Política de privacidade

Última atualização: 1 de novembro de 2026.

Esta política vale para o site siboncharters.com e para os apps Sibon (iPhone e Android). Ela explica que dados usamos, para quê, com quem compartilhamos, por quanto tempo guardamos e como você exerce seus direitos.

1. Quem cuida dos seus dados

• Controladora (trips e reservas): Sibon Charters, Jl. Pulau Karam, Berok Nipah, Padang Barat, Padang 25119, Indonésia. É ela que decide para que e como os dados das reservas são usados.
• Operadora (site e apps): A. E. B. Soncini Tecnologia LTDA, CNPJ 49.519.854/0001-78, Florianópolis/SC, Brasil, que desenvolve, hospeda e publica o site e os apps em nome da Sibon Charters e só trata os dados para isso.
• Contato para privacidade: dpo@siboncharters.com. Encarregado: Alessi Eduardo Brancher Soncini. [A CONFIRMAR: representante na União Europeia (art. 27 do GDPR)]

2. O que coletamos

Quando você pede vagas (site ou app): nome, e-mail, WhatsApp (opcional), a trip, quantas pessoas, a mensagem que você escrever e o código de desconto, se usar.

Na ficha de cada hóspede, depois que as vagas são reservadas: nome completo, e-mail, nacionalidade, número e validade do passaporte, voos de chegada e saída em Padang, seguro viagem (empresa, apólice e contato), nível de surf, restrições alimentares, cerveja extra, observações e, se você marcar, a autorização de uso de imagem, com a data do aceite.

Se você criar uma conta (opcional): e-mail, nome, idioma e senha (guardada como hash seguro, nunca em texto). Na conta você pode guardar um perfil de viajante com os mesmos dados da ficha, alertas de vaga e de preço, depoimentos (texto e, se quiser, uma foto) e a escolha de receber promoções por e-mail, com a data em que aceitou. Se você permitir notificações no app com a conta aberta, guardamos também o identificador de notificação do aparelho (criado pela Apple ou pelo Google), o tipo de aparelho e quando ele foi visto, para mandar os avisos da tripulação no mural da trip e os avisos da reserva (vagas reservadas, prazos de pagamento, fichas, pagamento confirmado).

Pagamento por transferência: o comprovante que você envia (foto ou PDF, que pode mostrar seus dados bancários), com valor, moeda e data, e os pagamentos que a equipe registra. Não recebemos dados de cartão.

Durante a trip, no app:

• Uma foto por dia: tirada só com a câmera do app, nunca da galeria, e enviada só se você salvar. Só você a vê pelo link da reserva.
• Passaporte de ondas: as ondas que você marca, o dia e a nota que der; guardamos junto o swell daquele dia.
• Compartilhar meu dia: o servidor recebe só a onda escolhida, o clima e o formato da imagem. A imagem não leva seu nome nem a sua posição e não é guardada.

O que fica só no seu celular e nunca vai para a Sibon:

• Saúde: as sessões de surf são lidas dos treinos do app Saúde (iPhone) ou do Health Connect (Android), só leitura, só nas datas da trip, só com a sua permissão. Não existe envio desses dados ao servidor.
• Localização: o GPS é usado no cartão de emergência (para você ler ou mandar a sua posição) e para sugerir a onda mais perto em "Compartilhar meu dia". A conta é feita no aparelho; a posição não é enviada.
• Cópias para usar sem internet: o link da reserva (no Keychain do iPhone ou cifrado no Android), uma cópia de "Minha reserva" sem nada da ficha, a confirmação em PDF para a imigração (que tem o passaporte) e as fotos do mural já abertas. Ficam fora do backup na nuvem e saem quando você remove a reserva do aparelho, quando o link deixa de valer ou 90 dias depois da trip.
• Avisos sem conta: sem a conta aberta no app, ele mesmo confere o mural da trip de tempos em tempos e mostra uma notificação local, sem mandar nada do aparelho para a Sibon.

No site: cookies de idioma e de tema e, se você entrar, o cookie de login. Não usamos cookies de publicidade nem de estatística. Para limitar abusos, o servidor usa o endereço IP de quem faz pedidos e entra na conta. Os registros de acesso do servidor (IP, data, hora, endereço pedido, navegador e página de origem) ficam guardados por 6 meses e depois são apagados.

3. Para quê e com que base

As bases legais abaixo seguem o art. 6 do GDPR (União Europeia), o art. 20 da UU PDP 27/2022 (Indonésia) e o art. 7 da LGPD (Brasil).

• Execução do contrato (GDPR art. 6.1.b; UU PDP art. 20.2.b; LGPD art. 7, V): o pedido de vagas, a reserva e a ficha; segurar suas vagas, cobrar, buscar você no aeroporto, cozinhar para você, mostrar a reserva nos apps, manter a sua conta e agir numa emergência.
• Obrigação legal (GDPR art. 6.1.c; UU PDP art. 20.2.c; LGPD art. 7, II): os dados de passaporte e nacionalidade da lista de passageiros que registramos na capitania, como exige a Indonésia, e os registros de pagamento da contabilidade. Pela lei brasileira (só LGPD art. 7, II), também a guarda dos registros de acesso do servidor por 6 meses, que o art. 15 do Marco Civil da Internet (Lei 12.965/2014) exige da operadora; para o GDPR e a UU PDP, essa guarda se apoia no interesse legítimo abaixo.
• Consentimento (GDPR art. 6.1.a; UU PDP art. 20.2.a; LGPD art. 7, I), que você pode retirar quando quiser: promoções por e-mail, uso de imagem nas fotos e vídeos da tripulação, autorizar uma foto do dia para as redes sociais, mostrar seu primeiro nome, país e nível de surf aos outros hóspedes da mesma trip, publicar um depoimento e a leitura dos treinos do Saúde ou Health Connect.
• Interesse legítimo (GDPR art. 6.1.f; UU PDP art. 20.2.f; LGPD art. 7, IX): segurança das contas e do sistema, como o limite de tentativas por IP, os registros de acesso e o registro de quem alterou cada reserva.

Não vendemos seus dados e não os usamos para publicidade.

4. Uso de imagem

• Foto do dia: a equipe só vê, baixa e posta nas redes da Sibon as fotos que você autorizar, uma por uma (a autorização vem desligada e fica registrada com a data). Tirar a autorização tira a foto da equipe; o que já foi postado continua publicado.
• Mural da trip: a tripulação publica fotos do dia, que podem mostrar os hóspedes. Elas abrem só pelo link de quem está na trip.
• Depoimento: nome, texto e foto só aparecem no site depois que você autoriza e a equipe aprova, sem e-mail.
• Fotos e vídeos da tripulação nas redes: a bordo, a tripulação faz fotos e vídeos para as redes sociais da Sibon. Só aparece neles quem autorizou na ficha: a caixa vem desmarcada e o aceite fica registrado com a data. Cada hóspede adulto decide pela própria imagem; quem preenche a ficha de outra pessoa só marca a caixa se ela autorizou. Sem aceite, você não aparece em post, e a tripulação vê no manifesto da trip quem não autorizou. Você pode retirar o aceite a qualquer momento pelo dpo@siboncharters.com (a equipe retira no sistema e, depois disso, a ficha não marca de novo), ou na própria ficha enquanto ela pode ser editada (até a véspera da trip); a retirada vale dali em diante.

5. Quem vê e com quem compartilhamos

• A equipe da Sibon, cada pessoa com acesso limitado à sua função, com senha e verificação em duas etapas.
• Autoridades da Indonésia: a lista de passageiros para a capitania.
• Hospedagem do sistema: GoDaddy (GoDaddy.com, LLC), com o servidor nos Estados Unidos, onde ficam o site, a parte do servidor dos apps e o banco de dados.
• Envio de e-mails: Elastic Email recebe o seu e-mail e o texto das mensagens da reserva para entregá-las.
• Notificações push: a Apple (Apple Push Notification service, no iPhone) e o Google (Firebase Cloud Messaging, no Android) recebem o identificador de notificação do aparelho, o título e o texto do aviso para entregá-lo.
• Mapas: no iPhone o mapa das ondas é o da Apple; no Android, os mapas vêm do OpenStreetMap, que recebe o endereço IP do celular ao baixar as imagens do mapa.
• No site: as fontes vêm do Google Fonts e os vídeos, do YouTube (modo sem cookies), que recebem o endereço IP de quem abre a página.

Transferência internacional: como o servidor fica nos Estados Unidos, seus dados são transferidos para fora da União Europeia e do Brasil. Essa transferência se apoia em garantias contratuais, as cláusulas-padrão de proteção de dados do contrato com o provedor de hospedagem (capítulo V do GDPR; art. 33 da LGPD).

6. Por quanto tempo guardamos

• Ficha do hóspede: guardada até 5 anos depois do fim da trip, como registro das suas trips. Depois disso, passaporte, nacionalidade, validade, e-mail, seguro, voos, restrições alimentares e observações são apagados; ficam só o nome, o nível de surf, a cerveja extra e as escolhas de compartilhar com a trip e de uso de imagem (com a data), para as contas, o histórico e a prova do aceite.
• Comprovante de pagamento: o arquivo é apagado 90 dias depois do fim da trip e a observação que você escreveu, 5 anos depois; valor, moeda, data e decisão ficam para a contabilidade.
• Link da reserva: deixa de funcionar 90 dias depois do fim da trip.
• Fotos do mural: apagadas 90 dias depois do fim da trip.
• Fotos do dia: ficam enquanto existir uma conta confirmada com o e-mail da reserva; sem conta, são apagadas 90 dias depois do fim da trip. Você pode apagar cada uma no app.
• Conta, perfil, alertas e depoimentos: até você excluir a conta.
• Reservas e pagamentos: o telefone, a mensagem do pedido e as anotações da equipe são apagados 5 anos depois do fim da trip. O nome e o e-mail de quem reservou, os valores e os pagamentos ficam como registro da contabilidade e para a reserva continuar aparecendo na sua conta.
• Promoções: até você sair pelo link do e-mail, com um clique.
• Notificações: o identificador do aparelho é apagado quando você sai da conta (em qualquer aparelho), exclui a conta, quando a Apple ou o Google dizem que ele não vale mais (90 dias depois) ou depois de 270 dias sem abrir o app com a conta. Cada notificação na fila de envio é apagada 90 dias depois.
• E-mails enviados a você (destinatário e texto, que pode citar nome, trip, valores e o link da reserva): destinatário, assunto e texto são apagados 5 anos depois do fim da trip (e-mails da reserva) ou do envio (os demais); fica só o registro de que houve um envio.
• Registros de acesso do servidor (IP, data, hora, endereço pedido, navegador e página de origem): 6 meses, depois são apagados. É a guarda mínima que o Marco Civil da Internet (art. 15) exige da operadora brasileira; também servem à segurança do sistema (interesse legítimo).

7. Como protegemos

Conexão sempre cifrada (HTTPS). Passaporte, seguro, comprovantes e fotos do dia ficam cifrados no banco, com a chave guardada fora dele e fora do backup. Cada alteração nos dados da reserva fica registrada com quem fez, sem o valor do dado pessoal.

8. Seus direitos

Você pode pedir para ver, corrigir, levar ou apagar seus dados, e se opor a um uso ou retirar um consentimento, escrevendo para dpo@siboncharters.com. Respondemos em até 15 dias. Você também pode reclamar à autoridade de proteção de dados: na União Europeia, a do seu país; no Brasil, a ANPD; na Indonésia, a autoridade prevista na UU PDP 27/2022.

Excluir a conta: no app (aba Minha reserva, Conta, Excluir conta) ou no site (Minha conta). Veja o que sai e o que fica em Excluir conta.

9. Menores de idade

Só maiores de 18 anos fazem reserva ou criam conta. Menores de 18 embarcam só acompanhados do responsável que fez a reserva, que preenche a ficha deles e fornece os dados deles. Não pedimos data de nascimento: no pedido de vagas, no cadastro e na ficha, quem envia declara que tem 18 anos ou mais.

10. Mudanças

Quando esta política mudar, a data no topo muda junto. Mudanças importantes serão avisadas por e-mail a quem tem reserva ou conta.