Política de Privacidade

Vigência desta versão: 10/2026 (v2.4). Esta política substitui versões anteriores e se aplica a todas as interações com os canais digitais e operações do Grupo Cósmica.

1. Quem somos e o que cobrimos

Grupo Cósmica reúne as operações de hospitalidade, gastronomia, eventos e comunidade das famílias Marra e Paschoal: Casa Cósmica, Residência Cósmica, Fazenda Cósmica, Cósmica Cozinha, Cósmica Casamentos, Clube Cósmica e o programa Pontos Cósmicos.

Esta política descreve o tratamento de dados pessoais realizado por meio do site grupocosmica.com, dos formulários de contato e orçamento, dos canais de atendimento (email, WhatsApp, telefone) e durante a prestação dos nossos serviços. Está em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) e com o Marco Civil da Internet (Lei nº 12.965/2014).

2. Controladores conjuntos dos dados

As operações do grupo são conduzidas por pessoas jurídicas distintas, que atuam como controladoras conjuntas dos dados pessoais coletados, cada uma no escopo da sua operação (LGPD, art. 5º, VI e art. 26).

• Casa Cósmica — Casa Cósmica Ltda., CNPJ 32.314.739/0001-64.
  Escopo: Operação da Casa Cósmica (São Paulo / Butantã): hospedagem urbana, eventos sociais e corporativos no espaço.
  Endereço: Rua Hilário Magro Júnior, 619 — Butantã, São Paulo — SP, CEP 05505-020.
• Cósmica Cozinha — Cósmica Cozinha Ltda., CNPJ 31.923.601/0001-08.
  Escopo: Operação da Cósmica Cozinha: catering, produção gastronômica e empório — inclusive quando produzida dentro da Casa Cósmica ou da Fazenda Cósmica.
  Endereço: Rua Hilário Magro Júnior, 619 — Butantã, São Paulo — SP, CEP 05505-020.
• Residência Cósmica — empresa operadora do Grupo Cósmica, CNPJ informado mediante solicitação a privacidade@grupocosmica.com.br.
  Escopo: Operação da Residência Cósmica (São Paulo / Alto de Pinheiros): hospedagem, residências artísticas, eventos sociais e corporativos no espaço.
  Endereço: Alto de Pinheiros, São Paulo — SP (endereço completo compartilhado no atendimento).
• Fazenda Cósmica — FSE Espaços de Produções Criativas Ltda., CNPJ 11.805.977/0001-00.
  Escopo: Operação da Fazenda Cósmica (Amparo, SP): hospedagem, casamentos, retiros e offsites corporativos.
  Endereço: Rodovia SP-360, km 124,3 — Bairro Córrego Vermelho, Amparo — SP, CEP 13903-800.

Quando uma mesma interação envolve mais de uma operação (por exemplo, um membro do Clube Cósmica que faz uma reserva na Fazenda), as controladoras compartilham os dados estritamente necessários para entregar o serviço, sob acordo de controladoria conjunta.

2.1. Encarregado pelo tratamento de dados (DPO)

O canal único de contato para questões de privacidade, em nome de todos os controladores, é o encarregado pelo tratamento de dados (DPO): privacidade@grupocosmica.com.br.

3. Dados que tratamos

Coletamos apenas os dados necessários para cada finalidade declarada. Dependendo da sua interação conosco, podemos tratar:

• Identificação e contato — nome, email, telefone, WhatsApp; CPF, RG ou passaporte quando exigidos por lei (hospedagem) ou para emissão de nota fiscal.
• Dados de evento ou estadia — tipo de evento ou hospedagem, datas, número de convidados ou hóspedes, perfil do grupo, restrições alimentares, necessidades de acessibilidade, preferências informadas.
• Dados de pagamento e fiscais — razão social ou nome, CNPJ ou CPF, endereço de cobrança, comprovantes de transferência ou Pix. Não armazenamos dados completos de cartão de crédito; transações em cartão são processadas por gateways e adquirentes sob suas próprias políticas.
• Dados do Clube Cósmica e Cosmos — candidatura à membresia (perfil, motivações, indicações), histórico de participação em encontros, saldo e movimentação da economia interna em Cosmos, interações na plataforma do Clube.
• Dados de navegação — páginas visitadas, origem do tráfego, dispositivo, identificadores de cookies. Detalhes na seção 11.
• Conteúdo de comunicação — mensagens trocadas com a equipe por email, WhatsApp ou formulários do site, mantidas como registro do atendimento.
• Imagens e vídeos — fotografias e gravações feitas em eventos e estadias, tratadas conforme autorização específica (ver seção 5).

Não coletamos intencionalmente dados pessoais sensíveis (LGPD, art. 5º, II). Quando uma restrição alimentar revelar dado de saúde ou convicção religiosa, esse dado é tratado apenas para a operação do serviço, com base na hipótese de proteção da vida ou execução de contrato, e mantido em sigilo.

4. Finalidades e bases legais

Tratamos dados pessoais com base nas hipóteses do art. 7º da LGPD. A tabela abaixo resume as principais finalidades, a base legal correspondente e o prazo de retenção.

5. Compartilhamento de dados

Não vendemos dados pessoais. Também não os cedemos para que terceiros usem seu contato em campanhas próprias ou de outras empresas. O compartilhamento ocorre apenas:

• Entre os controladores conjuntos, quando a operação envolve mais de uma casa do grupo (ex.: membro do Clube hospedando-se na Fazenda).
• Com operadores tecnológicos contratados (sub-processadores listados na seção 6), sob contrato que exige sigilo e tratamento conforme esta política.
• Com parceiros operacionais de cada evento ou estadia (fornecedores de flores, fotografia, produção, transporte), apenas com os dados estritamente necessários e mediante obrigação contratual de confidencialidade.
• Com autoridades públicas, quando exigido por obrigação legal, ordem judicial ou requisição administrativa fundamentada.
• Com as plataformas de anúncio (Meta e Google), para medir campanha. Quando você envia um formulário no site, transmitimos a elas um resumo do seu contato — email, telefone e nome transformados em código irreversível (SHA-256) — junto do seu endereço IP e do seu navegador, que não são criptografados. A finalidade é uma só: saber qual anúncio trouxe um contato real. Detalhes e como se opor na seção 11.

6. Sub-processadores

Os principais operadores tecnológicos que atuam como sub-processadores dos dados que você nos confia estão listados abaixo. Esta lista é atualizada periodicamente.

7. Transferência internacional de dados

Parte da nossa infraestrutura tecnológica está hospedada fora do Brasil — em especial nos Estados Unidos (Vercel, Airtable, Google, Meta, Zapier). Quando dados pessoais são transferidos para fora do território nacional, garantimos um nível de proteção adequado por meio de:

• contratos com cláusulas-padrão de proteção de dados firmados com cada sub-processador (LGPD, art. 33, II);
• seleção de fornecedores com certificações reconhecidas (SOC 2, ISO 27001);
• minimização dos dados transferidos ao estritamente necessário para a operação contratada.

8. Direitos do titular

A LGPD (art. 18) garante a você, como titular dos dados, os seguintes direitos, exercíveis a qualquer momento, gratuitamente:

• Confirmação da existência de tratamento dos seus dados.
• Acesso aos dados que mantemos sobre você.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade a outro fornecedor de serviço, mediante requisição expressa.
• Eliminação dos dados tratados com base em consentimento.
• Informação sobre compartilhamento — com quais entidades públicas e privadas compartilhamos seus dados.
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências.
• Revogação do consentimento, a qualquer tempo, mediante manifestação expressa.

Para exercer qualquer direito, escreva para privacidade@grupocosmica.com.br identificando o seu pedido. Confirmamos o recebimento em até 5 dias úteis e respondemos em até 15 dias, podendo solicitar comprovação de identidade quando necessário para sua própria proteção. Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).

9. Retenção e descarte

Mantemos dados pessoais apenas pelo período necessário às finalidades descritas na seção 4. Após esse período, ou em caso de revogação de consentimento, os dados são eliminados em definitivo ou anonimizados de forma irreversível, exceto quando a manutenção for necessária para:

• cumprimento de obrigação legal ou regulatória (fiscal, trabalhista, contábil);
• exercício regular de direitos em processo judicial, administrativo ou arbitral;
• uso exclusivo nosso, vedado acesso de terceiros, e desde que anonimizado.

10. Segurança

Adotamos medidas técnicas e organizacionais razoáveis para proteger seus dados, incluindo:

• criptografia em trânsito (HTTPS/TLS) em todos os canais digitais;
• controle de acesso por papéis, com autenticação de dois fatores para a equipe;
• registros de operação (logs) e revisão periódica de acessos;
• contratos de confidencialidade com a equipe e operadores;
• backups regulares e procedimentos de recuperação.

Protocolo de incidente. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos os afetados e a ANPD em prazo razoável, nos termos do art. 48 da LGPD, descrevendo a natureza dos dados, os titulares envolvidos, as medidas técnicas adotadas e os riscos relacionados.

11. Cookies e tecnologias similares

O site usa cookies e tecnologias similares (pixels, local storage) em três grupos — os mesmos três que aparecem no aviso de cookies, quando você clica em "Escolher quais":

• Necessários — fazem o site funcionar: segurança, envio de formulário e a memória da sua própria escolha de cookies. Ficam sempre ligados e não exigem consentimento.
• Medição — Google Analytics 4 (G-H39S8E03VL) e o nosso contador próprio de páginas vistas, para entendermos o uso agregado do site. Começa desligado. O contador próprio de páginas vistas também roda se você aceitar apenas Anúncios, porque as tags de anúncio usam o mesmo sinal de página vista.
• Anúncios — o contêiner do Google Tag Manager inteiro (três pixels da Meta, tags de conversão do Google Ads e o Conversion Linker), a Insight Tag do LinkedIn e a leitura dos identificadores de clique de anúncio (gclid, fbclid) e dos parâmetros de campanha (UTM) que vêm no endereço da página. Começa desligado.

Medição e Anúncios são interruptores separados de verdade — dá pra ligar um sem o outro. Você pode rever a escolha quando quiser em "Gerenciar cookies", no rodapé de qualquer página, ou pelas configurações do navegador. Retirar o consentimento não compromete a navegação nem o acesso a conteúdos.

Quanto tempo cada um dura. Medido no próprio site em 12/10/2026, com todas as categorias aceitas. Os prazos são definidos por quem cria cada cookie e podem mudar sem aviso nosso; os de terceiro (LinkedIn) só existem enquanto você mantém a categoria Anúncios ligada.

Um envio que não é cookie, e que você precisa saber que existe. Além dos cookies, quando você envia um formulário de contato o nosso servidor transmite ao Meta e ao Google um resumo do seu contato (email, telefone e nome em código irreversível) junto do seu endereço IP e do seu navegador, para atribuir a campanha que trouxe você. Esse envio parte do nosso servidor, não do seu navegador: ele acontece mesmo que você desligue as categorias Medição e Anúncios no aviso de cookies. A base legal desse envio é o legítimo interesse (LGPD, art. 7º, IX): sem ele não temos como saber qual anúncio trouxe um contato real, e a medição é o que nos permite não gastar com anúncio que não serve a ninguém. Fizemos por escrito o balanceamento exigido pelo art. 10 — finalidade, necessidade, o que você pode esperar e as salvaguardas — e enviamos esse documento a quem pedir. Você pode se opor a esse envio a qualquer momento, sem precisar justificar: escreva para privacidade@grupocosmica.com.br — atendemos o pedido, deixamos de transmitir seus dados e pedimos a eliminação do que já foi transmitido.

12. Crianças e adolescentes

Nossos canais digitais e serviços não são direcionados a crianças e adolescentes. Quando menores participam de eventos, estadias ou da operação de hospedagem como acompanhantes, os dados são tratados exclusivamente para viabilizar a operação do serviço, com consentimento dos pais ou responsáveis legais e com observância ao melhor interesse da criança (LGPD, art. 14).

13. Comunicações de marketing

Enviamos newsletters, convites para encontros do Clube, novidades das Casas e propostas comerciais somente com seu consentimento ou no contexto de uma relação contratual em andamento. Em todo email de marketing há um link de descadastramento, e você pode pedir o cancelamento a qualquer momento por privacidade@grupocosmica.com.br.

Exceção: para quem já teve uma relação comercial ou contratual conosco e nunca recebeu um pedido de consentimento nem manifestou recusa, podemos enviar um único email de reengajamento com base em legítimo interesse (art. 7º, IX), convidando a confirmar o interesse em continuar recebendo novidades. Esse email também traz o link de descadastramento; sem confirmação nem recusa, o contato deixa de receber novas comunicações de marketing.

14. Alterações desta política

Esta política pode ser atualizada para refletir mudanças regulatórias, novas operações ou novos sub-processadores. A versão vigente é sempre a publicada nesta página, com data e número de versão indicados no topo. Mudanças materiais serão comunicadas previamente pelos canais oficiais, com prazo razoável para você revisar e, se quiser, exercer os direitos da seção 8.

15. Contato

Dúvidas, solicitações de direitos do titular e reclamações relacionadas à privacidade: privacidade@grupocosmica.com.br. Para outros assuntos comerciais: contato@grupocosmica.com.br.