Política de Privacidade

1. A quem se aplica e quem é responsável

Esta Política de Privacidade ("Política") descreve como Orbita S.A., CNPJ 48.952.217/0001-28, com sede na Rua Juracy Magalhães, 853, Ponto Central, Feira de Santana/BA, CEP 44075-115 ("Orbita", "nós"), trata os dados pessoais de quem utiliza o aplicativo Orbita, o site orbitafintech.com e os serviços disponíveis por meio deles (a "Plataforma"), em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — "LGPD"), o Marco Civil da Internet (Lei nº 12.965/2014), o Código de Defesa do Consumidor e a regulamentação do Banco Central do Brasil aplicável aos serviços contratados por meio da Plataforma.

A Orbita é controladora dos dados pessoais tratados para operar a Plataforma. As instituições parceiras que prestam os serviços financeiros — a Asaas Gestão Financeira Instituição de Pagamento S.A., CNPJ 19.540.550/0001-21 ("Asaas"), para a conta de pagamento, o Pix, os boletos e os recebimentos, e o Parceiro de Investimentos (atualmente Genial Investimentos Corretora de Valores Mobiliários S.A., CNPJ 27.652.684/0001-62, e empresas do Conglomerado Genial), para os investimentos — são controladoras independentes dos dados que recebem para prestar esses serviços e cumprir as suas próprias obrigações regulatórias, e mantêm políticas de privacidade próprias, apresentadas no momento da contratação.

A Orbita não é instituição financeira. Esta Política se aplica ao tratamento realizado pela Orbita; o tratamento realizado pelas instituições parceiras é regido pelas políticas delas.

2. Definições

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, entre outros previstos na LGPD.
• Tratamento: toda operação realizada com dados pessoais, como coleta, uso, armazenamento, compartilhamento e eliminação.
• Titular: você, pessoa natural a quem os dados se referem.
• Controlador: quem decide sobre o tratamento. Operador: quem trata os dados em nome do controlador.
• Encarregado (DPO): pessoa indicada para ser o canal de comunicação entre a Orbita, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

3. Dados que coletamos

3.1. Dados que você nos fornece

• Identificação e cadastro: nome completo, CPF, data de nascimento, e-mail, número de celular, endereço, renda ou faturamento mensal e demais informações solicitadas no cadastro ou em atualizações.
• Documento e selfie: imagem do documento de identificação (RG ou CNH) e fotografia do seu rosto, capturadas pela câmera do aplicativo para verificação de identidade (ver seção 6).
• Credenciais: senha de acesso e PIN de transação, armazenados exclusivamente na forma de hash criptográfico — não temos acesso aos valores originais.
• Dados de uso dos serviços: chaves Pix cadastradas, destinatários e favoritos, descrições de cobranças e de pagamentos, preferências de notificação.
• Dados de terceiros que você informa: nome, CPF/CNPJ e chave Pix de destinatários de transferências e de pagadores de cobranças. Ao informá-los, você declara ter autorização para isso.
• Atendimento: conteúdo das mensagens, e-mails e solicitações que você nos envia.

3.2. Dados coletados automaticamente

• Dispositivo e acesso: modelo e sistema operacional do aparelho, identificadores do aplicativo, versão instalada, idioma, endereço IP, data e hora de acesso e registros de atividade (logs), inclusive os registros de conexão exigidos pelo Marco Civil da Internet.
• Localização aproximada: coletada nos momentos de login e de operações sensíveis (envio de Pix, transferências, pagamentos), somente se você autorizar a permissão de localização no seu aparelho, para fins de prevenção à fraude. Se a permissão for negada, os serviços continuam funcionando normalmente.
• Token de notificações: identificador técnico que permite enviar notificações ao seu aparelho, quando você autoriza notificações.
• Dados de segurança: sinais de risco do dispositivo e do padrão de uso, resultados de autenticação (sem armazenar a sua biometria) e tentativas de acesso.

3.3. Dados recebidos de terceiros

• Instituições parceiras: situação cadastral da conta, resultado da análise de identidade, dados bancários da conta (instituição, agência e número), saldo, extrato, comprovantes e status das operações, chaves Pix, informações sobre cobranças e pagamentos recebidos (inclusive dados dos pagadores), e, no caso dos investimentos, posições, ordens, perfil de investidor e informes.
• Fontes públicas e de verificação: validação de CPF e de dados cadastrais junto à Receita Federal e a outras bases públicas ou de verificação de identidade, e bases de prevenção à fraude.
• Pagadores e outras instituições: quando alguém envia um Pix ou uma transferência para você, recebemos os dados do remetente necessários para identificar a operação, na forma da regulamentação.

4. Para que usamos os dados

5. Bases legais

Tratamos os seus dados com fundamento nas hipóteses previstas na LGPD, conforme a finalidade:

• Execução de contrato ou de procedimentos preliminares (art. 7º, V): abertura e operação da conta, execução das operações, atendimento.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II): identificação do cliente, prevenção à lavagem de dinheiro, guarda de registros, atendimento a autoridades e ao Banco Central.
• Legítimo interesse (art. 7º, IX): prevenção à fraude, segurança da Plataforma, melhoria dos serviços e comunicações sobre a conta, sempre respeitando as suas expectativas e os seus direitos.
• Proteção do crédito (art. 7º, X), quando aplicável a produtos ofertados pelos parceiros.
• Exercício regular de direitos (art. 7º, VI).
• Consentimento (art. 7º, I): para comunicações de marketing e para as permissões opcionais do aparelho (localização e notificações), que você pode revogar a qualquer momento.
• Para dados sensíveis (seção 6): cumprimento de obrigação legal ou regulatória (art. 11, II, "a") e garantia da prevenção à fraude e da segurança do titular nos processos de identificação e autenticação (art. 11, II, "g").

6. Dados sensíveis: documento e selfie

A fotografia do seu rosto (selfie) e a imagem do seu documento são utilizadas exclusivamente para confirmar a sua identidade na abertura da conta e em verificações posteriores exigidas pela regulamentação ou por razões de segurança. Esses dados são:

• capturados pela câmera do aplicativo apenas quando você inicia a captura;
• transmitidos por canal criptografado e armazenados nos nossos servidores cifrados em repouso, com acesso restrito;
• enviados à Asaas, que realiza a análise de identidade e mantém esses dados sob a sua própria política e prazos regulatórios;
• guardados pelos prazos exigidos pela regulamentação de prevenção à lavagem de dinheiro e, depois, eliminados ou anonimizados.

A biometria usada para desbloquear o aplicativo (Face ID, Touch ID ou impressão digital) é processada exclusivamente pelo sistema do seu aparelho; a Orbita recebe apenas a confirmação de que a autenticação foi bem-sucedida e nunca tem acesso ao seu modelo biométrico.

7. Com quem compartilhamos

Compartilhamos dados pessoais apenas na medida necessária para as finalidades desta Política, com:

• Instituições parceiras: a Asaas (conta de pagamento, Pix, boletos, transferências, recebimentos e análise de identidade) e o Parceiro de Investimentos (investimentos), que recebem os dados necessários para abrir a sua conta, prestar os serviços e cumprir as suas obrigações regulatórias, na condição de controladoras independentes.
• Arranjos e sistemas de pagamento: informações das operações são transmitidas ao Banco Central (Pix e sistemas de liquidação), às instituições de destino e origem e, nos recebimentos por cartão, às bandeiras e credenciadoras, conforme as regras de cada arranjo.
• Provedores de tecnologia (operadores, que tratam dados em nosso nome e sob contrato): hospedagem e infraestrutura em nuvem; envio de e-mails, SMS e mensagens de WhatsApp (códigos de verificação e avisos); entrega de notificações push por meio dos serviços da Expo, do Google (Firebase Cloud Messaging) e da Apple; ferramentas de compilação e distribuição do aplicativo; serviços de consulta de CEP.
• Prevenção à fraude: bureaus e serviços de verificação de identidade e de análise de risco, quando utilizados.
• Autoridades e órgãos públicos: Banco Central do Brasil, Conselho de Controle de Atividades Financeiras (COAF), Receita Federal, CVM, Poder Judiciário, Ministério Público, órgãos de defesa do consumidor e outras autoridades, quando exigido por lei, regulamentação ou ordem válida.
• Sucessores: em caso de reorganização societária, fusão, aquisição ou venda de ativos, os dados podem ser transferidos ao sucessor, que ficará vinculado a esta Política.

Não vendemos nem alugamos dados pessoais e não compartilhamos dados com terceiros para que façam marketing próprio sem o seu consentimento.

8. Transferência internacional

Parte da nossa infraestrutura de hospedagem e alguns provedores de tecnologia estão localizados fora do Brasil (atualmente, servidores no Japão e serviços de notificação, e-mail e distribuição de aplicativos operados nos Estados Unidos e em outros países). Nesses casos, a transferência é realizada com fundamento no art. 33 da LGPD, para países ou organizações que assegurem grau de proteção adequado ou mediante cláusulas contratuais e garantias que assegurem o cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na lei brasileira. Os dados permanecem sujeitos a esta Política e à LGPD onde quer que sejam tratados.

9. Como protegemos os dados

Adotamos medidas técnicas e administrativas para proteger os dados contra acessos não autorizados, destruição, perda, alteração ou divulgação indevida, entre elas:

• criptografia em trânsito (TLS) em todas as comunicações do aplicativo e do site;
• armazenamento das imagens de documentos e selfies e das credenciais das contas nas instituições parceiras cifrado em repouso, com chaves gerenciadas separadamente dos dados;
• senha e PIN guardados apenas como hash com sal, bloqueio temporário após tentativas incorretas e verificação por código para operações sensíveis;
• o aplicativo nunca acessa diretamente as instituições parceiras: todo o tráfego passa pelos nossos servidores, que guardam as credenciais de integração;
• controle de acesso, registro de atividades, segregação de ambientes e revisão periódica das medidas de segurança;
• plano de resposta a incidentes: na ocorrência de incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos a ANPD e você, na forma e nos prazos exigidos pela LGPD.

Nenhum sistema é totalmente imune a riscos. Você também é responsável por proteger o seu aparelho e as suas credenciais, conforme os Termos de Uso.

10. Por quanto tempo guardamos

Mantemos os dados pessoais pelo tempo necessário para cumprir as finalidades desta Política e, depois do encerramento da sua conta, pelos prazos exigidos pela legislação, entre eles:

• dados cadastrais, documentos de identificação e registros das operações: pelos prazos da regulamentação de prevenção à lavagem de dinheiro e do Banco Central, que podem chegar a 10 anos após o encerramento da relação;
• registros de acesso ao aplicativo e ao site: no mínimo 6 meses, conforme o Marco Civil da Internet;
• dados necessários ao exercício de direitos em processos judiciais, administrativos ou arbitrais: pelo prazo prescricional aplicável;
• localização aproximada e sinais de risco: pelo período necessário à análise antifraude e à guarda de evidências de operações, limitado aos prazos acima.

Findos os prazos, os dados são eliminados de forma segura ou anonimizados.

11. Seus direitos

Nos termos do art. 18 da LGPD, você pode, a qualquer momento e mediante requisição:

• confirmar a existência de tratamento e acessar os seus dados;
• corrigir dados incompletos, inexatos ou desatualizados (grande parte pode ser atualizada diretamente no aplicativo);
• solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• solicitar a portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial e a regulamentação da ANPD;
• solicitar a eliminação dos dados tratados com base no consentimento;
• obter informação sobre as entidades com as quais compartilhamos dados;
• ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogar o consentimento e opor-se a tratamentos realizados em desconformidade com a lei;
• solicitar a revisão de decisões automatizadas que afetem os seus interesses.

Para exercer esses direitos, escreva para o Encarregado (seção 18). Responderemos no prazo previsto na regulamentação, podendo solicitar a confirmação da sua identidade antes de atender ao pedido. Alguns direitos podem ser limitados quando a lei nos obriga a manter dados (por exemplo, registros de operações financeiras e de identificação, que não podem ser eliminados antes do prazo legal) ou quando o atendimento afetar direitos de terceiros. Você também pode apresentar reclamação à ANPD.

12. Permissões do aplicativo

• Câmera: para fotografar documento e selfie na abertura da conta e para ler QR Codes. A imagem só é capturada quando você aciona a câmera.
• Biometria: para desbloquear o aplicativo com Face ID, Touch ID ou impressão digital; processada no aparelho, sem envio à Orbita. Opcional.
• Localização: para prevenção à fraude em login e operações sensíveis. Opcional; se negada, os serviços seguem funcionando.
• Notificações: para avisar sobre recebimentos, operações concluídas, segurança e a situação da conta. Opcional; você controla o tipo de aviso nas preferências do aplicativo e nas configurações do aparelho.
• Armazenamento local: guardamos no aparelho as suas preferências, a sessão e informações para funcionamento do aplicativo; ao sair da conta, esses dados são removidos.

13. Cookies e tecnologias no site

O site orbitafintech.com não utiliza cookies de rastreamento nem ferramentas de publicidade. Utilizamos apenas o armazenamento estritamente necessário ao funcionamento do site e do aplicativo web (por exemplo, para manter a sua sessão). As fontes tipográficas do site são carregadas de serviço do Google, o que pode implicar o registro do seu endereço IP por esse provedor, conforme a política de privacidade dele. Se passarmos a utilizar cookies analíticos ou de marketing, esta Política será atualizada e você será informado, com a opção de recusá-los.

14. Comunicações e marketing

Enviaremos comunicações transacionais e de segurança (confirmações, avisos sobre operações e sobre a conta) sempre que necessário, pois são inerentes ao serviço. Comunicações de marketing sobre produtos e novidades da Orbita e dos parceiros só serão enviadas com o seu consentimento, e você pode se descadastrar a qualquer momento pelo link presente nas mensagens, pelas preferências do aplicativo ou pelo e-mail de contato.

15. Crianças e adolescentes

A Plataforma destina-se exclusivamente a maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes; se identificarmos cadastro de menor de idade, a conta será encerrada e os dados eliminados, salvo os que a lei nos obrigar a manter.

16. Decisões automatizadas

Utilizamos análises automatizadas para verificar identidade, avaliar o risco das operações e prevenir fraudes, o que pode resultar na exigência de verificações adicionais, na aplicação de limites ou no bloqueio preventivo de operações. As decisões de aprovação cadastral são tomadas pelas instituições parceiras conforme os seus próprios critérios. Você pode solicitar a revisão de decisões automatizadas que afetem os seus interesses, na forma da seção 11.

17. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças na legislação, nos serviços ou nas nossas práticas. A versão vigente, com a data da última atualização, estará sempre disponível em orbitafintech.com/privacidade. Alterações relevantes serão comunicadas pelo aplicativo, pelo site ou pelos canais cadastrados; quando a alteração exigir novo consentimento, ele será solicitado.

18. Encarregado (DPO) e contato

Encarregado pelo tratamento de dados pessoais (DPO): Victor Lima Ramos — privacidade@orbitafintech.com
Atendimento geral: chat dentro do aplicativo ou contato@orbitafintech.com
Orbita S.A. — CNPJ 48.952.217/0001-28 — Rua Juracy Magalhães, 853, Ponto Central, Feira de Santana/BA, CEP 44075-115

Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.