após o prazo para reclamações sobre a caução), conservando apenas os três últimos caracteres do número da carta; de imediato quando apaga a sua conta; uma reclamação sobre a caução, as suas fotografias e a decisão são conservadas como prova para ações judiciais | | Newsletter e e-mails sobre anúncios que viu | até anular a subscrição ou apagar a sua conta; em caso de apagamento, removemo-lo também do nosso fornecedor de e-mail | | Prova do consentimento (textos, escolhas de cookies) | conservada como prova do que foi acordado, sem o seu número de telefone, conta ou endereço de rede depois de apagar a sua conta | | Listas de exclusão de contactos | um número que respondeu STOP, ou um hash unidirecional de um endereço que se opôs, conservado para que nunca mais o contactemos | | Textos jurídicos que aceitou | 5 anos após a sua última reserva, como prova das condições acordadas | | Pedidos relativos à privacidade | que foi feito um pedido, o seu tipo e as datas: conservados como prova de que respondemos; as notas da equipa sobre a forma como verificaram a sua identidade: 3 anos após o encerramento do pedido; uma ligação de transferência funciona durante 7 dias | | Cliques em ofertas de outras plataformas | o parceiro, a oferta, a página e um código que muda diariamente, sem a sua conta, endereço de rede ou navegador: 13 meses, depois eliminados | | Reservas enviadas pelo canal de vendas de um operador que não puderam ser reservadas automaticamente (GetYourGuide, Viator, Expedia e outros) | o nome do viajante principal enviado pelo canal, enquanto o operador decide: no máximo 30 dias após o envio pelo canal, depois apagado; o canal, a sua referência, o grupo e o montante ficam com o registo de vendas do operador | | Planos de viagem | um plano guardado: na sua conta até o eliminar ou eliminar a sua conta; sem conta, 30 dias após a última alteração. Um ficheiro a partir do qual começou nunca é guardado | | Preferências de viagem | até desativar a memória (eliminadas de imediato) ou apagar a sua conta; necessidades de acessibilidade até retirar o respetivo consentimento | | Comunicações de que uma resposta de IA está errada | 180 dias após o seu encerramento pela nossa equipa (no máximo um ano enquanto estiverem abertas); a sua conta e a sua nota removidas em caso de apagamento | | Carrinhos guardados por um assistente | eliminados um dia após a expiração da ligação (7 dias, salvo se fixarmos outro prazo, no máximo 30) | | Planear em grupo | perguntas ao assistente e as suas respostas: 30 dias; a lista restrita, os votos e a sondagem de datas do grupo: 30 dias após o grupo deixar de ser partilhado; as suas próprias contribuições e votos, de imediato em caso de apagamento | | Ligações entre participantes | a adesão até se opor; uma ligação e as suas mensagens até um dos participantes lhe pôr termo ou apagar a sua conta | | Pedidos de garantia de preço | os montantes, datas e decisão ficam com o registo financeiro da reserva; a sua conta, endereço, nota e captura de ecrã removidos em caso de apagamento | | Planos de pagamento a prestações | o calendário, os pagamentos e o seu acordo ficam com o registo financeiro da reserva; os dados do cartão são removidos em caso de apagamento, e o próprio cartão na Stripe quando nada mais for devido | | Mensagens de texto dos operadores | os textos (número e palavras): 90 dias após o envio (OPERATOR_SMS_RETENTION_DAYS); um consentimento até o retirar ou apagar a sua conta; um STOP conservado para que o operador nunca mais envie mensagens para esse número | | Conversas com a receção com IA de um operador e chamadas para o seu rececionista com IA | 30 dias após a última mensagem ou a chamada; de imediato quando apaga a sua conta | | Altura, peso e número de calçado nas declarações de exoneração; declarações de clientes sem reserva | as medidas com os campos pessoais da declaração; uma declaração de cliente sem reserva não associada a uma reserva ao fim de 7 dias (ou de 1 a 30, conforme o operador) | | A sua posição no ponto de encontro | apagada 30 dias após o check-in | | Inícios de sessão da equipa do operador (feed de segurança) | 180 dias | | Recibos de remuneração dos motoristas | conservados para o transportador como registo salarial enquanto a sua conta existir | | Compra através de uma plataforma de IA | o processo de pagamento com os seus dados: 30 dias após a hora de expiração, se não tiver sido concluído, 180 dias após a sua conclusão; a nossa resposta a cada pedido: 24 horas; as mensagens de estado enviadas à plataforma: 30 dias | | A medição publicitária própria de um operador | a sua escolha e os identificadores enviados: 90 dias | | Fotografias após o circuito | as fotografias e a sua escolha: 30 dias após o fim da partida (podemos fixar entre 7 e 180 dias); uma fotografia retirada: eliminada de imediato; um pacote de fotografias comprado: o seu pagamento fica com o registo financeiro | | Adesões a programas de fidelização de parceiros | o número de membro, o nome e o token de consentimento do parceiro: até remover a adesão ou apagar a sua conta; os pontos enviados por cada reserva: com o registo financeiro da reserva, sem a sua conta após o apagamento | | Transferes de fornecedores grossistas | como as outras reservas: o nome, e-mail, telefone, número do voo e nota para o motorista do passageiro principal removidos em caso de apagamento; a viagem e a sua tarifa ficam com o registo financeiro | | O mapa de viagens | as suas escolhas, as experiências que ocultou e o texto que aceitou: até desativar o mapa ou apagar a sua conta | | Pagamentos através do ePay.bg e do EasyPay | o pagamento e os seus reembolsos: com o registo financeiro da reserva; o IBAN que introduz para um reembolso em numerário: cifrado até o reembolso ser efetuado, depois apenas ocultado, exceto o país, os dígitos de controlo e os últimos quatro caracteres, com o nome do titular da conta, no registo financeiro da reserva | | Verificação do beneficiário (pagamentos a operadores e parceiros) | a resposta do banco, o nome verificado e o IBAN ocultado, exceto o país, os dígitos de controlo e os últimos quatro caracteres: com o registo do pagamento |

Os seus direitos

Pode aceder aos seus dados, retificá-los, descarregá-los, limitar o seu tratamento ou opor-se a ele, e apagá-los.

sua conta num ficheiro JSON, ou numa página legível. Depois de o seu endereço de e-mail ser verificado, inclui também o que conservamos com esse endereço, como as reservas que fez como convidado.

em todo o lado e removemos o seu nome, e-mail, telefone, mensagens, carregamentos, listas guardadas e dados de início de sessão, conforme indicado no quadro acima. Os registos financeiros das suas reservas são conservados sem os seus dados pessoais, conforme a lei exige. Não podemos apagar uma conta enquanto tiver uma reserva paga futura (o operador precisa dos seus dados para a realizar), enquanto uma reclamação sobre uma das suas reservas estiver ainda a ser decidida, ou enquanto gerir uma conta de operador, de parceiro ou empresarial — contacte-nos para as encerrar primeiro. Se restar crédito de loja, pedimos-lhe que confirme que renuncia a ele.

viu, a escolha de análise e de publicidade no seu dispositivo e o Global Privacy Control, cada um com o respetivo interruptor, e um botão que retira todos eles. Mensagens de texto de marketing de um operador: retire o consentimento na página da reserva ou responda STOP a qualquer uma delas.

As suas escolhas de privacidade. Enviamos por e-mail uma ligação para o endereço com que os seus dados estão guardados, para verificar que o pedido é seu, antes de divulgarmos ou eliminarmos o que quer que seja. Um membro da nossa equipa regista a forma como verificou a sua identidade e envia-lhe depois uma ligação para os seus dados (funciona durante 7 dias) ou apaga-os nas mesmas condições que o apagamento da própria conta.

por e-mail de imediato, analisamo-la e informamo-lo do resultado. Pode também apresentar uma reclamação a uma autoridade de proteção de dados a qualquer momento (acima).

Respondemos no prazo de um mês. Se precisarmos de mais tempo, informamo-lo do motivo dentro desse mês; a lei permite mais dois meses, no máximo.