Política de Privacidade
Última atualização: 27 de outubro de 2026 · Versão 1.7
Esta política descreve como o Capturador Smiles (operado por LabsAero, doravante "nós") coleta, usa, armazena e protege seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018).
1. Quem somos
LabsAero é a controladora dos dados desta extensão. Contato do encarregado de proteção de dados (DPO):
- Email: dpo@labsaero.com
- Suporte geral: suporte@labsaero.com
2. Quais dados coletamos
2.1 Dados de acesso
O Capturador Smiles é de uso interno, restrito a usuários autorizados. Não há cadastro aberto, assinatura nem cobrança, e o LabsAero não mantém servidor de contas: o email e a senha de acesso não são enviados a nós. O email fica salvo apenas no seu navegador; a senha serve para derivar a chave que abre o cofre local.
Para liberar o acesso, a extensão lê o email da conta Google
conectada ao Chrome (permissão identity.email) e o
compara com a lista de usuários autorizados. Essa leitura acontece só no
seu navegador: o email não é enviado ao LabsAero nem a terceiros.
2.2 Dados que você gerencia na extensão
Os dados sensíveis que você gerencia na extensão (logins de fornecedores Smiles, senhas, CPFs, números de cartão, histórico de acessos) nunca saem do seu dispositivo. Eles são criptografados localmente com PBKDF2 (600.000 iterações) + AES-GCM 256-bit usando uma chave derivada da sua senha de acesso. Nem o LabsAero nem qualquer terceiro consegue ler esses dados.
⚠️ Importante: se você esquecer ou trocar a senha de acesso, os dados criptografados ficam inacessíveis (a chave criptográfica deriva da senha). Antes de trocar, exporte seus dados via opção "Exportar JSON" na extensão.
2.3 Dados de terceiros que você gerencia (fornecedores)
Se você cadastra credenciais de contas que não são suas (por exemplo, logins, CPF ou dados de cartão de fornecedores/clientes), esses dados pessoais de terceiros são tratados exclusivamente no seu dispositivo, cifrados, e nunca chegam aos nossos servidores. Nesse cenário, você é o controlador desses dados perante a LGPD e declara possuir autorização ou base legal do titular para tratá-los; o LabsAero atua apenas como meio técnico local, sem acesso ao conteúdo (ver Cláusula 6.1 dos Termos de Uso).
2.4 Link do checkout da Smiles
Na tela de passageiros da Smiles, a extensão observa a chamada que o
próprio site faz para registrar os viajantes (permissão
webRequest, sem bloquear nem alterar nada) e lê o
identificador do carrinho, para montar o link da página de pagamento da
Smiles. Isso só acontece com um usuário autorizado conectado; o
identificador fica na memória do navegador, é apagado ao sair da extensão
ou fechar o Chrome e não é enviado ao LabsAero nem a terceiros.
2.5 Milheiro de venda do Central GPI
Se você ligar a opção “Ler do Central GPI” (permissão opcional de acesso
a t.me), a extensão lê a cada 30 minutos a página pública do
canal do Telegram t.me/s/CentralGPI e usa a tabela da Smiles
publicada ali como milheiro de venda no painel. É uma leitura anônima de
uma página pública: a extensão não usa conta do Telegram e não envia
nenhum dado seu. Fica no seu navegador só o trecho da Smiles dos posts
mais recentes; desligar a opção apaga esse conteúdo.
3. Como tratamos o código de segurança do cartão (CVV)
O PCI-DSS Requisito 3.2.2 — norma do setor de pagamentos — desencoraja armazenar o CVV (código de segurança de 3 ou 4 dígitos no verso do cartão) após a autorização da compra, mesmo cifrado em repouso. Por isso, o comportamento padrão da extensão é manter o CVV apenas em memória da sessão. Você, no entanto, pode ligar uma opção (opt-in) para que o CVV passe a ser salvo cifrado no cofre — uma escolha de conveniência consciente que descrevemos abaixo com total transparência.
3.1 Comportamento padrão (instalações novas)
- O CVV não é gravado no cofre enquanto o opt-in estiver desligado (o estado padrão de uma instalação nova).
- A cada compra, a extensão pede que você digite o CVV em um campo modal dentro do próprio popup, no momento do preenchimento.
- O CVV digitado vive em memória do navegador, em cache da sessão do popup, e é descartado em auto-lock (15 min de inatividade), logout, exclusão de conta ou ao recarregar o popup. Nunca toca disco, cofre ou servidor.
3.2 Quando você liga o opt-in "Armazenar CVV no cofre"
- Em Configurações → Auto-fill de cartão, você pode ativar a opção "Armazenar CVV no cofre". Ao ligá-la, o CVV passa a ser salvo cifrado em repouso (AES-256-GCM com chave device-bound não-extraível, dentro do mesmo envelope protegido pela sua senha mestre) e deixa de ser pedido a cada compra.
- Instalações antigas (anteriores à versão 2.0) já vêm com essa opção ligada, para preservar a experiência de preenchimento sem prompt que existia antes. Instalações novas vêm com a opção desligada.
- Isto é um desvio consciente do PCI-DSS 3.2.2: persistir o CVV aumenta a conveniência, mas também o risco caso o dispositivo seja comprometido. Ligue apenas se você aceita esse trade-off.
- Você pode desligar a qualquer momento. Ao desligar, a extensão oferece remover de uma vez os CVVs já guardados; você também pode disparar essa limpeza pelo botão "Limpar CVVs em repouso" nas mesmas configurações.
3.3 Onde o CVV nunca aparece, mesmo com o opt-in ligado
- Backups exportados (JSON ou TXT) nunca contêm CVV — ligado ou desligado o opt-in. A rotina de exportação remove o CVV de forma incondicional antes de gerar qualquer arquivo.
- O CVV não sai do seu computador, exceto pelo preenchimento direto no formulário da Smiles no momento da compra.
- Nenhum log, e-mail de suporte ou telemetria carrega CVV em nenhuma circunstância.
3.4 O que ainda fica no cofre quando o CVV é descartado
- Número do cartão, validade, nome do titular, CPF e demais dados continuam cifrados em repouso com chave derivada da sua senha mestre (AES-256-GCM, PBKDF2-SHA256 com 600.000 iterações).
- Apenas o CVV recebe tratamento especial, por imposição regulatória do PCI-DSS.
4. Por que usamos seus dados (bases legais)
| Finalidade | Dados | Base legal (LGPD Art. 7) |
|---|---|---|
| Acesso à extensão e abertura do cofre local | Email da conta Google do Chrome, senha (tratados só no seu navegador) | Execução de contrato (V) |
5. Com quem compartilhamos
A extensão não envia seus dados a servidores do LabsAero nem a
operadores contratados por nós. Os únicos destinos externos são os que
você aciona: o site da Smiles, no preenchimento, e a planilha do Google
Sheets que você configurar para importar fornecedores. Se você ligar a
leitura do Central GPI (item 2.5), a extensão também lê a página pública
t.me/s/CentralGPI, sem enviar nada seu. Esta página é
hospedada na Hostinger.
Não vendemos, alugamos nem compartilhamos seus dados com terceiros para fins de marketing.
6. Transferência internacional
Como a extensão não envia seus dados a servidores nossos, o LabsAero não faz transferência internacional dos seus dados.
7. Por quanto tempo guardamos
- Dados da extensão: no seu navegador, até você apagá-los ou desinstalar a extensão. O LabsAero não guarda cópia.
8. Seus direitos (LGPD Art. 18)
Você tem direito a, a qualquer momento:
- Confirmação de que tratamos seus dados
- Acesso aos dados que temos sobre você
- Correção de dados incompletos ou desatualizados
- Anonimização ou exclusão de dados desnecessários
- Portabilidade dos dados a outro fornecedor
- Eliminação dos dados tratados com base em consentimento
- Informação sobre com quem compartilhamos
- Revogação do consentimento
Para exercer qualquer direito, use a página Excluir minha conta ou escreva para dpo@labsaero.com. Respondemos em até 15 dias.
9. Segurança
- HTTPS em todas as comunicações
- Dados sensíveis (logins Smiles, cartões) criptografados localmente — nunca saem do seu dispositivo
- Auto-lock por inatividade (15 minutos) e lockout progressivo após tentativas erradas
- Auditoria de acessos com chain-hash anti-tampering
Em caso de incidente de segurança que possa afetar você, comunicaremos imediatamente conforme exige a LGPD (Art. 48).
10. Cookies
Esta página não usa cookies de rastreamento nem de marketing. A extensão não usa cookies; armazena dados
apenas em chrome.storage.local do seu navegador, sob seu
controle.
11. Crianças
Este serviço não é destinado a menores de 18 anos. Se você é responsável por um menor que se cadastrou, contate dpo@labsaero.com para solicitar a exclusão dos dados.
12. Alterações nesta política
Mudanças significativas serão comunicadas por email com 30 dias de antecedência. Mudanças menores (correções, esclarecimentos) podem ser publicadas sem aviso prévio. A data de "última atualização" no topo sempre reflete a versão vigente.
13. Foro
Disputas sobre esta política são regidas pela legislação brasileira, com foro na comarca onde o LabsAero mantém sua sede operacional.
Versão controlada via Git. Histórico público em GitHub (para usuários autorizados).