A cada reserva de passagem, hospedagem ou aluguel de carro, uma série de informações pessoais dos colaboradores é compartilhada com diversas empresas, como agências, companhias aéreas, hotéis, entre outras.
Nesse contexto, a Lei Geral de Proteção de Dados Pessoais (LGPD) impõe um olhar mais rigoroso sobre como o mercado lida com o fluxo dessas informações.
A sua empresa atua como controladora dos dados, ou seja, decide o quê e como tratar as informações dos viajantes, enquanto seus fornecedores atuam como operadores, tratando esses dados em seu nome.
A LGPD estabelece que essa relação de compartilhamento exige responsabilidade mútua, formalizada por um instrumento jurídico robusto: o Acordo de Tratamento de Dados (DTA – Data Transfer Agreement ou DPA – Data Processing Agreement).
Neste conteúdo, vamos abordar o DTA de forma prática, no contexto das viagens corporativas, permitindo que você seja capaz de negociar e auditar contratos que protejam sua empresa contra riscos de conformidade, multas e danos à reputação. Confira!
A gestão de viagens corporativas movimenta um volume significativo de dados pessoais e, por vezes, dados sensíveis. Pense em toda a jornada de um viajante, desde a solicitação da viagem até o check-out e o reembolso, e reflita sobre a quantidade de informações envolvidas:
Dados pessoais: nome completo, CPF, RG, data de nascimento, e-mail corporativo, telefone, passaporte, cargo, dados do cartão de crédito corporativo.
Dados pessoais sensíveis: restrições alimentares, informações sobre saúde ou necessidades especiais, dados biométricos para acesso a sistemas ou check-in.
O compartilhamento desses dados é inerente à prestação do serviço. Para que uma passagem seja emitida e um quarto seja reservado, a agência de viagens precisa enviar essas informações à companhia aérea e ao hotel.
A questão central, no âmbito da LGPD, não é o ato de compartilhar, mas sim como esse compartilhamento ocorre e com base em quais fundamentos legais.
A falha na proteção desses dados, seja por um vazamento, acesso indevido ou uso para finalidade diversa da original, pode gerar responsabilidade solidária entre a sua empresa (controladora) e o fornecedor (operador), resultando em sanções, danos à imagem e ações judiciais individuais dos titulares.
Muitos gestores confiam no Contrato de Prestação de Serviços padrão, mas isso é um erro grave. O contrato principal trata da relação comercial (preços, escopo do serviço, SLAs), mas é o Acordo de Tratamento de Dados que define, detalhadamente, as responsabilidades de cada parte no tratamento dos dados pessoais.
Esse acordo é a prova de que sua empresa agiu com a devida diligência e transparência ao confiar dados de seus colaboradores a terceiros, estabelecendo o compliance de ponta a ponta na sua cadeia de valor de viagens.
Entender essa distinção é o ponto de partida para a negociação de qualquer Acordo de Tratamento de Dados:
Sua empresa (controladora): é quem toma as decisões sobre o tratamento. Você define quais dados são coletados, a finalidade (por exemplo, realizar a viagem de trabalho), a duração do tratamento e a base legal.
Fornecedor (operador): é quem realiza o tratamento dos dados em nome do controlador, seguindo as suas instruções (por exemplo, a TMC executa a compra da passagem e o envio dos dados ao sistema da companhia aérea).
O Acordo serve, portanto, para que o operador se comprometa a seguir as instruções do controlador e aplicar as medidas de segurança e transparência exigidas pela LGPD.
Um contrato eficaz deve abordar, de forma clara, os seguintes pilares:
A LGPD exige uma base legal para todo tratamento de dados. No contexto de viagens corporativas, as bases mais comuns e robustas para o tratamento dos dados dos colaboradores são a execução de contrato ou de procedimentos preliminares relacionados ao contrato (do contrato de trabalho ou da execução da viagem), ou o legítimo interesse da empresa (por exemplo, gestão de riscos e segurança do viajante).
Por isso, o contrato deve listar a finalidade específica e definir que o tratamento deve ser realizado unicamente para os propósitos legítimos do contrato de viagem (por exemplo: emissão de bilhete, reserva de hospedagem, seguro-viagem, monitoramento de segurança do viajante).
Qualquer finalidade secundária (como marketing do fornecedor) deve ser expressamente proibida ou exigir um consentimento separado e específico do titular, o que é mais complexo.
O contrato deve, também, delimitar o tipo de dado: indique, de forma taxativa, quais dados (nome, CPF, passaporte etc.) são necessários, reforçando o princípio da minimização de dados.
O gestor de viagens precisa garantir que o operador (fornecedor) não armazene dados “por precaução” e que o acesso esteja limitado ao estritamente necessário.
Defina, em contrato, que o fornecedor só deve acessar dados de saúde (dados sensíveis) se forem estritamente necessários para a reserva (por exemplo: restrição alimentar ou de mobilidade) e que deve tratar essas informações com segurança reforçada.
Após a prestação do serviço e o cumprimento das obrigações legais de retenção (como a prestação de contas fiscais), o fornecedor deve se comprometer a eliminar ou anonimizar os dados, seguindo o prazo estipulado pelo controlador (sua empresa) e em conformidade com a política interna de retenção. Exija evidências desse processo.
A compra de uma passagem em uma companhia aérea internacional ou a reserva em uma rede hoteleira global implica em transferência de dados pessoais para fora do Brasil.
A LGPD permite esse tipo de transferência em situações específicas, como para países com grau de proteção adequado ou mediante a adoção de cláusulas contratuais-padrão aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD).
O fornecedor deve atestar que as transferências internacionais que realiza (por exemplo, para o sistema de reservas global) estão em conformidade com o art. 33 da LGPD e com as regulamentações da ANPD.
Sua TMC/agência frequentemente contrata outros operadores para prestar o serviço (por exemplo: um motorista de carro executivo, um parceiro de hotelaria). Esses são os sub-operadores.
O contrato deve especificar que a agência obtenha autorização prévia e específica para cada sub-operador ou, alternativamente, que sejam autorizadas categorias de sub-operadores (por exemplo: “companhias aéreas”).
Além disso, imponha as mesmas obrigações de segurança e privacidade ao sub-operador que sua empresa impôs à TMC.
Para garantir mais transparência a esse processo, a agência deve fornecer a lista de seus principais parceiros, como plataformas de pagamento, redes de hotéis, etc. Qualquer inclusão de um novo sub-operador deve ser comunicada e aprovada por você.
Vazamentos de dados são riscos reais, e a forma como o fornecedor reage a um incidente é decisiva para reduzir danos e evitar sanções.
A LGPD exige que o controlador (sua empresa) comunique a ANPD e o titular em “prazo razoável”. Para que isso seja possível, o fornecedor deve se comprometer a notificá-lo em um prazo curtíssimo, idealmente em até 24 ou 48 horas após tomar conhecimento da suspeita ou do incidente.
Exija que o fornecedor possua um plano de resposta a incidentes formal e comprove a adoção de medidas técnicas e administrativas aptas a proteger os dados (como criptografia e controle de acesso).
O contrato deve detalhar a obrigação do fornecedor em cooperar integralmente com a investigação, fornecendo informações sobre a natureza do incidente, os dados afetados e as medidas adotadas para remediar e evitar recorrências, incluindo o ressarcimento por eventuais multas aplicadas à sua empresa em decorrência de falha do operador.
Além do texto principal do Acordo, os anexos fornecem a clareza e o detalhamento técnico que a LGPD valoriza, tornando o contrato mais rastreável e auditável.
Um anexo especialmente útil pode ser uma matriz de acessos, com informações claras sobre quem tem acesso a quais dados.
Exija que o fornecedor anexe sua matriz de acessos ou, ao menos, uma descrição dos papéis e permissões, como nos exemplos abaixo:
O agente de reservas tem acesso ao passaporte.
O setor financeiro tem acesso aos dados do cartão corporativo (e se esses dados são mascarados ou tokenizados).
O time de marketing não tem acesso a dados de viagem.
A matriz comprova que o acesso aos dados é concedido apenas a quem realmente precisa, conforme o princípio do Need to Know, limitando o risco de vazamentos internos.
A agência de viagens é, na prática, a ponte entre sua empresa e a cadeia de fornecedores (companhias aéreas, locadoras, hotéis). Por isso, é essencial contar com uma agência que não só esteja 100% adequada à LGPD, mas que também ofereça camadas extras de segurança.
A VOLL, maior agência de viagens corporativas digital da América Latina, adota os mais altos padrões de segurança da informação para proteger os dados pessoais e sensíveis tratados durante a jornada dos viajantes corporativos.
Toda a arquitetura da plataforma é desenvolvida com base em princípios como privacidade por design, criptografia ponta a ponta e controle de acesso por perfil, garantindo que cada dado seja coletado, armazenado e processado com máxima segurança.
Além de proteger informações, essas medidas também blindam a empresa contra riscos jurídicos, incidentes de vazamento e inconsistências em auditorias internas e externas.
Toda essa governança de dados fez da VOLL a primeira agência de viagens corporativas no Brasil a conquistar a certificação ISO 27001, principal referência internacional em Sistemas de Gestão de Segurança da Informação (SGSI).
Com governança madura e processos auditáveis, essa certificação reforça a solidez da VOLL, prevenindo acessos indevidos e assegurando o uso responsável das informações, sempre em conformidade com leis como a LGPD.
Em paralelo, nosso time consultivo realiza treinamentos periódicos com todas as áreas envolvidas no processamento de dados, do atendimento ao suporte técnico, garantindo que todos os envolvidos conheçam seus papéis e obrigações.
Se você deseja contar com uma agência que oferece tecnologia inovadora, atendimento especializado e proteção total de ponta a ponta, entre agora em contato com a VOLL e solicite uma demonstração!