Política de Privacidade

1. Quem somos e papel no tratamento

A Orion Otimização (“Orion”, “nós”) opera a plataforma Orion Insider Pro e atua como controladora dos dados pessoais tratados no contexto da plataforma, conforme definição da Lei 13.709/2018 — Lei Geral de Proteção de Dados (“LGPD”).

Esta Política descreve quais dados pessoais coletamos, com qual finalidade, sob qual base legal, com quem compartilhamos, por quanto tempo retemos e como você, titular dos dados, pode exercer seus direitos. Ela compõe parte indissociável dos Termos de Serviço.

2. Dados pessoais que coletamos

2.1. Dados de cadastro

• E-mail (obrigatório) — utilizado como identificador único, login e canal de comunicação;
• Nome completo (obrigatório) — utilizado para personalização da experiência e identificação em relatórios;
• Método de autenticação — Google, Microsoft (Azure AD) ou e-mail/senha. Após a primeira autenticação, o método fica vinculado à conta;
• Identificador interno do provedor de autenticação — código técnico que vincula a conta à sessão ativa;
• CPF (opcional) — quando fornecido pelo Usuário;
• Dados do perfil OAuth — quando o Usuário opta por login federado (Google ou Microsoft), recebemos do provedor o nome, e-mail e identificador do provedor.

2.2. Dados de uso e telemetria

• Eventos de produto — cadastro, login, conclusão de perfil, contratação de plano, upgrade. Capturados por meio de plataforma terceirizada de analytics de produto (ver item 5);
• Métricas de consumo — quantidade de relatórios gerados, requisições ao Assistente Orion, indicadores consultados, uploads de correlação, para fins de aplicação de quotas e faturamento;
• Logs técnicos — endereço IP, agente de usuário (user-agent), timestamps de requisição, códigos de status, identificadores de erro, utilizados para segurança, prevenção a fraude, depuração e cumprimento de obrigações legais.

2.3. Dados de pagamento

Quando o Usuário contrata o plano Pro, os dados de cartão de crédito ou outros meios de pagamento são coletados e processados diretamente pela operadora de pagamento terceirizada contratada pela Orion. A Orion não armazena número completo de cartão, CVV ou data de validade. Recebemos da operadora apenas identificadores da transação, status da assinatura, últimos dígitos do cartão e dados de faturamento estritamente necessários.

2.4. Dados que o Usuário envia voluntariamente

• Arquivos CSV/XLSX enviados para o módulo de correlação (limite de 5 MB por arquivo);
• Perguntas ao Assistente Orion — texto livre digitado pelo Usuário (limite de 2.000 caracteres por pergunta);
• Parâmetros de configuração — seleção de indicadores, cenários e filtros.

O Usuário se compromete a não submeter, por meio destes canais, dados pessoais sensíveis (origem racial, convicção religiosa, opinião política, dado referente à saúde ou à vida sexual, dado genético ou biométrico, conforme Art. 5º, II da LGPD) ou dados pessoais de terceiros sem base legal adequada.

2.5. Cookies e tecnologias similares

Utilizamos um conjunto mínimo de cookies estritamente necessários ao funcionamento da plataforma:

• Cookies de sessão — definidos pelo provedor de autenticação para manter o Usuário autenticado;
• orion_login_method — cookie temporário (10 minutos) que registra o método de login iniciado, para validação do retorno OAuth;
• Identificador de analytics (localStorage) — identificação anônima do dispositivo, mantida pela plataforma terceirizada de analytics para correlacionar eventos de produto.

3. Finalidades do tratamento

Tratamos seus dados pessoais para as seguintes finalidades:

• permitir o cadastro, autenticação e acesso seguro à plataforma;
• prestar os serviços contratados, incluindo geração de relatórios, projeções, correlações e respostas do Assistente Orion;
• operacionalizar cobrança, renovação e gestão de assinaturas pagas;
• aplicar limites de uso, quotas e mecanismos de rate limiting;
• prevenir fraudes, abusos, ataques cibernéticos e violações destes Termos;
• responder a solicitações de suporte e exercício de direitos do titular;
• cumprir obrigações legais, regulatórias e ordens de autoridades competentes;
• melhorar a plataforma, identificar bugs e desenvolver novas funcionalidades, com base em métricas agregadas;
• comunicar atualizações relevantes do serviço, alterações dos Termos e da Política de Privacidade.

4. Bases legais (Art. 7º e 11 da LGPD)

O tratamento de dados pessoais pela Orion se fundamenta em:

• Execução de contrato (Art. 7º, V) — para criação de conta, prestação dos serviços contratados e cobrança;
• Cumprimento de obrigação legal ou regulatória (Art. 7º, II) — para manutenção de logs de acesso, registros fiscais e atendimento a ordens de autoridades;
• Legítimo interesse (Art. 7º, IX) — para segurança da plataforma, prevenção a fraude, aplicação de quotas, melhoria do serviço e análise de uso agregada, sempre observado o balanceamento com os direitos do titular;
• Consentimento (Art. 7º, I) — para comunicações de marketing direcionadas e analytics de produto via PostHog, quando aplicável.

5. Compartilhamento com terceiros (operadores)

Para operar a plataforma, a Orion compartilha dados pessoais com as seguintes categorias de operadores, todos sujeitos a obrigações contratuais de confidencialidade e segurança equivalentes às previstas na LGPD:

• Provedor de autenticação e banco de dados em nuvem — responsável pela criação de contas, login, gestão de sessões e armazenamento das informações do Usuário. Trata: e-mail, nome, identificadores de sessão e demais dados de cadastro.
• Provedores de identidade federada (OAuth) — acionados quando o Usuário opta por login com conta Google ou Microsoft. Tratam: e-mail, nome e identificador da conta federada.
• Provedor de modelos de Inteligência Artificial generativa — responsável pela execução das requisições do Assistente Orion. Trata: pergunta do Usuário (texto livre), contexto dos indicadores selecionados e dados técnicos da requisição.
• Operadora de pagamento — responsável por checkout, cobrança e gestão do ciclo de assinatura. Trata: dados de cartão e faturamento (não acessíveis pela Orion), e-mail vinculado à transação e identificadores do pagamento.
• Plataforma de analytics de produto — utilizada para medir uso, identificar gargalos e melhorar a experiência. Trata: identificador anônimo de dispositivo, eventos de uso, plano e propriedades de evento; o e-mail pode ser associado para identificação do Usuário autenticado.
• Provedores de infraestrutura em nuvem e e-mail transacional — utilizados para hospedagem da aplicação, armazenamento de logs e envio de notificações operacionais (confirmação de cadastro, recuperação de senha, recibos). Operam em conformidade com padrões internacionais de segurança.

A Orion não vende dados pessoais e não os compartilha com terceiros para finalidades publicitárias de terceiros. A relação nominal e atualizada dos operadores e subprocessadores efetivamente contratados pela Orion pode ser solicitada a qualquer tempo pelo titular, com base no Art. 18, inciso VII, da LGPD, pelo canal indicado no item 8 desta Política.

6. Transferência internacional de dados

Parte dos operadores indicados no item 5 está sediada ou opera servidores fora do território brasileiro, incluindo Estados Unidos e União Europeia. Consequentemente, parcela dos dados pessoais tratados pela Orion poderá ser transferida internacionalmente.

Essas transferências ocorrem com fundamento no Art. 33 da LGPD, mediante adoção de cláusulas contratuais específicas, garantias equivalentes às previstas na LGPD e, quando aplicável, em jurisdições reconhecidas como de nível adequado de proteção. Ao utilizar a plataforma, o Usuário declara estar ciente desse fluxo internacional de dados.

7. Prazo de retenção

• Dados de cadastro — mantidos enquanto a conta estiver ativa e por até 5 (cinco) anos após o encerramento, para fins de cumprimento de obrigações legais (Código Civil, prescrições aplicáveis);
• Dados de faturamento e fiscais — mantidos por no mínimo 5 (cinco) anos após a emissão do documento fiscal correspondente;
• Logs de acesso — mantidos por 6 (seis) meses, conforme Art. 15 do Marco Civil da Internet (Lei 12.965/2014);
• Arquivos de upload para correlação — descartados em até 24 horas após o processamento, salvo se persistidos pelo Usuário em recurso específico da plataforma;
• Perguntas ao Assistente Orion — não persistidas no banco de dados da Orion entre sessões; apenas as duas últimas interações são mantidas em memória curta dentro da mesma sessão para contextualização;
• Métricas de uso agregadas e anonimizadas — podem ser retidas indefinidamente para fins estatísticos.

Após esses prazos, os dados são excluídos ou anonimizados, ressalvada a hipótese de retenção exigida por lei, ordem judicial ou defesa em processo administrativo ou judicial.

8. Direitos do titular (Art. 18 da LGPD)

Como titular dos dados pessoais, você tem direito a, a qualquer momento e mediante requisição:

• confirmação da existência de tratamento;
• acesso aos seus dados pessoais;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados a outro fornecedor de serviço ou produto;
• eliminação dos dados pessoais tratados com base no consentimento;
• informação sobre as entidades públicas e privadas com as quais a Orion compartilhou seus dados;
• informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
• revogação do consentimento, quando aplicável;
• oposição a tratamento realizado com fundamento em hipóteses dispensadas de consentimento, em caso de descumprimento da LGPD.

Para exercer esses direitos, envie solicitação para orionplataformas@orionotimizacao.com identificando-se com o e-mail cadastrado. Responderemos no prazo de até 15 (quinze) dias, ressalvadas hipóteses de prorrogação justificada. A Orion poderá solicitar informações adicionais para confirmar a identidade do titular antes de atender à requisição.

9. Segurança da informação

A Orion adota medidas técnicas e administrativas razoáveis para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo:

• criptografia em trânsito (TLS) em todas as comunicações com a plataforma;
• autenticação baseada em tokens JWT com validação de assinatura;
• controle de acesso por papel e isolamento por user_id;
• rate limiting, controle de concorrência e monitoramento de abuso;
• sanitização de inputs e proteção contra injeções e XSS;
• política de senhas com requisitos mínimos;
• auditoria periódica e revisões de segurança pré-deploy.

Apesar de todos os esforços, nenhum sistema é absolutamente seguro. O Usuário também é responsável por manter a confidencialidade de suas credenciais e por adotar boas práticas de segurança em seus dispositivos.

10. Comunicação de incidentes

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Orion comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, conforme Art. 48 da LGPD, descrevendo a natureza dos dados comprometidos, os titulares envolvidos, as medidas técnicas adotadas e as recomendações cabíveis.

11. Crianças e adolescentes

A plataforma é destinada a maiores de 18 anos e plenamente capazes, tanto pessoas físicas quanto pessoas jurídicas. Não coletamos intencionalmente dados pessoais de crianças e adolescentes. Caso tenhamos conhecimento de cadastro de menor, a conta será suspensa e os dados eliminados, salvo na hipótese de cadastro autorizado pelos pais ou responsáveis legais nos termos do Art. 14 da LGPD, mediante comprovação documental.

12. Encarregado pelo Tratamento de Dados (DPO)

O Encarregado pelo Tratamento de Dados Pessoais da Orion, conforme Art. 41 da LGPD, pode ser contatado pelo e-mail orionplataformas@orionotimizacao.com, com o assunto “LGPD — Encarregado”.

13. Alterações desta Política

Esta Política pode ser atualizada periodicamente. Alterações relevantes serão comunicadas por e-mail e/ou aviso na plataforma com antecedência razoável. A versão sempre vigente é a publicada nesta página, com a data de “Última atualização” no topo.