Política de Privacidade

Última atualização: 11 de março de 2026

Esta Política de Privacidade descreve como a FerrLab ("nós", "nosso", "nossa") coleta, utiliza e protege seus dados pessoais quando você usa a plataforma de gerenciamento de companhias aéreas virtuais Airspace ("Plataforma"), em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) e o Regulamento Geral de Proteção de Dados da União Europeia (RGPD, Regulamento 2016/679).

Se você estiver localizado no Espaço Econômico Europeu (EEE), no Reino Unido ou na Suíça, as disposições do RGPD nesta política se aplicam a você. Se você estiver localizado no Brasil, as disposições da LGPD se aplicam. Quando ambos os enquadramentos se aplicarem, seguimos o padrão mais rigoroso.

1. Controlador de Dados​

A FerrLab é a controladora responsável pelo tratamento dos dados pessoais coletados através da Plataforma.

Contato para consultas sobre proteção de dados:

• E-mail: [email protected]

2. Dados Pessoais que Coletamos​

2.1. Dados que Você Fornece​

• Dados da conta: Nome, endereço de e-mail, senha (armazenada com hash via bcrypt) e preferência de idioma.
• Dados de perfil: Localização atual do aeroporto, aeroporto base e foto de perfil (opcional).
• Dados de onboarding do tenant: Nome da companhia aérea virtual, subdomínio, logotipo, imagem de banner e credenciais de administrador durante a criação de Tenant por autoserviço.
• Fotos de spotters: Fotografias de aeronaves ou aeroportos enviadas para revisão.
• Arquivos de pinturas: Arquivos de pinturas de aeronaves específicos por simulador (zip/rar/7z, até 512 MB cada) enviados pela equipe, incluindo o nome do arquivo original, tamanho do arquivo e a identidade do usuário que os enviou.
• Candidaturas de carreira: Solicitações de promoção de patente, incluindo dados de elegibilidade no momento da candidatura.
• Respostas de exames: Respostas enviadas durante exames, incluindo respostas de texto livre, selecoes de multipla escolha e respostas de verdadeiro/falso, junto com pontuacoes, notas e timestamps de conclusao.
• Mensagens de chat: Mensagens enviadas através do sistema de chat vOCC durante voos ativos.

2.2. Dados Coletados Automaticamente​

• Telemetria de voo: Posição (latitude, longitude), altitude (MSL e AGL), proa, arfagem, inclinação, velocidade em solo, velocidade indicada e verdadeira, velocidade vertical, estado do trem e flaps, parâmetros de motores (até 4 motores: estado de ignição, N1), peso de combustível, força G, código de transponder, frequências COM, dados de vento, QNH, taxa de simulação, indicadores de pausa/slew/acidente, taxa de pouso, fase de voo detectada e timestamps — transmitidos por clientes ACARS em intervalos regulares durante voos ativos.
• Registros de voo: Companhia aérea, número de voo, aeroportos de partida e chegada, aeronave, tempos de block, tempo de voo, distância, taxa de pouso, contagem de passageiros, peso de carga, detecção de rede (VATSIM/IVAO), status de desvio e resultado de aprovação.
• Transações de Pontos: Cada concessão e dedução de Pontos é registrada com tipo, valor, motivo, referência de fonte e timestamp.
• Histórico de licenças: Mudanças de status de licença (ativa, expirada, suspensa, revogada), datas de emissão, datas de renovação e identidade do membro da equipe emissor.
• Histórico de carreira: Mudanças de patente, candidaturas de promoção, decisões e notas dos revisores, avaliações de inatividade.
• Dados de uso: Páginas visitadas, recursos utilizados e timestamps de interação.
• Dados de analytics: Visualizações de páginas, cliques em botões, envios de formulários, eventos de navegação e replays de sessão coletados pelo Amplitude para análise de produto e melhoria da experiência do usuário. Um identificador composto de usuário (tenant_id:user_id) é enviado ao Amplitude para distinguir usuários entre tenants.
• Dados do Google Analytics: Visualizações de páginas, dados de sessão, fontes de tráfego, região geográfica (nível país/cidade), tipo de dispositivo, tipo de navegador e eventos de interação coletados pelo Google Analytics (Google Tag Manager, ID de medição G-CP1QBFWEKQ) na página inicial pública para análise de tráfego do site e medição de desempenho de marketing. O Google pode usar cookies (_ga, _ga_*) para distinguir visitantes únicos. Google Analytics (Google Tag Manager) coleta visualizações de páginas agregadas, fontes de tráfego, região geográfica, categoria de dispositivo e duração da sessão na página inicial pública para analytics do site e insights de marketing.
• Dados de dispositivo: Tipo de navegador, sistema operacional e resolução de tela (via cabeçalhos HTTP padrão).
• Dados de erros: Erros de aplicação e métricas de desempenho coletados através do Sentry.
• Dados de CAPTCHA: Cloudflare Turnstile coleta tokens de desafio do navegador e pode processar seu endereço IP, características do navegador e padrões de interação para distinguir usuários reais de bots nos formulários de login, registro e criação de Tenant.

2.3. Dados de Terceiros​

• Discord: ID de usuário, nome de usuário, avatar e associação a guilda quando você autoriza a integração Discord via OAuth (escopos identify e guilds.join).
• VATSIM/IVAO: Dados públicos de presença na rede (indicativo, posição) usados para detecção de rede durante voos ativos.
• SimBrief: Dados de plano de voo operacional (rota, combustível, meteorologia, payload) quando você importa um plano de voo.

3. Base Legal para o Tratamento​

Tratamos seus dados pessoais com base nas seguintes bases legais:

Quando nos baseamos em interesse legítimo, realizamos um teste de ponderação para garantir que nossos interesses não se sobrepõem aos seus direitos e liberdades fundamentais.

4. Como Usamos Seus Dados​

Usamos seus dados pessoais para:

• Fornecer e manter a funcionalidade principal da Plataforma (reservas, voos, telemetria);
• Processar registros de voo, executar análise FDM e determinar o status de aprovação de voo;
• Gerenciar a economia de Pontos (concessões, deduções, acompanhamento de saldo);
• Avaliar elegibilidade para progressão de carreira, processar candidaturas de patente e aplicar regras de inatividade;
• Gerenciar o ciclo de vida de licenças (emissão, avaliação de renovação, expiração);
• Administrar exames, registrar respostas e pontuações, e determinar resultados de aprovação/reprovação;
• Enviar respostas de texto livre de exames a serviços de IA (OpenRouter) para assistência na correção quando habilitado pelo Administrador;
• Aplicar restrições em reservas e despacho (requisitos de licença, patente e parâmetros);
• Criar e gerenciar recompensas de reposicionamento e operações de voo ferry;
• Alimentar o sistema de despacho IA vOCC (avisos meteorológicos, informações de chegada, sugestões de rota direta, chat com piloto);
• Gerar anúncios de cabine por síntese de voz a partir de templates de contexto de voo;
• Habilitar integrações de terceiros que você autoriza (Discord, SimBrief, VATSIM, IVAO, Hoppie);
• Moderar conteúdo gerado por usuários (revisão de fotos de spotters, gerenciamento de pinturas);
• Exibir informações do piloto no roster público e rastreador de voos ao vivo;
• Enviar notificações operacionais (status de voo, mudanças de patente, atualizações de reserva, atribuições de ferry, renovações de licença);
• Monitorar e melhorar o desempenho e confiabilidade da Plataforma;
• Cumprir obrigações legais.

5. Tomada de Decisão Automatizada​

A Plataforma realiza os seguintes processamentos automatizados que podem afetar sua experiência:

Todas as decisões automatizadas são configuradas pelo Administrador do Tenant. Nos termos da LGPD (Art. 20) e do RGPD (Art. 22), você tem o direito de solicitar revisão humana de decisões automatizadas que o afetem significativamente. Entre em contato com o Administrador do seu Tenant ou envie um e-mail para [email protected] para solicitar uma revisão.

6. Compartilhamento de Dados​

6.1. Dentro dos Tenants​

Seu perfil, registros de voo, saldo de Pontos, status de carreira, desempenho em exames (respostas, pontuações e dados de conclusão) e atividade dentro de um Tenant são visíveis aos Administradores e equipe daquele Tenant. Dependendo da configuração do Tenant, outros Pilotos podem ver seu perfil no roster, voos ao vivo e rankings.

6.2. Serviços de Terceiros​

Compartilhamos dados com terceiros apenas quando necessário para fornecer recursos da Plataforma:

6.3. API Pública​

A API pública da Plataforma expõe os seguintes dados sem autenticação (limitada a 60 requisições/minuto):

• Roster de pilotos: Nome abreviado (primeiro nome e inicial do sobrenome, ex: "John D."), patente, localização atual, aeroporto base, contagem de voos, total de horas, licenças ativas, voos recentes e horas por tipo de aeronave. Nomes completos e endereços de e-mail nunca são expostos.
• Voos ao vivo: Nome abreviado do piloto (primeiro nome e inicial do sobrenome), indicativo, tipo e matrícula da aeronave, rota e posição em tempo real (latitude, longitude, altitude, proa, velocidade, fase).
• Dados operacionais: Companhias aéreas, aeroportos e informações de frota.

Administradores do Tenant configuram a disponibilidade dos dados da API pública.

6.4. Canais Discord​

A Plataforma opera um bot Discord que, quando autorizado pelo Administrador, ingressa na guilda Discord do Tenant e realiza o seguinte:

• Envia anúncios de criação de novo Tenant (nome da companhia aérea, domínio, e-mail do administrador);
• Envia submissões de formulário de contato da página inicial pública;
• Envia notificações de início e finalização de voo (nome do piloto, rota, aeronave, número de voo, taxa de pouso);
• Envia rankings diários e mensais de pilotos (melhores pilotos por pontos, voos e horas);
• Envia embeds de fotos spotter aprovadas (imagem, assunto, nome do fotógrafo);
• Envia alertas de staff sobre aeronaves imobilizadas (matrícula, localização, motivo) e notificações de devolução ao serviço;
• Envia alertas de alternado (desvio) para staff (nome do piloto, rota original, aeroporto de desvio, aeronave, motivo);
• Atribui cargos Discord configurados aos Pilotos que ingressam na guilda via OAuth;
• Verifica a associação à guilda a cada hora — reatribui cargos ausentes para membros cadastrados e remove identificadores Discord armazenados para membros que saíram;
• Quando habilitado pelo Administrador, remove ("auto-kick") membros da guilda que não estão cadastrados no Tenant (bots e membros com cargos não-piloto nunca são removidos).

6.5. Requisitos Legais​

Podemos divulgar seus dados quando exigido por lei, ordem judicial, ou para proteger os direitos e segurança de nossos usuários e da Plataforma.

7. Transferências Internacionais de Dados​

Alguns serviços de terceiros que utilizamos estão sediados fora do Brasil e do EEE. Quando dados pessoais são transferidos internacionalmente, garantimos salvaguardas adequadas conforme exigido pelo Art. 33 da LGPD e Arts. 44–49 do RGPD, incluindo:

• Cláusulas contratuais padrão (SCCs) aprovadas pela Comissão Europeia;
• Transferências para países com níveis adequados de proteção de dados reconhecidos pela ANPD ou pela Comissão Europeia;
• Consentimento explícito quando aplicável.

Os seguintes serviços processam dados fora do Brasil e do EEE: Amplitude (Estados Unidos), Cloudflare (Estados Unidos/Global), Google Analytics (Estados Unidos), Sentry (Estados Unidos), Discord (Estados Unidos), OpenRouter (Estados Unidos), ElevenLabs (Estados Unidos/Europa), Hoppie (Europa).

8. Retenção de Dados​

Quando uma conta de usuário é excluída, os seguintes dados são permanentemente removidos: voos, transações de Pontos, associações de licenças, logs de carreira, tentativas e respostas de exames, tokens de autenticação e foto de perfil. Reservas ativas são canceladas.

9. Seus Direitos​

9.1. Nos Termos da LGPD (Art. 18) — Brasil​

Como titular de dados nos termos da LGPD, você tem direito a:

1. Confirmação — Confirmar se tratamos seus dados pessoais.
2. Acesso — Obter uma cópia dos seus dados pessoais.
3. Correção — Solicitar correção de dados incompletos, imprecisos ou desatualizados.
4. Anonimização, bloqueio ou eliminação — Solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos, ou dados tratados em violação à LGPD.
5. Portabilidade — Solicitar portabilidade dos seus dados a outro fornecedor de serviço, de acordo com regulamentações da ANPD.
6. Eliminação — Solicitar eliminação de dados pessoais tratados com seu consentimento.
7. Informação sobre compartilhamento — Ser informado sobre entidades públicas e privadas com as quais compartilhamos seus dados.
8. Revogação de consentimento — Revogar o consentimento a qualquer momento, sem afetar a licitude do tratamento realizado antes da revogação.
9. Oposição — Opor-se ao tratamento realizado com base em bases legais que não o consentimento quando houver descumprimento da LGPD.
10. Revisão de decisões automatizadas — Solicitar revisão de decisões tomadas unicamente por meio de tratamento automatizado que afetem seus interesses.

9.2. Nos Termos do RGPD (Arts. 15–22) — EEE, Reino Unido e Suíça​

Se você estiver localizado no EEE, Reino Unido ou Suíça, você possui os seguintes direitos adicionais ou equivalentes:

1. Direito de acesso (Art. 15) — Obter confirmação e uma cópia dos seus dados pessoais, incluindo informações sobre finalidades de tratamento, categorias, destinatários e períodos de retenção.
2. Direito de retificação (Art. 16) — Solicitar a correção de dados pessoais imprecisos sem demora injustificada.
3. Direito ao apagamento ("direito ao esquecimento") (Art. 17) — Solicitar a exclusão dos seus dados pessoais quando não forem mais necessários, quando você revogar o consentimento ou quando se opuser ao tratamento.
4. Direito à limitação do tratamento (Art. 18) — Solicitar a restrição do tratamento enquanto verificamos a exatidão dos seus dados, a licitude do tratamento ou a sua oposição.
5. Direito à portabilidade dos dados (Art. 20) — Receber seus dados pessoais em formato estruturado, de uso comum e legível por máquina (por exemplo, JSON ou CSV) e transmiti-los a outro controlador.
6. Direito de oposição (Art. 21) — Opor-se ao tratamento baseado em interesse legítimo. Cessaremos o tratamento salvo se demonstrarmos razões legítimas imperiosas.
7. Direitos relacionados à tomada de decisão automatizada (Art. 22) — Não ser submetido a decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou igualmente significativos, e obter intervenção humana, expressar seu ponto de vista e contestar a decisão.

Para exercer qualquer um desses direitos, envie um e-mail para [email protected]. Responderemos em até 15 dias (LGPD) ou 30 dias (RGPD).

10. Segurança dos Dados​

Implementamos medidas técnicas e organizacionais para proteger seus dados pessoais, incluindo:

• Criptografia de dados em trânsito (TLS);
• Senhas com hash (bcrypt);
• Controle de acesso baseado em funções (RBAC) via Bouncer para operações do backoffice;
• Isolamento de dados multi-tenant — cada Tenant opera em um banco de dados separado;
• Armazenamento seguro e criptografado de tokens OAuth de terceiros e IDs de usuário Discord;
• Armazenamento endereçado por conteúdo para fragmentos de fala (deduplicação por hash SHA-256);
• Log de auditoria para ações da equipe (aprovações de voo, atribuições de licenças, mudanças de patente, concessões de Pontos);
• Monitoramento regular de segurança e rastreamento de erros via Sentry.

11. Cookies​

A Plataforma usa cookies essenciais para gerenciamento de sessão e autenticação. Estes são estritamente necessários para o funcionamento da Plataforma e não requerem consentimento sob a LGPD ou o RGPD.

Cloudflare Turnstile pode definir cookies ou usar armazenamento local como parte de seu mecanismo de detecção de bots. Estes são estritamente necessários para segurança e não requerem consentimento.

O Amplitude pode usar cookies ou armazenamento local para manter a identidade da sessão e rastrear o uso entre visualizações de páginas. Estes são usados para analíticas de produto e não são usados para publicidade.

O Google Analytics define cookies (por exemplo, _ga, _ga_*) na página inicial pública para distinguir visitantes únicos, rastrear a duração da sessão e medir fontes de tráfego. Estes cookies são usados para analytics do site e não são usados para publicidade.

A Plataforma não usa cookies de publicidade.

12. Dados de Crianças​

A Plataforma não é direcionada a crianças menores de 16 anos. Não coletamos intencionalmente dados pessoais de crianças. Se tomarmos conhecimento de que coletamos dados de uma criança menor de 16 anos sem o consentimento adequado, os excluiremos prontamente.

13. Alterações nesta Política​

Podemos atualizar esta Política de Privacidade periodicamente. Alterações materiais serão comunicadas através da Plataforma ou por e-mail. A data de "Última atualização" no topo indica a revisão mais recente.

14. Autoridades de Proteção de Dados​

Se você acredita que seus direitos de proteção de dados foram violados, você tem o direito de registrar uma reclamação junto à autoridade supervisora competente:

• Brasil (LGPD): Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd
• UE/EEE (RGPD): Sua Autoridade de Proteção de Dados local. Uma lista está disponível em edpb.europa.eu.

15. Contato​

Para dúvidas sobre esta Política de Privacidade ou para exercer seus direitos de proteção de dados, entre em contato conosco:

• E-mail: [email protected]